задачи: переписана disc-image-releases под проверенное поведение Jellyfin

- BDMV раскладывается каталогом, VIDEO_TS и .iso уходят в review: DVD-каталог
  Jellyfin распознаёт, но не проигрывает
- добавлены «Затрагивает» и критерии приёмки, задача проходит tasks.py ready

.claude/commands/opsx/apply.md

@@ -7,6 +7,8 @@ tags: [workflow, artifacts, experimental]
 
 Implement tasks from an OpenSpec change.
 
+**Store selection:** If the user names a store (a store is a standalone OpenSpec repo registered on this machine) or the work lives in one, run `openspec store list --json` to discover registered store ids, then pass `--store <id>` on the commands that read or write specs and changes (`new change`, `status`, `instructions`, `list`, `show`, `validate`, `archive`, `doctor`, `context`). Other commands do not take the flag. Hints printed by commands already carry the flag; keep it on follow-ups. Without a store, commands act on the nearest local `openspec/` root.
+
 **Input**: Optionally specify a change name (e.g., `/opsx:apply add-auth`). If omitted, check if it can be inferred from conversation context. If vague or ambiguous you MUST prompt for available changes.
 
 **Steps**
@@ -46,8 +48,6 @@ Implement tasks from an OpenSpec change.
    - If `state: "all_done"`: congratulate, suggest archive
    - Otherwise: proceed to implementation
 
-   **Workspace guard:** If status JSON reports `actionContext.mode: "workspace-planning"` and `allowedEditRoots` is empty, explain that full workspace apply is not supported in this slice. Treat linked repos and folders as read-only context, ask the user to select an affected area through an explicit implementation workflow, and STOP before editing files.
-
 4. **Read context files**
 
    Read every file path listed under `contextFiles` from the apply instructions output.

.claude/commands/opsx/archive.md

@@ -7,6 +7,8 @@ tags: [workflow, archive, experimental]
 
 Archive a completed change in the experimental workflow.
 
+**Store selection:** If the user names a store (a store is a standalone OpenSpec repo registered on this machine) or the work lives in one, run `openspec store list --json` to discover registered store ids, then pass `--store <id>` on the commands that read or write specs and changes (`new change`, `status`, `instructions`, `list`, `show`, `validate`, `archive`, `doctor`, `context`). Other commands do not take the flag. Hints printed by commands already carry the flag; keep it on follow-ups. Without a store, commands act on the nearest local `openspec/` root.
+
 **Input**: Optionally specify a change name after `/opsx:archive` (e.g., `/opsx:archive add-auth`). If omitted, check if it can be inferred from conversation context. If vague or ambiguous you MUST prompt for available changes.
 
 **Steps**
@@ -29,8 +31,6 @@ Archive a completed change in the experimental workflow.
    - `planningHome`, `changeRoot`, `artifactPaths`, and `actionContext`: path and scope context
    - `artifacts`: List of artifacts with their status (`done` or other)
 
-   If status reports `actionContext.mode: "workspace-planning"`, explain that workspace archive is not supported in this slice and STOP. Do not move workspace changes into repo-local archives or edit linked repos.
-
    **If any artifacts are not `done`:**
    - Display warning listing incomplete artifacts
    - Prompt user for confirmation to continue

.claude/commands/opsx/explore.md

@@ -11,6 +11,8 @@ Enter explore mode. Think deeply. Visualize freely. Follow the conversation wher
 
 **This is a stance, not a workflow.** There are no fixed steps, no required sequence, no mandatory outputs. You're a thinking partner helping the user explore.
 
+**Store selection:** If the user names a store (a store is a standalone OpenSpec repo registered on this machine) or the work lives in one, run `openspec store list --json` to discover registered store ids, then pass `--store <id>` on the commands that read or write specs and changes (`new change`, `status`, `instructions`, `list`, `show`, `validate`, `archive`, `doctor`, `context`). Other commands do not take the flag. Hints printed by commands already carry the flag; keep it on follow-ups. Without a store, commands act on the nearest local `openspec/` root.
+
 **Input**: The argument after `/opsx:explore` is whatever the user wants to think about. Could be:
 - A vague idea: "real-time collaboration"
 - A specific problem: "the auth system is getting unwieldy"

.claude/commands/opsx/propose.md

@@ -16,6 +16,8 @@ When ready to implement, run /opsx:apply
 
 ---
 
+**Store selection:** If the user names a store (a store is a standalone OpenSpec repo registered on this machine) or the work lives in one, run `openspec store list --json` to discover registered store ids, then pass `--store <id>` on the commands that read or write specs and changes (`new change`, `status`, `instructions`, `list`, `show`, `validate`, `archive`, `doctor`, `context`). Other commands do not take the flag. Hints printed by commands already carry the flag; keep it on follow-ups. Without a store, commands act on the nearest local `openspec/` root.
+
 **Input**: The argument after `/opsx:propose` is the change name (kebab-case), OR a description of what the user wants to build.
 
 **Steps**

.claude/commands/opsx/sync.md

@@ -9,6 +9,8 @@ Sync delta specs from a change to main specs.
 
 This is an **agent-driven** operation - you will read delta specs and directly edit main specs to apply the changes. This allows intelligent merging (e.g., adding a scenario without copying the entire requirement).
 
+**Store selection:** If the user names a store (a store is a standalone OpenSpec repo registered on this machine) or the work lives in one, run `openspec store list --json` to discover registered store ids, then pass `--store <id>` on the commands that read or write specs and changes (`new change`, `status`, `instructions`, `list`, `show`, `validate`, `archive`, `doctor`, `context`). Other commands do not take the flag. Hints printed by commands already carry the flag; keep it on follow-ups. Without a store, commands act on the nearest local `openspec/` root.
+
 **Input**: Optionally specify a change name after `/opsx:sync` (e.g., `/opsx:sync add-auth`). If omitted, check if it can be inferred from conversation context. If vague or ambiguous you MUST prompt for available changes.
 
 **Steps**
@@ -28,8 +30,6 @@ This is an **agent-driven** operation - you will read delta specs and directly e
    openspec status --change "<name>" --json
    ```
 
-   If status reports `actionContext.mode: "workspace-planning"`, explain that workspace spec sync is not supported in this slice and STOP. Do not fall back to repo-local paths or edit linked repos.
-
 3. **Find delta specs**
 
    Use `artifactPaths.specs.existingOutputPaths` from the status JSON as the list of delta spec files.

.claude/settings.json

@@ -0,0 +1,17 @@
+{
+  "enabledPlugins": {
+    "frontend-design@claude-plugins-official": true,
+    "av-dev-git@av-dev-skills": true,
+    "av-dev-docs@av-dev-skills": true,
+    "av-dev-tasks@av-dev-skills": true,
+    "av-dev-code@av-dev-skills": true
+  },
+  "extraKnownMarketplaces": {
+    "av-dev-skills": {
+      "source": {
+        "source": "git",
+        "url": "https://git.vakhrushev.me/av/dev-skills.git"
+      }
+    }
+  }
+}

.claude/skills/openspec-apply-change/SKILL.md

@@ -1,159 +0,0 @@
----
-name: openspec-apply-change
-description: Implement tasks from an OpenSpec change. Use when the user wants to start implementing, continue implementation, or work through tasks.
-license: MIT
-compatibility: Requires openspec CLI.
-metadata:
-  author: openspec
-  version: "1.0"
-  generatedBy: "1.4.1"
----
-
-Implement tasks from an OpenSpec change.
-
-**Input**: Optionally specify a change name. If omitted, check if it can be inferred from conversation context. If vague or ambiguous you MUST prompt for available changes.
-
-**Steps**
-
-1. **Select the change**
-
-   If a name is provided, use it. Otherwise:
-   - Infer from conversation context if the user mentioned a change
-   - Auto-select if only one active change exists
-   - If ambiguous, run `openspec list --json` to get available changes and use the **AskUserQuestion tool** to let the user select
-
-   Always announce: "Using change: <name>" and how to override (e.g., `/opsx:apply <other>`).
-
-2. **Check status to understand the schema**
-   ```bash
-   openspec status --change "<name>" --json
-   ```
-   Parse the JSON to understand:
-   - `schemaName`: The workflow being used (e.g., "spec-driven")
-   - `planningHome`, `changeRoot`, and `actionContext`: planning scope and edit constraints
-   - Which artifact contains the tasks (typically "tasks" for spec-driven, check status for others)
-
-3. **Get apply instructions**
-
-   ```bash
-   openspec instructions apply --change "<name>" --json
-   ```
-
-   This returns:
-   - `contextFiles`: artifact ID -> array of concrete file paths (varies by schema - could be proposal/specs/design/tasks or spec/tests/implementation/docs)
-   - Progress (total, complete, remaining)
-   - Task list with status
-   - Dynamic instruction based on current state
-
-   **Handle states:**
-   - If `state: "blocked"` (missing artifacts): show message, suggest using openspec-continue-change
-   - If `state: "all_done"`: congratulate, suggest archive
-   - Otherwise: proceed to implementation
-
-   **Workspace guard:** If status JSON reports `actionContext.mode: "workspace-planning"` and `allowedEditRoots` is empty, explain that full workspace apply is not supported in this slice. Treat linked repos and folders as read-only context, ask the user to select an affected area through an explicit implementation workflow, and STOP before editing files.
-
-4. **Read context files**
-
-   Read every file path listed under `contextFiles` from the apply instructions output.
-   The files depend on the schema being used:
-   - **spec-driven**: proposal, specs, design, tasks
-   - Other schemas: follow the contextFiles from CLI output
-
-5. **Show current progress**
-
-   Display:
-   - Schema being used
-   - Progress: "N/M tasks complete"
-   - Remaining tasks overview
-   - Dynamic instruction from CLI
-
-6. **Implement tasks (loop until done or blocked)**
-
-   For each pending task:
-   - Show which task is being worked on
-   - Make the code changes required
-   - Keep changes minimal and focused
-   - Mark task complete in the tasks file: `- [ ]` → `- [x]`
-   - Continue to next task
-
-   **Pause if:**
-   - Task is unclear → ask for clarification
-   - Implementation reveals a design issue → suggest updating artifacts
-   - Error or blocker encountered → report and wait for guidance
-   - User interrupts
-
-7. **On completion or pause, show status**
-
-   Display:
-   - Tasks completed this session
-   - Overall progress: "N/M tasks complete"
-   - If all done: suggest archive
-   - If paused: explain why and wait for guidance
-
-**Output During Implementation**
-
-```
-## Implementing: <change-name> (schema: <schema-name>)
-
-Working on task 3/7: <task description>
-[...implementation happening...]
-✓ Task complete
-
-Working on task 4/7: <task description>
-[...implementation happening...]
-✓ Task complete
-```
-
-**Output On Completion**
-
-```
-## Implementation Complete
-
-**Change:** <change-name>
-**Schema:** <schema-name>
-**Progress:** 7/7 tasks complete ✓
-
-### Completed This Session
-- [x] Task 1
-- [x] Task 2
-...
-
-All tasks complete! Ready to archive this change.
-```
-
-**Output On Pause (Issue Encountered)**
-
-```
-## Implementation Paused
-
-**Change:** <change-name>
-**Schema:** <schema-name>
-**Progress:** 4/7 tasks complete
-
-### Issue Encountered
-<description of the issue>
-
-**Options:**
-1. <option 1>
-2. <option 2>
-3. Other approach
-
-What would you like to do?
-```
-
-**Guardrails**
-- Keep going through tasks until done or blocked
-- Always read context files before starting (from the apply instructions output)
-- If task is ambiguous, pause and ask before implementing
-- If implementation reveals issues, pause and suggest artifact updates
-- Keep code changes minimal and scoped to each task
-- Update task checkbox immediately after completing each task
-- Pause on errors, blockers, or unclear requirements - don't guess
-- Use contextFiles from CLI output, don't assume specific file names
-
-**Fluid Workflow Integration**
-
-This skill supports the "actions on a change" model:
-
-- **Can be invoked anytime**: Before all artifacts are done (if tasks exist), after partial implementation, interleaved with other actions
-- **Allows artifact updates**: If implementation reveals design issues, suggest updating artifacts - not phase-locked, work fluidly

.claude/skills/openspec-archive-change/SKILL.md

@@ -1,117 +0,0 @@
----
-name: openspec-archive-change
-description: Archive a completed change in the experimental workflow. Use when the user wants to finalize and archive a change after implementation is complete.
-license: MIT
-compatibility: Requires openspec CLI.
-metadata:
-  author: openspec
-  version: "1.0"
-  generatedBy: "1.4.1"
----
-
-Archive a completed change in the experimental workflow.
-
-**Input**: Optionally specify a change name. If omitted, check if it can be inferred from conversation context. If vague or ambiguous you MUST prompt for available changes.
-
-**Steps**
-
-1. **If no change name provided, prompt for selection**
-
-   Run `openspec list --json` to get available changes. Use the **AskUserQuestion tool** to let the user select.
-
-   Show only active changes (not already archived).
-   Include the schema used for each change if available.
-
-   **IMPORTANT**: Do NOT guess or auto-select a change. Always let the user choose.
-
-2. **Check artifact completion status**
-
-   Run `openspec status --change "<name>" --json` to check artifact completion.
-
-   Parse the JSON to understand:
-   - `schemaName`: The workflow being used
-   - `planningHome`, `changeRoot`, `artifactPaths`, and `actionContext`: path and scope context
-   - `artifacts`: List of artifacts with their status (`done` or other)
-
-   If status reports `actionContext.mode: "workspace-planning"`, explain that workspace archive is not supported in this slice and STOP. Do not move workspace changes into repo-local archives or edit linked repos.
-
-   **If any artifacts are not `done`:**
-   - Display warning listing incomplete artifacts
-   - Use **AskUserQuestion tool** to confirm user wants to proceed
-   - Proceed if user confirms
-
-3. **Check task completion status**
-
-   Read the tasks file (typically `tasks.md`) to check for incomplete tasks.
-
-   Count tasks marked with `- [ ]` (incomplete) vs `- [x]` (complete).
-
-   **If incomplete tasks found:**
-   - Display warning showing count of incomplete tasks
-   - Use **AskUserQuestion tool** to confirm user wants to proceed
-   - Proceed if user confirms
-
-   **If no tasks file exists:** Proceed without task-related warning.
-
-4. **Assess delta spec sync state**
-
-   Use `artifactPaths.specs.existingOutputPaths` from status JSON to check for delta specs. If none exist, proceed without sync prompt.
-
-   **If delta specs exist:**
-   - Compare each delta spec with its corresponding main spec at `openspec/specs/<capability>/spec.md`
-   - Determine what changes would be applied (adds, modifications, removals, renames)
-   - Show a combined summary before prompting
-
-   **Prompt options:**
-   - If changes needed: "Sync now (recommended)", "Archive without syncing"
-   - If already synced: "Archive now", "Sync anyway", "Cancel"
-
-   If user chooses sync, use Task tool (subagent_type: "general-purpose", prompt: "Use Skill tool to invoke openspec-sync-specs for change '<name>'. Delta spec analysis: <include the analyzed delta spec summary>"). Proceed to archive regardless of choice.
-
-5. **Perform the archive**
-
-   Create an `archive` directory under `planningHome.changesDir` if it doesn't exist:
-   ```bash
-   mkdir -p "<planningHome.changesDir>/archive"
-   ```
-
-   Generate target name using current date: `YYYY-MM-DD-<change-name>`
-
-   **Check if target already exists:**
-   - If yes: Fail with error, suggest renaming existing archive or using different date
-   - If no: Move `changeRoot` to the archive directory
-
-   ```bash
-   mv "<changeRoot>" "<planningHome.changesDir>/archive/YYYY-MM-DD-<name>"
-   ```
-
-6. **Display summary**
-
-   Show archive completion summary including:
-   - Change name
-   - Schema that was used
-   - Archive location
-   - Whether specs were synced (if applicable)
-   - Note about any warnings (incomplete artifacts/tasks)
-
-**Output On Success**
-
-```
-## Archive Complete
-
-**Change:** <change-name>
-**Schema:** <schema-name>
-**Archived to:** the archive path derived from `planningHome.changesDir`/YYYY-MM-DD-<name>/
-**Specs:** ✓ Synced to main specs (or "No delta specs" or "Sync skipped")
-
-All artifacts complete. All tasks complete.
-```
-
-**Guardrails**
-- Always prompt for change selection if not provided
-- Use artifact graph (openspec status --json) for completion checking
-- Don't block archive on warnings - just inform and confirm
-- Preserve .openspec.yaml when moving to archive (it moves with the directory)
-- Show clear summary of what happened
-- If sync is requested, use openspec-sync-specs approach (agent-driven)
-- If delta specs exist, always run the sync assessment and show the combined summary before prompting

.claude/skills/openspec-explore/SKILL.md

@@ -1,287 +0,0 @@
----
-name: openspec-explore
-description: Enter explore mode - a thinking partner for exploring ideas, investigating problems, and clarifying requirements. Use when the user wants to think through something before or during a change.
-license: MIT
-compatibility: Requires openspec CLI.
-metadata:
-  author: openspec
-  version: "1.0"
-  generatedBy: "1.4.1"
----
-
-Enter explore mode. Think deeply. Visualize freely. Follow the conversation wherever it goes.
-
-**IMPORTANT: Explore mode is for thinking, not implementing.** You may read files, search code, and investigate the codebase, but you must NEVER write code or implement features. If the user asks you to implement something, remind them to exit explore mode first and create a change proposal. You MAY create OpenSpec artifacts (proposals, designs, specs) if the user asks—that's capturing thinking, not implementing.
-
-**This is a stance, not a workflow.** There are no fixed steps, no required sequence, no mandatory outputs. You're a thinking partner helping the user explore.
-
----
-
-## The Stance
-
-- **Curious, not prescriptive** - Ask questions that emerge naturally, don't follow a script
-- **Open threads, not interrogations** - Surface multiple interesting directions and let the user follow what resonates. Don't funnel them through a single path of questions.
-- **Visual** - Use ASCII diagrams liberally when they'd help clarify thinking
-- **Adaptive** - Follow interesting threads, pivot when new information emerges
-- **Patient** - Don't rush to conclusions, let the shape of the problem emerge
-- **Grounded** - Explore the actual codebase when relevant, don't just theorize
-
----
-
-## What You Might Do
-
-Depending on what the user brings, you might:
-
-**Explore the problem space**
-- Ask clarifying questions that emerge from what they said
-- Challenge assumptions
-- Reframe the problem
-- Find analogies
-
-**Investigate the codebase**
-- Map existing architecture relevant to the discussion
-- Find integration points
-- Identify patterns already in use
-- Surface hidden complexity
-
-**Compare options**
-- Brainstorm multiple approaches
-- Build comparison tables
-- Sketch tradeoffs
-- Recommend a path (if asked)
-
-**Visualize**
-```
-┌─────────────────────────────────────────┐
-│     Use ASCII diagrams liberally        │
-├─────────────────────────────────────────┤
-│                                         │
-│      ┌────────┐         ┌────────┐      │
-│      │ State  │────────▶│ State  │      │
-│      │   A    │         │   B    │      │
-│      └────────┘         └────────┘      │
-│                                         │
-│   System diagrams, state machines,      │
-│   data flows, architecture sketches,    │
-│   dependency graphs, comparison tables  │
-│                                         │
-└─────────────────────────────────────────┘
-```
-
-**Surface risks and unknowns**
-- Identify what could go wrong
-- Find gaps in understanding
-- Suggest spikes or investigations
-
----
-
-## OpenSpec Awareness
-
-You have full context of the OpenSpec system. Use it naturally, don't force it.
-
-### Check for context
-
-At the start, quickly check what exists:
-```bash
-openspec list --json
-```
-
-This tells you:
-- If there are active changes
-- Their names, schemas, and status
-- What the user might be working on
-
-### When no change exists
-
-Think freely. When insights crystallize, you might offer:
-
-- "This feels solid enough to start a change. Want me to create a proposal?"
-- Or keep exploring - no pressure to formalize
-
-### When a change exists
-
-If the user mentions a change or you detect one is relevant:
-
-1. **Resolve and read existing artifacts for context**
-   - Run `openspec status --change "<name>" --json`.
-   - Use `changeRoot`, `artifactPaths`, and `actionContext` from the status JSON.
-   - Read existing files from `artifactPaths.<artifact>.existingOutputPaths`.
-
-2. **Reference them naturally in conversation**
-   - "Your design mentions using Redis, but we just realized SQLite fits better..."
-   - "The proposal scopes this to premium users, but we're now thinking everyone..."
-
-3. **Offer to capture when decisions are made**
-
-    | Insight Type               | Where to Capture               |
-    |----------------------------|--------------------------------|
-    | New requirement discovered | `specs/<capability>/spec.md` |
-    | Requirement changed        | `specs/<capability>/spec.md` |
-    | Design decision made       | `design.md`                  |
-    | Scope changed              | `proposal.md`                |
-    | New work identified        | `tasks.md`                   |
-    | Assumption invalidated     | Relevant artifact              |
-
-   Example offers:
-   - "That's a design decision. Capture it in design.md?"
-   - "This is a new requirement. Add it to specs?"
-   - "This changes scope. Update the proposal?"
-
-4. **The user decides** - Offer and move on. Don't pressure. Don't auto-capture.
-
----
-
-## What You Don't Have To Do
-
-- Follow a script
-- Ask the same questions every time
-- Produce a specific artifact
-- Reach a conclusion
-- Stay on topic if a tangent is valuable
-- Be brief (this is thinking time)
-
----
-
-## Handling Different Entry Points
-
-**User brings a vague idea:**
-```
-User: I'm thinking about adding real-time collaboration
-
-You: Real-time collab is a big space. Let me think about this...
-
-      COLLABORATION SPECTRUM
-      ════════════════════════════════════════════
-
-      Awareness          Coordination         Sync
-          │                   │                 │
-          ▼                   ▼                 ▼
-      ┌────────┐         ┌────────┐        ┌────────┐
-      │Presence│         │Cursors │        │  CRDT  │
-      │  "3    │         │ Multi  │        │Conflict│
-      │online" │         │ select │        │  free  │
-      └────────┘         └────────┘        └────────┘
-          │                   │                 │
-       trivial            moderate           complex
-
-      Where's your head at?
-```
-
-**User brings a specific problem:**
-```
-User: The auth system is a mess
-
-You: [reads codebase]
-
-     ┌─────────────────────────────────────────────┐
-     │              CURRENT AUTH FLOW              │
-     └─────────────────────────────────────────────┘
-                        │
-          ┌─────────────┼─────────────┐
-          ▼             ▼             ▼
-     ┌─────────┐  ┌─────────┐  ┌─────────┐
-     │ Google  │  │  GitHub │  │  Email  │
-     │  OAuth  │  │  OAuth  │  │  Magic  │
-     └────┬────┘  └────┬────┘  └────┬────┘
-          │             │             │
-          └─────────────┼─────────────┘
-                        ▼
-                  ┌───────────┐
-                  │  Session  │
-                  └─────┬─────┘
-                        │
-                        ▼
-                  ┌───────────┐
-                  │   Perms   │
-                  └───────────┘
-
-     I see three tangles. Which one's burning?
-```
-
-**User is stuck mid-implementation:**
-```
-User: /opsx:explore add-auth-system
-      The OAuth integration is more complex than expected
-
-You: [reads change artifacts]
-
-     You're on task 4: "Implement OAuth flow"
-
-     Let me trace what's involved...
-
-     [draws diagram, explores options, suggests paths]
-
-     Want to update the design to reflect this?
-     Or add a spike task to investigate?
-```
-
-**User wants to compare options:**
-```
-User: Should we use Postgres or SQLite?
-
-You: Generic answer is boring. What's the context?
-
-User: A CLI tool that tracks local dev environments
-
-You: That changes everything.
-
-     ┌─────────────────────────────────────────────────┐
-     │          CLI TOOL DATA STORAGE                  │
-     └─────────────────────────────────────────────────┘
-
-     Key constraints:
-     • No daemon running
-     • Must work offline
-     • Single user
-
-                  SQLite          Postgres
-     Deployment   embedded ✓      needs server ✗
-     Offline      yes ✓           no ✗
-     Single file  yes ✓           no ✗
-
-     SQLite. Not even close.
-
-     Unless... is there a sync component?
-```
-
----
-
-## Ending Discovery
-
-There's no required ending. Discovery might:
-
-- **Flow into a proposal**: "Ready to start? I can create a change proposal."
-- **Result in artifact updates**: "Updated design.md with these decisions"
-- **Just provide clarity**: User has what they need, moves on
-- **Continue later**: "We can pick this up anytime"
-
-When it feels like things are crystallizing, you might summarize:
-
-```
-## What We Figured Out
-
-**The problem**: [crystallized understanding]
-
-**The approach**: [if one emerged]
-
-**Open questions**: [if any remain]
-
-**Next steps** (if ready):
-- Create a change proposal
-- Keep exploring: just keep talking
-```
-
-But this summary is optional. Sometimes the thinking IS the value.
-
----
-
-## Guardrails
-
-- **Don't implement** - Never write code or implement features. Creating OpenSpec artifacts is fine, writing application code is not.
-- **Don't fake understanding** - If something is unclear, dig deeper
-- **Don't rush** - Discovery is thinking time, not task time
-- **Don't force structure** - Let patterns emerge naturally
-- **Don't auto-capture** - Offer to save insights, don't just do it
-- **Do visualize** - A good diagram is worth many paragraphs
-- **Do explore the codebase** - Ground discussions in reality
-- **Do question assumptions** - Including the user's and your own

.claude/skills/openspec-propose/SKILL.md

@@ -1,111 +0,0 @@
----
-name: openspec-propose
-description: Propose a new change with all artifacts generated in one step. Use when the user wants to quickly describe what they want to build and get a complete proposal with design, specs, and tasks ready for implementation.
-license: MIT
-compatibility: Requires openspec CLI.
-metadata:
-  author: openspec
-  version: "1.0"
-  generatedBy: "1.4.1"
----
-
-Propose a new change - create the change and generate all artifacts in one step.
-
-I'll create a change with artifacts:
-- proposal.md (what & why)
-- design.md (how)
-- tasks.md (implementation steps)
-
-When ready to implement, run /opsx:apply
-
----
-
-**Input**: The user's request should include a change name (kebab-case) OR a description of what they want to build.
-
-**Steps**
-
-1. **If no clear input provided, ask what they want to build**
-
-   Use the **AskUserQuestion tool** (open-ended, no preset options) to ask:
-   > "What change do you want to work on? Describe what you want to build or fix."
-
-   From their description, derive a kebab-case name (e.g., "add user authentication" → `add-user-auth`).
-
-   **IMPORTANT**: Do NOT proceed without understanding what the user wants to build.
-
-2. **Create the change directory**
-   ```bash
-   openspec new change "<name>"
-   ```
-   This creates a scaffolded change in the planning home resolved by the CLI with `.openspec.yaml`.
-
-3. **Get the artifact build order**
-   ```bash
-   openspec status --change "<name>" --json
-   ```
-   Parse the JSON to get:
-   - `applyRequires`: array of artifact IDs needed before implementation (e.g., `["tasks"]`)
-   - `artifacts`: list of all artifacts with their status and dependencies
-   - `planningHome`, `changeRoot`, `artifactPaths`, and `actionContext`: path and scope context. Use these instead of assuming repo-local paths.
-
-4. **Create artifacts in sequence until apply-ready**
-
-   Use the **TodoWrite tool** to track progress through the artifacts.
-
-   Loop through artifacts in dependency order (artifacts with no pending dependencies first):
-
-   a. **For each artifact that is `ready` (dependencies satisfied)**:
-      - Get instructions:
-        ```bash
-        openspec instructions <artifact-id> --change "<name>" --json
-        ```
-      - The instructions JSON includes:
-        - `context`: Project background (constraints for you - do NOT include in output)
-        - `rules`: Artifact-specific rules (constraints for you - do NOT include in output)
-        - `template`: The structure to use for your output file
-        - `instruction`: Schema-specific guidance for this artifact type
-        - `resolvedOutputPath`: Resolved path or pattern to write the artifact
-        - `dependencies`: Completed artifacts to read for context
-      - Read any completed dependency files for context
-      - Create the artifact file using `template` as the structure and write it to `resolvedOutputPath`
-      - Apply `context` and `rules` as constraints - but do NOT copy them into the file
-      - Show brief progress: "Created <artifact-id>"
-
-   b. **Continue until all `applyRequires` artifacts are complete**
-      - After creating each artifact, re-run `openspec status --change "<name>" --json`
-      - Check if every artifact ID in `applyRequires` has `status: "done"` in the artifacts array
-      - Stop when all `applyRequires` artifacts are done
-
-   c. **If an artifact requires user input** (unclear context):
-      - Use **AskUserQuestion tool** to clarify
-      - Then continue with creation
-
-5. **Show final status**
-   ```bash
-   openspec status --change "<name>"
-   ```
-
-**Output**
-
-After completing all artifacts, summarize:
-- Change name and location
-- List of artifacts created with brief descriptions
-- What's ready: "All artifacts created! Ready for implementation."
-- Prompt: "Run `/opsx:apply` or ask me to implement to start working on the tasks."
-
-**Artifact Creation Guidelines**
-
-- Follow the `instruction` field from `openspec instructions` for each artifact type
-- The schema defines what each artifact should contain - follow it
-- Read dependency artifacts for context before creating new ones
-- Use `template` as the structure for your output file - fill in its sections
-- **IMPORTANT**: `context` and `rules` are constraints for YOU, not content for the file
-  - Do NOT copy `<context>`, `<rules>`, `<project_context>` blocks into the artifact
-  - These guide what you write, but should never appear in the output
-
-**Guardrails**
-- Create ALL artifacts needed for implementation (as defined by schema's `apply.requires`)
-- Always read dependency artifacts before creating a new one
-- If context is critically unclear, ask the user - but prefer making reasonable decisions to keep momentum
-- If a change with that name already exists, ask if user wants to continue it or create a new one
-- Verify each artifact file exists after writing before proceeding to next

.claude/skills/openspec-sync-specs/SKILL.md

@@ -1,147 +0,0 @@
----
-name: openspec-sync-specs
-description: Sync delta specs from a change to main specs. Use when the user wants to update main specs with changes from a delta spec, without archiving the change.
-license: MIT
-compatibility: Requires openspec CLI.
-metadata:
-  author: openspec
-  version: "1.0"
-  generatedBy: "1.4.1"
----
-
-Sync delta specs from a change to main specs.
-
-This is an **agent-driven** operation - you will read delta specs and directly edit main specs to apply the changes. This allows intelligent merging (e.g., adding a scenario without copying the entire requirement).
-
-**Input**: Optionally specify a change name. If omitted, check if it can be inferred from conversation context. If vague or ambiguous you MUST prompt for available changes.
-
-**Steps**
-
-1. **If no change name provided, prompt for selection**
-
-   Run `openspec list --json` to get available changes. Use the **AskUserQuestion tool** to let the user select.
-
-   Show changes that have delta specs (under `specs/` directory).
-
-   **IMPORTANT**: Do NOT guess or auto-select a change. Always let the user choose.
-
-2. **Resolve change context**
-
-   Run:
-   ```bash
-   openspec status --change "<name>" --json
-   ```
-
-   If status reports `actionContext.mode: "workspace-planning"`, explain that workspace spec sync is not supported in this slice and STOP. Do not fall back to repo-local paths or edit linked repos.
-
-3. **Find delta specs**
-
-   Use `artifactPaths.specs.existingOutputPaths` from the status JSON as the list of delta spec files.
-
-   Each delta spec file contains sections like:
-   - `## ADDED Requirements` - New requirements to add
-   - `## MODIFIED Requirements` - Changes to existing requirements
-   - `## REMOVED Requirements` - Requirements to remove
-   - `## RENAMED Requirements` - Requirements to rename (FROM:/TO: format)
-
-   If no delta specs found, inform user and stop.
-
-4. **For each delta spec, apply changes to main specs**
-
-   For each repo-local capability delta spec path returned by the CLI:
-
-   a. **Read the delta spec** to understand the intended changes
-
-   b. **Read the main spec** at `openspec/specs/<capability>/spec.md` (may not exist yet)
-
-   c. **Apply changes intelligently**:
-
-      **ADDED Requirements:**
-      - If requirement doesn't exist in main spec → add it
-      - If requirement already exists → update it to match (treat as implicit MODIFIED)
-
-      **MODIFIED Requirements:**
-      - Find the requirement in main spec
-      - Apply the changes - this can be:
-        - Adding new scenarios (don't need to copy existing ones)
-        - Modifying existing scenarios
-        - Changing the requirement description
-      - Preserve scenarios/content not mentioned in the delta
-
-      **REMOVED Requirements:**
-      - Remove the entire requirement block from main spec
-
-      **RENAMED Requirements:**
-      - Find the FROM requirement, rename to TO
-
-   d. **Create new main spec** if capability doesn't exist yet:
-      - Create `openspec/specs/<capability>/spec.md`
-      - Add Purpose section (can be brief, mark as TBD)
-      - Add Requirements section with the ADDED requirements
-
-5. **Show summary**
-
-   After applying all changes, summarize:
-   - Which capabilities were updated
-   - What changes were made (requirements added/modified/removed/renamed)
-
-**Delta Spec Format Reference**
-
-```markdown
-## ADDED Requirements
-
-### Requirement: New Feature
-The system SHALL do something new.
-
-#### Scenario: Basic case
-- **WHEN** user does X
-- **THEN** system does Y
-
-## MODIFIED Requirements
-
-### Requirement: Existing Feature
-#### Scenario: New scenario to add
-- **WHEN** user does A
-- **THEN** system does B
-
-## REMOVED Requirements
-
-### Requirement: Deprecated Feature
-
-## RENAMED Requirements
-
-- FROM: `### Requirement: Old Name`
-- TO: `### Requirement: New Name`
-```
-
-**Key Principle: Intelligent Merging**
-
-Unlike programmatic merging, you can apply **partial updates**:
-- To add a scenario, just include that scenario under MODIFIED - don't copy existing scenarios
-- The delta represents *intent*, not a wholesale replacement
-- Use your judgment to merge changes sensibly
-
-**Output On Success**
-
-```
-## Specs Synced: <change-name>
-
-Updated main specs:
-
-**<capability-1>**:
-- Added requirement: "New Feature"
-- Modified requirement: "Existing Feature" (added 1 scenario)
-
-**<capability-2>**:
-- Created new spec file
-- Added requirement: "Another Feature"
-
-Main specs are now updated. The change remains active - archive when implementation is complete.
-```
-
-**Guardrails**
-- Read both delta and main specs before making changes
-- Preserve existing content not mentioned in delta
-- If something is unclear, ask for clarification
-- Show what you're changing as you go
-- The operation should be idempotent - running twice should give same result

.gitignore

@@ -2,6 +2,10 @@
 /jellybit
 /dist/
 
+# Вендорные фронтенд-ассеты — не храним в репо, добываются `task assets`
+# по web/assets.manifest (идемпотентно, с проверкой sha256).
+/web/static/vendor/
+
 # Реальный конфиг (секреты) и локальная БД
 /config.toml
 /.env
@@ -15,3 +19,4 @@
 # IDE
 /.idea/
 /.vscode/
+/.claude/agent-memory/

.golangci.yml

@@ -1,11 +1,62 @@
 # Конфиг golangci-lint (схема v2; устанавливается через `task setup`).
+#
 # Базовый набор v2 (`default: standard`) — errcheck, govet, ineffassign,
-# staticcheck, unused; дополнительно включаем misspell.
+# staticcheck, unused. Сверх него включены линтеры, которые механизируют
+# конвенции из docs/conventions/*: то, что проверяет правило, не должно
+# оставаться прозой в конвенциях и в промптах ревью (процедура промоута —
+# references/promote.md скилла av-dev-pipeline:review-pipeline; перечень уже
+# механизированного — docs/conventions/README.md).
 version: "2"
 
 linters:
   enable:
     - misspell
+    # docs/conventions/logging.md: msg — константная категория, данные — в
+    # полях, единый стиль ключ-значение.
+    - sloglint
+    # docs/conventions/logging.md (без fmt.Println), config.md (конфиг только
+    # из TOML, env не используем), database.md (время — только store.Now()).
+    - forbidigo
+    # docs/conventions/errors.md: сравнение ошибок через errors.Is/As, а не
+    # `err == ErrX` и не приведением типа.
+    - errorlint
+    # docs/conventions/errors.md: ошибки — только stdlib.
+    - depguard
+
+  settings:
+    sloglint:
+      no-mixed-args: true # не мешать пары «ключ-значение» с slog.Attr
+      kv-only: true # принятый в проекте стиль вызова
+      static-msg: true # msg — константа, без fmt.Sprintf и интерполяции
+      # key-naming-case НЕ включаем: словарь полей намеренно смешанный —
+      # доменные поля snake_case, системные домены с точкой (`http.method`,
+      # `ext.service`, адаптация OpenTelemetry). См. logging.md, «Поля».
+
+    forbidigo:
+      forbid:
+        - pattern: ^fmt\.Print.*$
+          msg: логируем через slog, в stdout напрямую не пишем (docs/conventions/logging.md)
+        - pattern: ^os\.Getenv$
+          msg: конфигурация только из TOML, env для конфига не используем (docs/conventions/config.md)
+        - pattern: ^time\.Now$
+          msg: время генерирует store.Now() (UTC, единая точка) — docs/conventions/database.md
+
+    errorlint:
+      # Обёртка вида fmt.Errorf("%w: %v", ErrSentinel, err) осознанна: sentinel
+      # раскрываем для errors.Is, причину — намеренно нет (errors.md, «%w vs %v»).
+      errorf: false
+      asserts: true
+      comparison: true
+
+    depguard:
+      rules:
+        main:
+          deny:
+            - pkg: github.com/pkg/errors
+              desc: ошибки — только stdlib errors + fmt.Errorf (docs/conventions/errors.md)
+            - pkg: github.com/cockroachdb/errors
+              desc: стек-трейсы избыточны, контекст несёт slog (docs/conventions/errors.md)
+
   exclusions:
     generated: lax
     presets:
@@ -17,6 +68,20 @@ linters:
       - third_party$
       - builtin$
       - examples$
+    rules:
+      # CLI — другая поверхность: печатает результат в stdout и меряет
+      # длительность своей работы, это не логирование и не время в БД.
+      - path: ^cmd/
+        linters: [forbidigo]
+      # Интеграционные тесты берут креды внешних сервисов из окружения —
+      # это не конфигурация приложения.
+      - path: _test\.go$
+        text: os.Getenv
+        linters: [forbidigo]
+      # Единые точки генерации id и времени — им time.Now по определению можно.
+      - path: ^internal/(ident|store)/
+        text: time.Now
+        linters: [forbidigo]
 
 formatters:
   exclusions:

BRIEF.md

@@ -1,73 +0,0 @@
-# Jellybit - краткое описание
-
-Jellybit - это небольшой сервис, который должен связать между собой qBittorrent и Jellyfin.
-
-## Контекст
-
-Моя потребность - скачивать фильмы через торренты и смотреть их на телевизоре или проекторе.
-У меня есть отдельный небольшой медиа сервер. Для скачаивания я использую qBittorrent,
-это проверенный стабильный торрент-клиент с богатой функциональностью.
-
-Для просмотра фильмов и сериалов мне понравилось использовать Jellyfin.
-Он позволяет подтягивать метаданные, делает красивые страницы для фильмов и сериалов,
-отмечает просмотренное.
-
-Чтобы их соединить, я пробовал использовать arr-стек: prowlarr, radarr, sonarr.
-Но тут я столкнулся с трудностями:
-- российскиз фильмов или сериалов нет в каталогах, все равно приходится добавлять вручную
-- prowlarr плохо заточен под российские торрент-трекеры, иногда фильм есть, но он его не может найти
-- сложные настройки качества релизов
-- с аниме совсем все сложно, у меня так и не получилось нормально качать
-- если загрузить торрент вручную, то приходится его добавлять в sonarr/radarr, иногда отдельными сериями.
-
-Поэтому я решил сократить путь и сделать свое решение - jellybit.
-Это связующий сервис, который решает мою конкретную задачу: 
-берет скачанные файлы из qBittorent и переименовывает их для библиотеки Jellyfin.
-
-Кроме того, часто для торрентов я использую специального бота, который возвращает ответ в таком виде:
-
-```
-[1] #6514485 [rutracker], 2026-03-21 (https://hashurl.ru/eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1cmwiOiJodHRwczovL3J1dHJhY2tlci5vcmcvZm9ydW0vdmlld3RvcGljLnBocD90PTY1MTQ0ODUiLCJjaGF0X2lkIjoxMTc3NDM2OTksInJlZmVyZXIiOiI1YzA1NDhhODFmM2YzZDUzMWFhOCIsImV4cCI6MTc4MDA0NTUwMX0.2LfH4S4ohcV5wvbW17XK6YRbNExBZE8V4JmVIWLyeJo):
-Дюна: Часть вторая / Dune: Part Two (Дени Вильнёв / Denis Villeneuve) [2024, США, Канада, фантастика, WEB-DL 2160p, HDR10+, Dolby Vision] Dub (Bravo Records Georgia, RHS, Jaskier, HDrezka) + MVO (LostFilm, TVShows, Jaskier) + AVO (Сербин, Яроцкий) + (Ukr) + Original (Eng) + Sub (Rus, Eng, Ukr)
-
-✅ (проверено) | 34.82 GB
-
-magnet:?xt=urn:btih:541ADCFF3B6DD5DBA7088EA83317D9D6FAC331D6&tr=http%3A%2F%2Fbt.t-ru.org%2Fann%3Fmagnet&dn=rutracker-topic-6514485
-
-Открыть magnet в вашем клиенте  (https://hashurl.ru/eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9.eyJ1cmwiOiJtYWduZXQ6P3h0PXVybjpidGloOjU0MUFEQ0ZGM0I2REQ1REJBNzA4OEVBODMzMTdEOUQ2RkFDMzMxRDYmdHI9aHR0cCUzQSUyRiUyRmJ0LnQtcnUub3JnJTJGYW5uJTNGbWFnbmV0IiwiY2hhdF9pZCI6MTE3NzQzNjk5LCJyZWZlcmVyIjoibV81YzA1NDhhODFmM2YzZDUzMWFhOCIsImV4cCI6MTc4MDA0NTUwMX0.5AxS0mC-1wvr4Y9mU0evWWd7-zQJd64UHDHMVPrCCxM)
-или получить .torrent: /tr_5c054
-
-Оцените раздачу:
-👍: /g_eabdce или 👎🏿: /r_eabdce
-
-[список файлов] (https://download.exfreedomist.com/files/541ADCFF3B6DD5DBA7088EA83317D9D6FAC331D6)
-
-Следить: /us_5c054
-Добавить в закладки: /mka_96423
-
-cправка: /help, index (https://exfreedomist.com/stats/)
-```
-
-## Пожелания к сервису
-
-Чтобы совсем сократить путь для добавления фильм в библиотеку jellybit должен быть еще и входной точкой,
-которая примет торрент-файл или magnet-ссылку, дополнительный контекст и добавит загрузку в qBittorrent.
-Отследит окончание загрузки и разложит готовые файлы для Jellyfin.
-
-Соответственно, главные требования к jellybit такие:
-
-- По торренту и файлам определять фильм, серии и описание
-- Автоматически переименовывать скачанные файлы для библиотеки Jellyfin
-- Быть точкой входа для добавления загрузок: торрент-файлы, magnet-ссылки и дополнительный контекст.
-
-Контекст важен, потому что для распознавания я хочу использовать LLM, а контекст дополнительно к именам файлов и директорий должен помочь корректно определить фильм, сериал, сезон и прочую мета-информацию.
-
-Кроме того для более точной работы Jellyfin можно использовать поиск по открытым базам и связь загрузки
-с идентификатором из этой базы, например https://www.thetvdb.com/ и другие.
-
-## Ссылки
-
-Jellyfin Movies: https://jellyfin.org/docs/general/server/media/movies
-Jellyfin Series (TV Shows): https://jellyfin.org/docs/general/server/media/shows
-
-Umbar - мой медиасервер (пока без Jellyfin): `/home/av/projects/private/umbar`

CLAUDE.md

@@ -1,56 +1,88 @@
 # CLAUDE.md
 
 Памятка для работы над jellybit. Перед задачей прочитай также
-[README.md](README.md), [BRIEF.md](BRIEF.md) и
-[docs/specs/architecture.md](docs/specs/architecture.md).
+[docs/passport.md](docs/passport.md), [docs/architecture.md](docs/architecture.md)
+и [docs/conventions/](docs/conventions/README.md). Разработка идёт по **Spec
+Driven Development** через OpenSpec — см. раздел ниже.
 
 ## Что это
 
-Связующий сервис qBittorrent ↔ Jellyfin: принимает торрент + контекст,
-качает, распознаёт фильм/сериал (LLM + контекст + опц. метабазы) и
-раскладывает файлы для Jellyfin хардлинками. Деплоится на домашний
-медиа-сервер umbar (`/home/av/projects/private/umbar`) — туда копируется
-готовый бинарь.
+Связующий сервис qBittorrent ↔ Jellyfin: принимает торрент с текстовым
+контекстом, качает через qBittorrent, распознаёт фильм или сериал (LLM +
+контекст + опц. метабазы) и раскладывает файлы для Jellyfin хардлинками, не
+трогая исходную раздачу. Деплоится на домашний медиа-сервер umbar
+(`/home/av/projects/private/umbar`).
 
-## Стек и принципы
+**Чего не делает:** не ищет раздачи в трекерах, не ведёт профили качества, не
+подписывается на выходящие серии, не хранит медиа и не заменяет Jellyfin.
+Полная граница домена — [docs/passport.md](docs/passport.md).
 
-- **Go**, один статический бинарь (`CGO_ENABLED=0`). Почему — см.
-  [ADR-2026-06-13-go-single-binary](docs/adr/ADR-2026-06-13-go-single-binary.md).
-- **SQLite** как хранилище (чистый Go-драйвер `modernc.org/sqlite`).
-- **Конфигурация — TOML**. **Логи — структурированный JSON** (`log/slog`).
-- **Хардлинки, источник не трогаем** — qBittorrent продолжает раздачу,
-  диск не дублируется.
-- **Единое ядро, тонкие транспорты** — вся логика приёма в use-case
-  `Ingest`; HTTP API, веб-UI и Telegram — лишь обёртки над ним.
-- **Минимум компонентов** — в духе umbar, без зоопарка сервисов. Внешние
-  базы метаданных (TMDB/TVDB) опциональны, включаются конфигом.
+## Стек
 
-## Инварианты (безопасность данных)
+Go 1.26, один статический бинарь (`CGO_ENABLED=0`). Module path —
+`git.vakhrushev.me/av/jellybit`. SQLite через `modernc.org/sqlite` + `sqlx`,
+миграции `goose`, HTTP — `chi` + `html/template` + htmx, конфиг —
+`pelletier/go-toml/v2`, разбор `.torrent` и инфохэшей — `anacrolix/torrent`,
+пред-парс имени раздачи — `middelink/go-parse-torrent-name`, логи — `log/slog`
+(структурированный JSON).
 
-- **Источник неприкосновенен:** только `mkdir` / `link(2)` / `unlink`
-  своих ссылок; никогда не трогаем файлы под `paths.downloads`.
-- **Целевой путь санитизируется** и проверяется, что он строго под
-  `paths.movies`/`series` (защита от traversal); существующее не
-  перезаписываем.
-- **Выход LLM недоверенный** — безопасность на валидации пути, не на
-  промпте. Авто-раскладка только при подтверждённом матче в базе.
-- **Запуск:** контейнер под `1000:1000`, в общей docker-сети (адресация
-  по именам), mount `/srv/media` (единая песочница) + data-том для
-  SQLite/конфига.
+## Инварианты
 
-## Документация: три раздела
+Нарушать нельзя. Severity стоит здесь, а не выводится каждым проходом ревью
+заново.
 
-- `docs/specs/` — **живые** спецификации целевого состояния. Меняем по
-  мере развития, держим в соответствии с кодом.
-- `docs/adr/` — **неизменяемый** журнал решений, пишется постфактум,
-  хранит *почему*. Правила — [docs/adr/README.md](docs/adr/README.md).
-- `docs/drafts/` — черновики: планы, идеи, ещё не принятые решения. Не
-  источник истины.
-
-## Язык
-
-- Документация, комментарии, сообщения коммитов — **русский**.
-- Код и идентификаторы — английский.
+- **Источник неприкосновенен** — под `paths.downloads` допустимы только чтение
+  и `link(2)`; никаких `unlink`, `rename`, записи. Нарушение уничтожает
+  невосстановимые данные пользователя. **Необратимо. `critical`.**
+  Исключения два, и оба — не наши операции с файловой системой, а вызов
+  `torrents/delete` qBittorrent с `deleteFiles=true`: (1) `Delete` из
+  `done`/`orphaned`/`target_missing` по явному подтверждению человека — гард
+  последней копии там выключен сознательно; подтверждение допустимо **одно на
+  пачку**, если называет каждую загрузку поимённо, и условия допуска групповой
+  путь не смягчает
+  ([state-reconciliation](openspec/specs/state-reconciliation/spec.md),
+  [web-ui](openspec/specs/web-ui/spec.md));
+  (2) уборка воркером **собственного** торрента, добавленного этим же `add`
+  секундами ранее, когда закрытие **любым** путём (`Cancel` или `Dismiss`)
+  увело задачу из `catched` в окне после `add` — уборка привязана к состоянию,
+  а не к команде; признак «своё» даёт подтверждённое отсутствие инфохэша
+  непосредственно перед `add`
+  ([download-tracking](openspec/specs/download-tracking/spec.md),
+  [state-reconciliation](openspec/specs/state-reconciliation/spec.md)). Всё
+  остальное под `paths.downloads` — по-прежнему `critical`.
+- **Последняя копия не снимается** — `Undo` отклоняется целиком, если у цели не
+  осталось других жёстких ссылок (`nlink <= 1`) или исходного файла уже нет.
+  Частичный откат тоже стёр бы часть данных. **Необратимо. `critical`.**
+- **Целевой путь строго под библиотекой** — после санитизации и
+  `filepath.Clean` путь обязан лежать под `paths.movies`/`paths.series`, иначе
+  операция отклоняется. Выход за песочницу означает запись в чужие каталоги.
+  **Необратимо. `critical`.** Выход LLM недоверенный: безопасность держится на
+  этой проверке, а не на промпте.
+- **Существующее не перезаписываем** — цель занята другим файлом → коллизия →
+  review. Обратимо (задача уходит в ревью), но потеря чужого файла — нет.
+  **`critical`.**
+- **Секреты не попадают в логи, диагностику и ответы API** — пароль
+  qBittorrent, ключи LLM и метабаз, токен Telegram, API-ключ Jellyfin.
+  Утёкший в лог секрет отзывается вручную. **`major`.**
+- **Авто-раскладка только при подтверждённом матче в метабазе** — самооценка
+  LLM **единственным** гейтом не является и матч не заменяет: порог
+  `[recognition].auto_confidence_threshold` стоит поверх матча дополнительным
+  условием
+  ([ADR](docs/adr/ADR-2026-06-13-auto-link-requires-db-match.md),
+  [recognition](openspec/specs/recognition/spec.md)). Обратимо
+  через `Undo`. **`major`.**
+- **Не более одной активной загрузки на infohash** — проверка отсутствия другой
+  активной загрузки и вставка идут одной write-транзакцией (`_txlock=immediate`,
+  guarded-методы `store`); обход даёт две задачи, претендующие на одну раздачу и
+  один целевой путь. Обратимо (лишняя закрывается), но состояние расходится.
+  **`major`.** Поведение — [ingest](openspec/specs/ingest/spec.md).
+- **Переходы состояний — только через `worker` под per-download блокировкой**,
+  и только легальные по декларативному графу. Обход даёт гонку двух
+  транспортов. **`major`.**
+- **Время — только `store.Now()` (UTC), идентификаторы — только `ident`**;
+  `ident.Parse` на каждой входной границе. Время механизировано линтером
+  (`forbidigo` на `time.Now`); правило про `ident` линтером не проверяется —
+  держится на ревью. **`minor`.**
 
 ## Команды
 
@@ -60,17 +92,153 @@
 - `task run` — локальный запуск (`go run ./cmd/jellybit --config ./config.toml`)
 - `task build` — статический бинарь `linux/amd64` для сервера
 - `task test` / `task lint` — тесты и golangci-lint
+- `task gate` — детерминированный гейт ревью (см. ниже)
+- `task review:context` — карта проекта для архитектурного прохода ревью
 - `task tidy` — `go mod tidy`
 - `task image` — docker-образ из готового бинаря
 
-Module path — `git.vakhrushev.me/av/jellybit`. Go 1.26, `CGO_ENABLED=0`.
-Стек: `chi`, `sqlx` + `modernc.org/sqlite`, `goose` (миграции),
-`pelletier/go-toml/v2`, `log/slog`.
+## Гейт
+
+- **Команда целиком:** `task gate` (`BASE=<rev>` задаёт базу диффа). Без `BASE`
+  база — `git merge-base HEAD master`, а на самом `master` — `HEAD~1`.
+- **Где логи шагов:** `tmp/gate/<шаг>.log`, по одному файлу на шаг.
+- **Что означает исход:** статусы `OK` / `FAIL` (краснит) / `WARN` (виден, не
+  блокирует) / `SKIP` (не применим, всегда с причиной). Код возврата 1, если
+  есть хоть один `FAIL`. Гейт **не** останавливается на первом отказе —
+  ревьюверу нужна полная картина.
+- **Что красит безусловно:** сборка, `go vet`, `golangci-lint`, `gofmt`, тесты,
+  флаки-прогон (второй прогон разошёлся с первым), `-race`, накат миграций с
+  нуля, `gitleaks`, канон документации (`docs.py check` — раскладка `docs/`,
+  битые ссылки, «миграция изменена, а `database.md` нет»), каталог задач
+  (`tasks.py check --dir tasks` — согласованность `tasks/BACKLOG.md` и
+  `tasks/items/`), форма конфига OpenSpec (`openspec.py check` — незаменённый
+  пример в `openspec/config.yaml`). Причина одна: у каждого из них есть
+  объективный оракул, спорить не о чем. Каждый из трёх последних краснеет и
+  когда своего скрипта нет: молча пропущенная проверка неотличима от пройденной.
+- **Чего в гейте намеренно нет и кто обязан это гонять:**
+  - `govulncheck` даёт `WARN`, а не `FAIL`: находка тут — состояние
+    зависимостей, а не диффа. Разбирает агент ревью по трассам вызовов.
+  - `-race` без gcc уходит в `SKIP` с явным «гонки НЕ проверены» — тогда их
+    проверяет рассуждением тема `operations` ([docs/review.md](docs/review.md)
+    → «Вопросы по темам»), и это идёт в границы покрытия.
+  - Ничего не гоняется против **живого** qBittorrent, LLM и метабаз:
+    интеграционные тесты за env-гейтами, запускает человек вручную.
+  - Качество распознавания гейтом не проверяется вовсе и проверяться не будет:
+    размеченный корпус решено не собирать (`tasks/REJECTED.md`,
+    2026-08-06). Сдвиг точности виден только по рабочему потоку.
+
+## Запреты
+
+- **Не запускать против рабочей БД** `/data/jellybit.db` на umbar и против
+  любого файла, на который указывает боевой `[storage].db_path`. Локально —
+  только `./jellybit.db`.
+- **Не писать в `/srv/media/downloads`** и вообще никуда под `paths.downloads`:
+  там живут раздачи, которые qBittorrent продолжает сидировать.
+- **Не ходить в боевой qBittorrent, Jellyfin и Telegram-бота** из тестов и
+  отладочных прогонов. Интеграционные тесты — за env-гейтами
+  (`*_integration_test.go`), включает человек осознанно.
+- **Не расходовать лимиты метабаз и платного LLM** прогонами «посмотреть, что
+  будет»: у `recognize --dry-run` есть цена.
+- **`testdata`** отдельным каталогом не заводился: фикстуры чужих форматов
+  живут константами в тестах пакета-разборщика (`internal/tgbot/parse_test.go`,
+  `internal/magnet`, `internal/torrent`).
+- **Временное — только в `tmp/`** (в `.gitignore`); туда же пишет гейт. Не в
+  `/tmp`, не рядом с исходниками.
+
+## Работа
+
+- **Основная ветка:** `master`. От неё считается база диффа
+  (`git merge-base HEAD master`), в неё вливает батч, от неё ветвятся задачи.
+- **Необратимое** (спрашивается у человека всегда): всё, что пишет в
+  `paths.downloads` или удаляет оттуда; удаление раздачи из qBittorrent вместе
+  с файлами (`Delete`) — кроме уборки собственного, только что добавленного
+  торрента, когда закрытие любым путём увело задачу из `catched` (см.
+  исключения инварианта выше); снятие последней копии
+  данных; правка уже применённой миграции; `git push --force`; удаление или
+  перезапись файла в библиотеке Jellyfin, которого мы не создавали.
+- **Что считается сломанным:** покрасневший `task gate` на `master`. Пока он
+  красный, ни одна задача не считается сделанной, и чинится он раньше любой
+  другой работы: гейт один на все задачи.
+- **Приоритет — это порядок строк в [tasks/BACKLOG.md](tasks/BACKLOG.md).**
+  Первая строка секции — то, что делают следующим. Порядок назначает человек на
+  груминге (`av-dev-tasks:groom`), машина его не выводит.
+- **Ориентир по размеру порции разбора на груминге:** 5–8 задач. Ориентир, а не
+  закон.
+- **Что такое «сделана»:** пайплайн задачи пройден целиком (спека → код → оба
+  чекпоинта ревью → archive) и критерии приёмки проверены поимённо.
+
+## Spec Driven Development (OpenSpec)
+
+Изменения ведём через [OpenSpec](https://github.com/Fission-AI/OpenSpec)
+(CLI `openspec`, v1.x). Сначала спецификация — потом код.
+
+- `openspec/specs/<capability>/spec.md` — **нормативный дом поведения**: что
+  система делает сейчас. Capability — это поведение или домен системы, а не
+  пакет кода.
+- `openspec/changes/<id>/` — предлагаемое изменение: `proposal.md`, `design.md`
+  (для нетривиальных), дельта-спеки (`ADDED`/`MODIFIED`/`REMOVED Requirements`),
+  `tasks.md`. После реализации change архивируется в
+  `openspec/changes/archive/`, дельты вливаются в `openspec/specs/`.
+- `openspec/config.yaml` — только нужды генерации артефактов: язык, правила
+  именования capability, придирки валидатора — плюс адреса документов канона.
+  Пересказа этих документов там нет: второй дом факта расходится молча.
+
+Поток работы — через слэш-команды `opsx:*`: `opsx:explore` (продумать),
+`opsx:propose` (завести change), `opsx:apply` (реализовать tasks),
+`opsx:sync`/`opsx:archive` (влить и архивировать).
+
+Правила спек — язык, именование capability и придирки валидатора — живут в
+[openspec/config.yaml](openspec/config.yaml) (`context` и `rules`), оттуда их
+читает порождение артефактов; здесь не дублируются. Перед коммитом change —
+`openspec validate --strict`.
+
+Ревью — два чекпоинта: ревью дизайна на предложении (после design/specs, ДО
+кода) и ревью изменения после apply, до archive. Состав обоих выбирается по
+метке задачи (`small` / `medium` / `large`), которую разметка ставит один раз
+после propose. Настройка конвейера под проект и журнал дефектов —
+[docs/review.md](docs/review.md).
+
+## Документация
+
+Раскладка задана каноном av-dev; проверяет её `docs.py check` внутри `task gate`.
+
+- [docs/passport.md](docs/passport.md) — зачем и для кого, чем **не** является.
+- [docs/architecture.md](docs/architecture.md) — обзор, эксплуатация, единые
+  точки, деплой. **Поведения здесь нет** — оно в `openspec/specs/`.
+- [docs/database.md](docs/database.md) — схема, представление данных, настройки
+  с числовым значением.
+- [docs/security.md](docs/security.md) — периметр, недоверенный вход, что вне
+  модели.
+- [docs/conventions/](docs/conventions/README.md) — как пишем код.
+- [docs/research/](docs/research/README.md) — наблюдения за чужими форматами.
+- [docs/adr/](docs/adr/README.md) — журнал решений, неизменяемый.
+- [docs/review.md](docs/review.md) — настройка конвейера ревью и журнал дефектов.
+- [tasks/](tasks/BACKLOG.md) — задачи и цели: одна запись = один файл
+  в `items/` + строка в индексе, порядок строк = приоритет. Ведётся скиллом
+  `av-dev-tasks:tasks`, разбор беклога — `av-dev-tasks:groom`.
+
+**Tududi** (проект `jellybit`, project_id 14) — только инбокс сырых идей. Идея
+становится задачей, когда её оформляют файлом в `tasks/items/`.
 
 ## Конвенции кода
 
-- Раскладка: `cmd/jellybit` (точка входа) + `internal/<пакет>` по
-  компонентам из [architecture.md](docs/specs/architecture.md).
-- Ошибки оборачиваем с контекстом (`fmt.Errorf("...: %w", err)`).
-- Логирование только через `slog`, без `fmt.Println`.
-- Время — всегда с явным TZ (сервер в `Europe/Moscow`).
+- Раскладка: `cmd/jellybit` (точка входа) + `internal/<пакет>` по компонентам
+  из [docs/architecture.md](docs/architecture.md).
+- **Механизируемое проверяет `task gate`** (`.golangci.yml` +
+  `internal/archrules`): форма ошибок и логов, конфиг мимо env, время мимо
+  `store.Now()`, `AUTOINCREMENT` в миграциях, направление зависимостей
+  ядро↔транспорты. Перечень с местом механизации —
+  [docs/conventions/README.md](docs/conventions/README.md); пересказывать эти
+  правила прозой не нужно.
+- Прозой остаётся только то, что правилом не выражается, и читается в
+  источнике: [ошибки](docs/conventions/errors.md),
+  [логи](docs/conventions/logging.md), [конфиг](docs/conventions/config.md),
+  [БД](docs/conventions/database.md), [веб-UI](docs/conventions/web-ui.md).
+- Миграции БД (goose, `internal/store/migrations`; SQL для DDL, Go — когда
+  нужен код): при изменении структуры в том же change обновляем ER-схему в
+  [docs/database.md](docs/database.md) — иначе краснеет шаг `canon` гейта.
+
+## Язык
+
+- Документация, комментарии, сообщения коммитов — **русский**.
+- Код и идентификаторы — английский.

Dockerfile

@@ -1,5 +1,8 @@
-# Упаковка готового статического бинаря в минимальный образ.
-# Бинарь собирается снаружи (см. docs/adr/ADR-2026-06-13-docker-deploy.md):
+# Упаковка готового статического бинаря в минимальный образ. Образ целиком
+# собирается локально на control-хосте (`task image`) и едет на сервер через
+# docker save/load — роль app_image в umbar (см.
+# docs/adr/ADR-2026-07-24-local-image-build.md).
+# Бинарь собирается снаружи:
 #   CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -o jellybit ./cmd/jellybit
 # distroless/static несёт CA-сертификаты (HTTPS к LLM/TMDB). Пользователь
 # задаётся в compose (user: "1000:1000").
@@ -13,8 +16,9 @@ COPY jellybit /usr/local/bin/jellybit
 EXPOSE 8080
 
 # В distroless нет shell/curl — проверку делает сам бинарь (порт берёт из
-# /config/config.toml — дефолтный путь). compose может переопределить параметры.
+# конфига). Путь задаём явно: дефолт загрузчика — config.toml в рабочей
+# директории, а конфиг смонтирован в /config. compose может переопределить.
 HEALTHCHECK --interval=30s --timeout=5s --start-period=10s --retries=3 \
-	CMD ["/usr/local/bin/jellybit", "healthcheck"]
+	CMD ["/usr/local/bin/jellybit", "healthcheck", "--config", "/config/config.toml"]
 
 ENTRYPOINT ["/usr/local/bin/jellybit", "--config", "/config/config.toml"]

README.md

@@ -1,12 +1,13 @@
 # Jellybit
 
 Jellybit — связующий сервис между qBittorrent и Jellyfin. Принимает
-magnet-ссылку вместе с текстовым контекстом, ставит загрузку в
+magnet-ссылку или `.torrent`-файл вместе с текстовым контекстом, ставит загрузку в
 qBittorrent, дожидается её завершения, распознаёт содержимое (фильм или
 сериал, сезоны и серии) и раскладывает готовые файлы по конвенциям
 библиотеки Jellyfin.
 
-Полный замысел и причины — в [BRIEF.md](BRIEF.md).
+Полный замысел, границы домена и типовые сценарии — в
+[docs/passport.md](docs/passport.md).
 
 ## Зачем
 
@@ -32,34 +33,60 @@ Arr-стек (prowlarr/radarr/sonarr) плохо ложится на русск
 При высокой уверенности раскладка выполняется автоматически, иначе —
 уходит на подтверждение человеку.
 
