fix: accept SAC ingest HTTP 201, 409, and legacy 202

fix: log_action to stderr so captured paths stay valid
find_remote_ssh_monitor_path output was polluted by log_action on stdout, breaking -f checks; mirror user messages to stderr instead.
2026-05-28 09:13:13 +10:00 · 2026-05-28 08:24:09 +10:00 · 2026-05-28 08:20:37 +10:00 · 2026-05-28 08:15:51 +10:00 · 2026-05-28 08:13:24 +10:00 · 2026-05-28 07:56:18 +10:00
16 changed files with 3937 additions and 912 deletions
@@ -1,2 +1,12 @@
-.DS_Store
+.DS_Store
 CalculatorApp/
 # .env — не коммитить; ssh-monitor.conf с секретами допустим только на git.kalinamall.ru
 .env
 .env.*
 # Артефакты локальной сборки (релизные архивы грузятся в GitHub Releases, в git не коммитим)
 ssh-monitor-*.tar.gz
 # Локальный загрузчик Rutube / yt-dlp — живёт в другом репозитории
 rutube-download.py
 .ytdl-archive.txt
@@ -0,0 +1,24 @@
 ssh-monitor (ветка ipset) — что сделать на сервере
 ==================================================
 1) apt install ipset
 2) Скопируйте ssh-monitor в /usr/local/bin/ (или как у вас принято), права +x.
 3) Каталог /etc/iptables должен существовать, если нужен save правил:
   mkdir -p /etc/iptables
   Скрипт пишет:
   - /etc/iptables/ipset.rules
   - /etc/iptables/rules.v4 и rules.v6 (если есть iptables-save)
 4) Загрузка ipset после перезагрузки (Debian/Ubuntu, пример):
   apt install ipset-persistent
   либо свой systemd unit: ipset restore -f /etc/iptables/ipset.rules
 5) UFW / nftables: если фактический фильтр не iptables-nft совместимый с -m set,
   правило может не примениться — проверяйте «iptables -L INPUT -n» и счётчики.
 6) С таймаутом ipset ядро само убирает IP из набора; скрипт лишь чистит файл бан-листа
   и при расхождении восстанавливает элемент в ipset (verify_ban_list_vs_ipset).
 Версия скрипта: см. SSH_MONITOR_VERSION в начале файла.
@@ -0,0 +1,21 @@
 MIT License
 Copyright (c) 2026 PTah
 Permission is hereby granted, free of charge, to any person obtaining a copy
 of this software and associated documentation files (the "Software"), to deal
 in the Software without restriction, including without limitation the rights
 to use, copy, modify, merge, publish, distribute, sublicense, and/or sell
 copies of the Software, and to permit persons to whom the Software is
 furnished to do so, subject to the following conditions:
 The above copyright notice and this permission notice shall be included in all
 copies or substantial portions of the Software.
 THE SOFTWARE IS PROVIDED "AS IS", WITHOUT WARRANTY OF ANY KIND, EXPRESS OR
 IMPLIED, INCLUDING BUT NOT LIMITED TO THE WARRANTIES OF MERCHANTABILITY,
 FITNESS FOR A PARTICULAR PURPOSE AND NONINFRINGEMENT. IN NO EVENT SHALL THE
 AUTHORS OR COPYRIGHT HOLDERS BE LIABLE FOR ANY CLAIM, DAMAGES OR OTHER
 LIABILITY, WHETHER IN AN ACTION OF CONTRACT, TORT OR OTHERWISE, ARISING FROM,
 OUT OF OR IN CONNECTION WITH THE SOFTWARE OR THE USE OR OTHER DEALINGS IN THE
 SOFTWARE.
@@ -0,0 +1,12 @@
 # Версия берётся из ssh-monitor (SSH_MONITOR_VERSION).
 .PHONY: dist clean-dist
 VERSION := $(shell sed -n 's/^SSH_MONITOR_VERSION="\(.*\)".*/\1/p' ssh-monitor | head -n1)
 DIST := ssh-monitor-$(VERSION).tar.gz
 dist: $(DIST)
 $(DIST): ssh-monitor
 	git archive --format=tar.gz --prefix=ssh-monitor-$(VERSION)/ -o $(DIST) HEAD
 clean-dist:
 	rm -f ssh-monitor-*.tar.gz
@@ -1,28 +1,46 @@
-# ssh-monitor
+# ssh-monitor
-Bash-скрипт мониторинга SSH/SUDO с уведомлениями в Telegram, опциональным резервным webhook, авто-блокировкой IP (IPv4 через `iptables`, IPv6 через `ip6tables` при наличии) и ежедневным отчётом.
+Bash-скрипт мониторинга **SSH**, **SUDO** и событий **`systemd-logind`** (локальные/графические сессии и др.) с уведомлениями в **Telegram** и по **электронной почте (SMTP)**, опциональным резервным webhook, авто-блокировкой IP (**ipset** + **iptables** / **ip6tables**: наборы `hash:ip` с таймаутом, одно правило `-m set`; нюансы — **`IPSET-NOTES.txt`**) и ежедневным отчётом.
 ## Состав репозитория
 | Файл | Назначение |
 |------|------------|
 | **`ssh-monitor`** | Основной цикл: разбор журналов (**journalctl**: sshd, sudo, «тяжёлые» события, **systemd-logind**), цепочка уведомлений (Telegram, SMTP через **python3**, резервный webhook), при **`ENABLE_IP_BAN=1`** — учёт неудачных попыток, бан в **ipset** и согласование с **iptables**/**ip6tables**, ежедневный отчёт, heartbeat, опционально **Prometheus** textfile и JSON health. Режимы: **`--check-config`**, **`--dry-run`**. |
 | **`ssh-monitor-watchdog`** | Отдельный скрипт (обычно по **systemd timer**): проверяет, что сервис монитора активен и файл heartbeat не старше порога; при сбое выполняет **`systemctl restart`** и шлёт уведомление в Telegram или в **`BACKUP_WEBHOOK_URL`**. Читает те же `TELEGRAM_*` / webhook из `/etc/ssh-monitor.conf`. |
 | **`update_ssh_monitor.sh`** | Опциональное автообновление: `git pull` / `clone`, сравнение SHA256 с `/usr/local/bin/ssh-monitor`, синхронизация **`sac-client.sh`** рядом с монитором, перезапуск `ssh-monitor.service`. См. [docs/auto-update.ru.md](docs/auto-update.ru.md). |
 **Системные пакеты и зависимости** (что поставить на сервер до запуска): пошагово в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 ## Конфигурация
 > **git.kalinamall.ru:** в этом закрытом репозитории допустимо хранить **`ssh-monitor.conf`** с боевыми токенами и паролями (файл не в `.gitignore`). В публичном [GitHub](https://github.com/PTah/ssh-monitor) такой файл игнорируется — используйте только `ssh-monitor.conf.example`.
 Скрипт читает параметры из `/etc/ssh-monitor.conf` в формате `KEY="value"`.
 1. Скопируйте пример:
-   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
+ - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
 2. Ограничьте доступ:
-   - `sudo chmod 600 /etc/ssh-monitor.conf`
+ - `sudo chmod 600 /etc/ssh-monitor.conf`
-3. Заполните минимум:
+3. Заполните минимум — **хотя бы один канал доставки оповещений** (иначе скрипт сразу завершится с ошибкой; см. абзац **«Обязательное условие»** ниже и раздел **«Каналы оповещений и пустой NOTIFY_CHAIN»**):
-   - `TELEGRAM_BOT_TOKEN`
+ - для **Telegram**: `TELEGRAM_BOT_TOKEN` и `TELEGRAM_CHAT_ID`;
-   - `TELEGRAM_CHAT_ID`
+ - или настройте **почту (SMTP)** по переменным ниже при `NOTIFY_ORDER=""` (автовыбор каналов).
 **Обязательное условие:** после загрузки конфигурации в цепочке **`NOTIFY_CHAIN`** должен быть **минимум один** канал (`telegram` или `email`). Если каналов **нет** (пустой `NOTIFY_ORDER` и ни Telegram, ни SMTP не удовлетворяют критериям «настроен», либо в `NOTIFY_ORDER` остались только неизвестные имена), скрипт **не входит** в основной цикл и завершается с кодом **1**, в stderr: **`Не настроен ни один канал отправки оповещений`**. Это же правило действует для **`--check-config`** и **`--dry-run`**. Резервный **`BACKUP_WEBHOOK_URL`** в эту проверку **не входит** — он используется только если **ни один** канал из **`NOTIFY_CHAIN`** не смог доставить сообщение.
 Поддерживаемые параметры:
 - `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
- `BACKUP_WEBHOOK_URL` — резервная доставка JSON `{"text":"..."}` (например Slack Incoming Webhook), если Telegram недоступен или вернул ошибку
+- `NOTIFY_ORDER` — список каналов (`telegram`, `email` и сокращения **tg**, **mail**); при каждом оповещении скрипт **пытается отправить во все перечисленные** каналы по порядку (не «первый успешный — и стоп»). Пусто = в цепочку попадают только настроенные каналы (порядок по умолчанию см. в `ssh-monitor.conf.example`). Если итоговая цепочка пуста — скрипт не стартует (см. раздел **«Каналы оповещений и пустой NOTIFY_CHAIN»**).
- `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `BAN_LIST_FILE`
+- `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — отправка почты через **python3** (см. таблицу каналов ниже)
- `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (опционально), `DAILY_REPORT_TOP_IPS`
+- `BACKUP_WEBHOOK_URL` — резервная доставка JSON `{"text":"..."}` (например Slack Incoming Webhook), если **все** каналы из **`NOTIFY_CHAIN`** не смогли доставить сообщение; **не заменяет** обязательность хотя бы одного основного канала (см. шаг 3)
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — см. раздел «Мониторинг systemd-logind» ниже
 - `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (опционально), `NOTIFY_TZ` (опционально), `SERVER_DISPLAY_NAME` (опционально), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
 - `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
 - `PROMETHEUS_TEXTFILE_DIR` — каталог для `ssh_monitor.prom` (совместимость с node_exporter textfile collector)
 - `HEALTHCHECK_STATUS_FILE` — путь к JSON-файлу с меткой последней итерации цикла
 - `ENABLE_IP_BAN` — `1` (по умолчанию): мониторинг и автобан через ipset; `0`: только мониторинг и уведомления (без ipset/бана)
 - `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
 - `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, например `ip1,ip2`)
 - `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
@@ -33,23 +51,35 @@ Bash-скрипт мониторинга SSH/SUDO с уведомлениями
 - `TELEGRAM_BOT_TOKEN` — токен Telegram-бота для отправки уведомлений.
 - `TELEGRAM_CHAT_ID` — ID чата/пользователя, куда отправляются уведомления.
- `BACKUP_WEBHOOK_URL` — URL для резервной отправки (тело JSON `{"text":"..."}`).
+- `NOTIFY_ORDER` — CSV имён каналов (`telegram`, `email` или `tg`, `mail`). Для **каждого** оповещения выполняется попытка доставки **во все** перечисленные каналы (при ошибке одного остальные всё равно пробуются; неудачи пишутся в **`LOG_FILE`**). Пустая строка: автоматически собирается цепочка только из реально настроенных каналов (по умолчанию порядок telegram → email; критерии «настроен» — **таблица** в разделе **«Каналы оповещений и пустой NOTIFY_CHAIN»**). Если после сборки цепочки **нет ни одного** канала, скрипт **сразу завершается** с ошибкой: **«Не настроен ни один канал отправки оповещений»** (в том числе режим `--check-config` и `--dry-run`).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — параметры SMTP для канала `email` (отправка через **python3**; см. таблицу «настроен»).
 - `BACKUP_WEBHOOK_URL` — URL для резервной отправки (тело JSON `{"text":"..."}`); только fallback при сбое основных каналов, **не засчитывается** как «настроенный канал» (см. шаг 3).
 - `LOG_FILE` — путь к основному лог-файлу скрипта.
 - `LAST_HEARTBEAT_FILE` — файл с timestamp последнего heartbeat-сообщения.
 - `LAST_REPORT_FILE` — дата последнего ежедневного отчёта в формате `YYYY-MM-DD` (старый формат Unix-времени при первом запуске будет автоматически интерпретирован).
 - `LAST_SSH_CHECK_FILE` — файл с меткой времени последней проверки SSH-событий.
 - `LAST_SUDO_CHECK_FILE` — файл с меткой времени последней проверки sudo-событий.
 - `LAST_SECURITY_EVENTS_FILE` — метка последней проверки «тяжёлых» событий безопасности в журнале.
 - `LAST_LOGIND_CHECK_FILE` — метка последней обработки журнала `systemd-logind` (unix-время); при первом запуске подтягивается около 30 минут истории.
 - `BAN_LIST_FILE` — файл состояния банов (IP, время окончания бана и метаданные).
 - `ENABLE_LOGIND_MONITOR` — `1` включает опрос `journalctl -u systemd-logind`, `0` полностью отключает этот блок.
 - `LOGIND_NOTIFY_NEW` — `1` отправлять Telegram при появлении новой сессии в logind (строки вида *New session … of user …*).
 - `LOGIND_NOTIFY_REMOVED` — `1` отправлять Telegram при завершении сессии (*Removed session …*); по умолчанию `0` (только запись в `LOG_FILE`, чтобы не заспамить канал).
 - `LOGIND_NOTIFY_FAILED` — `1` отправлять Telegram по строкам logind, содержащим *failed* (широкий фильтр; при необходимости отключите).
 - `LOGIND_SKIP_REMOTE` — `1` (по умолчанию): для новой сессии logind, если доступен `loginctl`, не отправляется второе Telegram, если сессия уже учтена в **`monitor_ssh`**: при **`Type=ssh`** или если **`Service`** указывает на **sshd** (часто **`Type=tty` + `Service=sshd`**); при пустом ответе `loginctl` делаются короткие повторы. Поставьте `0`, если нужны отдельные алерты logind и для SSH-сессий.
 - `DAILY_REPORT_HOUR` — час (0..23), после наступления которого в **текущих календарных сутках** (в выбранной ниже зоне) отправляется не более одного ежедневного отчёта.
 - `DAILY_REPORT_TZ` — необязательная **IANA**-зона (`Europe/Moscow`, `Asia/Yekaterinburg`, …). Если **пусто**, для отчёта используется та же зона, что и у команды `date` у процесса монитора (как правило, совпадает с `timedatectl` / `/etc/localtime` на сервере). Если сервис запускается с `TZ=UTC` в unit-файле, без `DAILY_REPORT_TZ` отчёт ориентируется на **UTC** — тогда задайте явную зону в конфиге.
 - `NOTIFY_TZ` — **IANA**-зона для строк **«🕐 Время»** в Telegram/email (и аналогичных текстах). **Пусто** — используется **`DAILY_REPORT_TZ`**, если она задана, иначе зона процесса. Частая причина «время в теле сообщения UTC, а в заголовке чата локальное»: в **`ssh-monitor.service`** задано **`Environment=TZ=UTC`** — тогда задайте **`NOTIFY_TZ`** (или **`DAILY_REPORT_TZ`**) на вашу локаль, например `Asia/Vladivostok`.
 - `SERVER_DISPLAY_NAME` — подпись в строке **«🖥️ Сервер»** во всех уведомлениях. **Пусто** — `hostname` и при возможности основной IPv4 (`hostname (10.x.x.x)`). Задайте явное имя, если несколько хостов с одинаковым hostname шлют в один чат. Подробнее: [docs/notifications.ru.md](docs/notifications.ru.md).
 - `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — не чаще одного Telegram по **успешному SSH (`Accepted`)** на одну пару **пользователь + IP** за указанное число **секунд** (по умолчанию **5**). Снимает дубли, когда в journal две строки с **разными портами клиента** за один вход. **`0`** — отключить этот антидубль (останется только дедупликация внутри одного прохода `monitor_ssh` по `user|ip|port`).
 - `DAILY_REPORT_TOP_IPS` — сколько IP показывать в топе неудачных попыток за 24 часа.
 - `BRUTE_WINDOW_SEC` — окно (секунды) для оценки «массового» брутфорса по `journalctl`.
 - `BRUTE_MIN_FAILS` — минимум неудачных попыток за окно для тревоги.
 - `BRUTE_NOTIFY_COOLDOWN_SEC` — пауза между повторными уведомлениями по одному и тому же IP.
 - `PROMETHEUS_TEXTFILE_DIR` — если задан существующий каталог, на каждой итерации пишется `ssh_monitor.prom` с метрикой `ssh_monitor_last_loop_unixtime`.
 - `HEALTHCHECK_STATUS_FILE` — если задан, на каждой итерации обновляется JSON `{ "ts", "hostname", "dry_run" }`.
- `BAN_TIME` — длительность бана IP в секундах.
+- `ENABLE_IP_BAN` — включить автобан IP (`1`) или работать только как монитор с уведомлениями (`0`; **ipset** не требуется).
 - `BAN_TIME` — длительность бана IP в секундах (используется при `ENABLE_IP_BAN=1`).
 - `MAX_ATTEMPTS` — число неудачных SSH-попыток до автоматического бана.
 - `BAN_CHECK_INTERVAL` — интервал проверки просроченных банов и аудита согласованности бан-листа с firewall (секунды).
 - `MONITOR_INTERVAL` — пауза между итерациями основного цикла мониторинга (секунды).
