Files

T

mayatnikovandClaude Opus 5 db45978b16 Этап 6: закалка — лимиты ADR-021, аудит модели угроз, сверка документов

Лимиты: все четыре правила ADR-021 — регистрация 5/час на IP, вход 10/10 мин
на IP и ник, сообщения 30/мин, прочие изменяющие 60/мин; 429 с Retry-After;
X-Real-IP читается только с loopback, иначе адрес соединения — иначе заголовок
отменял бы лимит на IP; карты вёдер ограничены поколениями.

Аудит нашёл то, что пропустили пять раундов ревью:
ADR-056: nginx вёл access_log с IP и полными путями вопреки обещанию deploy.md.
Ники и социальный граф ложились в /var/log/nginx рядом с чистым журналом bare.
ADR-058: «выйти на других устройствах» не обрывал уже открытый SSE — отозванная
сессия продолжала получать сообщения.
ADR-059: промежуточный ключ комнаты был невосстановим. Участник, пропустивший
офлайн два rekey подряд, навсегда не расшифровал бы сообщения среднего ключа —
вопреки обещанию storage.md о повторной попытке после получения keyId.
ADR-063: ACK уходил по одному на конверт, а не пачкой. Получатель в оживлённой
комнате выедал общее ведро подтверждениями и упирался в 429 на всех изменяющих
запросах, включая выход из комнаты: 116 отказов за прогон стало нулём.
ADR-055, 057, 060, 061, 062: ключи вёдер и границы, +dirty у bare version,
403 unknown_device не хоронит сообщение, усечение имени в подсказке ввода,
kdf как оракул после повышения цели KDF.

Модель угроз пополнена тем, что действительно видит оператор: push-подписки
лежат в базе открытым текстом, и вместе с VAPID-ключом с той же машины это
произвольное уведомление на экране блокировки.

README приведён к v1.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_015DbCjVfTFq4ZFG8juD45YJ

2026-08-23 06:22:52 +03:00

3.3 KiB

Raw Permalink Blame History

ADR-033: Текст отказа у неотправленного сообщения

Уточнён ADR-036 (новая попытка заводит запись без поля error) и ADR-060 (403 unknown_device — не отказ сообщению).

Контекст

docs/storage.md задаёт судьбу исходящего: 202 → sent, сетевая ошибка → остаётся pending, 4xx → failed «с текстом ошибки». Поля для этого текста в записи messages нет — есть только status.

docs/ui.md описывает вторую половину так же наполовину. У сообщения в ленте есть пометка «не отправлено · повторить», одна на все причины. clock_skew записан в «Сеть и состояния» с текстом «проверьте часы на устройстве: расхождение больше 5 минут», но где он показывается — не сказано, а показать его негде: пометка у сообщения фиксирована, строка состояния формы (ADR-028) в чате не живёт.

Этап 2 упёрся в это на первой же отправке. Причина отказа известна ровно в момент ответа сервера, а сообщение живёт дальше и переживает перезагрузку страницы.

Решение

Запись messages получает необязательное поле error: string — текст отказа, из-за которого сообщение стало failed. Тексты берутся из тех же перечней, что и у форм: коды docs/protocol.md и строки ADR-028. Новых строк интерфейса это решение не заводит.
Поле живёт только у failed. Новая попытка отправки заводит запись с новым ULID и без него.
Текст показывается полосой над вводом цветом mark — там же, где «нет соединения» и предупреждение о ключе. Место одно, как требует ADR-028; пометка «не отправлено · повторить» у самого сообщения не меняется.
Поле служебное: на сервер не уходит и в архив .bare не пишется, как и raw.

Следствия

clock_skew наконец видно: расхождение часов объясняется словами, а не молчаливым «не отправлено».
Текст переживает перезагрузку вместе с сообщением: он часть записи, а не состояние экрана.
Причин у полосы над вводом становится три — нет соединения, ключ изменился, отказ отправки. Больше одной сразу не показывается: полоса одна.

3.3 KiB Raw Permalink Blame History

ADR-033: Текст отказа у неотправленного сообщения

Контекст

Решение

Следствия

3.3 KiB

Raw Permalink Blame History