-Доступ к внешним сервисам (LLM, базы метаданных, Telegram) при
-необходимости идёт через HTTP-прокси — задаётся полем `proxy` в
-соответствующих секциях конфигурации.
-
 ## Статус
 
-Рабочий прототип с полным сквозным путём: приём magnet → загрузка в
-qBittorrent → распознавание (LLM + опционально базы метаданных
-TMDB/TVDB/TVMaze) → раскладка в библиотеку хардлинками, автоматически при
-уверенном результате либо через подтверждение человеком. Транспорты приёма:
-REST API, веб-UI, Telegram-бот и CLI (`jellybit add`).
-
-Из источников пока поддержан magnet; `.torrent` и обычные ссылки — в планах.
-См. [дорожную карту](docs/drafts/roadmap.md).
+Рабочий прототип: сквозной путь приём → загрузка → распознавание → раскладка
+работает целиком, автоматически при уверенном результате либо через
+подтверждение человеком. Что уже умеет и что дальше —
+[tasks/ROADMAP.md](tasks/ROADMAP.md).
 
 ## Документация
 
-- [docs/specs/](docs/specs/) — спецификации: целевое устройство системы.
-  Начать с [architecture.md](docs/specs/architecture.md).
-- [docs/adr/](docs/adr/) — журнал архитектурных решений (почему так).
-- [docs/drafts/](docs/drafts/) — черновики: планы, идеи, нерешённое.
+Разработка идёт по **Spec-Driven Development** через
+[OpenSpec](https://github.com/Fission-AI/OpenSpec): изменение сначала
+описывается спекой, потом реализуется.
+
+- [openspec/specs/](openspec/specs/) — **что система делает**, нормативно:
+  capability-спеки. Изменения (proposal → design → tasks → archive) — в
+  `openspec/changes/`.
+- [docs/passport.md](docs/passport.md) — зачем и для кого, чем **не** является.
+- [docs/architecture.md](docs/architecture.md) — как сложено: компоненты,
+  внешние границы, эксплуатация, единые точки, деплой.
+- [docs/database.md](docs/database.md) — схема хранилища и настройки.
+- [docs/security.md](docs/security.md) — периметр и модель угроз.
+- [docs/conventions/](docs/conventions/README.md) — как пишем код:
+  [логи](docs/conventions/logging.md), [ошибки](docs/conventions/errors.md),
+  [конфиг](docs/conventions/config.md), [БД](docs/conventions/database.md),
+  [веб-UI](docs/conventions/web-ui.md).
+- [docs/adr/](docs/adr/README.md) — журнал решений (почему так), неизменяемый.
+- [docs/research/](docs/research/README.md) — наблюдения за чужими форматами.
+- [tasks/](tasks/BACKLOG.md) — задачи и цели.
+
+Раскладка документации задана каноном av-dev и проверяется шагом `canon` в
+`task gate`.
 
 ## Стек
 
 Go (один статический бинарь), SQLite (`modernc.org/sqlite` + `sqlx`,
 миграции `goose`), HTTP — `chi` + `html/template` + htmx, конфигурация —
-TOML, логи — структурированный JSON (`slog`). Подробнее — в
-[architecture.md](docs/specs/architecture.md).
+TOML, логи — структурированный JSON (`slog`). Полный перечень с версиями —
+[CLAUDE.md](CLAUDE.md) → «Стек»; как эти компоненты сложены —
+[docs/architecture.md](docs/architecture.md).
+
+## Конфигурация
+
+Конфигурация — один файл TOML. По умолчанию ищется `config.toml` в рабочей
+директории; путь переопределяется опцией `--config=path`. Образец со всеми
+секциями и описанием каждого поля (назначение, диапазон значений, единицы
+измерения) — [config.example.toml](config.example.toml); скопируй его в
+`config.toml` и заполни под себя. Конфиг валидируется на старте: при
+ошибке сервис не стартует.
+
+Секреты (пароль qBittorrent, ключи LLM/метабаз, токен Telegram) в репозиторий
+не коммитятся — их подставляет деплой прямо в файл. Доступ к внешним сервисам
+(LLM, базы метаданных, Telegram) при необходимости идёт через HTTP-прокси —
+поле `proxy` в соответствующих секциях. Правила — в
+[docs/conventions/config.md](docs/conventions/config.md).
 
 ## Разработка
 
@@ -88,14 +115,12 @@ jellybit recognize <infohash> --dry-run [--context "..."] --config ./config.toml
 
 ## Доставка
 
-Рассчитан на домашний медиа-сервер. Артефакты репозитория — статический
-бинарь (`task build`) и `Dockerfile` (упаковка в `distroless/static`). Образ
-собирается **на сервере** из доставленного бинаря, поэтому Go-тулчейн на
-сервере не нужен. В distroless нет shell/curl, поэтому HEALTHCHECK зовёт сам
-бинарь: `jellybit healthcheck` (GET `/healthz` по порту из конфига, exit 0/1).
-
-Контейнер: `user 1000:1000`, порт `8080` на хост, mount `/srv/media` (единая
-песочница для хардлинков) + том `/config` (ro, `config.toml`, восстановим при
-деплое) + data-том `/data` (SQLite, бекапить); к qBittorrent — по сети Docker.
+Рассчитан на домашний медиа-сервер. Артефакты репозитория — статический бинарь
+(`task build`) и `Dockerfile`; образ собирается целиком локально на
+control-хосте (`task image`) и едет на сервер через `docker save`/`load`.
 Конкретная деплой-обвязка (плейбук, секреты) держится в отдельном приватном
 репозитории и в комплект не входит.
+
+Параметры запуска — сеть, пользователь, монтирования, healthcheck, — разделение
+ответственности с umbar и единая песочница `/srv/media`:
+[docs/architecture.md](docs/architecture.md) → «Деплой».

Taskfile.yml

@@ -8,8 +8,9 @@ version: '3'
 vars:
   BINARY: jellybit
   PKG: ./cmd/jellybit
-  # Версия линтера для воспроизводимой установки (см. задачу setup).
+  # Версии инструментов для воспроизводимой установки (см. задачу setup).
   GOLANGCI_VERSION: v2.12.2
+  GOVULNCHECK_VERSION: v1.6.0
 
 tasks:
   default:
@@ -20,11 +21,13 @@ tasks:
 
   run:
     desc: 'Локальный запуск (нужен ./config.toml с db_path -> ./jellybit.db)'
+    deps: [assets]
     cmds:
       - go run {{.PKG}} --config ./config.toml
 
   build:
     desc: Статический бинарь linux/amd64 для сервера (Intel N150)
+    deps: [assets]
     cmds:
       - CGO_ENABLED=0 GOOS=linux GOARCH=amd64 go build -trimpath -ldflags='-s -w' -o {{.BINARY}} {{.PKG}}
 
@@ -38,16 +41,45 @@ tasks:
     cmds:
       - golangci-lint run
 
+  gate:
+    desc: 'Детерминированный гейт ревью: build/vet/lint/test/race/покрытие диффа/миграции/канон docs/секреты. BASE=<rev> — база диффа'
+    cmds:
+      - python3 scripts/gate.py {{.BASE}}
+
+  review:context:
+    desc: 'Вход для архитектурного прохода ревью: пакеты, граф зависимостей, инвентарь концепций'
+    cmds:
+      - python3 scripts/review-context.py
+
   tidy:
     desc: go mod tidy
     cmds:
       - go mod tidy
 
+  assets:
+    desc: 'Идемпотентный фетч вендорных ассетов в web/static/vendor (по web/assets.manifest, проверка sha256; Node не нужен)'
+    cmds:
+      - |
+        set -e
+        while IFS= read -r line; do
+          case "$line" in ''|\#*) continue;; esac
+          set -- $line
+          dest=$1; url=$2; sum=$3
+          file="web/static/$dest"
+          if [ -f "$file" ] && echo "$sum  $file" | sha256sum -c --status - 2>/dev/null; then
+            continue
+          fi
+          mkdir -p "$(dirname "$file")"
+          echo "↓ $dest"
+          curl -fsSL --retry 3 -o "$file" "$url"
+          echo "$sum  $file" | sha256sum -c -
+        done < web/assets.manifest
+
   image:
-    desc: Docker-образ из готового бинаря (см. docs/adr docker-deploy)
+    desc: 'Docker-образ из готового бинаря. Тег из $BUILD_ID (по умолчанию dev; роль app_image umbar передаёт свой). См. docs/adr local-image-build'
     deps: [build]
     cmds:
-      - docker build -t jellybit:dev .
+      - docker build -t {{.BINARY}}:${BUILD_ID:-dev} .
 
   clean:
     desc: Удалить собранный бинарь
@@ -55,7 +87,8 @@ tasks:
       - rm -f {{.BINARY}}
 
   setup:
-    desc: Установка инструментов разработки (линтер + git-хуки lefthook)
+    desc: Установка инструментов разработки (линтер, govulncheck + git-хуки lefthook)
     cmds:
       - go install github.com/golangci/golangci-lint/v2/cmd/golangci-lint@{{.GOLANGCI_VERSION}}
+      - go install golang.org/x/vuln/cmd/govulncheck@{{.GOVULNCHECK_VERSION}}
       - lefthook install

cmd/jellybit/healthcheck.go

@@ -16,7 +16,7 @@ import (
 // нет shell/curl: docker зовёт сам бинарь.
 func runHealthcheck(args []string) error {
 	fs := flag.NewFlagSet("healthcheck", flag.ContinueOnError)
-	configPath := fs.String("config", "/config/config.toml", "путь к config.toml")
+	configPath := fs.String("config", config.DefaultPath, "путь к config.toml")
 	if err := fs.Parse(args); err != nil {
 		return err
 	}

cmd/jellybit/healthcheck_test.go

@@ -29,8 +29,21 @@ func serveHealthz(t *testing.T, status int) int {
 
 func writeConfig(t *testing.T, port int) string {
 	t.Helper()
-	path := filepath.Join(t.TempDir(), "config.toml")
-	content := "[http]\nlisten = \"127.0.0.1:" + strconv.Itoa(port) + "\"\n"
+	dir := t.TempDir()
+	// Медиа-пути должны существовать как каталоги (fail-fast валидация конфига).
+	for _, sub := range []string{"downloads", "movies", "series"} {
+		if err := os.MkdirAll(filepath.Join(dir, sub), 0o755); err != nil {
+			t.Fatal(err)
+		}
+	}
+	path := filepath.Join(dir, "config.toml")
+	content := "" +
+		"[qbittorrent]\nurl = \"http://qbit:8080\"\npassword = \"secret\"\n\n" +
+		"[paths]\n" +
+		"downloads = \"" + filepath.Join(dir, "downloads") + "\"\n" +
+		"movies = \"" + filepath.Join(dir, "movies") + "\"\n" +
+		"series = \"" + filepath.Join(dir, "series") + "\"\n\n" +
+		"[http]\nlisten = \"127.0.0.1:" + strconv.Itoa(port) + "\"\n"
 	if err := os.WriteFile(path, []byte(content), 0o644); err != nil {
 		t.Fatal(err)
 	}

cmd/jellybit/main.go

@@ -11,6 +11,9 @@ package main
 import (
 	"os"
 	"strings"
+	_ "time/tzdata" // встроенная база zoneinfo: general.timezone работает на любом хосте
+
+	"git.vakhrushev.me/av/jellybit/internal/logging"
 )
 
 func main() {
@@ -38,7 +41,15 @@ func main() {
 		os.Exit(2)
 	}
 	if err != nil {
-		_, _ = os.Stderr.WriteString("fatal: " + err.Error() + "\n")
+		if cmd == "serve" {
+			// Фатальный сбой старта сервиса — структурный лог ERROR (как в проде),
+			// затем ненулевой код возврата.
+			logging.NewStderr().Error("fatal startup", "command", cmd, "error", err)
+		} else {
+			// Диагностические CLI (add/recognize/healthcheck) — человекочитаемый
+			// stderr, это пользовательский вывод, а не лог сервиса.
+			_, _ = os.Stderr.WriteString("fatal: " + err.Error() + "\n")
+		}
 		os.Exit(1)
 	}
 }

cmd/jellybit/recognize.go

@@ -23,7 +23,7 @@ import (
 // Только чтение: ни записи в БД, ни хардлинков.
 func runRecognize(args []string) error {
 	fs := flag.NewFlagSet("recognize", flag.ContinueOnError)
-	configPath := fs.String("config", "/config/config.toml", "путь к config.toml")
+	configPath := fs.String("config", config.DefaultPath, "путь к config.toml")
 	dryRun := fs.Bool("dry-run", true, "только показать план, без изменений (единственный режим)")
 	contextStr := fs.String("context", "", "доп. текстовый контекст для распознавания")
 	if err := fs.Parse(args); err != nil {
@@ -95,6 +95,7 @@ func runRecognize(args []string) error {
 	rec := recognize.New(provider, providers, recognize.Config{
 		MaxRetries:    cfg.LLM.MaxRetries,
 		AutoThreshold: cfg.Recognition.AutoConfidenceThreshold,
+		Language:      cfg.ContentLanguage(),
 	}, logger)
 
 	in := recognize.Input{Name: t.Name, Context: *contextStr}

cmd/jellybit/serve.go

@@ -34,7 +34,7 @@ import (
 // воркер (фоном) → HTTP-сервер; останавливается по SIGINT/SIGTERM.
 func runServe(args []string) error {
 	fs := flag.NewFlagSet("serve", flag.ContinueOnError)
-	configPath := fs.String("config", "/config/config.toml", "путь к config.toml")
+	configPath := fs.String("config", config.DefaultPath, "путь к config.toml")
 	if err := fs.Parse(args); err != nil {
 		return err
 	}
@@ -80,13 +80,13 @@ func runServe(args []string) error {
 	}
 
 	// Вывод отображаемого имени торрента из контекста (best-effort). Без LLM
-	// работает только алгоритмический фолбек.
+	// работает только алгоритмический фолбек. Namer зовёт worker на шаге
+	// добавления пойманной загрузки (не синхронный приём).
 	namer := naming.New(llmProvider, cfg.LLM.MaxRetries, logger)
 
-	ingestor := ingest.New(st, qb, namer, ingest.Config{
-		Category: cfg.QBittorrent.Category,
-		SavePath: cfg.QBittorrent.SavePath,
-	}, logger)
+	// Быстрый приём: сохраняет загрузку в catched и сразу отвечает; добавление в
+	// qBittorrent и вывод имени делает worker (см. download-tracking).
+	ingestor := ingest.New(st, logger)
 
 	// Ф4: базы метаданных (опц.). Без них авто-раскладки нет — всё в review.
 	providers, err := metadataProviders(cfg, logger)
@@ -104,8 +104,9 @@ func runServe(args []string) error {
 		recognizer = recognize.New(llmProvider, providers, recognize.Config{
 			MaxRetries:    cfg.LLM.MaxRetries,
 			AutoThreshold: cfg.Recognition.AutoConfidenceThreshold,
+			Language:      cfg.ContentLanguage(),
 		}, logger)
-		logger.Info("recognizer ready", "model", cfg.LLM.Model, "providers", len(providers))
+		logger.Info("recognizer ready", "model", cfg.LLM.Model, "providers", len(providers), "language", cfg.ContentLanguage())
 	} else {
 		logger.Warn("llm not configured, recognition disabled")
 	}
@@ -119,14 +120,18 @@ func runServe(args []string) error {
 	}
 
 	wrk := worker.New(st, qb, recognizer, layouter, worker.Config{
-		Category:      cfg.QBittorrent.Category,
-		Tag:           cfg.QBittorrent.Tag,
-		SavePath:      cfg.QBittorrent.SavePath,
-		PathMap:       cfg.QBittorrent.PathMap,
-		PollInterval:  cfg.Worker.PollInterval.Std(),
-		StuckAfter:    cfg.Worker.StuckAfter.Std(),
-		MagnetTimeout: cfg.Worker.MagnetTimeout.Std(),
+		Category:               cfg.QBittorrent.Category,
+		Tag:                    cfg.QBittorrent.Tag,
+		SavePath:               cfg.QBittorrent.SavePath,
+		PathMap:                cfg.QBittorrent.PathMap,
+		PollInterval:           cfg.Worker.PollInterval.Std(),
+		StuckAfter:             cfg.Worker.StuckAfter.Std(),
+		MagnetTimeout:          cfg.Worker.MagnetTimeout.Std(),
+		CatchTimeout:           cfg.Worker.CatchTimeout.Std(),
+		SourceMissingThreshold: cfg.Worker.SourceMissingThreshold,
 	}, logger)
+	// Вывод имени на шаге добавления пойманной загрузки (best-effort).
+	wrk.SetNamer(namer)
 
 	// Пересканирование Jellyfin после раскладки (опц.). Недоступность Jellyfin
 	// не валит сервис — скан просто не сработает (залогируется в воркере).
@@ -147,12 +152,18 @@ func runServe(args []string) error {
 		logger.Info("jellyfin rescan enabled", "url", cfg.Jellyfin.URL)
 	}
 
+	loc, err := cfg.DisplayLocation() // валидность уже проверена config.Load
+	if err != nil {
+		return err
+	}
 	router, err := httpapi.NewRouter(httpapi.Deps{
 		Logger:    logger,
 		Ingestor:  ingestor,
 		Commander: wrk,
 		Reader:    st,
 		Reviewer:  wrk,
+		Live:      wrk,
+		Loc:       loc,
 	})
 	if err != nil {
 		return err
@@ -172,9 +183,17 @@ func runServe(args []string) error {
 		if perr != nil {
 			return perr
 		}
+		// Внутренние логи tgbotapi (сбои long-poll getUpdates и пр.) — в наш slog
+		// вместо stdlib log мимо структурированных логов; токен вырезается.
+		if lerr := tgbot.SetLibraryLogger(logger, cfg.Telegram.Token); lerr != nil {
+			logger.Warn("telegram library logger not set", "error", lerr)
+		}
 		api, terr := tgbotapi.NewBotAPIWithClient(cfg.Telegram.Token, tgbotapi.APIEndpoint, tgClient)
 		if terr != nil {
-			logger.Error("telegram bot disabled: cannot connect", "err", terr)
+			// NewBotAPIWithClient дёргает getMe: при недоступном Telegram/прокси
+			// terr — *url.Error с URL …/bot<TOKEN>/getMe; санитизируем, чтобы
+			// токен не утёк в лог.
+			logger.Error("telegram bot disabled, cannot connect", "error", logging.SanitizeErr(terr))
 		} else {
 			bot := tgbot.New(api, ingestor, wrk, tgbot.Config{
 				AllowedUserIDs: cfg.Telegram.AllowedUserIDs,
@@ -256,9 +275,10 @@ func metadataProviders(cfg *config.Config, logger *slog.Logger) ([]metadata.Prov
 	// пропускаем (сервис стартует), а не падаем.
 	if cfg.Metadata.TVDB.Enabled && cfg.Metadata.TVDB.APIKey != "" {
 		p, err := metadata.NewTVDB(metadata.TVDBConfig{
-			APIKey:  cfg.Metadata.TVDB.APIKey,
-			Proxy:   cfg.Metadata.TVDB.Proxy,
-			Timeout: cfg.Metadata.TVDB.Timeout.Std(),
+			APIKey:   cfg.Metadata.TVDB.APIKey,
+			Proxy:    cfg.Metadata.TVDB.Proxy,
+			Timeout:  cfg.Metadata.TVDB.Timeout.Std(),
+			Language: cfg.ContentLanguage(),
 		}, logger)
 		if err != nil {
 			return nil, fmt.Errorf("tvdb provider: %w", err)
@@ -267,9 +287,10 @@ func metadataProviders(cfg *config.Config, logger *slog.Logger) ([]metadata.Prov
 	}
 	if cfg.Metadata.TMDB.Enabled && cfg.Metadata.TMDB.APIKey != "" {
 		p, err := metadata.NewTMDB(metadata.TMDBConfig{
-			APIKey:  cfg.Metadata.TMDB.APIKey,
-			Proxy:   cfg.Metadata.TMDB.Proxy,
-			Timeout: cfg.Metadata.TMDB.Timeout.Std(),
+			APIKey:   cfg.Metadata.TMDB.APIKey,
+			Proxy:    cfg.Metadata.TMDB.Proxy,
+			Timeout:  cfg.Metadata.TMDB.Timeout.Std(),
+			Language: cfg.ContentLanguage(),
 		}, logger)
 		if err != nil {
 			return nil, fmt.Errorf("tmdb provider: %w", err)

config.example.toml

@@ -1,76 +1,89 @@
-# Пример конфигурации jellybit. Реальный config.toml не коммитится (содержит
-# секреты). Для локального запуска: db_path -> ./jellybit.db.
+# Пример конфигурации jellybit — единый справочник по всем секциям и полям.
+# Реальный config.toml не коммитится (содержит секреты), заполняется деплоем.
+# Секретные поля здесь оставлены пустыми. По умолчанию загрузчик ищет
+# config.toml в рабочей директории; путь переопределяется опцией --config=path.
+# Для локального запуска укажите существующие каталоги и db_path -> ./jellybit.db.
+
+[general]
+# Общие настройки приложения.
+timezone = "UTC"                     # таймзона ОТОБРАЖЕНИЯ времени в веб-UI (IANA, напр. "Europe/Moscow"); хранение всегда в UTC. Пусто → UTC
+language = "en"                      # язык локализованного вывода (title детектора + режиссёр/локаль метабаз): "ru" | "en". Пусто → en. original_title всегда на языке оригинала
 
 [qbittorrent]
-url      = "http://qbit:8989"        # по имени сервиса в общей docker-сети
-username = "admin"
-password = ""
-category = "jellybit"                # категория для добавляемых jellybit раздач (push)
+url      = "http://qbit:8989"        # адрес qBittorrent WebUI; в docker-сети — по имени сервиса
+username = "admin"                   # логин WebUI
+password = ""                        # секрет: пароль WebUI; обязателен, заполняет деплой
+category = "jellybit"                # категория для добавляемых jellybit раздач (push, savepath)
 tag      = "jellybit"                # тег для усыновления существующих раздач (pull, не двигает файлы)
-savepath = "/srv/media/downloads"    # qBit кладёт загрузки сюда (задаём при добавлении)
+savepath = "/srv/media/downloads"    # куда qBittorrent кладёт загрузки (задаём при добавлении)
 path_map = {}                        # фолбэк: префикс save_path → хост-префикс, напр. {"/data" = "/srv/media"}; обычно пуст
 
 [paths]
-downloads = "/srv/media/downloads"
-movies    = "/srv/media/movies"
-series    = "/srv/media/series"
+# Медиа-песочница на хосте. Каждый путь: абсолютный, без traversal (`..`) и
+# должен существовать как доступный каталог (проверяется на старте). Целевые
+# movies/series и источник downloads монтируются под единый корень (/srv/media).
+downloads = "/srv/media/downloads"   # источник: где лежат загрузки qBittorrent (только читаем/линкуем)
+movies    = "/srv/media/movies"      # целевой каталог фильмов для Jellyfin (раскладка хардлинками)
+series    = "/srv/media/series"      # целевой каталог сериалов для Jellyfin (раскладка хардлинками)
 
 [storage]
-db_path = "/data/jellybit.db"        # SQLite на persistent-томе
+db_path = "/data/jellybit.db"        # путь к файлу SQLite на persistent-томе; обязателен
 
 [llm]
-type        = "openai-compat"
+type        = "openai-compat"        # провайдер распознавания; допустимо: openai-compat
 # LLM на хосте (LM Studio) из bridged-контейнера — через host.docker.internal.
-base_url    = "http://host.docker.internal:1234/v1"
-api_key     = ""
-model       = "qwen2.5-32b-instruct"
-proxy       = ""                     # опц. HTTP-прокси для удалённых эндпоинтов
-timeout     = "120s"
-max_retries = 3
+base_url    = "http://host.docker.internal:1234/v1"  # эндпоинт LLM; пусто = распознавание выключено
+api_key     = ""                     # секрет: ключ LLM; обязателен, если задан base_url (заполняет деплой)
+model       = "qwen2.5-32b-instruct" # имя модели на эндпоинте
+proxy       = ""                     # опц. HTTP-прокси для удалённых эндпоинтов; пусто = без прокси
+timeout     = "120s"                 # таймаут запроса к LLM; Go-duration (s/m/h)
+max_retries = 3                      # попыток получить валидный ответ LLM; целое ≥ 0
 
 [metadata.tmdb]
-enabled = false                      # включается ключом; без матча авто не делаем
-api_key = ""
-proxy   = ""
-timeout = "10s"
+enabled  = false                     # включить провайдера TMDB; без матча авто-раскладку не делаем
+api_key  = ""                        # секрет: ключ TMDB; обязателен, если enabled (заполняет деплой)
+proxy    = ""                        # опц. HTTP-прокси; пусто = без прокси
+timeout  = "10s"                     # таймаут запроса к TMDB; Go-duration (s/m/h). Локаль названий задаёт [general].language
 
 [metadata.tvdb]
-enabled = false
-api_key = ""
-proxy   = ""
-timeout = "10s"
+enabled = false                      # включить провайдера TVDB
+api_key = ""                         # секрет: ключ TVDB; обязателен, если enabled (заполняет деплой)
+proxy   = ""                         # опц. HTTP-прокси; пусто = без прокси
+timeout = "10s"                      # таймаут запроса к TVDB; Go-duration (s/m/h). Локаль названий задаёт [general].language: в запрос поиска не уходит, применяется при разборе ответа
 
 [metadata.tvmaze]
-enabled = false                      # без ключа; только сериалы, тег [tvdbid-…] из externals
-proxy   = ""
-timeout = "10s"
+enabled = false                      # включить провайдера TVMaze; без ключа, только сериалы (тег [tvdbid-…] из externals)
+proxy   = ""                         # опц. HTTP-прокси; пусто = без прокси
+timeout = "10s"                      # таймаут запроса к TVMaze; Go-duration (s/m/h)
 
 [jellyfin]
 enabled = false                      # включить пересканирование медиатеки после раскладки
-url     = "http://jellyfin:8096"     # по имени сервиса в общей docker-сети
-api_key = ""                         # API-ключ Jellyfin (Dashboard → API Keys)
-proxy   = ""                         # опц. HTTP-прокси
-timeout = "10s"
+url     = "http://jellyfin:8096"     # адрес Jellyfin; обязателен, если enabled (в docker-сети — по имени сервиса)
+api_key = ""                         # секрет: API-ключ Jellyfin (Dashboard → API Keys); обязателен, если enabled
+proxy   = ""                         # опц. HTTP-прокси; пусто = без прокси
+timeout = "10s"                      # таймаут запроса к Jellyfin; Go-duration (s/m/h)
 
 [worker]
-poll_interval  = "5s"
-stuck_after    = "1h"
-magnet_timeout = "30m"
+poll_interval  = "5s"                # как часто опрашивать qBittorrent; Go-duration (s/m/h)
+stuck_after    = "1h"                # сколько ждать прогресса, прежде чем счесть раздачу зависшей; Go-duration
+magnet_timeout = "24h"               # страховочный предел ожидания метаданных magnet (не рабочий механизм: ожившие задачи воскрешаются сверкой); Go-duration
+catch_timeout  = "10m"               # страховочный предел: пойманная (catched) задача не добавилась в qBittorrent за это время → failed; Go-duration
+source_missing_threshold = 3         # подряд тиков сверки без раздачи в qBittorrent, чтобы счесть источник удалённым (дебаунс)
 
 [recognition]
-auto_confidence_threshold = 0.85
+auto_confidence_threshold = 0.85     # порог авто-раскладки без ревью; доля 0.0–1.0
 
 [telegram]
-enabled          = false
-token            = ""
-allowed_user_ids = []                # пусто = запрет всем (fail-closed)
-web_base_url     = ""                # напр. "http://jellybit:8080" — для кнопки «открыть в вебе»
-proxy            = ""                # опц. HTTP-прокси для api.telegram.org
+enabled          = false             # включить Telegram-бота
+token            = ""                # секрет: токен бота; обязателен, если enabled (заполняет деплой)
+allowed_user_ids = []                # allowlist Telegram user id (целые); пусто = запрет всем (fail-closed)
+web_base_url     = ""                # база для deep-link «открыть в вебе», напр. "http://jellybit:8080"; пусто = без кнопки
+proxy            = ""                # опц. HTTP-прокси для api.telegram.org; пусто = без прокси
 
 [http]
-listen          = ":8080"
-trusted_subnets = []                 # ПОКА НЕ ПРИМЕНЯЕТСЯ (деплой только в LAN); зарезервировано
+listen          = ":8080"            # адрес прослушивания HTTP-сервера; формат [host]:port
+trusted_subnets = []                 # allowlist подсетей (CIDR); ПОКА НЕ ПРИМЕНЯЕТСЯ (деплой только в LAN), зарезервировано
 
 [log]
-level  = "info"
-format = "json"
+level  = "info"                      # уровень логирования; одно из: debug, info, warn, error
+format = "json"                      # формат логов; одно из: json, text

docs/.pm.json

@@ -0,0 +1,4 @@
+{
+  "canon": 12,
+  "migrations": "internal/store/migrations"
+}

docs/README.md

@@ -1,17 +0,0 @@
-# Документация jellybit
-
-Три раздела с разной ролью — не путать:
-
-- **[specs/](specs/)** — спецификации. Описывают **целевое и текущее**
-  устройство системы. Живые и изменяемые: правим по мере развития,
-  держим в соответствии с кодом. Отвечают на вопрос «как устроено».
-
-- **[adr/](adr/)** — Architecture Decision Records. **Неизменяемый**
-  журнал значимых решений, пишется **постфактум**. Хранит главное —
-  *почему* так сделано. Передумали → не правим старую запись, заводим
-  новую. Процесс — в [adr/README.md](adr/README.md).
-
-- **[drafts/](drafts/)** — черновики: заметки, мысли, планы на будущее,
-  ещё не принятые решения. Не источник истины и ни к чему не обязывают.
-  Когда черновик становится реальностью — его место в specs (как
-  устроено) и/или adr (почему решили).

docs/adr/ADR-2026-06-13-auto-link-requires-db-match.md

@@ -1,6 +1,9 @@
 # Авто-раскладка только при подтверждённом матче в метабазе
 
-- Дата: 2026-06-13
+- **Дата:** 2026-06-13
+- **Источник:** архивного `design.md` нет — решение принято до перехода
+  проекта на OpenSpec (первый архивный change — `2026-06-28`); первичный
+  материал — история git
 
 ## Контекст
 
@@ -21,7 +24,7 @@ jellybit распознаёт содержимое релиза через LLM
   каноническое имя + `provider_id`. Но русские релизы и аниме часто в них
   отсутствуют.
 - Безопасность раскладки уже держится на валидации пути, не на промпте
-  (см. [recognition.md](../specs/recognition.md)); решение «авто vs review» —
+  (см. [recognition](../../openspec/specs/recognition/spec.md)); решение «авто vs review» —
   второй слой защиты, на уровне доверия результату.
 
 ## Рассмотренные варианты
@@ -53,8 +56,8 @@ LLM не противоречат по типу/названию/году. Не
 подтверждает) и убирает целый класс тихих ошибок «модель уверенно
 ошиблась». Review здесь — не наказание, а штатный режим для всего, что
 база не подтвердила (петля «догадка → подсказка → перераспознавание», см.
-[review-ux.md](../specs/review-ux.md)). Полная модель уверенности — в
-[recognition.md](../specs/recognition.md).
+[review](../../openspec/specs/review/spec.md)). Полная модель уверенности — в
+[recognition](../../openspec/specs/recognition/spec.md).
 
 ## Последствия
 

docs/adr/ADR-2026-06-13-docker-deploy.md

@@ -1,6 +1,10 @@
 # Docker как единица деплоя, образ собирается на сервере
 
-- Дата: 2026-06-13
+- **Дата:** 2026-06-13
+- **Источник:** архивного `design.md` нет — решение принято до перехода
+  проекта на OpenSpec (первый архивный change — `2026-06-28`); первичный
+  материал — история git
+- **Статус:** заменено на ADR-2026-07-24-local-image-build
 
 ## Контекст
 

docs/adr/ADR-2026-06-13-go-single-binary.md

@@ -1,6 +1,9 @@
 # Go и доставка одним бинарём
 
-- Дата: 2026-06-13
+- **Дата:** 2026-06-13
+- **Источник:** архивного `design.md` нет — решение принято до перехода
+  проекта на OpenSpec (первый архивный change — `2026-06-28`); первичный
+  материал — история git
 
 ## Контекст
 

docs/adr/ADR-2026-06-13-hardlinks.md

@@ -1,6 +1,9 @@
 # Хардлинки вместо копирования и симлинков
 
-- Дата: 2026-06-13
+- **Дата:** 2026-06-13
+- **Источник:** архивного `design.md` нет — решение принято до перехода
+  проекта на OpenSpec (первый архивный change — `2026-06-28`); первичный
+  материал — история git
 
 ## Контекст
 

docs/adr/ADR-2026-07-02-no-title-entity.md

@@ -0,0 +1,81 @@
+# Отдельную сущность «тайтл» не вводим
+
+- **Дата:** 2026-07-02
+- **Источник:** черновик `docs/drafts/logical-title-model.md` (разбор от
+  2026-07-01, переработан 2026-07-02; удалён при переводе проекта на канон,
+  полный текст — в истории git). Первый производный change —
+  [openspec/changes/archive/2026-07-02-ulid-identity/design.md](../../openspec/changes/archive/2026-07-02-ulid-identity/design.md).
+
+## Решение
+
+Логический тайтл (фильм или сериал, складывающийся из нескольких загрузок во
+времени) остаётся **вычисляемой группой**, а не хранимой сущностью: доменная
+идентичность — `download` (ULID + множество инфохэшей), связь с диском —
+`file_link` с владением целевым путём, а «второй сезон в ту же папку» решается
+**правилом сходимости папки** при построении плана раскладки.
+
+## Почему
+
+Разбор шёл от операций, и у тайтла их не нашлось:
+
+> У `title` при разборе **не нашлось ни одной собственной операции**: сходимость
+> папки — правило при построении плана; merge докачивания — per-path логика;
+> удаление целиком — цикл по вычисляемой группе. Сущность без собственных
+> операций — это линза, а линзу достаточно вычислять, не хранить.
+
+Второй аргумент — у папки уже есть дом, и вычисляемый якорь **корректнее**
+хранимого:
+
+> «Папка — это title-уровневое состояние, ей нужен дом» разбивается о то, что
+> дом у папки уже есть — файловая система и `dst_path` живых `file_link`'ов.
+> Реестр дублировал бы то, что и так записано в БД в N экземплярах. Причём
+> вычисляемый якорь корректнее хранимого: если все файлы сериала снесли, живых
+> ссылок нет — и новая загрузка честно создаёт свежую папку; хранимый
+> `title.folder` указывал бы в пустоту.
+
+Третий — отказ **устраняет**, а не решает хвост развилок: жизненный цикл тайтла
+(рождение, смерть, пустой тайтл), слияние тайтлов, ad-hoc тайтл без провайдера,
+обратная миграция существующих строк, отдельный title-лог.
+
+## Рассмотренные варианты
+
+- **L2 — `title` с ключом `(provider, provider_id)`.** Отвергнут: привязывает
+  долгоживущую сущность к провайдеру, который может смениться.
+- **L2-min — `title` со своим ULID + `title_external_id`** (провайдерные id
+  множеством-атрибутом, симметрично `download_infohash`). Схема красивая и
+  решает смену провайдера, ad-hoc тайтлы и слияние. Отвергнут именно по
+  аргументу выше: собственных операций нет, а сущность тянет жизненный цикл,
+  миграцию и четыре развилки.
+- **L3 — title-центричная медиатека (модель sonarr).** Отвергнут осознанно: мы
+  не ходим в индексеры, не мониторим тайтлы и не ведём профили качества —
+  контент приносит пользователь. Это граница домена,
+  [passport.md](../passport.md) → «Что целью не является».
+
+## Последствия
+
+- `+` Идентичность осталась одноуровневой: `download` — мост между раздачей в
+  qBittorrent и файлами на диске, и каждая сущность цепочки отвечает на свои
+  операции.
+- `+` Главная боль («второй сезон должен лечь в ту же папку») закрыта дешёвым
+  правилом при построении плана — реализовано change'ем
+  `2026-07-10-series-folder-convergence`, требования влиты в
+  [openspec/specs/file-layout](../../openspec/specs/file-layout/spec.md).
+- `+` Устранён, а не отложен, хвост развилок вокруг жизненного цикла тайтла.
+- `−` Группировка тайтла в UI и «удалить тайтл целиком» придётся каждый раз
+  **вычислять** по `(provider, provider_id)` и общей папке; дешёвого хранимого
+  ключа для этого нет.
+- `−` Рассинхрон «несколько живых папок с одним `(provider, provider_id)`»
+  разрешается только уходом в review — in-app лечения нет, чинится руками на
+  диске.
+- `−` Слияние загрузок при перезаливе «той же вещи» осталось открытым: когда
+  несколько инфохэшей считать одной загрузкой, а когда разными, — вопрос
+  переехал в задачу про merge-раскладку.
+
+## Триггер пересмотра
+
+Записан отдельно, чтобы не гонять этот круг заново:
+
+> Сущность `title` возвращается в обсуждение, только когда появится **операция
+> или состояние, которому реально негде жить** в `download` + `file_link` —
+> например, «переименовать сериал целиком с переносом ссылок» как регулярное
+> действие или заметки уровня группы. До того — вычисляем.

docs/adr/ADR-2026-07-23-review-pipeline-generative.md

@@ -0,0 +1,90 @@
+# Конвейер ревью: гейт, generative-проходы и обязательный триаж
+
+- **Дата:** 2026-07-23
+- **Источник:** архивного `design.md` нет — решение процессное, change'ем jellybit
+  не велось
+
+## Контекст
+
+Ревью изменений вели два сабагента (`jellybit-review-specs`,
+`jellybit-review-code`), вызываемые из `task-pipeline`. Оба устроены одинаково:
+получают дифф и применяют записанный чек-лист — конвенции, инварианты, пункты
+дельта-спеки. Инструменты им запускать было запрещено, детерминированные
+проверки (`lefthook`, `task test`/`task lint`) шли отдельно и **после**
+опиниативных проходов.
+
+У такой конфигурации три ограничения, которые нельзя снять её же средствами.
+
+**Recall чек-листа равен длине чек-листа.** Проход, устроенный как «проверь
+пункты 1..N», находит ровно перечисленное. Всё неявное — форма решения,
+идиоматичность, «так не делают» — неперечислимо по определению: то, что можно
+выписать, уже стало бы конвенцией. Удлинение списков не помогает, а вредит:
+внимание уходит на именование полей лога и не доходит до формы решения.
+
+**Ценность верификатора определяется наличием внешнего оракула и декорреляцией
+с автором, а не числом ролей.** Разделение на «архитектура / конвенции / стиль»
+декоррелирует внимание, но не суждение: под всеми ролями одна модель с одними
+априорными, и код писала она же. Бюджет уходил на мнения при непокрытом уровне
+детерминированных инструментов (`-race`, покрытие изменённых строк, флаки,
+`govulncheck` не гонялись вовсе).
+
+**Отчёт без границ покрытия хуже отсутствия отчёта.** «Замечаний нет»
+потребляло ощущение проверенности, ничего не гарантируя.
+
+Дополнительно: сверка со спекой шла только в направлении spec → code, поэтому
+поведение, которое код имеет, а дельта не заказывала, не ловилось никем — а это
+системная болезнь агентского кода. Измерения качества ревью не существовало.
+
+## Рассмотренные варианты
+
+- **Дробить `jellybit-review-code` на узкие оптики** (архитектура / конвенции /
+  стиль) — так стоял открытый вопрос в беклоге. Отвергнуто: добавляет роли, не
+  добавляя ни оракула, ни декорреляции суждения; recall почти не растёт, а
+  стоимость триажа растёт линейно.
+- **Удлинять чек-листы и конвенции** — прямо противоположно причине проблемы.
+- **Заменить конвейер CI-проверками** — покрывает только выразимое правилом;
+  неявный слой остаётся непокрытым.
+
+## Решение
+
+Конвейер пересобран по типу проходов, а не по ролям, и оформлен скиллом
+`.claude/skills/review-pipeline`.
+
+1. **Детерминированный гейт первым** (`task gate`): агент запускает инструменты
+   и интерпретирует вывод, отличая новые отказы от унаследованных. Пока гейт
+   красный, опиниативные проходы не запускаются. Гейт также выдаёт находки
+   класса «отсутствующая верификация» — непокрытые изменённые строки,
+   конкурентность без параллельного теста, флаки.
+2. **Сверка со спекой двунаправленная**, причём code → spec важнее: ищем
+   поведение, которого дельта не заказывала, и классифицируем — дописать спеку
+   или починить код. Проходу явно разрешено сомневаться в самом требовании.
+3. **Generative-проходы** как отдельный слой: рубрика до чтения кода,
+   независимая реализация без подглядывания, заземление идиоматичности на
+   stdlib и поимённые положения гайдов, негативное пространство. Только они
+   достают то, чего нет ни в одном списке.
+4. **Обязательный триаж** с потолком 7 находок и разметкой `инлайн`/`развилка`.
+   Отчёт читает оркестратор и молча реализует прочитанное, поэтому потолок
+   защищает кодовую базу от незаказанных правок, а не внимание человека.
+5. **Храповик**: находка → конвенция → правило линтера → **удаление из прозы и
+   промптов**. Третий шаг обязателен; в конвенциях остаётся только то, что
+   правилом не выражается.
+6. **Измеримость**: журнал проскочивших дефектов и калибровка инъекцией с
+   вердиктами `keep`/`retune`/`drop`. Проход, не находящий дефект своего класса
+   в 2 из 3 прогонов после двух правок промпта, удаляется, а не правится дальше.
+
+## Последствия
+
+- `+` У ревью появился объективный оракул там, где он вообще возможен, и явная
+  граница между «проверено», «не проверялось» и «недоступно в принципе».
+- `+` Неявный слой (форма решения, лишние абстракции, отсутствующее) стал
+  предметом отдельных проходов, а не побочным эффектом чтения диффа.
+- `+` Механизируемое ушло в `.golangci.yml` и `internal/archrules`: конвенции и
+  промпты разгружены, правило проверяется бесплатно и всегда.
+- `-` Профиль `deep` заметно дороже прежнего ревью по токенам и времени; отсюда
+  профили и правило выбора по факту изменения.
+- `-` Generative-проходы шумят: без триажа они делают хуже, чем ничего.
+  Триаж стал обязательным элементом, а не опцией.
+- `-` Набор проходов теперь нужно **измерять**, иначе он вырождается в театр.
+  Журнал заполняется по горячим следам, ретроспективные записи бесполезны.
+- Как следствие: калибровку проходов надо провести на реальных пробах —
+  процедура заведена, первые прогоны за владельцем.

docs/adr/ADR-2026-07-24-local-image-build.md

@@ -0,0 +1,73 @@
+# Образ собирается локально и едет на сервер через docker save/load
+
+- **Дата:** 2026-07-24
+- **Источник:** архивного `design.md` нет — решение деплойное, change'ем jellybit
+  не велось
+
+## Контекст
+
+Заменяет [ADR-2026-06-13-docker-deploy](ADR-2026-06-13-docker-deploy.md).
+
+Docker как единица деплоя и распределение ответственности (`Dockerfile`
+— упаковка — живёт в jellybit; оркестрация — в umbar) остаются в силе.
+Пересматривается только **как** образ попадает на сервер.
+
+Прежняя схема собирала статический бинарь на control-хосте, копировала
+на сервер бинарь + `Dockerfile` и делала `docker build` **на месте**.
+У этого два неудобства. Во-первых, на сервере остаётся шаг сборки: пусть
+дешёвый на Intel N150, но результат косвенно завязан на состояние сервера
+(его docker, его кэш), а не только на исходник. Во-вторых, схема
+одноразовая — она была вписана в `playbook-jellybit.yml` и не
+переиспользовалась. Появление второго такого же приложения (trackers)
+потребовало вынести доставку образа в общую ansible-роль `app_image` и
+заодно унифицировать контракт с приложением.
+
+## Рассмотренные варианты
+
+- **Оставить сборку на сервере** — прежнее решение. Держит на сервере шаг
+  `docker build` и делает результат зависимым от состояния сервера;
+  переиспользовать без копипасты плейбука неудобно.
+- **Реестр (CI пушит образ, сервер тянет)** — каноничнее, но в домашней
+  лаборатории это лишний реестр и пайплайн ради одного узла. Отвергнуто по
+  той же причине, что и в исходной ADR.
+- **Собрать полный образ локально и доставить его `docker save`/`load`** —
+  выбрано: сборка целиком на control-хосте, сервер — только получатель, и
+  реестр не нужен.
+
+## Решение
+
+Доставку образа ведёт переиспользуемая роль `app_image` в umbar. Схема:
+
+- **Контракт с приложением.** Приложение реализует команду `task image`:
+  получает `BUILD_ID` из окружения и собирает **полный** образ
+  `<app>:$BUILD_ID`. Без `BUILD_ID` собирается `<app>:dev` — обратная
+  совместимость для локальной работы. Приложение полностью владеет тем,
+  как собирается его образ (`Dockerfile` — в репозитории приложения).
+- **Сборка локальна.** Роль генерит случайный `BUILD_ID` и гоняет с ним
+  `task image` на control-хосте → образ `<app>:$BUILD_ID`. На сервере
+  Go-тулчейн и `docker build` больше не нужны.
+- **Тег = BUILD_ID.** Deploy-тег — тот самый случайный `BUILD_ID`.
+  Дедупликации по содержимому нет: тег нов на каждый прогон. Content-адресацию
+  (тег из хеша слоёв/конфига образа) рассматривали и отвергли — на сценариях
+  ручного нечастого деплоя выгода от неё не окупала сложности.
+- **Доставка без реестра.** `docker save` → copy tar → `docker load`.
+  Каждый деплой везёт образ и пересоздаёт контейнер.
+- **Уборка.** Старые образы на сервере (тег каждого прошлого деплоя)
+  подчищает `docker image prune -af` по крону (`playbook-system.yml`).
+
+## Последствия
+
+- `+` Сервер — только получатель образа: без Go-тулчейна и без шага
+  `docker build`.
+- `+` Сборка целиком на control-хосте — воспроизводимее; состояние
+  сервера на результат не влияет.
+- `+` Реестр по-прежнему не нужен — доставка дешёвая (`save`/`load` tar).
+- `+` Механизм общий (роль `app_image`), а не вписан в один плейбук —
+  им же доставляется trackers.
+- `-` Дедупликации нет: тег = случайный `BUILD_ID`, поэтому каждый деплой
+  везёт образ и пересоздаёт контейнер, даже если ничего не менялось. Для
+  ручного нечастого деплоя это осознанный размен — простота роли важнее
+  экономии одного рестарта.
+- `-` `save`/`load` везёт весь образ (базовый слой + бинарь), а не только
+  бинарь, как в прежней схеме. Для `distroless/static` это единицы
+  мегабайт — дёшево.

docs/adr/ADR-2026-08-04-review-pipeline-to-plugin.md

@@ -0,0 +1,97 @@
+# Конвейер ревью и пайплайн задачи переезжают в плагины
+
+- **Дата:** 2026-08-04
+- **Источник:** `DECISIONS.md` §4 «Границы плагинов» (2026-08-03) и §7
+  «Раскладка скиллов» репозитория `av-dev-skills`
+  (`https://git.vakhrushev.me/av/dev-skills.git`). Архивного `design.md` у этого
+  решения нет: оно принималось в репозитории плагинов, а не change'ем jellybit —
+  отсюда и отступление от правила «ADR это промоут поверх архивного design.md».
+
+**Не заменяет [ADR-2026-07-23](ADR-2026-07-23-review-pipeline-generative.md).**
+Форма конвейера, принятая там (детерминированный гейт первым, двунаправленная
+сверка со спекой, слой generative-проходов, обязательный триаж с потолком 7,
+храповик «находка → правило → удаление», журнал и калибровка), остаётся в силе
+целиком. Пересматривается только **где конвейер живёт и кому принадлежит**, плюс
+одно частное следствие — судьба прохода про идиоматичность.
+
+## Решение
+
+Конвейер ревью, пайплайн задачи и пайплайн партии задач перестают быть
+артефактами jellybit и переезжают в плагины маркетплейса `av-dev-skills`:
+
+- **`av-dev-pipeline`** — исполнение: SDD-цикл (`task-pipeline`, `task-batch`) и
+  конвейер ревью с девятью агентами;
+- **`av-dev-pm`** — управление продуктом: канон документов (`canon`, `docs`),
+  задачи и цели (`tasks`), ритуал спринта (`session`);
+- **`av-dev-git`** — стиль коммитов.
+
+Из репозитория удалены 11 агентов `jellybit-review-*` (1159 строк) и три скилла
+с их справочниками (932 строки). Проектная специфика, которая раньше была
+вшита в промпты агентов, теперь приходит из документов канона — прежде всего из
+[docs/review.md](../review.md): типовые узлы, типовые ложноположительные,
+вопросы к проходам, триггеры профиля, недоступное проверке.
+
+## Почему
+
+Причина словами владельца, из источника:
+
+> «пайплайн можно и переиспользовать в других проектах с более простым подходом
+> к управлению»
+
+и разбор, который её подтверждает:
+
+> Пайплайн зависит от **файлов канона и от OpenSpec, а не от плагина**
+> `av-dev-pm`. В чужом проекте нужных файлов нет — включается поразрядная
+> деградация, и это штатный режим, а не поломка.
+
+Второе: копия конвейера жила не только здесь. Те же скиллы и агенты лежали в
+healthlog, и **копии успели разойтись** — правка, сделанная в одном проекте, во
+второй не приезжала никогда. Скилл, который правят в двух местах, работает в том
+из них, куда заглянули последним; это ровно та болезнь, которую канон лечит
+правилом единственного дома, и на процессных артефактах она проявилась раньше,
+чем на документах.
+
+Третье: разделение плагинов по симметрии «раскладка и содержимое» —
+`canon`/`docs` для документов, `tasks`/`session` для задач — сняло конфликт
+владения `docs/tasks/`, из-за которого прежний `av-dev-backlog` и пайплайн
+претендовали на один каталог.
+
+## Рассмотренные варианты
+
+- **Оставить копию в проекте, синхронизировать руками.** Отвергнуто фактом:
+  именно это и делалось, и копии разошлись. Ручная синхронизация двух проектов
+  не имеет ни оракула, ни момента, когда её обязаны выполнить.
+- **Один общий плагин на всё.** Отвергнуто: пайплайн переиспользуем в проекте,
+  который канон av-dev не ведёт, а канон полезен там, где нет OpenSpec. Один
+  плагин связал бы их жёстче, чем они связаны по существу.
+- **Держать в проекте только агентов, а скиллы вынести.** Отвергнуто: агенты и
+  есть содержание конвейера; вынести оболочку, оставив начинку, значит получить
+  ту же расходящуюся копию, только менее заметную.
+
+## Последствия
+
+- `+` Правка конвейера делается один раз и приезжает во все проекты; расхождение
+  копий структурно невозможно.
+- `+` Из промптов агентов ушла проектная специфика — она читается из документов
+  канона, поэтому обновляется вместе с проектом, а не отдельной правкой девяти
+  промптов.
+- `+` `-2091` строка процессных артефактов в репозитории; репозиторий описывает
+  jellybit, а не то, как над ним работают.
+- `−` **Проход `idiom` упразднён.** Поимённая сверка с положениями Effective Go,
+  Go Code Review Comments и стайлгайдов Uber/Google не задаётся теперь ни одним
+  проходом; способные части переселены (эксперимент против поведения библиотеки
+  и драйвера — в `ops`, «не изобретаем ли то, что уже есть в библиотеке» — в
+  `architecture`). **Различение «идиоматично против распространено» не
+  спрашивает никто.** Класс обратимый — портит форму кода, не данные. Записано в
+  [docs/review.md](../review.md) → «Перестали проверять сознательно»; пересмотр —
+  задача `quality-review-agents`.
+- `−` Версия конвейера больше не зафиксирована коммитом проекта: обновление
+  плагина меняет ревью задним числом, и старый прогон не воспроизводится.
+  Отчёт триажа в `openspec/changes/<id>/review/` остаётся единственным
+  артефактом того, что реально проверялось.
+- `−` Проектная специфика теперь **обязана** быть в `docs/review.md`. Пустой или
+  устаревший раздел там больше не компенсируется вшитой в промпт конкретикой —
+  проход просто спросит общее вместо частного, и это будет незаметно.
+- `−` Появилась внешняя зависимость сборки процесса: без подключённого
+  маркетплейса `av-dev-skills` пайплайн и ревью недоступны. Шаг `canon` в
+  `task gate` по той же причине краснеет внятно, когда `docs.py` не найден.

docs/adr/ADR-2026-08-06-spec-follows-code-on-narrow-window.md

@@ -0,0 +1,80 @@
+# Спека следует за кодом, когда гарантия недостижима, а окно узкое
+
+- **Дата:** 2026-08-06
+- **Источник:**
+  [openspec/changes/archive/2026-08-06-catched-source-type-reread-wording/design.md](../../openspec/changes/archive/2026-08-06-catched-source-type-reread-wording/design.md)
+
+## Решение
+
+Требование `download-tracking` о re-read `source_type` приведено **к коду**, а
+не наоборот: перечитывать под блокировкой переходов **после тик-снимка**, а
+остаточное окно (апгрейд magnet → `.torrent`, легший в вызов namer'а) названо в
+спеке известным ограничением с ценой и маршрутом восстановления. Код не тронут.
+
+Общее правило, которое отсюда следует для проекта: когда спека и код разошлись,
+**двигается тот, чья формулировка сильнее рационали**. Требование, обещавшее
+больше, чем нужно ради его собственной причины, чинится текстом; недостающая
+гарантия чинится кодом.
+
+## Почему
+
+Формулировка была сильнее своей же рационали:
+
+> Рациональ исходного требования — «не полагаться на снимок, снятый ранее вне
+> блокировки» — выполнен первым re-read под замком. Формулировка «непосредственно
+> перед добавлением» была сильнее рационали и кодом не достигается: между
+> re-read и `qbt.Add` стоит namer, вынесенный из-под блокировки намеренно
+> (требование «Медленные вызовы SHALL выполняться вне блокировки»).
+
+Цена починки кодом оказалась несоразмерной ущербу:
+
+> Вариант A (пересобирать `addReq` из `before` под замком) отклонён: это не
+> однострочник — `sourceAddParts` читает байты `.torrent` и держать его под
+> блокировкой нельзя, а при апгрейде корректен был бы и повторный вызов namer'а
+> (подсказка имени берётся из другого источника).
+
+Главное же — **молчащая ложная гарантия дороже названного ограничения**. Пока
+спека утверждала недостижимое, дефект был невидим ровно потому, что нормативный
+дом поведения его отрицал; аудит capability находил его заново.
+
+## Рассмотренные варианты
+
+- **A — починить код** (пересобирать запрос на добавление из свежей записи под
+  блокировкой). Отвергнут по цене: чтение блоба `.torrent` под замком
+  недопустимо, корректная версия тянет повторный вызов namer'а. Отвергнут
+  **отложенно, а не окончательно**: спека поэтому не запрещает его нормативно
+  (см. `design.md` D6).
+- **B — привести спеку к коду** (принято). Наблюдаемое поведение прежнее,
+  меняется заявленное.
+- **C — оставить как есть.** Отвергнут: расхождение спека↔код воспроизводится
+  каждым аудитом, а читатель спеки считает окно закрытым.
+
+## Последствия
+
+- `+` Нормативный дом поведения перестал утверждать недостижимое; ограничение
+  видно и имеет названную цену вместо молчания.
+- `+` Парная ложная гарантия снята и в `ingest` («воркер добавит раздачу
+  файлом») — иначе она бы просто переехала в соседнюю capability и всплыла
+  следующим аудитом.
+- `+` Заодно назван исход ветки «сохранённые байты `.torrent` недоступны», не
+  заказанной до этого ни одним сценарием.
+- `−` Цена окна выше, чем считала постановка задачи: не «подождать и нажать
+  `Retry`», а ожидание `magnet_timeout` (дефолт `24h`) **плюс ручной шаг** —
+  убрать зависшую раздачу из qBittorrent. `Retry` сам не добивает: `metaDL`
+  считается живым и здоровым торрентом, и `Retry` к нему перецепляется без
+  повторного `add` (`design.md` D2). На этой пересмотренной цене вопрос
+  «чинить ли окно кодом» открыт заново.
+- `−` Новая нормативная ветка (недоступные байты `.torrent`) держится на чтении
+  кода: теста-оракула у неё нет, её регрессия зелёный гейт не покрасит.
+- `−` Прецедент «спека следует за кодом» опасен буквальным применением. Он
+  оправдан **только** когда формулировка сильнее рационали и ущерб от разрыва
+  назван; «код так делает, значит так и запишем» этой записью не
+  санкционируется.
+
+## Триггер пересмотра
+
+Записан отдельно, чтобы не гонять круг заново:
+
+> Окно возвращается в работу вариантом A, когда апгрейд в вызове namer'а
+> случится в эксплуатации хотя бы раз — признак в логах — либо когда стоимость
+> ручного шага станет заметной. До того — принято и описано.

docs/adr/ADR-2026-08-07-tvdb-locale-reads-response.md

@@ -0,0 +1,66 @@
+# Локаль TVDB читается из ответа поиска, а не передаётся в запрос
+
+- **Дата:** 2026-08-07
+- **Источник:** [openspec/changes/archive/2026-08-07-tvdb-title-locale/design.md](../../openspec/changes/archive/2026-08-07-tvdb-title-locale/design.md),
+  решение 1 и решение 1a
+
+## Контекст
+
+Глобальная настройка `[general].language` правит промпт LLM и клиент TMDB
+([ADR решения 2](../../openspec/changes/archive/2026-07-24-content-language-switch/design.md)),
+но до клиента TVDB не доезжала. TVDB отдавал primary name — название на языке
+оригинала, — и оно попадало в карточку ревью и в имя папки Jellyfin как есть.
+
+Очевидный подход, записанный прямо в постановке задачи и в её критерии приёмки:
+добавить параметр языка в запрос `/search`, как это сделано для TMDB. От него
+отказались.
+
+## Решение
+
+**Параметр языка в запрос поиска TVDB не передаётся. Локаль применяется только
+при разборе ответа: `Candidate.Title` берётся из блока переводов, `OriginalTitle`
+— из primary name.**
+
+Цитата решения 1 архивного `design.md`:
+
+> По [swagger TVDB v4, версия 4.7.10] у `/search` есть параметр `language` с
+> описанием «Restrict results to a specific primary language. Should include the
+> 3 character language code» — это **фильтр выдачи**, а не селектор перевода.
+> Передача `language=rus` отсекла бы записи, основной язык которых не русский,
+> то есть ровно наблюдаемый случай (`Ne Zha`, основной язык `zho`). Сужение
+> выдачи — это изменение входа гейта матча, а задача такое явно запретила.
+
+Тем самым два провайдера намеренно устроены по-разному: у TMDB локаль едет в
+запрос, у TVDB читается из ответа. Асимметрия оставлена в клиентах, а не поднята
+в общий тип: у TMDB карты названий в ответе нет вовсе, и общий тип пришлось бы
+заполнять единственным ключом (решение 1a, форма B).
+
+## Рассмотренные варианты
+
+- **Слать `language` и мириться с сужением выдачи.** Ломает основной сценарий:
+  иноязычные записи, ради которых задача заводилась, пропадут из поиска.
+- **Отдельный запрос `/movies/{id}/translations/{lang}` на каждого кандидата.**
+  Цена в лимитах ключа не окупает косметическое поле.
+- **Заголовок `Accept-Language`.** Для v4 не документирован — была бы догадка.
+- **`Candidate` несёт карту названий, выбор делает потребитель** (форма B). Язык
+  у потребителя уже есть, плюмбинг не нужен, но у TMDB карты в ответе нет —
+  внутри одного доменного типа завелись бы две формы.
+- **TVDB не локализуется вовсе, заполняется только `OriginalTitle`** (форма C).
+  Тогда наблюдаемый случай чинится только при включённом TMDB, давшем матч, —
+  поведение молча зависело бы от набора включённых провайдеров.
+
+## Последствия
+
+- Критерий приёмки задачи «запрос поиска содержит параметр языка» выполнен быть
+  не может и отменён этим решением. Расхождение вынесено вопросом человеку —
+  разведка [tvdb-search-response-live-check](../../tasks/items/tvdb-search-response-live-check.md).
+- **Решение опирается на документацию, а не на замер.** Семантика параметра и
+  форма блока переводов живым API не подтверждены —
+  [research/tvdb-search-translations.md](../research/tvdb-search-translations.md).
+  Если ручной прогон под ключом покажет иное, эта запись пересматривается новой,
+  а не правится.
+- Заполнение `OriginalTitle` дало кандидату TVDB две оси сравнения вместо одной.
+  Логика гейта не менялась, но его вход изменился в обе стороны: запись, которую
+  отсекал иероглифический primary name, теперь может пройти по переводу, а две
+  разные записи могут совпасть с планом разными названиями и увести задачу в
+  review. Инвариант «авто-раскладка только при подтверждённом матче» не двигается.

docs/adr/ADR-2026-08-10-last-copy-warning-from-state.md

@@ -0,0 +1,52 @@
+# Отметка «последняя копия» на подтверждении удаления выводится из состояния, а не из файловой системы
+
+- **Дата:** 2026-08-10
+- **Источник:** openspec/changes/archive/2026-08-10-bulk-delete-page/design.md
+
+## Решение
+
+Экран подтверждения группового удаления помечает загрузку как последнюю копию
+данных по её **состоянию** (`orphaned`), не спрашивая файловую систему. Случай,
+когда байты источника исчезли с диска, а раздача осталась в списке qBittorrent,
+такой отметки не получает — и это записано границей в спеке `web-ui`, а не
+оставлено умолчанием.
+
+## Почему
+
+Гард последней копии в `Delete` выключен сознательно (инвариант «источник
+неприкосновенен», исключение 1), поэтому осведомлённость человека — единственный
+оставшийся предохранитель. Отсюда решение D2 источника:
+
+> Признак берётся из состояния (`orphaned` по определению значит «источник
+> пропал, цель — последняя копия»), а не обходом файловой системы.
+
+Враждебный проход ревью построил путь, где это неверно: сверка берёт присутствие
+источника из ответа `torrents/info`, а не с диска, поэтому задача с пропавшими
+байтами остаётся `done` сколько угодно долго и отметки не получает. Дыра
+признана и оставлена открытой по решению человека: поштучное удаление такой
+отметки не несёт **вовсе**, то есть групповой путь не ухудшил положение, а
+улучшил его не до конца. Закрывать её обходом файловой системы на экране
+подтверждения значит завести чтение диска в транспорте ради предупреждения,
+которое и сегодня лучше прежнего.
+
+## Рассмотренные варианты
+
+- **Спрашивать файловую систему на подтверждении** (`nlink` по живым ссылкам
+  последнего батча) — отметка стала бы правдой, но транспорт начал бы ходить в
+  файловую систему ради показа, а пачка ограничена двадцатью строками только
+  сегодня.
+- **Вернуть гард последней копии в `Delete`** — отменяет само назначение
+  команды: она затем и существует, чтобы снять последнюю копию осознанно.
+- **Убрать отметку совсем** — честно, но теряет полезный сигнал про пропавший
+  источник, который в подавляющем большинстве случаев и есть последняя копия.
+
+## Последствия
+
+- `+` Подтверждение предупреждает о последней копии там, где раньше не
+  предупреждало ничто; признак берётся из домена, второго перечня состояний не
+  заводится.
+- `+` Транспорт не ходит в файловую систему ради показа.
+- `−` Случай «`done` с пропавшими байтами источника» отметки не получает. Дыра
+  названа в спеке прямо, чтобы отметка не читалась как гарантия.
+- `−` Пока сверка берёт присутствие источника из списка раздач, а не с диска,
+  закрыть дыру нельзя ни на одном экране.