@@ -60,6 +90,43 @@ Bash-скрипт мониторинга SSH/SUDO с уведомлениями
 - `WATCHDOG_SERVICE_NAME` — имя systemd-сервиса, который контролирует watchdog (по умолчанию `ssh-monitor.service`).
 - `WATCHDOG_NOTIFY_ON_RECOVERY` — `1` включает служебные сообщения watchdog при штатном состоянии, `0` отключает.
 ### Каналы оповещений и пустой NOTIFY_CHAIN
 Кратко, что считается **настроенным** каналом (только такие попадают в автоматическую цепочку при **`NOTIFY_ORDER=""`**):
 | Канал | Условие «настроен» |
 |--------|-------------------|
 | `telegram` | заданы **`TELEGRAM_BOT_TOKEN`** и **`TELEGRAM_CHAT_ID`** |
 | `email` | непустые **`MAIL_SMTP_HOST`**, **`MAIL_FROM`**, **`MAIL_TO`**, в PATH есть **`python3`** |
 Если итоговый **`NOTIFY_CHAIN` пуст**, скрипт завершается с сообщением **`Не настроен ни один канал отправки оповещений`** (см. шаг 3 в разделе «Конфигурация» выше).
 ### Мониторинг systemd-logind
 - Собираются сообщения юнита **`systemd-logind`** через **`journalctl`** (`-o cat`): новые и завершённые сессии, а также строки с подстрокой *failed* (если включено).
 - Без **`journalctl`** на хосте этот блок **не работает** (как и часть других функций, завязанных на journal).
 - Для разбора «новой сессии» используются типичные англоязычные форматы (`New session … of user …`). При несовпадении формата строка всё равно попадёт в лог с пометкой о неудачном разборе.
 - **`loginctl`** нужен для **`LOGIND_SKIP_REMOTE`**: по `Type` и **`Service`** решается, не дублировать ли Telegram с **`monitor_ssh`** (см. описание `LOGIND_SKIP_REMOTE` выше).
 - **`monitor_ssh`**: события **sshd** читаются из journal преимущественно как **`journalctl _COMM=sshd`** (запасные варианты — юниты `sshd` / `ssh`), строки **`sort -u`**, для **`Accepted`** в одном проходе — дедуп по **пользователь|IP|порт**; между проходами цикла — пауза **`SSH_ACCEPT_NOTIFY_DEDUP_SEC`** для той же пары **пользователь|IP** (см. переменную в конфиге).
 Команда **`ssh-monitor --check-config`** выводит актуальные значения, в том числе параметры logind.
 Ограничения на хостах **без journald** и нюансы **`/var/log/auth.log`**: см. раздел 4 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 ### Идентификация сервера в уведомлениях
 Во **всех** оповещениях (SSH, sudo, бан IP, logind, heartbeat, ежедневный отчёт и т.д.) после заголовка автоматически добавляется строка **«🖥️ Сервер: …»** — формат `hostname (IPv4)` или только `hostname`, если IPv4 определить не удалось. Логика в `notify_send()`; дублирование в тексте сообщения не требуется.
 - Утилиты **`hostname`** и **`ip`** (см. [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md)).
 - Опционально **`SERVER_DISPLAY_NAME`** в конфиге — фиксированная подпись вместо hostname (удобно при нескольких серверах в одном Telegram-чате).
 - Типы сообщений и примеры: [docs/notifications.ru.md](docs/notifications.ru.md).
 ### Автообновление скрипта
 Скрипт **`update_ssh_monitor.sh`** по расписанию (cron или systemd timer) выполняет `git pull` / `clone`, сравнивает SHA256 с `/usr/local/bin/ssh-monitor`, **всегда** подтягивает **`/usr/local/bin/sac-client.sh`** и при изменении любого из файлов перезапускает **`ssh-monitor.service`**. Конфиг **`/etc/ssh-monitor.conf`** не трогается.
 Пошаговая настройка: [docs/auto-update.ru.md](docs/auto-update.ru.md).
 ## Режимы запуска
 Обычный запуск (root):
@@ -86,14 +153,36 @@ sudo bash ./ssh-monitor --dry-run
 bash -n ./ssh-monitor
 ```
-## Автозапуск через systemd
+## Релизный архив
 Версия задаётся в скрипте переменной **`SSH_MONITOR_VERSION`** (на момент последнего обновления документации — **1.2.2-SAC**; актуальное значение смотрите в файле **`ssh-monitor`**). Сборка tarball из текущего git-дерева:
 ```bash
 make dist
 ```
 Появится файл `ssh-monitor-<версия>.tar.gz` (через `git archive`). Готовые архивы для установки без клона репозитория прикладываются к [релизам на GitHub](https://github.com/PTah/ssh-monitor/releases).
 ## Установка скрипта, конфигурации и systemd
 ### Автоматическая установка (рекомендуется)
 ```bash
 sudo ./first_deploy.sh
 # или: sudo ./update_ssh_monitor.sh --deploy
 ```
 См. [docs/auto-update.ru.md](docs/auto-update.ru.md) — клон из git, копирование в `/usr/local/bin/`, `sac-client.sh`, пример `/etc/ssh-monitor.conf`, unit systemd.
 ### Ручная установка
 1. Скопируйте скрипт в постоянное место:
   - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
-2. Убедитесь, что конфиг есть:
+   - `sudo install -m 644 ./sac-client.sh /usr/local/bin/sac-client.sh`
-   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf` (если еще не создан)
+2. Убедитесь, что конфиг создан (см. раздел **«Конфигурация»** выше):
   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
   - `sudo chmod 600 /etc/ssh-monitor.conf`
-3. Создайте unit-файл `/etc/systemd/system/ssh-monitor.service`:
+3. Создайте unit-файл `/etc/systemd/system/ssh-monitor.service` (или `sudo cp ssh-monitor.service.example ...`):
 ```ini
 [Unit]
@@ -129,40 +218,16 @@ sudo journalctl -u ssh-monitor -f
 ## Ротация логов
-Пример для `logrotate` лежит в репозитории: `contrib/logrotate.d/ssh-monitor`. Скопируйте файл в `/etc/logrotate.d/` и при необходимости поправьте пути под ваши `LOG_FILE` / `WATCHDOG_LOG_FILE`.
+Пример для `logrotate` лежит в репозитории: `contrib/logrotate.d/ssh-monitor`. Скопируйте файл в `/etc/logrotate.d/` и при необходимости поправьте пути под ваши `LOG_FILE` / `WATCHDOG_LOG_FILE` и другие файлы состояния в `/var/log/` (в т.ч. `LAST_*`, если решите их ротировать отдельно).
 ## Статистика без systemd (`journalctl`)
 Для корректного подсчёта событий за последние 24 часа по файлам `/var/log/auth.log*` рекомендуется наличие **Python 3** на сервере. При его отсутствии счётчики в ежедневном отчёте для «классического» syslog могут быть занижены (используется безопасный fallback).
 ## Watchdog (автоматическое восстановление)
-Watchdog проверяет:
+Watchdog проверяет активность `ssh-monitor.service` и актуальность heartbeat (`LAST_HEARTBEAT_FILE`). При сбое выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
- активен ли `ssh-monitor.service`;
+Пошаговая установка скрипта **ssh-monitor-watchdog** и **timer** в **systemd**: раздел 6 в [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 - не устарел ли heartbeat (`LAST_HEARTBEAT_FILE`).
-Если сервис неактивен или heartbeat старше `WATCHDOG_MAX_HEARTBEAT_AGE`, watchdog выполняет `systemctl restart` и отправляет уведомление (Telegram и при сбое — `BACKUP_WEBHOOK_URL`, если задан).
+**Ключевые темы (для поиска):** мониторинг **SSH** и **sshd**, **bash**-скрипт для **Linux**-сервера, уведомления в **Telegram** и по **SMTP** / электронной почте, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, автоматический **бан IP** и **whitelist**, **systemd** unit, **ежедневный отчёт**, **heartbeat**, **OpenSSH**, безопасность сервера, **Prometheus** textfile, опционально **watchdog** для сервиса.
-### Установка watchdog
+## Лицензия
-1. Установите watchdog-скрипт:
+Проект распространяется по лицензии **MIT** — см. файл [LICENSE](LICENSE).
   - `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
 2. Создайте unit и timer из примеров:
   - `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`
   - `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
 3. Примените и запустите timer:
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable ssh-monitor-watchdog.timer
 sudo systemctl start ssh-monitor-watchdog.timer
 ```
 4. Проверка:
 ```bash
 sudo systemctl status ssh-monitor-watchdog.timer
 sudo systemctl list-timers | grep ssh-monitor-watchdog
 sudo journalctl -u ssh-monitor-watchdog.service -f
 ```
@@ -0,0 +1,172 @@
 # Автообновление ssh-monitor
 Скрипт **`update_ssh_monitor.sh`** в корне репозитория обновляет установленный **`/usr/local/bin/ssh-monitor`** из git-репозитория и перезапускает systemd-сервис. Конфиг **`/etc/ssh-monitor.conf`**, watchdog и таймеры **не изменяются**.
 Установка самого монитора и unit-файлов: [README.md](../README.md), зависимости: [install-prerequisites.ru.md](install-prerequisites.ru.md).
 ## Что делает скрипт
 1. Создаёт рабочий каталог **`UPDATE_DIR`** (по умолчанию `/opt/scripts/update`).
 2. Проверяет наличие **`ipset`**; при отсутствии пытается установить через пакетный менеджер (apt, yum, dnf, pacman, zypper). Без ipset скрипт завершается с ошибкой — новая версия монитора с **`ENABLE_IP_BAN=1`** требует ipset.
 3. В **`UPDATE_DIR`** выполняет **`git clone`** или **`git pull origin main`** репозитория.
 4. Ищет файл **`ssh-monitor`** в клоне:
   - `$UPDATE_DIR/ssh-monitor/src/branch/main/ssh-monitor` (структура GitLab);
   - `$UPDATE_DIR/ssh-monitor/ssh-monitor` (плоский репозиторий, как в этом проекте).
 5. Сравнивает **SHA256** удалённого файла с **`LOCAL_SCRIPT_PATH`** (по умолчанию `/usr/local/bin/ssh-monitor`).
 6. **Всегда** (независимо от шага 5) синхронизирует **`sac-client.sh`** в каталог рядом с монитором (по умолчанию **`/usr/local/bin/sac-client.sh`**) — нужен для **`UseSAC`** и **`--check-sac`**.
 7. При отличии checksum **`ssh-monitor`** и/или **`sac-client.sh`**:
   - резервная копия `ssh-monitor.backup.YYYYMMDD_HHMMSS` (только для основного скрипта);
   - `cp` + `chmod +x` для `ssh-monitor`, `chmod 644` для `sac-client.sh`;
   - **`systemctl restart ssh-monitor.service`** (если есть systemctl).
 8. Пишет лог в **`LOG_FILE`** (по умолчанию `/var/log/update_script.log`).
 ```mermaid
 flowchart LR
  A[cron/timer] --> B[update_ssh_monitor.sh]
  B --> C[git pull/clone]
  C --> D[sync sac-client.sh]
  C --> E{SHA256 ssh-monitor?}
  D --> F{что-то обновилось?}
  E -->|да| G[backup + cp ssh-monitor]
  E -->|нет| F
  G --> F
  F -->|да| H[restart ssh-monitor.service]
  F -->|нет| I[без изменений]
 ```
 ## Настройка перед первым запуском
 Отредактируйте переменные в начале **`update_ssh_monitor.sh`**:
 | Переменная | По умолчанию | Назначение |
 |------------|--------------|------------|
 | `UPDATE_DIR` | `/opt/scripts/update` | Каталог для git-клона |
 | `REPO_URL` | `https://git.kalinamall.ru/PapaTramp/ssh-monitor.git` | URL закрытого репозитория (на GitHub в репо — placeholder) |
 | `LOCAL_SCRIPT_PATH` | `/usr/local/bin/ssh-monitor` | Куда копировать бинарник |
 | `LOG_FILE` | `/var/log/update_script.log` | Лог обновлений |
 | `DEBUG` | `0` | `1` — подробный DEBUG в лог |
 Требования на сервере:
 - **root** (или sudo) для `cp`, `systemctl`, установки ipset;
 - **git** и сетевой доступ к репозиторию (SSH-ключ или HTTPS);
 - ветка в скрипте жёстко **`main`** — при другой ветке измените `git pull` в файле.
 ## Первичная установка (--deploy)
 Один сценарий для нового сервера (клон git, `ssh-monitor`, `sac-client.sh`, пример конфига, systemd unit):
 ```bash
 cd /path/to/ssh-monitor   # или curl/clone репозитория
 sudo ./first_deploy.sh
 # то же самое:
 sudo ./update_ssh_monitor.sh --deploy
 ```
 Скрипт выводит в консоль, **куда что скопировано**, и список переменных для **`/etc/ssh-monitor.conf`**. Существующий конфиг **не перезаписывается**.
 После установки отредактируйте конфиг и проверьте:
 ```bash
 sudo nano /etc/ssh-monitor.conf
 sudo /usr/local/bin/ssh-monitor --check-config
 sudo /usr/local/bin/ssh-monitor --check-sac
 sudo systemctl restart ssh-monitor.service
 ```
 ## Установка updater (для последующих обновлений)
 ```bash
 sudo mkdir -p /opt/scripts
 sudo cp update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
 sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
 ```
 Проверка вручную:
 ```bash
 sudo /opt/scripts/update_ssh_monitor.sh
 sudo tail -20 /var/log/update_script.log
 sudo systemctl status ssh-monitor
 ```
 ## Запуск по расписанию
 ### Cron (пример: каждый день в 04:00)
 ```bash
 sudo crontab -e
 ```
 Добавьте:
 ```
 0 4 * * * /opt/scripts/update_ssh_monitor.sh
 ```
 ### systemd timer (альтернатива)
 Создайте `/etc/systemd/system/ssh-monitor-update.service`:
 ```ini
 [Unit]
 Description=Update ssh-monitor from git
 [Service]
 Type=oneshot
 ExecStart=/opt/scripts/update_ssh_monitor.sh
 ```
 И `/etc/systemd/system/ssh-monitor-update.timer`:
 ```ini
 [Unit]
 Description=Daily ssh-monitor update
 [Timer]
 OnCalendar=*-*-* 04:00:00
 Persistent=true
 [Install]
 WantedBy=timers.target
 ```
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable --now ssh-monitor-update.timer
 ```
 ## Откат после неудачного обновления
 Резервные копии лежат рядом с установленным скриптом:
 ```bash
 ls -la /usr/local/bin/ssh-monitor.backup.*
 sudo cp /usr/local/bin/ssh-monitor.backup.YYYYMMDD_HHMMSS /usr/local/bin/ssh-monitor
 sudo systemctl restart ssh-monitor.service
 ```
 ## Лог и диагностика «мгновенного» завершения
 Все шаги пишутся в **`/var/log/update_script.log`**. При обычном запуске те же строки дублируются в stdout (кроме **`--quiet`**).
 В конце каждого прогона — блок **«Итог обновления»**: статус `ssh-monitor` / `sac-client` / git / перезапуск и **причина**, если файлы не копировались (checksum совпал, git pull failed, скрипт не найден в клоне).
 ```bash
 sudo /opt/scripts/update_ssh_monitor.sh
 sudo tail -40 /var/log/update_script.log
 ```
 **Важно:** после `git pull` в клоне скрипт **сам обновляет** `/opt/scripts/update_ssh_monitor.sh` из репозитория и один раз перезапускает себя (если вызывали именно этот путь). Если в логе старые строки вроде `Checksums match` без блока «Итог обновления» — на сервере ещё старая копия updater; один раз:
 ```bash
 sudo cp /opt/scripts/update/ssh-monitor/update_ssh_monitor.sh /opt/scripts/update_ssh_monitor.sh
 sudo chmod 750 /opt/scripts/update_ssh_monitor.sh
 sudo /opt/scripts/update_ssh_monitor.sh
 ```
 ## Ограничения
 - Обновляется **только** файл **`ssh-monitor`**, не конфиг и не watchdog.
 - При недоступном git **`git pull`** пишет предупреждение и продолжает с локальной копией.
 - На **git.kalinamall.ru** в `update_ssh_monitor.sh` уже задан внутренний **`REPO_URL`**; на GitHub остаётся placeholder для форка.
@@ -0,0 +1,152 @@
 # Системные зависимости и установка окружения
 Этот документ описывает, **какой софт** на сервере нужен для работы **ssh-monitor**, и **как его поставить** типовыми пакетами. Саму установку скрипта, конфигов и **systemd** смотрите в корневом [README.md](../README.md).
 ## 1. Что должно быть на хосте
 ### Обязательно
 | Назначение | Что используется | Примечание |
 |------------|------------------|------------|
 | Интерпретатор | **Bash** (версия с `declare -A`) | Обычно уже есть (`/bin/bash`). |
 | Запуск брандмауэра | **iptables**; для IPv6 — **ip6tables** (если баните IPv6) | Скрипт добавляет правила `DROP` для заблокированных IP. Нужен **root** (скрипт не стартует без root, кроме `--dry-run` / проверок). |
 | Telegram | **curl** | Запросы к `api.telegram.org`. |
 | Почта (канал `email`) | **Python 3** | SMTP через стандартную библиотеку. |
 | Резервный webhook | **Python 3** + **curl** | Сборка JSON и `POST`. |
 Без **хотя бы одного** настроенного канала (`telegram` или `email`) скрипт завершится с ошибкой — это не зависимости ОС, а настройка в `/etc/ssh-monitor.conf`.
