Этап 2: чат 1:1 — устройства, очередь, SSE, шифрование сообщений

Сервер: регистрация устройств и X-Device, hub с одним потоком на устройство,
очередь per-device с фан-аутом без эха отправителю, POST /api/messages
с проверками в порядке protocol.md, ACK, SSE с воспроизведением очереди,
ready и пингом раз в 20 секунд, контакты в обе стороны при первом сообщении,
лимит 30 сообщений в минуту.

Клиент: ULID, ключ 1:1 из ECDH через HKDF, шифрование конверта с AAD,
sync.js как единственный писатель в IndexedDB, ACK строго после записи,
список чатов, экран чата по эталону, разделители дат и «новые»,
pending и failed с повтором, полоса «нет соединения».

ADR-033: у неотправленного есть текст отказа — clock_skew стало видно.
ADR-034: входящее с известным id не перезаписывает запись. Собеседник знает
открытый id конверта и подменял им чужое сообщение в чужой истории — вплоть
до стирания своего присланного, чего «удалить у всех не существует» не допускает.
ADR-035: один поток событий на браузерный профиль (locks + BroadcastChannel):
две вкладки отбирали поток друг у друга и оставались без живой доставки.
ADR-036: повтор отправки сохраняет ULID, пока он в пределах окна часов, —
иначе потерянный ответ давал у собеседника два сообщения вместо одного.

Приёмка на боевом сервере: два аккаунта, пять устройств, живая доставка,
копия на второе устройство, очередь офлайн-устройству, ACK, подмена from
игнорируется, чужой deviceId и запрос без Origin отбиваются, плейнтекста
в базе и WAL ноль вхождений.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015DbCjVfTFq4ZFG8juD45YJ

internal/api/api.go

@@ -15,6 +15,7 @@ import (
 
 	"github.com/xmatic-squad/bare/internal/auth"
 	"github.com/xmatic-squad/bare/internal/config"
+	"github.com/xmatic-squad/bare/internal/hub"
 	"github.com/xmatic-squad/bare/internal/store"
 )
 
@@ -27,17 +28,36 @@ const maxLogPath = 256
 // csp — политика из ADR-021. HSTS ставит nginx, здесь его нет.
 const csp = "default-src 'self'; img-src 'self' data:; frame-ancestors 'none'; base-uri 'none'; form-action 'self'"
 
-// server — общее для обработчиков: настройки, база, куда писать журнал.
+// server — общее для обработчиков: настройки, база, открытые потоки
+// событий, лимиты, куда писать журнал.
 type server struct {
 	cfg  *config.Config
 	st   *store.Store
+	hub  *hub.Hub
+	msgs *buckets
 	logw io.Writer
 }
 
+// Handler — обработчик всех маршрутов и живые SSE-потоки за ним.
+type Handler struct {
+	http.Handler
+	hub *hub.Hub
+}
+
+// Close закрывает открытые потоки событий. Без него остановка сервера
+// ждала бы, пока клиенты уйдут сами: у потока нет конца (ADR-004).
+func (h *Handler) Close() { h.hub.CloseAll() }
+
 // New собирает обработчик: /api/, /healthz, всё остальное — статика.
 // logw — куда писать строки запросов и причины отказов; nil отключает лог.
-func New(cfg *config.Config, st *store.Store, static http.Handler, logw io.Writer) http.Handler {
-	s := &server{cfg: cfg, st: st, logw: logw}
+func New(cfg *config.Config, st *store.Store, static http.Handler, logw io.Writer) *Handler {
+	s := &server{
+		cfg:  cfg,
+		st:   st,
+		hub:  hub.New(),
+		msgs: newBuckets(messagesPerMinute, messagesBurst),
+		logw: logw,
+	}
 	fail := auth.Fail{Error: Error, Internal: s.internal}
 	// Сессия проверяется на всех непубличных маршрутах (docs/protocol.md).
 	private := auth.Require(st, fail)
@@ -56,13 +76,28 @@ func New(cfg *config.Config, st *store.Store, static http.Handler, logw io.Write
 	mux.Handle("POST /api/password", private(http.HandlerFunc(s.password)))
 	mux.Handle("GET /api/users/{nick}", private(http.HandlerFunc(s.user)))
 
+	mux.Handle("POST /api/devices", private(http.HandlerFunc(s.createDevice)))
+	mux.Handle("GET /api/devices", private(http.HandlerFunc(s.devices)))
+	mux.Handle("DELETE /api/devices/{id}", private(http.HandlerFunc(s.deleteDevice)))
+
+	mux.Handle("GET /api/contacts", private(http.HandlerFunc(s.contacts)))
+	mux.Handle("POST /api/contacts", private(http.HandlerFunc(s.addContact)))
+	mux.Handle("DELETE /api/contacts/{nick}", private(http.HandlerFunc(s.deleteContact)))
+
+	mux.Handle("GET /api/events", private(http.HandlerFunc(s.events)))
+	mux.Handle("POST /api/messages", private(http.HandlerFunc(s.sendMessage)))
+	mux.Handle("POST /api/ack", private(http.HandlerFunc(s.ack)))
+
 	// Всё прочее под /api/ — 404, включая неподдерживаемый метод известного
 	// пути: кода 405 в протоколе нет (ADR-026). Этот маршрут заодно не даёт
 	// запросам к /api/ уходить в обработчик статики.
 	mux.HandleFunc("/api/", func(w http.ResponseWriter, r *http.Request) { NotFound(w) })
 	mux.Handle("/", static)
 
-	return logging(logw, headers(auth.Origin(cfg.Origin, fail)(limitBody(mux))))
+	return &Handler{
+		Handler: logging(logw, headers(auth.Origin(cfg.Origin, fail)(limitBody(mux)))),
+		hub:     s.hub,
+	}
 }
 
 func healthz(w http.ResponseWriter, r *http.Request) {