docs/adr/ADR-2026-08-10-observability-is-not-terminality.md

@@ -0,0 +1,56 @@
+# Наблюдаемость поверхности не выводится из терминальности задачи
+
+- **Дата:** 2026-08-10
+- **Источник:** openspec/changes/archive/2026-08-10-card-live-refresh/design.md
+
+## Решение
+
+Веб-UI обновляет себя, пока задача **наблюдаема** — то есть её состояние ещё
+может измениться без участия человека, — а не пока она нетерминальна.
+Предикат `store.State.IsObservable()` живёт в домене рядом с `IsTerminal()` и
+даёт: все нетерминальные плюс `failed`, `target_missing`, `orphaned`. Замолкают
+`done`, `cancelled`, `reverted`, `deleted`.
+
+## Почему
+
+Очевидный предикат — «обновляемся, пока задача не терминальна» — оказался
+неверным, и это выяснилось на ревью дизайна, до кода. Цитата из источника:
+
+> Терминальность в проекте значит «не активна», а не «навсегда»: фоновая сверка
+> двигает часть терминальных сама — `ListRecoverable` возвращает в поток
+> `failed`/`stuck` с кодами `magnet_timeout` и `stalled`, а `desyncStates`
+> переоценивает `done`, `target_missing` и `orphaned`. Карточка, застывшая по
+> `IsTerminal`, показывала бы «Ошибка» у задачи, которая уже качается, — ровно
+> тот дефект, ради которого затеян change.
+
+`done` в перечень наблюдаемых не вошёл, и это отдельное решение с ценой:
+
+> Переход `done → target_missing`/`orphaned` означает, что файлы удалили руками
+> мимо сервиса, — событие редкое, а карточек `done` в списке больше всех.
+> Платить за редкий случай постоянным фоновым запросом на каждую разложенную
+> задачу дороже, чем показать её новое состояние при следующем заходе.
+
+## Рассмотренные варианты
+
+- **Наблюдать только нетерминальные** (как задумывалось изначально) — проще
+  всего и не заводит второго предиката. Отвергнут: задача, оживлённая сверкой из
+  `failed`, висела бы на экране с надписью «Ошибка» до перезагрузки, причём
+  соседние карточки при этом обновлялись бы — застывшая читалась бы как
+  достоверная.
+- **Наблюдать всё, терминальные — редким тиком** — снимает вопрос целиком.
+  Отвергнут: список из сотни разложенных задач слал бы пустые запросы вечно, а
+  критерий приёмки «завершённая карточка себя не опрашивает» пришлось бы
+  отменить.
+
+## Последствия
+
+- `+` смена состояния становится видимой независимо от того, кто её сделал:
+  воркер, веб-UI, Telegram или фоновая сверка.
+- `+` условие обновления выражено одним доменным предикатом; второго перечня
+  состояний в транспорте нет, и завести его нельзя не заметив.
+- `−` в домене стало два перечня состояний вместо одного, и второй выведен из
+  поведения воркера (`desyncStates`, `ListRecoverable`) вручную. Расширение
+  сверки новым состоянием молча вернёт застывшую карточку — связки, которая бы
+  это ловила, нет.
+- `−` карточка `failed`, `target_missing` или `orphaned` опрашивает сервер, пока
+  открыта вкладка: эти состояния живут долго и копятся (срока хранения нет).

docs/adr/ADR-2026-08-10-reason-computed-on-read.md

@@ -0,0 +1,77 @@
+# Причина, по которой человек не видит плана, считается на показе, а не читается из состояния
+
+- **Дата:** 2026-08-10
+- **Источник:**
+  [openspec/changes/archive/2026-08-10-long-title-to-review/design.md](../../openspec/changes/archive/2026-08-10-long-title-to-review/design.md),
+  Решение 6 и раздел `Risks / Trade-offs`; отчёт триажа того же change,
+  находка 1
+
+## Контекст
+
+Проверка длины целевого имени встала в `layout.BuildLinks` — туда же, где
+собираются оба предпросмотра экрана ревью. Это дало даром совпадение показанного
+с применённым, но и вторую половину: непомещающееся имя обнуляет предпросмотр, а
+без предпросмотра экран прячет команду «Применить».
+
+Первым решением панель действий брала текст из `error_msg` — причины, записанной
+при последнем переходе. Ревью показало, что на самом частом входе этого поля
+нет вовсе: задача, пришедшая в `review` из-за отсутствия матча, попадает туда с
+пустой причиной и до раскладки не доходит. Замер триажа на двух деревьях:
+
+```
+до изменения:  предпросмотр строится, «Применить» доступна,
+               применение доводит до failed с текстом ядра
+после:         предпросмотр пуст, команды нет, причины нет —
+               экран печатает «Подтверди источник», хотя источник ни при чём
+```
+
+То есть изменение, чья цель — «человек узнаёт причину», на этом входе
+диагностируемость ухудшало.
+
+## Решение
+
+**Причина отказа считается в момент показа и отдаётся транспорту значением
+(`worker.ReviewData.PreviewError`); записанная в состоянии используется только
+когда посчитанной нет.**
+
+Цитата из `design.md`, Решение 6:
+
+> Оба предпросмотра ревью (карточка и строка источника) строят пути тем же
+> `BuildLinks`, поэтому вердикт на показе и вердикт на применении совпадают по
+> устройству, а не по договорённости.
+
+Отсюда следует и обратное: раз вердикт считается на показе, там же считается и
+его причина. Посчитанная предпочитается записанной по двум причинам сразу:
+записанной может не быть вовсе, а после смены источника она уже про другой план — команды,
+меняющие эффективный источник, поля ошибки не чистят.
+
+**Чтение при этом состояние не двигает.** Построение предпросмотра остаётся без
+побочных эффектов; причина уходит наружу возвращаемым значением.
+
+Это второй случай одного класса за день. Первый —
+[ADR-2026-08-10-sanitize-at-every-entry](ADR-2026-08-10-sanitize-at-every-entry.md):
+гарантия, поставленная на запись, не покрывает то, что записано раньше. Здесь она
+не покрывает то, что не записано вовсе.
+
+## Рассмотренные варианты
+
+- **Записывать причину в состояние при построении предпросмотра.** Отвергнуто:
+  чтение начало бы двигать состояние. Запрет уже стоял в коде отдельным
+  комментарием — предпросмотр не переводит задачу в `review` при рассинхроне
+  папок, — и заводить исключение ради текста на экране значило бы снять правило.
+- **Оставить как есть, записав остаток сценарием спеки.** Отвергнуто на
+  чекпоинте: регресс диагностируемости дошёл бы до боевого окружения на самом
+  частом входе.
+- **Печатать причину только в баннере состояния, панель не трогать.** Отвергнуто:
+  баннер показывает записанное и на этом входе пуст ровно так же.
+
+## Цена
+
+Причина живёт в двух местах — записанная в состоянии и посчитанная на показе, — и
+порядок между ними держится на ревью, а не на типе. Взамен экран ревью объясняет
+отсутствие команды всегда, а не только когда причину успели записать, и
+объяснение относится к текущему плану, а не к прошлому.
+
+Побочно: тот же текст может оказаться и в баннере, и в панели, когда записанная
+причина совпала с посчитанной. Дубль признан приемлемым — он честен, а
+код, который его снимал бы, дороже.

docs/adr/ADR-2026-08-10-sanitize-at-every-entry.md

@@ -0,0 +1,82 @@
+# Значение метабазы чистится на каждой точке входа в план, а три санитайзера не сводятся в один
+
+- **Дата:** 2026-08-10
+- **Источник:**
+  [openspec/changes/archive/2026-08-10-metadata-title-sanitize/design.md](../../openspec/changes/archive/2026-08-10-metadata-title-sanitize/design.md),
+  разделы `Decisions` (Решения 1, 1a, 3) и `Non-Goals`
+
+## Контекст
+
+Название, приходящее из TMDB/TVDB/TVMaze, попадает в имя каталога библиотеки
+Jellyfin. Выход LLM мы чистим и считаем недоверенным; название из метабазы того
+же обращения не получало, хотя приходит так же — из-за периметра. Наблюдаемый
+исход: каталог из невидимых символов выглядит пустым, кириллическая буква внутри
+латинского слова даёт вторую папку, неотличимую от первой, и авто-раскладка это
+пропускала.
+
+Разбор показал, что точка входа не одна. Их четыре, и каждая ведёт в имя
+каталога: сборка подтверждённого матча, копия кандидата, уходящая на экран
+ревью и в хранилище, набор закреплённых значений выбранного человеком
+источника и **чтение** уже закреплённого значения.
+
+## Решение
+
+**Чистка стоит на каждой из четырёх точек, а не в одной «правильной».**
+
+Цитата из `design.md`, Решение 1a:
+
+> Закрываются обе одной и той же чисткой, но в трёх местах — по одному на
+> каждую точку, где значение метабазы входит в домен.
+
+Плюс четвёртая, добавленная по находке эксплуатационного прохода: чистка **на
+чтении** закреплённого значения. Гарантия чистоты не может держаться на времени записи строки —
+кандидаты и закреплённые значения, сохранённые прежними версиями, обходят её,
+а обычное
+«Применить» ничего не перезаписывает. Санитайзинг идемпотентен, поэтому лишние
+точки на уже чистом значении не делают ничего; это же свойство сделано
+нормативным и покрыто тестом.
+
+Отдельно: **гейт подтверждения матча чистка не двигает.** Сравнение кандидата с
+планом идёт по значениям провайдера, чистится только копия, уходящая дальше.
+Причина в том, что `normalize` и санитайзинг не эквивалентны: невидимый символ
+внутри слова `normalize` превращает в пробел, а санитайзинг удаляет — чистка до
+сравнения превратила бы часть нынешних «в review» в «авто».
+
+## Рассмотренные варианты
+
+- **Свести три санитайзера проекта в один.** Отвергнуто: у них разный предмет —
+  `recognize.SanitizeTitle` чистит значение, `layout.sanitizeComponent` —
+  компонент пути под требования файловой системы, `naming.sanitize` —
+  отображаемый ярлык. Свёртка гомоглифов — визуально неотличимых букв из разных алфавитов — внутри
+  `sanitizeComponent` сломала бы
+  правило сходимости базы папки: она гоняется и по имени, прочитанному с диска.
+- **Закрыть только авто-путь, ручной отдать отдельной задаче.** Отвергнуто на
+  чекпоинте: спека `metadata-match` сама называет ручной выбор **основным**
+  путём подтверждения матча — починка коснулась бы менее употребимой половины,
+  а спека утверждала бы свойство, которого нет.
+- **Чистить в клиентах метабаз.** Отвергнуто: пришлось бы повторять в трёх
+  клиентах и в каждом следующем, а проверка «в плане нет грязных полей»
+  перестала бы читаться в одном месте.
+- **Разовая правка данных вместо чистки на чтении.** Отвергнута как более
+  дорогая и не закрывающая следующего читателя.
+- **Полная нормализация Unicode** (NFC/NFKC плюс полная таблица визуально
+  совпадающих символов Unicode) — Non-Goal. Цель — предсказуемое и сверяемое значение, а не исчерпывающая защита
+  от визуального совпадения; курируемая кирилло-латинская таблица закрывает
+  реальный случай.
+
+## Что осталось нерешённым намеренно
+
+**Каталог с невидимым символом, уже созданный в библиотеке, кодом не лечится.**
+Правило сходимости базы папки наследует имя от живой папки-якоря, и очистка
+извлечённой базы напечатала бы рядом вторую, чистую папку — то есть ровно тот
+исход с двумя каталогами, против которого затевалось изменение. Лечение —
+переименовать папку руками, после чего сходимость подхватит новое имя.
+Изменение закрывает появление новых таких каталогов, а не существующие.
+
+## Цена
+
+Точек чистки четыре вместо одной, и правило «значение метабазы чистится на
+входе в домен» держится на ревью, а не на линтере. Взамен свойство «показанное
+на экране совпадает с тем, что ляжет на диск» держится устройством кода: чистка
+стоит в `sourcePins` — общем доме набора закреплённых значений, через который
+идут и предпросмотр, и закрепление.

docs/adr/README.md

@@ -1,62 +1,58 @@
-# Architecture Decision Records (ADR)
+# Журнал решений
 
-Журнал значимых архитектурных решений по jellybit. Одна запись — одно
-решение. ADR пишем **постфактум**, когда решение принято и зафиксировано
-в коде/проекте: идеи и неподтверждённые планы живут в `docs/drafts`, а не
-в ADR. Записи **неизменяемы**: передумали → не правим старую, заводим
-новую и помечаем старую.
+Одна запись — одно решение. **ADR это промоут поверх архивного `design.md`**,
+а не второе сочинение: запись цитирует решение и ссылается на
+`openspec/changes/archive/<id>/design.md`.
 
-Главная ценность записи — сохранить **почему**: намерение и причинность.
-Это важнее аккуратности оформления и полноты остальных секций.
+Главная ценность записи — сохранить **почему**: намерение и причинность. Это
+важнее аккуратности оформления и полноты остальных секций.
 
-Формат и процесс унаследованы от соседнего проекта umbar.
+## Когда заводить
 
-## Когда заводить ADR
+Верно одно из трёх:
 
-- Выбор технологии или инструмента.
-- Структурные решения (хранилище, организация компонентов, протоколы).
-- Решения с долгосрочными последствиями или дорогим откатом.
-- **Намеренный отказ** от очевидного подхода — чтобы потом не
-  переоткрывать «а почему мы не сделали X».
+<!-- копия: adr-когда-заводить из av-dev-docs/skills/canon/references/canon.md -->
+- **дорогой откат** — переделка стоит дороже переписывания одного файла;
+- **намеренный отказ** от очевидного подхода;
+- **пересмотр прежнего решения** — тогда у старой записи обязателен статус
+  «заменено на».
+<!-- /копия: adr-когда-заводить -->
 
-Не заводить для рутины (бамп версии зависимости, добавление эндпоинта по
-накатанной схеме) и того, что и так видно из кода и git.
+Не заводить для рутины и для того, что видно из кода и `git log`.
 
 ## Соглашения
 
-- **Имя файла = идентификатор:** `ADR-ГГГГ-ММ-ДД-kebab-slug.md`.
-  Идентификатор — имя без `.md`. Slug — латиницей.
-- **Дата** — когда решение реально принято.
-- Несколько ADR за один день различаются по slug.
-- **Заголовок в файле:** `# Человеческий заголовок` (без даты и ID — они
-  в имени файла и в строке «Дата»).
-- Секция **«Рассмотренные варианты» — опциональна**: оставляй её, только
-  если альтернативы реально рассматривались.
-- Шаблон новой записи — [`template.md`](template.md).
+- Имя файла — `ADR-ГГГГ-ММ-ДД-slug.md`, слаг английский, дата — когда решение
+  реально принято. Идентификатор записи — имя файла без `.md`; несколько
+  записей за один день различаются слагом.
+- **Заголовок в файле** — `# Человеческий заголовок`, без даты и id: они в
+  имени файла и в поле меты.
+- Секция «Рассмотренные варианты» **опциональна**: оставляй, только если
+  альтернативы реально рассматривались.
+- Записи неизменяемы: передумали — новая запись, старой ставится статус.
+- Активная запись статуса не имеет. Значений два: `заменено на ADR-…` и
+  `устарело`; ставятся полем меты записи — `- **Статус:** …` рядом с датой и
+  источником, а не абзацем в теле.
+- Замена: в новой записи — строка «Заменяет ADR-…», в старой — поле статуса,
+  тело не трогаем (это часть истории), в таблице ниже правится статус.
 
-## Статусы
-
-Активная запись статуса **не имеет**. Статус появляется, только когда
-запись теряет силу, и значений всего два:
-
-- `заменено на ADR-ГГГГ-ММ-ДД-slug` — решение пересмотрено новой ADR.
-- `устарело` — решение потеряло смысл и замены нет.
-
-## Замена и устаревание
-
-1. Заводим новую ADR; в её «Контексте» — строка
-   «Заменяет ADR-ГГГГ-ММ-ДД-slug».
-2. В старой ADR добавляем строку `- Статус: заменено на ADR-…` сразу под
-   датой. Тело не трогаем — это часть истории.
-3. Обновляем статус старой записи в индексе ниже.
-
-## Список записей
+## Записи
 
 Новые сверху.
 
-| Дата       | Запись                                                            | Статус |
-| ---------- | ---------------------------------------------------------------- | ------ |
+| Дата | Запись | Статус |
+| --- | --- | --- |
+| 2026-08-10 | [Отметка «последняя копия» на подтверждении удаления выводится из состояния, а не из файловой системы](ADR-2026-08-10-last-copy-warning-from-state.md) | — |
+| 2026-08-10 | [Наблюдаемость поверхности не выводится из терминальности задачи](ADR-2026-08-10-observability-is-not-terminality.md) | — |
+| 2026-08-10 | [Причина, по которой человек не видит плана, считается на показе, а не читается из состояния](ADR-2026-08-10-reason-computed-on-read.md) | — |
+| 2026-08-10 | [Значение метабазы чистится на каждой точке входа в план, три санитайзера не сводятся в один](ADR-2026-08-10-sanitize-at-every-entry.md) | — |
+| 2026-08-07 | [Локаль TVDB читается из ответа поиска, а не передаётся в запрос](ADR-2026-08-07-tvdb-locale-reads-response.md) | — |
+| 2026-08-06 | [Спека следует за кодом, когда гарантия недостижима, а окно узкое](ADR-2026-08-06-spec-follows-code-on-narrow-window.md) | — |
+| 2026-08-04 | [Конвейер ревью и пайплайн задачи переезжают в плагины](ADR-2026-08-04-review-pipeline-to-plugin.md) | — |
+| 2026-07-24 | [Локальная сборка образа + доставка docker save/load](ADR-2026-07-24-local-image-build.md) | — |
+| 2026-07-23 | [Конвейер ревью: гейт, generative-проходы и триаж](ADR-2026-07-23-review-pipeline-generative.md) | — |
+| 2026-07-02 | [Отдельную сущность «тайтл» не вводим](ADR-2026-07-02-no-title-entity.md) | — |
 | 2026-06-13 | [Авто-раскладка только при матче в метабазе](ADR-2026-06-13-auto-link-requires-db-match.md) | — |
-| 2026-06-13 | [Docker как единица деплоя](ADR-2026-06-13-docker-deploy.md)      | —      |
+| 2026-06-13 | [Docker как единица деплоя](ADR-2026-06-13-docker-deploy.md) | заменено на ADR-2026-07-24-local-image-build |
 | 2026-06-13 | [Хардлинки вместо копирования и симлинков](ADR-2026-06-13-hardlinks.md) | — |
-| 2026-06-13 | [Go и доставка одним бинарём](ADR-2026-06-13-go-single-binary.md) | —      |
+| 2026-06-13 | [Go и доставка одним бинарём](ADR-2026-06-13-go-single-binary.md) | — |

docs/adr/template.md

@@ -1,36 +1,32 @@
 # Краткий заголовок решения
 
-- Дата: ГГГГ-ММ-ДД
-<!-- Строку статуса добавляют позже, только если запись потеряла силу:
-     - Статус: заменено на ADR-ГГГГ-ММ-ДД-slug
-     - Статус: устарело
-     У активной записи строки статуса нет. -->
+- **Дата:** ГГГГ-ММ-ДД
+- **Источник:** openspec/changes/archive/<id>/design.md
 
-## Контекст
+<!-- Статус ставится тем же полем и только при пересмотре:
+     - **Статус:** заменено на ADR-ГГГГ-ММ-ДД-slug
+     - **Статус:** устарело
+     У активной записи поля нет. -->
 
-Что вынудило принять решение: проблема, силы и ограничения (ресурсы,
-стоимость, время на поддержку, существующая архитектура). Пиши так, чтобы
-через год было понятно «почему это вообще делалось» без чтения переписки.
+## Решение
+
+Что именно решено — одной фразой.
+
+## Почему
+
+Намерение и причина. **Цитата из источника, а не пересказ.** Пиши так, чтобы
+через год было понятно без чтения переписки.
 
 ## Рассмотренные варианты
 
 <!-- Опциональная секция. Оставь, только если варианты реально
-     рассматривались. Если решение было единственным очевидным — удали
-     её, а причину объясни в «Решении». -->
+     рассматривались. Если решение было единственным очевидным — удали её,
+     а причину объясни в «Почему». -->
 
-- **Вариант A** — суть, плюсы и минусы.
-- **Вариант B** — суть, плюсы и минусы.
-- **Вариант C** — если отвергнут сразу, коротко почему.
-
-## Решение
-
-Что именно сделано и — главное — **почему**: какое намерение и какая
-причина за этим стоят. Если варианты рассматривались — почему выбран
-этот, а не остальные.
+- **Вариант A** — суть, почему отвергнут.
+- **Вариант B** — суть, почему отвергнут.
 
 ## Последствия
 
-- `+` что стало лучше, какие возможности открылись.
-- `-` чем платим: новые ограничения, риски, регулярная нагрузка на
-  поддержку.
-- Что нужно сделать как следствие (если есть).
+- `+` что стало лучше.
+- `−` чем платим: ограничения, риски, нагрузка на поддержку.

docs/architecture.md

@@ -0,0 +1,194 @@
+# Архитектура
+
+Обзор: как сложено и где что работает. **Поведение системы здесь не
+описывается** — его нормативный дом `openspec/specs/`; ниже компоненты только
+ссылаются на свои capability. Инварианты и их severity — в
+[CLAUDE.md](../CLAUDE.md), схема хранилища — в [database.md](database.md),
+периметр — в [security.md](security.md).
+
+## Принципы
+
+- **Один статический бинарь.** Доставка — образом с готовым бинарём внутри. См.
+  [ADR-2026-06-13-go-single-binary](adr/ADR-2026-06-13-go-single-binary.md).
+- **Источник неприкосновенен.** Только `mkdir`, `link(2)` и `unlink` *своих*
+  целевых ссылок. См. [ADR-2026-06-13-hardlinks](adr/ADR-2026-06-13-hardlinks.md).
+- **Выход распознавания недоверенный.** Безопасность держится на валидации
+  целевого пути, а не на промпте — [security.md](security.md).
+- **Единое ядро, тонкие транспорты.** Логика приёма — в use-case `ingest`;
+  переходами состояний владеет `worker`. HTTP API, веб-UI, Telegram и CLI лишь
+  складывают команды, `worker` их сериализует.
+- **Опциональные внешние зависимости.** Метабазы (TMDB/TVDB/TVMaze) и триггер
+  Jellyfin включаются конфигом; без них сервис работает, но авто-раскладка без
+  подтверждённого матча не делается —
+  [ADR-2026-06-13-auto-link-requires-db-match](adr/ADR-2026-06-13-auto-link-requires-db-match.md).
+- **Минимум компонентов.** В духе umbar — без зоопарка сервисов.
+
+## Компоненты
+
+`cmd/jellybit` — точка входа и сборка зависимостей; всё остальное — `internal/*`.
+
+| Пакет | Ответственность | Capability |
+| --- | --- | --- |
+| `ingest` | use-case приёма загрузки, общий для всех транспортов | [ingest](../openspec/specs/ingest/spec.md) |
+| `magnet`, `torrent` | разбор magnet-ссылки и байтов `.torrent`, извлечение инфохэшей | [ingest](../openspec/specs/ingest/spec.md) |
+| `worker` | владелец машины состояний: поллинг qBittorrent, сериализация команд, фоновая сверка | [download-tracking](../openspec/specs/download-tracking/spec.md), [state-reconciliation](../openspec/specs/state-reconciliation/spec.md), [live-status](../openspec/specs/live-status/spec.md) |
+| `qbt` | клиент qBittorrent WebUI API (сессия, добавление, опрос, удаление) | [download-tracking](../openspec/specs/download-tracking/spec.md) |
+| `recognize` | пред-парс имени, вызов LLM, разбор плана, модель уверенности | [recognition](../openspec/specs/recognition/spec.md) |
+| `llm` | провайдер LLM за интерфейсом (дискриминатор `[llm].type`) | [recognition](../openspec/specs/recognition/spec.md) |
+| `metadata` | интерфейс метабаз + TMDB/TVDB/TVMaze (опц.) | [metadata-match](../openspec/specs/metadata-match/spec.md) |
+| `naming` | единая логика целевых имён и отображаемого имени раздачи | [file-layout](../openspec/specs/file-layout/spec.md), [ingest](../openspec/specs/ingest/spec.md) |
+| `layout` | санитизация путей, хардлинкер, copy-fallback, undo, владение путём | [file-layout](../openspec/specs/file-layout/spec.md), [state-reconciliation](../openspec/specs/state-reconciliation/spec.md) |
+| `store` | SQLite: загрузки, распознавания, подсказки, кандидаты, ссылки | [identity](../openspec/specs/identity/spec.md) |
+| `ident` | генерация и нормализация ULID | [identity](../openspec/specs/identity/spec.md) |
+| `httpapi` | REST + веб-UI на htmx (server-rendered партиалы) | [web-ui](../openspec/specs/web-ui/spec.md), [review](../openspec/specs/review/spec.md) |
+| `tgbot` | Telegram: приём, парсер сообщений торрент-бота, карточки, пинги | [notifications](../openspec/specs/notifications/spec.md), [review](../openspec/specs/review/spec.md) |
+| `jellyfin` | триггер пересканирования медиатеки (опц.) | [file-layout](../openspec/specs/file-layout/spec.md) |
+| `config` | загрузка и валидация TOML на старте | — |
+| `logging`, `logctx` | slog-настройка и протяжка корреляции через контекст | [identity](../openspec/specs/identity/spec.md) |
+| `archrules` | собственный анализатор архитектурных правил (часть гейта) | — |
+
+Транспорты приёма — HTTP API, веб-UI, Telegram и CLI (`jellybit add`) — ведут в
+один `ingest`; действия пользователя идут командами к `worker`. Перечень команд
+и их эффекты — нормативно в [review](../openspec/specs/review/spec.md), пути
+закрытия и удаления — в
+[state-reconciliation](../openspec/specs/state-reconciliation/spec.md).
+
+## Внешние границы и форматы
+
+- **qBittorrent WebUI API** — единственный способ качать: источник **отдаём
+  ему**, сами по пользовательскому URL не ходим (SSRF исключён). Какие виды
+  источника принимаются и как разбираются —
+  [ingest](../openspec/specs/ingest/spec.md); способ добавления по
+  `source_type` — [download-tracking](../openspec/specs/download-tracking/spec.md);
+  откуда берутся пути файлов —
+  [file-layout](../openspec/specs/file-layout/spec.md).
+- **LLM** — OpenAI-совместимый Chat Completions за интерфейсом (`[llm].type`);
+  контракт вызова, формат вывода и разбор ответа —
+  [recognition](../openspec/specs/recognition/spec.md).
+- **Метабазы** — TMDB, TVDB, TVMaze (последняя без ключа, только сериалы).
+- **Jellyfin** — HTTP-триггер пересканирования медиатеки, опционален; когда он
+  дёргается и по каким переходам —
+  [file-layout](../openspec/specs/file-layout/spec.md).
+- **Telegram Bot API** — приём сообщений и исходящие карточки/пинги.
+- **Сообщение торрент-бота** — чужой текстовый формат, разбирается парсером
+  `tgbot`; наблюдения по формату — в
+  [research/torrent-bot-message.md](research/torrent-bot-message.md).
+
+## Эксплуатация
+
+- **Где работает, что рядом, кто перезапускает:** домашний медиа-сервер umbar
+  (Intel N150), docker в общей сети с qBittorrent и Jellyfin. Перезапускает
+  docker по `restart`-политике и плейбук umbar при редеплое; человек — руками,
+  когда всё плохо. Оператор один и он же владелец.
+- **Внешние зависимости поимённо и чем каждая отказывает:**
+
+  | Зависимость | Обязательна | Как отказывает |
+  | --- | --- | --- |
+  | qBittorrent | да | недоступен (весь цикл встаёт, тик поллинга краснеет); отдаёт раздачу без файлов; теряет раздачу (пропажа источника); переходные состояния `moving`/`checking*` выглядят как готовность |
+  | LLM-эндпоинт | да | недоступен; отвечает медленно (минуты); отдаёт не-JSON или JSON не по схеме; отдаёт правдоподобную выдумку — самый неприятный случай, потому что молчаливый |
+  | TMDB/TVDB/TVMaze | нет | недоступны; лимит запросов; пустой результат (норма для русского контента); несколько равнозначных кандидатов |
+  | Jellyfin | нет | недоступен — скан просто не случится, состояние задачи не страдает |
+  | Telegram Bot API | нет | недоступен — уведомление теряется, состояние задачи не страдает |
+  | Диск `/srv/media` | да | переполнен (особенно на copy-fallback); ФС без хардлинков; файл исчез между проверкой и `link(2)` |
+  | SQLite | да | `database is locked` при конкурентной записи; файл тома не смонтирован |
+
+- **Кто заметит отказ и когда:** владелец — по отсутствию ожидаемого пинга и по
+  задаче, застрявшей в промежуточном состоянии; логи в stdout контейнера.
+  Автоматического алертинга нет, метрик нет — только уведомления в Telegram о
+  падении загрузки и о рассинхроне.
+- **Характер потока:** непрерывный фон (тик поллинга qBittorrent — период в
+  [database.md](database.md) → «Настройки с числовым значением» — и
+  периодическая сверка) плюс редкие события по запросу человека. Объём —
+  единицы загрузок в день, десятки одновременно; ориентир масштаба и его аудит —
+  задача в беклоге.
+
+## Единые точки проекта
+
+Материал для вопроса «не появился ли второй способ делать то, что уже делается».
+
+| Что | Где |
+| --- | --- |
+| Время | `store.Now()` — единственный источник меток времени в данных, всегда UTC; формат хранения — RFC 3339. Вторая санкционированная точка wall-clock — timestamp-часть ULID в `ident.NewID` (исключение `^internal/(ident\|store)/` в `.golangci.yml`). Отдельно от меток в данных стоят замеры длительности: `cmd/jellybit` исключён из `forbidigo` целиком (правило `^cmd/`), плюс точечные `//nolint:forbidigo` в `internal/logging/ext.go` и `internal/httpapi/httpapi.go` |
+| Идентификаторы | `internal/ident` — генерация и нормализация ULID; `ident.Parse` на каждой входной границе |
+| Целевые имена и превью раскладки | `internal/naming` — одна логика для превью в UI и для реального применения |
+| Чистка человекочитаемых значений | три санитайзера с разным предметом, сводить их в один нельзя: `recognize.SanitizeTitle` — значение (недоверенный вход: LLM и метабазы), `layout.sanitizeComponent` — компонент пути под требования ФС, `naming.sanitize` — отображаемый ярлык. Значение метабазы чистится **на каждой** точке входа в план: сборка матча, копия кандидата для ревью, набор закреплённых значений источника и его чтение — [ADR-2026-08-10-sanitize-at-every-entry](adr/ADR-2026-08-10-sanitize-at-every-entry.md) |
+| Разбор источника | `internal/magnet` и `internal/torrent`; инфохэш извлекается только здесь |
+| Приём | use-case `ingest` — общий путь для HTTP, веб-UI, Telegram и CLI |
+| Переходы состояний | `worker` под per-download блокировкой; легальность перехода задаётся декларативным графом |
+| Хардлинки и удаление своих ссылок | `internal/layout` — единственное место, которое пишет в файловую систему библиотеки |
+| Построение и проверка целевого пути | `layout.BuildLinks` — единственная сборка пути; там же обе проверки, и порядок значим: нахождение под корнем библиотеки, затем длина компонента. Отсюда же строятся оба предпросмотра ревью, поэтому показанное и применённое совпадают устройством, а не договорённостью |
+| Причина, по которой человек не видит плана | считается **на показе** (`worker.ReviewData.PreviewError`) и предпочитается записанной в состоянии: записанной может не быть вовсе, а после смены источника она уже про другой план — [ADR-2026-08-10-reason-computed-on-read](adr/ADR-2026-08-10-reason-computed-on-read.md) |
+| Условие допуска полного удаления | `store.State.CanDelete()` — «из этого состояния удаление с файлами разрешено»; своего перечня состояний не заводит ни один транспорт (веб-UI, Telegram, страница группового удаления), а проверку в ядре предикат не заменяет: допуск держится без транспорта |
+| Условие самообновления веб-UI | `store.State.IsObservable()` — «состояние ещё может измениться без человека»; транспорт своего перечня состояний не заводит, а поверхность (карточка списка, страница загрузки) держит **ровно один** поллер на обновляемый корень — [ADR-2026-08-10-observability-is-not-terminality](adr/ADR-2026-08-10-observability-is-not-terminality.md), правило разметки — [conventions/web-ui.md](conventions/web-ui.md) |
+| Трансляция доменной ошибки в код ответа | внешняя граница транспорта (`httpapi`, `tgbot`); правило — [conventions/errors.md](conventions/errors.md) |
+| Логирующий чекпоинт | доменная граница, один на операцию; правило — [conventions/logging.md](conventions/logging.md) |
+| Настройки | один TOML-файл, валидируется на старте; образец `config.example.toml` — источник истины по полям |
+
+## Деплой
+
+Работает в docker в одной среде с qBittorrent и Jellyfin — см.
+[ADR-2026-07-24-local-image-build](adr/ADR-2026-07-24-local-image-build.md).
+
+Сборка: статический бинарь (`GOOS=linux GOARCH=amd64 CGO_ENABLED=0`) и **полный
+образ** собираются локально на control-хосте (`task image` упаковывает бинарь в
+`distroless/static`). Образ едет на сервер через `docker save`/`load` (роль
+`app_image` в umbar), там и запускается. Go-тулчейн и `docker build` на сервере
+не нужны.
+
+Разделение ответственности: **jellybit** (этот репозиторий) даёт бинарь и
+`Dockerfile`; **umbar** — оркестрацию (доставка, docker compose,
+`playbook-jellybit.yml`, рендер секретов).
+
+Параметры запуска:
+
+- **Общая docker-сеть** (external, напр. `media-net`) — адресация по именам
+  (`http://qbit:8989`, `http://jellyfin:8096`). Веб-UI публикуется на хост
+  (`8080:8080`) для LAN. qBit валидирует Host-заголовок — в umbar выставлен
+  `WebUI\ServerDomains=*`; LLM на хосте достаётся через `host.docker.internal`.
+- **`user: "1000:1000"`**, UMASK 022 — единый системный пользователь umbar.
+- **mount `/srv/media`** — единая песочница (см. ниже).
+- **mount конфига** `/srv/applications/jellybit/config` → `/config` (ro),
+  `config.toml` с правами `0600`; рендерится плейбуком umbar, бекапу не подлежит.
+- **mount данных** `/srv/applications/jellybit/data` → `/data`, SQLite
+  `/data/jellybit.db`. **Бекапить обязательно** — без него редеплой стирает всё
+  in-flight состояние.
+- **healthcheck** зовёт сам бинарь (`jellybit healthcheck`): в distroless нет
+  shell и curl.
+
+### Единая песочница `/srv/media`
+
+Весь медиа-стек лежит под одним каталогом и монтируется **идентично**
+(`/srv/media:/srv/media`) во все медиа-приложения:
+
+```
+/srv/media/
+  incomplete/        ← qBit качает сюда
+  downloads/         ← готовые раздачи (источник хардлинка)
+  movies/  series/   ← библиотека Jellyfin (цель хардлинка)
+```
+
+Так как всё под одним mount'ом, работают и **хардлинк** (downloads →
+movies/series), и **мгновенный move** qBit (incomplete → downloads) — границ
+между точками монтирования (`EXDEV`) нет. Путь из qBittorrent уже равен
+хост-пути, трансляция не нужна (`path_map` — фолбэк, обычно пуст). Секреты и
+чужие приложения (`/srv/applications`) в песочницу не попадают. Библиотеки
+Jellyfin указывают на `movies`/`series`, а не на корень — иначе в индекс попадут
+`downloads`/`incomplete`.
+
+## Открытые вопросы
+
+Места, где устройство знаемо тонкое: не дефекты, а принятые пока пробелы. Здесь
+только адрес и одна фраза — что именно не сделано; работа под каждым живёт
+задачей в [tasks/BACKLOG.md](../tasks/BACKLOG.md). Список нужен ревью: правка,
+попавшая в такую область, стоит дороже, чем выглядит.
+
+| Область | Чего нет сегодня | Задача |
+| --- | --- | --- |
+| Масштаб | ориентир 100/1000 загрузок не зафиксирован, узкие места SQLite, воркера и поллинга не измерены | `scale-100-downloads` |
+| Ретеншен | терминальные задачи и сырые ответы LLM копятся вечно, авточистки нет | `db-retention-cleanup` |
+| Бекап | бекапить `/data` требуется, а стратегия и ротация не описаны | `sqlite-backup` |
+| Метрики и алертинг | healthcheck проверяет только сам сервис; метрик и алертинга нет, отказ виден по застрявшей задаче | `deep-healthcheck-dependencies` |
+| Идентичность раздачи | split v1/v2-хеши не связаны, паре `xt` из магнета доверяем | `infohash-identity-integrity` |
+| Расход внешних лимитов | кэша ответов метабаз нет, повтор распознавания бьёт провайдера заново | `metadata-cache` |
+| История переходов | хранится только текущее состояние, «как сюда попали» восстанавливается по логам | `download-transition-history` |
+| Предел ответа LLM | лимита на размер ответа нет — единственный недоверенный канал без предела; задачей пока не заведено | — |

docs/conventions/README.md

@@ -0,0 +1,53 @@
+# Конвенции кода
+
+Как мы пишем код — в отличие от `openspec/specs/`, который описывает, что
+система делает, и от [../architecture.md](../architecture.md), который
+описывает, как она сложена.
+
+**Прозой остаётся только то, что не выражается правилом.** Свойство, ставшее
+правилом линтера или тестом-сканером, отсюда **удаляется** и переезжает в
+перечень «Механизировано» ниже. Причина: файл на несколько сотен строк
+размазывает внимание по тривиальному — и модель, и человек добросовестно
+проверят именование и не дойдут до формы решения. Процедура промоута —
+`references/promote.md` скилла `av-dev-pipeline:review-pipeline`.
+
+Обоснование «почему именно так» живёт в [../adr/](../adr/README.md); инварианты
+с severity — в [CLAUDE.md](../../CLAUDE.md).
+
+## Записи
+
+- [logging.md](logging.md) — логирование: уровень по адресату, единственный
+  логирующий чекпоинт, поля, `ext.*`, что не логируем.
+- [errors.md](errors.md) — ошибки: stdlib, обёртка `%w`, `errors.Is`/`As`,
+  трансляция доменной ошибки на внешней границе, sentinel против типизированной.
+- [config.md](config.md) — конфигурация: TOML, секреты рендерит деплой в файл
+  `0600`, самодокументируемый `config.example.toml`, валидация на старте.
+- [database.md](database.md) — БД и идентификаторы: время в UTC RFC 3339, TEXT
+  ULID через `internal/ident`, `ident.Parse` на входной границе, естественные
+  ключи у деталей.
+- [web-ui.md](web-ui.md) — веб-UI на htmx: единый партиал = страница = фрагмент,
+  ветвление по `isHTMX`, деградация без JS, ошибка на htmx-пути = 200 +
+  фрагмент, самозавершающийся поллинг, вендоринг и кэш статики.
+
+## Механизировано
+
+Проверяется `task gate`; прозой не дублируется и в промптах ревью не
+пересказывается.
+
+| Правило | Где механизировано |
+| --- | --- |
+| `msg` лога — константная категория, данные в полях, единый стиль ключ-значение | `.golangci.yml` → `sloglint` (`static-msg`, `kv-only`, `no-mixed-args`) |
+| В stdout напрямую не пишем (`fmt.Print*`) | `.golangci.yml` → `forbidigo` |
+| Конфигурация только из TOML, `os.Getenv` для конфига не используем | `.golangci.yml` → `forbidigo` |
+| Время только через `store.Now()` — `time.Now` запрещён вне `internal/{ident,store}` | `.golangci.yml` → `forbidigo` |
+| Сравнение ошибок через `errors.Is`/`As`, не `==` и не приведением типа | `.golangci.yml` → `errorlint` |
+| Ошибки — только stdlib (`github.com/pkg/errors`, `cockroachdb/errors` запрещены) | `.golangci.yml` → `depguard` |
+| Опечатки в тексте | `.golangci.yml` → `misspell` |
+| Транспорты не зависят друг от друга | `internal/archrules` → `TestТранспортыНеЗависятДругОтДруга` |
+| Ядро не зависит от транспортов | `internal/archrules` → `TestЯдроНеЗависитОтТранспортов` |
+| Миграции без `AUTOINCREMENT` и без серверного времени | `internal/archrules` → `TestМиграцииБезAutoincrementИСерверногоВремени` |
+| Ошибки не матчатся по тексту сообщения | `internal/archrules` → `TestОшибкиНеМатчатсяПоТексту` |
+| Покрытие изменённых строк, секреты в диффе, миграция без правки `database.md` | `scripts/gate.py`, `scripts/diff-coverage.py`, `docs.py check` |
+
+Непойманное место механизации означает, что проход по конвенциям будет
+добросовестно проверять уже проверенное.

docs/conventions/config.md

@@ -0,0 +1,137 @@
+# Конфигурация
+
+Конвенция: *как* устроена и грузится конфигурация jellybit (TOML).
+Правила оформления кода (How), не спецификация поведения.
+
+Краткая выжимка и инварианты — в [CLAUDE.md](../../CLAUDE.md), раздел
+«Конвенции кода».
+
+## Принципы
+
+- **Конфигурация — только TOML.** Env-переменные для конфига **не
+  используем**: окружение наследуется дочерними процессами и видно через
+  `/proc/<pid>/environ` — для секретов это слабее файла под `0600`.
+  Запрет `os.Getenv` механизирован (`forbidigo`).
+- Грузим **один раз при старте** в одну типизированную структуру `Config`
+  (под-структуры по секциям). Дальше по коду читаем только её — чтения файла в
+  бизнес-коде нет, только загрузчик `internal/config`.
+- Конфиг **неизменяем** после старта; смена параметров — рестарт процесса.
+
+## Файл и поиск
+
+- Имя конфига по умолчанию — **`config.toml`**, ищется в **рабочей
+  директории** процесса.
+- Путь переопределяется опцией **`--config=path`**.
+- Образец в репозитории — **`config.example.toml`** (см. ниже); реальный
+  `config.toml` не коммитится.
+
+## config.example.toml — самодокументируемый образец
+
+`config.example.toml` коммитим как единый справочник по конфигу: все секции
+и все поля. **Каждое поле снабжаем комментарием**, из которого ясно:
+
+- **зачем** поле — что оно меняет в поведении;
+- **диапазон/допустимые значения** — перечисление или границы;
+- **единицы измерения**, если применимо — секунды/миллисекунды, байты/КБ,
+  доля `0–1` и т.п.
+
+```toml
+[worker]
+poll_interval  = "<duration>"      # как часто опрашивать qBittorrent; Go-duration (s/m/h)
+magnet_timeout = "<duration>"      # ждать метаданные magnet не дольше; Go-duration
+source_missing_threshold = <N>     # тиков поллинга без раздачи, чтобы счесть источник удалённым
+
+[recognition]
+auto_confidence_threshold = <0.0–1.0>  # порог авто-раскладки без ревью; доля
+
+[llm]
+max_retries = <N>                  # попыток получить валидный ответ LLM; целое ≥ 0
+```
+
+Значения намеренно заменены плейсхолдерами: предмет конвенции — форма
+комментария, а числа, совпадающие с фактом до цифры, от факта неотличимы и
+начинают врать молча при смене умолчания. Действующие умолчания и их
+смысл живут одним домом — таблица «Настройки с числовым значением» в
+[../database.md](../database.md); `config.example.toml` — источник истины по
+составу полей.
+
+Секретные поля оставляем пустыми — значение приходит из деплоя (см.
+«Секреты»).
+
+## Поля по дискриминатору `type`
+
+Когда набор полей секции зависит от поля-дискриминатора `type` (выбор одного
+из бекендов/внешних сервисов — напр. `[llm].type`), обязательность и
+опциональность полей определяются значением `type`, а не фиксированы для
+секции.
+
+- **Валидация — по `type`.** Для каждого поддерживаемого `type` свой набор
+  обязательных полей; поля, относящиеся к другим `type`, не требуются.
+  Неизвестный `type` → ошибка на старте с перечислением поддерживаемых.
+- **Образец — по `type`.** В `config.example.toml`:
+  - основной (дефолтный) `type` **предзаполнен** рабочими значениями;
+  - альтернативные `type` — **блоками-комментариями ниже**, каждый со своим
+    описанием полей (зачем/диапазон/единицы — как у обычных полей);
+  - так из примера видны все варианты и поля каждого, не открывая код.
+
+```toml
+[llm]
+type     = "openai-compat"          # бекенд LLM; варианты ниже
+base_url = "http://host.docker.internal:1234/v1"  # эндпоинт OpenAI-совместимого API
+api_key  = ""                       # ключ; пусто для keyless-local (LM Studio)
+model    = "qwen2.5-32b-instruct"   # имя модели у провайдера
+
+# --- альтернативный бекенд: type = "<other>" ---
+# [llm]
+# type  = "<other>"                 # описание варианта
+# ...                               # его обязательные/опциональные поля
+```
+
+## Секреты
+
+Секреты доставляет **деплой**, рендеря их прямо в `config.toml` (jellybit:
+Ansible + Vault). Приложение просто читает TOML — отдельного слоя секретов
+в коде нет. Источник истины секрета — внешнее хранилище деплоя (Vault), не
+репозиторий и не env.
+
+- Секретные поля jellybit: `qbittorrent.password`, `llm.api_key`,
+  `metadata.*.api_key`, `jellyfin.api_key`, `telegram.token`.
+- Рендеренный `config.toml` (с секретами) **не коммитится**; права `0600`,
+  владелец — runtime-пользователь (`1000:1000`).
+- В `config.example.toml` секретные поля — пустые строки.
+- Загрузчик на старте проверяет, что обязательные секреты не пусты (ловит
+  криво отрендеренный файл) — см. «Валидация и fail-fast».
+- В логи секреты не попадают — см. [logging.md](logging.md), «Безопасность».
+
+## Валидация и fail-fast
+
+Конфиг валидируем **на старте, до приёма трафика**. Невалидный конфиг —
+лог `ERROR` и выход с ненулевым кодом (не стартуем «наполовину»).
+
+Что проверяем (jellybit):
+
+- обязательные поля заданы (напр. `qbittorrent.url`, `paths.*`,
+  `storage.db_path`);
+- пути `paths.movies`/`series`/`downloads` существуют и доступны; целевые —
+  под единой песочницей (см. инварианты в [CLAUDE.md](../../CLAUDE.md));
+- диапазоны: `recognition.auto_confidence_threshold` ∈ [0, 1],
+  `llm.max_retries` ≥ 0;
+- длительности парсятся (`llm.timeout`, `worker.poll_interval`, …);
+- `general.timezone` — распознаваемая IANA-зона (валидируется
+  `time.LoadLocation`; zoneinfo встроен через `time/tzdata`, поэтому ошибка =
+  битое имя, а не отсутствие базы в окружении);
+- включённые секции консистентны: `metadata.tmdb.enabled` → задан `api_key`;
+  `jellyfin.enabled` → заданы `url`+`api_key`; `telegram.enabled` → `token`.
+
+**Таймзоны.** Хранение времени в БД и логи — всегда UTC. Зона **отображения** в
+веб-UI задаётся `[general].timezone` (дефолт `UTC`); только она конфигурируема,
+на хранение/сортировку/логи не влияет. Бизнес-логика оперирует временем с явным
+TZ (см. [CLAUDE.md](../../CLAUDE.md)).
+
+## Структура в коде
+
+- Весь разбор и валидация — в `internal/config`; наружу отдаётся готовая
+  `Config`.
+- Одна корневая структура `Config` с под-структурами по секциям
+  (`QBittorrent`, `Paths`, `LLM`, `Metadata`, `Jellyfin`, `Worker`,
+  `Recognition`, `Telegram`, `HTTP`, `Log`).

docs/conventions/database.md

@@ -0,0 +1,55 @@
+# Конвенция: база данных и идентификаторы
+
+Как мы устраиваем таблицы и ключи в SQLite. Актуальная схема —
+[../database.md](../database.md); обоснование выбора ULID —
+[архивный design.md change'а `ulid-identity`](../../openspec/changes/archive/2026-07-02-ulid-identity/design.md).
+
+**Механизировано:** `AUTOINCREMENT` и `DEFAULT (datetime('now'))` в новых
+миграциях (`internal/archrules`), время мимо `store.Now()` (`forbidigo`).
+
+## Первичные ключи — ULID, не автоинкремент
+
+- **PK сущности — TEXT ULID** (26 символов Crockford base32), генерируется
+  **приложением** в момент создания записи.
+- Почему ULID: сортируем по времени создания (`ORDER BY id` = хронология),
+  компактен и удобен в URL/логах (без дефисов — grep и двойной клик берут id
+  целиком), глобально уникален across таблиц — поиск по голому id находит
+  все записи сущности в логах.
+- **Единственная точка генерации и разбора — `internal/ident`**:
+  `ident.NewID()` при создании (в Create-методах `store`), `ident.Parse()`
+  на входных границах. Никаких самодельных генераторов.
+
+## Канонический вид — lowercase
+
+- Генерим и храним id в **нижнем регистре**. Сравнение строк в SQLite
+  побайтовое, поэтому любой внешний id (URL, форма, callback-data)
+  ОБЯЗАТЕЛЬНО проходит `ident.Parse` до запроса к БД — он валидирует формат
+  и нормализует регистр (base32 ULID case-insensitive при декодировании).
+- Синтаксически невалидный id трактуем как несуществующую сущность (404),
+  без похода в БД.
+
+## Естественные и составные ключи — для деталей
+
+- У таблиц-деталей/связей допустим естественный или составной ключ вместо
+  ULID, когда он есть по природе данных: `download_infohash` — PK
+  `(infohash, download_id)`, `override` — `UNIQUE(download_id, field)`.
+  Отдельный ULID там — мёртвый вес.
+- Прочие генерируемые идентификаторы (например, `apply_batch_id`) — тоже
+  через `ident.NewID()`: единый формат, сортируемость, корреляция в логах.
+
+## Прочее
+
+- Enum-поля (`state`, `kind`, …) — обычный `TEXT` без `CHECK`; допустимые
+  значения держит код (`internal/store`).
+- Временные метки — `TEXT` в **RFC 3339, UTC (суффикс `Z`)**, напр.
+  `2006-01-02T15:04:05Z` (секундная точность). Фиксированная ширина сохраняет
+  лексикографическую сортировку TEXT = хронологию (`ORDER BY created_at`).
+  Единая точка генерации — приложение: `store.Now()` + `store.FormatTime`/
+  `ParseTime` (аналогично `ident.NewID` для id), а не дефолт в схеме — так
+  забытая вставка падает громко. Измерение длительности — не метка времени: у
+  внешних вызовов его засекает `logging.StartCall`. Таймзона отображения в
+  UI — конфиг `[general].timezone`.
+- Миграции — goose (`internal/store/migrations`): SQL-файлы для DDL;
+  Go-миграции (`goose.AddMigrationContext`) — когда нужен код (генерация
+  id, backfill). При изменении структуры обновляем ER-схему
+  [../database.md](../database.md) в том же change.

docs/conventions/errors.md

@@ -0,0 +1,141 @@
+# Ошибки
+
+Конвенция: *как* устроены и передаются ошибки в jellybit. Правила оформления
+кода (How). Где и когда ошибку **логировать** — в [logging.md](logging.md),
+раздел «Ошибки» (коротко: лог один раз на доменной границе). Здесь — как
+ошибки строятся, оборачиваются и проверяются.
+
+**Механизировано:** сторонние пакеты ошибок — `depguard`; `err == ErrX` и
+приведение типа — `errorlint`; матчинг по тексту сообщения — `internal/archrules`.
+
+## Базовая идиома: stdlib
+
+- Только стандартный `errors` + `fmt.Errorf`: контекст ошибки несёт `slog`, а не
+  стек — стек-трейсы и Sentry избыточны для домашнего сервиса.
+- Если отладка начнёт упираться в «где именно родилась ошибка» — это сигнал
+  пересмотреть, а не дефолт.
+
+## Обёртка и контекст
+
+jellybit — **приложение, а не библиотека**: внешнего Go-API нет, весь код
+наш. Поэтому внутри приложения обёртка `%w` — **дефолт**, чтобы `errors.Is`/
+`errors.As` работали сквозь слои.
+
+- Добавляем контекст обёрткой: `fmt.Errorf("parse magnet: %w", err)`.
+- `%w` — когда вызывающий может инспектировать причину (наш обычный случай).
+  `%v` — когда причину сознательно **не** раскрываем (не хотим завязывать
+  вызывающего на чужой тип ошибки).
+- От утечки внутренних ошибок наружу защищаемся **не** через `%v` в цепочке,
+  а трансляцией на внешней границе (см. ниже).
+
+Стиль сообщения:
+
+- со строчной, без точки в конце, без «failed to»/«error» — обёртка и так
+  читается как «контекст: причина»;
+- контекст — операция/субъект: `"link target: %w"`, не `"something failed"`;
+- без заикания: каждый слой добавляет **свой** смысл, не повторяет нижний
+  (`"add to qbt: %w"`, а не `"add download failed: add to qbt failed: …"`).
+
+## Проверка ошибок
+
+- Граничные ошибки зависимостей **транслируем в доменные у источника**:
+  `sql.ErrNoRows` → доменный `store.ErrNotFound` в слое store, чтобы выше по
+  коду не торчал `database/sql`.
+
+## Sentinel vs типизированные
+
+- **Sentinel** (`var ErrNotFound = errors.New("not found")`) — для условий,
+  на которые ветвится код (нет записи, дубликат по infohash,
+  неподдерживаемый источник). Проверяем `errors.Is`.
+- **Типизированная ошибка** (тип с полями + метод `Error()`) — когда
+  вызывающему нужны **данные** ошибки (поле валидации, код). Достаём
+  `errors.As`. Не плодим типы там, где хватает sentinel.
+
+## Граница и трансляция: приватный vs публичный канал
+
+Внутри — богатые обёрнутые ошибки. На внешней границе ошибку **транслируем**,
+и форма зависит от канала, кто его видит:
+
+- **Приватный канал — логи** (владелец сервиса). Полная ошибка со всей
+  цепочкой `%w` и контекстом. Пишется один раз на доменной границе — см.
+  [logging.md](logging.md).
+- **Публичный канал — пользовательские поверхности** (Telegram, web-UI, HTTP
+  API; ими пользуется не только владелец). Сюда отдаём:
+  - **человекочитаемое сообщение** по доменной ошибке — не сырой
+    `err.Error()` и не детали реализации (`database/sql`, пути, стек);
+  - **+ корреляционный ключ** для владельца — `download_id` (если операция
+    к загрузке) либо `request_id`, чтобы по нему найти полную ошибку в логах.
+    Пример: «При обработке загрузки произошла ошибка, download_id=12345», а
+    не «произошла ошибка» и не сырой текст.
+    **Ключ есть не у всякого транспорта, и это называется вслух.** `request_id`
+    — понятие HTTP-границы (chi `RequestID`); у Telegram и CLI его нет. Если
+    операция ещё не завела загрузку (отказ приёма), у такого транспорта ключа
+    нет вовсе — тогда сообщение остаётся без якоря, а диагностика ищется по
+    записи доменной границы (`capability`, `infohash`). Заводить транспорту
+    собственный идентификатор запроса ради ключа — решение уровня спеки, а не
+    умолчание: второй канал корреляции рядом с существующим дороже, чем
+    отсутствие ключа;
+  - **маппинг доменной ошибки → статус/сообщение** (в jellybit —
+    `httpapi.classifyErr`, единая точка для REST и веб-UI):
+
+    | Доменная ошибка | Статус | Сообщение |
+    |---|---|---|
+    | `store.ErrNotFound` | 404 | «не найдено» |
+    | `magnet.ErrNotMagnet` / `torrent.ErrNotTorrent` | 400 | «некорректный источник» |
+    | `ingest.ErrTorrentTooLarge` (файл больше лимита) | 400 | «файл .torrent слишком большой» |
+    | `worker.ErrInvalidInput` (промах ввода команды) | 400 | «некорректный ввод» |
+    | `errManualSource` (ручной ввод источника, локальный sentinel `httpapi`) | 400 | текст самой ошибки |
+    | `errInvalidCandidate` (выбран несуществующий кандидат, локальный sentinel `httpapi`) | 400 | текст самой ошибки |
+    | `errBatchEmpty` / `errBatchTooLarge` / `errBatchBadID` (разбор пачки группового удаления, локальные sentinel'ы `httpapi`) | 400 | текст самой ошибки |
+    | `worker.ErrNotReady` (источник ещё качается) | 409 | «торрент ещё качается…» |
+    | `layout.ErrCollision` (цель занята, ушло в review) | 409 | «целевой файл уже существует…» |
+    | `layout.ErrNameTooLong` (целевое имя не помещается, ушло в review) | 409 | «целевое имя слишком длинное…» |
+    | `worker.ErrConflict` (операция недопустима сейчас) | 409 | «действие недоступно в текущем состоянии» |
+    | прочее | 500 | «внутренняя ошибка» |
+
+    Новую штатную ветвь отказа (конфликт/валидация) заводим sentinel’ом и
+    добавляем сюда — иначе `default` отдаст 500 «внутренняя ошибка» на
+    нормальный конфликт (и логирующая граница спишет его в `ERROR` вместо
+    `DEBUG`, см. [logging.md](logging.md)).
+
+### Транзиентный ответ vs персистентная диагностика
+
+У публичной границы две разные поверхности, и правило сырого текста для них
+разное:
+
+- **Транзиентный ответ на действие** (тело REST/`?err=`/answer бота по
+  результату команды) — строго нейтральный: маппинг выше, `err.Error()` наружу
+  не идёт, полная ошибка — в логах по `download_id`/`request_id`.
+- **Персистентная диагностика состояния** — `error_msg` перехода (причина ухода
+  в review/failed: коллизия, рассинхрон, сбой ФС) и `reasons` распознавания,
+  сохранённые в БД и показываемые на экране ревью и в Telegram-карточке. Это
+  **операторская поверхность владельца**: сервис однопользовательский в
+  доверенном контуре (см. [security.md](../security.md) → «Периметр»), эти поля —
+  диагностический контекст для того, кто разбирает задачу. Здесь сырой текст
+  ошибки (пути, фрагмент ответа LLM/qBittorrent) **допустим и полезен** — но:
+  - **секреты запрещены** абсолютно (токены/ключи/пароли/`Authorization`) — так
+    же, как в логах ([logging.md](logging.md), «Безопасность»). Источник
+    error_msg вычищаем на границе клиента (`logging.SanitizeErr` для ошибок
+    транспорта, несущих URL с секретом);
+  - это **не** канал для транзиентных отказов команд — те остаются нейтральными
+    (см. выше);
+  - **внешнее значение в тексте усекается на границе, а его размер называется
+    числом.** `error_msg` уезжает в баннер ревью, в панель действий и в карточку
+    Telegram; имя файла на 400 байт занимает там экран целиком и оседает в БД
+    навсегда. Усечение — серединой и по рунам (`layout.shorten`,
+    `naming.truncate`, `tgbot.shorten`), точная величина остаётся числом рядом:
+    без неё человек не поймёт, насколько сокращать.
+
+## panic
+
+- `panic` — только для невосстановимого: баг программиста (нарушенный
+  инвариант), ошибка инициализации, из которой нельзя стартовать.
+- Не для управления потоком и не для ожидаемых ошибок (нет сети, плохой
+  ввод) — это значения `error`.
+- `recover` — на верхней границе обработчика (HTTP middleware), чтобы один
+  паникующий запрос не ронял процесс.
+
+## Несколько ошибок
+
+- Сбор независимых ошибок (напр. валидация конфига — все проблемы разом) —
+  `errors.Join`; проверка собранного по-прежнему через `errors.Is`.