 ### Настоятельно рекомендуется (полный функционал)
 | Назначение | Что используется |
 |------------|------------------|
 | Журнал SSH/sudo/брутфорс, logind | **systemd** + **`journalctl`** |
 | Дедупликация уведомлений logind для SSH | **`loginctl`** (часть **systemd**) |
 | Удобный просмотр логов сервиса | **`journalctl`** |
 На минималистичных системах без **journald** часть функций не работает или упрощается; отчёт за сутки по SSH может опираться на **`/var/log/auth.log`** (см. ниже).
 ### Утилиты из «базовой» системы
 Обычно уже установлены: `grep`, `sed`, `awk`, `sort`, `date`, `who`, `mktemp`, `sudo` (если запускаете не напрямую от root), `wc`, `hostname`, `ip` (для подписи сервера в уведомлениях). Для дедупликации sudo в журнале желательны **`sha256sum`** или **`cksum`**.
 ---
 ## 2. Пошаговая установка пакетов (Debian / Ubuntu)
 Выполняйте от пользователя с `sudo`.
 **Шаг 1.** Обновить индексы пакетов:
 ```bash
 sudo apt update
 ```
 **Шаг 2.** Минимум для Telegram и бана по firewall:
 ```bash
 sudo apt install -y iptables curl
 ```
 При необходимости IPv6 (если на сервере используется `ip6tables`):
 ```bash
 sudo apt install -y ip6tables
 ```
 (На многих образах **ip6tables** уже входит в метапакет с iptables.)
 **Шаг 3.** Если включите доставку почты (`MAIL_*` в конфиге) или **BACKUP_WEBHOOK_URL** (через Python):
 ```bash
 sudo apt install -y python3
 ```
 **Шаг 4.** Типовой сервер с **systemd** уже содержит `journalctl` и `loginctl`. Если ставите минимальный контейнер без них — для полного мониторинга нужен стек с **systemd** и **journald** (или см. раздел про ограничения без journald).
 **Шаг 5.** (Опционально) Сохранение правил **iptables** после перезагрузки — отдельно от ssh-monitor, например:
 ```bash
 sudo apt install -y iptables-persistent netfilter-persistent
 ```
 Скрипт при наличии каталога **`/etc/iptables`** может записывать туда `rules.v4` / `rules.v6` (см. код `save_iptables_rules`). Имеет смысл создать каталог и настроить автозагрузку правил по документации вашего дистрибутива.
 ---
 ## 3. Другие дистрибутивы
 Принцип тот же: пакеты **bash**, **iptables** (+ **ip6tables**), **curl**, **python3**; для полного функционала — **systemd** с **journald**.
 Примеры:
 - **RHEL / Alma / Rocky:** `dnf install iptables curl python3 systemd` (имена метапакетов могут отличаться).
 - **Alpine:** `apk add bash iptables ip6tables curl python3` — отдельно проверьте наличие **systemd** / **journalctl** (на Alpine часто нет; мониторинг по journal будет недоступен).
 ---
 ## 4. Системы без `journalctl` (классический syslog)
 - События **SSH** могут читаться из **`/var/log/auth.log`** (если скрипт не находит `journalctl`).
 - **Ежедневная статистика** по этим файлам для отчёта **точнее с Python 3** (разбор логов в скрипте). Без Python отчёт может использовать упрощённый fallback.
 - Блоки, завязанные на **`journalctl`** (**sudo** по журналу, **systemd-logind**, часть **security/brute**), на таком хосте **не дадут полного результата**.
 ---
 ## 5. Конфликты с UFW / другими обёртками firewall
 Скрипт вставляет правила **iptables** самостоятельно. Если используете **UFW**, **firewalld** или только **nftables** без совместимости с iptables-nft, возможны конфликты или неожиданный порядок правил. После внедрения проверьте:
 ```bash
 sudo iptables -L INPUT -n -v --line-numbers
 ```
 При необходимости согласуйте порядок с вашей схемой управления firewall.
 ---
 ## 6. Опционально: watchdog
 Скрипт **`ssh-monitor-watchdog`** проверяет сервис `ssh-monitor.service` и актуальность heartbeat; при сбое выполняет `systemctl restart`.
 **Установка:**
 1. Скопируйте скрипт:  
   `sudo install -m 750 ./ssh-monitor-watchdog /usr/local/bin/ssh-monitor-watchdog`
 2. Установите unit и timer:  
   `sudo cp ./ssh-monitor-watchdog.service.example /etc/systemd/system/ssh-monitor-watchdog.service`  
   `sudo cp ./ssh-monitor-watchdog.timer.example /etc/systemd/system/ssh-monitor-watchdog.timer`
 3. Включите timer:
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable ssh-monitor-watchdog.timer
 sudo systemctl start ssh-monitor-watchdog.timer
 ```
 4. Проверка:
 ```bash
 sudo systemctl status ssh-monitor-watchdog.timer
 sudo systemctl list-timers | grep ssh-monitor-watchdog
 sudo journalctl -u ssh-monitor-watchdog.service -f
 ```
 Параметры watchdog задаются в **`/etc/ssh-monitor.conf`** (переменные `WATCHDOG_*` в примере конфига).
 ---
 ## 7. Краткий чек-лист перед первым запуском
 - [ ] Установлены **iptables** (и при необходимости **ip6tables**).
 - [ ] Для Telegram установлен **curl**; для почты / webhook — **python3**.
 - [ ] Настроен **`/etc/ssh-monitor.conf`** (минимум один канал уведомлений).
 - [ ] Понятен порядок правил firewall на хосте (UFW и т.д.).
 - [ ] (По желанию) настроено сохранение правил после перезагрузки.
 Далее: установка самого **`ssh-monitor`**, unit **systemd** и проверка — в [README.md](../README.md).
 Дополнительно:
 - [notifications.ru.md](notifications.ru.md) — подпись **«🖥️ Сервер»** в уведомлениях, типы алертов, часовые пояса.
 - [auto-update.ru.md](auto-update.ru.md) — автообновление скрипта через **`update_ssh_monitor.sh`**.
@@ -0,0 +1,98 @@
 # Уведомления ssh-monitor
 Документ описывает, **какие сообщения** отправляет монитор, **какие поля** в них есть и как настроить **подпись сервера** и **часовой пояс**.
 См. также: [README.md](../README.md), пример конфига [ssh-monitor.conf.example](../ssh-monitor.conf.example).
 ## Подпись сервера (🖥️ Сервер)
 Начиная с версии **1.1.3-server-label**, каждое уведомление, проходящее через **`notify_send()`**, получает строку **«🖥️ Сервер: …»** сразу **после первой строки** (заголовка алерта).
 Формат значения:
 | Условие | Пример |
 |---------|--------|
 | `SERVER_DISPLAY_NAME` пусто, IPv4 найден | `web01 (10.1.20.5)` |
 | `SERVER_DISPLAY_NAME` пусто, IPv4 нет | `web01` |
 | Задан `SERVER_DISPLAY_NAME="prod-db-01"` | `prod-db-01 (10.1.20.5)` |
 IPv4 определяется через `ip -4 route get` (исходящий адрес) или `hostname -I`. Нужны утилиты **`hostname`** и **`ip`** — см. [install-prerequisites.ru.md](install-prerequisites.ru.md).
 Если в тексте сообщения уже есть подстрока **`🖥️ Сервер:`**, вторая строка **не добавляется** (защита от дубля при ручной вставке).
 ### Пример: успешный SSH
 ```
 ✅ УСПЕШНОЕ SSH ПОДКЛЮЧЕНИЕ
 🖥️ Сервер: myhost (10.1.20.5)
 👤 Пользователь: alice
 🌐 IP адрес: 10.1.20.1
 🕐 Время: 25.05.2026 09:08:22
 ```
 ### Пример: sudo
 ```
 ⚠️ ИСПОЛЬЗОВАНИЕ SUDO
 🖥️ Сервер: myhost (10.1.20.5)
 👤 Пользователь: alice
 🔑 От имени USER: root
 💻 Команда: /bin/bash
 📁 Директория: /home/alice
 🕐 Время: 24.05.2026 16:54:49
 ```
 ## Настройка в `/etc/ssh-monitor.conf`
 ```bash
 # Пусто = hostname (+ IPv4 при возможности)
 SERVER_DISPLAY_NAME=""
 # Или фиксированное имя для этого хоста в общем чате:
 # SERVER_DISPLAY_NAME="dc1-app-03"
 ```
 Проверка эффективной подписи:
 ```bash
 sudo ssh-monitor --check-config
 ```
 В выводе будет строка `SERVER_DISPLAY_NAME=... (эффективно: ...)`.
 ## Типы уведомлений
 | Событие | Заголовок (первая строка) | Доп. поля |
 |---------|----------------------------|-----------|
 | Успешный SSH | ✅ УСПЕШНОЕ SSH ПОДКЛЮЧЕНИЕ | пользователь, IP клиента, время |
 | SSH под root | 🔑 SSH ВХОД ПОД ROOT | IP, время |
 | Неудачная попытка SSH | ❌ НЕУДАЧНАЯ ПОПЫТКА SSH | пользователь, IP, счётчик попыток, время |
 | Sudo | ⚠️ ИСПОЛЬЗОВАНИЕ SUDO | пользователь, USER=, команда, PWD, время |
 | Бан IP | 🚫 IP ЗАБЛОКИРОВАН АВТОМАТИЧЕСКИ | IP, попытки, длительность, время |
 | Порог без бана | ⚠️ ЛИМИТ НЕУДАЧНЫХ SSH (автобан отключён…) | IP, попытки, время |
 | Брутфорс | 🧨 ВОЗМОЖНЫЙ МАССОВЫЙ БРУТФОРС SSH | IP, счётчик за окно, время |
 | Host key / MITM | 🔐 ВНИМАНИЕ: изменение SSH host key… | фрагмент журнала, время |
 | logind: новая сессия | 🖥️ НОВАЯ СЕССИЯ (systemd-logind) | пользователь, ID сессии, время |
 | logind: сбой | ❌ СБОЙ (systemd-logind) | строка журнала, время |
 | Ежедневный отчёт | 📊 ЕЖЕДНЕВНЫЙ ОТЧЕТ SSH МОНИТОРИНГА | статистика 24 ч, баны, топ IP, сессии |
 | Heartbeat | ❤️ Heartbeat - скрипт мониторинга работает | время |
 | Старт / стоп | ✅ СКРИПТ МОНИТОРИНГА ЗАПУЩЕН / ⚠️ ОСТАНОВЛЕН | версия, каналы, время |
 Во всех перечисленных случаях **🖥️ Сервер** добавляется автоматически (кроме сообщений, где вы сами вставили эту строку).
 ## Время в сообщениях (🕐)
 Строки **«🕐 Время»** формируются функцией **`notification_date()`**:
 1. Если задан **`NOTIFY_TZ`** (IANA, например `Europe/Moscow`) — используется он.
 2. Иначе, если задан **`DAILY_REPORT_TZ`** — он.
 3. Иначе — зона процесса (`date` у systemd-сервиса; часто UTC, если в unit указано `Environment=TZ=UTC`).
 Ежедневный отчёт по календарю и часу **`DAILY_REPORT_HOUR`** использует **`DAILY_REPORT_TZ`** (или зону процесса) — см. README.
 ## Каналы доставки
 - **`NOTIFY_CHAIN`**: `telegram`, `email` — при каждом событии попытка **во все** каналы списка.
 - **`BACKUP_WEBHOOK_URL`**: только если **все** каналы цепочки не доставили сообщение.
 Режим **`--dry-run`**: уведомления не отправляются; в stderr печатается текст **уже с подписью сервера**.
@@ -0,0 +1,5 @@
 #!/bin/bash
 # Первичная установка ssh-monitor — обёртка над update_ssh_monitor.sh --deploy
 set -euo pipefail
 SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
 exec "$SCRIPT_DIR/update_ssh_monitor.sh" --deploy "$@"
@@ -0,0 +1,219 @@
 # ssh-monitor
 Bash script that monitors **SSH**, **SUDO**, and **`systemd-logind`** events (local/graphical sessions, etc.), sends alerts via **Telegram** and **SMTP email**, optional backup webhook, automatic IP blocking (**ipset** + **iptables** / **ip6tables**: `hash:ip` sets with timeout, single `-m set` rule; details in **`IPSET-NOTES.txt`**), and a daily report.
 ## Repository contents
 | File | Purpose |
 |------|---------|
 | **`ssh-monitor`** | Main loop: parses logs (**journalctl**: sshd, sudo, security events, **systemd-logind**), notification chain (Telegram, SMTP via **python3**, backup webhook); with **`ENABLE_IP_BAN=1`** tracks failed attempts, bans via **ipset**, reconciles with **iptables**/**ip6tables**, daily report, heartbeat, optional **Prometheus** textfile and JSON health. Modes: **`--check-config`**, **`--dry-run`**. |
 | **`ssh-monitor-watchdog`** | Standalone script (usually via **systemd timer**): checks that the monitor service is active and the heartbeat file is fresh; on failure runs **`systemctl restart`** and sends Telegram or **`BACKUP_WEBHOOK_URL`**. Reads the same `TELEGRAM_*` / webhook from `/etc/ssh-monitor.conf`. |
 | **`update_ssh_monitor.sh`** | Optional auto-update: `git pull` / `clone`, SHA256 compare with `/usr/local/bin/ssh-monitor`, restart `ssh-monitor.service`. See [docs/auto-update.ru.md](docs/auto-update.ru.md) (Russian). |
 **System packages and dependencies** (install on the server before running): step-by-step in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md) (Russian).
 ## Configuration
 The script reads `/etc/ssh-monitor.conf` in `KEY="value"` format.
 1. Copy the example:
   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
 2. Restrict permissions:
   - `sudo chmod 600 /etc/ssh-monitor.conf`
 3. Fill in at least **one notification channel** (otherwise the script exits immediately; see **«Mandatory requirement»** below and **«Notification channels and empty NOTIFY_CHAIN»**):
   - for **Telegram**: `TELEGRAM_BOT_TOKEN` and `TELEGRAM_CHAT_ID`;
   - or configure **SMTP** using the variables below with `NOTIFY_ORDER=""` (auto-selected channels).
 **Mandatory requirement:** after loading the config, **`NOTIFY_CHAIN`** must contain **at least one** channel (`telegram` or `email`). If there are **none** (empty `NOTIFY_ORDER` and neither Telegram nor SMTP qualify as “configured”, or `NOTIFY_ORDER` contains only unknown names), the script **does not** enter the main loop and exits with code **1**, stderr: **`Не настроен ни один канал отправки оповещений`**. The same applies to **`--check-config`** and **`--dry-run`**. The backup **`BACKUP_WEBHOOK_URL`** is **not** part of this check — it is used only if **every** channel in **`NOTIFY_CHAIN`** fails to deliver.
 Supported parameters:
 - `TELEGRAM_BOT_TOKEN`, `TELEGRAM_CHAT_ID`
 - `NOTIFY_ORDER` — channel list (`telegram`, `email`, or **tg**, **mail**); for each alert the script **tries all listed** channels in order (not “first success stops”). Empty = only configured channels are chained (default order in `ssh-monitor.conf.example`). If the resulting chain is empty — the script does not start (see **«Notification channels and empty NOTIFY_CHAIN»**).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — mail via **python3** (see channel table below)
 - `BACKUP_WEBHOOK_URL` — fallback JSON `{"text":"..."}` (e.g. Slack Incoming Webhook) if **all** **`NOTIFY_CHAIN`** channels fail; **does not** replace the need for at least one primary channel (see step 3)
 - `LOG_FILE`, `LAST_HEARTBEAT_FILE`, `LAST_REPORT_FILE`, `LAST_SSH_CHECK_FILE`, `LAST_SUDO_CHECK_FILE`, `LAST_SECURITY_EVENTS_FILE`, `LAST_LOGIND_CHECK_FILE`, `BAN_LIST_FILE`
 - `ENABLE_LOGIND_MONITOR`, `LOGIND_NOTIFY_NEW`, `LOGIND_NOTIFY_REMOVED`, `LOGIND_NOTIFY_FAILED`, `LOGIND_SKIP_REMOTE` — see **«systemd-logind monitoring»** below
 - `DAILY_REPORT_HOUR` (0..23), `DAILY_REPORT_TZ` (optional), `NOTIFY_TZ` (optional), `SERVER_DISPLAY_NAME` (optional), `SSH_ACCEPT_NOTIFY_DEDUP_SEC`, `DAILY_REPORT_TOP_IPS`
 - `BRUTE_WINDOW_SEC`, `BRUTE_MIN_FAILS`, `BRUTE_NOTIFY_COOLDOWN_SEC`
 - `PROMETHEUS_TEXTFILE_DIR` — directory for `ssh_monitor.prom` (node_exporter textfile collector)
 - `HEALTHCHECK_STATUS_FILE` — path to JSON with last loop iteration marker
 - `ENABLE_IP_BAN` — `1` (default): monitoring and auto-ban via ipset; `0`: monitoring and alerts only (no ipset/ban)
 - `BAN_TIME`, `MAX_ATTEMPTS`, `BAN_CHECK_INTERVAL`, `MONITOR_INTERVAL`
 - `WHITELIST_IPS`, `WHITELIST_SUBNETS` (CSV, e.g. `ip1,ip2`)
 - `WATCHDOG_MAX_HEARTBEAT_AGE`, `WATCHDOG_LOG_FILE`, `WATCHDOG_SERVICE_NAME`, `WATCHDOG_NOTIFY_ON_RECOVERY`
 If `/etc/ssh-monitor.conf` is missing or some values are empty, script defaults apply.