docs/conventions/logging.md

@@ -0,0 +1,255 @@
+# Логирование
+
+Конвенция: *как* и *когда* писать логи в jellybit. Это правила оформления
+кода (How), а не спецификация поведения — наблюдаемые требования к логам
+(что система ОБЯЗАНА залогировать как часть контракта capability) живут в
+OpenSpec-спеках (`### Requirement` с `SHALL`).
+
+Краткая выжимка и инварианты — в [CLAUDE.md](../../CLAUDE.md), раздел
+«Конвенции кода».
+
+**Механизировано** (`.golangci.yml`): `slog` вместо `fmt.Print*` — `forbidigo`;
+константный `msg` и стиль ключ-значение — `sloglint`. Ниже — только то, что
+правилом не выражается.
+
+## Принципы
+
+- Структурированный JSON (`slog.JSONHandler`), один формат для dev и prod.
+- Сообщение (`msg`) — категория события; данные — в полях. Каждое поле —
+  отдельный ключ с типизированным значением: это даёт фильтрацию и агрегацию
+  через `jq`/DuckDB без регулярок.
+
+```json
+{"time":"2026-06-28T11:23:45.123456Z","level":"INFO","msg":"download accepted","capability":"ingest","download_id":"01jz2k7f8q9r3s4t5v6w7x8y9z","infohash":"…","media_type":"movie","title":"Дюна: Часть вторая"}
+```
+
+## Сообщение
+
+- `msg` — короткая константа в нижнем регистре: `download accepted`,
+  `recognition done`, `layout failed`. Данные — в атрибутах:
+  `log.Info("download accepted", "download_id", id, "media_type", "movie")`.
+- `msg` — чистая категория без неймспейс-префикса: `recognition done`, а не
+  `recognize: done`. Подсистему выносим в поле `capability`
+  (`ingest`/`recognition`/`file-layout`/`review`), не в текст.
+- **Смена состояния загрузки — единая категория `state transition`** с полями
+  `from`/`to`/`code` (какое именно состояние и по какой причине — это данные,
+  не текст). Любой переход (в т.ч. `cancel`/`retry`/`relink`) пишет этот
+  `msg`, чтобы весь жизненный цикл собирался одним фильтром: `jq
+  'select(.msg=="state transition" and .download_id=="…")'`. Физический эффект
+  сверх перехода — отдельная запись своей категории (`layout linked`,
+  `layout reverted`, `review hint added`), не подменяет запись перехода.
+
+## Уровни
+
+Принцип: уровень — это **адресат** («кому сообщение»), а не «насколько
+громко сломалось». `slog` даёт четыре уровня; их и используем.
+
+| Уровень | Кому и когда | Примеры в jellybit |
+|---|---|---|
+| `DEBUG` | разработчику при отладке; в проде выключен | healthcheck-эндпоинты, поллинг статуса в qBittorrent, авто-рефреш UI, тела запросов/ответов внешних API, промежуточные шаги распознавания |
+| `INFO`  | команде, аудит постфактум | приём загрузки, распознан фильм/сериал, раскладка выполнена, старт процессов, **событийный вызов внешнего сервиса** (по реальному действию) |
+| `WARN`  | команде, «может стать проблемой» | retry внешнего вызова, низкая уверенность распознавания (ушло в ревью), приближение к лимиту |
+| `ERROR` | команде, в техдолг / разбор | внешний сервис недоступен после ретраев, операция загрузки не выполнена, необработанная ошибка |
+
+Правила:
+
+- Уровень **не зависит от capability** — `ERROR` в `ingest` и в
+  `file-layout` одинаково серьёзны.
+- `WARN` ≠ «ничего страшного». `WARN` = «может стать проблемой». Если это
+  не «может» — это `INFO`.
+- Меняется адресат — меняется уровень. Невалидный ввод от пользователя —
+  это `DEBUG` (норма, команде разбирать нечего), а не `ERROR`.
+- **Событийное → INFO, рутинно-частое → DEBUG.** Операция, срабатывающая по
+  реальному действию/изменению (приём загрузки, добавление торрента, вызов
+  LLM, раскладка), идёт на `INFO`. Повторяющаяся служебная операция,
+  которую запускает таймер/поллинг и которая сама по себе не несёт события
+  (healthcheck, поллинг статуса в qBittorrent, авто-рефреш UI), — на
+  `DEBUG`: на `INFO` она зашумляет аудит. Такие записи смотрят редко, при
+  предметной отладке (DEBUG включают точечно).
+- `slog` не разделяет CRITICAL/FATAL — фатальный сбой на старте логируем
+  `ERROR` и завершаем процесс (ненулевой код возврата).
+
+## Время
+
+- Поле — `time` (ключ по умолчанию `slog`).
+- UTC, RFC 3339 с долями секунды, суффикс `Z`:
+  `2026-06-28T11:23:45.123456Z`.
+- Логи — **в UTC**, как и хранение в БД: это даёт однозначный порядок событий и
+  лексикографическую сортировку. Часовой пояс есть только у **отображения** в
+  веб-UI (`[general].timezone`, дефолт `UTC`) — см.
+  [database.md](../database.md); бизнес-логика в локальной зоне не работает.
+
+## Поля: словарь имён
+
+Главное условие — **единый словарь**: одно поле — одно имя по всему коду
+(не `mediaType`/`media`/`media_type` вперемешку).
+
+- Бизнес-/доменные поля — плоский `snake_case`.
+- Системные домены — точечная иерархия (адаптация OpenTelemetry): `http.*`,
+  `ext.*`.
+- JSON плоский: все поля на верхнем уровне, без вложенности.
+
+| Когда добавляем | Поля |
+|---|---|
+| на входящий HTTP-запрос (middleware) | `transport` (`http`/`web`/`telegram`), `http.method`, `http.route`, `http.status_code`, `duration_ms` |
+| на загрузку (scoped-логгер, см. ниже) | `capability` (`ingest`/`recognition`/`file-layout`/`review`), `download_id`, `infohash`, `media_type`, `title` |
+| на запись об ошибке | `error` |
+| на вызов внешнего сервиса | `ext.service`, `ext.operation`, `ext.status_code`, `duration_ms`, `retry` |
+
+Не заводим `service.*`/`host.*` — для одного бинаря на одном хосте это шум.
+Если когда-нибудь поедем в несколько инстансов, добавим `service.version`
+одной строкой при старте.
+
+## Корреляция по id сущности
+
+Отдельный случайный `trace_id` не заводим — у сущностей уже есть стабильные
+осмысленные ключи: ULID-идентификаторы (`download_id`, `recognition_id`,
+`batch_id`, см. [database.md](database.md)), они лежат в SQLite.
+
+- Каждая запись, относящаяся к сущности, несёт её id в поле `<entity>_id`.
+  Для загрузки — scoped-логгер, протаскиваемый через `context.Context`
+  сквозь асинхронные стадии (приём → скачивание → распознавание →
+  раскладка), чтобы ключ дописывался на каждую запись сам:
+
+```go
+log := log.With("download_id", id, "infohash", ih)
+ctx = logctx.With(ctx, log) // достаём логгер из ctx в каждой стадии
+```
+
+- Все записи одной загрузки собираются одним фильтром:
+  `jq 'select(.download_id=="01jz2k7f8q9r3s4t5v6w7x8y9z")' app.jsonl`.
+- ULID глобально уникален across сущностей, поэтому штатно работает и
+  простой grep по голому id — он находит все упоминания сущности независимо
+  от имени поля: `grep 01jz2k7f8q9r3s4t5v6w7x8y9z app.jsonl`.
+
+## Ошибки
+
+Go-ошибки логируем как атрибут, не как текст сообщения:
+`log.Error("layout failed", "error", err, "download_id", id)`. Ключ — `error`
+(как по умолчанию в zap/zerolog; единый ключ важнее краткости).
+
+- Идиома Go — **либо лог, либо возврат, не оба**. Промежуточные слои только
+  оборачивают и возвращают (`fmt.Errorf("…: %w", err)`), не логируя —
+  контекст накапливается в цепочке `%w`.
+- Логируем ошибку **один раз — на границе доменного слоя**, которая
+  определяет исход операции: полем `error`. В Go логирует этот единый
+  чокпоинт, а не каждый транспорт — так транспорты остаются тонкими. Границы
+  в jellybit:
+  - use-case `Ingest` (приём);
+  - **асинхронные стадии воркера** (поллинг, распознавание, авто-раскладка) —
+    исход стадии, вызванной таймером/циклом;
+  - **публичные команды воркера** (`Apply`/`Refine`/`Cancel`/`Retry`/`Undo`/
+    `Delete`/…), вызываемые транспортами. Исход команды логирует ровно один
+    чокпоинт (`worker.logCmd`, в `defer` при именованном возврате), а не
+    HTTP/web/Telegram — они одну и ту же команду зовут из трёх мест.
+- Транспорты (HTTP/web/Telegram) переводят возвращённую ошибку в свой ответ
+  (статус, сообщение пользователю) и **не логируют** её повторно — иначе
+  один сбой даёт дубли.
+- **Уровень доменного отказа — по адресату, а не по месту.** У каждой
+  доменной ошибки ровно один логирующий; уровень выбирает он. На **границе
+  команды** (пользователь инициировал действие и ждёт ответа — `worker.logCmd`):
+
+  | Класс отказа | Кому | Уровень |
+  |---|---|---|
+  | штатный конфликт состояния / некорректный ввод (`ErrConflict`, `ErrNotReady`, `ErrInvalidInput`, `ErrNotFound`, `layout.ErrCollision`) | пользователю (уже получил ответ на поверхности) | `DEBUG` |
+  | нарушенный инвариант хранилища/учёта (не безопасность данных: файлы уже разложены) | команде, «может стать проблемой» | `WARN` |
+  | сбой БД / ФС / недоступность зависимости | команде, в разбор | `ERROR` |
+
+  Тот же класс отказа в **асинхронной стадии** (пользователь не ждёт: авто-
+  раскладка, поллинг) адресован уже команде как деградация автоматики — уровень
+  поднимается. Пример: `layout.ErrCollision` в ручном `Apply` — `DEBUG` (человек
+  видит причину в карточке), а в авто-раскладке — `WARN` («auto-apply failed,
+  left for review»): автоматика не довела задачу, это «может стать проблемой».
+
+- **Повторяющийся сбой фонового цикла (поллинг/сверка) — `WARN`, не `ERROR`.**
+  Одиночный промах тика (`poll`/`sweep`/`list failed`, недоступный
+  qBittorrent) транзиентен: следующий тик повторит. Тот же класс сбоя внутри
+  синхронной операции (`ingest.Ingest`) — `ERROR`, потому что операция
+  провалилась целиком и повтора нет. То есть уровень задаёт не текст ошибки, а
+  наличие штатного ретрая: тик повторится → `WARN`, разовая операция упала →
+  `ERROR`. (Устойчивый сбой N тиков подряд эскалировать в `ERROR` — на будущее,
+  сейчас не реализовано.)
+- Телеметрия внешнего вызова (`ext.*`, см. ниже) — отдельная запись о
+  поведении зависимости, не дубль доменной ошибки.
+- Глушить ошибку без лога — только с однострочным комментарием «почему».
+
+## Внешние сервисы (обязательно логируем все вызовы)
+
+**Каждый** вызов внешнего сервиса (qBittorrent, Jellyfin, LLM, TMDB/TVDB)
+логируется. Поля:
+
+- `ext.service` — `qbittorrent` / `jellyfin` / `llm` / `tmdb` / `tvdb`;
+- `ext.operation` — логическая операция (`torrents/add`, `chat.completions`,
+  `search/movie`);
+- `ext.status_code` — HTTP-код ответа (если применимо);
+- `duration_ms` — длительность вызова;
+- `retry` — номер попытки (если были ретраи).
+
+Уровни вызова:
+
+- `INFO` — успешный **событийный** вызов (по реальному действию: добавление
+  торрента, вызов LLM, рефреш Jellyfin, поиск в метабазе);
+- `DEBUG` — успешный **рутинно-частый** вызов (поллинг статуса
+  `torrents/info`/`torrents/files`, авто-рефреш) — см. правило «событийное →
+  INFO, рутинно-частое → DEBUG» в разделе «Уровни»;
+- `WARN` — попытка не удалась, делаем retry;
+- `ERROR` — ретраи исчерпаны / сервис недоступен (сетевой сбой/таймаут).
+  Завершённый HTTP-ответ с 4xx — это успех на транспортном уровне (`Success`
+  с `ext.status_code`); решение «это ошибка» принимает доменный вызывающий.
+
+Тело запроса/ответа — только на `DEBUG` и **после** вычистки секретов
+(см. «Безопасность»).
+
+## HTTP и healthcheck
+
+- Входящие HTTP-запросы логируем с полями `http.method`, `http.route`,
+  `http.status_code`, `duration_ms`, `transport` (`http`/`web`/`telegram`).
+- **Поле, которое уже даёт scoped-логгер, руками не доклеиваем.** Команда,
+  положившая scoped-логгер в `ctx`, не передаёт `download_id` ещё и аргументом
+  записи: в JSON получается дублирующийся ключ, и строгий потребитель молча
+  оставит одно из значений. Правило следует из «логгер несёт ключи сам» и
+  проверяется чтением — линтером не выражается.
+- Для корреляции HTTP-запроса допустим `request_id` (напр. chi `RequestID`) —
+  это отдельный слой от корреляции загрузки по `download_id` и не противоречит
+  отказу от `trace_id`. Если запрос порождает загрузку — связь даёт
+  `download_id` в её записях.
+- **Эндпоинты healthcheck/liveness/readiness логируем на `DEBUG`** — их
+  дёргают периодически, на `INFO` они забивают аудит шумом. В проде
+  (базовый уровень `INFO`) они не пишутся.
+
+## Безопасность: что не логируем
+
+Никаких секретов в полях и сообщениях. Под запретом:
+
+- учётные данные qBittorrent (логин/пароль, cookie сессии);
+- API-ключ и токен LLM-провайдера, `Authorization`-заголовки;
+- ключи TMDB/TVDB и прочих метабаз;
+- содержимое аутентификационных параметров magnet/трекеров.
+
+Дополнительно:
+
+- Тела запросов/ответов внешних API и сырой вывод LLM (недоверенный, может
+  быть большим) — только на `DEBUG`, с вычисткой секретов и обрезкой по длине.
+- При сомнении — не логируем значение, логируем факт его наличия
+  (`"has_api_key", true`).
+- **Ошибка HTTP-транспорта несёт URL — потенциальный носитель секрета.**
+  `*url.Error` (стандартный `net/http`) встраивает полный URL запроса, а
+  секрет может жить прямо в нём: токен Telegram в пути (`…/bot<TOKEN>/…`),
+  `api_key` метабазы в query. Санитизируем на границе клиента **до** лога и
+  обёртки — `logging.SanitizeErr(err)` разворачивает `*url.Error` в
+  первопричину (URL отбрасывается, `errors.Is` на причину сохраняется).
+  Применяется в `ext.*`-обёртке (`ExtCall`), клиентах metadata и tgbot. Общее
+  правило: **секрет не кладём в URL, если у API есть заголовок** — тогда его
+  нет и в ошибке транспорта.
+
+## Куда пишем и уровень
+
+- Пишем JSON в `stdout` одним потоком; сбор и ротацию делает окружение
+  (docker/journald). Не маршрутизируем по файлам.
+- Базовый уровень в проде — `INFO`; `DEBUG` включается через конфиг/env при
+  необходимости. dev — `DEBUG`.
+
+## Анализ
+
+- Повседневно — `jq` (`jq 'select(.download_id=="a1b2")' app.jsonl`).
+- Тяжёлое (агрегации, JOIN) — DuckDB поверх JSONL прямо из файла.

docs/conventions/web-ui.md

@@ -0,0 +1,191 @@
+# Веб-UI (htmx)
+
+Конвенция: *как* мы пишем код веб-UI — частичный своп фрагментов, поллинг
+живых обновлений, обработчики действий, деградация без JS, ошибки. Это правила
+оформления кода (How), а не спецификация поведения — что именно UI показывает и
+какие действия обязан поддерживать, живёт в OpenSpec-спеке `web-ui`
+(`### Requirement` с `SHALL`).
+
+Логирование запросов — [logging.md](logging.md) (HTTP-поля, навигационные GET на
+`DEBUG`). Трансляция доменных ошибок наружу — [errors.md](errors.md) (приватный
+канал = логи, публичный = сообщение + корреляционный ключ). Здесь — только
+специфика htmx-транспорта, без дублирования.
+
+## Стек и границы
+
+htmx-first: `chi` + `html/template` (server-rendered) + htmx. Ничего сверх этого:
+**без шага сборки, без Node/бандлера, без реактивных фреймворков**. htmx
+вендорится и самохостится (`go:embed`, `/static/vendor/`), без CDN.
+
+- Свой JS сведён к минимуму — `web/static/js/app.js` несёт только то, что серверу
+  знать не нужно (`copyHash` в буфер обмена). **Клиентского пересчёта доменного
+  состояния нет** — состояние считает сервер, клиент только свопит присланную
+  разметку.
+- Alpine.js/SPA сознательно **не вводим**. Решение зафиксировано в
+  `openspec/changes/archive/2026-06-30-web-ui-design-port/design.md` (D3/D6):
+  Alpine добавим отдельным change только когда понадобится реактивный клиентский
+  виджет (ручная раскладка файл→серия), не раньше.
+
+## Единый источник разметки: партиал = страница = фрагмент
+
+Переиспользуемый кусок — это `{{define "name"}}` в `web/templates/partials/`. Тот
+же `{{define}}` рендерится **и** инлайн на странице (`{{template "name" .}}`),
+**и** как ответ-фрагмент того же обработчика (`s.render(w, "name", view)`).
+Отдельного markup для фрагмента не заводим — иначе он дрейфует от страницы.
+
+**Инвариант: корень `{{define}}` — это элемент с целевым `id`** (`#card-{id}`,
+`#download-main`, `#review-main`, `#source-block`, `#dl-live-{id}`,
+`#seeding-{id}`). `hx-swap="outerHTML"` заменяет весь корневой узел; если ответный
+фрагмент не несёт тот же корневой `id`, следующее действие/поллер не найдёт
+таргет. Разметку и `id` держим в одном партиале, чтобы страница и своп-ответ не
+разъезжались.
+
+Сборку view выносим в переиспользуемую функцию (`buildCardView`,
+`buildDownloadView`, `buildReviewView`) и зовём её и на полной странице, и во
+фрагменте — чтобы htmx-ветка не копипастила сборку.
+
+## Обработчик действия: ветвление htmx / редирект
+
+htmx-запрос определяем по заголовку — `HX-Request: true`:
+
+```go
+func isHTMX(r *http.Request) bool { return r.Header.Get("HX-Request") == "true" }
+```
+
+Обработчик действия зовёт доменную операцию **одинаково** в обеих ветках, а
+дальше ветвится (эталон — `reviewBlockAction`):
+
+```go
+actionErr := fn(r.Context(), id) // доменный вызов идентичен для htmx и не-htmx
+
+if !isHTMX(r) {
+    redirectReview(w, r, id, msg) // без htmx — прежний PRG-редирект (303)
+    return
+}
+rd, _ := s.deps.Reviewer.ReviewData(r.Context(), id) // перечитать актуальное состояние
+view := buildReviewView(id, rd, "")                  // тем же view-builder'ом
+if actionErr != nil {
+    view.BlockError = userErr(r, actionErr, id)      // ошибка → отдельное поле
+}
+s.render(w, "review_source_block", view)             // фрагмент = тот же {{define}}
+```
+
+`s.render` (`render.go`) рендерит именованный шаблон **в буфер** и только затем
+пишет ответ — при ошибке шаблона клиент не получит «полустраницу».
+
+## Graceful degradation обязательна
+
+Формы действий остаются обычными `<form method="post" action="...">`;
+`hx-post`/`hx-target`/`hx-swap` лишь **накладываются сверху** на ту же форму.
+Без JS всё работает через POST + редирект (PRG). Это инвариант web-ui «действия
+работают без JavaScript» — не нарушать: `action` формы всегда рабочий фолбэк, а
+не декорация.
+
+Фильтр, поиск и пагинация списка — **серверные** (GET-параметры `f`/`q`/`page`/
+`all`), тоже без JS. Клиентской фильтрации нет намеренно.
+
+## Ошибки на htmx-пути: HTTP 200 + фрагмент
+
+htmx по умолчанию **не свопит DOM на ответы 4xx/5xx**. Поэтому при ошибке
+действия обработчик отвечает **200 с фрагментом**, несущим сообщение (эталон —
+`BlockError` в `reviewBlockAction`). Доменную ошибку на htmx-пути **не**
+транслируем в HTTP-статус (в отличие от REST API и no-JS редиректа с `?err=`).
+
+- Сообщение — нейтральный текст публичного канала через `userErr`/`classifyErr`
+  (см. [errors.md](errors.md)); сырой `err.Error()` наружу не идёт.
+- Ошибку кладём в **отдельное поле** под ошибку действия (`ActionError` в
+  карточке/`download_main`, `BlockError` в блоке источника), не перегружая
+  доменные поля (`Note`/`error_msg`/`.Error`): у `target_missing` `Note` непуст и
+  перекрыл бы сообщение.
+- **При ошибке активное состояние не меняем** — перечитанный view показывает
+  прежний выбор плюс сообщение.
+
+## Живой поллинг
+
+Паттерн живого обновления: фрагмент-эндпоинт под `/fragments/...` + в разметке
+`hx-get` + `hx-trigger="every Ns"` + `hx-swap="outerHTML"`. Эталон — карточка
+списка (`card`, `handleFragCard`):
+
+```html
+{{define "card"}}<article class="card" id="card-{{.ID}}"
+  {{if .SelfPoll}} hx-get="/fragments/downloads/{{.ID}}/card"
+                   hx-trigger="every {{.PollEvery}}" hx-swap="outerHTML"{{end}}>
+  ...
+</article>{{end}}
+```
+
+- **Один поллер на обновляемый корень.** Опрашивает себя корень поверхности
+  (карточка списка, главная область страницы), а вложенные живые регионы —
+  прогресс качания, секция раздачи — своего `hx-get` **не несут**: своп корня
+  уносит их вместе с таймером, и два опроса подменяли бы разметку друг друга.
+  Живые цифры приезжают вместе с корнем.
+- **Поллер самозавершается.** Опрос ведётся, пока предмет может измениться без
+  участия браузера; перестал — фрагмент возвращается **без `hx-*`**, и htmx
+  больше не опрашивает. Условие определяется store-состоянием
+  (`State.IsObservable()`), а не qBittorrent.
+- **Отказ тика тоже самозавершается.** Не сумев прочитать задачу, тик отвечает
+  `200` и фрагментом с объяснением **без `hx-*`**: htmx не свопит `4xx/5xx`,
+  поэтому статус ошибки оставил бы поверхность навсегда прежней, а опрос —
+  бесконечным. Фрагмент отказа обязан нести корневой `id` того узла, который он
+  собой заменяет (см. инвариант выше), иначе `hx-swap` подменит не тот узел.
+- **Уровень лога у тика — `WARN`.** У повторяющегося опроса есть штатный ретрай;
+  `ERROR` оставляем разовому действию человека (см. [logging.md](logging.md)).
+- **`outerHTML`-своп всего фрагмента** удаляет старый узел вместе с его
+  поллером и htmx `process`-инициализирует новый — двойного опроса нет **при
+  условии совпадения корневого `id`** (см. инвариант выше). Эфемерное состояние
+  разметки своп не переживает: то, что должно пережить тик (раскрытый
+  `<details>`), помечается `hx-preserve`.
+- **Частота — по цене тика, и она названа числом в
+  [database.md](../database.md).** Поверхность с живыми цифрами качания
+  обновляется чаще (`pollFast`, вровень с частотой опроса qBittorrent — быстрее
+  источника опрашивать бессмысленно), прочие наблюдаемые — реже (`pollSlow`).
+- **Тик ходит в БД, и это цена решения.** Живые цифры берутся из in-memory
+  снимка воркера (`LiveStatus.Live(infohash)`), но состояние и размер раскладки
+  тик читает из хранилища, а тик страницы загрузки ещё и считает предпросмотр
+  раскладки с обходом ФС — отсюда и разные интервалы. Узкий контракт
+  `LiveStatus` при этом не зависит от способа доставки (поллинг сейчас, путь к
+  SSE оставлен изолированным).
+- **Инвариант: браузер не опрашивает qBittorrent напрямую** — только свой сервер,
+  который читает снимок. Поллинг статуса UI логируем на `DEBUG` (рутинно-частое,
+  см. [logging.md](logging.md)).
+
+## Своп сохраняет контекст; выход — навигация
+
+`hx-swap="outerHTML"` не сбрасывает прокрутку и не трогает серверные фильтр/
+поиск/пагинацию (они в query). Действие **не должно уводить** пользователя со
+страницы, если предмет остаётся на ней (выбор источника, уточнение) — своп на
+месте.
+
+Действие, после которого предмет **покидает** страницу (`apply`/`defer`/`cancel`
+на ревью — загрузка уходит с экрана), остаётся **обычной POST-формой без `hx-*`**
+→ полная навигация/редирект. Маркер «это выход» — форма без htmx-атрибутов; так
+не нужен `HX-Redirect`, а «уйти с экрана» выражено самой навигацией.
+
+**Асинхронные действия.** Если доменное действие асинхронно (переводит в
+промежуточное состояние — `recognizing` у `rerecognize`/`refine`, работу
+доделывает воркер), своп отдаёт **промежуточное** состояние, а не мнимый
+результат; готовый итог догоняем самозавершающимся поллером (`handleFragReview`,
+опрос `recognizing` до `review`). Не обещаем в UI мгновенный итог async-операции.
+
+## Различение поверхности одного действия
+
+Если один роут действия зовут с разных страниц и своп-ответ должен быть разным
+фрагментом (карточка списка vs `download_main`), различаем **явным скрытым полем
+формы** `surface=list|download`, а не эвристикой по `HX-Target`/`Referer` — поле
+самодокументируемо и не зависит от резолва таргета.
+
+## Статика, вендоринг, кэш
+
+- Ассеты встроены `go:embed` (`web/web.go`: `templates static`), отдаются под
+  `/static/` с длинным иммутабельным кэшем (`staticHandler`:
+  `Cache-Control: public, max-age=31536000, immutable`).
+- Меняемые ассеты (css/js) версионируются через `?v=<assetVersion>` — короткий
+  sha256 их содержимого (`assetVersion`), URL строит FuncMap-хелпер
+  `{{asset "css/jellybit.css"}}`. Свежий деплой не отдаёт устаревший файл.
+- Вендор (htmx 2.0.4, шрифты IBM Plex) адресуется по **неизменному имени файла**
+  и версионировать через `?v=` не нужен. В git его **не коммитим** (`.gitignore`);
+  `task assets` идемпотентно добывает его в `web/static/vendor/` по манифесту
+  `web/assets.manifest` (строки `<путь>  <url>  <sha256>`, проверка sha256).
+  `task build`/`task run` зависят от `task assets`.
+- Шрифты и скрипты — **self-hosted**, без внешних хостов: бинарь самодостаточен,
+  внешних ресурсов времени выполнения нет.

docs/database.md

@@ -0,0 +1,224 @@
+# Схема хранилища
+
+Актуальная схема SQLite: таблицы, поля и связи. Это **живой** документ — его
+поддерживаем в соответствии с миграциями.
+
+> **Поддержка вместе с миграциями.** Источник истины по схеме —
+> `internal/store/migrations/*.sql` (goose). При **каждой** новой миграции,
+> меняющей структуру (таблица/столбец/индекс/связь), обновляем эту диаграмму
+> в том же change. Расхождение схемы с миграциями считаем багом документации;
+> его же ловит `docs.py check` в гейте.
+>
+> Состояние на: миграции `0001_init`, `0002_recognition_plan`,
+> `0003_source_miss_count`, `0004_candidate_url`, `0005_display_name`,
+> `0006_ulid_identity` (Go-миграция: ULID-идентификаторы, `download_infohash`),
+> `0007_file_link_size`, `0008_rfc3339_time` (метки времени → RFC 3339 UTC,
+> `DEFAULT` убран), `0009_download_torrent` (байты `.torrent`-файла),
+> `0010_retried_at`, `0011_parsed_context` (структура имени из контекста, JSON).
+
+Назначение таблиц и роль компонентов — [architecture.md](architecture.md).
+Значения `state` и легальные переходы — нормативно в
+[download-tracking](../openspec/specs/download-tracking/spec.md) и
+[state-reconciliation](../openspec/specs/state-reconciliation/spec.md).
+Первичные ключи — ULID (TEXT, lowercase), генерятся приложением
+(`internal/ident`) — см. [конвенцию](conventions/database.md). Метки времени
+(`created_at`/`updated_at`) — TEXT в RFC 3339, UTC (суффикс `Z`); пишет
+приложение (`store.Now`/`FormatTime`), без `DEFAULT` на колонках.
+
+## ER-диаграмма
+
+```mermaid
+erDiagram
+    download ||--o{ download_infohash : "инфохэши (v1/v2)"
+    download ||--o| download_torrent : "байты .torrent (1:0..1)"
+    download ||--o{ recognition : "распознавания"
+    download ||--o{ hint : "подсказки"
+    download ||--o{ override : "ручные правки"
+    download ||--o{ file_link : "хардлинки"
+    recognition ||--o{ metadata_candidate : "кандидаты базы"
+
+    download {
+        TEXT    id PK "ULID (lowercase), генерится приложением"
+        TEXT    source_type "NOT NULL; magnet|torrent|url"
+        TEXT    source_ref  "NOT NULL; magnet/url/путь"
+        TEXT    display_name "NOT NULL DEFAULT ''; имя раздачи (rename qBittorrent), заголовок в UI (миграция 0005)"
+        TEXT    context     "NOT NULL DEFAULT ''"
+        TEXT    parsed_context "NOT NULL DEFAULT ''; структура имени из контекста (naming, JSON), базовый слой display_name (миграция 0011)"
+        TEXT    state       "NOT NULL; активность выводится только из state"
+        TEXT    error_code  "nullable"
+        TEXT    error_msg   "nullable"
+        INTEGER source_miss_count "NOT NULL DEFAULT 0; дебаунс пропажи источника (миграция 0003)"
+        TEXT    source_added_at "nullable; время добавления в qBittorrent (added_on), базис сортировки (миграция 0005)"
+        TEXT    retried_at  "nullable; время последнего ручного retry (RFC 3339 UTC Z), сброс базиса таймаутов (миграция 0010)"
+        TEXT    created_at  "NOT NULL; RFC 3339 UTC (Z), пишет приложение"
+        TEXT    updated_at  "NOT NULL; RFC 3339 UTC (Z), пишет приложение"
+    }
+
+    download_infohash {
+        TEXT download_id PK_FK "NOT NULL; ON DELETE CASCADE; PK(infohash, download_id)"
+        TEXT infohash    PK "NOT NULL; lowercase hex (40 — v1, 64 — v2)"
+        TEXT kind        "NOT NULL; v1|v2"
+        TEXT created_at  "NOT NULL; RFC 3339 UTC (Z), пишет приложение"
+    }
+
+    download_torrent {
+        TEXT download_id PK_FK "NOT NULL; ON DELETE CASCADE; байты source_type=torrent"
+        BLOB data        "NOT NULL; исходные байты .torrent для добавления файлом (миграция 0009)"
+    }
+
+    recognition {
+        TEXT    id PK "ULID"
+        TEXT    download_id FK "NOT NULL; ON DELETE CASCADE"
+        INTEGER attempt_no    "NOT NULL DEFAULT 1"
+        INTEGER is_current     "NOT NULL DEFAULT 1; 0/1"
+        TEXT    media_type     "nullable; movie|series"
+        TEXT    title          "nullable"
+        TEXT    original_title "nullable"
+        INTEGER year           "nullable"
+        TEXT    provider       "nullable; tmdb|tvdb|tvmaze|none"
+        TEXT    provider_id    "nullable"
+        REAL    confidence     "nullable"
+        TEXT    reasons        "NOT NULL DEFAULT '[]'; JSON: причины не-авто"
+        TEXT    raw_llm        "nullable; сырой ответ LLM"
+        TEXT    plan           "nullable; JSON recognize.Plan (миграция 0002)"
+        TEXT    created_at     "NOT NULL; RFC 3339 UTC (Z), пишет приложение"
+    }
+
+    hint {
+        TEXT    id PK "ULID"
+        TEXT    download_id FK "NOT NULL; ON DELETE CASCADE"
+        TEXT    text       "NOT NULL"
+        TEXT    created_at "NOT NULL; RFC 3339 UTC (Z), пишет приложение"
+    }
+
+    override {
+        TEXT    id PK "ULID"
+        TEXT    download_id FK "NOT NULL; ON DELETE CASCADE"
+        TEXT    field      "NOT NULL; UNIQUE(download_id, field)"
+        TEXT    value      "NOT NULL"
+        TEXT    created_at "NOT NULL; RFC 3339 UTC (Z), пишет приложение"
+    }
+
+    metadata_candidate {
+        TEXT    id PK "ULID"
+        TEXT    recognition_id FK "NOT NULL; ON DELETE CASCADE"
+        TEXT    provider    "NOT NULL"
+        TEXT    provider_id "NOT NULL"
+        TEXT    title       "nullable"
+        INTEGER year        "nullable"
+        TEXT    url         "nullable; ссылка на страницу на сайте провайдера"
+        INTEGER chosen      "NOT NULL DEFAULT 0; 0/1"
+        TEXT    created_at  "NOT NULL; RFC 3339 UTC (Z), пишет приложение"
+    }
+
+    file_link {
+        TEXT    id PK "ULID"
+        TEXT    download_id FK "NOT NULL; ON DELETE CASCADE"
+        TEXT    apply_batch_id "NOT NULL; батч для точечного undo"
+        TEXT    src_path "NOT NULL; исходный файл раздачи"
+        TEXT    dst_path "NOT NULL; целевой хардлинк"
+        TEXT    kind     "NOT NULL; video|subtitle|..."
+        TEXT    status   "NOT NULL; linked|copied|exists|collision|superseded"
+        INTEGER size     "NOT NULL DEFAULT 0; размер файла (байт), фолбэк размера раздачи"
+        TEXT    created_at "NOT NULL; RFC 3339 UTC (Z), пишет приложение"
+    }
+```
+
+## Связи и кардинальность
+
+- `download` 1 — N `download_infohash` / `recognition` / `hint` / `override`
+  / `file_link`; `recognition` 1 — N `metadata_candidate`. Все дочерние — с
+  `ON DELETE CASCADE`: удаление загрузки уносит её хеши, распознавания,
+  подсказки, правки и ссылки.
+- `download_infohash` — множество хешей одной загрузки (v1/v2 гибридного
+  торрента); один и тот же infohash может принадлежать нескольким загрузкам
+  во времени (повторный приём после терминального состояния). Инвариант «не
+  более одной активной загрузки на infohash» держат guarded-методы store
+  (`CreateDownloadIfNoActive`/`ActivateIfNoOtherActive`) в одной
+  write-транзакции — на уровне схемы он не выражается (условие на `state`).
+- `download` 1 — 0..1 `download_torrent` — байты исходного `.torrent` (только
+  у `source_type=torrent`); нужны воркеру для добавления раздачи файлом и для
+  повторного добавления при retry, поэтому живут весь срок строки загрузки.
+- `download` ↔ `file_link` — один источник (раздача) ко многим разложенным
+  файлам; внутри строки `file_link` связь `src_path → dst_path` — 1:1. Не
+  каждый файл раздачи попадает в `file_link` (только распознанные медиа и
+  субтитры); ссылки могут накапливаться несколькими `apply_batch_id`.
+
+## Индексы и ограничения
+
+- `download`: индекс по `state`.
+- `download_infohash`: PK `(infohash, download_id)` (он же индекс поиска по
+  хешу); индекс по `download_id`.
+- `recognition`: индекс по `download_id`.
+- `override`: `UNIQUE(download_id, field)`.
+- `metadata_candidate`: индекс по `recognition_id`.
+- `file_link`: индексы по `download_id` и по `apply_batch_id`.
+
+> Enum-поля (`source_type`, `state`, `provider`, `kind`, `status`, флаги
+> `0/1`) на уровне SQLite — обычный `TEXT`/`INTEGER` без `CHECK`; допустимые
+> значения держит код (`internal/store`).
+
+## Представление данных
+
+Чем физически лежит запись и что происходит при чтении и записи.
+
+- **Всё, кроме одного поля, — плоские колонки.** Никакого сжатия, никаких
+  внешних файлов: строка читается и пишется целиком обычным запросом.
+- **JSON-строками в TEXT** лежат три поля: `recognition.plan` (канонический
+  `recognize.Plan` — файл → роль/сезон/серия), `recognition.reasons` (список
+  причин не-авто) и `download.parsed_context` (структура имени из контекста).
+  Читаются целиком и разбираются в Go; частичного чтения и обновления поля
+  внутри JSON нет, SQL по содержимому этих полей не делается.
+- **`recognition.raw_llm`** — сырой ответ модели как есть, **несжатый**. Это
+  самое крупное поле в базе и главный кандидат на рост: у каждой попытки
+  распознавания свой ответ, попытки не вытесняются, ретеншена нет
+  (задача в беклоге).
+- **`download_torrent.data`** — единственный BLOB: исходные байты `.torrent`
+  (обычно десятки КБ, у больших раздач — сотни). Читается целиком при
+  добавлении в qBittorrent и при retry.
+- **Истории переходов нет** — хранится только текущий `state`; «как сюда
+  попали» восстанавливается по логам (задача в беклоге).
+- **Терминальные загрузки не удаляются**, `file_link` со статусом `superseded`
+  тоже остаются — база монотонно растёт по числу обработанных раздач.
+
+## Настройки с числовым значением
+
+СУБД (`internal/store`, DSN при открытии):
+
+| Настройка | Значение | Зачем |
+| --- | --- | --- |
+| `journal_mode` | `WAL` | читатели не блокируют писателя |
+| `busy_timeout` | 5000 мс | ждать снятия блокировки, а не падать сразу `database is locked` |
+| `foreign_keys` | `ON` | `ON DELETE CASCADE` работает только с этим |
+| `_txlock` | `immediate` | явная транзакция открывается как write с самого начала; на этом держатся guarded-методы инварианта «одна активная загрузка на infohash» |
+| Размер пула | по умолчанию `database/sql` | явно не ограничен; писателя SQLite сериализует сама |
+
+Времена и пороги, влияющие на объём и частоту работы с базой (значения по
+умолчанию, `config.example.toml` — источник истины по полям):
+
+| Параметр | По умолчанию | Что означает |
+| --- | --- | --- |
+| `[worker].poll_interval` | `5s` | частота опроса qBittorrent, а значит и фонового чтения/записи состояния |
+| `[worker].stuck_after` | `1h` | простой раздачи, после которого она считается зависшей |
+| `[worker].magnet_timeout` | `24h` | страховочный предел ожидания метаданных magnet |
+| `[worker].catch_timeout` | `10m` | предел для пойманной задачи, не добавившейся в qBittorrent |
+| `[worker].source_missing_threshold` | `3` тика | дебаунс пропажи источника |
+| `[recognition].auto_confidence_threshold` | `0.85` | порог авто-раскладки (доп. проверка к матчу в базе) |
+| `[llm].timeout` / `max_retries` | `120s` / `3` | каждая попытка порождает строку `recognition` с сырым ответом |
+| `[metadata.*].timeout` | `10s` | таймаут запроса к метабазе |
+
+Пределы, зашитые константой кода, а не полем конфига:
+
+| Константа | Значение | Что означает |
+| --- | --- | --- |
+| `ingest.MaxTorrentSize` | `8 MiB` | предел размера принимаемого `.torrent`; проверяется **до** разбора, поэтому bencode-аллокации на эту величину не масштабируются (см. [research/torrent-bencode-limits.md](research/torrent-bencode-limits.md)) |
+| `httpapi.pollFast` | `5s` | интервал самообновления поверхности с живыми цифрами качания (карточка в `downloading`). Держится вровень с `[worker].poll_interval`: снимок телеметрии обновляется тиком воркера, и опрос чаще возвращает тот же снимок. Меняется `poll_interval` — меняется и эта константа |
+| `httpapi.pollSlow` | `15s` | интервал самообновления прочих наблюдаемых поверхностей: карточек вне `downloading` и страницы `/download/{id}` в любом состоянии. Тик страницы считает предпросмотр раскладки и ходит в ФС, поэтому частота у него ниже |
+| `httpapi.maxBulkDelete` | `20` загрузок | предел размера одной пачки группового удаления. Подтверждение, перечисляющее больше, человек не читает — то есть перестаёт быть подтверждением; плюс один синхронный запрос упирается в столько же последовательных вызовов qBittorrent. Предел называет сама страница выбора; отказ по пределу возвращает выбор с сохранёнными отметками |
+| `httpapi.bulkFailThreshold` | `3` отказа подряд | сколько подряд идущих отказов внешнего сервиса прекращают проход группового удаления. Удаление снимает библиотечные ссылки раньше, чем сносит раздачу: при недоступном qBittorrent каждая единица успевает выполнить необратимый локальный шаг и упасть на внешнем. Счётчик сбрасывается на успехе; конфликт состояния системным отказом не считается |
+| `httpapi.bulkBudget` | `2` минуты | потолок времени на один проход группового удаления. Удаление держит общий замок воркера на всё время обращения к qBittorrent, поэтому медленно, но успешно отвечающий сосед остановил бы фоновую работу целиком, а порог отказов такого не ловит. Проверяется между единицами: начатое удаление не обрывается, иначе оно встанет между снятием ссылок и сносом раздачи |
+| `layout.maxComponentBytes` | `255` байт | предел длины компонента целевого пути (`NAME_MAX` у ext4/xfs/btrfs); меряется в байтах UTF-8, проверяется **до** первой операции с ФС, отказ уводит задачу в `review` с кодом `name_too_long`. У ядра не выясняется; на ФС с меньшим пределом остаётся отказ ядра — лечение правкой константы, а не настройкой |
+
+**Ретеншена нет ни у одной таблицы**, лимита на размер тела ответа LLM нет,
+кэша метабаз нет; состояние по каждому пробелу и заведённые под них задачи —
+[architecture.md](architecture.md) → «Открытые вопросы».

docs/drafts/ideas.md

@@ -1,42 +0,0 @@
-# Идеи и нерешённое
-
-Свалка мыслей на будущее. Ни к чему не обязывает; принятое переезжает в
-specs/adr.
-
-## guessit как сервис-спутник
-
-`go-ptn` слабее питоновского `guessit`. Если точности пред-парса не
-хватит — завернуть `guessit` в крошечный HTTP-сервис (один файл,
-поставляется рядом с бинарём jellybit) и спрашивать его на шаге
-пред-парса. Сохраняет «доставку копированием»: два файла вместо одного.
-
-## Аниме с абсолютной нумерацией
-
-Релизы аниме часто нумеруют серии сквозным числом (`#137`) без сезонов, а
-Jellyfin ждёт `SxxEyy`. Нужен пересчёт абсолютной нумерации в
-сезон/серию — надёжнее всего через TVDB (там есть absolute order).
-Отдельный крайний случай распознавания.
-
-## Завершение загрузки через webhook
-
-Сейчас принято — поллинг qBittorrent раз в несколько секунд.
-Альтернатива: «Run external program on torrent completion» в qBittorrent
-дёргает эндпоинт jellybit. Реагирует быстрее, но связывает нас с конфигом
-qBittorrent. Решим по опыту эксплуатации.
-
-## Нотификации о готовности
-
-Когда раскладка завершена (или нужен review) — уведомить: Telegram,
-возможно ntfy/Apprise. Естественно ложится на Telegram-транспорт.
-
-## Доступ к веб-UI
-
-Решено для v1: без авторизации в доверенной LAN, опц. allowlist подсетей
-(`http.trusted_subnets`) — как умеет qBittorrent. На будущее, если
-понадобится защита: токен/Basic в самом приложении или вынос за
-reverse-proxy с аутентификацией.
-
-## Повторный прогон распознавания
-
-Возможность переоткрыть загрузку, поправить контекст и перераспознать без
-перекачивания — полезно, когда LLM ошибся, а файлы уже скачаны.

docs/drafts/roadmap.md

@@ -1,43 +0,0 @@
-# Дорожная карта
-
-Черновик плана реализации. Ориентир, не обязательство; по ходу
-уточняется. Что реализовано и как устроено — в `docs/specs`.
-
-## Фазы
-
-- **Ф0 — каркас.** go.mod, раскладка пакетов, загрузка TOML-конфига,
-  SQLite + миграции, slog-логи, `Dockerfile` (минимальный рантайм-образ,
-  копирует готовый бинарь), golangci-lint, lefthook. Документация (этот
-  этап — частично готов).
-- **Ф1 — ingest + tracking (без LLM).** `Ingest()` + добавление в
-  qBittorrent (источник отдаём ему, категория `jellybit`, ключ
-  идемпотентности по infohash) + `worker`-поллинг завершения
-  (`savepath=/srv/media/downloads`, путь из API) + машина состояний. Наружу:
-  HTTP API, список в веб-UI, `jellybit add`.
-- **Ф2 — распознавание.** `go-ptn` + LLM (structured output) → план +
-  оценка уверенности. Без записи на диск.
-- **Ф3 — раскладка + минимальный review.** Хардлинки по конвенциям
-  Jellyfin (санитизация пути, never-overwrite), субтитры, идемпотентность,
-  **undo**. Авто только при матче в базе и чистой валидации; иначе → review
-  (htmx): подсказка + перераспознавание, из ручного — тип, выбор кандидата
-  базы, пометка «игнор». Полный редактор маппинга — Ф5. См.
-  [review-ux.md](../specs/review-ux.md).
-- **Ф4 — метаданные.** TMDB/TVDB опционально (с HTTP-прокси на клиента),
-  provider-id в именах, валидация распознавания против числа серий.
-- **Ф5 — Telegram + UX.** Бот-адаптер + парсер сообщений торрент-бота,
-  подтверждение в боте (карточка + кнопки + reply-подсказка, эскалация в
-  веб), полный редактор маппинга «файл → серия», триггер скана Jellyfin,
-  нотификации.
-- **Ф6 — деплой.** Сборка статического бинаря здесь; доставка бинаря +
-  `Dockerfile` на сервер, `docker build` и запуск на месте; оркестрация —
-  `playbook-jellybit.yml` в umbar: общая docker-сеть, `user 1000:1000`,
-  mount `/srv/media` + data-том `/srv/applications/jellybit/data`,
-  healthcheck. Сопутствующие правки qBit (том `/srv/media`, savepath/temp
-  под `/srv/media`, `WebUI\ServerDomains=*`).
-
-## Заметки по порядку
-
-- Минимальный review-экран нужен уже в Ф3 (как только появляется режим
-  «спросить при сомнении»), полноценный UX — в Ф5.
-- Jellyfin в umbar ещё не развёрнут — раскладку файлов это не блокирует,
-  тестируется без него; триггер скана подключаем, когда Jellyfin поднят.

docs/passport.md

@@ -0,0 +1,84 @@
+# Паспорт проекта
+
+Зачем это и для кого. [architecture.md](architecture.md) отвечает «как
+устроено», [tasks/ROADMAP.md](../tasks/ROADMAP.md) — «что уже умеет», паспорт —
+«зачем и для кого».
+
+## Цель
+
+Сократить путь «нашёл раздачу → смотрю на телевизоре» до одного действия:
+кинуть торрент с парой слов контекста и получить фильм или сериал в библиотеке
+Jellyfin, без ручного переименования и без каталога индексаторов.
+
+**Потребители** — список закрытый: он определяет, что считать нужным, а что
+интересным.
+
+| Кто | Что ему нужно от нас |
+| --- | --- |
+| Владелец медиасервера (единственный оператор) | одна точка входа для magnet/`.torrent` + контекста; когда система не уверена — чтобы позвали, а не замяли молча; чтобы ошибку можно было откатить |
+| Домашние зрители (через Jellyfin, о jellybit не знают) | правильные названия, годы, сезоны и серии — иначе Jellyfin подтянет чужие метаданные |
+| Jellyfin | файлы, разложенные по его конвенциям имён, и сигнал пересканировать библиотеку, когда они изменились |
+
+Цель достигнута, когда:
+
+- русский контент и аниме раскладываются так же буднично, как англоязычные —
+  это ровно то, на чём разваливается arr-стек;
+- типовое добавление не требует ни одного ручного действия после отправки
+  торрента, а нетиповое требует ровно одного — подтверждения в ревью;
+- ошибочная раскладка откатывается одной кнопкой, не задев раздачу.
+
+## Что целью не является
+
+Граница домена. По ней архитектурный проход судит, не перенесено ли понятие
+через границу.
+
+- **Не индексатор и не поисковик по трекерам** (роль prowlarr). Раздачу находит
+  человек и приносит сам — вместе с контекстом, который он и так видит глазами.
+- **Не менеджер качества релизов** (правила radarr/sonarr). Версии, репаки и
+  апгрейд 1080p → 2160p не отслеживаем; коллизия уходит в ревью, а не в
+  политику качества.
+- **Не подписка на выходящие серии.** Никакого monitoring: система не ищет
+  ничего сама и не добавляет загрузок по своей инициативе.
+- **Не торрент-клиент.** Качает qBittorrent, мы им управляем и не подменяем его
+  функциональность.
+- **Не медиасервер.** Обложки, метаданные, учёт просмотренного и сам просмотр —
+  забота Jellyfin. Мы отвечаем только за то, чтобы файл лежал там, где Jellyfin
+  его правильно опознает.
+- **Не хранилище медиа.** Данные живут в раздаче, мы создаём хардлинки и не
+  дублируем контент намеренно. Два исключения хранилищем нас не делают, но байты
+  у нас появляются: copy-fallback, когда хардлинк невозможен
+  ([file-layout](../openspec/specs/file-layout/spec.md)), и состояние
+  `orphaned`, где библиотечная ссылка осталась последней копией
+  ([state-reconciliation](../openspec/specs/state-reconciliation/spec.md)).
+  Сохранность мы и в этих случаях на себя не берём — резервных копий медиа у нас
+  нет.
+- **Не мультипользовательский сервис.** Контур один, оператор один; разграничение
+  доступа сводится к allowlist Telegram (см. [security.md](security.md)).
+
+## Типовые сценарии
+
+1. **Фильм через Telegram.** Переслать боту сообщение торрент-бота → magnet и
+   текст сообщения становятся источником и контекстом → загрузка → распознавание
+   → при подтверждённом матче в метабазе авто-раскладка → пинг «готово».
+2. **Сезон сериала.** То же, но файлов много; они раскладываются сериями, а
+   второй сезон ложится в **ту же** папку тайтла, что и первый.
+3. **Русский фильм, которого нет в базе.** Уходит в ревью: подсказка текстом и
+   перераспознавание, выбор источника совпадения из списка, ручной ввод id или
+   URL записи, предпросмотр целевых путей, «Применить».
+4. **Ошиблись с привязкой.** Undo снимает наши ссылки (раздача цела) →
+   «Привязать заново» → правка в ревью → повторное применение.
+5. **Раздачу или файлы удалили руками.** Фоновая сверка констатирует рассинхрон
+   (`target_missing`/`orphaned`/`deleted`), не теряя последнюю копию данных, и
+   лечится сама, если реальность вернулась.
+
+## Референсы
+
+Где смотреть prior art, когда упёрлись.
+
+- [Jellyfin: Movies](https://jellyfin.org/docs/general/server/media/movies) и
+  [Shows](https://jellyfin.org/docs/general/server/media/shows) — целевые
+  конвенции имён, источник истины по формату, в который раскладываем.
+- **arr-стек** (radarr/sonarr/prowlarr) — прежде всего как каталог того, чего мы
+  намеренно **не** берём; полезен по крайним случаям именования.
+- **umbar** (`/home/av/projects/private/umbar`) — соседний проект того же
+  хозяйства: форма деплоя, раскладка `/srv`, стиль «минимум компонентов».

docs/research/README.md

@@ -0,0 +1,41 @@
+# Разведка
+
+Наблюдения за внешним миром: что реально шлёт источник, чем документация формата
+расходится с практикой и как ведут себя наши разборщики и зависимости на границе
+формата. Источник истины — этот каталог, а не чужая документация.
+
+Наблюдение о чужом **коде** живёт здесь наравне с наблюдением о чужих
+**данных**, но у него есть срок годности: такая записка обязана называть версию
+зависимости и условие пересмотра, потому что протухает от обновления `go.mod`, а
+не от смены формата.
+
+**Каждый вывод — с числами и командой или условиями, которыми получен**, чтобы
+его можно было перепроверить. Число без провенанса проход обязан читать как
+условие, а не как замер. Число, чей источник по ссылке не подтвердился, не
+выбрасывается и не переписывается по догадке — остаётся с пометкой «расходится
+с источником: там <что нашли>».
+
+## Как снималось
+
+Наблюдения снимались вручную, по ходу разработки, на домашнем контуре: реальные
+сообщения торрент-бота в Telegram, реальные ответы qBittorrent WebUI API и
+LLM-эндпоинта на живых раздачах. Автоматического сбора и корпуса кейсов **нет** —
+и не планируется: размеченный корпус решено не собирать
+(`../tasks/REJECTED.md`, 2026-08-06). Числа здесь единичные и приведены как
+условия, а не как статистика.
+
+Зафиксированные образцы чужих форматов лежат прямо в тестах пакета-разборщика —
+там они заодно и проверяются; где именно и почему без каталога `testdata/`, см.
+[CLAUDE.md](../../CLAUDE.md) → «Запреты».
+
+## Записи
+
+- [torrent-bot-message.md](torrent-bot-message.md) — формат сообщения
+  торрент-бота, из которого приходит magnet и контекст.
+- [torrent-bencode-limits.md](torrent-bencode-limits.md) — границы разбора
+  `.torrent` в `anacrolix/torrent`: аллокация по объявленной длине строки,
+  паники разбора, отсутствие «имени-заглушки». Проверено на `v1.61.0`.
+- [tvdb-search-translations.md](tvdb-search-translations.md) — переводы в ответе
+  поиска TheTVDB v4: карта `translations`, параметр `language` как фильтр
+  выдачи, вырожденные значения. Сверено по swagger `4.7.10`, **живым прогоном
+  не подтверждено**.

docs/research/torrent-bencode-limits.md

@@ -0,0 +1,157 @@
+# Границы разбора `.torrent` в `anacrolix/torrent`
+
+Наблюдения о том, как ведёт себя библиотека разбора на **недоверенных** байтах
+`.torrent`. В отличие от соседней записки про формат сообщения торрент-бота, это
+наблюдение о **чужом коде**, а не о чужих данных, и потому у него есть срок
+годности.
+
+**Условие устаревания:** перепроверить при обновлении `anacrolix/torrent`.
+Числа и ссылки ниже сняты на `v1.61.0` (версия зафиксирована в `go.mod`); ссылки
+вида `файл:строка` относятся к ней и после бампа могут указывать не туда.
+
+## Аллокация объявленной длины строки
+
+`bencode` аллоцирует строку по длине, **объявленной во входе**, до того как эти
+байты прочитаны: `parseString` делает `make([]byte, length)` и только потом
+`io.ReadFull` (`bencode/decode.go:250` и `:258`). Ограничитель один — потолок
+`DefaultDecodeMaxStrLen = 1<<27 - 1` ≈ 128 MiB (`decode.go:17`), проверяемый в
+`parseStringLength` (`decode.go:223`) **до** аллокации. `metainfo.Load` создаёт
+декодер, не переопределяя `MaxStrLen` (`metainfo/metainfo.go:35-37`), то есть
+работает с потолком по умолчанию.
+
+**Замер.** Вход — верхнеуровневый словарь `d7:comment<N>:xxxx`, где `<N>`
+объявляет длину, а байтов за ней нет. Мерилось дельтой
+`runtime.MemStats.TotalAlloc` вокруг вызова, Go 1.26.5. Программа целиком
+(положить в `tmp/bencodealloc/main.go`, запустить `go run ./tmp/bencodealloc`,
+каталог после замера удалить — `tmp/` в `.gitignore`):
+
+```go
+package main
+
+import (
+	"bytes"
+	"fmt"
+	"runtime"
+
+	"github.com/anacrolix/torrent/metainfo"
+)
+
+func craft(declared int64, tail int) []byte {
+	var b bytes.Buffer
+	b.WriteString("d7:comment")
+	fmt.Fprintf(&b, "%d:", declared)
+	b.Write(bytes.Repeat([]byte("x"), tail))
+	return b.Bytes()
+}
+
+func measure(name string, data []byte) {
+	runtime.GC()
+	var before, after runtime.MemStats
+	runtime.ReadMemStats(&before)
+	_, err := metainfo.Load(bytes.NewReader(data))
+	runtime.ReadMemStats(&after)
+	fmt.Printf("%-34s вход=%-4d байт  аллоцировано=%8.2f MiB  err=%v\n",
+		name, len(data), float64(after.TotalAlloc-before.TotalAlloc)/(1<<20), err)
+}
+
+func main() {
+	measure("объявлено 1 MiB", craft(1<<20, 16))
+	measure("объявлено 64 MiB", craft(64<<20, 16))
+	measure("объявлено 128 MiB - 1 (потолок)", craft(1<<27-1, 16))
+	measure("объявлено 128 MiB (выше потолка)", craft(1<<27, 16))
+	measure("объявлено 1 GiB (выше потолка)", craft(1<<30, 16))
+}
+```
+
+| Объявленная длина | Размер входа | Аллоцировано | Исход |
+| --- | --- | --- | --- |
+| 1 MiB | 34 байта | 1.00 MiB | ошибка `unexpected EOF` |
+| 64 MiB | 35 байт | 64.01 MiB | ошибка `unexpected EOF` |
+| 128 MiB − 1 (потолок) | 36 байт | 128.00 MiB | ошибка `unexpected EOF` |
+| 128 MiB (выше потолка) | 36 байт | 0.00 MiB | ошибка `exceeds limit` |
+| 1 GiB (выше потолка) | 37 байт | 0.00 MiB | ошибка `exceeds limit` |
+
+Что из этого следует:
+
+- **Усиление огромное, и наш лимит размера от него не защищает.** 36 байт входа
+  дают 128 MiB транзиентной аллокации — это ×3.7 млн, а не «крафт-8 MiB даёт
+  128 MiB», как предполагала исходная нить ревью. Предел приёма
+  `ingest.MaxTorrentSize` ([database.md](../database.md) → «Настройки с
+  числовым значением») стоит **до** разбора и на эту величину не влияет вовсе:
+  атакующему хватает трёх десятков байт.
+- **Но аллокация ограничена сверху и одна на попытку разбора.** Выше потолка
+  библиотека отказывает, не аллоцировав ничего; ниже — аллоцирует ровно
+  объявленное и падает на чтении, обрывая разбор целиком. Дочитать несколько
+  таких строк в одном входе нельзя: первая же необеспеченная строка роняет
+  `Load`. Верхняя граница на один принятый `.torrent` — примерно 128 MiB, после
+  чего память возвращается.
+- **Числа выше — это `TotalAlloc`, а не физическая память.** Разграничение
+  существенное, и без него вывод читается страшнее, чем есть. Деградационный
+  путь — `make([]byte, N)`, затем немедленно проваленный `io.ReadFull`, — до
+  страниц буфера **не дотрагивается**, а Linux отдаёт анонимную память
+  zero-fill-on-demand. Замер RSS (`/proc/self/status`, `VmRSS`) на том же
+  входе:
+
+  | Что мерили | VmRSS |
+  | --- | --- |
+  | 1000 одновременных разборов вырожденного входа, пик | 7.4 MiB |
+  | `make([]byte, 128 MiB)` без касания страниц | +0.8 MiB |
+  | то же с касанием одного байта | +0.02 MiB |
+  | то же с проходом по каждой странице | +128 MiB |
+
+  То есть N одновременных приёмов **не** дают N × 128 MiB физической памяти: до
+  RAM это не доходит вовсе. Формулировка «N × 128 MiB» верна только про
+  логический счётчик запрошенных байт кучи.
+- **Отсюда вывод сильнее, а не слабее.** Пункт принят не потому, что «профиля
+  нагрузки нет и авось обойдётся», а потому, что **деградационный путь
+  структурно не расходует физическую память**. Возвращаться к нему с лимитом
+  параллелизма повода нет; повод появится, только если найдётся путь, на котором
+  объявленная строка действительно дочитывается.
+- **Это вопрос устойчивости, а не безопасности.** Отказ в обслуживании изнутри
+  контура явно вынесен за модель угроз (`../security.md` → «Что вне модели»).
+
+## Паники разбора не выходят наружу — но гард у нас уже́е, чем кажется
+
+`bencode.Decoder.Decode` ловит паники разбора и возвращает их ошибкой, **кроме**
+`runtime.Error` — такую он пере-паникует (`bencode/decode.go:38-46`). То есть
+арифметическая ошибка или выход за границы внутри библиотеки поднялись бы
+паникой через `metainfo.Load`.
+
+Наш `recover`-гард в `internal/torrent` стоит только на `files()` и покрывает
+`UpvertedFiles`/`FileTree`. Он **не** покрывает `metainfo.Load`,
+`UnmarshalInfo` и `HashBytes` — они вызываются вне гарда.
+
+Достижимого panic-пути через них найти не удалось. Проверялась гипотеза про
+отрицательную объявленную длину: `parseStringLength` её пропускает
+(`checkBufferedInt`, `decode.go:196-208`, принимает `-5`), и `make([]byte, -5)`
+дал бы `runtime.Error`. Путь **недостижим** — диспетчер значений входит в разбор
+строки только по ведущей цифре, а `-` отсекается раньше:
+
+```
+"d7:comment-5:xxxxx"       → bencode: syntax error (offset: 10): unknown value type '-'
+"d4:infod4:name-5:xxxxxee" → bencode: syntax error (offset: 14): unknown value type '-'
+```
+
+Это отрицательный результат, а не гарантия: он говорит, что **этот** путь
+закрыт, и ничего не говорит об остальных. Расширять гард на `Load` при
+обновлении библиотеки — дешёвая страховка, если появится повод.
+
+## Библиотека не подставляет «имя-заглушку»
+
+Смежное наблюдение о той же библиотеке, записанное потому, что его отсутствие
+стоило ложной нити в ревью приёма 2026-07-08.
+
+`metainfo.Info.BestName()` (`metainfo/info.go:200-205`) возвращает `NameUtf8`,
+иначе `Name`, иначе **пустую строку**. Константа `NoName = "-"`
+(`metainfo/info.go:44`) присваивается только в `BuildFromFilePath` — то есть при
+**авторинге** раздачи из вырожденного пути (`.`, `..`, `/`), и в разборе не
+участвует.
+
+Значит `-` доходит до нас исключительно тогда, когда раздача **сама объявила**
+его полем `name`. Это конвенция «имени нет», принятая ради совместимости с
+Transmission (комментарий у константы ссылается на transmission#1775), и
+библиотека экспортирует константу именно затем, чтобы на неё ссылались.
+
+Практический вывод: «раздача без имени» и «раздача с именем `-`» — **разные**
+входы, и путать их нельзя. Первый даёт пустую строку сам, второй нормализуется
+нами на границе разбора (`internal/torrent`, `displayName`).

docs/research/torrent-bot-message.md

@@ -0,0 +1,77 @@
+# Формат сообщения торрент-бота
+
+Основной способ добавления загрузки — переслать в jellybit сообщение стороннего
+торрент-бота (`exfreedomist`, поиск по rutracker и соседним трекерам). Из
+сообщения берутся **источник** (magnet) и **контекст** для распознавания. Формат
+чужой, ничем не документирован и может измениться без предупреждения.
+
+**Провенанс.** Образец снят вручную из личного чата Telegram (сообщение
+датировано 2026-03-21) и зафиксирован в [BRIEF.md] проекта; второй образец,
+меньшего размера, живёт константой `botMessage` в
+`internal/tgbot/parse_test.go` и проверяется тестами разборщика. Статистики по
+вариантам формата нет — наблюдений всего два, и это условие, а не замер.
+
+[BRIEF.md]: перенесён в [../passport.md](../passport.md); полный текст образца —
+ниже и в истории git.
+
+## Образец
+
+```
+[1] #6514485 [rutracker], 2026-03-21 (https://hashurl.ru/eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9…):
+Дюна: Часть вторая / Dune: Part Two (Дени Вильнёв / Denis Villeneuve) [2024, США, Канада, фантастика, WEB-DL 2160p, HDR10+, Dolby Vision] Dub (Bravo Records Georgia, RHS, Jaskier, HDrezka) + MVO (LostFilm, TVShows, Jaskier) + AVO (Сербин, Яроцкий) + (Ukr) + Original (Eng) + Sub (Rus, Eng, Ukr)
+
+✅ (проверено) | 34.82 GB
+
+magnet:?xt=urn:btih:541ADCFF3B6DD5DBA7088EA83317D9D6FAC331D6&tr=http%3A%2F%2Fbt.t-ru.org%2Fann%3Fmagnet&dn=rutracker-topic-6514485
+
+Открыть magnet в вашем клиенте  (https://hashurl.ru/eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9…)
+или получить .torrent: /tr_5c054
+
+Оцените раздачу:
+👍: /g_eabdce или 👎🏿: /r_eabdce
+
+[список файлов] (https://download.exfreedomist.com/files/541ADCFF3B6DD5DBA7088EA83317D9D6FAC331D6)
+
+Следить: /us_5c054
+Добавить в закладки: /mka_96423
+
+cправка: /help, index (https://exfreedomist.com/stats/)
+```
+
+## Что из этого наблюдается
+
+- **Заголовок строки 1** — порядковый номер выдачи, `#<topic-id>`, имя трекера в
+  квадратных скобках, дата раздачи и ссылка-редирект `hashurl.ru` с JWT в пути.
+  Токен в ссылке **имеет срок жизни** (`exp` в payload) — как долгоживущий
+  идентификатор он не годится.
+- **Строка описания** — самый ценный кусок: локализованное название, оригинальное
+  название через `/`, режиссёр в скобках (тоже через `/`), затем блок в
+  квадратных скобках `[год, страны, жанры, качество, HDR…]` и перечисление
+  дорожек и субтитров. Именно она уходит контекстом в распознавание.
+- **Разделитель `/`** используется одновременно для пары «локализованное /
+  оригинальное» и для пары «имя режиссёра кириллицей / латиницей». По позиции
+  они не различаются — только по тому, что вторая пара стоит в скобках.
+- **magnet отдельной строкой**, с `dn=rutracker-topic-<id>` — то есть `dn`
+  здесь **не** содержит названия фильма и как имя раздачи бесполезен.
+  Инфохэш в magnet — v1, uppercase hex; нормализуем в lowercase.
+- **`.torrent` не приложен** — предлагается командой бота (`/tr_…`), то есть
+  вторым шагом в чужом чате. Поэтому источник, приходящий этим путём, —
+  практически всегда magnet.
+- **Размер раздачи** в человекочитаемом виде (`34.82 GB`) и отметка
+  «✅ (проверено)».
+- **Команды бота** (`/g_…`, `/r_…`, `/us_…`, `/mka_…`, `/help`) и ссылка на
+  список файлов — шум для распознавания, но безвредный: попадают в контекст как
+  есть.
+- Весь текст — **недоверенный вход**: он полностью составляется чужим ботом по
+  данным трекера и уезжает в промпт LLM. См. [../security.md](../security.md).
+
+## Чего не знаем
+
+- Насколько формат стабилен: наблюдений два, оба от одного бота, разница между
+  ними — только в наличии строки «сохранённая копия описания раздачи».
+- Как выглядит сообщение для сериала-сезонника и для аниме — образцов не
+  снимали, а именно на них строится самый сложный случай раскладки.
+- Что бот присылает при неудачном поиске и при слишком длинном описании
+  (лимит Telegram на текст сообщения — 4096 символов UTF-16, по документации
+  Bot API `sendMessage`; сами обрезанные сообщения мы не наблюдали, поведение
+  бота на обрезке неизвестно).

docs/research/tvdb-search-translations.md

@@ -0,0 +1,97 @@
+# Переводы в ответе поиска TheTVDB v4
+
+Клиент TVDB (`internal/metadata/tvdb.go`) берёт локализованное название кандидата
+из ответа `/search`. Здесь записано, откуда взята форма этого ответа и чего в ней
+не подтверждено.
+
+**Провенанс — и он слабый.** Всё ниже сверено **по публичной документации**
+TheTVDB API v4, файл `docs/swagger.yml` репозитория `thetvdb/v4-api`, поле
+`info.version` = `4.7.10` (прочитано 2026-08-07). **Живым прогоном не
+подтверждено ни одно наблюдение**: `CLAUDE.md` → «Запреты» запрещает ходить в
+боевые метабазы из отладочных прогонов и расходовать лимиты ключа. Всё
+дальнейшее — **условие, а не замер**. Оракул, который это закроет, написан и ждёт
+человека:
+
+```
+TVDB_API_KEY=… go test ./internal/metadata/ -run Integration -v
+```
+
+Он печатает `Title` и `OriginalTitle` первых кандидатов.
+
+## Параметр `language` у `/search` — фильтр, а не селектор перевода
+
+Дословно из swagger, параметр `language` эндпоинта `/search`:
+
+> Restrict results to a specific primary language. Should include the 3 character
+> language code.
+
+То есть он **сужает выдачу** по основному языку записи, а не выбирает, на каком
+языке вернуть название. Форум TheTVDB подтверждает направление: маршруты
+`/search` не возвращают записи, которых нет на указанном языке.
+
+Следствие для нас: передача `language=rus` отсекла бы ровно те записи, ради
+которых заводилась задача, — у `Ne Zha` основной язык `zho`. Поэтому запрос
+поиска параметром языка **не параметризуется**, а локаль работает только на
+стороне разбора ответа. Это заказано спекой (`openspec/specs/metadata-match/`,
+требование «Локализованное название кандидата TVDB»).
+
+Расхождение с TMDB намеренное: у TMDB `language` — именно селектор
+локализованного поля, и там он в запрос уходит.
+
+## Поля `SearchResult`, относящиеся к названию
+
+Из схемы `SearchResult` того же swagger:
+
+| Поле | Тип по схеме | Что берём |
+|---|---|---|
+| `name` | `string` | primary name записи — идёт в `Candidate.OriginalTitle` и служит фолбэком для `Title` |
+| `translations` | `TranslationSimple` | карта «код языка → название»; из неё берём `Candidate.Title` |
+| `name_translated` | `string` | **не используем** |
+| `overviews`, `overview_translated` | описания | не используем |
+| `primary_language` | `string` | не используем |
+| `translationsWithLang` | массив строк | не используем |
+
+`TranslationSimple` в самом файле swagger описан как открытая карта (свободные
+ключи со строковыми значениями); **полного текста этой схемы вычитать не
+удалось** — документ в местах чтения обрывался. Форма «карта кода языка в
+строку» принята по описанию поля и по обсуждениям в трекере `thetvdb/v4-api`,
+где встречаются фрагменты вида `"translations": {"eng": "…"}`. Это самое слабое
+место записки: если реальная форма иная (список объектов, двухбуквенные ключи),
+разбор молча уйдёт в фолбэк.
+
+**Почему не `name_translated`.** Семантика поля в документации не описана
+вовсе — не сказано ни на каком языке оно приходит, ни от чего зависит.
+Правдоподобно, что заполняет его поисковый индекс при заданном фильтре
+`language`, которого мы не шлём. Взять его в фолбэк значило бы получить название
+на неизвестном языке молча; карта `translations` самодостаточна.
+
+## Что известно про вырожденные значения
+
+В трекере `thetvdb/v4-api` есть подтверждённый случай, когда `name` приезжает
+**пустой строкой** при непустом блоке переводов (issue про `"name":"" must not be
+empty`). Отсюда два следствия для разбора, оба заказаны спекой:
+
+- пустая строка в этих полях реальна, поэтому пустота значения перевода
+  проверяется после обрезки пробелов;
+- блок переводов может нести ключ с пустым значением — это не «перевод есть».
+
+## Как мы защищаемся от того, что запись неверна
+
+Наблюдение не подтверждено, поэтому разбор устроен так, чтобы ошибка записки
+стоила как можно меньше:
+
+- блок переводов разбирается **отдельно от остального ответа** и его негодная
+  форма гасится в фолбэк: косметическое поле не получает права уронить выдачу
+  поиска целиком;
+- ключ ищется регистронезависимо;
+- если в выдаче не разобрался **ни один** блок переводов, клиент пишет строку
+  DEBUG. Это единственный сигнал, отличающий «форма ответа не та, что здесь
+  записана» от штатного «перевода на этот язык нет»: без него неверное
+  предположение жило бы в бою неограниченно долго при зелёном гейте.
+
+## Условие пересмотра
+
+Записка протухает от смены версии API TheTVDB (сегодня v4, swagger 4.7.10) и от
+любого ручного прогона интеграционного теста: первый же живой ответ обязан
+заменить здесь предположения на наблюдения, а слова «живым прогоном не
+подтверждено» — на дату и результат прогона.

docs/review.md

@@ -0,0 +1,543 @@
+# Ревью: настройка и журнал
+
+Проектная часть конвейера ревью: чем jellybit отличается от абстрактного
+Go-сервиса и что здесь уже проскакивало. Устройство самого конвейера (метки,
+стадии, контракт находок) живёт в скилле, а не здесь.
+
+## Как настроен конвейер
+
+**Прежде чем задать вопрос, посмотри, не задан ли он уже машиной.** Перечень
+механизированного — [conventions/README.md](conventions/README.md) →
+«Механизировано»; чем безусловно краснеет гейт и чего в нём намеренно нет —
+[CLAUDE.md](../CLAUDE.md) → «Гейт». Вопрос про уже проверенное вытесняет вопрос
+про непроверенное — места в прогоне столько же.
+
+**В worktree гейт краснеет ложно, и это не находка.** Ветки задач живут в
+`tmp/wt-<задача>` — внутри самого репозитория. Два следствия, оба наблюдались:
+
+- кэш `golangci-lint` переживает смену каталога и отдаёт результаты прошлого
+  прогона из **основного** дерева. Признак — пути в `tmp/gate/lint.log`
+  начинаются с `../../internal/`, то есть указывают наружу worktree, и жалобы
+  приходят на файлы, которых дифф не касался. Лечится
+  `golangci-lint cache clean` перед прогоном;
+- пробы проходов ревью, оставленные в `tmp/`, линтуются вместе с проектом:
+  `.go`-файл со `fmt.Printf` в `tmp/` краснит шаг `lint` через `forbidigo`.
+  Проход обязан за собой убирать, а оркестратор — сверять `tmp/` перед гейтом.
+
+**Severity не выводится проходом заново.** Она стоит рядом с формулировкой
+инварианта в [CLAUDE.md](../CLAUDE.md) → «Инварианты», обратимость — там же в
+«Работа» → «Необратимое». Шкала ущерба берётся оттуда, а порядок ценностей —
+из [security.md](security.md) → «Что чувствительнее чего».
+
+### Типовые узлы
+
+Рода узлов проекта и проверяемые свойства к каждому. Род, а не инвентарь
+пакетов: узел, которого ещё нет, но который проект заведёт, включён намеренно.
+
+**Клиент внешнего HTTP-сервиса** (`qbt`, `llm`, `metadata`, `jellyfin`, `tgbot`)
+
+- у каждого исходящего вызова свой таймаут из конфига, не дефолт транспорта;
+- `context` доходит до запроса и отменяет его, а не игнорируется;
+- ошибка зависимости отличима от ошибки нашей логики на приёме результата;
+- секреты (пароль, ключ, токен) не попадают ни в лог, ни в текст ошибки;
+- недоступность **опциональной** зависимости (метабаза, Jellyfin, Telegram) не
+  двигает состояние загрузки и не краснеет ERROR-ом в фоновом цикле.
+
+**Тик воркера и переход состояния**
+
+- переход легален по декларативному графу, а не «просто присвоили `state`»;
+- работа идёт под per-download блокировкой; два транспорта не гонятся;
+- тик идемпотентен: повтор на том же состоянии не порождает второго эффекта;
+- отмена контекста на середине не оставляет полуприменённого состояния;
+- новое промежуточное состояние имеет выход **и** предохранитель по времени.
+
+**Репозиторий `store`**
+
+- запрос параметризован, время только через `store.Now()`, id через `ident`;
+- многошаговое изменение — в одной write-транзакции (`_txlock=immediate`);
+- инвариант, не выражаемый схемой («одна активная загрузка на infohash»),
+  держится guarded-методом, а не проверкой в вызывающем коде;
+- миграция forward-only и сопровождается правкой [database.md](database.md).
+
+**Операция с файловой системой** (`layout`)
+
+- целевой путь проверяется **после** `filepath.Clean`, на принадлежность
+  библиотеке;
+- существующая цель не перезаписывается ни при каком исходе;
+- под `paths.downloads` нет ни одной операции записи или удаления;
+- частичный сбой батча оставляет систему в состоянии, из которого повтор
+  доводит начатое или откатывает целиком;
+- удаление снимает только свои ссылки своего батча и не снимает последнюю копию.
+
+**Парсер недоверенного входа** (`magnet`, `torrent`, парсер сообщения бота,
+разбор ответа LLM)
+
+- вход враждебный по умолчанию: длина, вложенность, мусорные байты, пустота;
+- разбор не паникует и не аллоцирует по числу из самого входа;
+- невалидный вход даёт доменную ошибку, а не тихий дефолт;
+- результат нормализуется на границе (lowercase hex, trim, `ident.Parse`).
+
+**Вызов LLM и разбор его ответа** (`recognize`, `naming.Derive`)
+
+Самый специфичный род узла в проекте: единственный, чей выход недетерминирован,
+недоверен и стоит денег одновременно.
+
+- решение узла **не является гейтом безопасности**: инъекция в промпт считается
+  состоявшейся, защита стоит ниже — на валидации целевого пути
+  ([security.md](security.md));
+- самооценка модели не заменяет матч в метабазе — порог `confidence` стоит
+  **поверх** матча дополнительным условием, а не вместо него;
+- разбор ответа устойчив к лишним и недостающим полям, обрезке и не-JSON;
+  негодный ответ даёт доменную ошибку, а не тихий дефолт;
+- попытка стоит лимита и денег: число ретраев берётся из конфига, а фоновый цикл
+  не запускает распознавание сам по себе повторно;
+- тест не ходит в живой эндпоинт — провайдер за интерфейсом, ответ фикстурой;
+  живые прогоны только за env-гейтом.
+
+**htmx-хендлер**
+
+- один партиал обслуживает страницу и фрагмент, ветвление по `isHTMX`;
+- ошибка на htmx-пути — 200 плюс фрагмент, а не 4xx/5xx;
+- страница деградирует без JS;
+- поллинг самозавершается, когда наблюдать больше нечего.
+
+### Типовые ложноположительные
+
+Находки, которые здесь выглядят убедительно и всегда неверны.
+
+- **«Веб-UI и REST без авторизации».** Принятое решение под сегодняшний
+  периметр — [security.md](security.md). Дефектом станет только вместе с путём
+  снаружи LAN.
+- **«Ошибка на htmx-пути возвращает 200».** Так и задумано —
+  [conventions/web-ui.md](conventions/web-ui.md).
+- **«Решение auto/review должно опираться на `confidence` модели».** Неверно в
+  форме «вместо матча»: авто только при подтверждённом матче в базе —
+  [ADR-2026-06-13-auto-link-requires-db-match](adr/ADR-2026-06-13-auto-link-requires-db-match.md).
+  Самооценка LLM плохо откалибрована и поддаётся инъекции. Порог `confidence`
+  при этом существует **дополнительным** блокирующим условием поверх матча —
+  его наличие дефектом не является.
+- **«Копировать надёжнее, чем хардлинк» / «взять симлинк».** Хардлинк —
+  осознанный выбор ради неприкосновенности источника и недублирования диска,
+  [ADR-2026-06-13-hardlinks](adr/ADR-2026-06-13-hardlinks.md); copy — только
+  фолбэк.
+- **«Целочисленный автоинкрементный ключ был бы проще».** ULID — требование
+  capability `identity`; `AUTOINCREMENT` вдобавок краснит гейт.
+- **«Не хватает метрик, трейсинга, health-эндпоинтов по каждой зависимости».**
+  «Минимум компонентов» — принцип проекта; глубокий healthcheck заведён задачей
+  и ждёт своей очереди, а не является упущением.
+- **«Здесь нужен интерфейс, чтобы это можно было замокать».** Единственная
+  реализация за интерфейсом — обычно лишний слой; см. «Честный предел» ниже.
+- **«Нет ретрая у вызова в фоновом цикле».** Тик повторится сам через
+  `poll_interval`; ретрай внутри тика чаще вреден.
+- **«Оригинальное и локализованное названия дублируются — избыточность».**
+  `original_title` заполняется всегда и при неуверенности дублирует `title` —
+  это контракт capability `recognition`, а не недосмотр.
+
+### Вопросы по темам
+
+Форма: `<тема>: <вопрос> (<провенанс>)`. Адресуется теме, а не имени прохода:
+проход переезжает между метками и упраздняется, тема переезд переживает. Задаёт
+вопрос тот, кто закрывает тему на текущем прогоне.
+
+- `security`: можно ли, управляя только именами файлов в раздаче и текстом
+  контекста, добиться целевого пути вне `paths.movies`/`series` — включая путь
+  через юникод, длину сверх лимита ФС и коллизию после нормализации?
+  (инвариант «целевой путь строго под библиотекой», [security.md](security.md))
+- `security`: есть ли последовательность команд, после которой снимается
+  **последняя** копия данных — с учётом `superseded`-ссылок и гонки со сверкой?
+  (инвариант «источник неприкосновенен»)
+- `security`: что даёт крафт-магнет с чужим или подставным инфохэшем —
+  присоединение к чужой активной загрузке, отравление владения?
+  (открытая задача про идентичность инфохэшей)
+- `security`: где признак «это наше» снимается с одной сущности, а действие
+  применяется к другой — присутствие раздачи в qBittorrent против байтов на
+  диске, запись в БД против файла, инфохэш против содержимого? (журнал,
+  2026-08-06: уборка своего торрента сносила чужие файлы)
+- `operations`: что делает эта ветка, когда qBittorrent недоступен несколько
+  минут подряд — сколько ERROR-строк в секунду и меняется ли состояние задач?
+  (задача про ERROR-шторм фоновых циклов)
+- `operations`: как это ведёт себя при сотне загрузок в базе и десятках тысяч
+  `file_link` — есть ли запрос без индекса и полный проход по таблице?
+  (задача про масштаб 100/1000, [database.md](database.md) → «Настройки»)
+- `operations`: что остаётся на диске и в базе, если процесс убит посреди
+  раскладки батча? (состояние `linking` и его восстановление)
+- `autotests`: изменённые строки не просто исполнены тестом, а **проверены** —
+  есть ли тест, который упал бы без этой правки? (diff-coverage в гейте меряет
+  исполнение, отличить его от проверки машина не может)
+- `autotests`: конкурентная часть правки проверена тестом, а не рассуждением?
+  (`-race` без gcc уходит в `SKIP`, и тогда гонки не проверял никто —
+  [CLAUDE.md](../CLAUDE.md) → «Гейт»)
+- `autotests`: новый тест не ходит в живой qBittorrent, LLM, метабазу или
+  Telegram — а если ходит, он за env-гейтом в `*_integration_test.go`?
+  ([CLAUDE.md](../CLAUDE.md) → «Запреты»)
+- `conventions`: логирующий чекпоинт один на операцию — или ошибка залогирована
+  и возвращена вверх, где залогирована снова?
+  ([conventions/logging.md](conventions/logging.md))
+- `conventions`: новое поле конфига появилось в `config.example.toml` с
+  описанием назначения, диапазона и единиц?
+  ([conventions/config.md](conventions/config.md))
+- `requirements`: не завелось ли поведение, которого спека не заказывала — тихий
+  дефолт, проглоченная ошибка, ретрай «на всякий случай», отброшенное поле?
+- `security`: читается ли тело ответа внешнего сервиса целиком без предела —
+  у LLM (8 MiB) и метабаз (4 MiB) предел стоит, и новый исходящий вызов обязан
+  заводить свой ([security.md](security.md) → «Что вне модели»)
+- `operations`: гарантия, которую вводит изменение, поставлена на запись или на
+  чтение — и что будет с данными, записанными до деплоя, которые обычный путь
+  не перезаписывает? (журнал, 2026-08-10: чистка названия стояла на записи, и
+  очередь ревью её обходила)
+- `operations`: новая проверка встала в общую точку — что она отняла у тех, кто
+  зовёт эту точку не ради проверки? Пропала ли команда, стал ли предпросмотр пустым, перестал ли экран объяснять
+  причину, и узнает ли человек причину на **каждом** входе, а не только
+  на том, который разбирали? (журнал, 2026-08-10: проверка длины погасила
+  «Применить» и ничего не объяснила)
+- `operations`: не удваивает ли новая ветка расход лимита метабаз и платного
+  LLM — повтор, ретрай, «распознать заново» на том же входе? (кэша ответов нет,
+  задача `metadata-cache`)
+- `operations`: копится ли то, что заводит это изменение, без срока хранения —
+  строки терминальных задач, сырые ответы, файлы? (авточистки в проекте нет,
+  задача `db-retention-cleanup`)
+- `architecture`: не появился ли второй способ делать то, что уже делается —
+  второе место, где генерится время или id, второй парсер источника, вторая
+  логика целевых имён мимо `naming`?
+  ([architecture.md](architecture.md) → «Единые точки проекта»)
+
+### Триггеры метки
+
+Уточняет умолчания конвейера, не отменяет их. Рабочее умолчание — `medium`;
+миграция схемы и публичный контракт метку **не** поднимают: их проверяют
+проходы, которые в `medium` и так есть. Списка три: два поднимают до `large`,
+по одному на ось, третий опускает до `small`.
+
+**Крупное здесь** — про объём, сколько узлов и слоёв трогает изменение:
+
+- перенос ответственности между `worker`, `recognition`, `layout` и `store`;
+- новое состояние в графе переходов загрузки: оно тянет за собой воркер, спеку,
+  отображение в веб-UI и боте и восстановление после рестарта;
+- правка, идущая насквозь по цепочке приём → распознавание → раскладка;
+- новый провайдер метабазы за существующим интерфейсом: клиент, поле конфига с
+  образцом, слияние полей кандидата, ветка «провайдера нет».
+
+**Незнакомое здесь** — про форму решения, которую предстоит нащупать по ходу:
+
+- новый пакет `internal/*` или новая capability в `openspec/specs/`;
+- новый транспорт приёма или уведомлений рядом с REST, веб-UI, ботом и CLI;
+- заводится или меняется **правило идентичности, слияния или разбора**: ключ
+  владения раздачей и сверка с qBittorrent (`ident`, `internal/store`,
+  `state-reconciliation`); построение целевых путей и санитизация имён
+  (`internal/layout`, `naming`); новый вид входа или новая ветка неоднозначности
+  у разбора недоверенного — bencode, magnet, текст контекста, ответ LLM
+  (`internal/torrent`, `internal/magnet`, `internal/tgbot/parse.go`); новый
+  источник или новый победитель при конфликте в слиянии кандидата метабазы
+  (`internal/metadata`, `metadata-match`); merge-раскладка при повторном
+  добавлении раздачи.
+
+- **новая поверхность поверх необратимой операции** — вторая точка входа в
+  команду, которая удаляет файлы или снимает последнюю копию. Форма решения
+  здесь нащупывается по ходу: подтверждение, порядок отказов, остаток,
+  наблюдаемость. Выведено по факту на `bulk-delete-page` (журнал, 2026-08-10):
+  метка `medium` не дала ни враждебного прохода, ни замера, а именно они нашли
+  четыре дефекта класса «необратимо».
+
+- «Поведение, видимое снаружи» здесь включает **тексты и карточки Telegram** —
+  для единственного пользователя это и есть интерфейс.
+
+**Место из перечня метку не поднимает — поднимает правило.** Перечни выше
+отвечают «здесь такие правила водятся», а не «любая правка здесь идёт в
+`large`». Метку поднимает то, что даёт работу новому проходу: заводится ключ
+сравнения или меняется его состав; у разбора появляется новый вид входа или
+новая ветка неоднозначности; в слияние добавляется источник или меняется
+победитель при конфликте.
+
+**Мелкое здесь** — опускает до `small`. Перечень закрытый, каждый пункт
+проверяется взглядом на дифф и дельта-спеку, любое сработавшее держит метку
+внизу:
+
+- **дельта-спека называет исход поимённо** — сценарий уже говорит, что даёт
+  вырожденный вход, и решать в коде нечего;
+- **новых сценариев в дельта-спеке нет** — изменение уточняет уже описанное
+  поведение, а не заказывает новое;
+- **правка сообщения, комментария, записи журнала, имени или теста** в узле из
+  перечней выше;
+- **сужение уже существующей нормализации** без нового вида входа: вход остался
+  тот же, изменился исход на одном его значении.
+
+Отрицательный тест поверх перечня: что после мерджа не откатывается обратной
+правкой — миграция, формат на диске, публичный контракт, имя, — **не** `small`,
+каким бы маленьким ни был дифф.
+
+**Ориентир частоты.** `medium` закрывает большинство задач, `large` рассчитана
+на 5–10% и приходится на крупную функциональность, а не на уборку: задача типа
+`chore` или `fix`, собранная из нитей прошлого ревью, идёт в `small` или
+`medium`, даже когда трогает файл из перечней выше. `large` чаще одной задачи из
+десяти означает ошибку в критерии, а не полосу сложных задач подряд.
+
+### Недоступно проверке
+
+**Не проверит ни один проход** — принципиальная граница, по факту промаха не
+пересматривается.
+
+- `operations`: история инцидентов на umbar и то, что уже ломалось в проде.
+- `operations`: поведение таблицы SQLite под реальным объёмом и профилем
+  нагрузки — реального профиля нет ни у кого, кроме сервера.
+- `architecture`: завязка внешних потребителей (Jellyfin, закладки, чужие
+  ссылки) на текущее поведение.
+- `architecture`: суждение «этой функциональности не должно существовать».
+- `requirements`: качество распознавания как таковое — правильно ли LLM
+  определил фильм. Это вопрос тюнинга модели и промпта, а не ревью кода;
+  размеченный корпус, по которому это можно было бы судить числом, решено не
+  собирать (`tasks/REJECTED.md`, 2026-08-06).
+
+**Перестали проверять сознательно** — пересматривается первым, как только
+что-то проскочило.
+
+- `conventions`: **идиоматичность Go — с 2026-08-04.** Проектный проход `idiom`
+  (поимённая сверка с положениями Effective Go, Go Code Review Comments,
+  стайлгайдов Uber и Google) упразднён вместе с переездом конвейера в плагин
+  ([ADR-2026-08-04-review-pipeline-to-plugin](adr/ADR-2026-08-04-review-pipeline-to-plugin.md));
+  способные части переселены — в тему `operations` (эксперимент против
+  поведения библиотеки и драйвера) и в `architecture` («не изобретаем ли то,
+  что уже есть в библиотеке»). **Различение «идиоматично против
+  распространено» теперь не спрашивает никто.** Класс обратимый: портит форму
+  кода, не данные. Пересмотр — задача `quality-review-agents`.
+- `security`, `operations`, `architecture`: на метках `small` и `medium` не
+  проверяется ничто, требующее запуска, — построенных путей атаки, замеров и
+  эксплуатационного постмортема там нет по устройству конвейера. Их даёт только
+  `large`, а она приходится на 5–10% задач.
+
+## Журнал дефектов
+
+Запись на каждый воспроизведённый дефект, **сразу**, а не ретроспективно: со
+временем теряется не факт, а причина непоймания. Проскочившие — эвал-сет для
+калибровки конвейера, выборка по пометке.
+
+Форма:
+
+<!-- копия: журнал-дефектов-форма из av-dev-pipeline/skills/review-pipeline/references/review-journal.md -->
+## ГГГГ-ММ-ДД — <краткое последствие> [проскочил|пойман]
+
+- **Где:** путь:строка либо «конвейер, а не код»
+- **Симптом:** как обнаружилось, кем и когда
+- **Причина:** что на самом деле было не так
+- **Чем воспроизведён:** тест, команда, замер — с числами
+- **Почему не поймали:** только для проскочивших — какой проход обязан был найти
+  и что ему помешало
+- **Что меняем:** правило прохода, шаг гейта, конвенция, факт в документе
+  проекта — либо «ничего, цена поимки выше цены дефекта»
+<!-- /копия: журнал-дефектов-форма -->
+
+### Записи
+
+Журнал заведён 2026-07-23 вместе с переработкой конвейера
+([ADR-2026-07-23-review-pipeline-generative](adr/ADR-2026-07-23-review-pipeline-generative.md));
+случаи до этой даты не восстанавливались — восстановленная постфактум причина
+непоймания недостоверна, а именно она и нужна.
+
+## 2026-08-10 — метка занижена: новая поверхность поверх необратимой операции прошла как среднее знакомое [пойман]
+
+- **Где:** конвейер, а не код — разметка задачи `bulk-delete-page`
+- **Симптом:** прогон по метке `medium` закончился шестью находками, из них ни
+  одной про необратимое. Сигнал «метка, вероятно, занижена» вернули два прохода
+  из четырёх — `code` и `basics`, с одинаковым основанием: дифф трогает `store`,
+  `worker`, `httpapi`, `tgbot` и шаблоны и заводит новую точку входа поверх
+  команды, удаляющей файлы
+- **Причина:** обе оси считались по объёму и по знакомости узлов, и по ним
+  изменение честно выходило средним и знакомым — цикл над готовым `Delete`. Ни
+  один триггер `large` не описывал случай «поверхность новая, а операция за ней
+  необратимая»
+- **Чем воспроизведён:** повторная разметка после правок дельта-спек вернула
+  `large`; догнанные проходы дали четыре находки класса «необратимо», из них три
+  с прогнанными падающими тестами (`TestAdversaryDoneRowIsLastCopyWithoutWarning`,
+  `TestAdversaryDeleteWipesSourceOfAnotherActiveDownload`) и одна с замером
+  удержания общего замка воркера (`280.450631ms` при задержке соседа `300ms`)
+- **Что меняем:** в «Триггеры метки», ось «незнакомое», добавлен пункт про новую
+  поверхность поверх необратимой операции
+
+## 2026-08-10 — три дефекта поштучного удаления жили незамеченными, пока рядом не появилась пачка [проскочил]
+
+- **Где:** `internal/worker/review.go` (`Delete`), `internal/worker/worker.go`
+  (`Poll`)
+- **Симптом:** враждебный и эксплуатационный проходы на задаче
+  `bulk-delete-page` нашли три дефекта, ни один из которых эта задача не
+  вносила: удаление сносит раздачу, которой владеет **другая активная** загрузка
+  с тем же инфохэшем; удаление держит общий замок воркера через сетевой вызов и
+  останавливает фоновую работу на это время; при недоступном qBittorrent задача остаётся `done` весь простой
+  соседа, потому что сверка возвращается на первой же ошибке и до коррекции не
+  доходит
+- **Причина:** поштучное удаление ни разу не проверялось меткой `large` — ни
+  построенного пути, ни замера против него не гонял никто
+- **Чем воспроизведён:** тесты и замеры перечислены в
+  `openspec/changes/archive/2026-08-10-bulk-delete-page/review/report.md`,
+  находки 2–4
+- **Почему не поймали:** проходы, находящие этот класс, живут в метке `large`, а
+  задачи, заводившие и правившие `Delete`, шли ниже. Дефект не «пропустил
+  проход» — проход не запускался
+- **Что меняем:** три записи в беклоге со ссылкой на оракулы; триггер метки
+  дополнен (см. запись выше), чтобы следующая поверхность над необратимой
+  операцией шла сразу с доказательными проходами
+
+## 2026-08-10 — тест остался зелёным навсегда, потому что проверял снятый атрибут [пойман]
+
+- **Где:** `internal/httpapi/live_test.go` — `TestFragProgressStopsWhenNotDownloading`
+- **Симптом:** проход `autotests` на ревью кода change `card-live-refresh` заметил,
+  что тест «фрагмент отдаётся без атрибутов поллинга» больше не может упасть
+- **Причина:** change снял `hx-get`/`hx-trigger` с партиала `progress`
+  **безусловно**, а тест утверждал их отсутствие только для завершённой задачи.
+  Утверждение стало истинным при любом входе — тест перестал проверять что-либо,
+  оставаясь в дереве как доказательство поведения
+- **Чем воспроизведён:** `git diff` шаблона против тела теста; проверка инверсией
+  невозможна по построению — сломать реализацию так, чтобы тест покраснел, нечем
+- **Что меняем:** ничего в гейте. `diff-coverage` меряет **исполнение**, а не
+  проверку, и такой класс не видит по устройству — 24/24 строк были покрыты при
+  зелёном тесте-пустышке. Ловится либо мутационным прогоном (в гейт не заводим:
+  цена выше пользы на нынешнем объёме), либо тем же вопросом темы `autotests`
+  («есть ли тест, который упал бы без этой правки») — он и сработал. Тест
+  переформулирован на то, что теперь является предметом: вне `downloading` блок
+  живых цифр не рисуется вовсе
+
+## 2026-08-10 — проверка встала в общую точку и погасила кнопку, ничего не объяснив [пойман]
+
+- **Где:** `internal/layout/layout.go` — `BuildLinks`; `internal/worker/review.go`
+  — сборка предпросмотра; `web/templates/partials/review_main.html` — панель
+  действий. Норма — `openspec/specs/review/spec.md`, требование «Панель действий
+  при пустом предпросмотре называет причину».
+- **Симптом:** новая проверка длины целевого имени встала в `BuildLinks` —
+  единственную сборку пути, откуда строятся и оба предпросмотра ревью. Отказ
+  обнулил предпросмотр, а без него экран прячет команду «Применить». Текст
+  причины брался из `error_msg` последнего перехода, но на самом частом входе
+  (распознавание без матча) это поле пусто: задача приходит в `review` без
+  причины и до раскладки не доходит. Владелец видел «Подтверди источник» и не
+  видел ни кнопки, ни настоящей причины. **До изменения** предпросмотр строился,
+  кнопка была, и применение доводило хотя бы до `failed` с текстом ядра.
+- **Почему не поймали раньше:** обе стороны выглядели верными по отдельности.
+  Проверка в общей точке — правильное решение, оно и дало совпадение показанного
+  с применённым. Текст из `error_msg` — тоже правильное, для того входа, который
+  разбирали на чекпоинте (ручное «Применить» причину записывает). Развилка была в
+  том, что вход не один, и второй — частотнее.
+- **Чем ловится теперь:** причина считается на показе
+  ([ADR-2026-08-10-reason-computed-on-read](adr/ADR-2026-08-10-reason-computed-on-read.md)),
+  тесты `TestReviewData_PreviewErrorWhenStateHasNoReason`,
+  `TestActionBarNamesReasonWithoutPreview`, `TestReviewCard_NamesPreviewProblem`.
+  В вопросы темы `operations` добавлен вопрос про сужение видимого.
+
+## 2026-08-10 — спека нормировала случай, которого код произвести не может [пойман]
+
+- **Где:** дельта `openspec/specs/file-layout/spec.md`, сценарий про
+  унаследованную от папки-якоря базу.
+- **Симптом:** на чекпоинте ревью дизайна был назван тупик — при живом якоре база
+  берётся с диска, подсказка её не укорачивает, задача циклится. Сценарий уехал в
+  спеку с инструкцией человеку («выбрать источник без базы либо переименовать
+  папку руками»). Попытка написать под него тест показала, что случай
+  **недостижим**: папка-якорь лежит на диске и потому уже не длиннее предела, а
+  хвост имени файла (`" S02E01"` плюс расширение, 11 байт) не длиннее хвоста
+  имени папки (`" ["` плюс provider-тег плюс `"]"`, минимум 11 байт).
+- **Почему не поймали раньше:** случай звучал правдоподобно и опирался на верное
+  свойство (унаследованная база подсказкой не меняется). Ни один проход ревью
+  дизайна арифметику не считал — кода на той стадии нет, а сценарий выглядел как
+  описание существующего поведения, а не как гипотеза.
+- **Чем ловится теперь:** сценарий переписан на верное утверждение, свойство
+  закреплено тестом `TestApply_InheritedBaseAtLimitStillFits` — он покраснеет,
+  если суффиксы имён вырастут. Урок общий: **сценарий, который нельзя
+  воспроизвести, обязан получить оракул до того, как попадёт в спеку**; норма,
+  описывающая недостижимое, не отличается от неверной.
+
+## 2026-08-10 — чистка названия метабазы стояла только на записи, и очередь ревью её обходила [пойман]
+
+- **Где:** `internal/worker/review.go` — `sourcePins`, `applyOverrides`,
+  `buildSources`. Норма — `openspec/specs/metadata-match/spec.md`, требование
+  «Санитайзинг названий кандидатов, уходящих в ревью», и
+  `openspec/specs/review/spec.md`, «Подтверждение матча обновляет отображаемое
+  имя».
+- **Симптом:** найден на ревью самой задачи `metadata-title-sanitize`, до
+  мерджа. В эксплуатации не всплывал. Сошлись независимо четыре прохода:
+  `adversary` (построенный путь с падающим тестом), `ops` (постмортем),
+  `specs` и `code`.
+- **Причина:** правка чистила значение метабазы **в момент записи** — при
+  копировании кандидата в список для ревью. Из этого следовали три дыры разом.
+  (1) Кандидаты, сохранённые прежними версиями, лежат в хранилище грязными, а
+  их выбор человеком закреплял название дословно. (2) `applyOverrides` читал
+  значение, закреплённое до деплоя, дословно, и обычное «Применить» без
+  повторного выбора источника создавало ровно тот каталог, ради которого
+  правка затевалась. (3) Предпросмотр источника на экране считался из сырого
+  названия, а гейт пригодности стоял только на закреплении — экран показывал
+  одно, раскладка делала другое, при том что «превью = применение» записано
+  требованием `web-ui`.
+- **Чем воспроизведён:** тремя тестами, каждый падает без правки (проверено
+  прогоном с временно снятой правкой): `TestBuildSources_PreviewMatchesApply`,
+  `TestChooseCandidate_DirtyLegacyTitleSanitized`,
+  `TestApplyOverrides_LegacyDirtyPinSanitized`. Плюс прогон `adversary`:
+  превью `- (2014) [tvdbid-269613]/…` против применяемого
+  `Догадка (2014) [tvdbid-269613]/…` на одном экране.
+- **Почему не поймали:** ловить было нечему — дефект поймали на этом же ревью,
+  до мерджа. Записывается ради причины его появления: **гарантия, поставленная
+  на запись, молчаливо не распространяется на данные, записанные раньше.**
+  Ревью дизайна дошло до «закрыть оба пути подтверждения матча», но точкой
+  закрытия выбрало запись, а не чтение; вопрос «а что с тем, что уже лежит в
+  хранилище» не задал никто из трёх проходов стадии дизайна. Его задал
+  эксплуатационный проход — на оси времени, где он и живёт.
+- **Что меняем:** вопрос темы `operations` (ниже) — про гарантию, поставленную
+  на запись. Решение по существу — ADR-2026-08-10-sanitize-at-every-entry:
+  чистка стоит на каждой точке входа, включая чтение.
+
+## 2026-08-06 — уборка своего торрента после отмены сносит чужие файлы [проскочил]
+
+- **Где:** `internal/worker/worker.go:501-556` — гард `:501-509`, удаление
+  `:550`. Норма — `openspec/specs/download-tracking/spec.md`, требование
+  «Добавление пойманной загрузки в qBittorrent».
+- **Симптом:** найден проходом `adversary` на ревью задачи
+  `dismiss-marker-lost` (2026-08-06), не в эксплуатации. В проде не всплывал.
+- **Причина:** гард «подтверждённое отсутствие непосредственно перед `add`»
+  подтверждает отсутствие **записи торрента** в qBittorrent, но не отсутствие
+  **данных** на диске. Пользователь, снявший раздачу из qBittorrent с
+  сохранением файлов (`download-tracking` сама предписывает это как способ
+  восстановления зависшей magnet-раздачи), и подавший тот же торрент заново,
+  получает `add`, подхватывающий пред-существующие файлы. Отмена в окне между
+  re-read и `PromoteCatched` даёт `torrents/delete` с `deleteFiles=true` по
+  этим файлам. Исключение инварианта «источник неприкосновенен» покрывает
+  «собственный торрент», а признак «своё» подменён на «торрента не было».
+- **Чем воспроизведён:** тестом на фейковом клиенте qBittorrent во временном
+  каталоге прогона (`tmp/`, не сохранён): `Cancel` в окне после `add` вызывает
+  `Delete(hashes, deleteFiles=true)` при живом файле под `paths.downloads`,
+  созданном до `add`. Тот же путь достижим через `Dismiss` — гейт `Dismiss`
+  шире, а уборка срабатывает по состоянию (`after.State != catched`), а не по
+  команде. **Не прогонялся** последний шаг — что боевой qBittorrent по
+  `deleteFiles=true` физически сносит пред-существующий контент: в бой ходить
+  запрещено, отсюда `Confidence: medium`.
+- **Почему не поймали:** окно после `add` разбиралось как **гонка** (кто
+  успел — отмена или промоушен) и проверялось на «не удалим ли чужой торрент».
+  Вопрос «а если торрента нет, но данные есть» не задавал никто: ни один
+  проход не спрашивал про **асимметрию признака владения** — признак снимается
+  с одной сущности (запись в qBittorrent), а действие применяется к другой
+  (байты на диске). Враждебный проход до этой задачи на данном коде не гонялся.
+- **Что меняем:** в «Вопросы по темам» добавлен вопрос темы `security` про
+  асимметрию признака владения. Сам дефект — задачей в беклоге, кандидат
+  `critical`; спека `state-reconciliation` в том же изменении перестала
+  утверждать, что уборка «данных пользователя не касается».
+
+## 2026-08-06 — нормализация имени раздачи сама производила сентинел, который отбрасывала [пойман]
+
+- **Где:** `internal/torrent/torrent.go`, функция `displayName` (введена
+  изменением `ingest-nits`). Норма — `openspec/specs/ingest/spec.md`, требование
+  «Вырожденное имя раздачи не считается именем».
+- **Симптом:** найден на ревью изменения, до мерджа. В эксплуатации не был.
+- **Причина:** сравнение с `metainfo.NoName` стояло **до** схлопывания
+  пробельного. Имя `" - "` сравнение не проходило, а `oneLine` превращал его
+  ровно в `-`, и вырожденное значение уезжало вниз по потоку всеми тремя
+  путями: строкой названия в контексте распознавания, в `source_ref` (фолбек на
+  имя присланного файла не срабатывал — строка непуста) и подсказкой вывода
+  отображаемого имени. Против `master` это **регрессия**: там стояло
+  `strings.TrimSpace(...)` перед сравнением с `-`, и фолбек работал.
+- **Чем воспроизведён:** двумя независимыми падающими тестами — `adversary`
+  прогнал приём на входах `" - "`, `"-\n"`, `"\t-"`, `" -"` и получил
+  `source_ref = "-"` вместо `Dune.torrent`; `reimpl` принёс свой тест на разбор.
+  В дереве остался табличный `TestParseNoNameSentinelDropped`.
+- **Почему не поймали раньше:** ловить было нечему — дефект внесён этим же
+  изменением и пойман тем же прогоном. Отмечено потому, что это **эвал-сет
+  наоборот**: случай, где старшая метка окупилась. Три прохода из семи
+  (`specs`, `adversary`, `reimpl`) нашли его независимо, и двое принесли оракул;
+  проход `code` (конвенции) и гейт его не видели — порядок двух операций внутри
+  функции не выражается ни правилом линтера, ни конвенцией.
+- **Что меняем:** ничего в конвейере. Класс «нормализация и сравнение с
+  константой идут в неверном порядке» дешевле ловить тестом на границе разбора,
+  чем правилом; такой тест заведён. Наблюдение о самой библиотеке (что
+  `BestName()` сентинел **не** синтезирует — исходное основание нити было
+  неверным) записано в `research/torrent-bencode-limits.md`.

docs/security.md

@@ -0,0 +1,113 @@
+# Модель угроз
+
+## Периметр
+
+**Контур доверенный: домашняя LAN, публичного интернета здесь нет — не
+выдумывай его.** Сервис слушает `:8080` на хосте umbar внутри локальной сети,
+наружу не проброшен, доменного имени и обратного прокси у него нет. Веб-UI и
+REST API работают **без авторизации** осознанно; поле `[http].trusted_subnets`
+зарезервировано, но не применяется.
+
+Целевой периметр — **тот же**: выставлять jellybit в интернет не планируется.
+Если это когда-нибудь изменится, первым шагом идёт задача «Авторизация веб-UI»,
+и модель угроз пересматривается целиком, а не дополняется.
+
+**Находки строятся против сегодняшнего периметра.** «Любой может открыть
+страницу и удалить загрузку» — это принятое решение, а не дефект; чтобы стать
+дефектом, ему нужен путь снаружи LAN.
+
+## Недоверенный вход
+
+Что приходит извне и каким каналом. Всё перечисленное контролируется не нами и
+может быть враждебным по содержанию, даже когда канал доверенный.
+
+| Что | Канал | Чем опасно |
+| --- | --- | --- |
+| Имена файлов и каталогов раздачи | qBittorrent API | разделители пути, `..`, управляющие символы, юникод-омоглифы, длина сверх лимита ФС |
+| Имя торрента, поля magnet (`dn`, `tr`) | приём | то же плюс подстановка в промпт |
+| Байты `.torrent` | приём (файл на форме) | bencode-разбор недоверенных данных, размер, вложенность |
+| Текстовый контекст человека | все транспорты | попадает в промпт LLM целиком |
+| Сообщение торрент-бота | Telegram (пересылка) | чужой формат, парсер, ссылки; текст автора бота, а не отправителя |
+| **Ответ LLM** | HTTP к эндпоинту | целиком под влиянием входа выше; названия, годы, номера сезонов и серий, из которых строится целевой путь |
+| Ответы метабаз | HTTP к TMDB/TVDB/TVMaze | канонические названия, из которых тоже строится путь; чистятся наравне с выходом LLM на каждой точке входа в план ([ADR-2026-08-10-sanitize-at-every-entry](adr/ADR-2026-08-10-sanitize-at-every-entry.md)) |
+| Ответы qBittorrent | HTTP | пути, состояния, размеры |
+| Запросы веб-UI и REST | LAN | идентификаторы, параметры действий |
+| Пачка идентификаторов и признак подтверждения на групповом удалении | форма веб-UI | необратимое действие сразу по многим загрузкам; разбор, схлопывание дублей и предел размера стоят на **обеих** границах — подтверждении и исполнении, потому что вторая получает пачку формой заново |
+
+**Выход LLM не отвечает за безопасность.** Инъекция в промпт считается
+состоявшейся по умолчанию; защита стоит ниже — на валидации целевого пути.
+
+## Из чего строятся пути и ключи
+
+Отсюда строится выход за пределы песочницы — самое ценное место для враждебного
+прохода.
+
+- **Целевой путь** = `paths.movies`/`paths.series` + имя папки тайтла + (для
+  сериала) `Season NN` + имя файла + расширение. Имя папки и файла собираются в
+  `internal/naming` из полей распознавания: `title`, `original_title`, `year`,
+  `season`, `episode`, provider-тег вида `[tmdbid-…]`. **Все эти поля —
+  недоверенный вход.**
+- **Правило:** компоненты санитизируются (убираются разделители пути, `..`,
+  управляющие символы), финальный `filepath.Clean`-путь обязан быть **строго
+  под** соответствующей библиотекой, иначе операция отклоняется. Проверка на
+  результате, а не на входе. Следом — длина: каждый компонент обязан помещаться в
+  255 байт UTF-8, иначе задача уходит в `review`. Порядок значим: путь, вышедший
+  за песочницу, отклоняется как выход за библиотеку, а не как длинное имя, иначе
+  находка безопасности спряталась бы за косметической причиной.
+- **Исходный путь** = `save_path` из qBittorrent + относительное имя файла из
+  `/torrents/files`. Тоже недоверенный, но по нему мы только **читаем и
+  линкуем**; писать в `paths.downloads` нельзя вообще.
+- **Ключ идентичности загрузки** — инфохэш (v1 SHA-1 / v2 SHA-256), нормализуется
+  в lowercase hex фиксированной длины. Крафт-магнет с чужим или подставным
+  хешем — известное направление атаки на владение (задача в беклоге).
+- **Идентификаторы сущностей** — ULID, `ident.Parse` на каждой входной границе:
+  строка из запроса не доходит до SQL непроверенной.
+- **Владение целевым путём** — один путь, один владелец-`file_link`; смена
+  владельца возможна только на свободном пути.
+
+## Что разграничивает доступ
+
+- **Telegram** — allowlist `telegram.allowed_user_ids`, **fail-closed**: пустой
+  список запрещает всем. Это единственное реальное разграничение в системе.
+- **Веб-UI и REST** — не разграничивают ничего: любой в LAN может всё.
+  Осознанно, см. «Периметр».
+- **Файловая система** — контейнер под `1000:1000`, смонтирована только
+  песочница `/srv/media` и собственные каталоги `/config` (ro) и `/data`.
+  `/srv/applications` целиком в контейнер не попадает.
+- **qBittorrent** — логин и пароль WebUI; docker-подсеть намеренно не входит в
+  его LAN-whitelist.
+
+## Что чувствительнее чего
+
+1. **Медиафайлы в раздаче** — единственное, что невосстановимо. Отсюда
+   инвариант «источник неприкосновенен» и гард последней копии в Undo
+   (`nlink <= 1` → отказ целиком).
+2. **База `/data/jellybit.db`** — восстановима только перезапуском всей работы:
+   теряется всё in-flight состояние и история привязок.
+3. **Секреты**: пароль qBittorrent, ключи LLM и метабаз, токен Telegram,
+   API-ключ Jellyfin. Живут только в `config.toml` (`0600`, рендерит деплой) и
+   **никогда не попадают в логи, в диагностику состояния и в ответы API** —
+   правило в [conventions/logging.md](conventions/logging.md).
+4. **Библиотечные хардлинки** — восстановимы повторной раскладкой, поэтому
+   ниже по шкале, хотя видны пользователю первыми.
+
+## Что вне модели
+
+Перечислено явно: против этого находки не строятся.
+
+- **Злонамеренный участник LAN.** Сеть считается доверенной; «сосед по вайфаю
+  удалил загрузку через веб-UI» — не дефект в сегодняшнем периметре.
+- **Злонамеренный оператор.** Владелец может всё по определению, включая
+  удаление раздачи вместе с файлами.
+- **Компрометация соседних сервисов** — qBittorrent, Jellyfin, LLM-эндпоинта,
+  хоста umbar. Если qBittorrent врёт про пути, мы проиграли раньше.
+- **Отказ в обслуживании изнутри контура.** Огромная раздача, тысяча файлов,
+  бесконечный ответ LLM — это вопросы устойчивости и ресурсов
+  ([architecture.md](architecture.md) → «Эксплуатация»), а не безопасности.
+  Тело ответа внешнего сервиса при этом читается с пределом: LLM — 8 MiB
+  (`internal/llm`), метабазы — 4 MiB (`internal/metadata`).
+- **Целостность содержимого медиафайлов.** Что в контейнере mkv — не наша забота.
+- **Цепочка поставки** — модули Go, базовый образ distroless, плагины тулинга.
+- **Приватность запросов к внешним сервисам.** Названия раздач уезжают в LLM и
+  метабазы; это принято сознательно, прокси в конфиге есть.
+- **Физический доступ к серверу и бекапам.**

docs/specs/README.md

@@ -1,26 +0,0 @@
-# Спецификации
-
-Живые документы о том, как устроена система — целевое и актуальное
-состояние. В отличие от ADR, спецификации **изменяемы**: их правят по
-мере развития проекта и держат в соответствии с кодом. В отличие от
-черновиков, описывают принятое и реализуемое, а не идеи.
-
-## Соглашения
-
-- Имя файла — `kebab-topic.md`, без дат (дата живёт в git-истории).
-- Одна спецификация — одна тема.
-- Если решение требует объяснения «почему именно так» с долгим следом —
-  заведи ADR и сошлись на него из спецификации.
-
-## Записи
-
-- [architecture.md](architecture.md) — общее устройство: компоненты,
-  транспорты, хранилище, раскладка, деплой.
-- [workflow.md](workflow.md) — жизненный цикл загрузки: машина состояний,
-  переходы, сопоставление состояний qBittorrent.
-- [recognition.md](recognition.md) — распознавание контента и модель
-  уверенности.
-- [review-ux.md](review-ux.md) — ревью раскладки человеком: UI/UX-сценарии
-  на случай, когда система не уверена.
-- [jellyfin-layout.md](jellyfin-layout.md) — конвенции именования файлов
-  Jellyfin, в которые раскладываем.

docs/specs/architecture.md

@@ -1,271 +0,0 @@
-# Архитектура
-
-## Назначение
-
-Jellybit принимает торрент с текстовым контекстом, скачивает его через
-qBittorrent, определяет содержимое (фильм или сериал с сезонами и
-сериями) и раскладывает файлы по конвенциям Jellyfin — хардлинками, не
-трогая исходную раздачу.
-
-## Принципы
-
-- **Один статический бинарь.** Доставка — копированием на сервер. См.
-  [ADR-2026-06-13-go-single-binary](../adr/ADR-2026-06-13-go-single-binary.md).
-- **Источник неприкосновенен** (жёсткий инвариант). jellybit делает
-  только `mkdir`, `link(2)` и `unlink` *своих* целевых ссылок (для undo).
-  Никогда не `unlink`/`rename` под `paths.downloads`. См.
-  [ADR-2026-06-13-hardlinks](../adr/ADR-2026-06-13-hardlinks.md).
-- **Выход распознавания недоверенный.** Имена файлов, контекст и
-  сообщение бота управляются извне. Целевой путь всегда санитизируется и
-  проверяется, что он строго под `paths.movies`/`paths.series` (см.
-  «Раскладка файлов»). Безопасность держится на валидации, не на промпте.
-- **Единое ядро, тонкие транспорты.** Логика приёма — в use-case
-  `Ingest`; переходы состояний принадлежат `worker`. HTTP API, веб-UI и
-  Telegram складывают команды, `worker` их сериализует.
-- **Опциональные внешние зависимости.** Базы метаданных (TMDB/TVDB)
-  включаются конфигом; без них сервис работает на одном LLM, но
-  авто-раскладка без матча в базе не делается (см. recognition.md).
-- **Минимум компонентов.** В духе umbar — без лишних сервисов.
-
-## Компоненты
-
-| Пакет       | Ответственность                                          |
-| ----------- | -------------------------------------------------------- |
-| `ingest`    | use-case приёма загрузки, общий для всех транспортов      |
-| `qbt`       | клиент qBittorrent WebUI API (сессия, добавление, опрос)  |
-| `worker`    | владелец машины состояний; поллинг, сериализация команд   |
-| `recognize` | пред-парс имени + вызов LLM + модель уверенности          |
-| `llm`       | провайдер LLM за интерфейсом (дискриминатор `type`)       |
-| `metadata`  | интерфейс баз метаданных + TMDB/TVDB/TVMaze (опц.)         |
-| `layout`    | конвенции Jellyfin, санитизация путей, хардлинкер, undo   |
-| `store`     | SQLite: загрузки, распознавание, подсказки, ссылки        |
-| `httpapi`   | REST + веб-UI (server-rendered, POST-формы с redirect)    |
-| `tgbot`     | Telegram: приём + парсер сообщений бота + исходящие пинги  |
-| `jellyfin`  | триггер пересканирования медиатеки после раскладки (опц.)  |
-| `config`    | загрузка TOML-конфига                                     |
-
-## Поток и машина состояний
-
-Жизненный цикл загрузки (ingest → downloading → … → done/reverted),
-полный граф состояний с переходами и сопоставление состояний qBittorrent —
-в отдельной спецификации [workflow.md](workflow.md). Ключевое: переходами
-владеет `worker`, он же сериализует команды транспортов под per-download
-блокировкой, а состояние персистентно в SQLite.
-
-## Транспорты
-
-Все ведут в один `Ingest(req)`; действия пользователя (apply / refine /
-reject / defer / undo) — команды к `worker`:
-
-- **HTTP API + веб-UI** — форма «добавить», список, экран ревью
-  (server-rendered). В v1 **без авторизации** (доверенная LAN). Поле
-  `http.trusted_subnets` зарезервировано, но **пока не применяется**:
-  деплой только в локальную сеть без доступа из интернета, поэтому
-  allowlist-middleware и авторизацию отложили — [drafts/ideas.md](../drafts/ideas.md).
-- **Telegram-бот** — переслать magnet/сообщение бота; текст становится
-  контекстом. Доступ — по `telegram.allowed_user_ids` (пусто = запрет
-  всем, fail-closed). Бот же шлёт **пинги** о входе в review/готовности.
-- **CLI** — `jellybit add <magnet> --context "..."` для отладки.
-
-Источник (magnet / `.torrent` / URL) **отдаём в qBittorrent** — он сам
-скачивает; jellybit не делает исходящих запросов на пользовательский URL
-(SSRF исключён).
-
-## Хранилище
-
-SQLite. Схема покрывает приём, цикл ревью и откат:
-
-- `download` — `id`, тип и значение источника, контекст, `infohash`,
-  `idempotency_key`, состояние, `error_code`/`error_msg`, тайминги.
-  (infohash может появиться позже приёма — для magnet без метаданных.)
-- `recognition` — попытки распознавания: `download_id`, `attempt_no`,
-  `is_current`, тип, название, год, `provider` (`tmdb|tvdb|tvmaze|none`),
-  `provider_id`, `confidence`, причины-не-авто, сырой ответ LLM и
-  структурированный `plan` (каноничный JSON `recognize.Plan` — файл →
-  роль/сезон/серия для превью и применения).
-- `hint` — накопленные подсказки человека (`download_id`, текст, время).
-- `override` — запиненные ручные правки полей (перераспознавание не
-  затирает).
-- `metadata_candidate` — кандидаты базы для выбора (`recognition_id`,
-  provider, id, название, год, выбран ли).
-- `file_link` — `download_id`, `apply_batch_id`, исходный → целевой путь,
-  вид (видео/субтитры/…), статус, время. Батч нужен для точечного undo.
-
-### Идентификация торрента и повторное добавление
-
-Идентификатор торрента — **infohash** (v1 SHA-1 / v2 SHA-256): берём из
-magnet (`xt=urn:btih:`) или считаем из `.torrent`; этим же оперирует сам
-qBittorrent. Идемпотентность — **только для активных задач**: повторное
-добавление, пока задача в работе, присоединяется к ней. Если прежняя
-задача для этого infohash уже терминальна (`done`/`cancelled`/`failed`/
-`reverted`), новое добавление заводит **новую** задачу — перекачать тот же
-торрент спустя месяцы можно без проблем (покажем, что infohash уже
-обрабатывался, и прежний результат). Разные раздачи одного фильма (репаки)
-имеют разные infohash → разные задачи.
-
-## Конфигурация
-
-TOML. Полный список параметров с комментариями — в
-[`config.example.toml`](../../config.example.toml) (источник истины, не
-дублируем его здесь). Реальный `config.toml` рендерится при деплое
-Ansible-шаблоном из переменных umbar (секреты — `vars/secrets.yml` под
-ansible-vault), на диске **0600**, владелец `1000:1000`, не коммитится.
-
-Структура секций: `[qbittorrent]` (доступ + категория/тег для push/pull),
-`[paths]` (хост-пути песочницы), `[storage]` (путь к SQLite), `[llm]`
-(провайдер распознавания, см. [recognition.md](recognition.md)),
-`[metadata.tmdb|tvdb|tvmaze]` (опц. базы), `[jellyfin]` (опц.
-пересканирование), `[worker]` (интервал поллинга и таймауты, см.
-[workflow.md](workflow.md)), `[recognition]` (порог уверенности),
-`[telegram]`, `[http]`, `[log]`.
-
-## Логирование
-
-Структурированный JSON через `log/slog`, в stdout (docker подбирает).
-Каждая загрузка проходит со сквозным идентификатором; решения
-распознавания (почему авто/ревью) и операции с файлами логируются явно.
-
-## Раскладка файлов
-
-`layout` создаёт хардлинки в `paths.movies`/`paths.series` по конвенциям
-Jellyfin ([jellyfin-layout.md](jellyfin-layout.md)). Правила:
-
-- **Линкуем только файлы.** Целевые каталоги создаём `mkdir -p` (режим
-  0755, владелец `1000:1000`); каталог не хардлинкуется.
-- **Путь сначала санитизируется:** из `title`/сезона/серии убираем
-  разделители пути, `..`, управляющие символы; финальный
-  `filepath.Clean`-путь обязан быть строго под библиотекой, иначе отказ
-  (защита от traversal).
-- **Никогда не перезаписываем.** Цель существует и это тот же inode →
-  готово (идемпотентно); существует и это другой файл → коллизия → review.
-- **Батч фиксируется в БД:** статус по каждому файлу; повтор после сбоя
-  доводит начатое (идемпотентно) либо откатывается.
-- **Undo** удаляет только ссылки своего `apply_batch_id` и только если
-  путь под `paths.movies`/`series` — источник недосягаем.
-- **Хардлинк предпочтителен, но есть фолбэк.** По построению источник и
-  цель — на одной ФС (единая песочница `/srv/media`), и `link(2)` проходит.
-  Если ФС всё же не поддерживает жёсткие ссылки или они между разными ФС
-  (`EXDEV`/`ENOTSUP`/`EOPNOTSUPP`/`EPERM`), `layout` **не падает**, а
-  копирует файл (через временный файл + атомарный `rename`) и пишет в лог
-  `Warn` (статус ссылки — `copied`): задача доходит до конца ценой
-  дублирования места. Источник при этом всё равно не трогаем.
-
-### Пути и контейнеры — единая песочница `/srv/media`
-
-Весь медиа-стек лежит под одним каталогом и монтируется **идентично**
-(`/srv/media:/srv/media`) во все медиа-приложения:
-
-```
-/srv/media/
-  incomplete/        ← qBit качает сюда
-  downloads/         ← готовые раздачи (источник хардлинка)
-  movies/  series/   ← библиотека Jellyfin (цель хардлинка)
-```
-
-Так как всё под одним mount'ом, и **хардлинк** (downloads → movies/series),
-и **мгновенный move** qBit (incomplete → downloads) работают — нет границ
-между точками монтирования (`EXDEV`). Путь из qBittorrent
-(`save_path`/`content_path`) уже равен хост-пути, трансляция не нужна
-(`path_map` — фолбэк, обычно пуст). Секреты и чужие приложения
-(`/srv/applications`) в эту песочницу не попадают.
-
-- **qBit** — `savepath=/srv/media/downloads`, temp `/srv/media/incomplete`.
-- **jellybit** — читает `downloads`, пишет в `movies`/`series`; свой
-  SQLite — отдельным mount'ом `/srv/applications/jellybit/data`, конфиг —
-  отдельным `/srv/applications/jellybit/config`.
-- **Jellyfin** — библиотеки указывают на `movies`/`series` (не на корень
-  `/srv/media`, иначе в индекс попадут downloads/incomplete).
-
-## Пересканирование Jellyfin
-
-После успешной раскладки (вход в `done`) `worker` неблокирующе просит Jellyfin
-пересканировать медиатеку, чтобы новые файлы быстрее появились в проигрывателе.
-Включается конфигом `[jellyfin]` (по умолчанию выключено); без него скан не
-дёргается.
-
-- **Один вызов — `POST /Library/Refresh`** (скан всех библиотек). Скан
-  инкрементальный, поэтому полный дёшев; точечный скан конкретной папки не
-  делаем — сложнее и не в духе сервиса («минимум компонентов»).
-- **Авторизация** — API-ключ Jellyfin в заголовке `X-Emby-Token`.
-- **Неблокирующе и вне `w.mu`** (как пинги Telegram): вызов уходит в сеть в
-  отдельной горутине с фоновым контекстом. Недоступность Jellyfin не влияет на
-  состояние задачи — ошибка лишь логируется (`Warn`).
-- **Адресация** — по имени сервиса в общей docker-сети (`http://jellyfin:8096`).
-
-## Деплой
-
-Jellybit работает в **docker** — в одной среде с qBittorrent и Jellyfin
-(см. [ADR-2026-06-13-docker-deploy](../adr/ADR-2026-06-13-docker-deploy.md)).
-Сборка: статический бинарь (`GOOS=linux GOARCH=amd64 CGO_ENABLED=0`,
-сервер на Intel N150) собирается здесь; на сервер во временную build-папку
-кладутся бинарь + `Dockerfile` (копирует бинарь в `distroless/static`),
-образ собирается на месте и запускается. Go-тулчейн на сервере не нужен.
-
-Параметры запуска (в umbar-compose):
-
-- **Общая docker-сеть** (external, напр. `media-net`) — jellybit, qBit и
-  (позже) Jellyfin в ней; адресуемся по именам (`http://qbit:8989`,
-  `http://jellyfin:8096`). Веб-UI jellybit публикуем на хост (`8080:8080`)
-  для LAN. Учесть: qBit валидирует Host-заголовок — выставить
-  `WebUI\ServerDomains=*` (umbar); LLM на хосте достаётся через
-  `host.docker.internal` (`extra_hosts: host-gateway`).
-- **`user: "1000:1000"`**, UMASK 022 — единый системный пользователь
-  umbar; созданные каталоги 0755, файлы-ссылки наследуют inode источника.
-- **mount `/srv/media`** (единая песочница) — для хардлинков и move
-  (см. «Пути и контейнеры»); каталоги jellybit — отдельно.
-- **mount конфига** `/srv/applications/jellybit/config` → `/config` (ro):
-  `config.toml` (0600). Восстановим при деплое (рендерит плейбук umbar) —
-  бекапить не нужно.
-- **mount данных** `/srv/applications/jellybit/data` → `/data`: SQLite
-  (`/data/jellybit.db`). Бекапить-и-не-терять — без него редеплой стёр бы
-  всё in-flight состояние.
-- **healthcheck** на `/healthz`.
-
-Разделение ответственности:
-
-- **jellybit** (этот репозиторий) — статический бинарь и `Dockerfile`.
-- **umbar** — оркестрация: доставка артефактов, `docker build`, запуск
-  через docker compose (`playbook-jellybit.yml`) с параметрами выше.
-
-## Предполагаемая структура репозитория
-
-```
-cmd/jellybit/         точка входа, сборка зависимостей
-internal/
-  ingest/  qbt/  worker/  recognize/  llm/  metadata/
-  layout/  store/  httpapi/  tgbot/  config/
-migrations/           миграции SQLite
-web/templates/        шаблоны веб-UI
-docs/                 specs / adr / drafts
-Dockerfile  .dockerignore  config.example.toml
-```
-
-## Решённые вопросы
-
-- Пути/контейнеры — единая песочница `/srv/media:/srv/media` (подпапки
-  incomplete/downloads/movies/series) монтируется идентично во все
-  медиа-приложения; путь из API = хост-путь; хардлинк и move в пределах
-  одного mount'а. `/srv/applications` в песочницу не попадает.
-- Сеть — общая docker-сеть, адресация по именам (`qbit:8989`); host-режим
-  не используем. qBit: `WebUI\ServerDomains=*`; LLM на хосте — через
-  `host.docker.internal`.
-- qBit: «incomplete» включён (`/srv/media/incomplete`), завершение
-  проходит через `moving`; jellybit авторизуется логином/паролем
-  (docker-подсеть не входит в LAN-whitelist qBit).
-- Внешние базы — HTTP-прокси на клиента (`proxy` в `[metadata.*]`/`[llm]`).
-- Идентификатор торрента — infohash; идемпотентность только для активных
-  задач (повторная закачка спустя время → новая задача).
-- Состояние — на persistent-томе `/srv/applications/jellybit/data`.
-- Детект завершения — поллинг; webhook — на будущее (drafts/ideas).
-- Пересканирование Jellyfin после раскладки — `POST /Library/Refresh` (скан
-  всех библиотек, инкрементальный), неблокирующе на входе в `done`; опц.,
-  включается `[jellyfin]`.
-- Источник (magnet/URL/.torrent) отдаём в qBittorrent — без SSRF.
-- Авто-раскладка требует подтверждённого матча в базе; иначе review.
-- Веб-UI в v1 без авторизации (доверенная LAN, опц. allowlist подсетей).
-- Форма запуска — docker, образ собирается на сервере; контейнер под
-  `1000:1000`, в общей docker-сети, mount `/srv/media` + data-том.
-
-## Открытые вопросы
-
-- (пока нет)

docs/specs/jellyfin-layout.md

@@ -1,72 +0,0 @@
-# Конвенции раскладки Jellyfin
-
-Целевые имена и структура, в которые jellybit раскладывает файлы
-хардлинками. Источники:
-[Movies](https://jellyfin.org/docs/general/server/media/movies),
-[Shows](https://jellyfin.org/docs/general/server/media/shows).
-
-## Фильмы
-
-```
-movies/
-  Дюна Часть вторая (2024) [tmdbid-693134]/
-    Дюна Часть вторая (2024).mkv
-    Дюна Часть вторая (2024).ru.srt
-```
-
-- Папка и файл — `Название (Год)`.
-- provider-id в имени папки (`[tmdbid-...]`) добавляется при работе с
-  базой — снимает неоднозначность для русских названий, которые Jellyfin
-  иначе может опознать неверно.
-- Внешние субтитры — `Имя.<lang>[.flag].srt` (флаги `forced`/`sdh`/
-  `default`/`hi`), напр. `…ru.forced.srt`; база имени совпадает с именем
-  видеофайла. Пары VobSub — `.idx` + `.sub`.
-
-## Сериалы
-
-```
-series/
-  Название (2024) [tvdbid-123456]/
-    Season 01/
-      Название (2024) S01E01.mkv
-      Название (2024) S01E02.mkv
-```
-
-- provider-id — на папке сериала.
-- Сезоны — `Season 01`, файлы — `... SxxEyy`.
-
-## Сопоставление источник → цель
-
-Источник берём по пути из qBittorrent (`save_path` + относительное имя
-файла из `/torrents/files`, которое уже содержит корневую папку
-многофайловой раздачи; это уже хост-путь, `path_map` — фолбэк). Для каждого
-распознанного **файла** (не каталога) создаётся **хардлинк** в
-`paths.movies`/`paths.series`; целевые каталоги — `mkdir` (0755,
-`1000:1000`). Исходный файл остаётся на месте (раздача продолжается),
-inode общий — диск не дублируется.
-
-Целевое имя строится из распознанных полей и **санитизируется** (без
-разделителей пути, `..`, управляющих символов); финальный путь обязан
-быть строго под библиотекой. Существующую цель **не перезаписываем** (тот
-же inode → готово; другой файл → коллизия → review). Инварианты и undo —
-в [architecture.md](architecture.md) → «Раскладка файлов».
-
-Желательно: целевой и исходный каталоги — на одной ФС/одном mount'е
-(внутри контейнера это обеспечивает единая песочница `/srv/media`), тогда
-работает дешёвый хардлинк. Если хардлинк невозможен (разные ФС или ФС без
-поддержки жёстких ссылок), `layout` не падает, а копирует файл с
-предупреждением в лог — см. architecture.md → «Раскладка файлов».
-
-## Крайние случаи
-
-- **Многофайловый фильм** (части) — стэкинг по точному токену Jellyfin
-  (`… - part1`/`cd1`); точный формат уточнить при реализации.
-- **Редакции** — `Имя (Год) [edition-Director's Cut]` либо отдельные
-  версии в папке фильма.
-- **Двойная серия** в одном файле — `… SxxEyy-Eyy`.
-- **Спецвыпуски** — `Season 00`.
-- **Сезон-пак** — серии в один `Season xx`; смешанный пак — по per-file
-  сезонам.
-- **Несколько аудиодорожек** — обычно внутри mkv, не наша забота.
-- **Аниме с абсолютной нумерацией** — пересчёт в S·E, отдельная проработка
-  ([drafts/ideas.md](../drafts/ideas.md)).