 ### `/etc/ssh-monitor.conf` variables
 - `TELEGRAM_BOT_TOKEN` — Telegram bot token for alerts.
 - `TELEGRAM_CHAT_ID` — chat/user ID for notifications.
 - `NOTIFY_ORDER` — CSV of channel names (`telegram`, `email`, `tg`, `mail`). For **each** alert, delivery is attempted **to all** listed channels (if one fails, others still run; failures go to **`LOG_FILE`**). Empty string: build chain from configured channels only (default order telegram → email; “configured” criteria — **table** in **«Notification channels and empty NOTIFY_CHAIN»**). If no channels remain, the script exits: **«Не настроен ни один канал отправки оповещений»** (including `--check-config` and `--dry-run`).
 - `MAIL_SMTP_HOST`, `MAIL_SMTP_PORT`, `MAIL_SMTP_USER`, `MAIL_SMTP_PASSWORD`, `MAIL_FROM`, `MAIL_TO`, `MAIL_SMTP_STARTTLS`, `MAIL_SMTP_SSL` — SMTP for `email` channel (**python3**; see “configured” table).
 - `BACKUP_WEBHOOK_URL` — backup POST URL (JSON `{"text":"..."}`); fallback only, **not** counted as a configured channel (see step 3).
 - `LOG_FILE` — main script log path.
 - `LAST_HEARTBEAT_FILE` — file with last heartbeat timestamp.
 - `LAST_REPORT_FILE` — date of last daily report `YYYY-MM-DD` (legacy Unix time on first run is interpreted automatically).
 - `LAST_SSH_CHECK_FILE` — last SSH events check timestamp.
 - `LAST_SUDO_CHECK_FILE` — last sudo events check timestamp.
 - `LAST_SECURITY_EVENTS_FILE` — last “heavy” security journal check.
 - `LAST_LOGIND_CHECK_FILE` — last `systemd-logind` journal processing (Unix time); ~30 minutes of history on first run.
 - `BAN_LIST_FILE` — ban state file (IP, ban end time, metadata).
 - `ENABLE_LOGIND_MONITOR` — `1` enables `journalctl -u systemd-logind`, `0` disables this block.
 - `LOGIND_NOTIFY_NEW` — `1` send Telegram on new logind session (*New session … of user …*).
 - `LOGIND_NOTIFY_REMOVED` — `1` send Telegram on session end (*Removed session …*); default `0` (log only to avoid spam).
 - `LOGIND_NOTIFY_FAILED` — `1` send Telegram on logind lines containing *failed* (broad filter; disable if needed).
 - `LOGIND_SKIP_REMOTE` — `1` (default): for a new logind session, if `loginctl` is available, skip duplicate Telegram when already covered by **`monitor_ssh`**: **`Type=ssh`** or **`Service`** points to **sshd** (often **`Type=tty` + `Service=sshd`**); short retries if `loginctl` returns empty. Set `0` for separate logind alerts for SSH sessions too.
 - `DAILY_REPORT_HOUR` — hour (0..23) after which at most one daily report is sent in the **current calendar day** (in the zone below).
 - `DAILY_REPORT_TZ` — optional **IANA** zone (`Europe/Moscow`, …). If **empty**, report uses the monitor process zone (usually matches `timedatectl` / `/etc/localtime`). If the unit sets `TZ=UTC`, without `DAILY_REPORT_TZ` the report uses **UTC** — set an explicit zone in config.
 - `NOTIFY_TZ` — **IANA** zone for **«🕐 Время»** lines in Telegram/email. **Empty** — use **`DAILY_REPORT_TZ`** if set, else process zone. Common mismatch: **`ssh-monitor.service`** has **`Environment=TZ=UTC`** — set **`NOTIFY_TZ`** or **`DAILY_REPORT_TZ`** to your locale, e.g. `Asia/Vladivostok`.
 - `SERVER_DISPLAY_NAME` — label in **«🖥️ Server»** line on every alert. **Empty** — `hostname` plus primary IPv4 when available. Set a fixed name when many hosts share one Telegram chat. Details: [docs/notifications.ru.md](docs/notifications.ru.md) (Russian).
 - `SSH_ACCEPT_NOTIFY_DEDUP_SEC` — at most one Telegram per successful SSH (**Accepted**) per **user + IP** pair within **N** seconds (default **5**). Removes duplicates when journal has two lines with **different client ports** for one login. **`0`** disables this cross-iteration dedup (in-pass dedup by `user|ip|port` remains).
 - `DAILY_REPORT_TOP_IPS` — how many IPs in the failed-attempts top for 24 hours.
 - `BRUTE_WINDOW_SEC` — window (seconds) for “mass” brute-force evaluation via `journalctl`.
 - `BRUTE_MIN_FAILS` — minimum failures in the window to alert.
 - `BRUTE_NOTIFY_COOLDOWN_SEC` — cooldown between repeat alerts for the same IP.
 - `PROMETHEUS_TEXTFILE_DIR` — if set to an existing directory, writes `ssh_monitor.prom` with `ssh_monitor_last_loop_unixtime` each iteration.
 - `HEALTHCHECK_STATUS_FILE` — if set, updates JSON `{ "ts", "hostname", "dry_run" }` each iteration.
 - `ENABLE_IP_BAN` — enable auto-ban (`1`) or monitor-only with alerts (`0`; **ipset** not required).
 - `BAN_TIME` — ban duration in seconds (`ENABLE_IP_BAN=1`).
 - `MAX_ATTEMPTS` — failed SSH attempts before auto-ban.
 - `BAN_CHECK_INTERVAL` — interval to check expired bans and reconcile ban list with firewall (seconds).
 - `MONITOR_INTERVAL` — pause between main loop iterations (seconds).
 - `WHITELIST_IPS` — comma-separated whitelist (IPv4/IPv6 exact match).
 - `WHITELIST_SUBNETS` — **IPv4-only** CIDR whitelist, comma-separated (e.g. `10.0.0.0/24`).
 - `WATCHDOG_MAX_HEARTBEAT_AGE` — seconds after which heartbeat is stale.
 - `WATCHDOG_LOG_FILE` — watchdog log file.
 - `WATCHDOG_SERVICE_NAME` — systemd service watched by watchdog (default `ssh-monitor.service`).
 - `WATCHDOG_NOTIFY_ON_RECOVERY` — `1` enables watchdog “OK” messages when healthy, `0` disables.
 ### Notification channels and empty NOTIFY_CHAIN
 What counts as a **configured** channel (only these join the auto chain when **`NOTIFY_ORDER=""`**):
 | Channel | “Configured” condition |
 |---------|------------------------|
 | `telegram` | **`TELEGRAM_BOT_TOKEN`** and **`TELEGRAM_CHAT_ID`** set |
 | `email` | non-empty **`MAIL_SMTP_HOST`**, **`MAIL_FROM`**, **`MAIL_TO`**, **`python3`** in PATH |
 If **`NOTIFY_CHAIN` is empty**, the script exits with **`Не настроен ни один канал отправки оповещений`** (see step 3 in **Configuration**).
 ### systemd-logind monitoring
 - Collects **`systemd-logind`** unit messages via **`journalctl`** (`-o cat`): new/ended sessions, and lines containing *failed* (if enabled).
 - Without **`journalctl`**, this block **does not run** (like other journal-based features).
 - “New session” parsing expects typical English formats (`New session … of user …`). On mismatch, the line is still logged with a parse warning.
 - **`loginctl`** is used for **`LOGIND_SKIP_REMOTE`**: **Type** and **Service** decide whether to avoid duplicate Telegram with **`monitor_ssh`** (see `LOGIND_SKIP_REMOTE` above).
 - **`monitor_ssh`**: **sshd** events mostly **`journalctl _COMM=sshd`** (fallback units `sshd` / `ssh`), lines **`sort -u`**, **`Accepted`** dedup per **user|IP|port** within one pass; between passes **`SSH_ACCEPT_NOTIFY_DEDUP_SEC`** for **user|IP** (see config).
 **`ssh-monitor --check-config`** prints current values, including logind settings.
 Hosts **without journald** and **`/var/log/auth.log`** caveats: section 4 in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 ### Server identification in alerts
 **All** notifications sent via **`notify_send()`** get a **«🖥️ Сервер: …»** line (Russian label in messages) right after the title: `hostname (IPv4)` or hostname only. Implemented centrally in **`message_ensure_server_line()`**; no need to add the line in each alert builder.
 - Requires **`hostname`** and **`ip`** (see prerequisites doc).
 - Optional **`SERVER_DISPLAY_NAME`** in config for a fixed label.
 - Message types and examples: [docs/notifications.ru.md](docs/notifications.ru.md) (Russian).
 ### Auto-update
 **`update_ssh_monitor.sh`** can run on a schedule to `git pull`, compare SHA256 with `/usr/local/bin/ssh-monitor`, copy on change, and restart **`ssh-monitor.service`**. Does not modify `/etc/ssh-monitor.conf`.
 Setup guide: [docs/auto-update.ru.md](docs/auto-update.ru.md) (Russian).
 ## Run modes
 Normal run (root):
 ```bash
 sudo bash ./ssh-monitor
 ```
 Check config and syntax **without** starting the loop, **without** changing `iptables`, no mandatory Telegram send:
 ```bash
 sudo bash ./ssh-monitor --check-config
 ```
 **Dry-run** (firewall rules unchanged; notifications go to stderr instead of sending):
 ```bash
 sudo bash ./ssh-monitor --dry-run
 ```
 ## Syntax check
 ```bash
 bash -n ./ssh-monitor
 ```
 ## Release tarball
 Version is set in the script as **`SSH_MONITOR_VERSION`** (as of last doc update — **1.2.2-SAC**; see the **`ssh-monitor`** file for the current value). Build from the git tree:
 ```bash
 make dist
 ```
 Produces `ssh-monitor-<version>.tar.gz` (via `git archive`). Prebuilt archives are attached to [GitHub releases](https://github.com/PTah/ssh-monitor/releases).
 ## Installing the script, config, and systemd
 1. Install the script:
   - `sudo install -m 750 ./ssh-monitor /usr/local/bin/ssh-monitor`
 2. Ensure config exists (see **Configuration**):
   - `sudo cp ./ssh-monitor.conf.example /etc/ssh-monitor.conf`
   - `sudo chmod 600 /etc/ssh-monitor.conf`
 3. Create `/etc/systemd/system/ssh-monitor.service`:
 ```ini
 [Unit]
 Description=SSH Monitor with Telegram alerts
 After=network-online.target
 Wants=network-online.target
 [Service]
 Type=simple
 ExecStart=/usr/local/bin/ssh-monitor
 Restart=always
 RestartSec=5
 User=root
 [Install]
 WantedBy=multi-user.target
 ```
 4. Enable and start:
 ```bash
 sudo systemctl daemon-reload
 sudo systemctl enable ssh-monitor
 sudo systemctl start ssh-monitor
 ```
 5. Status and logs:
 ```bash
 sudo systemctl status ssh-monitor
 sudo journalctl -u ssh-monitor -f
 ```
 ## Log rotation
 Example `logrotate` config: `contrib/logrotate.d/ssh-monitor`. Copy to `/etc/logrotate.d/` and adjust paths for your `LOG_FILE` / `WATCHDOG_LOG_FILE` and state files under `/var/log/` (including `LAST_*` if you rotate them separately).
 ## Watchdog (automatic recovery)
 The watchdog checks `ssh-monitor.service` activity and heartbeat freshness (`LAST_HEARTBEAT_FILE`). On failure it runs `systemctl restart` and sends a notification (Telegram, or `BACKUP_WEBHOOK_URL` if Telegram fails).
 Step-by-step **ssh-monitor-watchdog** and **timer** setup: section 6 in [docs/install-prerequisites.ru.md](docs/install-prerequisites.ru.md).
 **Keywords (search):** SSH, **sshd**, **bash** on **Linux**, **Telegram**, **SMTP**, **systemd-logind**, **sudo**, **journalctl**, **iptables** / **ip6tables**, automatic **IP ban** and **whitelist**, **systemd** unit, **daily report**, **heartbeat**, **OpenSSH**, server security, **Prometheus** textfile, optional **watchdog**.
 ## License
 This project is licensed under the **MIT License** — see [LICENSE](LICENSE).
@@ -0,0 +1,382 @@
 # SAC client for ssh-monitor (source from ssh-monitor)
 # shellcheck shell=bash
 sac_normalize_mode() {
 printf '%s' "${1:-off}" | tr '[:upper:]' '[:lower:]'
 }
 sac_is_configured() {
 [ -n "${SAC_URL:-}" ] && [ -n "${SAC_API_KEY:-}" ]
 }
 sac_base_url() {
 local url="${SAC_URL%/}"
 case "$url" in
 */api/v1/events) url="${url%/api/v1/events}" ;;
 esac
 printf '%s' "${url%/}"
 }
 # URL ingest (POST): всегда .../api/v1/events, даже если в конфиге указан только хост
 sac_ingest_url() {
 local base
 base="$(sac_base_url)"
 [ -n "$base" ] || return 1
 printf '%s/api/v1/events' "$base"
 }
 sac_agent_instance_id() {
 local id_file="${SAC_AGENT_ID_FILE:-/var/lib/ssh-monitor/agent_instance_id}"
 local dir
 dir="$(dirname "$id_file")"
 if [ ! -d "$dir" ]; then
 mkdir -p "$dir" 2>/dev/null || id_file="/tmp/ssh-monitor-agent_instance_id"
 fi
 if [ -f "$id_file" ]; then
 cat "$id_file"
 return 0
 fi
 local new_id
 new_id="$(python3 -c 'import uuid; print(uuid.uuid4())')"
 printf '%s\n' "$new_id" >"$id_file" 2>/dev/null || true
 printf '%s' "$new_id"
 }
 sac_check_health() {
 local base code
 base="$(sac_base_url)"
 [ -n "$base" ] || return 1
 if [ "${DRY_RUN:-0}" = "1" ]; then
 return 0
 fi
 code="$(curl -sS -o /dev/null -w '%{http_code}' \
  --connect-timeout "${SAC_TIMEOUT_SEC:-12}" \
  --max-time "${SAC_TIMEOUT_SEC:-12}" \
  "${base}/health" || echo 000)"
 [ "$code" = "200" ]
 }
 sac_spool_write() {
 local event_id="$1"
 local body="$2"
 local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
 mkdir -p "$dir" 2>/dev/null || return 1
 printf '%s' "$body" >"${dir}/${event_id}.json"
 }
 sac_spool_remove() {
 local event_id="$1"
 local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
 rm -f "${dir}/${event_id}.json"
 }
 sac_fail_count_file() {
 printf '%s' "${SAC_FAIL_COUNT_FILE:-/var/lib/ssh-monitor/sac-fail.count}"
 }
 sac_read_fail_count() {
 local f
 f="$(sac_fail_count_file)"
 if [ -f "$f" ]; then
 cat "$f" 2>/dev/null | tr -dc '0-9'
 else
 printf '0'
 fi
 }
 sac_write_fail_count() {
 local n="$1"
 local f
 f="$(sac_fail_count_file)"
 mkdir -p "$(dirname "$f")" 2>/dev/null || true
 printf '%s' "$n" >"$f"
 }
 sac_reset_fail_count() {
 sac_write_fail_count 0
 }
 sac_increment_fail_count() {
 local n max
 max="${SAC_FALLBACK_FAILURES:-5}"
 n="$(sac_read_fail_count)"
 n=$((n + 1))
 sac_write_fail_count "$n"
 [ "$n" -ge "$max" ]
 }
 # В fallback: после N подряд ошибок POST не дергать SAC, пока /health снова не OK.
 sac_should_attempt_send() {
 local mode
 mode="$(sac_normalize_mode "${UseSAC:-off}")"
 [ "$mode" = "fallback" ] || return 0
 local max n
 max="${SAC_FALLBACK_FAILURES:-5}"
 n="$(sac_read_fail_count)"
 [ "$n" -lt "$max" ] && return 0
 if sac_check_health; then
 sac_reset_fail_count
 write_log "SAC: /health восстановлен, снова отправляем в SAC (fallback)"
 return 0
 fi
 write_log "WARN: SAC fallback: пропуск POST ($n>=$max сбоев подряд), только локальные каналы"
 return 1
 }
 # POST готового JSON (ingest / повтор из spool). Возврат 0 при HTTP 201, 409 или 202 (legacy).
 sac_post_payload() {
 local payload="$1"
 local event_id http_code tmp resp event_type
 if ! sac_is_configured; then
 return 1
 fi
 if [ "${DRY_RUN:-0}" = "1" ]; then
 printf '[DRY-RUN SAC POST] %s\n' "$(printf '%s' "$payload" | head -c 120)" >&2
 return 0
 fi
 if ! sac_should_attempt_send; then
 return 1
 fi
 event_id="$(printf '%s' "$payload" | python3 -c 'import json,sys; print(json.load(sys.stdin)["event_id"])')" || return 1
 event_type="$(printf '%s' "$payload" | python3 -c 'import json,sys; print(json.load(sys.stdin).get("type","?"))')" || event_type="?"