docs/specs/recognition.md

@@ -1,122 +0,0 @@
-# Распознавание контента
-
-## Задача
-
-По доступным сигналам определить: фильм или сериал; каноническое название
-и год; для сериала — сезон(ы) и соответствие файлов сериям; при включённых
-базах — провайдер и его id. На выходе — план раскладки, оценка уверенности
-и решение «авто или review» (как оно встраивается в машину состояний —
-[workflow.md](workflow.md), состояния `recognizing`/`linking`/`review`).
-
-## Сигналы
-
-- Имя торрента и структура каталогов.
-- Список файлов с размерами и расширениями. Абсолютный путь источника
-  восстанавливаем как `save_path` из qBit (= хост-путь; `path_map` обычно
-  тождественен) + относительное имя файла из `/torrents/files`. Имя уже
-  включает корневую папку для многофайловых торрентов, поэтому префикс —
-  именно `save_path`, а не `content_path` (последний удвоил бы корневую
-  папку и сломал бы однофайловые раздачи).
-- Текстовый контекст человека (+ накопленные подсказки из review).
-- Распарсенное сообщение торрент-бота (если через Telegram): название с
-  годом, качество, переводы — см. пример в [BRIEF.md](../../BRIEF.md).
-
-**Все сигналы недоверенные** — имя торрента, сообщение бота и контекст
-управляются извне и могут содержать инъекции. Выход LLM не отвечает за
-безопасность: целевой путь всё равно санитизируется и проверяется на
-выход за пределы библиотеки (см. architecture.md → «Раскладка файлов»).
-
-## Конвейер
-
-1. **Пред-парс** имени релиза (`go-ptn`): черновые название/год/сезон/
-   серия и качество. Грубо, но бесплатно.
-2. **LLM** (через провайдер-абстракцию, см. ниже): получает сигналы и
-   пред-парс, возвращает структурированный план в нашей схеме. Хорошо
-   берёт русские релиз-имена. Длинный список файлов усекаем/семплируем под
-   контекст модели.
-3. **Сверка с базой** (если включена TMDB/TVDB/TVMaze): ищем по
-   названию+году, берём официальный id и каноническое имя, собираем
-   кандидатов. TVMaze — без ключа, только сериалы; внешний id
-   (TVDB/IMDb) из `externals` идёт в имя папки.
-4. **Оценка уверенности** и решение: авто или review.
-
-## Структура ответа LLM (предварительная)
-
-```
-type            movie | series
-title           каноническое название
-original_title  оригинальное название (если есть)
-year            год
-provider_hint   строка для поиска в базе (НЕ итоговый id)
-files[]         { src, role: main|episode|subtitle|extra|sample|ignore,
-                  season?, episode? }      # season/episode — на файл
-confidence      0..1 — самооценка модели (вспомогательный сигнал)
-notes           пояснения, неоднозначности
-```
-
-Сезон/серия — **на файле**: так выражаются мультисезонные паки,
-спецвыпуски и смешанные раскладки; отдельного скалярного `season` нет.
-`provider_hint` — только подсказка для поиска; итоговые `provider`
-(`tmdb|tvdb|tvmaze|none`) и `provider_id` появляются после сверки с базой
-и хранятся отдельно.
-
-## Провайдер LLM
-
-Доступ к LLM — за интерфейсом; реализация выбирается полем `[llm].type`
-(дискриминатор). Это позволяет подключать локальные модели и сторонние
-(в т.ч. китайские) эндпоинты — ради экономии и независимости от вендора.
-
-- Первый и пока единственный тип — **`openai-compat`**: OpenAI-совместимый
-  Chat Completions API (`base_url` + `api_key` + `model`). Подходят
-  локальные серверы (LM Studio, llama.cpp, Ollama) и облачные совместимые
-  провайдеры (DeepSeek, Qwen и др.).
-- **Структурированный вывод надёжно:** просим JSON-режим
-  (`response_format: {"type":"json_object"}`) — это поддерживают и мелкие
-  локальные модели, в отличие от строгих JSON Schema. На приёме срезаем
-  ```-ограждения и извлекаем JSON, **валидируем в Go** против нашей схемы;
-  при ошибке разбора ретраим, передавая модели саму ошибку и схему в
-  промпте, до `llm.max_retries`. Если так и не распарсилось — уходим в
-  **review** (не в `failed`) с причиной «ответ LLM не разобран».
-- Новые типы (напр. нативный `anthropic`) добавляются, не трогая
-  `recognize`.
-
-## Модель уверенности
-
-Почему авто только при матче в базе, а не по самооценке LLM —
-[ADR-2026-06-13-auto-link-requires-db-match](../adr/ADR-2026-06-13-auto-link-requires-db-match.md).
-
-Авто-раскладка — только если выполнено **всё**:
-
-1. **Подтверждённый матч в базе** — единственный сильный результат
-   TMDB/TVDB/TVMaze по названию+году, давший `provider_id`. **Нет матча (или
-   база выключена) → всегда review.** Это и закрывает основной кейс
-   (рус/аниме часто отсутствуют в базах), и снимает риск «LLM придумал».
-2. **Структурная валидация** без предупреждений:
-   - фильм: ровно один основной видеофайл (семплы/экстра/ignore отброшены);
-   - сериал: число серий бьётся с базой, нумерация S·E консистентна, без
-     пропусков, дублей и неоднозначных спецвыпусков.
-3. **Согласованность сигналов** — пред-парс (`go-ptn`) и LLM не
-   противоречат по типу/названию/году.
-
-Самооценку LLM (`confidence`) учитываем как вспомогательный сигнал, но
-**не как единственный гейт**: она плохо откалибрована и поддаётся
-инъекции. Решают матч в базе и валидация.
-
-Иначе — **review** ([review-ux.md](review-ux.md)) с явной причиной.
-
-## Что делаем с краёв
-
-- Семплы/«экстра»/мусор → роль `ignore` (эвристики размер/имя + LLM).
-- Внешние субтитры (`.srt`, `.ass`, пары VobSub `.idx`+`.sub`) привязываем
-  к видео и именуем по Jellyfin (`*.ru.srt`).
-- Сезон-паки разбираем по сериям; смешанные паки, спецвыпуски (`Season
-  00`), двойные серии (`SxxEyy-Eyy`) — через per-file season/episode;
-  любая неоднозначность → review.
-- Аниме с абсолютной нумерацией — отдельный крайний случай, см.
-  [drafts/ideas.md](../drafts/ideas.md).
-
-## На будущее
-
-`go-ptn` слабее питоновского `guessit`. Если точности пред-парса не
-хватит — завернуть `guessit` лёгким сервисом-спутником (один файл рядом с
-бинарём). См. [drafts/ideas.md](../drafts/ideas.md).

docs/specs/review-ux.md

@@ -1,151 +0,0 @@
-# Ревью раскладки человеком
-
-Что происходит, когда система не уверена в распознавании и не
-раскладывает файлы автоматически. Когда именно наступает ревью — см.
-[recognition.md](recognition.md); место состояния `review` в общем потоке —
-[workflow.md](workflow.md); конвенции целевых имён —
-[jellyfin-layout.md](jellyfin-layout.md).
-
-Главный принцип: ревью — это **петля «догадка → подсказка человека →
-перераспознавание»**, а не статичное «ок/нет». Человек остаётся
-супервизором, а не оператором ручного ввода.
-
-## Когда наступает
-
-Загрузка уходит в `review`, если сработал любой триггер модели
-уверенности: низкая самооценка LLM; нет матча в базе (или несколько
-кандидатов); структурная валидация ругается (у фильма >1 основного
-файла; число серий не бьётся с базой; дыры/дубли в нумерации S·E).
-В интерфейсе всегда видна **конкретная причина**, а не просто «не уверен».
-
-## Поверхность решения (едина для всех транспортов)
-
-1. **Источник:** имя торрента, переданный контекст, дерево файлов с
-   размерами, (если из бота) распарсенное сообщение.
-2. **Догадка системы:** тип, название, год, сезон, матч базы и
-   **превью целевой раскладки** — буквальные пути, которые создадутся.
-3. **Причина сомнения.**
-
-## Действия
-
-- **Применить** — сделать хардлинки по плану.
-- **Уточнить и перераспознать** — добавить подсказку текстом → LLM
-  перезапускается с исходными сигналами и накопленными подсказками →
-  новый план. Главный путь, когда «LLM не справился».
-- **Поправить вручную** — объём зависит от версии (см. ниже).
-- **Выбрать кандидата базы** / ввести id / «без базы».
-- **Отклонить** / **Позже**.
-
-**Подсказка vs override.** Подсказка мягкая — LLM её интерпретирует.
-Ручная правка поля — жёсткий **override**: система берёт значение как
-есть и «пиннит» его, перераспознавание не затирает уже поправленное.
-
-## Веб-UI — точные правки
-
-```
-Fargo.S02.2015.WEB-DL.1080p.rus.eng                 🟡 review
-Причины: нет в TMDB · уверенность 0.46
-
-Контекст: «второй сезон, рус+англ дорожки»  [+ добавить → 🔁 перераспознать]
-
-Тип: ( ) фильм  (•) сериал   Название: Фарго   Год: 2015   Сезон: 02
-База: [TMDB поиск…] [TVDB поиск…]   выбрано: — (без базы)   [ввести id]
-
-Файлы → серии:
- # | файл                 | размер | роль   | S  | E
- 1 | Fargo.S02E01.rus.mkv | 3.1 GB | эпизод | 02 | 01
- …                                         [нумеровать подряд] [сброс]
- 9 | sample.mkv           |  40 MB | игнор  |  – |  –
-
-Превью:
- series/Фарго (2015)/Season 02/Фарго (2015) S02E01.mkv  ← #1
-[ Применить ]   [ Отклонить ]   [ Позже ]
-```
-
-Ядро экрана для сериала — таблица «файл → серия» с живой валидацией
-дыр/дублей и кнопкой «нумеровать подряд» (частый случай: файлы по
-порядку, но подписаны криво). Для фильма проще: выбрать основной файл,
-остальное — extra/sample/субтитры/игнор.
-
-## Telegram — быстро, где пользователь и так есть
-
-```
-🟡 Нужно подтверждение
-Источник: Fargo.S02.2015.WEB-DL.1080p
-Похоже на: 📺 сериал «Фарго», сезон 2 (2015)
-База: TMDB не найдено · уверенность низкая
-План: 10 видео → series/Фарго (2015)/Season 02/…E01–E10
-
-[✅ Применить]   [📺↔🎬 Тип]
-[🔢 Выбрать в базе]   [🔁 Уточнить]
-[🌐 Открыть в вебе]   [❌ Отклонить]
-```
-
-- **🔁 Уточнить** → бот просит подсказку ответом → перераспознаёт →
-  редактирует то же сообщение новым планом. Петля коррекции прямо в чате.
-- Точечное переназначение файлов и выбор кандидата базы в чат не
-  помещаются → **🌐 В вебе** (deep-link на ту же страницу, строится из
-  `telegram.web_base_url`).
-
-> Реально в боте сейчас: ✅ Применить, 📺↔🎬 Тип, 🔁 Уточнить, 🕗 Позже,
-> 🌐 В вебе, ❌ Отклонить. Кнопки «🔢 Выбрать в базе» в чате пока нет —
-> выбор кандидата и ручной ввод id делаются в вебе.
-
-## Разделение труда
-
-Telegram = одобрить / подсказать / выбрать кандидата / эскалировать в
-веб. Веб = точные правки. Состояние ревью одно (в SQLite); команды из
-любого транспорта сериализует `worker` под per-download блокировкой —
-гонки двух транспортов нет, применяется последняя валидная команда.
-
-**Доступ.** Telegram — по `telegram.allowed_user_ids` (пусто = запрет
-всем). Веб-UI в v1 без авторизации (доверенная LAN), поэтому deep-link из
-бота ведёт на открытую страницу — приемлемо по решению; защиту навесим
-позже.
-
-## Крайние сценарии
-
-- **База неоднозначна** → выбор кандидата (часто чинит всё разом: пиннит
-  provider-id и каноническое имя).
-- **База пустая (рус/аниме)** → «без базы» или ручной id/url. Аниме с
-  абсолютной нумерацией → веб-хелпер «absolute → S·E» (см.
-  [drafts/ideas.md](../drafts/ideas.md)).
-- **Не тот тип (movie↔series)** → переключатель пересобирает форму плана.
-- **Мусор (sample/extra/дубли дорожек)** → роль «игнор».
-- **Полный провал** (LLM ничего не вытащил) → веб-«ручной режим»: выбрать
-  тип, ввести название/год, разложить файлы руками; в Telegram — сразу
-  эскалация в веб.
-
-## Вход в ревью и откат
-
-- Переход в `review` **пингует** (сообщение в Telegram / бейдж в вебе) —
-  пользователя зовут, а не он опрашивает. Таймера нет, источник
-  продолжает сидировать.
-- После «Применить» показываем, что создано. **Undo** — убрать созданные
-  хардлинки одной кнопкой (источник цел); страховка от ошибочного
-  подтверждения.
-- **«Позже»** паркует загрузку в `deferred` (вернётся в review по
-  действию), **«Отклонить»** → `cancelled` (раскладку не делаем), **undo**
-  после применения → `reverted` (удаляет только ссылки своего батча, под
-  `media`). Полная карта состояний — в [workflow.md](workflow.md).
-- После отката или отклонения доступна **«Привязать заново»**: перезапускает
-  распознавание для той же раздачи (`reverted`/`cancelled → recognizing`) и
-  снова приводит в review — раскладка всегда требует ручного подтверждения,
-  авто не делаем. Нужна, когда распознали неверно: откатил/отклонил,
-  перепривязал, поправил и применил.
-- В самом ревью, помимо **«Уточнить»** (подсказка + перераспознавание), есть
-  **«Распознать заново»** — повторный прогон распознавания без новой подсказки
-  (контекст и прежние подсказки уже учтены). Полезно, когда модель один раз
-  споткнулась на разовой ошибке.
-
-## Объём по версиям
-
-- **Ф3 (готово):** в вебе — подсказка + перераспознавание, «Распознать
-  заново», переключатель типа, выбор кандидата базы / ручной ввод id /
-  «без базы», пометка файла «игнор», «Применить»/«Отклонить»/«Позже»,
-  Undo и «Привязать заново». В Telegram — подтверждение с reply-подсказкой
-  («Уточнить»), переключатель типа, «Позже»/«Отклонить» и эскалация в веб;
-  пинги о входе в review и готовности.
-- **Ф5 (на будущее):** полный редактор маппинга «файл → серия»
-  (правка S·E, «нумеровать подряд»), ручной режим при полном провале LLM,
-  выбор кандидата базы и ввод id прямо в Telegram.

docs/specs/workflow.md

@@ -1,121 +0,0 @@
-# Жизненный цикл загрузки и машина состояний
-
-Как загрузка проходит путь от приёма источника до разложенных файлов:
-состояния, переходы и то, что их вызывает. Кто владеет переходами и общее
-устройство — в [architecture.md](architecture.md); детали распознавания —
-в [recognition.md](recognition.md); действия человека в ревью — в
-[review-ux.md](review-ux.md).
-
-## Граф состояний
-
-```mermaid
-stateDiagram-v2
-    [*] --> downloading: ingest (источник отдан в qBittorrent)
-
-    downloading --> completed: файлы на месте
-    downloading --> stuck: stalledDL дольше stuck_after
-    downloading --> failed: metaDL дольше magnet_timeout / error
-
-    completed --> recognizing
-
-    recognizing --> linking: авто (матч в базе + валидация)
-    recognizing --> review: нужно подтверждение / ответ LLM не разобран
-
-    review --> linking: Применить
-    review --> recognizing: Уточнить / Распознать заново
-    review --> deferred: Позже
-    review --> cancelled: Отклонить
-    deferred --> review: любое действие (та же поверхность)
-
-    linking --> done
-    linking --> review: коллизия цели
-    linking --> failed: ошибка ФС
-
-    done --> reverted: Undo
-
-    reverted --> recognizing: Привязать заново
-    cancelled --> recognizing: Привязать заново
-
-    stuck --> downloading: Retry
-    failed --> downloading: Retry
-
-    done --> [*]
-    cancelled --> [*]
-    reverted --> [*]
-
-    note right of cancelled
-        «Отклонить» доступно из любого
-        нетерминального состояния
-    end note
-```
-
-Условно-терминальные состояния — `done`, `cancelled`, `failed`,
-`reverted`: задача в них останавливается, но из `failed`/`stuck` есть
-**Retry**, а из `reverted`/`cancelled` — **Привязать заново**. `stuck`
-восстановимо ретраем.
-
-## Состояния и переходы
-
-- **ingest → downloading** — приняли источник + контекст, отдали в
-  qBittorrent (категория `qbittorrent.category`), записали в БД с ключом
-  идемпотентности. См. [architecture.md](architecture.md) → «Транспорты».
-- **downloading / completed** — `worker` поллит qBittorrent
-  (`worker.poll_interval`, 5 с). Готовность — только когда файлы на месте
-  (не `moving`/`checking*`), см. «Завершение в qBittorrent» ниже.
-- **recognizing** — `recognize` строит план и оценку уверенности
-  ([recognition.md](recognition.md)). Невалидный/непарсящийся ответ LLM →
-  review (не failed).
-- **review** — план уходит человеку ([review-ux.md](review-ux.md)); цикл
-  `review ⇄ recognizing` — перераспознавание по подсказке. «Уточнить» —
-  подсказка + перераспознавание; «Распознать заново» — повторный прогон
-  без новой подсказки, по уже накопленному контексту и подсказкам.
-- **deferred** — «Позже» паркует задачу; принимает те же команды, что и
-  `review`, и возвращается в поверхность ревью по любому действию.
-- **linking** — `layout` создаёт хардлинки; идемпотентно, батчем. Коллизия
-  цели возвращает в review, ошибка ФС → failed. См.
-  [architecture.md](architecture.md) → «Раскладка файлов».
-- **done** — при входе неблокирующе дёргаем пересканирование Jellyfin
-  (опц., см. [architecture.md](architecture.md) → «Пересканирование
-  Jellyfin»); доступен **Undo** → `reverted` (убрать созданные ссылки).
-- **stuck / failed / cancelled** — не качается дольше таймаута; ошибка
-  (ретраибельна); «Отклонить».
-- **reverted / cancelled → recognizing** — «Привязать заново»: после
-  отката или отклонения можно перезапустить распознавание для той же
-  раздачи. Перепривязка всегда идёт через review с ручным подтверждением
-  (авто-раскладку не делаем) и требует, чтобы раздача всё ещё была в
-  qBittorrent.
-
-Все переходы и команды идут через `worker` под per-download блокировкой —
-два транспорта не гонятся за одно состояние. Состояние персистентно в
-SQLite; `worker` периодически сверяет qBittorrent с БД и **усыновляет**
-раздачи с нашей категорией (`qbittorrent.category`) **или** тегом
-(`qbittorrent.tag`), которых ещё нет в БД, заводя для них задачу в
-состоянии `downloading`. Категория ставится на добавляемые нами раздачи
-(push, задаёт savepath); тег позволяет подхватить уже существующую
-раздачу, не трогая её категорию и файлы (pull).
-
-## Завершение в qBittorrent
-
-`worker` опрашивает qBittorrent и сопоставляет его состояния с нашими:
-
-- **готово к раскладке:** `uploading`/`stalledUP`/`pausedUP`/`stoppedUP`/
-  `queuedUP`/`forcedUP` (имена `paused*`/`stopped*` различаются между qBit
-  v4 и v5 — поддержаны оба).
-- **переходное, ждём:** `moving`/`checkingUP`/`checkingResumeData`/
-  `allocating` — остаёмся в `downloading`, пока qBit не закончит перенос/
-  проверку (готовность не объявляем, даже если флаги «UP»).
-- **ещё качается:** `downloading`/`stalledDL`/`metaDL`/`forcedMetaDL`/
-  `queuedDL`/`checkingDL`/`forcedDL`/`pausedDL`/`stoppedDL`.
-- **застряло/ошибка по таймауту:** `metaDL`/`forcedMetaDL` дольше
-  `magnet_timeout` → `failed`; `stalledDL` дольше `stuck_after` → `stuck`
-  (восстановимо ретраем). Возраст считаем от создания задачи.
-- **ошибка:** `error`/`missingFiles` → `failed`.
-
-Пути файлов берём из API (`save_path` + относительные имена из
-`/torrents/files`, уже включающие корневую папку торрента), не из
-константы (обычно это уже хост-путь). «Incomplete»-каталог в
-qBittorrent **включён** (`/srv/media/incomplete`): пока качается — файлы
-там, по завершении qBit переносит их в `/srv/media/downloads` (состояние
-`moving` — дожидаемся окончания переноса и только потом берём финальный
-путь). Подробнее о путях и песочнице — [architecture.md](architecture.md)
-→ «Пути и контейнеры».

docs/todo.md

@@ -1,291 +0,0 @@
-# TODO
-
-Конкретные задачи на будущее, ранжированные по приоритету. Это не план
-реализации (он — в [drafts/roadmap.md](drafts/roadmap.md)) и не свалка
-идей ([drafts/ideas.md](drafts/ideas.md)): сюда попадает то, что уже решили
-сделать, но ещё не сделали. Принятое и реализованное переезжает в
-`docs/specs`/`docs/adr`.
-
-Приоритет — грубая оценка «ценность / стоимость», не обязательство к
-порядку.
-
-## Высокий
-
-### Проблема второго сезона
-
-Если первый сезон сериала уже разложен, а мы добавляем второй/третий/…,
-распознавание должно привязать новый сезон к **тому же** названию и папке,
-а не завести рядом почти одинаковую вторую папку. Ключ — стабильный
-`provider_id`: один и тот же `[tvdbid-…]` → одна папка сериала, новые
-`Season NN` доливаются внутрь. Нужно: при матче учитывать уже существующие
-в библиотеке сериалы (или прошлые распознавания с тем же провайдер-id) и
-склонять LLM/выбор кандидата к согласованности с ними.
-
-Связано: [recognition.md](specs/recognition.md) (модель уверенности,
-матч в базе), [jellyfin-layout.md](specs/jellyfin-layout.md) (папка
-сериала с провайдер-id).
-
-### Рассинхрон состояния с реальностью (удалённый торрент / файлы)
-
-Состояние jellybit может разойтись с тем, что реально лежит на диске.
-Несколько сценариев разной остроты:
-
-- **Жёсткий — удалён источник.** Раздачу удаляют (вручную или авто по
-  достижении seed limit), и qBittorrent стирает скачанные файлы. Тогда
-  хардлинк в библиотеке становится **последней** ссылкой на inode, и
-  обычный `undo` (`unlink` цели + чистка пустых каталогов) сотрёт
-  единственную копию насовсем — прямая потеря данных. Инвариант «источник
-  неприкосновенен» молчаливо перестаёт держаться: источника уже нет.
-- **Мягкий — удалена цель.** Файлы убрали из библиотеки Jellyfin (вручную
-  или из самого Jellyfin), а jellybit по-прежнему числит загрузку в
-  `done`. Состояние врёт: ссылок уже нет, а сервис думает, что всё
-  разложено.
-
-Нужно продумать сверку записанного состояния (`file_link`, состояние
-загрузки) с фактом на ФС:
-
-- как `worker` реагирует на исчезновение раздачи из qBittorrent
-  (состояние/пометка загрузки);
-- как `undo` защищается, когда источник недоступен — например,
-  отказываться удалять, если у целевого файла счётчик ссылок == 1 (нет
-  второй копии) или исходный путь не существует, и явно об этом сообщать.
-  Откат снимает **лишний** хардлинк, а не последнюю копию файла;
-- как ловить пропажу целевых файлов и отражать её в состоянии (напр.
-  периодическая сверка или проверка при показе — «разложено, но файлов
-  нет»), чтобы можно было осознанно перепривязать/переразложить.
-
-Связано: [ADR-2026-06-13-hardlinks](adr/ADR-2026-06-13-hardlinks.md),
-[architecture.md](specs/architecture.md) → «Раскладка файлов» (undo,
-инвариант источника), [workflow.md](specs/workflow.md) (`done → reverted`).
-
-### Наблюдаемость: метрики и учёт стоимости LLM
-
-Сейчас единственное окно в систему — `slog`. Нет быстрых ответов на
-вопросы «сколько задач висит в review», «сколько токенов и денег съело
-распознавание», «какова медиана времени ingest → done». Нужны метрики:
-эндпоинт `/metrics` (Prometheus-формат) со счётчиками загрузок по
-состояниям, длительностями стадий и расходом LLM (токены/стоимость на
-задачу).
-
-**Расход LLM уже снимается с провода** — `llm.openai` парсит `usage`
-(prompt/completion/total tokens и `cost`, который отдаёт шлюз) в
-`llm.Response.Usage` и пишет в лог. Не хватает только **персистентности и
-отображения**: сохранять `usage` у попытки распознавания (`recognition`) и
-показывать в карточке загрузки + агрегатом в `/metrics`. Где провайдер не
-шлёт `cost` — считать из токенов по таблице «модель → цена» в конфиге.
-
-Отдельный LLM-прокси (LiteLLM и т.п.) для этого **не нужен** и противоречит
-принципам «один бинарь» / «минимум компонентов»: подсчёт токенов уже в коде,
-а роль мульти-модельного шлюза играет используемый OpenAI-совместимый
-эндпоинт (он и возвращает `cost`); разные модели подключаются сменой
-`[llm].model` или новым типом провайдера за интерфейсом `llm.Provider`.
-
-Связано: [architecture.md](specs/architecture.md) → «Логирование»,
-[recognition.md](specs/recognition.md) (провайдер LLM, `[llm].type`),
-пакеты `worker`, `llm`, `httpapi`.
-
-### Ретеншн и очистка БД
-
-Терминальные задачи (`done`/`cancelled`/`failed`/`reverted`), их попытки
-`recognition` с сырыми ответами LLM и `metadata_candidate` копятся вечно —
-со временем БД и список загрузок распухают и становятся нечитаемыми. Нужна
-авточистка старше N дней (с настройкой в `[storage]` или `[worker]`) и/или
-ручное удаление. Маленькая задача, но без неё интерфейс деградирует по мере
-эксплуатации.
-
-Связано: [architecture.md](specs/architecture.md) → «Хранилище» (таблицы
-`download`/`recognition`/`metadata_candidate`/`file_link`), пакет `store`.
-
-### Eval-харнес распознавания (корпус кейсов + метрика точности)
-
-Распознавание — ядро продукта, но смена модели или правка промпта сейчас
-вслепую: регрессий не видно. Нужен корпус размеченных кейсов (русские
-релизы, аниме, сезон-паки, репаки, спецвыпуски) и прогон распознавания по
-нему с метрикой точности (тип/название/год/нумерация). Тогда можно
-сравнивать LLM-провайдеры и версии промпта по числам, а не на ощупь.
-Прогон — отдельной командой (`jellybit eval` или тестом), на фикстурах, без
-реального qBittorrent.
-
-Связано: [recognition.md](specs/recognition.md) (конвейер, модель
-уверенности), пакет `recognize`.
-
-## Средний
-
-### Машина состояний на go-библиотеке
-
-Сейчас FSM реализована вручную в `worker`. Выбрать подходящую go-библиотеку
-для описания воркфлоу/машины состояний и перевести переходы на неё — ради
-декларативности, проверяемости переходов и единого места правды. Кандидаты
-для оценки: `looplab/fsm`, `qmuntal/stateless` (и аналоги). Граф и переходы
-уже формализованы — переносим один в один.
-
-Связано: [workflow.md](specs/workflow.md) (текущий граф состояний).
-
-### Привязка уведомлений к источнику в ботах (мульти-бот)
-
-Уведомления и запросы подтверждения должен получать тот, кто прислал
-загрузку: автор сообщения о новой раздаче — адресат пингов и ревью по ней.
-Транспортов-ботов может быть несколько (Telegram, в перспективе Matrix и
-др.); каждый адресует «своему» отправителю. Веб-интерфейс остаётся
-**единым для всех** и точкой правды по функциональности (боты — тонкие
-адаптеры над тем же ядром). Нужно: хранить у загрузки источник/транспорт и
-идентификатор отправителя, маршрутизировать пинги по нему.
-
-Связано: [review-ux.md](specs/review-ux.md) (разделение труда транспортов,
-веб = точные правки), [architecture.md](specs/architecture.md) →
-«Транспорты».
-
-### Раздачи с докачиванием (слияние при повторном добавлении)
-
-Свежий сериал часто раздают по мере выхода: торрент содержит 5 эпизодов из
-10. Позже его перезаливают целиком (или добавляют недостающие серии), и
-пользователь повторно добавляет тот же торрент. Нужно распознать, что это
-**та же** раздача/сезон, и повторить раскладку с **слиянием**: доложить
-недостающие хардлинки, не дублируя уже разложенное и не перезаписывая
-существующее (инвариант «существующее не трогаем»). Перекликается с
-«Проблемой второго сезона», но здесь доливаются эпизоды внутри одного
-сезона, а не новый сезон. Нужно продумать: как опознать повторное
-добавление (хеш торрента / провайдер-id + сезон), как сверять состав файлов
-и доливать только новые.
-
-Связано: [«Проблема второго сезона»](#проблема-второго-сезона),
-[jellyfin-layout.md](specs/jellyfin-layout.md) (раскладка, идемпотентность),
-[workflow.md](specs/workflow.md) (повторный прогон загрузки).
-
-### Улучшения UI клиентов: показывать матч с записью метабазы
-
-Во всех транспортах (веб, Telegram) показывать, **с какой именно записью**
-метабазы (TMDB/TVDB) сматчилась загрузка: название, год, провайдер-id,
-ссылку. Сейчас результат распознавания непрозрачен — пользователь не видит,
-к чему привязались, и не может быстро поймать ошибочный матч.
-
-Связано: [review-ux.md](specs/review-ux.md), [recognition.md](specs/recognition.md)
-(матч в базе), [architecture.md](specs/architecture.md) → «Транспорты».
-
-### Добавление торрентов файлом/ссылкой — «единое окно»
-
-Поддержать источники помимо magnet: `.torrent`-файл и URL (отдаём их в
-qBittorrent, без исходящих запросов на пользовательский URL — SSRF
-исключён). Идеал — одно поле «единого окна»: кидаем туда текст или файл, а
-сервис сам разбирает, что это (magnet / ссылка / .torrent / сообщение
-бота), и заводит загрузку.
-
-Связано: [architecture.md](specs/architecture.md) → «Транспорты»
-(`source_type = magnet|torrent|url` уже в схеме), пакет `ingest` (сейчас
-поддержан только magnet).
-
-### Бэкап SQLite
-
-`architecture.md` требует «бекапить data-том», но *как* — не описано. Без
-понятной стратегии сбой или редеплой стирают всё in-flight состояние.
-Зафиксировать решение и реализовать: периодический `VACUUM INTO` в
-`/data/backups` по расписанию (с ротацией) либо потоковая репликация
-(litestream). Лучше сделать, пока БД маленькая.
-
-Связано: [architecture.md](specs/architecture.md) → «Деплой» (data-том,
-«бекапить-и-не-терять»), пакет `store`.
-
-### Версии/качество одного тайтла (репаки, апгрейд 1080p → 2160p)
-
-Фильм уже разложен, позже добавили раздачу лучшего качества — сейчас это
-просто новая задача, упирающаяся в «коллизию цели → review», без понятия
-«это та же вещь, заменить версию». Нужно осознанно обработать апгрейд
-качества: распознать тот же тайтл, предложить замену существующей раскладки
-либо сосуществование версий (Jellyfin поддерживает несколько версий одного
-фильма). Близко к «докачиванию», но про качество, а не про эпизоды.
-
-Связано: [«Раздачи с докачиванием»](#раздачи-с-докачиванием-слияние-при-повторном-добавлении),
-[jellyfin-layout.md](specs/jellyfin-layout.md) (never-overwrite, коллизия),
-[architecture.md](specs/architecture.md) → «Идентификация торрента»
-(репаки = разные infohash → разные задачи).
-
-### Глубокий healthcheck и статус зависимостей
-
-`/healthz` проверяет только сам сервис. Если qBittorrent, LLM или метабаза
-недоступны — узнаёшь лишь по застрявшим задачам. Нужна readiness-проверка
-ключевых зависимостей и отражение их состояния в UI (бейдж «qBittorrent
-недоступен»), чтобы причина простоя была видна сразу.
-
-Связано: [architecture.md](specs/architecture.md) → «Деплой» (healthcheck),
-пакеты `qbt`, `llm`, `metadata`, `httpapi`.
-
-### Обучение на правках человека (few-shot из прошлых ревью)
-
-Когда человек поправил матч, тип или нумерацию — сохранять это как пример и
-подмешивать похожие в будущие промпты. Системно повышает точность на «твоих»
-трекерах и форматах имён без смены модели. Развитие идеи многоступенчатой
-верификации, но дешевле: учимся на уже собранных `hint`/`override`.
-
-Связано: [recognition.md](specs/recognition.md) (конвейер, промпт),
-[«Многоступенчатая верификация»](#многоступенчатая-верификация-привязки-тема-для-размышления),
-[architecture.md](specs/architecture.md) → «Хранилище» (`hint`, `override`).
-
-### Список загрузок: фильтр, поиск, пагинация
-
-Прямое следствие роста БД (см. «Ретеншн»): плоский список загрузок со
-временем становится непригоден. Нужны фильтр по состоянию, поиск по
-названию и пагинация. Естественно ложится на экран расширенной информации.
-
-Связано: [«Расширенная информация о загрузке в web-UI»](#расширенная-информация-о-загрузке-в-web-ui),
-пакет `httpapi`.
-
-## Низкий
-
-### Многоступенчатая верификация привязки (тема для размышления)
-
-Идея: несколько раз извлекать данные из раздачи и контекста разными
-промптами, искать в метабазах, затем сводить результаты в общий вердикт
-(голосование/консенсус) — выше точность ценой нескольких вызовов LLM и
-запросов к базам. Требует проработки: когда включать, как мерджить
-расхождения, стоимость/латентность.
-
-Связано: [recognition.md](specs/recognition.md) (конвейер и модель
-уверенности).
-
-### Расширенная информация о загрузке в web-UI
-
-Экран просмотра деталей одной загрузки: исходный контекст и magnet, лог
-переходов состояний, распознанные данные и матч в метабазе (см. «показывать
-матч»), целевые пути и созданные хардлинки. Помогает разбираться, когда
-что-то пошло не так, без чтения логов сервера.
-
-Связано: [review-ux.md](specs/review-ux.md), пакет `httpapi`.
-
-### Выбор из нескольких находок метабазы в Telegram
-
-Когда распознавание даёт несколько подходящих кандидатов в метабазе,
-предлагать их в Telegram списком (кнопки) для ручного выбора, а не молча
-брать первый/лучший. Веб остаётся точкой точных правок, бот — быстрый выбор
-из готового короткого списка.
-
-Связано: [review-ux.md](specs/review-ux.md) (боты — быстрые действия, веб —
-точные правки), [recognition.md](specs/recognition.md) (кандидаты матча).
-
-### Проверка свободного места перед copy-fallback
-
-Когда хардлинк невозможен (`EXDEV`/`ENOTSUP`/…), `layout` копирует файл,
-дублируя место на диске. На забитом диске это упрётся в полку посреди
-раскладки. Перед копированием проверять доступное место и при нехватке
-внятно уходить в `failed` с понятной причиной, а не падать на полпути.
-
-Связано: [architecture.md](specs/architecture.md) → «Раскладка файлов»
-(фолбэк-копирование), пакет `layout`.
-
-### Кэш метабаз (и опционально LLM)
-
-Повторные и ретраящиеся прогоны распознавания бьют TMDB/TVDB/TVMaze одним и
-тем же запросом. Кэш ответов с TTL экономит лимиты API и ускоряет «Распознать
-заново»/«Уточнить». При желании — кэш ответов LLM по хешу входа (но он менее
-полезен, т.к. вход меняется подсказками).
-
-Связано: [recognition.md](specs/recognition.md) (сверка с базой), пакеты
-`metadata`, `llm`.
-
-### Современный Web-UI как PWA
-
-Переделать веб-интерфейс в современное PWA-приложение (устанавливаемое,
-отзывчивое, удобное с телефона). Текущий server-rendered UI функционален,
-поэтому это улучшение, а не блокер; большой объём работы.
-
-Связано: [review-ux.md](specs/review-ux.md) (веб = точные правки),
-пакет `httpapi`.

go.mod

@@ -2,28 +2,45 @@ module git.vakhrushev.me/av/jellybit
 
 go 1.26
 
+toolchain go1.26.5
+
 require (
+	github.com/anacrolix/torrent v1.61.0
 	github.com/go-chi/chi/v5 v5.1.0
 	github.com/go-telegram-bot-api/telegram-bot-api/v5 v5.5.1
 	github.com/jmoiron/sqlx v1.4.0
 	github.com/middelink/go-parse-torrent-name v0.0.0-20190301154245-3ff4efacd4c4
+	github.com/oklog/ulid/v2 v2.1.1
 	github.com/pelletier/go-toml/v2 v2.2.3
 	github.com/pressly/goose/v3 v3.22.1
 	modernc.org/sqlite v1.34.1
 )
 
 require (
+	github.com/anacrolix/generics v0.1.1-0.20251125230353-15d98d46693b // indirect
+	github.com/anacrolix/missinggo v1.3.0 // indirect
+	github.com/anacrolix/missinggo/v2 v2.10.0 // indirect
 	github.com/dustin/go-humanize v1.0.1 // indirect
 	github.com/google/uuid v1.6.0 // indirect
 	github.com/hashicorp/golang-lru/v2 v2.0.7 // indirect
+	github.com/huandu/xstrings v1.3.2 // indirect
+	github.com/klauspost/cpuid/v2 v2.2.3 // indirect
 	github.com/mattn/go-isatty v0.0.20 // indirect
 	github.com/mfridman/interpolate v0.0.2 // indirect
+	github.com/minio/sha256-simd v1.0.0 // indirect
+	github.com/mr-tron/base58 v1.2.0 // indirect
+	github.com/multiformats/go-multihash v0.2.3 // indirect
+	github.com/multiformats/go-varint v0.0.6 // indirect
 	github.com/ncruces/go-strftime v0.1.9 // indirect
 	github.com/remyoudompheng/bigfft v0.0.0-20230129092748-24d4a6f8daec // indirect
 	github.com/sethvargo/go-retry v0.3.0 // indirect
+	github.com/spaolacci/murmur3 v1.1.0 // indirect
 	go.uber.org/multierr v1.11.0 // indirect
-	golang.org/x/sync v0.8.0 // indirect
-	golang.org/x/sys v0.25.0 // indirect
+	golang.org/x/crypto v0.44.0 // indirect
+	golang.org/x/exp v0.0.0-20251113190631-e25ba8c21ef6 // indirect
+	golang.org/x/sync v0.18.0 // indirect
+	golang.org/x/sys v0.38.0 // indirect
+	lukechampine.com/blake3 v1.1.6 // indirect
 	modernc.org/gc/v3 v3.0.0-20240107210532-573471604cb6 // indirect
 	modernc.org/libc v1.55.3 // indirect
 	modernc.org/mathutil v1.6.0 // indirect

go.sum

@@ -1,60 +1,339 @@
+cloud.google.com/go v0.26.0/go.mod h1:aQUYkXzVsufM+DwF1aE+0xfcU+56JwCaLick0ClmMTw=
+cloud.google.com/go v0.34.0/go.mod h1:aQUYkXzVsufM+DwF1aE+0xfcU+56JwCaLick0ClmMTw=
+crawshaw.io/iox v0.0.0-20181124134642-c51c3df30797/go.mod h1:sXBiorCo8c46JlQV3oXPKINnZ8mcqnye1EkVkqsectk=
+crawshaw.io/sqlite v0.3.2/go.mod h1:igAO5JulrQ1DbdZdtVq48mnZUBAPOeFzer7VhDWNtW4=
 filippo.io/edwards25519 v1.1.0 h1:FNf4tywRC1HmFuKW5xopWpigGjJKiJSV0Cqo0cJWDaA=
 filippo.io/edwards25519 v1.1.0/go.mod h1:BxyFTGdWcka3PhytdK4V28tE5sGfRvvvRV7EaN4VDT4=
+github.com/BurntSushi/toml v0.3.1/go.mod h1:xHWCNGjB5oqiDr8zfno3MHue2Ht5sIBksp03qcyfWMU=
+github.com/RoaringBitmap/roaring v0.4.7/go.mod h1:8khRDP4HmeXns4xIj9oGrKSz7XTQiJx2zgh7AcNke4w=
+github.com/RoaringBitmap/roaring v0.4.17/go.mod h1:D3qVegWTmfCaX4Bl5CrBE9hfrSrrXIr8KVNvRsDi1NI=
+github.com/RoaringBitmap/roaring v0.4.23/go.mod h1:D0gp8kJQgE1A4LQ5wFLggQEyvDi06Mq5mKs52e1TwOo=
+github.com/Shopify/sarama v1.19.0/go.mod h1:FVkBWblsNy7DGZRfXLU0O9RCGt5g3g3yEuWXgklEdEo=
+github.com/Shopify/toxiproxy v2.1.4+incompatible/go.mod h1:OXgGpZ6Cli1/URJOF1DMxUHB2q5Ap20/P/eIdh4G0pI=
+github.com/alecthomas/template v0.0.0-20160405071501-a0175ee3bccc/go.mod h1:LOuyumcjzFXgccqObfd/Ljyb9UuFJ6TxHnclSeseNhc=
+github.com/alecthomas/template v0.0.0-20190718012654-fb15b899a751/go.mod h1:LOuyumcjzFXgccqObfd/Ljyb9UuFJ6TxHnclSeseNhc=
+github.com/alecthomas/units v0.0.0-20151022065526-2efee857e7cf/go.mod h1:ybxpYRFXyAe+OPACYpWeL0wqObRcbAqCMya13uyzqw0=
+github.com/alecthomas/units v0.0.0-20190717042225-c3de453c63f4/go.mod h1:ybxpYRFXyAe+OPACYpWeL0wqObRcbAqCMya13uyzqw0=
+github.com/anacrolix/dht/v2 v2.23.0 h1:EuD17ykTTEkAMPLjBsS5QjGOwuBgLTdQhds6zPAjeVY=
+github.com/anacrolix/dht/v2 v2.23.0/go.mod h1:seXRz6HLw8zEnxlysf9ye2eQbrKUmch6PyOHpe/Nb/U=
+github.com/anacrolix/envpprof v0.0.0-20180404065416-323002cec2fa/go.mod h1:KgHhUaQMc8cC0+cEflSgCFNFbKwi5h54gqtVn8yhP7c=
+github.com/anacrolix/envpprof v1.0.0/go.mod h1:KgHhUaQMc8cC0+cEflSgCFNFbKwi5h54gqtVn8yhP7c=
+github.com/anacrolix/envpprof v1.1.0/go.mod h1:My7T5oSqVfEn4MD4Meczkw/f5lSIndGAKu/0SM/rkf4=
+github.com/anacrolix/generics v0.1.1-0.20251125230353-15d98d46693b h1:Kuvx/A/TTJuT9x8mn7DeGx2KW9tWn1LI8bira67xdT0=
+github.com/anacrolix/generics v0.1.1-0.20251125230353-15d98d46693b/go.mod h1:NGehhfeXJPBujPx0s6cstSj8B+TERsTY32Xckfx5ftc=
+github.com/anacrolix/log v0.3.0/go.mod h1:lWvLTqzAnCWPJA08T2HCstZi0L1y2Wyvm3FJgwU9jwU=
+github.com/anacrolix/log v0.6.0/go.mod h1:lWvLTqzAnCWPJA08T2HCstZi0L1y2Wyvm3FJgwU9jwU=
+github.com/anacrolix/missinggo v1.1.0/go.mod h1:MBJu3Sk/k3ZfGYcS7z18gwfu72Ey/xopPFJJbTi5yIo=
+github.com/anacrolix/missinggo v1.1.2-0.20190815015349-b888af804467/go.mod h1:MBJu3Sk/k3ZfGYcS7z18gwfu72Ey/xopPFJJbTi5yIo=
+github.com/anacrolix/missinggo v1.2.1/go.mod h1:J5cMhif8jPmFoC3+Uvob3OXXNIhOUikzMt+uUjeM21Y=
+github.com/anacrolix/missinggo v1.3.0 h1:06HlMsudotL7BAELRZs0yDZ4yVXsHXGi323QBjAVASw=
+github.com/anacrolix/missinggo v1.3.0/go.mod h1:bqHm8cE8xr+15uVfMG3BFui/TxyB6//H5fwlq/TeqMc=
+github.com/anacrolix/missinggo/perf v1.0.0/go.mod h1:ljAFWkBuzkO12MQclXzZrosP5urunoLS0Cbvb4V0uMQ=
+github.com/anacrolix/missinggo/v2 v2.2.0/go.mod h1:o0jgJoYOyaoYQ4E2ZMISVa9c88BbUBVQQW4QeRkNCGY=
+github.com/anacrolix/missinggo/v2 v2.5.1/go.mod h1:WEjqh2rmKECd0t1VhQkLGTdIWXO6f6NLjp5GlMZ+6FA=
+github.com/anacrolix/missinggo/v2 v2.10.0 h1:pg0iO4Z/UhP2MAnmGcaMtp5ZP9kyWsusENWN9aolrkY=
+github.com/anacrolix/missinggo/v2 v2.10.0/go.mod h1:nCRMW6bRCMOVcw5z9BnSYKF+kDbtenx+hQuphf4bK8Y=
+github.com/anacrolix/multiless v0.4.0 h1:lqSszHkliMsZd2hsyrDvHOw4AbYWa+ijQ66LzbjqWjM=
+github.com/anacrolix/multiless v0.4.0/go.mod h1:zJv1JF9AqdZiHwxqPgjuOZDGWER6nyE48WBCi/OOrMM=
+github.com/anacrolix/stm v0.2.0/go.mod h1:zoVQRvSiGjGoTmbM0vSLIiaKjWtNPeTvXUSdJQA4hsg=
+github.com/anacrolix/tagflag v0.0.0-20180109131632-2146c8d41bf0/go.mod h1:1m2U/K6ZT+JZG0+bdMK6qauP49QT4wE5pmhJXOKKCHw=
+github.com/anacrolix/tagflag v1.0.0/go.mod h1:1m2U/K6ZT+JZG0+bdMK6qauP49QT4wE5pmhJXOKKCHw=
+github.com/anacrolix/tagflag v1.1.0/go.mod h1:Scxs9CV10NQatSmbyjqmqmeQNwGzlNe0CMUMIxqHIG8=
+github.com/anacrolix/torrent v1.61.0 h1:vxo+B4SwnoP5AQWbhvnTYIaTgPSX+llYUVuQVsN4Jg8=
+github.com/anacrolix/torrent v1.61.0/go.mod h1:yKUKuZSSDdyOsCbuH+rDOpswl/g546gICapdrU7aUmQ=
+github.com/apache/thrift v0.12.0/go.mod h1:cp2SuWMxlEZw2r+iP2GNCdIi4C1qmUzdZFSVb+bacwQ=
+github.com/benbjohnson/immutable v0.2.0/go.mod h1:uc6OHo6PN2++n98KHLxW8ef4W42ylHiQSENghE1ezxI=
+github.com/beorn7/perks v0.0.0-20180321164747-3a771d992973/go.mod h1:Dwedo/Wpr24TaqPxmxbtue+5NUziq4I4S80YR8gNf3Q=
+github.com/beorn7/perks v1.0.0/go.mod h1:KWe93zE9D1o94FZ5RNwFwVgaQK1VOXiVxmqh+CedLV8=
+github.com/beorn7/perks v1.0.1/go.mod h1:G2ZrVWU2WbWT9wwq4/hrbKbnv/1ERSJQ0ibhJ6rlkpw=
+github.com/bradfitz/iter v0.0.0-20140124041915-454541ec3da2/go.mod h1:PyRFw1Lt2wKX4ZVSQ2mk+PeDa1rxyObEDlApuIsUKuo=
+github.com/bradfitz/iter v0.0.0-20190303215204-33e6a9893b0c/go.mod h1:PyRFw1Lt2wKX4ZVSQ2mk+PeDa1rxyObEDlApuIsUKuo=
+github.com/bradfitz/iter v0.0.0-20191230175014-e8f45d346db8 h1:GKTyiRCL6zVf5wWaqKnf+7Qs6GbEPfd4iMOitWzXJx8=
+github.com/bradfitz/iter v0.0.0-20191230175014-e8f45d346db8/go.mod h1:spo1JLcs67NmW1aVLEgtA8Yy1elc+X8y5SRW1sFW4Og=
+github.com/cespare/xxhash/v2 v2.1.1/go.mod h1:VGX0DQ3Q6kWi7AoAeZDth3/j3BFtOZR5XLFGgcrjCOs=
+github.com/client9/misspell v0.3.4/go.mod h1:qj6jICC3Q7zFZvVWo7KLAzC3yx5G7kyvSDkc90ppPyw=
+github.com/davecgh/go-spew v1.1.0/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
 github.com/davecgh/go-spew v1.1.1 h1:vj9j/u1bqnvCEfJOwUhtlOARqs3+rkHYY13jYWTU97c=
 github.com/davecgh/go-spew v1.1.1/go.mod h1:J7Y8YcW2NihsgmVo/mv3lAwl/skON4iLHjSsI+c5H38=
+github.com/docopt/docopt-go v0.0.0-20180111231733-ee0de3bc6815/go.mod h1:WwZ+bS3ebgob9U8Nd0kOddGdZWjyMGR8Wziv+TBNwSE=
+github.com/dustin/go-humanize v0.0.0-20180421182945-02af3965c54e/go.mod h1:HtrtbFcZ19U5GC7JDqmcUSB87Iq5E25KnS6fMYU6eOk=
+github.com/dustin/go-humanize v1.0.0/go.mod h1:HtrtbFcZ19U5GC7JDqmcUSB87Iq5E25KnS6fMYU6eOk=
 github.com/dustin/go-humanize v1.0.1 h1:GzkhY7T5VNhEkwH0PVJgjz+fX1rhBrR7pRT3mDkpeCY=
 github.com/dustin/go-humanize v1.0.1/go.mod h1:Mu1zIs6XwVuF/gI1OepvI0qD18qycQx+mFykh5fBlto=
+github.com/eapache/go-resiliency v1.1.0/go.mod h1:kFI+JgMyC7bLPUVY133qvEBtVayf5mFgVsvEsIPBvNs=
+github.com/eapache/go-xerial-snappy v0.0.0-20180814174437-776d5712da21/go.mod h1:+020luEh2TKB4/GOp8oxxtq0Daoen/Cii55CzbTV6DU=
+github.com/eapache/queue v1.1.0/go.mod h1:6eCeP0CKFpHLu8blIFXhExK/dRa7WDZfr6jVFPTqq+I=
+github.com/frankban/quicktest v1.14.6 h1:7Xjx+VpznH+oBnejlPUj8oUpdxnVs4f8XU8WnHkI4W8=
+github.com/frankban/quicktest v1.14.6/go.mod h1:4ptaffx2x8+WTWXmUCuVU6aPUX1/Mz7zb5vbUoiM6w0=
+github.com/fsnotify/fsnotify v1.4.7/go.mod h1:jwhsz4b93w/PPRr/qN1Yymfu8t87LnFCMoQvtojpjFo=
+github.com/glycerine/go-unsnap-stream v0.0.0-20180323001048-9f0cb55181dd/go.mod h1:/20jfyN9Y5QPEAprSgKAUr+glWDY39ZiUEAYOEv5dsE=
+github.com/glycerine/go-unsnap-stream v0.0.0-20181221182339-f9677308dec2/go.mod h1:/20jfyN9Y5QPEAprSgKAUr+glWDY39ZiUEAYOEv5dsE=
+github.com/glycerine/go-unsnap-stream v0.0.0-20190901134440-81cf024a9e0a/go.mod h1:/20jfyN9Y5QPEAprSgKAUr+glWDY39ZiUEAYOEv5dsE=
+github.com/glycerine/goconvey v0.0.0-20180728074245-46e3a41ad493/go.mod h1:Ogl1Tioa0aV7gstGFO7KhffUsb9M4ydbEbbxpcEDc24=
+github.com/glycerine/goconvey v0.0.0-20190315024820-982ee783a72e/go.mod h1:Ogl1Tioa0aV7gstGFO7KhffUsb9M4ydbEbbxpcEDc24=
+github.com/glycerine/goconvey v0.0.0-20190410193231-58a59202ab31/go.mod h1:Ogl1Tioa0aV7gstGFO7KhffUsb9M4ydbEbbxpcEDc24=
 github.com/go-chi/chi/v5 v5.1.0 h1:acVI1TYaD+hhedDJ3r54HyA6sExp3HfXq7QWEEY/xMw=
 github.com/go-chi/chi/v5 v5.1.0/go.mod h1:DslCQbL2OYiznFReuXYUmQ2hGd1aDpCnlMNITLSKoi8=
+github.com/go-kit/kit v0.8.0/go.mod h1:xBxKIO96dXMWWy0MnWVtmwkA9/13aqxPnvrjFYMA2as=
+github.com/go-kit/kit v0.9.0/go.mod h1:xBxKIO96dXMWWy0MnWVtmwkA9/13aqxPnvrjFYMA2as=
+github.com/go-logfmt/logfmt v0.3.0/go.mod h1:Qt1PoO58o5twSAckw1HlFXLmHsOX5/0LbT9GBnD5lWE=
+github.com/go-logfmt/logfmt v0.4.0/go.mod h1:3RMwSq7FuexP4Kalkev3ejPJsZTpXXBr9+V4qmtdjCk=
+github.com/go-quicktest/qt v1.101.0 h1:O1K29Txy5P2OK0dGo59b7b0LR6wKfIhttaAhHUyn7eI=
+github.com/go-quicktest/qt v1.101.0/go.mod h1:14Bz/f7NwaXPtdYEgzsx46kqSxVwTbzVZsDC26tQJow=
 github.com/go-sql-driver/mysql v1.8.1 h1:LedoTUt/eveggdHS9qUFC1EFSa8bU2+1pZjSRpvNJ1Y=
 github.com/go-sql-driver/mysql v1.8.1/go.mod h1:wEBSXgmK//2ZFJyE+qWnIsVGmvmEKlqwuVSjsCm7DZg=
+github.com/go-stack/stack v1.8.0/go.mod h1:v0f6uXyyMGvRgIKkXu+yp6POWl0qKG85gN/melR3HDY=
 github.com/go-telegram-bot-api/telegram-bot-api/v5 v5.5.1 h1:wG8n/XJQ07TmjbITcGiUaOtXxdrINDz1b0J1w0SzqDc=
 github.com/go-telegram-bot-api/telegram-bot-api/v5 v5.5.1/go.mod h1:A2S0CWkNylc2phvKXWBBdD3K0iGnDBGbzRpISP2zBl8=
+github.com/gogo/protobuf v1.1.1/go.mod h1:r8qH/GZQm5c6nD/R0oafs1akxWv10x8SbQlK7atdtwQ=
+github.com/gogo/protobuf v1.2.0/go.mod h1:r8qH/GZQm5c6nD/R0oafs1akxWv10x8SbQlK7atdtwQ=
+github.com/golang/glog v0.0.0-20160126235308-23def4e6c14b/go.mod h1:SBH7ygxi8pfUlaOkMMuAQtPIUF8ecWP5IEl/CR7VP2Q=
+github.com/golang/groupcache v0.0.0-20190702054246-869f871628b6/go.mod h1:cIg4eruTrX1D+g88fzRXU5OdNfaM+9IcxsU14FzY7Hc=
+github.com/golang/groupcache v0.0.0-20200121045136-8c9f03a8e57e/go.mod h1:cIg4eruTrX1D+g88fzRXU5OdNfaM+9IcxsU14FzY7Hc=
+github.com/golang/mock v1.1.1/go.mod h1:oTYuIxOrZwtPieC+H1uAHpcLFnEyAGVDL/k47Jfbm0A=
+github.com/golang/protobuf v1.2.0/go.mod h1:6lQm79b+lXiMfvg/cZm0SGofjICqVBUtrP5yJMmIC1U=
+github.com/golang/protobuf v1.3.1/go.mod h1:6lQm79b+lXiMfvg/cZm0SGofjICqVBUtrP5yJMmIC1U=
+github.com/golang/protobuf v1.3.2/go.mod h1:6lQm79b+lXiMfvg/cZm0SGofjICqVBUtrP5yJMmIC1U=
+github.com/golang/protobuf v1.4.0-rc.1/go.mod h1:ceaxUfeHdC40wWswd/P6IGgMaK3YpKi5j83Wpe3EHw8=
+github.com/golang/protobuf v1.4.0-rc.1.0.20200221234624-67d41d38c208/go.mod h1:xKAWHe0F5eneWXFV3EuXVDTCmh+JuBKY0li0aMyXATA=
+github.com/golang/protobuf v1.4.0-rc.2/go.mod h1:LlEzMj4AhA7rCAGe4KMBDvJI+AwstrUpVNzEA03Pprs=
+github.com/golang/protobuf v1.4.0-rc.4.0.20200313231945-b860323f09d0/go.mod h1:WU3c8KckQ9AFe+yFwt9sWVRKCVIyN9cPHBJSNnbL67w=
+github.com/golang/protobuf v1.4.0/go.mod h1:jodUvKwWbYaEsadDk5Fwe5c77LiNKVO9IDvqG2KuDX0=
+github.com/golang/snappy v0.0.0-20180518054509-2e65f85255db/go.mod h1:/XxbfmMg8lxefKM7IXC3fBNl/7bRcc72aCRzEWrmP2Q=
+github.com/golang/snappy v0.0.1/go.mod h1:/XxbfmMg8lxefKM7IXC3fBNl/7bRcc72aCRzEWrmP2Q=
+github.com/google/btree v0.0.0-20180124185431-e89373fe6b4a/go.mod h1:lNA+9X1NB3Zf8V7Ke586lFgjr2dZNuvo3lPJSGZ5JPQ=
+github.com/google/btree v1.0.0/go.mod h1:lNA+9X1NB3Zf8V7Ke586lFgjr2dZNuvo3lPJSGZ5JPQ=
+github.com/google/go-cmp v0.2.0/go.mod h1:oXzfMopK8JAjlY9xF4vHSVASa0yLyX7SntLO5aqRK0M=
+github.com/google/go-cmp v0.3.0/go.mod h1:8QqcDgzrUqlUb/G2PQTWiueGozuR1884gddMywk6iLU=
+github.com/google/go-cmp v0.3.1/go.mod h1:8QqcDgzrUqlUb/G2PQTWiueGozuR1884gddMywk6iLU=
+github.com/google/go-cmp v0.4.0/go.mod h1:v8dTdLbMG2kIc/vJvl+f65V22dbkXbowE6jgT/gNBxE=
+github.com/google/go-cmp v0.7.0 h1:wk8382ETsv4JYUZwIsn6YpYiWiBsYLSJiTsyBybVuN8=
+github.com/google/go-cmp v0.7.0/go.mod h1:pXiqmnSA92OHEEa9HXL2W4E7lf9JzCmGVUdgjX3N/iU=
+github.com/google/gofuzz v1.0.0/go.mod h1:dBl0BpW6vV/+mYPU4Po3pmUjxk6FQPldtuIdl/M65Eg=
 github.com/google/pprof v0.0.0-20240409012703-83162a5b38cd h1:gbpYu9NMq8jhDVbvlGkMFWCjLFlqqEZjEmObmhUy6Vo=
 github.com/google/pprof v0.0.0-20240409012703-83162a5b38cd/go.mod h1:kf6iHlnVGwgKolg33glAes7Yg/8iWP8ukqeldJSO7jw=
 github.com/google/uuid v1.6.0 h1:NIvaJDMOsjHA8n1jAhLSgzrAzy1Hgr+hNrb57e+94F0=
 github.com/google/uuid v1.6.0/go.mod h1:TIyPZe4MgqvfeYDBFedMoGGpEw/LqOeaOT+nhxU+yHo=
+github.com/gopherjs/gopherjs v0.0.0-20181017120253-0766667cb4d1/go.mod h1:wJfORRmW1u3UXTncJ5qlYoELFm8eSnnEO6hX4iZ3EWY=
+github.com/gopherjs/gopherjs v0.0.0-20181103185306-d547d1d9531e/go.mod h1:wJfORRmW1u3UXTncJ5qlYoELFm8eSnnEO6hX4iZ3EWY=
+github.com/gopherjs/gopherjs v0.0.0-20190309154008-847fc94819f9/go.mod h1:wJfORRmW1u3UXTncJ5qlYoELFm8eSnnEO6hX4iZ3EWY=
+github.com/gopherjs/gopherjs v0.0.0-20190910122728-9d188e94fb99/go.mod h1:wJfORRmW1u3UXTncJ5qlYoELFm8eSnnEO6hX4iZ3EWY=
+github.com/gorilla/context v1.1.1/go.mod h1:kBGZzfjB9CEq2AlWe17Uuf7NDRt0dE0s8S51q0aT7Yg=
+github.com/gorilla/mux v1.6.2/go.mod h1:1lud6UwP+6orDFRuTfBEV8e9/aOM/c4fVVCaMa2zaAs=
+github.com/hashicorp/golang-lru v0.5.0/go.mod h1:/m3WP610KZHVQ1SGc6re/UDhFvYD7pJ4Ao+sR/qLZy8=
 github.com/hashicorp/golang-lru/v2 v2.0.7 h1:a+bsQ5rvGLjzHuww6tVxozPZFVghXaHOwFs4luLUK2k=
 github.com/hashicorp/golang-lru/v2 v2.0.7/go.mod h1:QeFd9opnmA6QUJc5vARoKUSoFhyfM2/ZepoAG6RGpeM=
+github.com/hpcloud/tail v1.0.0/go.mod h1:ab1qPbhIpdTxEkNHXyeSf5vhxWSCs/tWer42PpOxQnU=
+github.com/huandu/xstrings v1.0.0/go.mod h1:4qWG/gcEcfX4z/mBDHJ++3ReCw9ibxbsNJbcucJdbSo=
+github.com/huandu/xstrings v1.2.0/go.mod h1:DvyZB1rfVYsBIigL8HwpZgxHwXozlTgGqn63UyNX5k4=
+github.com/huandu/xstrings v1.3.1/go.mod h1:y5/lhBue+AyNmUVz9RLU9xbLR0o4KIIExikq4ovT0aE=
+github.com/huandu/xstrings v1.3.2 h1:L18LIDzqlW6xN2rEkpdV8+oL/IXWJ1APd+vsdYy4Wdw=
+github.com/huandu/xstrings v1.3.2/go.mod h1:y5/lhBue+AyNmUVz9RLU9xbLR0o4KIIExikq4ovT0aE=
 github.com/jmoiron/sqlx v1.4.0 h1:1PLqN7S1UYp5t4SrVVnt4nUVNemrDAtxlulVe+Qgm3o=
 github.com/jmoiron/sqlx v1.4.0/go.mod h1:ZrZ7UsYB/weZdl2Bxg6jCRO9c3YHl8r3ahlKmRT4JLY=
+github.com/json-iterator/go v1.1.6/go.mod h1:+SdeFBvtyEkXs7REEP0seUULqWtbJapLOCVDaaPEHmU=
+github.com/json-iterator/go v1.1.9/go.mod h1:KdQUCv79m/52Kvf8AW2vK1V8akMuk1QjK/uOdHXbAo4=
+github.com/jtolds/gls v4.2.1+incompatible/go.mod h1:QJZ7F/aHp+rZTRtaJ1ow/lLfFfVYBRgL+9YlvaHOwJU=
+github.com/jtolds/gls v4.20.0+incompatible/go.mod h1:QJZ7F/aHp+rZTRtaJ1ow/lLfFfVYBRgL+9YlvaHOwJU=
+github.com/julienschmidt/httprouter v1.2.0/go.mod h1:SYymIcj16QtmaHHD7aYtjjsJG7VTCxuUUipMqKk8s4w=
+github.com/kisielk/gotool v1.0.0/go.mod h1:XhKaO+MFFWcvkIS/tQcRk01m1F5IRFswLeQ+oQHNcck=
+github.com/klauspost/cpuid/v2 v2.0.4/go.mod h1:FInQzS24/EEf25PyTYn52gqo7WaD8xa0213Md/qVLRg=
+github.com/klauspost/cpuid/v2 v2.0.9/go.mod h1:FInQzS24/EEf25PyTYn52gqo7WaD8xa0213Md/qVLRg=
+github.com/klauspost/cpuid/v2 v2.2.3 h1:sxCkb+qR91z4vsqw4vGGZlDgPz3G7gjaLyK3V8y70BU=
+github.com/klauspost/cpuid/v2 v2.2.3/go.mod h1:RVVoqg1df56z8g3pUjL/3lE5UfnlrJX8tyFgg4nqhuY=
+github.com/konsorten/go-windows-terminal-sequences v1.0.1/go.mod h1:T0+1ngSBFLxvqU3pZ+m/2kptfBszLMUkC4ZK/EgS/cQ=
+github.com/kr/logfmt v0.0.0-20140226030751-b84e30acd515/go.mod h1:+0opPa2QZZtGFBFZlji/RkVcI2GknAs/DXo4wKdlNEc=
+github.com/kr/pretty v0.1.0/go.mod h1:dAy3ld7l9f0ibDNOQOHHMYYIIbhfbHSm3C4ZsoJORNo=
+github.com/kr/pretty v0.3.1 h1:flRD4NNwYAUpkphVc1HcthR4KEIFJ65n8Mw5qdRn3LE=
+github.com/kr/pretty v0.3.1/go.mod h1:hoEshYVHaxMs3cyo3Yncou5ZscifuDolrwPKZanG3xk=
+github.com/kr/pty v1.1.1/go.mod h1:pFQYn66WHrOpPYNljwOMqo10TkYh1fy3cYio2l3bCsQ=
+github.com/kr/text v0.1.0/go.mod h1:4Jbv+DJW3UT/LiOwJeYQe1efqtUx/iVham/4vfdArNI=
+github.com/kr/text v0.2.0 h1:5Nx0Ya0ZqY2ygV366QzturHI13Jq95ApcVaJBhpS+AY=
+github.com/kr/text v0.2.0/go.mod h1:eLer722TekiGuMkidMxC/pM04lWEeraHUUmBw8l2grE=
 github.com/lib/pq v1.10.9 h1:YXG7RB+JIjhP29X+OtkiDnYaXQwpS4JEWq7dtCCRUEw=
 github.com/lib/pq v1.10.9/go.mod h1:AlVN5x4E4T544tWzH6hKfbfQvm3HdbOxrmggDNAPY9o=
 github.com/mattn/go-isatty v0.0.20 h1:xfD0iDuEKnDkl03q4limB+vH+GxLEtL/jb4xVJSWWEY=
 github.com/mattn/go-isatty v0.0.20/go.mod h1:W+V8PltTTMOvKvAeJH7IuucS94S2C6jfK/D7dTCTo3Y=
 github.com/mattn/go-sqlite3 v1.14.22 h1:2gZY6PC6kBnID23Tichd1K+Z0oS6nE/XwU+Vz/5o4kU=
 github.com/mattn/go-sqlite3 v1.14.22/go.mod h1:Uh1q+B4BYcTPb+yiD3kU8Ct7aC0hY9fxUwlHK0RXw+Y=
+github.com/matttproud/golang_protobuf_extensions v1.0.1/go.mod h1:D8He9yQNgCq6Z5Ld7szi9bcBfOoFv/3dc6xSMkL2PC0=
 github.com/mfridman/interpolate v0.0.2 h1:pnuTK7MQIxxFz1Gr+rjSIx9u7qVjf5VOoM/u6BbAxPY=
 github.com/mfridman/interpolate v0.0.2/go.mod h1:p+7uk6oE07mpE/Ik1b8EckO0O4ZXiGAfshKBWLUM9Xg=
 github.com/middelink/go-parse-torrent-name v0.0.0-20190301154245-3ff4efacd4c4 h1:C/VViMMbR/4Ti2aXrWpKy34S05cRaVd6EvV9BFR3qJ8=
 github.com/middelink/go-parse-torrent-name v0.0.0-20190301154245-3ff4efacd4c4/go.mod h1:H66QhXPJpUSdWschhL6u//v3ge96/qMnQ9mWp3efbxA=
+github.com/minio/sha256-simd v1.0.0 h1:v1ta+49hkWZyvaKwrQB8elexRqm6Y0aMLjCNsrYxo6g=
+github.com/minio/sha256-simd v1.0.0/go.mod h1:OuYzVNI5vcoYIAmbIvHPl3N3jUzVedXbKy5RFepssQM=
+github.com/modern-go/concurrent v0.0.0-20180228061459-e0a39a4cb421/go.mod h1:6dJC0mAP4ikYIbvyc7fijjWJddQyLn8Ig3JB5CqoB9Q=
+github.com/modern-go/concurrent v0.0.0-20180306012644-bacd9c7ef1dd/go.mod h1:6dJC0mAP4ikYIbvyc7fijjWJddQyLn8Ig3JB5CqoB9Q=
+github.com/modern-go/reflect2 v0.0.0-20180701023420-4b7aa43c6742/go.mod h1:bx2lNnkwVCuqBIxFjflWJWanXIb3RllmbCylyMrvgv0=
+github.com/modern-go/reflect2 v1.0.1/go.mod h1:bx2lNnkwVCuqBIxFjflWJWanXIb3RllmbCylyMrvgv0=
+github.com/mr-tron/base58 v1.2.0 h1:T/HDJBh4ZCPbU39/+c3rRvE0uKBQlU27+QI8LJ4t64o=
+github.com/mr-tron/base58 v1.2.0/go.mod h1:BinMc/sQntlIE1frQmRFPUoPA1Zkr8VRgBdjWI2mNwc=
+github.com/mschoch/smat v0.0.0-20160514031455-90eadee771ae/go.mod h1:qAyveg+e4CE+eKJXWVjKXM4ck2QobLqTDytGJbLLhJg=
+github.com/mschoch/smat v0.2.0/go.mod h1:kc9mz7DoBKqDyiRL7VZN8KvXQMWeTaVnttLRXOlotKw=
+github.com/multiformats/go-multihash v0.2.3 h1:7Lyc8XfX/IY2jWb/gI7JP+o7JEq9hOa7BFvVU9RSh+U=
+github.com/multiformats/go-multihash v0.2.3/go.mod h1:dXgKXCXjBzdscBLk9JkjINiEsCKRVch90MdaGiKsvSM=
+github.com/multiformats/go-varint v0.0.6 h1:gk85QWKxh3TazbLxED/NlDVv8+q+ReFJk7Y2W/KhfNY=
+github.com/multiformats/go-varint v0.0.6/go.mod h1:3Ls8CIEsrijN6+B7PbrXRPxHRPuXSrVKRY101jdMZYE=
+github.com/mwitkow/go-conntrack v0.0.0-20161129095857-cc309e4a2223/go.mod h1:qRWi+5nqEBWmkhHvq77mSJWrCKwh8bxhgT7d/eI7P4U=
 github.com/ncruces/go-strftime v0.1.9 h1:bY0MQC28UADQmHmaF5dgpLmImcShSi2kHU9XLdhx/f4=
 github.com/ncruces/go-strftime v0.1.9/go.mod h1:Fwc5htZGVVkseilnfgOVb9mKy6w1naJmn9CehxcKcls=
+github.com/oklog/ulid/v2 v2.1.1 h1:suPZ4ARWLOJLegGFiZZ1dFAkqzhMjL3J1TzI+5wHz8s=
+github.com/oklog/ulid/v2 v2.1.1/go.mod h1:rcEKHmBBKfef9DhnvX7y1HZBYxjXb0cP5ExxNsTT1QQ=
+github.com/onsi/ginkgo v1.6.0/go.mod h1:lLunBs/Ym6LB5Z9jYTR76FiuTmxDTDusOGeTQH+WWjE=
+github.com/onsi/ginkgo v1.7.0/go.mod h1:lLunBs/Ym6LB5Z9jYTR76FiuTmxDTDusOGeTQH+WWjE=
+github.com/onsi/gomega v1.4.3/go.mod h1:ex+gbHU/CVuBBDIJjb2X0qEXbFg53c61hWP/1CpauHY=
+github.com/openzipkin/zipkin-go v0.1.6/go.mod h1:QgAqvLzwWbR/WpD4A3cGpPtJrZXNIiJc5AZX7/PBEpw=
+github.com/pborman/getopt v0.0.0-20170112200414-7148bc3a4c30/go.mod h1:85jBQOZwpVEaDAr341tbn15RS4fCAsIst0qp7i8ex1o=
 github.com/pelletier/go-toml/v2 v2.2.3 h1:YmeHyLY8mFWbdkNWwpr+qIL2bEqT0o95WSdkNHvL12M=
 github.com/pelletier/go-toml/v2 v2.2.3/go.mod h1:MfCQTFTvCcUyyvvwm1+G6H/jORL20Xlb6rzQu9GuUkc=
+github.com/philhofer/fwd v1.0.0/go.mod h1:gk3iGcWd9+svBvR0sR+KPcfE+RNWozjowpeBVG3ZVNU=
+github.com/pierrec/lz4 v2.0.5+incompatible/go.mod h1:pdkljMzZIN41W+lC3N2tnIh5sFi+IEE17M5jbnwPHcY=
+github.com/pkg/errors v0.8.0/go.mod h1:bwawxfHBFNV+L2hUp1rHADufV3IMtnDRdf1r5NINEl0=
+github.com/pkg/errors v0.8.1/go.mod h1:bwawxfHBFNV+L2hUp1rHADufV3IMtnDRdf1r5NINEl0=
+github.com/pkg/errors v0.9.1/go.mod h1:bwawxfHBFNV+L2hUp1rHADufV3IMtnDRdf1r5NINEl0=
 github.com/pmezard/go-difflib v1.0.0 h1:4DBwDE0NGyQoBHbLQYPwSUPoCMWR5BEzIk/f1lZbAQM=
 github.com/pmezard/go-difflib v1.0.0/go.mod h1:iKH77koFhYxTK1pcRnkKkqfTogsbg7gZNVY4sRDYZ/4=
 github.com/pressly/goose/v3 v3.22.1 h1:2zICEfr1O3yTP9BRZMGPj7qFxQ+ik6yeo+z1LMuioLc=
 github.com/pressly/goose/v3 v3.22.1/go.mod h1:xtMpbstWyCpyH+0cxLTMCENWBG+0CSxvTsXhW95d5eo=
+github.com/prometheus/client_golang v0.9.1/go.mod h1:7SWBe2y4D6OKWSNQJUaRYU/AaXPKyh/dDVn+NZz0KFw=
+github.com/prometheus/client_golang v0.9.3-0.20190127221311-3c4408c8b829/go.mod h1:p2iRAGwDERtqlqzRXnrOVns+ignqQo//hLXqYxZYVNs=
+github.com/prometheus/client_golang v1.0.0/go.mod h1:db9x61etRT2tGnBNRi70OPL5FsnadC4Ky3P0J6CfImo=
+github.com/prometheus/client_golang v1.5.1/go.mod h1:e9GMxYsXl05ICDXkRhurwBS4Q3OK1iX/F2sw+iXX5zU=
+github.com/prometheus/client_model v0.0.0-20180712105110-5c3871d89910/go.mod h1:MbSGuTsp3dbXC40dX6PRTWyKYBIrTGTE9sqQNg2J8bo=
+github.com/prometheus/client_model v0.0.0-20190115171406-56726106282f/go.mod h1:MbSGuTsp3dbXC40dX6PRTWyKYBIrTGTE9sqQNg2J8bo=
+github.com/prometheus/client_model v0.0.0-20190129233127-fd36f4220a90/go.mod h1:xMI15A0UPsDsEKsMN9yxemIoYk6Tm2C1GtYGdfGttqA=
+github.com/prometheus/client_model v0.2.0/go.mod h1:xMI15A0UPsDsEKsMN9yxemIoYk6Tm2C1GtYGdfGttqA=
+github.com/prometheus/common v0.2.0/go.mod h1:TNfzLD0ON7rHzMJeJkieUDPYmFC7Snx/y86RQel1bk4=
+github.com/prometheus/common v0.4.1/go.mod h1:TNfzLD0ON7rHzMJeJkieUDPYmFC7Snx/y86RQel1bk4=
+github.com/prometheus/common v0.9.1/go.mod h1:yhUN8i9wzaXS3w1O07YhxHEBxD+W35wd8bs7vj7HSQ4=
+github.com/prometheus/procfs v0.0.0-20181005140218-185b4288413d/go.mod h1:c3At6R/oaqEKCNdg8wHV1ftS6bRYblBhIjjI8uT2IGk=
+github.com/prometheus/procfs v0.0.0-20190117184657-bf6a532e95b1/go.mod h1:c3At6R/oaqEKCNdg8wHV1ftS6bRYblBhIjjI8uT2IGk=
+github.com/prometheus/procfs v0.0.2/go.mod h1:TjEm7ze935MbeOT/UhFTIMYKhuLP4wbCsTZCD3I8kEA=
+github.com/prometheus/procfs v0.0.8/go.mod h1:7Qr8sr6344vo1JqZ6HhLceV9o3AJ1Ff+GxbHq6oeK9A=
+github.com/prometheus/procfs v0.0.11/go.mod h1:lV6e/gmhEcM9IjHGsFOCxxuZ+z1YqCvr4OA4YeYWdaU=
+github.com/rcrowley/go-metrics v0.0.0-20181016184325-3113b8401b8a/go.mod h1:bCqnVzQkZxMG4s8nGwiZ5l3QUCyqpo9Y+/ZMZ9VjZe4=
 github.com/remyoudompheng/bigfft v0.0.0-20230129092748-24d4a6f8daec h1:W09IVJc94icq4NjY3clb7Lk8O1qJ8BdBEF8z0ibU0rE=
 github.com/remyoudompheng/bigfft v0.0.0-20230129092748-24d4a6f8daec/go.mod h1:qqbHyh8v60DhA7CoWK5oRCqLrMHRGoxYCSS9EjAz6Eo=
+github.com/rogpeppe/go-internal v1.14.1 h1:UQB4HGPB6osV0SQTLymcB4TgvyWu6ZyliaW0tI/otEQ=
+github.com/rogpeppe/go-internal v1.14.1/go.mod h1:MaRKkUm5W0goXpeCfT7UZI6fk/L7L7so1lCWt35ZSgc=
+github.com/ryszard/goskiplist v0.0.0-20150312221310-2dfbae5fcf46/go.mod h1:uAQ5PCi+MFsC7HjREoAz1BU+Mq60+05gifQSsHSDG/8=
 github.com/sethvargo/go-retry v0.3.0 h1:EEt31A35QhrcRZtrYFDTBg91cqZVnFL2navjDrah2SE=
 github.com/sethvargo/go-retry v0.3.0/go.mod h1:mNX17F0C/HguQMyMyJxcnU471gOZGxCLyYaFyAZraas=
-github.com/stretchr/testify v1.9.0 h1:HtqpIVDClZ4nwg75+f6Lvsy/wHu+3BoSGCbBAcpTsTg=
-github.com/stretchr/testify v1.9.0/go.mod h1:r2ic/lqez/lEtzL7wO/rwa5dbSLXVDPFyf8C91i36aY=
+github.com/sirupsen/logrus v1.2.0/go.mod h1:LxeOpSwHxABJmUn/MG1IvRgCAasNZTLOkJPxbbu5VWo=
+github.com/sirupsen/logrus v1.4.2/go.mod h1:tLMulIdttU9McNUspp0xgXVQah82FyeX6MwdIuYE2rE=
+github.com/smartystreets/assertions v0.0.0-20180927180507-b2de0cb4f26d/go.mod h1:OnSkiWE9lh6wB0YB77sQom3nweQdgAjqCqsofrRNTgc=
+github.com/smartystreets/assertions v0.0.0-20190215210624-980c5ac6f3ac/go.mod h1:OnSkiWE9lh6wB0YB77sQom3nweQdgAjqCqsofrRNTgc=
+github.com/smartystreets/goconvey v0.0.0-20181108003508-044398e4856c/go.mod h1:XDJAKZRPZ1CvBcN2aX5YOUTYGHki24fSF0Iv48Ibg0s=
+github.com/smartystreets/goconvey v0.0.0-20190306220146-200a235640ff/go.mod h1:KSQcGKpxUMHk3nbYzs/tIBAM2iDooCn0BmttHOJEbLs=
+github.com/spaolacci/murmur3 v1.1.0 h1:7c1g84S4BPRrfL5Xrdp6fOJ206sU9y293DDHaoy0bLI=
+github.com/spaolacci/murmur3 v1.1.0/go.mod h1:JwIasOWyU6f++ZhiEuf87xNszmSA2myDM2Kzu9HwQUA=
+github.com/stretchr/objx v0.1.0/go.mod h1:HFkY916IF+rwdDfMAkV7OtwuqBVzrE8GR6GFx+wExME=
+github.com/stretchr/objx v0.1.1/go.mod h1:HFkY916IF+rwdDfMAkV7OtwuqBVzrE8GR6GFx+wExME=
+github.com/stretchr/testify v1.2.1/go.mod h1:a8OnRcib4nhh0OaRAV+Yts87kKdq0PP7pXfy6kDkUVs=
+github.com/stretchr/testify v1.2.2/go.mod h1:a8OnRcib4nhh0OaRAV+Yts87kKdq0PP7pXfy6kDkUVs=
+github.com/stretchr/testify v1.3.0/go.mod h1:M5WIy9Dh21IEIfnGCwXGc5bZfKNJtfHm1UVUgZn+9EI=
+github.com/stretchr/testify v1.4.0/go.mod h1:j7eGeouHqKxXV5pUuKE4zz7dFj8WfuZ+81PSLYec5m4=
+github.com/stretchr/testify v1.11.1 h1:7s2iGBzp5EwR7/aIZr8ao5+dra3wiQyKjjFuvgVKu7U=
+github.com/stretchr/testify v1.11.1/go.mod h1:wZwfW3scLgRK+23gO65QZefKpKQRnfz6sD981Nm4B6U=
+github.com/tinylib/msgp v1.0.2/go.mod h1:+d+yLhGm8mzTaHzB+wgMYrodPfmZrzkirds8fDWklFE=
+github.com/tinylib/msgp v1.1.0/go.mod h1:+d+yLhGm8mzTaHzB+wgMYrodPfmZrzkirds8fDWklFE=
+github.com/tinylib/msgp v1.1.2/go.mod h1:+d+yLhGm8mzTaHzB+wgMYrodPfmZrzkirds8fDWklFE=
+github.com/willf/bitset v1.1.9/go.mod h1:RjeCKbqT1RxIR/KWY6phxZiaY1IyutSBfGjNPySAYV4=
+github.com/willf/bitset v1.1.10/go.mod h1:RjeCKbqT1RxIR/KWY6phxZiaY1IyutSBfGjNPySAYV4=
+go.opencensus.io v0.20.1/go.mod h1:6WKK9ahsWS3RSO+PY9ZHZUfv2irvY6gN279GOPZjmmk=
+go.opencensus.io v0.20.2/go.mod h1:6WKK9ahsWS3RSO+PY9ZHZUfv2irvY6gN279GOPZjmmk=
+go.opencensus.io v0.22.3/go.mod h1:yxeiOL68Rb0Xd1ddK5vPZ/oVn4vY4Ynel7k9FzqtOIw=
 go.uber.org/multierr v1.11.0 h1:blXXJkSxSSfBVBlC76pxqeO+LN3aDfLQo+309xJstO0=
 go.uber.org/multierr v1.11.0/go.mod h1:20+QtiLqy0Nd6FdQB9TLXag12DsQkrbs3htMFfDN80Y=
-golang.org/x/mod v0.16.0 h1:QX4fJ0Rr5cPQCF7O9lh9Se4pmwfwskqZfq5moyldzic=
-golang.org/x/mod v0.16.0/go.mod h1:hTbmBsO62+eylJbnUtE2MGJUyE7QWk4xUqPFrRgJ+7c=
-golang.org/x/sync v0.8.0 h1:3NFvSEYkUoMifnESzZl15y791HH1qU2xm6eCJU5ZPXQ=
-golang.org/x/sync v0.8.0/go.mod h1:Czt+wKu1gCyEFDUtn0jG5QVvpJ6rzVqr5aXyt9drQfk=
+golang.org/x/crypto v0.0.0-20180904163835-0709b304e793/go.mod h1:6SG95UA2DQfeDnfUPMdvaQW0Q7yPrPDi9nlGo2tz2b4=
+golang.org/x/crypto v0.0.0-20190308221718-c2843e01d9a2/go.mod h1:djNgcEr1/C05ACkg1iLfiJU5Ep61QUkGW8qpdssI0+w=
+golang.org/x/crypto v0.44.0 h1:A97SsFvM3AIwEEmTBiaxPPTYpDC47w720rdiiUvgoAU=
+golang.org/x/crypto v0.44.0/go.mod h1:013i+Nw79BMiQiMsOPcVCB5ZIJbYkerPrGnOa00tvmc=
+golang.org/x/exp v0.0.0-20190121172915-509febef88a4/go.mod h1:CJ0aWSM057203Lf6IL+f9T1iT9GByDxfZKAQTCR3kQA=
+golang.org/x/exp v0.0.0-20251113190631-e25ba8c21ef6 h1:zfMcR1Cs4KNuomFFgGefv5N0czO2XZpUbxGUy8i8ug0=
+golang.org/x/exp v0.0.0-20251113190631-e25ba8c21ef6/go.mod h1:46edojNIoXTNOhySWIWdix628clX9ODXwPsQuG6hsK0=
+golang.org/x/lint v0.0.0-20181026193005-c67002cb31c3/go.mod h1:UVdnD1Gm6xHRNCYTkRU2/jEulfH38KcIWyp/GAMgvoE=
+golang.org/x/lint v0.0.0-20190227174305-5b3e6a55c961/go.mod h1:wehouNa3lNwaWXcvxsM5YxQ5yQlVC4a0KAMCusXpPoU=
+golang.org/x/lint v0.0.0-20190301231843-5614ed5bae6f/go.mod h1:UVdnD1Gm6xHRNCYTkRU2/jEulfH38KcIWyp/GAMgvoE=
+golang.org/x/lint v0.0.0-20190313153728-d0100b6bd8b3/go.mod h1:6SW0HCj/g11FgYtHlgUYUwCkIfeOF89ocIRzGO/8vkc=
+golang.org/x/mod v0.30.0 h1:fDEXFVZ/fmCKProc/yAXXUijritrDzahmwwefnjoPFk=
+golang.org/x/mod v0.30.0/go.mod h1:lAsf5O2EvJeSFMiBxXDki7sCgAxEUcZHXoXMKT4GJKc=
+golang.org/x/net v0.0.0-20180724234803-3673e40ba225/go.mod h1:mL1N/T3taQHkDXs73rZJwtUhF3w3ftmwwsq0BUmARs4=
+golang.org/x/net v0.0.0-20180826012351-8a410e7b638d/go.mod h1:mL1N/T3taQHkDXs73rZJwtUhF3w3ftmwwsq0BUmARs4=
+golang.org/x/net v0.0.0-20180906233101-161cd47e91fd/go.mod h1:mL1N/T3taQHkDXs73rZJwtUhF3w3ftmwwsq0BUmARs4=
+golang.org/x/net v0.0.0-20181114220301-adae6a3d119a/go.mod h1:mL1N/T3taQHkDXs73rZJwtUhF3w3ftmwwsq0BUmARs4=
+golang.org/x/net v0.0.0-20190108225652-1e06a53dbb7e/go.mod h1:mL1N/T3taQHkDXs73rZJwtUhF3w3ftmwwsq0BUmARs4=
+golang.org/x/net v0.0.0-20190125091013-d26f9f9a57f3/go.mod h1:mL1N/T3taQHkDXs73rZJwtUhF3w3ftmwwsq0BUmARs4=
+golang.org/x/net v0.0.0-20190213061140-3a22650c66bd/go.mod h1:mL1N/T3taQHkDXs73rZJwtUhF3w3ftmwwsq0BUmARs4=
+golang.org/x/net v0.0.0-20190311183353-d8887717615a/go.mod h1:t9HGtf8HONx5eT2rtn7q6eTqICYqUVnKs3thJo3Qplg=
+golang.org/x/net v0.0.0-20190613194153-d28f0bde5980/go.mod h1:z5CRVTTTmAJ677TzLLGU+0bjPO0LkuOLi4/5GtJWs/s=
+golang.org/x/net v0.0.0-20190620200207-3b0461eec859/go.mod h1:z5CRVTTTmAJ677TzLLGU+0bjPO0LkuOLi4/5GtJWs/s=
+golang.org/x/oauth2 v0.0.0-20180821212333-d2e6202438be/go.mod h1:N/0e6XlmueqKjAGxoOufVs8QHGRruUQn6yWY3a++T0U=
+golang.org/x/oauth2 v0.0.0-20190226205417-e64efc72b421/go.mod h1:gOpvHmFTYa4IltrdGE7lF6nIHvwfUNPOp7c8zoXwtLw=
+golang.org/x/sync v0.0.0-20180314180146-1d60e4601c6f/go.mod h1:RxMgew5VJxzue5/jJTE5uejpjVlOe/izrB70Jof72aM=
+golang.org/x/sync v0.0.0-20181108010431-42b317875d0f/go.mod h1:RxMgew5VJxzue5/jJTE5uejpjVlOe/izrB70Jof72aM=
+golang.org/x/sync v0.0.0-20181221193216-37e7f081c4d4/go.mod h1:RxMgew5VJxzue5/jJTE5uejpjVlOe/izrB70Jof72aM=
+golang.org/x/sync v0.0.0-20190227155943-e225da77a7e6/go.mod h1:RxMgew5VJxzue5/jJTE5uejpjVlOe/izrB70Jof72aM=
+golang.org/x/sync v0.0.0-20190911185100-cd5d95a43a6e/go.mod h1:RxMgew5VJxzue5/jJTE5uejpjVlOe/izrB70Jof72aM=
+golang.org/x/sync v0.18.0 h1:kr88TuHDroi+UVf+0hZnirlk8o8T+4MrK6mr60WkH/I=
+golang.org/x/sync v0.18.0/go.mod h1:9KTHXmSnoGruLpwFjVSX0lNNA75CykiMECbovNTZqGI=
+golang.org/x/sys v0.0.0-20180830151530-49385e6e1522/go.mod h1:STP8DvDyc/dI5b8T5hshtkjS+E42TnysNCUPdjciGhY=
+golang.org/x/sys v0.0.0-20180905080454-ebe1bf3edb33/go.mod h1:STP8DvDyc/dI5b8T5hshtkjS+E42TnysNCUPdjciGhY=
+golang.org/x/sys v0.0.0-20180909124046-d0be0721c37e/go.mod h1:STP8DvDyc/dI5b8T5hshtkjS+E42TnysNCUPdjciGhY=
+golang.org/x/sys v0.0.0-20181116152217-5ac8a444bdc5/go.mod h1:STP8DvDyc/dI5b8T5hshtkjS+E42TnysNCUPdjciGhY=
+golang.org/x/sys v0.0.0-20181122145206-62eef0e2fa9b/go.mod h1:STP8DvDyc/dI5b8T5hshtkjS+E42TnysNCUPdjciGhY=
+golang.org/x/sys v0.0.0-20190215142949-d0b11bdaac8a/go.mod h1:STP8DvDyc/dI5b8T5hshtkjS+E42TnysNCUPdjciGhY=
+golang.org/x/sys v0.0.0-20190422165155-953cdadca894/go.mod h1:h1NjWce9XRLGQEsW7wpKNCjG9DtNlClVuFLEZdDNbEs=
+golang.org/x/sys v0.0.0-20190502145724-3ef323f4f1fd/go.mod h1:h1NjWce9XRLGQEsW7wpKNCjG9DtNlClVuFLEZdDNbEs=
+golang.org/x/sys v0.0.0-20200106162015-b016eb3dc98e/go.mod h1:h1NjWce9XRLGQEsW7wpKNCjG9DtNlClVuFLEZdDNbEs=
+golang.org/x/sys v0.0.0-20200122134326-e047566fdf82/go.mod h1:h1NjWce9XRLGQEsW7wpKNCjG9DtNlClVuFLEZdDNbEs=
+golang.org/x/sys v0.0.0-20200413165638-669c56c373c4/go.mod h1:h1NjWce9XRLGQEsW7wpKNCjG9DtNlClVuFLEZdDNbEs=
+golang.org/x/sys v0.0.0-20220704084225-05e143d24a9e/go.mod h1:oPkhp1MJrh7nUepCBck5+mAzfO9JrbApNNgaTdGDITg=
 golang.org/x/sys v0.6.0/go.mod h1:oPkhp1MJrh7nUepCBck5+mAzfO9JrbApNNgaTdGDITg=
-golang.org/x/sys v0.25.0 h1:r+8e+loiHxRqhXVl6ML1nO3l1+oFoWbnlu2Ehimmi34=
-golang.org/x/sys v0.25.0/go.mod h1:/VUhepiaJMQUp4+oa/7Zr1D23ma6VTLIYjOOTFZPUcA=
-golang.org/x/tools v0.19.0 h1:tfGCXNR1OsFG+sVdLAitlpjAvD/I6dHDKnYrpEZUHkw=
-golang.org/x/tools v0.19.0/go.mod h1:qoJWxmGSIBmAeriMx19ogtrEPrGtDbPK634QFIcLAhc=
+golang.org/x/sys v0.38.0 h1:3yZWxaJjBmCWXqhN1qh02AkOnCQ1poK6oF+a7xWL6Gc=
+golang.org/x/sys v0.38.0/go.mod h1:OgkHotnGiDImocRcuBABYBEXf8A9a87e/uXjp9XT3ks=
+golang.org/x/text v0.3.0/go.mod h1:NqM8EUOU14njkJ3fqMW+pc6Ldnwhi/IjpwHt7yyuwOQ=
+golang.org/x/text v0.3.2/go.mod h1:bEr9sfX3Q8Zfm5fL9x+3itogRgK3+ptLWKqgva+5dAk=
+golang.org/x/tools v0.0.0-20180828015842-6cd1fcedba52/go.mod h1:n7NCudcB/nEzxVGmLbDWY5pfWTLqBcC2KZ6jyYvM4mQ=
+golang.org/x/tools v0.0.0-20180917221912-90fa682c2a6e/go.mod h1:n7NCudcB/nEzxVGmLbDWY5pfWTLqBcC2KZ6jyYvM4mQ=
+golang.org/x/tools v0.0.0-20190114222345-bf090417da8b/go.mod h1:n7NCudcB/nEzxVGmLbDWY5pfWTLqBcC2KZ6jyYvM4mQ=
+golang.org/x/tools v0.0.0-20190226205152-f727befe758c/go.mod h1:9Yl7xja0Znq3iFh3HoIrodX9oNMXvdceNzlUR8zjMvY=
+golang.org/x/tools v0.0.0-20190311212946-11955173bddd/go.mod h1:LCzVGOaR6xXOjkQ3onu1FJEFr0SW1gC7cKk1uF8kGRs=
+golang.org/x/tools v0.0.0-20190312170243-e65039ee4138/go.mod h1:LCzVGOaR6xXOjkQ3onu1FJEFr0SW1gC7cKk1uF8kGRs=
+golang.org/x/tools v0.39.0 h1:ik4ho21kwuQln40uelmciQPp9SipgNDdrafrYA4TmQQ=
+golang.org/x/tools v0.39.0/go.mod h1:JnefbkDPyD8UU2kI5fuf8ZX4/yUeh9W877ZeBONxUqQ=
+golang.org/x/xerrors v0.0.0-20191204190536-9bdfabe68543/go.mod h1:I/5z698sn9Ka8TeJc9MKroUUfqBBauWjQqLJ2OPfmY0=
+google.golang.org/api v0.3.1/go.mod h1:6wY9I6uQWHQ8EM57III9mq/AjF+i8G65rmVagqKMtkk=
+google.golang.org/appengine v1.1.0/go.mod h1:EbEs0AVv82hx2wNQdGPgUI5lhzA/G0D9YwlJXL52JkM=
+google.golang.org/appengine v1.4.0/go.mod h1:xpcJRLb0r/rnEns0DIKYYv+WjYCduHsrkT7/EB5XEv4=
+google.golang.org/genproto v0.0.0-20180817151627-c66870c02cf8/go.mod h1:JiN7NxoALGmiZfu7CAH4rXhgtRTLTxftemlI0sWmxmc=
+google.golang.org/genproto v0.0.0-20190307195333-5fe7a883aa19/go.mod h1:VzzqZJRnGkLBvHegQrXjBqPurQTc5/KpmUdxsrq26oE=
+google.golang.org/genproto v0.0.0-20190425155659-357c62f0e4bb/go.mod h1:VzzqZJRnGkLBvHegQrXjBqPurQTc5/KpmUdxsrq26oE=
+google.golang.org/grpc v1.17.0/go.mod h1:6QZJwpn2B+Zp71q/5VxRsJ6NXXVCE5NRUHRo+f3cWCs=
+google.golang.org/grpc v1.19.0/go.mod h1:mqu4LbDTu4XGKhr4mRzUsmM4RtVoemTSY81AxZiDr8c=
+google.golang.org/grpc v1.20.1/go.mod h1:10oTOabMzJvdu6/UiuZezV6QK5dSlG84ov/aaiqXj38=
+google.golang.org/protobuf v0.0.0-20200109180630-ec00e32a8dfd/go.mod h1:DFci5gLYBciE7Vtevhsrf46CRTquxDuWsQurQQe4oz8=
+google.golang.org/protobuf v0.0.0-20200221191635-4d8936d0db64/go.mod h1:kwYJMbMJ01Woi6D6+Kah6886xMZcty6N08ah7+eCXa0=
+google.golang.org/protobuf v0.0.0-20200228230310-ab0ca4ff8a60/go.mod h1:cfTl7dwQJ+fmap5saPgwCLgHXTUD7jkjRqWcaiX5VyM=
+google.golang.org/protobuf v1.20.1-0.20200309200217-e05f789c0967/go.mod h1:A+miEFZTKqfCUM6K7xSMQL9OKL/b6hQv+e19PK+JZNE=
+google.golang.org/protobuf v1.21.0/go.mod h1:47Nbq4nVaFHyn7ilMalzfO3qCViNmqZ2kzikPIcrTAo=
+gopkg.in/alecthomas/kingpin.v2 v2.2.6/go.mod h1:FMv+mEhP44yOT+4EoQTLFTRgOQ1FBLkstjWtayDeSgw=
+gopkg.in/check.v1 v0.0.0-20161208181325-20d25e280405/go.mod h1:Co6ibVJAznAaIkqp8huTwlJQCZ016jof/cbN4VW5Yz0=
+gopkg.in/check.v1 v1.0.0-20180628173108-788fd7840127/go.mod h1:Co6ibVJAznAaIkqp8huTwlJQCZ016jof/cbN4VW5Yz0=
+gopkg.in/check.v1 v1.0.0-20190902080502-41f04d3bba15/go.mod h1:Co6ibVJAznAaIkqp8huTwlJQCZ016jof/cbN4VW5Yz0=
+gopkg.in/fsnotify.v1 v1.4.7/go.mod h1:Tz8NjZHkW78fSQdbUxIjBTcgA1z1m8ZHf0WmKUhAMys=
+gopkg.in/tomb.v1 v1.0.0-20141024135613-dd632973f1e7/go.mod h1:dt/ZhP58zS4L8KSrWDmTeBkI65Dw0HsyUHuEVlX15mw=
+gopkg.in/yaml.v2 v2.2.1/go.mod h1:hI93XBmqTisBFMUTm0b8Fm+jr3Dg1NNxqwp+5A1VGuI=
+gopkg.in/yaml.v2 v2.2.2/go.mod h1:hI93XBmqTisBFMUTm0b8Fm+jr3Dg1NNxqwp+5A1VGuI=
+gopkg.in/yaml.v2 v2.2.4/go.mod h1:hI93XBmqTisBFMUTm0b8Fm+jr3Dg1NNxqwp+5A1VGuI=
+gopkg.in/yaml.v2 v2.2.5/go.mod h1:hI93XBmqTisBFMUTm0b8Fm+jr3Dg1NNxqwp+5A1VGuI=
 gopkg.in/yaml.v3 v3.0.1 h1:fxVm/GzAzEWqLHuvctI91KS9hhNmmWOoWu0XTYJS7CA=
 gopkg.in/yaml.v3 v3.0.1/go.mod h1:K4uyk7z7BCEPqu6E+C64Yfv1cQ7kz7rIZviUmN+EgEM=
+honnef.co/go/tools v0.0.0-20180728063816-88497007e858/go.mod h1:rf3lG4BRIbNafJWhAfAdb/ePZxsR/4RtNHQocxwk9r4=
+honnef.co/go/tools v0.0.0-20190102054323-c2f93a96b099/go.mod h1:rf3lG4BRIbNafJWhAfAdb/ePZxsR/4RtNHQocxwk9r4=
+lukechampine.com/blake3 v1.1.6 h1:H3cROdztr7RCfoaTpGZFQsrqvweFLrqS73j7L7cmR5c=
+lukechampine.com/blake3 v1.1.6/go.mod h1:tkKEOtDkNtklkXtLNEOGNq5tcV90tJiA1vAA12R78LA=
 modernc.org/cc/v4 v4.21.4 h1:3Be/Rdo1fpr8GrQ7IVw9OHtplU4gWbb+wNgeoBMmGLQ=
 modernc.org/cc/v4 v4.21.4/go.mod h1:HM7VJTZbUCR3rV8EYBi9wxnJ0ZBRiGE5OeGXNA0IsLQ=
 modernc.org/ccgo/v4 v4.19.2 h1:lwQZgvboKD0jBwdaeVCTouxhxAyN6iawF3STraAal8Y=

internal/archrules/arch_test.go

@@ -0,0 +1,180 @@
+// Package archrules — тесты-сканеры исходников для правил, которые не
+// выражаются линтером: структура проекта и SQL миграций.
+//
+// Каждое правило здесь — бывшая строка прозаической конвенции: у него есть
+// детерминированный оракул, поэтому ему место в конвейере сборки, а не в
+// промпте ревью (процедура промоута — references/promote.md скилла
+// av-dev-pipeline:review-pipeline).
+package archrules
+
+import (
+	"go/parser"
+	"go/token"
+	"os"
+	"path/filepath"
+	"regexp"
+	"strconv"
+	"strings"
+	"testing"
+)
+
+const modulePath = "git.vakhrushev.me/av/jellybit"
+
+// repoRoot — корень репозитория относительно каталога пакета.
+const repoRoot = "../.."
+
+// Транспорты — тонкие обёртки над ядром: не знают друг о друге и никем из ядра
+// не импортируются (CLAUDE.md, «Единое ядро, тонкие транспорты»).
+var transports = map[string]bool{
+	"internal/httpapi": true,
+	"internal/tgbot":   true,
+}
+
+func TestТранспортыНеЗависятДругОтДруга(t *testing.T) {
+	for pkg, imports := range internalImports(t) {
+		if !transports[pkg] {
+			continue
+		}
+		for _, imp := range imports {
+			if transports[imp] && imp != pkg {
+				t.Errorf("%s импортирует транспорт %s: транспорты не знают друг о друге, общая логика живёт в ядре", pkg, imp)
+			}
+		}
+	}
+}
+
+func TestЯдроНеЗависитОтТранспортов(t *testing.T) {
+	for pkg, imports := range internalImports(t) {
+		if transports[pkg] || pkg == "cmd/jellybit" {
+			continue
+		}
+		for _, imp := range imports {
+			if transports[imp] {
+				t.Errorf("%s импортирует транспорт %s: зависимость направлена не туда, ядро не знает о доставке", pkg, imp)
+			}
+		}
+	}
+}
+
+// lastLegacyMigration — последняя миграция, написанная до того, как конвенция
+// сложилась: 0001 заводила AUTOINCREMENT и DEFAULT datetime('now'), 0006 и 0008
+// как раз уводили схему на ULID и RFC 3339 и потому упоминают старую форму.
+// Миграции неизменяемы, переписывать их нельзя — правило действует на новые.
+const lastLegacyMigration = 8
+
+// docs/conventions/database.md: PK — TEXT ULID через internal/ident, время
+// генерирует приложение (store.Now), а не SQLite.
+func TestМиграцииБезAutoincrementИСерверногоВремени(t *testing.T) {
+	forbidden := []struct {
+		re  *regexp.Regexp
+		why string
+	}{
+		{regexp.MustCompile(`(?i)autoincrement`), "PK — TEXT ULID через internal/ident, без AUTOINCREMENT"},
+		{regexp.MustCompile(`(?i)default\s*\(?\s*(datetime\s*\(\s*'now'|current_timestamp)`), "время генерирует приложение через store.Now(), а не DEFAULT в схеме (fail-loud при забытой вставке)"},
+	}
+	dir := filepath.Join(repoRoot, "internal/store/migrations")
+	entries, err := os.ReadDir(dir)
+	if err != nil {
+		t.Fatalf("читаю каталог миграций: %v", err)
+	}
+	for _, e := range entries {
+		if e.IsDir() || migrationNumber(t, e.Name()) <= lastLegacyMigration {
+			continue
+		}
+		body, err := os.ReadFile(filepath.Join(dir, e.Name()))
+		if err != nil {
+			t.Fatalf("читаю %s: %v", e.Name(), err)
+		}
+		for _, f := range forbidden {
+			if loc := f.re.FindIndex(body); loc != nil {
+				t.Errorf("%s: строка %d — %s", e.Name(), lineOf(body, loc[0]), f.why)
+			}
+		}
+	}
+}
+
+// docs/conventions/errors.md: сравнение ошибок — errors.Is/errors.As, никогда
+// по тексту. errorlint ловит `err == ErrX` и приведение типа, но не матчинг
+// подстрокой — его ловим здесь.
+func TestОшибкиНеМатчатсяПоТексту(t *testing.T) {
+	re := regexp.MustCompile(`(strings\.(Contains|HasPrefix|HasSuffix|EqualFold)\([^)]*\.Error\(\)|\.Error\(\)\s*==)`)
+	for _, path := range goFiles(t) {
+		body, err := os.ReadFile(path)
+		if err != nil {
+			t.Fatalf("читаю %s: %v", path, err)
+		}
+		if loc := re.FindIndex(body); loc != nil {
+			rel, _ := filepath.Rel(repoRoot, path)
+			t.Errorf("%s:%d — ошибку матчим через errors.Is/errors.As, а не по тексту сообщения", rel, lineOf(body, loc[0]))
+		}
+	}
+}
+
+// internalImports возвращает карту «пакет репозитория → его внутренние импорты»
+// (пути относительно корня модуля).
+func internalImports(t *testing.T) map[string][]string {
+	t.Helper()
+	out := map[string][]string{}
+	fset := token.NewFileSet()
+	for _, path := range goFiles(t) {
+		f, err := parser.ParseFile(fset, path, nil, parser.ImportsOnly)
+		if err != nil {
+			t.Fatalf("разбираю %s: %v", path, err)
+		}
+		rel, err := filepath.Rel(repoRoot, filepath.Dir(path))
+		if err != nil {
+			t.Fatalf("отношу путь %s: %v", path, err)
+		}
+		for _, imp := range f.Imports {
+			p := strings.Trim(imp.Path.Value, `"`)
+			if after, ok := strings.CutPrefix(p, modulePath+"/"); ok {
+				out[rel] = append(out[rel], after)
+			}
+		}
+	}
+	return out
+}
+
+// goFiles — все нетестовые .go файлы репозитория (без tmp и вендорных каталогов).
+func goFiles(t *testing.T) []string {
+	t.Helper()
+	var files []string
+	err := filepath.WalkDir(repoRoot, func(path string, d os.DirEntry, err error) error {
+		if err != nil {
+			return err
+		}
+		if d.IsDir() {
+			switch d.Name() {
+			case "tmp", "vendor", ".git", "node_modules":
+				return filepath.SkipDir
+			}
+			return nil
+		}
+		if strings.HasSuffix(path, ".go") && !strings.HasSuffix(path, "_test.go") {
+			files = append(files, path)
+		}
+		return nil
+	})
+	if err != nil {
+		t.Fatalf("обхожу репозиторий: %v", err)
+	}
+	return files
+}
+
+// migrationNumber достаёт числовой префикс имени миграции (0009_… → 9).
+func migrationNumber(t *testing.T, name string) int {
+	t.Helper()
+	prefix, _, ok := strings.Cut(name, "_")
+	if !ok {
+		t.Fatalf("имя миграции без числового префикса: %s", name)
+	}
+	n, err := strconv.Atoi(prefix)
+	if err != nil {
+		t.Fatalf("нечисловой префикс миграции %s: %v", name, err)
+	}
+	return n
+}
+
+func lineOf(body []byte, offset int) int {
+	return 1 + strings.Count(string(body[:offset]), "\n")
+}

internal/config/config.go

@@ -5,13 +5,19 @@ import (
 	"errors"
 	"fmt"
 	"os"
+	"path/filepath"
 	"time"
 
 	"github.com/pelletier/go-toml/v2"
 )
 
+// DefaultPath — имя конфига по умолчанию: ищется в рабочей директории
+// процесса. Переопределяется опцией --config=path.
+const DefaultPath = "config.toml"
+
 // Config — корневая конфигурация сервиса (см. config.example.toml).
 type Config struct {
+	General     General     `toml:"general"`
 	QBittorrent QBittorrent `toml:"qbittorrent"`
 	Paths       Paths       `toml:"paths"`
 	Storage     Storage     `toml:"storage"`
@@ -25,6 +31,21 @@ type Config struct {
 	Log         Log         `toml:"log"`
 }
 
+// General — общие настройки приложения.
+type General struct {
+	// Timezone — таймзона ОТОБРАЖЕНИЯ времени в веб-UI (IANA, напр.
+	// "Europe/Moscow"). Хранение всегда UTC; настройка влияет только на рендеринг.
+	// Пусто → UTC. База зон встроена (time/tzdata), поэтому имя валидируется
+	// одинаково на любом хосте (см. DisplayLocation).
+	Timezone string `toml:"timezone"`
+	// Language — язык локализованного вывода: `title` от LLM-детектора и
+	// режиссёр/локаль запросов к метабазам. Допустимо: "ru" | "en", пусто → "en"
+	// (см. ContentLanguage). `original_title` от настройки не зависит — всегда на
+	// языке оригинала. Диалект локали провайдера (напр. TMDB ru-RU/en-US) выводит
+	// сам провайдер из этого кода.
+	Language string `toml:"language"`
+}
+
 // QBittorrent — доступ к qBittorrent WebUI и раскладка путей загрузок.
 type QBittorrent struct {
 	URL      string `toml:"url"`
@@ -40,7 +61,7 @@ type QBittorrent struct {
 	PathMap  map[string]string `toml:"path_map"`
 }
 
-// Paths — хост-пути медиа-песочницы (см. docs/specs/architecture.md).
+// Paths — хост-пути медиа-песочницы (см. docs/architecture.md).
 type Paths struct {
 	Downloads string `toml:"downloads"`
 	Movies    string `toml:"movies"`
@@ -71,7 +92,9 @@ type Metadata struct {
 }
 
 // MetadataProvider — настройки одного провайдера метаданных. У keyless-баз
-// (TVMaze) поле api_key не используется.
+// (TVMaze) поле api_key не используется. Язык названий задаёт глобальный
+// [general].language (локаль провайдера выводится из него), отдельной настройки
+// у провайдера нет.
 type MetadataProvider struct {
 	Enabled bool     `toml:"enabled"`
 	APIKey  string   `toml:"api_key"`
@@ -94,6 +117,14 @@ type Worker struct {
 	PollInterval  Duration `toml:"poll_interval"`
 	StuckAfter    Duration `toml:"stuck_after"`
 	MagnetTimeout Duration `toml:"magnet_timeout"`
+	// CatchTimeout — сколько пойманная (catched) загрузка может ждать добавления
+	// в qBittorrent, прежде чем счесть его невозможным и увести задачу в failed.
+	// Редкий предохранитель на случай устойчивой недоступности qBittorrent.
+	CatchTimeout Duration `toml:"catch_timeout"`
+	// SourceMissingThreshold — сколько подряд тиков сверки без раздачи в
+	// qBittorrent нужно, чтобы счесть источник удалённым (дебаунс пропажи,
+	// см. state-reconciliation). Любое появление раздачи сбрасывает счётчик.
+	SourceMissingThreshold int `toml:"source_missing_threshold"`
 }
 
 // Recognition — пороги распознавания.
@@ -141,10 +172,37 @@ func (d *Duration) UnmarshalText(text []byte) error {
 // Std возвращает обычный time.Duration.
 func (d Duration) Std() time.Duration { return time.Duration(d) }
 
+// DisplayLocation возвращает таймзону отображения времени в веб-UI (пусто → UTC).
+// Ошибка — если имя зоны не распознано; валидируется на старте (validate).
+// Зоны доступны на любом хосте: база zoneinfo встроена в бинарь (time/tzdata),
+// поэтому ошибка означает именно битое имя, а не отсутствие zoneinfo.
+func (c *Config) DisplayLocation() (*time.Location, error) {
+	if c.General.Timezone == "" {
+		return time.UTC, nil
+	}
+	loc, err := time.LoadLocation(c.General.Timezone)
+	if err != nil {
+		return nil, fmt.Errorf("general.timezone %q: %w", c.General.Timezone, err)
+	}
+	return loc, nil
+}
+
+// ContentLanguage возвращает язык локализованного вывода абстрактным кодом
+// ("ru" | "en"); пусто → "en". Диалект локали конкретного провайдера (ru-RU,
+// en-US, …) выводит сам провайдер из этого кода — здесь его не знаем. Значение
+// провалидировано на старте (validate): либо пусто, либо один из кодов.
+func (c *Config) ContentLanguage() string {
+	if c.General.Language == "" {
+		return "en"
+	}
+	return c.General.Language
+}
+
 // Default возвращает конфиг с разумными умолчаниями; значения из файла
 // перекрывают их при загрузке.
 func Default() *Config {
 	return &Config{
+		General: General{Timezone: "UTC", Language: "en"},
 		QBittorrent: QBittorrent{
 			URL:      "http://qbit:8989",
 			Username: "admin",
@@ -168,9 +226,11 @@ func Default() *Config {
 		},
 		Jellyfin: Jellyfin{Timeout: Duration(10 * time.Second)},
 		Worker: Worker{
-			PollInterval:  Duration(5 * time.Second),
-			StuckAfter:    Duration(time.Hour),
-			MagnetTimeout: Duration(30 * time.Minute),
+			PollInterval:           Duration(5 * time.Second),
+			StuckAfter:             Duration(time.Hour),
+			MagnetTimeout:          Duration(24 * time.Hour),
+			CatchTimeout:           Duration(10 * time.Minute),
+			SourceMissingThreshold: 3,
 		},
 		Recognition: Recognition{AutoConfidenceThreshold: 0.85},
 		HTTP:        HTTP{Listen: ":8080"},
@@ -195,15 +255,113 @@ func Load(path string) (*Config, error) {
 	return cfg, nil
 }
 
+// validate — fail-fast проверка конфига на старте: обязательные поля заданы,
+// медиа-пути доступны и не выходят из песочницы, диапазоны соблюдены, секреты
+// включённых секций не пусты. Длительности уже провалидированы при разборе
+// TOML (UnmarshalText). Лог об ошибке пишет граница (cmd/jellybit), не загрузчик.
 func (c *Config) validate() error {
+	// Собираем все проблемы разом (errors.Join), чтобы оператор увидел все
+	// огрехи отрендеренного файла за один проход, а не правил их по одной.
+	var errs []error
+
+	// Обязательные поля ядра.
+	if c.QBittorrent.URL == "" {
+		errs = append(errs, errors.New("qbittorrent.url is empty"))
+	}
 	if c.HTTP.Listen == "" {
-		return errors.New("http.listen is empty")
+		errs = append(errs, errors.New("http.listen is empty"))
 	}
 	if c.Storage.DBPath == "" {
-		return errors.New("storage.db_path is empty")
+		errs = append(errs, errors.New("storage.db_path is empty"))
 	}
 	if c.LLM.Type != "openai-compat" {
-		return fmt.Errorf("unsupported llm.type %q (supported: openai-compat)", c.LLM.Type)
+		errs = append(errs, fmt.Errorf("unsupported llm.type %q (supported: openai-compat)", c.LLM.Type))
+	}
+	// Таймзона отображения: имя должно распознаваться (zoneinfo встроен).
+	if _, err := c.DisplayLocation(); err != nil {
+		errs = append(errs, err)
+	}
+	// Язык локализованного вывода: пусто (→ en) или один из кодов. Fail-fast,
+	// как llm.type: мусорное значение не должно молча дефолтить. Множество
+	// {ru, en} — канон; при добавлении кода синхронно расширь мапперы
+	// metadata.tmdbLocale, metadata.tvdbLocale и recognize.languageDirective,
+	// иначе новый язык молча даст английский вывод.
+	switch c.General.Language {
+	case "", "ru", "en":
+	default:
+		errs = append(errs, fmt.Errorf("unsupported general.language %q (supported: ru, en)", c.General.Language))
+	}
+
+	// Медиа-пути песочницы: абсолютные, без traversal, существующие каталоги.
+	for _, p := range []struct{ name, path string }{
+		{"paths.downloads", c.Paths.Downloads},
+		{"paths.movies", c.Paths.Movies},
+		{"paths.series", c.Paths.Series},
+	} {
+		if err := validateMediaDir(p.name, p.path); err != nil {
+			errs = append(errs, err)
+		}
+	}
+
+	// Диапазоны.
+	if t := c.Recognition.AutoConfidenceThreshold; t < 0 || t > 1 {
+		errs = append(errs, fmt.Errorf("recognition.auto_confidence_threshold %.3f is out of range [0, 1]", t))
+	}
+	if c.LLM.MaxRetries < 0 {
+		errs = append(errs, fmt.Errorf("llm.max_retries %d must be >= 0", c.LLM.MaxRetries))
+	}
+	if c.Worker.SourceMissingThreshold < 1 {
+		errs = append(errs, fmt.Errorf("worker.source_missing_threshold %d must be >= 1", c.Worker.SourceMissingThreshold))
+	}
+
+	// qbittorrent.password намеренно не обязателен: qBittorrent может работать без
+	// аутентификации (например, обход авторизации для клиентов из доверенной
+	// подсети) — пустой пароль валиден.
+	// llm.api_key намеренно не обязателен: keyless-local LLM (LM Studio с
+	// заданным base_url, но без ключа) — валидный документированный дефолт.
+
+	// Консистентность опциональных секций: enabled ⇒ заданы нужные поля/секреты.
+	if c.Metadata.TMDB.Enabled && c.Metadata.TMDB.APIKey == "" {
+		errs = append(errs, errors.New("metadata.tmdb.enabled but metadata.tmdb.api_key is empty"))
+	}
+	if c.Metadata.TVDB.Enabled && c.Metadata.TVDB.APIKey == "" {
+		errs = append(errs, errors.New("metadata.tvdb.enabled but metadata.tvdb.api_key is empty"))
+	}
+	if c.Jellyfin.Enabled {
+		if c.Jellyfin.URL == "" {
+			errs = append(errs, errors.New("jellyfin.enabled but jellyfin.url is empty"))
+		}
+		if c.Jellyfin.APIKey == "" {
+			errs = append(errs, errors.New("jellyfin.enabled but jellyfin.api_key is empty (required secret)"))
+		}
+	}
+	if c.Telegram.Enabled && c.Telegram.Token == "" {
+		errs = append(errs, errors.New("telegram.enabled but telegram.token is empty (required secret)"))
+	}
+	return errors.Join(errs...)
+}
+
+// validateMediaDir проверяет путь медиа-песочницы: непустой, абсолютный, без
+// traversal (filepath.Clean — без `..`/лишних разделителей) и указывает на
+// существующий доступный каталог. Отдельного корня песочницы в конфиге нет,
+// поэтому «строго под песочницей» обеспечиваем абсолютностью и отсутствием
+// traversal; единый монтируемый корень (/srv/media) — забота деплоя.
+func validateMediaDir(name, path string) error {
+	if path == "" {
+		return fmt.Errorf("%s is empty", name)
+	}
+	if !filepath.IsAbs(path) {
+		return fmt.Errorf("%s %q must be an absolute path", name, path)
+	}
+	if filepath.Clean(path) != path {
+		return fmt.Errorf("%s %q must be a clean path (no .. or redundant separators)", name, path)
+	}
+	info, err := os.Stat(path)
+	if err != nil {
+		return fmt.Errorf("%s %q is not accessible: %w", name, path, err)
+	}
+	if !info.IsDir() {
+		return fmt.Errorf("%s %q is not a directory", name, path)
 	}
 	return nil
 }

internal/config/config_test.go

@@ -0,0 +1,133 @@
+package config
+
+import (
+	"os"
+	"path/filepath"
+	"strings"
+	"testing"
+	"time"
+)
+
+// validCfg возвращает минимально валидный конфиг поверх Default() с медиа-путями
+// во временном каталоге (существуют как директории).
+func validCfg(t *testing.T) *Config {
+	t.Helper()
+	dir := t.TempDir()
+	c := Default()
+	c.QBittorrent.Password = "secret"
+	c.Paths.Downloads = filepath.Join(dir, "downloads")
+	c.Paths.Movies = filepath.Join(dir, "movies")
+	c.Paths.Series = filepath.Join(dir, "series")
+	for _, p := range []string{c.Paths.Downloads, c.Paths.Movies, c.Paths.Series} {
+		if err := os.MkdirAll(p, 0o755); err != nil {
+			t.Fatalf("mkdir %s: %v", p, err)
+		}
+	}
+	// LLM по умолчанию без base_url — секция выключена, api_key не требуется.
+	c.LLM.BaseURL = ""
+	return c
+}
+
+func TestValidate_OK(t *testing.T) {
+	if err := validCfg(t).validate(); err != nil {
+		t.Fatalf("ожидался валидный конфиг, got %v", err)
+	}
+}
+
+// TestValidate_NoQBittorrentPassword — пустой пароль qBittorrent валиден:
+// клиент может работать без аутентификации (обход авторизации для доверенной
+// подсети).
+func TestValidate_NoQBittorrentPassword(t *testing.T) {
+	c := validCfg(t)
+	c.QBittorrent.Password = ""
+	if err := c.validate(); err != nil {
+		t.Fatalf("пустой пароль qBittorrent должен быть валиден, got %v", err)
+	}
+}
+
+// TestValidate_KeylessLocalLLM — keyless-local LLM (задан base_url, пустой
+// api_key, напр. LM Studio) — валиден: ключ не обязателен.
+func TestValidate_KeylessLocalLLM(t *testing.T) {
+	c := validCfg(t)
+	c.LLM.BaseURL = "http://host.docker.internal:1234/v1"
+	c.LLM.APIKey = ""
+	if err := c.validate(); err != nil {
+		t.Fatalf("keyless-local LLM должен быть валиден, got %v", err)
+	}
+}
+
+// TestDisplayLocation — зона отображения: пусто → UTC, валидная зона грузится,
+// zoneinfo встроен (time/tzdata) → доступна на любом хосте.
+func TestDisplayLocation(t *testing.T) {
+	empty := &Config{}
+	if loc, err := empty.DisplayLocation(); err != nil || loc != time.UTC {
+		t.Fatalf("пустая зона → UTC, got %v, %v", loc, err)
+	}
+
+	c := &Config{General: General{Timezone: "Europe/Moscow"}}
+	loc, err := c.DisplayLocation()
+	if err != nil {
+		t.Fatalf("Europe/Moscow должна грузиться (tzdata встроен): %v", err)
+	}
+	if loc.String() != "Europe/Moscow" {
+		t.Fatalf("loc = %q, want Europe/Moscow", loc.String())
+	}
+}
+
+// TestContentLanguage — язык вывода: дефолт en (в т.ч. из Default()), пусто → en,
+// коды ru/en возвращаются как есть.
+func TestContentLanguage(t *testing.T) {
+	if got := Default().ContentLanguage(); got != "en" {
+		t.Fatalf("Default().ContentLanguage() = %q, want en", got)
+	}
+	cases := map[string]string{"": "en", "ru": "ru", "en": "en"}
+	for in, want := range cases {
+		c := &Config{General: General{Language: in}}
+		if got := c.ContentLanguage(); got != want {
+			t.Errorf("ContentLanguage(%q) = %q, want %q", in, got, want)
+		}
+	}
+}
+
+// TestValidate_EmptyLanguageOK — пустой язык валиден (нормализуется в en аксессором).
+func TestValidate_EmptyLanguageOK(t *testing.T) {
+	c := validCfg(t)
+	c.General.Language = ""
+	if err := c.validate(); err != nil {
+		t.Fatalf("пустой general.language должен быть валиден, got %v", err)
+	}
+}
+
+func TestValidate_Errors(t *testing.T) {
+	cases := []struct {
+		name   string
+		mutate func(*Config)
+		want   string
+	}{
+		{"empty qbittorrent.url", func(c *Config) { c.QBittorrent.URL = "" }, "qbittorrent.url"},
+		{"empty db_path", func(c *Config) { c.Storage.DBPath = "" }, "storage.db_path"},
+		{"bad llm.type", func(c *Config) { c.LLM.Type = "anthropic" }, "llm.type"},
+		{"relative movies", func(c *Config) { c.Paths.Movies = "movies" }, "absolute"},
+		{"traversal series", func(c *Config) { c.Paths.Series = c.Paths.Series + "/../x" }, "clean"},
+		{"missing downloads", func(c *Config) { c.Paths.Downloads = "/no/such/dir/jellybit" }, "not accessible"},
+		{"threshold high", func(c *Config) { c.Recognition.AutoConfidenceThreshold = 1.5 }, "auto_confidence_threshold"},
+		{"negative retries", func(c *Config) { c.LLM.MaxRetries = -1 }, "max_retries"},
+		{"tmdb enabled no key", func(c *Config) { c.Metadata.TMDB.Enabled = true }, "metadata.tmdb"},
+		{"tvdb enabled no key", func(c *Config) { c.Metadata.TVDB.Enabled = true }, "metadata.tvdb"},
+		{"jellyfin enabled no url", func(c *Config) { c.Jellyfin.Enabled = true; c.Jellyfin.URL = "" }, "jellyfin.url"},
+		{"jellyfin enabled no key", func(c *Config) { c.Jellyfin.Enabled = true; c.Jellyfin.URL = "http://j"; c.Jellyfin.APIKey = "" }, "jellyfin.api_key"},
+		{"telegram enabled no token", func(c *Config) { c.Telegram.Enabled = true }, "telegram.token"},
+		{"bad timezone", func(c *Config) { c.General.Timezone = "Mars/Phobos" }, "general.timezone"},
+		{"bad language", func(c *Config) { c.General.Language = "de" }, "general.language"},
+	}
+	for _, tc := range cases {
+		t.Run(tc.name, func(t *testing.T) {
+			c := validCfg(t)
+			tc.mutate(c)
+			err := c.validate()
+			if err == nil || !strings.Contains(err.Error(), tc.want) {
+				t.Fatalf("ожидалась ошибка про %q, got %v", tc.want, err)
+			}
+		})
+	}
+}

internal/httpapi/action_swap_test.go

@@ -0,0 +1,443 @@
+package httpapi
+
+import (
+	"context"
+	"errors"
+	"log/slog"
+	"net/http"
+	"net/http/httptest"
+	"net/url"
+	"strings"
+	"testing"
+
+	"git.vakhrushev.me/av/jellybit/internal/layout"
+	"git.vakhrushev.me/av/jellybit/internal/recognize"
+	"git.vakhrushev.me/av/jellybit/internal/store"
+	"git.vakhrushev.me/av/jellybit/internal/worker"
+)
+
+// stubCommander — Commander-заглушка с инъекцией ошибок cancel/retry.
+type stubCommander struct{ cancelErr, retryErr error }
+
+func (s stubCommander) Cancel(context.Context, string) error { return s.cancelErr }
+func (s stubCommander) Retry(context.Context, string) error  { return s.retryErr }
+
+// actionReviewer — Reviewer-заглушка с инъекцией ошибок петлевых/своп-действий
+// и захватом подсказки refine.
+type actionReviewer struct {
+	stubReviewer
+	undoErr        error
+	deleteErr      error
+	dismissErr     error
+	relinkErr      error
+	rerecognizeErr error
+	refineErr      error
+	gotHint        *string // если не nil — сюда пишется hint из Refine
+}
+
+func (a actionReviewer) Undo(context.Context, string) error        { return a.undoErr }
+func (a actionReviewer) Delete(context.Context, string) error      { return a.deleteErr }
+func (a actionReviewer) Dismiss(context.Context, string) error     { return a.dismissErr }
+func (a actionReviewer) Relink(context.Context, string) error      { return a.relinkErr }
+func (a actionReviewer) Rerecognize(context.Context, string) error { return a.rerecognizeErr }
+func (a actionReviewer) Refine(_ context.Context, _ string, hint string) error {
+	if a.gotHint != nil {
+		*a.gotHint = hint
+	}
+	return a.refineErr
+}
+
+func testRouterAction(t *testing.T, r stubReader, rv Reviewer, cmd Commander, lv stubLive) http.Handler {
+	t.Helper()
+	h, err := NewRouter(Deps{
+		Logger:    slog.New(slog.DiscardHandler),
+		Reader:    r,
+		Reviewer:  rv,
+		Commander: cmd,
+		Live:      lv,
+	})
+	if err != nil {
+		t.Fatalf("NewRouter: %v", err)
+	}
+	return h
+}
+
+// post отправляет POST-форму; htmx=true добавляет заголовок HX-Request.
+func post(t *testing.T, h http.Handler, path string, form url.Values, htmx bool) *httptest.ResponseRecorder {
+	t.Helper()
+	req := httptest.NewRequest(http.MethodPost, path, strings.NewReader(form.Encode()))
+	req.Header.Set("Content-Type", "application/x-www-form-urlencoded")
+	if htmx {
+		req.Header.Set("HX-Request", "true")
+	}
+	rr := httptest.NewRecorder()
+	h.ServeHTTP(rr, req)
+	return rr
+}
+
+func dlState(s store.State) store.Download {
+	return store.Download{
+		ID:         testULID,
+		SourceRef:  "Fargo.S02",
+		Infohashes: []store.Infohash{{DownloadID: testULID, Infohash: "ihswap", Kind: store.HashV1}},
+		State:      s,
+	}
+}
+
+// TestUndoListHTMXSwapsCard: откат из списка (surface=list) при htmx → 200 и
+// фрагмент карточки с новым состоянием, не редирект.
+func TestUndoListHTMXSwapsCard(t *testing.T) {
+	dl := dlState(store.StateReverted) // GetDownload после действия отдаёт новое состояние
+	h := testRouterAction(t, stubReader{one: &dl}, actionReviewer{}, stubCommander{}, stubLive{})
+
+	rr := post(t, h, "/ui/downloads/"+testULID+"/undo", url.Values{"surface": {"list"}}, true)
+	if rr.Code != http.StatusOK {
+		t.Fatalf("undo (htmx) = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	if !strings.Contains(body, `id="card-`+testULID+`"`) {
+		t.Errorf("ответ не содержит фрагмент карточки: %s", body)
+	}
+	if !strings.Contains(body, "st-reverted") {
+		t.Errorf("карточка без нового состояния (st-reverted): %s", body)
+	}
+}
+
+// TestUndoNoHTMXRedirects: без htmx откат деградирует до PRG-редиректа на список.
+func TestUndoNoHTMXRedirects(t *testing.T) {
+	dl := dlState(store.StateReverted)
+	h := testRouterAction(t, stubReader{one: &dl}, actionReviewer{}, stubCommander{}, stubLive{})
+
+	rr := post(t, h, "/ui/downloads/"+testULID+"/undo", nil, false)
+	if rr.Code != http.StatusSeeOther {
+		t.Fatalf("undo (no htmx) = %d, want 303", rr.Code)
+	}
+	if loc := rr.Header().Get("Location"); loc != "/" {
+		t.Errorf("redirect на %q, want /", loc)
+	}
+}
+
+// TestDownloadSurfaceHTMXSwapsMain: действие со страницы загрузки (surface=download)
+// при htmx → 200 и фрагмент download_main.
+func TestDownloadSurfaceHTMXSwapsMain(t *testing.T) {
+	dl := dlState(store.StateReverted)
+	rv := actionReviewer{stubReviewer: stubReviewer{data: &worker.ReviewData{Download: dl}}}
+	h := testRouterAction(t, stubReader{one: &dl}, rv, stubCommander{}, stubLive{})
+
+	rr := post(t, h, "/ui/downloads/"+testULID+"/undo", url.Values{"surface": {"download"}}, true)
+	if rr.Code != http.StatusOK {
+		t.Fatalf("undo download (htmx) = %d, want 200", rr.Code)
+	}
+	if !strings.Contains(rr.Body.String(), `id="download-main"`) {
+		t.Errorf("ответ не содержит фрагмент download_main: %s", rr.Body.String())
+	}
+}
+
+// TestRerecognizeHTMXSwapsReviewMain: перераспознавание при htmx → 200 и тело
+// ревью review_main в состоянии recognizing с поллером.
+func TestRerecognizeHTMXSwapsReviewMain(t *testing.T) {
+	dl := dlState(store.StateRecognizing)
+	rv := actionReviewer{stubReviewer: stubReviewer{data: &worker.ReviewData{Download: dl}}}
+	h := testRouterAction(t, stubReader{one: &dl}, rv, stubCommander{}, stubLive{})
+
+	rr := post(t, h, "/ui/downloads/"+testULID+"/rerecognize", nil, true)
+	if rr.Code != http.StatusOK {
+		t.Fatalf("rerecognize (htmx) = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	if !strings.Contains(body, `id="review-main"`) {
+		t.Errorf("ответ не содержит фрагмент review_main: %s", body)
+	}
+	if !strings.Contains(body, `hx-trigger="every 2s"`) {
+		t.Errorf("recognizing без поллера (hx-trigger every 2s): %s", body)
+	}
+}
+
+// TestRerecognizeNoHTMXRedirects: без htmx перераспознавание → редирект на ревью.
+func TestRerecognizeNoHTMXRedirects(t *testing.T) {
+	dl := dlState(store.StateRecognizing)
+	rv := actionReviewer{stubReviewer: stubReviewer{data: &worker.ReviewData{Download: dl}}}
+	h := testRouterAction(t, stubReader{one: &dl}, rv, stubCommander{}, stubLive{})
+
+	rr := post(t, h, "/ui/downloads/"+testULID+"/rerecognize", nil, false)
+	if rr.Code != http.StatusSeeOther {
+		t.Fatalf("rerecognize (no htmx) = %d, want 303", rr.Code)
+	}
+	if loc := rr.Header().Get("Location"); loc != "/review/"+testULID {
+		t.Errorf("redirect на %q, want /review/{id}", loc)
+	}
+}
+
+// TestFragReviewPollerStops: фрагмент тела ревью несёт поллер в recognizing и не
+// несёт его в review (опрос сам прекращается).
+func TestFragReviewPollerStops(t *testing.T) {
+	recDL := dlState(store.StateRecognizing)
+	hRec := testRouterAction(t, stubReader{one: &recDL},
+		actionReviewer{stubReviewer: stubReviewer{data: &worker.ReviewData{Download: recDL}}}, stubCommander{}, stubLive{})
+	if rr := get(t, hRec, "/fragments/downloads/"+testULID+"/review"); !strings.Contains(rr.Body.String(), `hx-trigger="every 2s"`) {
+		t.Errorf("recognizing: фрагмент без поллера")
+	}
+
+	revDL := dlState(store.StateReview)
+	hRev := testRouterAction(t, stubReader{one: &revDL},
+		actionReviewer{stubReviewer: stubReviewer{data: &worker.ReviewData{Download: revDL}}}, stubCommander{}, stubLive{})
+	if rr := get(t, hRev, "/fragments/downloads/"+testULID+"/review"); strings.Contains(rr.Body.String(), `hx-trigger="every 2s"`) {
+		t.Errorf("review: поллер не прекратился")
+	}
+}
+
+// TestActionErrorHTMX200: ошибка действия на htmx-пути → 200 с сообщением в
+// фрагменте (иначе htmx не свопит DOM).
+func TestActionErrorHTMX200(t *testing.T) {
+	dl := dlState(store.StateReview)
+	cmd := stubCommander{cancelErr: worker.ErrConflict}
+	h := testRouterAction(t, stubReader{one: &dl}, actionReviewer{}, cmd, stubLive{})
+
+	rr := post(t, h, "/ui/downloads/"+testULID+"/cancel", url.Values{"surface": {"list"}}, true)
+	if rr.Code != http.StatusOK {
+		t.Fatalf("cancel с ошибкой (htmx) = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	if !strings.Contains(body, `id="card-`+testULID+`"`) {
+		t.Errorf("ответ не содержит фрагмент карточки")
+	}
+	if !strings.Contains(body, "действие недоступно") {
+		t.Errorf("нет сообщения об ошибке в фрагменте: %s", body)
+	}
+}
+
+// TestRefineHTMXSwapsReviewMain: уточнить (refine) при htmx → 200 + review_main,
+// подсказка из формы доходит до доменного вызова.
+func TestRefineHTMXSwapsReviewMain(t *testing.T) {
+	dl := dlState(store.StateRecognizing)
+	var hint string
+	rv := actionReviewer{stubReviewer: stubReviewer{data: &worker.ReviewData{Download: dl}}, gotHint: &hint}
+	h := testRouterAction(t, stubReader{one: &dl}, rv, stubCommander{}, stubLive{})
+
+	rr := post(t, h, "/ui/downloads/"+testULID+"/refine", url.Values{"hint": {"это Fargo 2014"}}, true)
+	if rr.Code != http.StatusOK {
+		t.Fatalf("refine (htmx) = %d, want 200", rr.Code)
+	}
+	if !strings.Contains(rr.Body.String(), `id="review-main"`) {
+		t.Errorf("refine не отдал review_main")
+	}
+	if hint != "это Fargo 2014" {
+		t.Errorf("hint = %q, want «это Fargo 2014» (форма не разобрана)", hint)
+	}
+}
+
+// TestDownloadSurfaceNoHTMXRedirects: действие со страницы загрузки без htmx →
+// 303 (деградация на редирект, как и для списка).
+func TestDownloadSurfaceNoHTMXRedirects(t *testing.T) {
+	dl := dlState(store.StateReverted)