 tmp="$(mktemp)"
 resp="$(mktemp)"
 printf '%s' "$payload" >"$tmp"
 http_code="$(curl -sS -o "$resp" -w '%{http_code}' \
  -X POST "$(sac_ingest_url)" \
  -H "Authorization: Bearer ${SAC_API_KEY}" \
  -H "Content-Type: application/json" \
  -H "Idempotency-Key: ${event_id}" \
  --connect-timeout "${SAC_TIMEOUT_SEC:-12}" \
  --max-time "${SAC_TIMEOUT_SEC:-12}" \
  -d @"$tmp" 2>/dev/null || echo 000)"
 rm -f "$tmp"
 if [ "$http_code" = "201" ] || [ "$http_code" = "409" ] || [ "$http_code" = "202" ]; then
 sac_spool_remove "$event_id" 2>/dev/null || true
 sac_reset_fail_count
 write_log "SAC: принято event_id=$event_id type=$event_type"
 return 0
 fi
 write_log "WARN: SAC POST HTTP $http_code: $(tr '\n' ' ' <"$resp" | head -c 200)"
 sac_spool_write "$event_id" "$payload"
 sac_increment_fail_count || write_log "WARN: SAC fallback: достигнут порог SAC_FALLBACK_FAILURES"
 return 1
 }
 # Повторная отправка файлов из SAC_SPOOL_DIR (до max_files за вызов).
 sac_flush_spool() {
 local mode max_files="${1:-20}"
 mode="$(sac_normalize_mode "${UseSAC:-off}")"
 case "$mode" in
 off) return 0 ;;
 esac
 if ! sac_is_configured; then
 return 0
 fi
 local dir="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
 [ -d "$dir" ] || return 0
 local f count=0
 shopt -s nullglob
 for f in "$dir"/*.json; do
 [ -f "$f" ] || continue
 count=$((count + 1))
 [ "$count" -gt "$max_files" ] && break
 local payload
 payload="$(cat "$f")"
 sac_post_payload "$payload" || true
 done
 shopt -u nullglob
 return 0
 }
 # send_sac_event type severity title summary [details_json]
 sac_send_event() {
 local event_type="$1"
 local severity="$2"
 local title="$3"
 local summary="$4"
 local details_json="${5:-}"
 if ! sac_is_configured; then
 write_log "WARN: SAC не настроен (SAC_URL / SAC_API_KEY)"
 return 1
 fi
 if [ "${DRY_RUN:-0}" = "1" ]; then
 printf '[DRY-RUN SAC] %s | %s | %s\n' "$event_type" "$severity" "$title" >&2
 return 0
 fi
 if ! sac_should_attempt_send; then
 return 1
 fi
 local payload http_code event_id
 payload="$(SAC_EVENT_TYPE="$event_type" \
  SAC_SEVERITY="$severity" \
  SAC_TITLE="$title" \
  SAC_SUMMARY="$summary" \
  SAC_DETAILS_JSON="$details_json" \
  SAC_AGENT_ID="$(sac_agent_instance_id)" \
  SAC_PRODUCT_VERSION="${SSH_MONITOR_VERSION:-unknown}" \
  python3 <<'PY'
 import json, os, socket, uuid
 from datetime import datetime, timezone
 def details():
    raw = os.environ.get("SAC_DETAILS_JSON", "").strip()
    if not raw:
        return None
    return json.loads(raw)
 host = socket.gethostname()
 etype = os.environ["SAC_EVENT_TYPE"]
 if etype.startswith(("ssh.", "auth.", "rdp.")):
    category = "auth"
 elif etype.startswith("privilege."):
    category = "privilege"
 elif etype.startswith("session."):
    category = "session"
 elif etype.startswith("report."):
    category = "report"
 elif etype.startswith("rdg."):
    category = "network"
 else:
    category = "agent"
 payload = {
    "schema_version": "1.0",
    "event_id": str(uuid.uuid4()),
    "occurred_at": datetime.now(timezone.utc).astimezone().isoformat(timespec="seconds"),
    "source": {
        "product": "ssh-monitor",
        "product_version": os.environ.get("SAC_PRODUCT_VERSION", "unknown"),
        "agent_instance_id": os.environ["SAC_AGENT_ID"],
    },
    "host": {
        "hostname": host,
        "os_family": "linux",
    },
    "category": category,
    "type": os.environ["SAC_EVENT_TYPE"],
    "severity": os.environ["SAC_SEVERITY"],
    "title": os.environ["SAC_TITLE"],
    "summary": os.environ["SAC_SUMMARY"],
 }
 d = details()
 if d is not None:
    payload["details"] = d
 print(json.dumps(payload, ensure_ascii=False))
 PY
 )" || return 1
 sac_post_payload "$payload"
 }
 # JSON details из переменных SAC_D_* (опционально)
 sac_build_details_json() {
 python3 <<'PY'
 import json, os
 out = {}
 for k, v in os.environ.items():
    if k.startswith("SAC_D_") and v:
        out[k[6:].lower()] = v
 print(json.dumps(out) if out else "")
 PY
 }
 sac_is_heartbeat_only_event() {
 [ "${1:-}" = "agent.heartbeat" ]
 }
 # notify_or_sac type severity title summary telegram_message [details_json]
 notify_or_sac() {
 local event_type="$1"
 local severity="$2"
 local title="$3"
 local summary="$4"
 local telegram_message="${5:-$summary}"
 local details_json="${6:-}"
 if [ -z "$details_json" ] && [ -n "${SAC_D_USER:-}${SAC_D_IP:-}${SAC_D_COMMAND:-}" ]; then
  details_json="$(sac_build_details_json)"
 fi
 unset SAC_D_USER SAC_D_IP SAC_D_COMMAND SAC_D_ATTEMPT SAC_D_MAX SAC_D_RUN_AS SAC_D_PWD 2>/dev/null || true
 local mode
 mode="$(sac_normalize_mode "${UseSAC:-off}")"
 # Периодический heartbeat — только SAC (браузер), без Telegram/email в любом режиме.
 if sac_is_heartbeat_only_event "$event_type"; then
  case "$mode" in
  off)
   return 0
   ;;
  exclusive|dual|fallback)
   sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"
   return $?
   ;;
  *)
   return 0
   ;;
  esac
 fi
 case "$mode" in
 off)
 notify_send "$telegram_message"
 ;;
 exclusive)
 sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"
 ;;
 dual)
  sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json" || true
  NOTIFY_SKIP_SAC_MIRROR=1 notify_send "$telegram_message"
  ;;
 fallback)
  if sac_send_event "$event_type" "$severity" "$title" "$summary" "$details_json"; then
   return 0
  fi
  NOTIFY_SKIP_SAC_MIRROR=1 notify_send "$telegram_message"
  ;;
 *)
 write_log "WARN: неизвестный UseSAC=$mode, только Telegram"
 notify_send "$telegram_message"
 ;;
 esac
 }
 run_check_sac() {
 printf 'Проверка SAC (ssh-monitor)\n'
 printf 'UseSAC=%s\n' "${UseSAC:-off}"
 case "$(sac_normalize_mode "${UseSAC:-off}")" in
 exclusive) printf 'Режим exclusive: уведомления только в SAC (Telegram/email с агента не отправляются)\n' ;;
 dual) printf 'Режим dual: SAC + локальные каналы NOTIFY_CHAIN\n' ;;
 fallback) printf 'Режим fallback: SAC, при сбое — NOTIFY_CHAIN\n' ;;
 esac
 printf 'SAC_URL=%s\n' "${SAC_URL:-}"
 if sac_is_configured; then
  printf 'SAC ingest URL=%s\n' "$(sac_ingest_url)"
 fi
 if ! sac_is_configured; then
 printf 'SAC: SAC_URL или SAC_API_KEY не заданы\n' >&2
 return 1
 fi
 if sac_check_health; then
 printf 'SAC health: OK\n'
 else
 printf 'SAC health: FAIL\n' >&2
 return 1
 fi
 if sac_send_event "agent.test" "info" "SAC test" "ssh-monitor --check-sac"; then
 printf 'SAC ingest agent.test: OK (ожидается HTTP 201)\n'
 return 0
 fi
 printf 'SAC ingest agent.test: FAIL\n' >&2
 return 1
 }
@@ -0,0 +1,41 @@
 #!/bin/bash
 # Проверка готовности хоста к пилоту UseSAC=exclusive (фаза 2.1).
 set -euo pipefail
 CONFIG="${CONFIG_FILE:-/etc/ssh-monitor.conf}"
 MONITOR="${SSH_MONITOR_BIN:-/usr/local/bin/ssh-monitor}"
 if [ -f "$CONFIG" ]; then
 # shellcheck disable=SC1090
 . "$CONFIG"
 fi
 fail=0
 ok() { printf '[OK] %s\n' "$1"; }
 bad() { printf '[FAIL] %s\n' "$1"; fail=1; }
 mode="$(printf '%s' "${UseSAC:-off}" | tr '[:upper:]' '[:lower:]')"
 [ "$mode" = "exclusive" ] || bad "UseSAC должен быть exclusive (сейчас: ${UseSAC:-off})"
 [ -n "${SAC_URL:-}" ] && [ -n "${SAC_API_KEY:-}" ] || bad "Задайте SAC_URL и SAC_API_KEY"
 [ -x "$MONITOR" ] || bad "Не найден $MONITOR"
 [ -f "${MONITOR%/*}/sac-client.sh" ] || bad "Нет sac-client.sh рядом с ssh-monitor"
 if "$MONITOR" --check-sac; then
 ok "--check-sac"
 else
 bad "--check-sac"
 fi
 spool="${SAC_SPOOL_DIR:-/var/lib/ssh-monitor/sac-spool}"
 pending=0
 if [ -d "$spool" ]; then
 pending=$(find "$spool" -maxdepth 1 -name '*.json' 2>/dev/null | wc -l)
 fi
 printf '     Spool %s: %s файл(ов)\n' "$spool" "$pending"
 if [ "$fail" -eq 0 ]; then
 printf '\nПилот exclusive: хост готов. Сгенерируйте SSH/sudo событие и проверьте только в SAC UI.\n'
 exit 0
 fi
 printf '\nИсправьте ошибки выше.\n'
 exit 1
@@ -1,27 +1,93 @@
-TELEGRAM_BOT_TOKEN="replace_with_telegram_bot_token"
+# Репозиторий git.kalinamall.ru — доверенный; значения по умолчанию для пилота SAC.
-TELEGRAM_CHAT_ID="replace_with_telegram_chat_id"
+TELEGRAM_BOT_TOKEN="8239219522:AAEyOZX3cwNfgGOMDkf-mgjTIuoaOh5gF7I"
 TELEGRAM_CHAT_ID="2843230"
-# Резервный webhook при недоступности Telegram (JSON {"text":"..."}, совместимо со Slack Incoming Webhook)
+# Резервный webhook, если ВСЕ каналы из NOTIFY_CHAIN не смогли доставить сообщение (JSON {"text":"..."}).
 # ВАЖНО: BACKUP_WEBHOOK_URL НЕ заменяет основной канал — без хотя бы одного из telegram/email
 # скрипт сразу завершится с ошибкой в stderr: «Не настроен ни один канал отправки оповещений» (код 1),
 # в том числе при --check-config и --dry-run. Сначала настройте Telegram или SMTP ниже.
 BACKUP_WEBHOOK_URL=""
 # --- Очередь оповещений (NOTIFY_ORDER) ---
 # CSV: telegram, email (или сокращения tg, mail).
 # При каждом событии скрипт ПЫТАЕТСЯ ОТПРАВИТЬ ВО ВСЕ перечисленные каналы по порядку (не только в первый успешный).
 # Неудача одного канала не отменяет отправку в остальные; подробности — в LOG_FILE (WARN по каналам).
 #
 # Пустая строка NOTIFY_ORDER="" = авто: в цепочку NOTIFY_CHAIN попадают ТОЛЬКО реально настроенные каналы,
 # порядок по умолчанию: telegram → email (см. критерии «настроен» в README, раздел про каналы).
 #
 # Если после сборки цепочки каналов список ПУСТ (ни один канал не настроен, либо в NOTIFY_ORDER только
 # неизвестные токены), скрипт НЕ запускает мониторинг и выходит с ошибкой:
 #   Не настроен ни один канал отправки оповещений
 #
 # Примеры явной очереди:
 # NOTIFY_ORDER="telegram,email"
 # NOTIFY_ORDER="telegram"
 # NOTIFY_ORDER="email"
 NOTIFY_ORDER=""
 # --- Security Alert Center (SAC) ---
 # off | exclusive | dual | fallback — см. docs в security-alert-center (agent-integration.md)
 UseSAC="dual"
 # Допустимо и корень хоста (ingest всё равно пойдёт на /api/v1/events):
 SAC_URL="https://sac.kalinamall.ru"
 SAC_API_KEY="sac_UkOsAT3UWiQS54KK5OJPBDCSucysQDrKFju28wmYiz8"
 SAC_SPOOL_DIR="/var/lib/ssh-monitor/sac-spool"
 SAC_FAIL_COUNT_FILE="/var/lib/ssh-monitor/sac-fail.count"
 SAC_FALLBACK_FAILURES="5"
 SAC_TIMEOUT_SEC="12"
 # SMTP (python3). Для авто-режима почты нужны MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO.
 MAIL_SMTP_HOST=""
 MAIL_SMTP_PORT="587"
 MAIL_SMTP_USER=""
 MAIL_SMTP_PASSWORD=""
 MAIL_FROM=""
 MAIL_TO=""
 MAIL_SMTP_STARTTLS="1"
 MAIL_SMTP_SSL="0"
 LOG_FILE="/var/log/ssh_monitor.log"
 LAST_HEARTBEAT_FILE="/var/log/last_heartbeat.txt"
 LAST_REPORT_FILE="/var/log/last_daily_report.txt"
 LAST_SSH_CHECK_FILE="/var/log/last_ssh_check"
 LAST_SUDO_CHECK_FILE="/var/log/last_sudo_check"
 LAST_SECURITY_EVENTS_FILE="/var/log/last_security_events_check"
 LAST_LOGIND_CHECK_FILE="/var/log/last_logind_check"
 BAN_LIST_FILE="/var/log/ssh_bans.txt"
 # 1 = мониторинг + автобан IP (нужен ipset). 0 = только мониторинг и уведомления (логины, неудачи, sudo, logind и т.д. — без ipset/iptables).
 ENABLE_IP_BAN="1"
 # systemd-logind: 1 = включено, 0 = выключено
 ENABLE_LOGIND_MONITOR="1"
 LOGIND_NOTIFY_NEW="1"
 LOGIND_NOTIFY_REMOVED="0"
 LOGIND_NOTIFY_FAILED="1"
 # 1 = не дублировать Telegram для SSH-сессий logind (Type=ssh или Service=*sshd*; см. README)
 LOGIND_SKIP_REMOTE="1"
 DAILY_REPORT_HOUR="9"
 # IANA-зона для «9:00» и календарной даты отчёта; пусто = как у команды date (обычно локаль сервера, см. timedatectl)
 DAILY_REPORT_TZ=""
 DAILY_REPORT_TOP_IPS="5"
 # IANA-зона для «🕐 Время» в Telegram/email. Пусто = как DAILY_REPORT_TZ, иначе зона процесса (часто UTC в systemd — см. README).
 NOTIFY_TZ=""
 # Подпись «🖥️ Сервер» в уведомлениях: пусто = hostname (+ IPv4); иначе фиксированное имя (например prod-web-01).
 # SERVER_DISPLAY_NAME="prod-web-01"
 # Не чаще 1 успешного SSH (Accepted) в Telegram на пару user+IP за N секунд (разные port в журнале). 0 = только дедуп внутри одного прохода.
 SSH_ACCEPT_NOTIFY_DEDUP_SEC="5"
 BAN_TIME="3600"
 MAX_ATTEMPTS="3"
 BAN_CHECK_INTERVAL="60"
 MONITOR_INTERVAL="10"
 # --- ipset (скрипт в этой папке): имена наборов и лимит элементов. Пусто в конфиге = значения по умолчанию из скрипта.
 # IPSET_NAME_V4="ssh_monitor_ban"
 # IPSET_NAME_V6="ssh_monitor_ban_v6"
 # IPSET_MAXELEM="1048576"
 # Окно и порог для уведомления о возможном массовом брутфорсе (journalctl)
 BRUTE_WINDOW_SEC="900"
 BRUTE_MIN_FAILS="30"
@@ -0,0 +1,14 @@
 [Unit]
 Description=SSH Monitor with Telegram alerts and SAC integration
 After=network-online.target
 Wants=network-online.target
 [Service]
 Type=simple
 ExecStart=/usr/local/bin/ssh-monitor
 Restart=always
 RestartSec=5
 User=root
 [Install]
 WantedBy=multi-user.target
@@ -0,0 +1,933 @@
 #!/bin/bash
 # === Конфигурация скрипта ===
 UPDATE_DIR="/opt/scripts/update"
 SCRIPT_NAME="ssh-monitor"
 REPO_URL="https://git.kalinamall.ru/PapaTramp/ssh-monitor.git"
 LOCAL_SCRIPT_PATH="/usr/local/bin/ssh-monitor"
 LOG_FILE="/var/log/update_script.log"
 # Режим отладки: 1 = включён, 0 = выключен
 DEBUG=0
 DEPLOY_MODE=0
 QUIET=0
 # Итог последнего прогона (для лога и консоли)
 SUMMARY_SCRIPT="—"
 SUMMARY_SCRIPT_REASON="—"
 SUMMARY_SAC_CLIENT="—"
 SUMMARY_SAC_REASON="—"
 SUMMARY_CONFIG="—"
 SUMMARY_GIT="—"
 SUMMARY_SERVICE_RESTART="—"
 SUMMARY_UPDATER="—"
 CONFIG_FILE="/etc/ssh-monitor.conf"
 DEPLOY_INSTALL_PATH="/opt/scripts/update_ssh_monitor.sh"
 SAC_SPOOL_DIR_DEFAULT="/var/lib/ssh-monitor/sac-spool"
 SYSTEMD_UNIT_PATH="/etc/systemd/system/ssh-monitor.service"
 # === Список переменных, объявленных в скрипте (для логирования при DEBUG=1) ===
 SCRIPT_VARS=("UPDATE_DIR" "SCRIPT_NAME" "REPO_URL" "LOCAL_SCRIPT_PATH" "LOG_FILE" "DEBUG" "REMOTE_SCRIPT_PATH" "LOCAL_CHECKSUM" "REMOTE_CHECKSUM")
 # === Функции ===
 say_step() {
    printf '\n==> %s\n' "$1"
 }
 say_ok() {
    printf '[OK] %s\n' "$1"
    log_message "INFO" "$1"
 }
 say_warn() {
    printf '[WARN] %s\n' "$1"
    log_message "INFO" "WARNING: $1"
 }
 say_info() {
    printf '     %s\n' "$1"
 }
 show_help() {
    cat <<'EOF'
 update_ssh_monitor.sh — обновление или первичная установка ssh-monitor
 Использование:
  sudo ./update_ssh_monitor.sh              обновление (git pull + checksum)
  sudo ./update_ssh_monitor.sh --deploy     первичная установка / полный deploy
  sudo ./first_deploy.sh                    то же, что --deploy
 Опции:
  --deploy    установить ssh-monitor, sac-client, пример конфига, systemd unit
  --debug     подробный лог в /var/log/update_script.log
  --quiet     не печатать шаги в stdout (только в $LOG_FILE)
  -h, --help  эта справка
 Лог действий: /var/log/update_script.log (в конце каждого прогона — блок «Итог обновления»).
 При первой установке или апгрейде с UseSAC=off / пустым SAC_API_KEY / без sac-client.sh
 example из git перезаписывает /etc/ssh-monitor.conf (старый файл — .bak.*).
 EOF
 }
 find_ssh_monitor_conf_example() {
    local example="$UPDATE_DIR/$SCRIPT_NAME/ssh-monitor.conf.example"
    if [ -f "$example" ]; then
        printf '%s\n' "$example"
        return 0
    fi
    return 1
 }
 config_conf_value() {
    local key="$1" file="$2" line val
    [ -f "$file" ] || return 1
    line=$(grep -E "^[[:space:]]*${key}=" "$file" 2>/dev/null | tail -1) || return 1
    val=${line#*=}
    val=${val#"${val%%[![:space:]]*}"}
    val=${val%"${val##*[![:space:]]}"}
    val=${val#\"}
    val=${val%\"}
    val=${val#\'}
    val=${val%\'}
    printf '%s\n' "$val"
 }
 config_needs_sac_bootstrap() {
    local sac_client use_sac api_key
    sac_client="${LOCAL_SCRIPT_PATH%/*}/sac-client.sh"
    if [ ! -f "$sac_client" ]; then
        return 0
    fi
    if [ ! -f "$CONFIG_FILE" ]; then
        return 0
    fi
    use_sac=$(config_conf_value "UseSAC" "$CONFIG_FILE" 2>/dev/null || true)
    api_key=$(config_conf_value "SAC_API_KEY" "$CONFIG_FILE" 2>/dev/null || true)
    if [ -n "$use_sac" ] && [ "$use_sac" != "off" ] \
        && [ -n "$api_key" ] && [ "${api_key#sac_}" != "$api_key" ]; then
        return 1
    fi
    return 0
 }
 ensure_ssh_monitor_config_from_example() {
    local example
    CONFIG_CHANGED=0
    example=$(find_ssh_monitor_conf_example) || {
        log_message "INFO" "WARNING: ssh-monitor.conf.example not found in clone"
        return 0
    }
    if [ -f "$CONFIG_FILE" ] && ! config_needs_sac_bootstrap; then
        log_message "INFO" "Config $CONFIG_FILE: SAC already configured, not overwriting."
        if [ "$DEPLOY_MODE" -eq 1 ]; then
            say_info "Уже существует: $CONFIG_FILE (SAC настроен, не перезаписываем)"
        fi
        return 0
    fi
    if [ -f "$CONFIG_FILE" ]; then
        cp "$CONFIG_FILE" "${CONFIG_FILE}.bak.$(date +%Y%m%d_%H%M%S)" 2>/dev/null || true
        log_message "INFO" "Upgrading config without SAC: backup created, applying ssh-monitor.conf.example from git."
        if [ "$DEPLOY_MODE" -eq 1 ]; then
            say_info "Апгрейд без SAC: резервная копия, применяем example (Telegram + dual)."
        fi
    else
        log_message "INFO" "Creating $CONFIG_FILE from ssh-monitor.conf.example"
        if [ "$DEPLOY_MODE" -eq 1 ]; then
            say_ok "Создан $CONFIG_FILE из ssh-monitor.conf.example"
        fi
    fi
    if ! cp "$example" "$CONFIG_FILE"; then
        log_message "INFO" "ERROR: Failed to copy ssh-monitor.conf.example to $CONFIG_FILE"
        return 1
    fi
    chmod 600 "$CONFIG_FILE" 2>/dev/null || true
    CONFIG_CHANGED=1
    return 0
 }
 parse_command_line() {
    DEPLOY_MODE=0
    while [ $# -gt 0 ]; do
        case "$1" in
            --deploy)
                DEPLOY_MODE=1
                shift
                ;;
            --debug)
                DEBUG=1
                shift
                ;;
            --quiet)
                QUIET=1
                shift
                ;;
            -h | --help)
                show_help
                exit 0
                ;;
            *)
                printf 'Неизвестная опция: %s\n' "$1" >&2
                show_help >&2
                exit 2
                ;;
        esac
    done
 }
 deploy_require_root() {
    if [ "$DEPLOY_MODE" -ne 1 ]; then
        return 0
    fi
    if [ "$(id -u)" -ne 0 ]; then
        printf 'ERROR: режим --deploy нужно запускать от root (sudo)\n' >&2
        exit 1
    fi
 }
 # Основная функция логирования
 log_message() {
    local level="$1"
    local message="$2"
    local timestamp
    timestamp="$(date '+%Y-%m-%d %H:%M:%S')"
    # Создаём лог-файл и директорию при необходимости
    if [ ! -f "$LOG_FILE" ]; then
        mkdir -p "$(dirname "$LOG_FILE")" 2>/dev/null
        touch "$LOG_FILE" 2>/dev/null
    fi
    if [ "$level" = "INFO" ]; then
        echo "$timestamp INFO: $message" >> "$LOG_FILE"
    elif [ "$level" = "DEBUG" ] && [ "$DEBUG" -eq 1 ]; then
        echo "$timestamp DEBUG: $message" >> "$LOG_FILE"
    elif [ "$level" = "ERROR" ]; then
        echo "$timestamp ERROR: $message" >> "$LOG_FILE"
    fi
 }
 # Всегда в лог; в stderr — если не --quiet (stdout не трогаем: его используют $(find_*))
 log_action() {
    log_message "INFO" "$1"
    if [ "$QUIET" -eq 0 ]; then
        printf '[update_ssh_monitor] %s\n' "$1" >&2
    fi
 }
 get_git_short_rev() {
    local repo_dir="$1"
    git -C "$repo_dir" rev-parse --short HEAD 2>/dev/null || printf 'unknown'
 }
 read_ssh_monitor_version() {
    local f="$1"
    local line
    [ -f "$f" ] || return 0
    line=$(grep -E '^[[:space:]]*SSH_MONITOR_VERSION=' "$f" 2>/dev/null | head -1) || return 0
    line=${line#SSH_MONITOR_VERSION=}
    line=${line#\"}
    line=${line%\"}
    line=${line#\'}
    line=${line%\'}
    printf '%s' "$line"
 }
 file_sha256() {
    sha256sum "$1" 2>/dev/null | awk '{print $1}' || true
 }
 log_update_summary() {
    log_action "===== Итог обновления ====="
    log_action "ssh-monitor: $SUMMARY_SCRIPT ($SUMMARY_SCRIPT_REASON)"
    log_action "sac-client.sh: $SUMMARY_SAC_CLIENT ($SUMMARY_SAC_REASON)"
    log_action "конфиг: $SUMMARY_CONFIG"
    log_action "git: $SUMMARY_GIT"
    log_action "updater ($DEPLOY_INSTALL_PATH): $SUMMARY_UPDATER"
    log_action "перезапуск ssh-monitor.service: $SUMMARY_SERVICE_RESTART"
    log_action "полный лог: $LOG_FILE"
    log_action "==========================="
 }
 # Функция для логирования шагов с комментариями (работает только при DEBUG=1)
 debug_step() {
    if [ "$DEBUG" -eq 1 ]; then
        log_message "DEBUG" "# $1"
    fi
 }
 # Функция для логирования только объявленных в скрипте переменных
 log_script_vars() {
    if [ "$DEBUG" -eq 1 ]; then
        log_message "DEBUG" "=== Значения переменных скрипта ==="
        for var_name in "${SCRIPT_VARS[@]}"; do
            local var_value="${!var_name}"
            log_message "DEBUG" "$var_name='$var_value'"
        done
        log_message "DEBUG" "=== Конец списка переменных ==="
    fi
 }
 # === КРИТИЧЕСКАЯ ФУНКЦИЯ: Проверка и установка ipset ===
 ensure_ipset_installed() {
    debug_step "Проверяем наличие ipset в системе"
    # Проверяем, установлен ли ipset
    if ! command -v ipset &>/dev/null; then
        log_message "INFO" "ipset not found. Attempting silent installation..."
        debug_step "ipset не обнаружен, начинаем установку в silent режиме"
        # Определяем пакетный менеджер и устанавливаем ipset
        if command -v apt-get &>/dev/null || command -v apt &>/dev/null; then
            debug_step "Обнаружен Debian/Ubuntu, используем apt"
            log_message "INFO" "Detected apt package manager, installing ipset..."
            # Тихая установка через apt
            if apt-get update -qq >/dev/null 2>&1 && apt-get install -y -qq ipset >/dev/null 2>&1; then
                log_message "INFO" "ipset installed successfully via apt"
                debug_step "ipset успешно установлен через apt"
            else
                log_message "ERROR" "Failed to install ipset via apt"
                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через apt"
                return 1
            fi
        elif command -v yum &>/dev/null; then
            debug_step "Обнаружен RHEL/CentOS, используем yum"
            log_message "INFO" "Detected yum package manager, installing ipset..."
            if yum install -y -q ipset >/dev/null 2>&1; then
                log_message "INFO" "ipset installed successfully via yum"
                debug_step "ipset успешно установлен через yum"
            else
                log_message "ERROR" "Failed to install ipset via yum"
                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через yum"
                return 1
            fi
        elif command -v dnf &>/dev/null; then
            debug_step "Обнаружен Fedora/RHEL 8+, используем dnf"
            log_message "INFO" "Detected dnf package manager, installing ipset..."
            if dnf install -y -q ipset >/dev/null 2>&1; then
                log_message "INFO" "ipset installed successfully via dnf"
                debug_step "ipset успешно установлен через dnf"
            else
                log_message "ERROR" "Failed to install ipset via dnf"
                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через dnf"
                return 1
            fi
        elif command -v pacman &>/dev/null; then
            debug_step "Обнаружен Arch Linux, используем pacman"
            log_message "INFO" "Detected pacman package manager, installing ipset..."
            if pacman -S --noconfirm --quiet ipset >/dev/null 2>&1; then
                log_message "INFO" "ipset installed successfully via pacman"
                debug_step "ipset успешно установлен через pacman"
            else
                log_message "ERROR" "Failed to install ipset via pacman"
                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через pacman"
                return 1
            fi
        elif command -v zypper &>/dev/null; then
            debug_step "Обнаружен openSUSE, используем zypper"
            log_message "INFO" "Detected zypper package manager, installing ipset..."
            if zypper --quiet --non-interactive install ipset >/dev/null 2>&1; then
                log_message "INFO" "ipset installed successfully via zypper"
                debug_step "ipset успешно установлен через zypper"
            else
                log_message "ERROR" "Failed to install ipset via zypper"
                log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
                debug_step "КРИТИЧЕСКАЯ ОШИБКА: Не удалось установить ipset через zypper"
                return 1
            fi
        else
            log_message "ERROR" "Unsupported package manager. Cannot install ipset"
            log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
            debug_step "КРИТИЧЕСКАЯ ОШИБКА: Пакетный менеджер не распознан"
            return 1
        fi
        # Проверяем, что ipset действительно установился
        if ! command -v ipset &>/dev/null; then
            log_message "ERROR" "ipset installation verification failed"
            log_message "ERROR" "Работа обновленного скрипта невозможна без установленного ipset"
            debug_step "КРИТИЧЕСКАЯ ОШИБКА: ipset не обнаружен после установки"
            return 1
        fi
    else
        debug_step "ipset уже установлен в системе"
        log_message "INFO" "ipset is already installed"
        # Проверяем версию ipset (информационно)
        if [ "$DEBUG" -eq 1 ]; then
            local ipset_version=$(ipset --version 2>&1)
            log_message "DEBUG" "ipset version: $ipset_version"
        fi
    fi
    log_message "INFO" "ipset check/installation completed successfully"
    return 0
 }
 # === Гарантированное создание директорий ===
 ensure_directories() {
    debug_step "Проверяем и создаём необходимые директории"
    # Создаём UPDATE_DIR если не существует
    if [ ! -d "$UPDATE_DIR" ]; then
        log_message "INFO" "Creating directory: $UPDATE_DIR"
        debug_step "Директория $UPDATE_DIR не существует, создаём"
        if mkdir -p "$UPDATE_DIR" 2>/dev/null; then
            log_message "INFO" "Directory created successfully"
        else
            log_message "INFO" "ERROR: Cannot create directory $UPDATE_DIR"
            return 1
        fi
    else
        debug_step "Директория $UPDATE_DIR уже существует"
    fi
    # Проверяем права на запись
    if [ ! -w "$UPDATE_DIR" ]; then
        log_message "INFO" "WARNING: Directory $UPDATE_DIR is not writable"
        debug_step "ПРЕДУПРЕЖДЕНИЕ: Нет прав на запись в $UPDATE_DIR"
        return 1
    fi
    return 0
 }
 # Путь к sac-client.sh в клоне репозитория (корень git)
 find_sac_client_remote() {
    local candidates=(
        "$UPDATE_DIR/$SCRIPT_NAME/sac-client.sh"
    )
    local p
    for p in "${candidates[@]}"; do
        if [ -f "$p" ]; then
            printf '%s\n' "$p"
            return 0
        fi
    done
    return 1
 }
 # Копирует sac-client.sh рядом с LOCAL_SCRIPT_PATH (всегда после git pull, по checksum).
 # Устанавливает SAC_CLIENT_CHANGED=1 при фактическом обновлении файла.
 sync_sac_client() {
    SAC_CLIENT_CHANGED=0
    local remote local_dst local_sum remote_sum
    remote=$(find_sac_client_remote) || {
        SUMMARY_SAC_CLIENT="не найден в клоне"
        SUMMARY_SAC_REASON="путь $UPDATE_DIR/$SCRIPT_NAME/sac-client.sh"
        log_action "WARNING: sac-client.sh не найден в клоне git"
        debug_step "sac-client.sh не найден в клоне репозитория"
        return 0
    }
    local_dst="${LOCAL_SCRIPT_PATH%/*}/sac-client.sh"
    log_action "sac-client: remote=$remote local=$local_dst"
    remote_sum=$(file_sha256 "$remote")
    if [ -z "$remote_sum" ]; then
        SUMMARY_SAC_CLIENT="ошибка"
        SUMMARY_SAC_REASON="не удалось sha256 remote"
        log_action "ERROR: не удалось посчитать sha256 для $remote"
        return 1
    fi
    if [ "$DEPLOY_MODE" -ne 1 ] && [ -f "$local_dst" ]; then
        local_sum=$(file_sha256 "$local_dst")
        if [ "$local_sum" = "$remote_sum" ]; then
            SUMMARY_SAC_CLIENT="без изменений"
            SUMMARY_SAC_REASON="sha256 совпадает (${local_sum:0:16}…)"
            log_action "sac-client.sh: checksum совпадает, копирование не требуется"
            debug_step "sac-client.sh без изменений"
            return 0
        fi
        log_action "sac-client.sh: checksum отличается (local ${local_sum:0:16}… != remote ${remote_sum:0:16}…)"
    elif [ ! -f "$local_dst" ]; then
        log_action "sac-client.sh: локальный файл отсутствует, будет установлен"
        debug_step "Локальный sac-client.sh отсутствует, будет установлен"
    fi
    debug_step "Копируем sac-client.sh в $local_dst"
    if ! cp "$remote" "$local_dst"; then
        SUMMARY_SAC_CLIENT="ошибка копирования"
        SUMMARY_SAC_REASON="cp $remote -> $local_dst"
        log_action "ERROR: не удалось скопировать sac-client.sh"
        return 1
    fi
    chmod 644 "$local_dst"
    SAC_CLIENT_CHANGED=1
    SUMMARY_SAC_CLIENT="обновлён"
    SUMMARY_SAC_REASON="sha256 ${remote_sum:0:16}…"
    log_action "sac-client.sh обновлён → $local_dst"
    if [ "$DEPLOY_MODE" -eq 1 ]; then
        say_ok "sac-client.sh → $local_dst"
    fi
    return 0
 }
 find_remote_ssh_monitor_path() {
    local repo="$UPDATE_DIR/$SCRIPT_NAME"
    local candidates=() git_path="" found="" p
    REMOTE_SCRIPT_PATH="$repo/ssh-monitor"
    ALT_REMOTE_PATH="$repo/src/branch/main/ssh-monitor"
    candidates=(
        "$REMOTE_SCRIPT_PATH"
        "$ALT_REMOTE_PATH"
    )
    for p in "${candidates[@]}"; do
        if [ -f "$p" ]; then
            log_action "ssh-monitor в клоне: $p"
            printf '%s\n' "$p"
            return 0
        fi
    done
    if [ -d "$repo/.git" ]; then
        if git -C "$repo" cat-file -e "HEAD:ssh-monitor" 2>/dev/null; then
            if [ ! -f "$repo/ssh-monitor" ]; then
                log_action "ssh-monitor есть в git HEAD, но отсутствует на диске — git checkout HEAD -- ssh-monitor"
                git -C "$repo" checkout HEAD -- ssh-monitor >> "$LOG_FILE" 2>&1 || true
            fi
            if [ -f "$repo/ssh-monitor" ]; then
                log_action "ssh-monitor восстановлен: $repo/ssh-monitor"
                printf '%s\n' "$repo/ssh-monitor"
                return 0
            fi
        fi
        git_path=$(git -C "$repo" ls-files 'ssh-monitor' 2>/dev/null | grep -v '^contrib/' | head -1)
        if [ -z "$git_path" ]; then
            git_path=$(git -C "$repo" ls-files 2>/dev/null | grep -E '/ssh-monitor$' | grep -v contrib | grep -v watchdog | head -1)
        fi
        if [ -n "$git_path" ] && [ -f "$repo/$git_path" ]; then
            log_action "ssh-monitor в клоне (git ls-files): $repo/$git_path"
            printf '%s\n' "$repo/$git_path"
            return 0
        fi
    fi
    found=$(find "$repo" -maxdepth 4 -type f -name 'ssh-monitor' ! -path '*/contrib/*' 2>/dev/null | head -1)
    if [ -n "$found" ] && [ -f "$found" ]; then
        log_action "ssh-monitor найден поиском: $found"
        printf '%s\n' "$found"
        return 0
    fi
    log_action "WARNING: ssh-monitor не найден в $repo"
    if [ -d "$repo" ]; then
        log_action "корень клона: $(ls -1 "$repo" 2>/dev/null | tr '\n' ' ')"
    fi
    return 1
 }
 install_ssh_monitor_from() {
    local actual_script_path="$1"
    local backup_path=""
    if [ -f "$LOCAL_SCRIPT_PATH" ]; then
        backup_path="${LOCAL_SCRIPT_PATH}.backup.$(date +%Y%m%d_%H%M%S)"
        cp "$LOCAL_SCRIPT_PATH" "$backup_path" 2>/dev/null || true
        log_action "резервная копия: $backup_path"
    fi
    if ! cp "$actual_script_path" "$LOCAL_SCRIPT_PATH"; then
        log_action "ERROR: не удалось скопировать $actual_script_path → $LOCAL_SCRIPT_PATH"
        return 1
    fi
    chmod +x "$LOCAL_SCRIPT_PATH"
    log_action "ssh-monitor установлен: $LOCAL_SCRIPT_PATH (версия $(read_ssh_monitor_version "$LOCAL_SCRIPT_PATH"))"
    if [ "$DEPLOY_MODE" -eq 1 ]; then
        say_ok "ssh-monitor → $LOCAL_SCRIPT_PATH"
    fi
    return 0
 }
 deploy_prepare_dirs() {
    say_step "Каталоги"
    mkdir -p "$UPDATE_DIR" /opt/scripts /var/log "$SAC_SPOOL_DIR_DEFAULT" /var/lib/ssh-monitor 2>/dev/null || true
    say_ok "UPDATE_DIR=$UPDATE_DIR, spool=$SAC_SPOOL_DIR_DEFAULT"
 }
 deploy_install_config() {
    say_step "Конфигурация"
    ensure_ssh_monitor_config_from_example || return 1
 }
 deploy_install_systemd() {
    local example="$UPDATE_DIR/$SCRIPT_NAME/ssh-monitor.service.example"
    say_step "systemd"
    if [ -f "$SYSTEMD_UNIT_PATH" ]; then
        say_info "Уже существует: $SYSTEMD_UNIT_PATH"
        return 0
    fi
    if [ ! -f "$example" ]; then
        say_warn "Unit example не найден: $example"
        return 0
    fi
    cp "$example" "$SYSTEMD_UNIT_PATH"
    if command -v systemctl &>/dev/null; then
        systemctl daemon-reload 2>/dev/null || true
        systemctl enable ssh-monitor.service 2>/dev/null || true
        say_ok "Установлен $SYSTEMD_UNIT_PATH (enable ssh-monitor.service)"
    else
        say_ok "Скопирован $SYSTEMD_UNIT_PATH (systemctl не найден)"
    fi
 }
 deploy_install_self() {
    local self_path
    self_path="$(readlink -f "$0" 2>/dev/null || realpath "$0" 2>/dev/null || printf '%s' "$0")"
    say_step "Скрипт автообновления"
    if [ "$self_path" = "$DEPLOY_INSTALL_PATH" ]; then
        say_info "Уже запущен из $DEPLOY_INSTALL_PATH"
        return 0
    fi
    mkdir -p "$(dirname "$DEPLOY_INSTALL_PATH")"
    cp "$self_path" "$DEPLOY_INSTALL_PATH"
    chmod 750 "$DEPLOY_INSTALL_PATH"
    say_ok "update_ssh_monitor.sh → $DEPLOY_INSTALL_PATH"
 }
 print_config_variables_help() {
    say_step "Заполните в $CONFIG_FILE"
    cat <<'EOF'
     Обязательно хотя бы один канал уведомлений ИЛИ SAC:
       TELEGRAM_BOT_TOKEN, TELEGRAM_CHAT_ID
       — или MAIL_SMTP_HOST, MAIL_FROM, MAIL_TO
     Security Alert Center:
       UseSAC=off | dual | exclusive | fallback
       Пилот 2.1 (только SAC): UseSAC=exclusive
       SAC_URL=https://sac.kalinamall.ru
       SAC_API_KEY=<ключ из SAC sac-api.env / bootstrap>
     Проверка после правок:
       /usr/local/bin/ssh-monitor --check-config
       /usr/local/bin/ssh-monitor --check-sac
       systemctl restart ssh-monitor.service
       systemctl status ssh-monitor.service
 EOF
 }
 print_deploy_summary() {
    say_step "Итог установки"
    say_info "Монитор:     $LOCAL_SCRIPT_PATH"
    say_info "SAC client:  ${LOCAL_SCRIPT_PATH%/*}/sac-client.sh"
    say_info "Конфиг:      $CONFIG_FILE"
    say_info "Git-клон:    $UPDATE_DIR/$SCRIPT_NAME"
    say_info "Updater:     $DEPLOY_INSTALL_PATH"
    say_info "Лог updater: $LOG_FILE"
 }
 deploy_post_install() {
    deploy_prepare_dirs
    deploy_install_config
    deploy_install_systemd
    deploy_install_self
    print_deploy_summary
    print_config_variables_help
 }
 # Копирует update_ssh_monitor.sh из git-клона в /opt/scripts/ и при необходимости re-exec.
 sync_installed_updater_from_clone() {
    local remote="$UPDATE_DIR/$SCRIPT_NAME/update_ssh_monitor.sh"
    local self installed_path remote_sum installed_sum=""
    if [ ! -f "$remote" ]; then
        SUMMARY_UPDATER="не найден в клоне"
        log_action "updater: в клоне нет $remote"
        return 0
    fi
    self="$(readlink -f "$0" 2>/dev/null || realpath "$0" 2>/dev/null || printf '%s' "$0")"
    installed_path="$(readlink -f "$DEPLOY_INSTALL_PATH" 2>/dev/null || realpath "$DEPLOY_INSTALL_PATH" 2>/dev/null || printf '%s' "$DEPLOY_INSTALL_PATH")"
    remote_sum=$(file_sha256 "$remote")
    if [ -f "$DEPLOY_INSTALL_PATH" ]; then
        installed_sum=$(file_sha256 "$DEPLOY_INSTALL_PATH")
    fi
    if [ "$remote_sum" = "$installed_sum" ]; then
        SUMMARY_UPDATER="актуален (sha ${remote_sum:0:16}…)"
        log_action "updater: $DEPLOY_INSTALL_PATH совпадает с git (commit $(get_git_short_rev "$UPDATE_DIR/$SCRIPT_NAME"))"
        return 0
    fi
    mkdir -p "$(dirname "$DEPLOY_INSTALL_PATH")"
    if ! cp "$remote" "$DEPLOY_INSTALL_PATH"; then
        SUMMARY_UPDATER="ошибка копирования"
        log_action "ERROR: не удалось обновить $DEPLOY_INSTALL_PATH из git"
        return 1
    fi
    chmod 750 "$DEPLOY_INSTALL_PATH"
    SUMMARY_UPDATER="обновлён из git (${installed_sum:0:8}…→${remote_sum:0:8}…)"
    log_action "updater: записан $DEPLOY_INSTALL_PATH из клона (новый sha ${remote_sum:0:16}…)"
    if [ "$self" = "$installed_path" ] && [ "${UPDATER_REEXEC_GUARD:-0}" != "1" ]; then
        log_action "updater: перезапуск с новой версией (расширенный лог)…"
        UPDATER_REEXEC_GUARD=1 exec /bin/bash "$DEPLOY_INSTALL_PATH" "$@"
    fi
    if [ "$self" != "$installed_path" ]; then
        log_action "updater: сейчас запущен $self — в cron используйте $DEPLOY_INSTALL_PATH"
    fi
    return 0
 }
 restart_ssh_monitor_service() {
    debug_step "Перезапускаем сервис ssh-monitor.service"
    if command -v systemctl &>/dev/null; then
        if systemctl restart ssh-monitor.service 2>/dev/null; then
            SUMMARY_SERVICE_RESTART="выполнен"
            log_action "ssh-monitor.service перезапущен"
            debug_step "Сервис успешно перезапущен"
        else
            SUMMARY_SERVICE_RESTART="не удался"
            log_action "WARNING: systemctl restart ssh-monitor.service не выполнен"
            debug_step "ПРЕДУПРЕЖДЕНИЕ: Не удалось перезапустить сервис"
        fi
    else
        SUMMARY_SERVICE_RESTART="пропущен (нет systemctl)"
        log_action "systemctl не найден, перезапуск сервиса пропущен"
        debug_step "systemctl не найден, сервис не перезапущен"
    fi
 }
 # Функция для обновления скрипта (принимает "$@" для re-exec updater)
 update_script() {
    local git_repo="$UPDATE_DIR/$SCRIPT_NAME"
    local git_before="" git_after="" pull_ok=1
    local actual_script_path="" script_changed=0
    local local_ver="" remote_ver="" local_sum="" remote_sum=""
    SUMMARY_SCRIPT="—"
    SUMMARY_SCRIPT_REASON="—"
    SUMMARY_SAC_CLIENT="—"
    SUMMARY_SAC_REASON="—"
    SUMMARY_CONFIG="—"
    SUMMARY_GIT="—"
    SUMMARY_SERVICE_RESTART="не требовался"
    log_action "Старт обновления (deploy=$DEPLOY_MODE, debug=$DEBUG)"
    debug_step "Запуск функции обновления скрипта"
    debug_step "Гарантируем наличие директории для работы"
    if ! ensure_directories; then
        SUMMARY_SCRIPT="ошибка"
        SUMMARY_SCRIPT_REASON="нет каталога $UPDATE_DIR или нет прав на запись"
        log_update_summary
        return 1
    fi
    debug_step "Переходим в директорию для клона репозитория: $UPDATE_DIR"
    if ! cd "$UPDATE_DIR" 2>/dev/null; then
        SUMMARY_SCRIPT="ошибка"
        SUMMARY_SCRIPT_REASON="cannot cd $UPDATE_DIR"
        log_action "ERROR: cannot cd $UPDATE_DIR"
        log_update_summary
        return 1
    fi
    debug_step "Проверяем наличие репозитория и обновляем/клонируем"
    if [ -d "$SCRIPT_NAME" ]; then
        git_before="$(get_git_short_rev "$git_repo")"
        log_action "git: pull origin main (было commit $git_before) → $REPO_URL"
        debug_step "Выполняем git pull origin main"
        if git -C "$SCRIPT_NAME" pull origin main >> "$LOG_FILE" 2>&1; then
            git_after="$(get_git_short_rev "$git_repo")"
            SUMMARY_GIT="pull ok, $git_before → $git_after"
            log_action "git pull: успех (commit $git_before → $git_after)"
        else
            pull_ok=0
            git_after="$(get_git_short_rev "$git_repo")"
            SUMMARY_GIT="pull FAILED, используется локальный клон ($git_after)"
            log_action "WARNING: git pull не удался — продолжаем со старым клоном (commit $git_after). См. хвост $LOG_FILE"
        fi
    else
        log_action "git: clone $REPO_URL → $UPDATE_DIR/$SCRIPT_NAME"
        debug_step "Выполняем git clone $REPO_URL $SCRIPT_NAME"
        if ! git clone "$REPO_URL" "$SCRIPT_NAME" >> "$LOG_FILE" 2>&1; then
            SUMMARY_GIT="clone FAILED"
            SUMMARY_SCRIPT="ошибка"
            SUMMARY_SCRIPT_REASON="git clone failed"
            log_action "ERROR: git clone failed (см. $LOG_FILE)"
            log_update_summary
            return 1
        fi
        git_after="$(get_git_short_rev "$git_repo")"
        SUMMARY_GIT="clone ok, commit $git_after"
        log_action "git clone: успех (commit $git_after)"
    fi
    sync_installed_updater_from_clone "$@"
    actual_script_path="$(find_remote_ssh_monitor_path 2>/dev/null || true)"
    actual_script_path="${actual_script_path//$'\n'/}"
    actual_script_path="${actual_script_path//$'\r'/}"
    debug_step "Путь к ssh-monitor в клоне: ${actual_script_path:-не найден}"
    SAC_CLIENT_CHANGED=0
    if ! sync_sac_client; then
        log_update_summary
        return 1
    fi
    CONFIG_CHANGED=0
    if ! ensure_ssh_monitor_config_from_example; then
        log_update_summary
        return 1
    fi
    if [ "${CONFIG_CHANGED:-0}" -eq 1 ]; then
        SUMMARY_CONFIG="обновлён из example"
    else
        SUMMARY_CONFIG="без изменений"
    fi
    if [ -n "$actual_script_path" ] && [ -f "$actual_script_path" ]; then
        if [ "$DEPLOY_MODE" -eq 1 ]; then
            log_action "режим --deploy: установка ssh-monitor → $LOCAL_SCRIPT_PATH"
            if install_ssh_monitor_from "$actual_script_path"; then
                script_changed=1
                SUMMARY_SCRIPT="установлен (--deploy)"
                SUMMARY_SCRIPT_REASON="$(read_ssh_monitor_version "$LOCAL_SCRIPT_PATH")"
            else
                SUMMARY_SCRIPT="ошибка установки"
                log_update_summary
                return 1
            fi
        else
            if [ ! -f "$LOCAL_SCRIPT_PATH" ]; then
                LOCAL_CHECKSUM=""
                local_ver="(нет файла)"
            else
                LOCAL_CHECKSUM=$(file_sha256 "$LOCAL_SCRIPT_PATH")
                local_ver="$(read_ssh_monitor_version "$LOCAL_SCRIPT_PATH")"
            fi
            REMOTE_CHECKSUM=$(file_sha256 "$actual_script_path")
            remote_ver="$(read_ssh_monitor_version "$actual_script_path")"
            log_action "сравнение: local=$LOCAL_SCRIPT_PATH ver=$local_ver sha=${LOCAL_CHECKSUM:0:16}…"
            log_action "сравнение: remote=$actual_script_path ver=$remote_ver sha=${REMOTE_CHECKSUM:0:16}…"
            if [ "$pull_ok" -eq 0 ]; then
                log_action "примечание: git pull не удался — remote может быть устаревшим"
            fi
            if [ "$LOCAL_CHECKSUM" != "$REMOTE_CHECKSUM" ]; then
                log_action "checksum различается — обновляем $LOCAL_SCRIPT_PATH"
                if install_ssh_monitor_from "$actual_script_path"; then
                    script_changed=1
                    SUMMARY_SCRIPT="обновлён"
                    SUMMARY_SCRIPT_REASON="${local_ver} → ${remote_ver}, sha изменился"
                else
                    SUMMARY_SCRIPT="ошибка копирования"
                    log_update_summary
                    return 1
                fi
            else
                SUMMARY_SCRIPT="без изменений"
                SUMMARY_SCRIPT_REASON="sha256 совпадает; версия local=$local_ver remote=$remote_ver"
                log_action "ssh-monitor: файлы идентичны, копирование не требуется"
            fi
        fi
    else
        SUMMARY_SCRIPT="не найден в клоне"
        SUMMARY_SCRIPT_REASON="проверьте структуру репозитория после git pull"
        log_action "ERROR: ssh-monitor не найден в клоне $UPDATE_DIR/$SCRIPT_NAME"
        if [ "$DEPLOY_MODE" -eq 1 ]; then
            say_warn "ssh-monitor не найден в клоне $UPDATE_DIR/$SCRIPT_NAME"
        fi
        if [ "$DEBUG" -eq 1 ] && [ -d "$UPDATE_DIR/$SCRIPT_NAME" ]; then
            find "$UPDATE_DIR/$SCRIPT_NAME" -type f -name "$SCRIPT_NAME" 2>/dev/null | while read -r found_file; do
                log_message "DEBUG" "Найден файл: $found_file"
            done
        fi
    fi
    if [ "$DEPLOY_MODE" -eq 1 ]; then
        script_changed=1
    elif [ "$script_changed" -eq 1 ] || [ "${SAC_CLIENT_CHANGED:-0}" -eq 1 ] || [ "${CONFIG_CHANGED:-0}" -eq 1 ]; then
        restart_ssh_monitor_service
    else
        log_action "перезапуск сервиса не нужен (ни один файл не изменился)"
    fi
    log_script_vars
    log_update_summary
    return 0
 }
 # === Основной блок выполнения ===
 parse_command_line "$@"
 deploy_require_root
 if [ "$DEPLOY_MODE" -eq 1 ]; then
    printf '\n=== ssh-monitor: первичная установка (--deploy) ===\n'
    say_step "Репозиторий и файлы"
 fi
 _updater_self="$(readlink -f "$0" 2>/dev/null || realpath "$0" 2>/dev/null || printf '%s' "$0")"
 _updater_sha="$(file_sha256 "$_updater_self")"
 log_message "INFO" "=== Script update started (deploy=$DEPLOY_MODE) ==="
 log_action "запуск updater: $_updater_self (sha ${_updater_sha:0:16}…)"
 log_action "хост=$(hostname 2>/dev/null || echo '?') user=$(id -un 2>/dev/null) uid=$(id -u 2>/dev/null)"
 log_action "пути: LOCAL=$LOCAL_SCRIPT_PATH UPDATE_DIR=$UPDATE_DIR REPO=$REPO_URL"
 debug_step "Инициализация скрипта обновления"
 if ! ensure_directories; then
    log_message "INFO" "ERROR: Failed to ensure directories. Exiting."
    exit 1
 fi
 debug_step "Начинаем проверку и установку ipset (КРИТИЧЕСКИЙ ШАГ)"
 if ! ensure_ipset_installed; then
    log_message "ERROR" "CRITICAL: ipset installation or verification failed"
    echo "ERROR: Работа обновленного скрипта невозможна без установленного ipset" >&2
    exit 1
 fi
 update_script "$@"
 exit_code=$?
 if [ "$exit_code" -eq 0 ] && [ "$DEPLOY_MODE" -eq 1 ]; then
    deploy_post_install
    restart_ssh_monitor_service
    if command -v systemctl &>/dev/null; then
        if systemctl start ssh-monitor.service 2>/dev/null; then
            say_ok "systemctl start ssh-monitor.service"
        else
            say_warn "systemctl start не выполнен (проверьте --check-config и конфиг)"
        fi
    fi
 fi
 if [ $exit_code -eq 0 ]; then
    log_message "INFO" "=== Script update completed successfully ==="
    log_action "завершено успешно (код 0). Итог см. выше или: tail -30 $LOG_FILE"
    if [ "$DEPLOY_MODE" -eq 1 ]; then
        printf '\n=== Установка завершена. Отредактируйте %s и перезапустите сервис. ===\n' "$CONFIG_FILE"
    fi
 else
    log_message "INFO" "=== Script update completed with errors (exit code: $exit_code) ==="
    log_action "завершено с ошибкой (код $exit_code). См. $LOG_FILE"
 fi
 exit $exit_code
Author	SHA1	Message	Date
PTah	0e83d8825d	fix: accept SAC ingest HTTP 201, 409, and legacy 202	2026-05-28 09:13:13 +10:00
PTah	31c4265716	fix: log_action to stderr so captured paths stay valid find_remote_ssh_monitor_path output was polluted by log_action on stdout, breaking -f checks; mirror user messages to stderr instead.	2026-05-28 08:24:09 +10:00
PTah	731c50b0bc	fix: find ssh-monitor in clone via git checkout and broader search Restore ssh-monitor from HEAD when missing on disk; try git ls-files and find fallback; log clone root listing on failure.	2026-05-28 08:20:37 +10:00
PTah	7f4d25b91c	fix: sync /opt/scripts/update_ssh_monitor.sh from git clone each run After git pull, copy updater from clone to DEPLOY_INSTALL_PATH and re-exec once so cron always picks up new logging without manual cp.	2026-05-28 08:15:51 +10:00
PTah	f3b7c9d41c	feat: verbose update_ssh_monitor action log and run summary Log each step to /var/log/update_script.log and stdout (unless --quiet). End-of-run summary explains skip reasons: checksum match, git pull fail, missing clone path, versions and sha256 prefixes.	2026-05-28 08:13:24 +10:00
PTah	d179b360f2	fix: heartbeat only to SAC, never Telegram/email agent.heartbeat bypasses NOTIFY_CHAIN in all UseSAC modes; SAC ingest only. Bump to 1.2.3-SAC.	2026-05-28 07:56:18 +10:00
PTah	dd980f0ba6	chore: bump release to 1.2.2-SAC Increase SSH monitor release version used by sac-client payloads and refresh RU/EN README references to the new version.	2026-05-27 15:53:29 +10:00
PTah	746a8f8f76	feat: bootstrap SAC config on update from pre-SAC installs ssh-monitor.conf.example ships dual SAC + Telegram defaults; updater overwrites /etc/ssh-monitor.conf when UseSAC is off or SAC_API_KEY empty or sac-client.sh is missing, with backup. Leaves configured hosts untouched.	2026-05-27 15:23:35 +10:00
PTah	49ea1d2a7d	chore: bump version to 1.2.1-SAC	2026-05-27 14:44:03 +10:00
PTah	29c91ee0db	feat: send full daily report body and stats in SAC details	2026-05-27 14:15:13 +10:00
PTah	8627fdbcec	chore: bump agent version to 1.2.0-SAC	2026-05-27 14:09:35 +10:00
PTah	a4ea24c3f1	feat: SAC fallback failure counter (2.3) After SAC_FALLBACK_FAILURES consecutive POST errors, skip SAC until /health recovers; persist count in SAC_FAIL_COUNT_FILE.	2026-05-27 13:36:19 +10:00
PTah	3a1c9655ca	feat: exclusive pilot — spool flush and verify script Replay spool on each monitor loop; sac_post_payload refactor; pilot-verify-exclusive.sh and --check-sac hints for exclusive mode.	2026-05-27 13:25:47 +10:00
PTah	f1c4adcc13	feat: first deploy via update_ssh_monitor.sh --deploy Add first_deploy.sh wrapper and --deploy mode: git clone, install ssh-monitor and sac-client, optional config/systemd/updater copy, console summary and config variable checklist.	2026-05-27 12:36:02 +10:00
PTah	1928e68088	fix: POST ingest to /api/v1/events when SAC_URL is host root Health already used sac_base_url(); ingest used raw SAC_URL and got HTTP 405 when config had only https://host without /api/v1/events.	2026-05-27 12:22:10 +10:00
PTah	4cb158f30a	fix: always sync sac-client.sh in update_ssh_monitor Copy sac-client.sh on every git pull by checksum, not only when ssh-monitor binary changes. Restart service when either file updates.	2026-05-27 12:20:14 +10:00
PTah	18562af07a	feat: map security events to SAC typed payloads	2026-05-27 11:24:19 +10:00
PTah	52654e2735	feat: sudo и notify_send шлют события в SAC (dual)	2026-05-27 11:01:47 +10:00
PTah	a58027ed9b	fix: update_ssh_monitor копирует sac-client.sh, REPO kalinamall	2026-05-27 10:47:38 +10:00
PTah	ce48008738	merge: kalinamall main + UseSAC sac-client	2026-05-27 10:40:03 +10:00
PTah	dd971d80bc	feat: UseSAC sac-client.sh and --check-sac	2026-05-26 21:46:35 +10:00
PTah	2c65edf7db	sync: align internal repo with 1.1.3-server-label - REPO_URL points to git.kalinamall.ru - ssh-monitor.conf may be committed here (secrets); .env still ignored - Docs note for closed vs public GitHub	2026-05-26 19:34:01 +10:00
PTah	44f8eb6103	chore: ignore production config files with secrets ssh-monitor.conf and local overrides must not be committed to public GitHub.	2026-05-26 19:33:39 +10:00
PTah	b801cf2385	feat: подпись сервера во всех уведомлениях и документация Добавлены message_ensure_server_line и SERVER_DISPLAY_NAME; версия 1.1.3-server-label. Гайды по уведомлениям и автообновлению.	2026-05-25 09:23:32 +10:00
PapaTramp	e2c0d5cbc7	Update update_ssh_monitor.sh	2026-05-14 12:59:12 +10:00
PapaTramp	3d20498515	Create update_ssh_monitor.sh Скрипт проверки наличия обновлений основного скрипта	2026-05-14 12:57:55 +10:00
Andrey Lutsenko	48d5a0aeba	Remove rutube artifacts from repo; ignore local downloader files	2026-05-03 19:51:00 +10:00
Andrey Lutsenko	cde5b8c135	Add rutube-download helper and yt-dlp archive id list	2026-05-03 19:48:28 +10:00
Andrey Lutsenko	654822304e	docs: English readme, MIT license, README cleanup - Add readme_eng.md (parallel to README.md) - Add LICENSE (MIT) - Refresh README (version, repo table, license section)	2026-05-03 19:44:45 +10:00
ssh-monitor	2cf6c145ab	Add ENABLE_IP_BAN mode switch Introduce ENABLE_IP_BAN in config and script. When set to 0, ssh-monitor works in monitor-only mode (alerts without ipset/iptables bans).	2026-04-16 12:13:27 +10:00
ssh-monitor	b5b37b7e84	Переход автобана на ipset, документация и правки README - ssh-monitor: баны через ipset (hash:ip timeout), одно правило iptables/ip6tables; нормализация бан-листа (один IP — одна строка), версия 1.1.1-ipset. - docs/install-prerequisites.ru.md: зависимости и установка пакетов (в т.ч. ipset). - README: ссылка на docs, установка скрипта/systemd без дублирования apt; пометка про ipset. - IPSET-NOTES.txt: заметки по развёртыванию ipset. - ssh-monitor.conf.example: закомментированные переменные IPSET_*.	2026-04-16 11:30:04 +10:00
ssh-monitor	074032b761	README: абзац с ключевыми темами для поиска на GitHub.	2026-04-14 14:16:08 +10:00
ssh-monitor	85730bafb0	Версия 1.0.0: релиз, Makefile (make dist), README и .gitignore для архива.	2026-04-14 13:52:26 +10:00
ssh-monitor	e273c995a5	Удалена интеграция Zabbix; остались Telegram и email (SMTP).	2026-04-14 12:20:04 +10:00
ssh-monitor	5f9abc5e4c	Zabbix: передать ZABBIX_SERVER/HOST_NAME в окружение python3 для trapper	2026-04-14 11:47:25 +10:00
ssh-monitor	6ff93d9552	Zabbix: короткий plain для канала; seq в файле; alert через python3 -o	2026-04-14 11:41:03 +10:00
ssh-monitor	7d8cb00689	Zabbix: усечение UTF-8 для trapper Character (ZABBIX_ALERT_MAX_BYTES)	2026-04-14 11:29:45 +10:00
ssh-monitor	c83b4f19d1	Zabbix alert: убрать NUL из текста перед trapper (-i)	2026-04-14 11:15:19 +10:00
ssh-monitor	54e90672c8	Zabbix: успех только по failed:0 в ответе; seq через -k/-o; подсказка при отказе сервера	2026-04-14 11:10:30 +10:00
ssh-monitor	7e83dc6a83	Zabbix: логировать stdout+stderr zabbix_sender; успех при failed: 0 в ответе	2026-04-14 11:06:11 +10:00
ssh-monitor	190add949d	Zabbix: два вызова zabbix_sender (alert и seq), лог stderr при ошибке	2026-04-14 10:57:32 +10:00
ssh-monitor	27219355c2	fix(notify): отправка во все каналы NOTIFY_ORDER, не только первый успех - BACKUP_WEBHOOK только если все каналы неуспешны - README/conf.example; версия 0.9.5.3	2026-04-14 10:50:38 +10:00
ssh-monitor	98f63e77ad	fix: локальное время в уведомлениях (NOTIFY_TZ) и антидубль Accepted - notification_date: NOTIFY_TZ → DAILY_REPORT_TZ → date процесса - SSH_ACCEPT_NOTIFY_DEDUP_SEC: пауза между Telegram для той же пары user+IP - версия 0.9.5.2, README и conf.example	2026-04-14 10:23:58 +10:00
ssh-monitor	fa3d415fd9	chore: версия 0.9.5.1	2026-04-14 10:14:22 +10:00
ssh-monitor	06c8fe2e8e	fix: дубли SSH (journal + Accepted) и logind при Service=sshd - journalctl: _COMM=sshd, fallback sshd/ssh; sort -u - dedupe Accepted в одном проходе по user\|ip\|port - LOGIND_SKIP_REMOTE: Type=ssh или Service=sshd, повторы loginctl	2026-04-14 10:12:40 +10:00
ssh-monitor	95ff57bc4d	feat: строка «Сервер» с основным IPv4 в старте/стопе, отчёте и heartbeat	2026-04-14 10:08:29 +10:00
ssh-monitor	79233f52f7	fix: версия в Telegram при старте сразу под заголовком	2026-04-14 10:06:02 +10:00
ssh-monitor	e9c98d4647	docs: обязательный NOTIFY_CHAIN в README и ssh-monitor.conf.example	2026-04-14 09:56:18 +10:00
ssh-monitor	a3bd7ed9ad	fix: выход с ошибкой, если нет ни одного канала NOTIFY_CHAIN	2026-04-14 09:55:03 +10:00
ssh-monitor	a90efd3ed8	docs: Zabbix и пояснение ZABBIX_SEQ_KEY в README	2026-04-14 09:52:07 +10:00
ssh-monitor	36dddb35d6	feat(notify): каскад telegram → zabbix → email, NOTIFY_ORDER, SMTP, v0.9.5	2026-04-14 09:44:43 +10:00
PTah	85c18be12e	chore: зафиксировать линию версий 0.9 (semver 0.9.0) - Комментарий в скрипте и уточнение в README	2026-04-14 08:11:49 +10:00
PTah	f9e033777e	feat: версия 0.9.0, --version и вывод в лог/health/старт - SSH_MONITOR_VERSION + суффикс +git[-dirty] при запуске из репозитория - README: раздел про версионирование	2026-04-14 08:05:50 +10:00
PTah	256e1c2430	feat(heartbeat): строка сервера с основным IPv4 в скобках	2026-04-14 07:59:52 +10:00
PTah	938f5d76ee	fix(logind): не дублировать SSH при Type=tty и Service=sshd - LOGIND_SKIP_REMOTE: учёт Service=sshd, короткие повторы loginctl при гонке - README и пример конфига	2026-04-13 12:28:00 +10:00
PTah	4cae3da108	feat: единая инициализация меток LAST_* для SSH/sudo/logind - checkpoint_stamp_init_if_bad: нет файла / битое значение → только метка «сейчас», без бэклога - sudo/logind: убрано окно -30m при «первом» запуске (как у SSH) - README: раздел про файлы-метки и отличие LAST_SECURITY_EVENTS_FILE	2026-04-13 10:06:57 +10:00
Луценко Андрей Анатольевич	9b453657d2	feat: мониторинг systemd-logind (journalctl), конфиг и антидубль SSH - Опрос journalctl -u systemd-logind, LAST_LOGIND_CHECK_FILE, LOGIND_* - README: параметры logind, ротация LAST_*, journalctl	2026-04-13 09:45:41 +10:00