+	rv := actionReviewer{stubReviewer: stubReviewer{data: &worker.ReviewData{Download: dl}}}
+	h := testRouterAction(t, stubReader{one: &dl}, rv, stubCommander{}, stubLive{})
+
+	rr := post(t, h, "/ui/downloads/"+testULID+"/undo", url.Values{"surface": {"download"}}, false)
+	if rr.Code != http.StatusSeeOther {
+		t.Fatalf("undo download (no htmx) = %d, want 303", rr.Code)
+	}
+}
+
+// TestReviewCancelNoHTMXNavigates: отклонение из ревью (форма без hx-*/surface) —
+// навигация на список (выход из ревью), а не своп.
+func TestReviewCancelNoHTMXNavigates(t *testing.T) {
+	dl := dlState(store.StateReview)
+	h := testRouterAction(t, stubReader{one: &dl}, actionReviewer{}, stubCommander{}, stubLive{})
+
+	rr := post(t, h, "/ui/downloads/"+testULID+"/cancel", nil, false)
+	if rr.Code != http.StatusSeeOther {
+		t.Fatalf("cancel из ревью (no htmx) = %d, want 303", rr.Code)
+	}
+	if loc := rr.Header().Get("Location"); loc != "/" {
+		t.Errorf("redirect на %q, want / (выход из ревью)", loc)
+	}
+}
+
+// TestActionErrorDownloadSurface: ошибка действия на странице загрузки (htmx) →
+// 200 + фрагмент download_main с сообщением.
+func TestActionErrorDownloadSurface(t *testing.T) {
+	dl := dlState(store.StateDone)
+	rv := actionReviewer{stubReviewer: stubReviewer{data: &worker.ReviewData{Download: dl}}, undoErr: worker.ErrConflict}
+	h := testRouterAction(t, stubReader{one: &dl}, rv, stubCommander{}, stubLive{})
+
+	rr := post(t, h, "/ui/downloads/"+testULID+"/undo", url.Values{"surface": {"download"}}, true)
+	if rr.Code != http.StatusOK {
+		t.Fatalf("undo download с ошибкой (htmx) = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	if !strings.Contains(body, `id="download-main"`) {
+		t.Errorf("ответ не содержит download_main")
+	}
+	if !strings.Contains(body, "действие недоступно") {
+		t.Errorf("нет сообщения об ошибке в download_main: %s", body)
+	}
+}
+
+// reviewDataWithSource собирает ReviewData ревью с одним нейронка-источником;
+// withLinks управляет наличием превью раскладки (HasLinks).
+func reviewDataWithSource(withLinks bool) *worker.ReviewData {
+	dl := dlState(store.StateReview)
+	plan := recognize.Plan{Type: "movie", Title: "Fargo", Year: 1996,
+		Files: []recognize.PlanFile{{Src: "fargo.mkv"}}}
+	rd := &worker.ReviewData{
+		Download:    dl,
+		Recognition: &store.Recognition{},
+		Plan:        plan,
+		Sources: []worker.SourceOption{
+			{Kind: worker.SourceNeural, Provider: "none", Title: "Fargo", Year: 1996, Active: true},
+		},
+	}
+	if withLinks {
+		rd.Preview = []layout.Link{{Src: "fargo.mkv", Dst: "/movies/Fargo (1996)/fargo.mkv"}}
+	}
+	return rd
+}
+
+// TestSourceSwapUpdatesActionBarOOB: своп выбора источника отдаёт свежий
+// #source-block и oob-обновление панели действий (#action-bar с hx-swap-oob),
+// чтобы кнопка «Применить» синхронно отражала актуальный HasLinks.
+func TestSourceSwapUpdatesActionBarOOB(t *testing.T) {
+	t.Run("с превью → есть кнопка Применить", func(t *testing.T) {
+		rd := reviewDataWithSource(true)
+		rv := actionReviewer{stubReviewer: stubReviewer{data: rd}}
+		h := testRouterAction(t, stubReader{one: &rd.Download}, rv, stubCommander{}, stubLive{})
+
+		rr := post(t, h, "/ui/downloads/"+testULID+"/nobase", nil, true)
+		if rr.Code != http.StatusOK {
+			t.Fatalf("nobase (htmx) = %d, want 200", rr.Code)
+		}
+		body := rr.Body.String()
+		if !strings.Contains(body, `id="source-block"`) {
+			t.Errorf("ответ без свежего #source-block: %s", body)
+		}
+		if !strings.Contains(body, `id="action-bar"`) || !strings.Contains(body, `hx-swap-oob="true"`) {
+			t.Errorf("ответ без oob-панели действий: %s", body)
+		}
+		if !strings.Contains(body, "/apply") {
+			t.Errorf("HasLinks=true, но в панели нет кнопки «Применить»: %s", body)
+		}
+	})
+
+	t.Run("без превью → кнопки Применить нет", func(t *testing.T) {
+		rd := reviewDataWithSource(false)
+		rv := actionReviewer{stubReviewer: stubReviewer{data: rd}}
+		h := testRouterAction(t, stubReader{one: &rd.Download}, rv, stubCommander{}, stubLive{})
+
+		rr := post(t, h, "/ui/downloads/"+testULID+"/nobase", nil, true)
+		if rr.Code != http.StatusOK {
+			t.Fatalf("nobase (htmx) = %d, want 200", rr.Code)
+		}
+		body := rr.Body.String()
+		if !strings.Contains(body, `id="action-bar"`) || !strings.Contains(body, `hx-swap-oob="true"`) {
+			t.Errorf("ответ без oob-панели действий: %s", body)
+		}
+		if strings.Contains(body, "/apply") {
+			t.Errorf("HasLinks=false, но в панели осталась кнопка «Применить»: %s", body)
+		}
+	})
+}
+
+// TestRetryListShowsProgress: retry из списка → карточка downloading с живым
+// прогрессом и самообновлением карточки (опрашивает себя карточка, а не
+// вложенный блок прогресса).
+func TestRetryListShowsProgress(t *testing.T) {
+	dl := dlState(store.StateDownloading)
+	lv := stubLive{m: map[string]worker.Live{"ihswap": {Progress: 0.42, DlSpeed: 6400000, ETA: 720}}}
+	h := testRouterAction(t, stubReader{one: &dl}, actionReviewer{}, stubCommander{}, lv)
+
+	rr := post(t, h, "/ui/downloads/"+testULID+"/retry", url.Values{"surface": {"list"}}, true)
+	if rr.Code != http.StatusOK {
+		t.Fatalf("retry (htmx) = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	for _, want := range []string{"width:42%", "/fragments/downloads/" + testULID + "/card"} {
+		if !strings.Contains(body, want) {
+			t.Errorf("карточка downloading без %q: %s", want, body)
+		}
+	}
+}
+
+// TestActionBarNamesReasonWithoutPreview: при пустом предпросмотре панель
+// действий печатает записанную причину, а не общее «Подтверди источник» —
+// иначе экран советует подтвердить уже подтверждённое и молчит о настоящей
+// причине (см. spec review, «Панель действий при пустом предпросмотре»).
+func TestActionBarNamesReasonWithoutPreview(t *testing.T) {
+	t.Run("причина показа старше записанной", func(t *testing.T) {
+		rd := reviewDataWithSource(false)
+		rd.PreviewError = `layout: имя не помещается: "Очень длинное" — 400 байт при пределе 255`
+		rd.Download.ErrorMsg = store.NullString("устаревшая причина прошлого перехода")
+		rv := actionReviewer{stubReviewer: stubReviewer{data: rd}}
+		h := testRouterAction(t, stubReader{one: &rd.Download}, rv, stubCommander{}, stubLive{})
+
+		rr := post(t, h, "/ui/downloads/"+testULID+"/nobase", nil, true)
+		if rr.Code != http.StatusOK {
+			t.Fatalf("nobase (htmx) = %d, want 200", rr.Code)
+		}
+		body := rr.Body.String()
+		if !strings.Contains(body, "не помещается") {
+			t.Errorf("панель не назвала причину: %s", body)
+		}
+		if strings.Contains(body, "Подтверди источник") {
+			t.Errorf("панель печатает общий текст вместо причины: %s", body)
+		}
+		if strings.Contains(body, "устаревшая") {
+			t.Errorf("записанная причина перебила посчитанную на показе: %s", body)
+		}
+	})
+
+	t.Run("записанная причина, когда посчитанной нет", func(t *testing.T) {
+		rd := reviewDataWithSource(false)
+		rd.Download.ErrorMsg = store.NullString("целевой файл уже существует")
+		rv := actionReviewer{stubReviewer: stubReviewer{data: rd}}
+		h := testRouterAction(t, stubReader{one: &rd.Download}, rv, stubCommander{}, stubLive{})
+
+		rr := post(t, h, "/ui/downloads/"+testULID+"/nobase", nil, true)
+		if !strings.Contains(rr.Body.String(), "уже существует") {
+			t.Errorf("панель не назвала записанную причину: %s", rr.Body.String())
+		}
+	})
+
+	t.Run("причины нет → прежний общий текст", func(t *testing.T) {
+		rd := reviewDataWithSource(false)
+		rv := actionReviewer{stubReviewer: stubReviewer{data: rd}}
+		h := testRouterAction(t, stubReader{one: &rd.Download}, rv, stubCommander{}, stubLive{})
+
+		rr := post(t, h, "/ui/downloads/"+testULID+"/nobase", nil, true)
+		if rr.Code != http.StatusOK {
+			t.Fatalf("nobase (htmx) = %d, want 200", rr.Code)
+		}
+		if !strings.Contains(rr.Body.String(), "Подтверди источник") {
+			t.Errorf("без причины ожидался общий текст: %s", rr.Body.String())
+		}
+	})
+}
+
+// TestActionSwapErrorKeepsSwapRoot: действие человека, упавшее на чтении задачи,
+// отвечает 200 и фрагментом с корнем своей поверхности — иначе своп унёс бы
+// якорь (#card-{id} у списка, #download-main у страницы) и следующие действия
+// целились бы в несуществующий узел. Ретрая у действия нет, поэтому уровень лога
+// здесь ERROR, а не WARN, как у повторяющегося тика.
+func TestActionSwapErrorKeepsSwapRoot(t *testing.T) {
+	cases := []struct{ surface, root string }{
+		{"list", `id="card-` + testULID + `"`},
+		{"download", `id="download-main"`},
+	}
+	for _, c := range cases {
+		rd := stubReader{getErr: errors.New("db is gone")}
+		h := testRouterAction(t, rd, actionReviewer{}, stubCommander{}, stubLive{})
+
+		rr := post(t, h, "/ui/downloads/"+testULID+"/cancel", url.Values{"surface": {c.surface}}, true)
+		if rr.Code != http.StatusOK {
+			t.Errorf("surface=%s: status = %d, want 200", c.surface, rr.Code)
+			continue
+		}
+		body := rr.Body.String()
+		if !strings.Contains(body, c.root) {
+			t.Errorf("surface=%s: фрагмент отказа без корня %s:\n%s", c.surface, c.root, body)
+		}
+		if strings.Contains(body, "hx-trigger") {
+			t.Errorf("surface=%s: фрагмент отказа не самозавершается:\n%s", c.surface, body)
+		}
+	}
+}

internal/httpapi/bulkdelete.go

@@ -0,0 +1,289 @@
+package httpapi
+
+import (
+	"context"
+	"errors"
+	"net/http"
+	"strconv"
+	"time"
+
+	"git.vakhrushev.me/av/jellybit/internal/ident"
+	"git.vakhrushev.me/av/jellybit/internal/store"
+	"git.vakhrushev.me/av/jellybit/internal/worker"
+)
+
+// maxBulkDelete — верхний предел числа загрузок в одной пачке. Подтверждение,
+// перечисляющее больше, человек не читает — то есть перестаёт быть
+// подтверждением; плюс один синхронный запрос упирается в столько же
+// последовательных вызовов qBittorrent. Число названо на самой странице выбора:
+// предел, о котором узнают только из отказа, отнимает уже сделанную работу.
+const maxBulkDelete = 20
+
+// bulkFailThreshold — сколько подряд идущих отказов внешнего сервиса
+// прекращают проход. Удаление снимает библиотечные ссылки раньше, чем сносит
+// раздачу: при лежащем qBittorrent каждая единица успевает выполнить
+// необратимый локальный шаг и упасть на внешнем, оставив тайтл без раскладки и
+// не освободив места. Счётчик сбрасывается на успехе — одиночная сетевая
+// ошибка пачку не рвёт.
+const bulkFailThreshold = 3
+
+// bulkBudget — потолок времени на один проход пачки. Удаление держит общий
+// замок воркера на всё время обращения к qBittorrent, поэтому медленно, но
+// успешно отвечающий сосед останавливает фоновую работу целиком, а порог
+// отказов такого не ловит — он считает только ошибки. Проверяется МЕЖДУ
+// единицами, а не отменой контекста: начатое удаление обрывать нельзя, иначе
+// оно встанет между снятием библиотечных ссылок и сносом раздачи.
+//
+// Переменная, а не константа, ровно по одной причине: тест укорачивает её —
+// иначе проверка потолка стоила бы двух минут прогона.
+var bulkBudget = 2 * time.Minute
+
+// Отказы разбора пачки. Текст — публичного канала: он показывается человеку
+// как есть, как у прочих sentinel'ов транспорта. Трансляция в статус и
+// сообщение живёт в единой точке `classifyErr`, а не рядом.
+var (
+	errBatchEmpty    = errors.New("ни одна загрузка не выбрана")
+	errBatchTooLarge = errors.New("за один раз можно удалить не больше " +
+		strconv.Itoa(maxBulkDelete) + " загрузок")
+	errBatchBadID = errors.New("некорректный идентификатор загрузки — запрос отклонён целиком")
+	errBatchForm  = errors.New("форма запроса не разобрана — запрос отклонён целиком")
+)
+
+// bulkRow — строка загрузки на любом из трёх экранов группового удаления.
+type bulkRow struct {
+	ID       string
+	Title    string
+	State    string
+	Selected bool   // отметка сохранена при возврате отказа
+	LastCopy bool   // orphaned: библиотечная ссылка осталась последней копией
+	Missing  bool   // записи в хранилище нет
+	Unread   bool   // состояние прочитать не удалось (отказ хранилища)
+	Reason   string // причина отказа (только на экране результата)
+}
+
+// bulkSelectView — страница выбора (`GET /delete`) и она же ответ на отказ
+// разбора: отметки при этом сохраняются, иначе проверка стирает всю работу.
+type bulkSelectView struct {
+	Error string
+	Max   int
+	Rows  []bulkRow
+}
+
+// bulkConfirmView — страница подтверждения: выбранные названы поимённо.
+type bulkConfirmView struct {
+	Rows []bulkRow
+}
+
+// bulkResultView — отчёт: обе половины исхода поимённо плюс остаток, если
+// проход остановлен системным отказом.
+type bulkResultView struct {
+	Deleted    []bulkRow
+	Failed     []bulkRow
+	Skipped    []bulkRow
+	StopReason string
+}
+
+// handleBulkDeletePage — страница выбора. Самообновления не несёт сознательно:
+// своп разметки унёс бы отметки, и человек подтвердил бы необратимое удаление
+// по выбору, которого уже не видит (см. openspec/specs/web-ui).
+func (s *server) handleBulkDeletePage(w http.ResponseWriter, r *http.Request) {
+	s.renderBulkSelect(w, r, "", nil)
+}
+
+// renderBulkSelect отрисовывает страницу выбора, помечая отмеченными те строки,
+// чьи идентификаторы человек уже выбрал (selected). Общий путь для чистого
+// открытия страницы и для любого отказа разбора.
+func (s *server) renderBulkSelect(w http.ResponseWriter, r *http.Request, msg string, selected []string) {
+	ds, err := s.deps.Reader.ListDeletableDownloads(r.Context())
+	if err != nil {
+		s.deps.Logger.Error("list deletable downloads", "error", err)
+		http.Error(w, "внутренняя ошибка", http.StatusInternalServerError)
+		return
+	}
+	mark := make(map[string]bool, len(selected))
+	for _, id := range selected {
+		mark[id] = true
+	}
+	view := bulkSelectView{Error: msg, Max: maxBulkDelete}
+	for _, d := range ds {
+		view.Rows = append(view.Rows, bulkRow{
+			ID:       d.ID,
+			Title:    downloadTitle(d),
+			State:    string(d.State),
+			Selected: mark[d.ID],
+			LastCopy: d.State == store.StateOrphaned,
+		})
+	}
+	s.render(w, "delete.html", view)
+}
+
+// handleBulkDeleteConfirm — экран подтверждения. Ничего не меняет: разбирает
+// вход, читает выбранные загрузки и называет каждую поимённо.
+func (s *server) handleBulkDeleteConfirm(w http.ResponseWriter, r *http.Request) {
+	ids, err := s.parseBulkBatch(r)
+	if err != nil {
+		s.renderBulkSelect(w, r, bulkErrMsg(err), ids)
+		return
+	}
+	s.render(w, "delete_confirm.html", bulkConfirmView{Rows: s.bulkRows(r.Context(), ids)})
+}
+
+// handleBulkDelete — исполнение пачки. Признак подтверждения проверяется ДО
+// разбора и до единого вызова удаления: подтверждение — условие операции, а не
+// украшение экрана.
+func (s *server) handleBulkDelete(w http.ResponseWriter, r *http.Request) {
+	if err := r.ParseForm(); err != nil || r.PostForm.Get("confirm") != "1" {
+		s.renderBulkSelect(w, r, "Удаление уходит только со страницы подтверждения.", nil)
+		return
+	}
+	// Исполняющий запрос — самостоятельная входная граница: идентификаторы
+	// приходят формой заново, состояния между шагами сервис не хранит.
+	ids, err := s.parseBulkBatch(r)
+	if err != nil {
+		s.renderBulkSelect(w, r, bulkErrMsg(err), ids)
+		return
+	}
+
+	// Контекст исполнения отвязан от запроса: обрыв связи не вправе оборвать
+	// необратимую операцию на середине — в том числе внутри одной загрузки,
+	// между снятием библиотечных ссылок и сносом раздачи. Строки отчёта читаются
+	// тем же контекстом: собранные отменённым, они превратили бы весь отчёт в
+	// «загрузка не найдена» ровно там, где удаление идёт штатно.
+	ctx := context.WithoutCancel(r.Context())
+	rows := s.bulkRows(ctx, ids)
+
+	var res bulkResultView
+	streak := 0
+	deadline := store.Now().Add(bulkBudget)
+	for i, row := range rows {
+		if res.StopReason != "" {
+			res.Skipped = append(res.Skipped, rows[i])
+			continue
+		}
+		if store.Now().After(deadline) {
+			res.StopReason = "Проход занял дольше отведённого времени и остановлен: " +
+				"пока идёт пачка, остальная работа сервиса ждёт."
+			res.Skipped = append(res.Skipped, rows[i])
+			continue
+		}
+		err := s.deps.Reviewer.Delete(ctx, row.ID)
+		if err == nil {
+			streak = 0
+			res.Deleted = append(res.Deleted, row)
+			continue
+		}
+		row.Reason = userErr(r, err, row.ID)
+		res.Failed = append(res.Failed, row)
+		// Конфликт состояния и отсутствие записи — про саму задачу, а не про
+		// доступность соседа: счётчик системных отказов они не двигают.
+		if errors.Is(err, worker.ErrConflict) || errors.Is(err, store.ErrNotFound) {
+			continue
+		}
+		streak++
+		if streak >= bulkFailThreshold {
+			res.StopReason = "Внешний сервис отказывает подряд — проход остановлен, " +
+				"чтобы не снимать раскладку у остальных без освобождения места."
+		}
+	}
+	// Исход каждой единицы поимённо: ответ мог не дойти (вкладку закрыли), и
+	// журнал — единственное, по чему потом видно, что снесено, что отказало и до
+	// чего проход не дошёл. На воркер полагаться нельзя: отказы по конфликту и
+	// отсутствию записи он пишет на DEBUG.
+	for _, row := range res.Deleted {
+		s.deps.Logger.Info("bulk delete item", "download_id", row.ID, "outcome", "deleted")
+	}
+	for _, row := range res.Failed {
+		s.deps.Logger.Info("bulk delete item", "download_id", row.ID, "outcome", "failed",
+			"reason", row.Reason)
+	}
+	for _, row := range res.Skipped {
+		s.deps.Logger.Info("bulk delete item", "download_id", row.ID, "outcome", "skipped")
+	}
+	s.deps.Logger.Info("bulk delete finished",
+		"requested", len(rows), "deleted", len(res.Deleted),
+		"failed", len(res.Failed), "skipped", len(res.Skipped),
+		"stopped", res.StopReason != "")
+
+	s.render(w, "delete_result.html", res)
+}
+
+// bulkRows читает выбранные загрузки для показа поимённо. Идентификатор без
+// записи в хранилище не выбрасывается молча — он идёт своей строкой: человек
+// подтверждает пачку, и она обязана совпадать с тем, что он выбрал.
+func (s *server) bulkRows(ctx context.Context, ids []string) []bulkRow {
+	rows := make([]bulkRow, 0, len(ids))
+	for _, id := range ids {
+		d, err := s.deps.Reader.GetDownload(ctx, id)
+		switch {
+		case errors.Is(err, store.ErrNotFound):
+			rows = append(rows, bulkRow{ID: id, Missing: true, Title: "загрузка не найдена"})
+			continue
+		case err != nil || d == nil:
+			// Отказ хранилища — это НЕ «записи нет». Выдав одно за другое, экран
+			// сказал бы «удалять нечего» о загрузке, которую пачка снесёт
+			// по-настоящему, и для orphaned унёс бы отметку последней копии —
+			// единственный оставшийся предохранитель. Приватный канал: пишем
+			// здесь, потому что выше эта ошибка не всплывает.
+			s.deps.Logger.Error("bulk delete: read download", "download_id", id, "error", err)
+			rows = append(rows, bulkRow{ID: id, Unread: true, Title: "состояние прочитать не удалось"})
+			continue
+		}
+		rows = append(rows, bulkRow{
+			ID:       d.ID,
+			Title:    downloadTitle(*d),
+			State:    string(d.State),
+			LastCopy: d.State == store.StateOrphaned,
+		})
+	}
+	return rows
+}
+
+// parseBulkBatch разбирает пачку идентификаторов с формы. Проверки одинаковы на
+// обеих границах — подтверждения и исполнения. Возвращает разобранные
+// идентификаторы даже вместе с отказом: страница выбора возвращает по ним
+// отметки, чтобы отказ не стирал проделанную работу.
+func (s *server) parseBulkBatch(r *http.Request) ([]string, error) {
+	if err := r.ParseForm(); err != nil {
+		// Приватный канал: выше эта ошибка не всплывает, а человеку про
+		// идентификаторы говорить нечего — тело не прочиталось целиком.
+		s.deps.Logger.Error("bulk delete: parse form", "error", err)
+		return nil, errBatchForm
+	}
+	// Только тело: признак подтверждения и пачка приходят формой, и принимать
+	// их из строки запроса значит принимать подтверждение оттуда, откуда
+	// требование его не заказывало.
+	raw := r.PostForm["id"]
+	seen := make(map[string]bool, len(raw))
+	ids := make([]string, 0, len(raw))
+	for _, v := range raw {
+		id, err := ident.Parse(v)
+		if err != nil {
+			// Молча пропустить нельзя: человек подтвердил удаление поимённо, и
+			// выброшенный идентификатор развёл бы подтверждённое с исполненным.
+			return ids, errBatchBadID
+		}
+		if seen[id] {
+			continue
+		}
+		seen[id] = true
+		ids = append(ids, id)
+	}
+	if len(ids) == 0 {
+		return nil, errBatchEmpty
+	}
+	if len(ids) > maxBulkDelete {
+		return ids, errBatchTooLarge
+	}
+	return ids, nil
+}
+
+// bulkErrMsg — сообщение человеку об отказе разбора. Сам текст берётся из
+// единой точки трансляции (`classifyErr`); здесь добавляется только подсказка,
+// что делать дальше, — она осмысленна ровно на этой странице.
+func bulkErrMsg(err error) string {
+	_, msg := classifyErr(err)
+	if errors.Is(err, errBatchTooLarge) {
+		return msg + ". Отметки сохранены — сними лишние."
+	}
+	return msg + "."
+}

internal/httpapi/bulkdelete_test.go

@@ -0,0 +1,611 @@
+package httpapi
+
+import (
+	"context"
+	"errors"
+	"fmt"
+	"net/http"
+	"net/http/httptest"
+	"net/url"
+	"strconv"
+	"strings"
+	"testing"
+	"time"
+
+	"git.vakhrushev.me/av/jellybit/internal/store"
+	"git.vakhrushev.me/av/jellybit/internal/worker"
+)
+
+// Валидные lowercase-ULID для форм (parseBulkBatch прогоняет через ident.Parse).
+const (
+	bid1 = "01arz3ndektsv4rrffq69g5fa1"
+	bid2 = "01arz3ndektsv4rrffq69g5fa2"
+	bid3 = "01arz3ndektsv4rrffq69g5fa3"
+	bid4 = "01arz3ndektsv4rrffq69g5fa4"
+)
+
+// bulkReviewer — Reviewer, который считает вызовы удаления и умеет отказать по
+// конкретному идентификатору. Указатель: тест проверяет «ни одного вызова», а
+// значение-копия этого не покажет.
+type bulkReviewer struct {
+	stubReviewer
+	calls  *[]string
+	errs   map[string]error
+	allErr error         // отказ по любому идентификатору (лежащий внешний сервис)
+	sleep  time.Duration // медленный, но исправный сосед
+}
+
+func (b bulkReviewer) Delete(ctx context.Context, id string) error {
+	*b.calls = append(*b.calls, id)
+	// Контекст исполнения обязан пережить отмену запроса: необратимую операцию
+	// нельзя обрывать на середине. Проверяем во всех тестах, а не только в том,
+	// что об этом, — гарантия одна на все пути.
+	if err := ctx.Err(); err != nil {
+		return fmt.Errorf("bulk delete stub: %w", err)
+	}
+	time.Sleep(b.sleep)
+	if b.allErr != nil {
+		return b.allErr
+	}
+	return b.errs[id]
+}
+
+func newBulkReviewer(errs map[string]error) (bulkReviewer, *[]string) {
+	calls := &[]string{}
+	return bulkReviewer{calls: calls, errs: errs}, calls
+}
+
+func dl(id string, st store.State, title string) store.Download {
+	return store.Download{ID: id, State: st, DisplayName: title}
+}
+
+// byID собирает карту для поштучного чтения на экранах подтверждения и отчёта.
+func byID(ds ...store.Download) map[string]store.Download {
+	m := make(map[string]store.Download, len(ds))
+	for _, d := range ds {
+		m[d.ID] = d
+	}
+	return m
+}
+
+// postCancelled отправляет POST с уже отменённым контекстом запроса — так
+// выглядит закрытая вкладка или оборванная связь на середине пачки.
+func postCancelled(t *testing.T, h http.Handler, path string, form url.Values) *httptest.ResponseRecorder {
+	t.Helper()
+	req := httptest.NewRequest(http.MethodPost, path, strings.NewReader(form.Encode()))
+	req.Header.Set("Content-Type", "application/x-www-form-urlencoded")
+	ctx, cancel := context.WithCancel(req.Context())
+	req = req.WithContext(ctx)
+	cancel()
+	rr := httptest.NewRecorder()
+	h.ServeHTTP(rr, req)
+	return rr
+}
+
+func idForm(ids ...string) url.Values {
+	f := url.Values{}
+	for _, id := range ids {
+		f.Add("id", id)
+	}
+	return f
+}
+
+// П1: страница показывает строки только тех загрузок, для которых удаление
+// разрешено поштучно. Читатель отдаёт задачи во всех состояниях — на странице
+// оказываются ровно разрешённые.
+func TestBulkDeletePageShowsOnlyDeletable(t *testing.T) {
+	all := []store.State{
+		store.StateCatched, store.StateDownloading, store.StateCompleted,
+		store.StateRecognizing, store.StateReview, store.StateLinking,
+		store.StateDone, store.StateDeferred, store.StateStuck,
+		store.StateFailed, store.StateCancelled, store.StateReverted,
+		store.StateTargetMissing, store.StateOrphaned, store.StateDeleted,
+	}
+	// Читатель отдаёт всё подряд — отбирает страница по домену, а не тест.
+	var rows []store.Download
+	for i, st := range all {
+		if st.CanDelete() {
+			rows = append(rows, dl(fmt.Sprintf("%026d", i), st, "задача "+string(st)))
+		}
+	}
+	rv, _ := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{deletable: rows}, rv, stubCommander{}, stubLive{})
+
+	body := get(t, h, "/delete").Body.String()
+	for _, st := range all {
+		marker := "задача " + string(st)
+		if got := strings.Contains(body, marker); got != st.CanDelete() {
+			t.Errorf("%s: строка на странице=%v, CanDelete=%v", st, got, st.CanDelete())
+		}
+	}
+}
+
+// Страница не опрашивает сервер: своп разметки стёр бы отметки, и человек
+// подтвердил бы необратимое удаление по выбору, которого уже не видит.
+func TestBulkDeletePageDoesNotSelfPoll(t *testing.T) {
+	rv, _ := newBulkReviewer(nil)
+	h := testRouterAction(t,
+		stubReader{deletable: []store.Download{dl(bid1, store.StateDone, "Дюна")}},
+		rv, stubCommander{}, stubLive{})
+
+	body := get(t, h, "/delete").Body.String()
+	if strings.Contains(body, `hx-trigger="every`) {
+		t.Error("страница выбора не должна самообновляться")
+	}
+	// Предел пачки назван до отправки — иначе отказ по нему отнимает работу.
+	if !strings.Contains(body, strconv.Itoa(maxBulkDelete)) {
+		t.Errorf("предел пачки не назван на странице:\n%s", body)
+	}
+}
+
+// Пустое состояние: разрешённых нет — удаление не предлагается.
+func TestBulkDeletePageEmpty(t *testing.T) {
+	rv, _ := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{}, rv, stubCommander{}, stubLive{})
+
+	body := get(t, h, "/delete").Body.String()
+	if strings.Contains(body, `action="/ui/delete/confirm"`) {
+		t.Error("на пустой странице не должно быть формы удаления")
+	}
+	if !strings.Contains(body, "Удалять нечего") {
+		t.Errorf("нет пустого состояния:\n%s", body)
+	}
+}
+
+// П2 (первая половина): подтверждение называет каждую выбранную поимённо и не
+// делает ни одного вызова удаления.
+func TestBulkConfirmNamesRowsAndDeletesNothing(t *testing.T) {
+	rv, calls := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateDone, "Дюна"),
+		dl(bid2, store.StateOrphaned, "Фарго"),
+	)}, rv, stubCommander{}, stubLive{})
+
+	body := post(t, h, "/ui/delete/confirm", idForm(bid1, bid2), false).Body.String()
+	for _, want := range []string{"Дюна", "Фарго", bid1, bid2} {
+		if !strings.Contains(body, want) {
+			t.Errorf("подтверждение не называет %q:\n%s", want, body)
+		}
+	}
+	if len(*calls) != 0 {
+		t.Errorf("подтверждение не должно удалять, вызовы: %v", *calls)
+	}
+}
+
+// Строка orphaned на подтверждении предупреждает о последней копии данных: гард
+// последней копии в удалении выключен сознательно, и осведомлённость человека —
+// единственный оставшийся предохранитель.
+func TestBulkConfirmWarnsAboutLastCopy(t *testing.T) {
+	rv, _ := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateOrphaned, "Фарго"),
+	)}, rv, stubCommander{}, stubLive{})
+
+	body := post(t, h, "/ui/delete/confirm", idForm(bid1), false).Body.String()
+	if !strings.Contains(body, "последняя копия данных") {
+		t.Errorf("нет предупреждения о последней копии:\n%s", body)
+	}
+}
+
+// П2 (вторая половина): без признака подтверждения не удаляется ничего.
+func TestBulkDeleteWithoutConfirmDeletesNothing(t *testing.T) {
+	rv, calls := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateDone, "Дюна"),
+	)}, rv, stubCommander{}, stubLive{})
+
+	body := post(t, h, "/ui/delete", idForm(bid1), false).Body.String()
+	if len(*calls) != 0 {
+		t.Errorf("без подтверждения не должно быть вызовов удаления: %v", *calls)
+	}
+	if !strings.Contains(body, "страницы подтверждения") {
+		t.Errorf("отказ не объяснён:\n%s", body)
+	}
+}
+
+// Гарды разбора одинаковы на обеих границах: исполняющий запрос получает
+// идентификаторы формой заново и на проверки подтверждения опираться не вправе.
+func TestBulkBatchGuardsOnBothBoundaries(t *testing.T) {
+	over := make([]string, 0, maxBulkDelete+1)
+	for i := range maxBulkDelete + 1 {
+		over = append(over, fmt.Sprintf("%026d", i))
+	}
+
+	cases := []struct {
+		name string
+		form url.Values
+		want string
+	}{
+		{"неразобранный идентификатор", idForm(bid1, "не-ulid"), "некорректный идентификатор"},
+		{"пачка сверх предела", idForm(over...), "не больше"},
+		{"пустой набор", url.Values{}, "ни одна загрузка не выбрана"},
+	}
+	for _, c := range cases {
+		for _, path := range []string{"/ui/delete/confirm", "/ui/delete"} {
+			t.Run(c.name+" "+path, func(t *testing.T) {
+				rv, calls := newBulkReviewer(nil)
+				h := testRouterAction(t, stubReader{
+					deletable: []store.Download{dl(bid1, store.StateDone, "Дюна")},
+					byID:      byID(dl(bid1, store.StateDone, "Дюна")),
+				}, rv, stubCommander{}, stubLive{})
+
+				form := url.Values{}
+				for k, v := range c.form {
+					form[k] = v
+				}
+				if path == "/ui/delete" {
+					form.Set("confirm", "1")
+				}
+				body := post(t, h, path, form, false).Body.String()
+
+				if len(*calls) != 0 {
+					t.Errorf("отказ разбора не должен удалять: %v", *calls)
+				}
+				if !strings.Contains(body, c.want) {
+					t.Errorf("нет объяснения %q:\n%s", c.want, body)
+				}
+			})
+		}
+	}
+}
+
+// Отказ по пределу возвращает страницу выбора с сохранёнными отметками: иначе
+// проверка отнимает всю проделанную человеком работу.
+func TestBulkOverLimitKeepsSelection(t *testing.T) {
+	rows := []store.Download{dl(bid1, store.StateDone, "Дюна")}
+	over := []string{bid1}
+	for i := range maxBulkDelete {
+		over = append(over, fmt.Sprintf("%026d", i))
+	}
+	rv, _ := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{deletable: rows}, rv, stubCommander{}, stubLive{})
+
+	body := post(t, h, "/ui/delete/confirm", idForm(over...), false).Body.String()
+	if !strings.Contains(body, `value="`+bid1+`" checked`) {
+		t.Errorf("отметка выбора не сохранена:\n%s", body)
+	}
+}
+
+// Дубликаты в пачке схлопываются: повторный вызов по той же задаче дал бы
+// ложный конфликт во второй строке отчёта.
+func TestBulkDeleteCollapsesDuplicates(t *testing.T) {
+	rv, calls := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateDone, "Дюна"),
+	)}, rv, stubCommander{}, stubLive{})
+
+	form := idForm(bid1, bid1, bid1)
+	form.Set("confirm", "1")
+	post(t, h, "/ui/delete", form, false)
+
+	if len(*calls) != 1 {
+		t.Errorf("дубликаты не схлопнуты: %v", *calls)
+	}
+}
+
+// П3: отказ на одной загрузке не отменяет остальных, отчёт называет обе
+// половины поимённо.
+func TestBulkDeletePartialFailure(t *testing.T) {
+	rv, calls := newBulkReviewer(map[string]error{
+		bid2: errors.New("qbittorrent: connection refused"),
+	})
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateDone, "Дюна"),
+		dl(bid2, store.StateDone, "Фарго"),
+		dl(bid3, store.StateDone, "Оппенгеймер"),
+	)}, rv, stubCommander{}, stubLive{})
+
+	form := idForm(bid1, bid2, bid3)
+	form.Set("confirm", "1")
+	body := post(t, h, "/ui/delete", form, false).Body.String()
+
+	if len(*calls) != 3 {
+		t.Fatalf("удаление должно уйти по всем трём: %v", *calls)
+	}
+	for _, want := range []string{"Дюна", "Фарго", "Оппенгеймер", "Удалено — 2", "Отказ — 1"} {
+		if !strings.Contains(body, want) {
+			t.Errorf("отчёт не называет %q:\n%s", want, body)
+		}
+	}
+	// Сырой текст ошибки внешнего сервиса наружу не идёт — только публичный канал.
+	if strings.Contains(body, "connection refused") {
+		t.Errorf("сырая ошибка просочилась в разметку:\n%s", body)
+	}
+}
+
+// П4: групповой путь прав поштучного не расширяет — недопустимое состояние
+// отклоняется тем же конфликтом, остальные выбранные удаляются.
+func TestBulkDeleteConflictDoesNotWidenRights(t *testing.T) {
+	rv, calls := newBulkReviewer(map[string]error{
+		bid2: fmt.Errorf("delete: download in state downloading: %w", worker.ErrConflict),
+	})
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateDone, "Дюна"),
+		dl(bid2, store.StateDownloading, "Фарго"),
+		dl(bid3, store.StateDone, "Оппенгеймер"),
+	)}, rv, stubCommander{}, stubLive{})
+
+	form := idForm(bid1, bid2, bid3)
+	form.Set("confirm", "1")
+	body := post(t, h, "/ui/delete", form, false).Body.String()
+
+	if len(*calls) != 3 {
+		t.Fatalf("допуск проверяет ядро — звать надо все три: %v", *calls)
+	}
+	if !strings.Contains(body, "Удалено — 2") || !strings.Contains(body, "Отказ — 1") {
+		t.Errorf("отчёт не разделил исходы:\n%s", body)
+	}
+}
+
+// Все удалены — отчёт называет обе загрузки и отказов не содержит.
+func TestBulkDeleteAllSucceed(t *testing.T) {
+	rv, _ := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateDone, "Дюна"),
+		dl(bid2, store.StateOrphaned, "Фарго"),
+	)}, rv, stubCommander{}, stubLive{})
+
+	form := idForm(bid1, bid2)
+	form.Set("confirm", "1")
+	body := post(t, h, "/ui/delete", form, false).Body.String()
+
+	if !strings.Contains(body, "Удалено — 2") || strings.Contains(body, "Отказ — ") {
+		t.Errorf("ожидались две удалённые без отказов:\n%s", body)
+	}
+}
+
+// Идентификатор без записи в хранилище назван строкой и на подтверждении, и в
+// отчёте: молча выброшенный, он развёл бы подтверждённое с исполненным.
+func TestBulkMissingDownloadIsNamed(t *testing.T) {
+	rv, _ := newBulkReviewer(map[string]error{
+		bid2: fmt.Errorf("delete: %w", store.ErrNotFound),
+	})
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateDone, "Дюна"),
+		dl(bid3, store.StateDone, "Оппенгеймер"),
+	)}, rv, stubCommander{}, stubLive{})
+
+	confirm := post(t, h, "/ui/delete/confirm", idForm(bid1, bid2, bid3), false).Body.String()
+	if !strings.Contains(confirm, bid2) || !strings.Contains(confirm, "не найдена") {
+		t.Errorf("подтверждение не назвало ненайденную загрузку:\n%s", confirm)
+	}
+
+	form := idForm(bid1, bid2, bid3)
+	form.Set("confirm", "1")
+	res := post(t, h, "/ui/delete", form, false).Body.String()
+	if !strings.Contains(res, bid2) {
+		t.Errorf("отчёт не назвал ненайденную загрузку:\n%s", res)
+	}
+	if !strings.Contains(res, "Удалено — 2") {
+		t.Errorf("остальные должны быть удалены:\n%s", res)
+	}
+}
+
+// Системный отказ останавливает пачку: удаление снимает библиотечные ссылки
+// раньше, чем сносит раздачу, поэтому при лежащем qBittorrent проход без
+// остановки оставил бы без раскладки все выбранные тайтлы разом.
+func TestBulkDeleteStopsOnConsecutiveSystemFailures(t *testing.T) {
+	calls := &[]string{}
+	rv := bulkReviewer{calls: calls, allErr: errors.New("qbittorrent: unreachable")}
+	ids := []string{bid1, bid2, bid3, bid4}
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateDone, "Дюна"),
+		dl(bid2, store.StateDone, "Фарго"),
+		dl(bid3, store.StateDone, "Оппенгеймер"),
+		dl(bid4, store.StateDone, "Интерстеллар"),
+	)}, rv, stubCommander{}, stubLive{})
+
+	form := idForm(ids...)
+	form.Set("confirm", "1")
+	body := post(t, h, "/ui/delete", form, false).Body.String()
+
+	if len(*calls) != bulkFailThreshold {
+		t.Fatalf("проход должен остановиться после %d отказов, вызовов: %v",
+			bulkFailThreshold, *calls)
+	}
+	if !strings.Contains(body, "Не выполнено — 1") {
+		t.Errorf("остаток пачки не назван невыполненным:\n%s", body)
+	}
+	if !strings.Contains(body, "проход остановлен") {
+		t.Errorf("причина остановки не названа:\n%s", body)
+	}
+}
+
+// Одиночный отказ пачку не рвёт: счётчик подряд идущих отказов сбрасывается на
+// каждом успехе, иначе случайная сетевая ошибка обрывала бы всю уборку.
+func TestBulkDeleteSingleFailureDoesNotStop(t *testing.T) {
+	rv, calls := newBulkReviewer(map[string]error{
+		bid2: errors.New("qbittorrent: temporary"),
+	})
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateDone, "Дюна"),
+		dl(bid2, store.StateDone, "Фарго"),
+		dl(bid3, store.StateDone, "Оппенгеймер"),
+		dl(bid4, store.StateDone, "Интерстеллар"),
+	)}, rv, stubCommander{}, stubLive{})
+
+	form := idForm(bid1, bid2, bid3, bid4)
+	form.Set("confirm", "1")
+	body := post(t, h, "/ui/delete", form, false).Body.String()
+
+	if len(*calls) != 4 {
+		t.Fatalf("одиночный отказ не должен останавливать проход: %v", *calls)
+	}
+	if strings.Contains(body, "Не выполнено") {
+		t.Errorf("остановки быть не должно:\n%s", body)
+	}
+}
+
+// Отмена запроса не прекращает необратимую операцию: закрытая вкладка не вправе
+// оборвать пачку на середине, в том числе внутри одной загрузки.
+func TestBulkDeleteSurvivesRequestCancel(t *testing.T) {
+	calls := &[]string{}
+	// Reviewer, который проверяет, что контекст исполнения жив, хотя контекст
+	// запроса уже отменён.
+	rv := bulkReviewer{calls: calls, errs: map[string]error{}}
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateDone, "Дюна"),
+		dl(bid2, store.StateDone, "Фарго"),
+	)}, rv, stubCommander{}, stubLive{})
+
+	form := idForm(bid1, bid2)
+	form.Set("confirm", "1")
+	rr := postCancelled(t, h, "/ui/delete", form)
+
+	if len(*calls) != 2 {
+		t.Fatalf("пачка должна дойти до конца при обрыве: %v", *calls)
+	}
+	if !strings.Contains(rr.Body.String(), "Удалено — 2") {
+		t.Errorf("исход не собран:\n%s", rr.Body.String())
+	}
+}
+
+// Формы страниц удаления работают без JavaScript: обычный POST с рабочим action
+// и никаких hx-атрибутов на пути к необратимому действию.
+func TestBulkDeleteWorksWithoutJS(t *testing.T) {
+	rv, _ := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{
+		deletable: []store.Download{dl(bid1, store.StateDone, "Дюна")},
+		byID:      byID(dl(bid1, store.StateDone, "Дюна")),
+	}, rv, stubCommander{}, stubLive{})
+
+	sel := get(t, h, "/delete").Body.String()
+	if !strings.Contains(sel, `<form method="post" action="/ui/delete/confirm">`) {
+		t.Errorf("страница выбора должна нести обычную POST-форму:\n%s", sel)
+	}
+	conf := post(t, h, "/ui/delete/confirm", idForm(bid1), false).Body.String()
+	if !strings.Contains(conf, `action="/ui/delete"`) || !strings.Contains(conf, `name="confirm" value="1"`) {
+		t.Errorf("подтверждение должно нести форму исполнения:\n%s", conf)
+	}
+	for _, page := range []string{sel, conf} {
+		if strings.Contains(page, "hx-post") || strings.Contains(page, "hx-get") {
+			t.Error("страницы группового удаления не должны зависеть от htmx")
+		}
+	}
+}
+
+// Р1: исполняется ровно подтверждённое множество — список идентификаторов, а не
+// предикат «всё, что сейчас разрешено». Задача, ставшая разрешённой уже после
+// показа подтверждения, в пачку не попадает.
+func TestBulkDeleteRunsOnlyConfirmedSet(t *testing.T) {
+	rv, calls := newBulkReviewer(nil)
+	// Читатель отдаёт две разрешённые, но подтверждена одна.
+	h := testRouterAction(t, stubReader{
+		deletable: []store.Download{
+			dl(bid1, store.StateDone, "Дюна"),
+			dl(bid2, store.StateDone, "Фарго"),
+		},
+		byID: byID(
+			dl(bid1, store.StateDone, "Дюна"),
+			dl(bid2, store.StateDone, "Фарго"),
+		),
+	}, rv, stubCommander{}, stubLive{})
+
+	form := idForm(bid1)
+	form.Set("confirm", "1")
+	post(t, h, "/ui/delete", form, false)
+
+	if len(*calls) != 1 || (*calls)[0] != bid1 {
+		t.Errorf("удалено не подтверждённое множество: %v", *calls)
+	}
+}
+
+// Ссылка на страницу группового удаления есть в шапке любой страницы веб-UI.
+// Без этой проверки удаление пункта из навигации закрыло бы единственный вход
+// на страницу молча: сама страница жива, тесты зелёные, попасть некуда.
+func TestHeaderLinksToBulkDelete(t *testing.T) {
+	dl := store.Download{ID: bid1, State: store.StateReview, DisplayName: "Дюна"}
+	rv, _ := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{list: []store.Download{dl}, one: &dl},
+		rv, stubCommander{}, stubLive{})
+
+	for _, path := range []string{"/", "/delete"} {
+		body := get(t, h, path).Body.String()
+		if !strings.Contains(body, `href="/delete"`) {
+			t.Errorf("%s: в шапке нет ссылки на групповое удаление:\n%s", path, body)
+		}
+	}
+}
+
+// Отказ хранилища не выдаётся за «записи нет»: строка говорит, что состояние
+// прочитать не удалось, и отметка о последней копии не теряется молча. Иначе
+// человек подтверждает пачку, где строка обещала «удалять нечего», а загрузка
+// сносится с файлами по-настоящему.
+func TestBulkConfirmDistinguishesReadFailure(t *testing.T) {
+	rv, _ := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{
+		getErr: errors.New("database is locked"),
+	}, rv, stubCommander{}, stubLive{})
+
+	body := post(t, h, "/ui/delete/confirm", idForm(bid1), false).Body.String()
+	if strings.Contains(body, "записи нет") || strings.Contains(body, "удалять нечего") {
+		t.Errorf("отказ чтения выдан за отсутствие записи:\n%s", body)
+	}
+	if !strings.Contains(body, "состояние прочитать не удалось") {
+		t.Errorf("отказ чтения не назван строкой:\n%s", body)
+	}
+}
+
+// Потолок времени останавливает проход: пока идёт пачка, общий замок ядра
+// удерживается на каждом обращении к qBittorrent, и медленный (но рабочий)
+// сосед иначе остановил бы фон целиком, не дав ни одного отказа.
+func TestBulkDeleteStopsOnTimeBudget(t *testing.T) {
+	calls := &[]string{}
+	// Каждое удаление «идёт» дольше всего бюджета — второй единице стартовать
+	// уже нельзя.
+	// Бюджет укорочен на время теста — иначе проверка стоила бы двух минут.
+	orig := bulkBudget
+	bulkBudget = time.Millisecond
+	t.Cleanup(func() { bulkBudget = orig })
+	slow := bulkReviewer{calls: calls, sleep: 3 * time.Millisecond}
+	h := testRouterAction(t, stubReader{byID: byID(
+		dl(bid1, store.StateDone, "Дюна"),
+		dl(bid2, store.StateDone, "Фарго"),
+		dl(bid3, store.StateDone, "Оппенгеймер"),
+	)}, slow, stubCommander{}, stubLive{})
+
+	form := idForm(bid1, bid2, bid3)
+	form.Set("confirm", "1")
+	body := post(t, h, "/ui/delete", form, false).Body.String()
+
+	if len(*calls) != 1 {
+		t.Fatalf("после исчерпания бюджета новых удалений быть не должно: %v", *calls)
+	}
+	if !strings.Contains(body, "Не выполнено — 2") {
+		t.Errorf("остаток не назван невыполненным:\n%s", body)
+	}
+	if !strings.Contains(body, "дольше отведённого времени") {
+		t.Errorf("причина остановки не названа:\n%s", body)
+	}
+}
+
+// Форматирующие символы юникода в имени раздачи не доезжают до экрана: с ними
+// заголовок читается не так, как хранится, а поимённое чтение заголовков — и
+// есть предохранитель необратимого группового удаления.
+func TestBulkTitleStripsFormattingRunes(t *testing.T) {
+	const rtl = "\u202e" // RIGHT-TO-LEFT OVERRIDE
+	d := dl(bid1, store.StateDone, "Дюна"+rtl+"vkm.iso \U0001F468\u200D\U0001F469\u200D\U0001F467")
+	rv, _ := newBulkReviewer(nil)
+	h := testRouterAction(t, stubReader{
+		deletable: []store.Download{d},
+		byID:      byID(d),
+	}, rv, stubCommander{}, stubLive{})
+
+	pages := map[string]string{
+		"/delete": get(t, h, "/delete").Body.String(),
+		"/ui/delete/confirm": post(t, h, "/ui/delete/confirm",
+			idForm(bid1), false).Body.String(),
+	}
+	for path, body := range pages {
+		if strings.Contains(body, rtl) {
+			t.Errorf("%s: bidi-символ уехал в разметку дословно", path)
+		}
+		if !strings.Contains(body, "Дюна") {
+			t.Errorf("%s: заголовок потерялся целиком:\n%s", path, body)
+		}
+		// Составные эмодзи не рассыпаются: снимается класс bidi, а не весь Cf.
+		if !strings.Contains(body, "\U0001F468\u200D\U0001F469\u200D\U0001F467") {
+			t.Errorf("%s: соединитель составного эмодзи снят вместе с bidi:\n%s", path, body)
+		}
+	}
+}

internal/httpapi/download.go

@@ -0,0 +1,190 @@
+package httpapi
+
+import (
+	"errors"
+	"net/http"
+	"strconv"
+
+	"git.vakhrushev.me/av/jellybit/internal/naming"
+	"git.vakhrushev.me/av/jellybit/internal/recognize"
+	"git.vakhrushev.me/av/jellybit/internal/store"
+	"git.vakhrushev.me/av/jellybit/internal/worker"
+)
+
+// --- Страница просмотра одной загрузки ---
+
+type downloadDetailView struct {
+	ID          string
+	Title       string
+	SourceType  string   // тип источника (magnet/torrent/url) — блок «Информация о торренте»
+	SourceFull  string   // полный источник (magnet) — блок «Информация о торренте»
+	Infohashes  []string // все хеши загрузки (блок «Информация о торренте»)
+	Context     string
+	State       string
+	SelfPoll    bool // задача наблюдаема → страница сама опрашивает себя
+	PollEvery   string
+	Error       string
+	ActionError string // ошибка действия на htmx-пути (своп download_main), не error_msg
+	Note        string
+	Added       string // дата добавления (source_added_at → created_at), как в списке
+	AddedAgo    string // относительная давность («5 дней назад»); пусто — если не распарсить
+	CreatedAt   string
+	UpdatedAt   string
+
+	// Распознавание (если есть план).
+	HasPlan       bool
+	MediaType     string
+	IsSeries      bool
+	RecTitle      string
+	OriginalTitle string
+	Season        string // сводка сезонов для сериала (пусто для фильма)
+	Year          int
+	Director      string // режиссёр эффективного источника (пусто — неизвестен)
+	Provider      string
+	ProviderID    string
+	MatchURL      string // ссылка на запись метабазы (пусто — показываем текстом)
+	NoBase        bool
+	Confidence    string
+	Files         []fileRow
+
+	// Живая статистика раздачи (заполняется из снимка воркера).
+	Seeding seedingView
+
+	// Nameable — доступно ручное обновление имени: есть распознанное название,
+	// которое можно перелить в display_name/ярлык раздачи. Гейтится наличием
+	// распознавания (в т.ч. на done/orphaned), НЕ состоянием ревью.
+	Nameable bool
+
+	// Действия по состоянию (как на главной).
+	Terminal   bool
+	Reviewable bool
+	Undoable   bool
+	Relinkable bool
+	Retriable  bool
+	Deletable  bool // полное удаление доступно (done/orphaned/target_missing)
+	// Dismissable — доступен стоп-кран «Закрыть» (перевод в cancelled без
+	// действий над файлами/раздачей). Показываем в danger-зоне для терминальных,
+	// кроме deleted (строго терминален) и cancelled (уже закрыта, no-op); у
+	// не-терминальных ту же роль играет обычная «Отменить» — не дублируем.
+	Dismissable bool
+}
+
+// detailTitle — заголовок страницы просмотра: имя раздачи (display_name) →
+// распознанное название (план) → усечённый до одной строки сырой источник.
+func detailTitle(d store.Download, rd *worker.ReviewData) string {
+	if d.DisplayName != "" {
+		return d.DisplayName
+	}
+	if rd.Plan.Title != "" {
+		return rd.Plan.Title
+	}
+	return shorten(oneLine(d.SourceRef), 120)
+}
+
+func (s *server) handleDownload(w http.ResponseWriter, r *http.Request) {
+	id, err := pathID(r)
+	if err != nil {
+		// Невалидный id = несуществующая сущность; в БД не ходим.
+		http.Error(w, "задача не найдена", http.StatusNotFound)
+		return
+	}
+	rd, err := s.deps.Reviewer.ReviewData(r.Context(), id)
+	if err != nil {
+		// Тик самообновления страницы идёт этим же маршрутом (hx-get="/download/{id}"
+		// с hx-select="#download-main"). Отвечать ему статусом ошибки нельзя: htmx не
+		// свопит 4xx/5xx и не снимает hx-trigger — страница осталась бы навсегда
+		// устаревшей, а опрос продолжался бы до закрытия вкладки. Навигационный GET
+		// (адресная строка, закладка) по-прежнему получает честный статус.
+		if isHTMX(r) {
+			s.fragTickErr(w, err, id, "download-main")
+			return
+		}
+		if errors.Is(err, store.ErrNotFound) {
+			http.Error(w, "задача не найдена", http.StatusNotFound)
+			return
+		}
+		s.deps.Logger.Error("download detail data failed", "download_id", id, "error", err)
+		http.Error(w, "внутренняя ошибка", http.StatusInternalServerError)
+		return
+	}
+	s.render(w, "download.html", s.buildDownloadView(id, rd))
+}
+
+// buildDownloadView собирает представление страницы загрузки из доменных данных
+// и живого снимка. Общий для полной страницы (handleDownload) и htmx-свопа
+// главной области после действия (renderDownloadFragment).
+func (s *server) buildDownloadView(id string, rd *worker.ReviewData) downloadDetailView {
+	d := rd.Download
+	view := downloadDetailView{
+		ID:         id,
+		Title:      detailTitle(d, rd),
+		SourceType: string(d.SourceType),
+		SourceFull: d.SourceRef,
+		Infohashes: d.HashList(),
+		Context:    d.Context,
+		State:      string(d.State),
+		SelfPoll:   d.State.IsObservable(),
+		// Блока живых цифр качания на странице нет вовсе, а тик считает
+		// предпросмотр раскладки и ходит в ФС — интервал всегда медленный.
+		PollEvery:  pollSlow,
+		Error:      d.ErrorMsg.String,
+		Note:       desyncNote(d.State),
+		CreatedAt:  d.CreatedAt,
+		UpdatedAt:  d.UpdatedAt,
+		Terminal:   d.State.IsTerminal(),
+		Reviewable: d.State == store.StateReview || d.State == store.StateDeferred,
+		Undoable:   d.State == store.StateDone,
+		Relinkable: d.State == store.StateReverted || d.State == store.StateCancelled ||
+			d.State == store.StateTargetMissing,
+		Retriable: d.State == store.StateFailed || d.State == store.StateStuck,
+		Deletable: d.State.CanDelete(),
+		Dismissable: d.State.IsTerminal() &&
+			d.State != store.StateDeleted && d.State != store.StateCancelled,
+	}
+	// Дата добавления рядом с шапкой (source_added_at → фолбэк created_at,
+	// как в порядке и карточках списка); неразбираемое время просто опускаем.
+	if t, ok := addedTime(d); ok {
+		view.Added = fmtDate(t, s.deps.Loc)
+		view.AddedAgo = humanizeAge(t, store.Now())
+	}
+
+	if rd.Recognition != nil {
+		view.HasPlan = len(rd.Plan.Files) > 0
+		view.MediaType = string(rd.Plan.Type)
+		view.IsSeries = rd.Plan.Type == "series"
+		view.RecTitle = rd.Plan.Title
+		view.OriginalTitle = rd.Plan.OriginalTitle
+		if view.IsSeries {
+			view.Season = recognize.SeasonSummary(rd.Plan)
+		}
+		view.Year = rd.Plan.Year
+		// Режиссёр — из того же слоистого разрешения, что и display_name в шапке
+		// (override → распознавание+матч → контекст), чтобы поле не расходилось с
+		// заголовком; пустой во всех слоях → прочерк в шаблоне.
+		view.Director = naming.EffectiveFields(d.ParsedContext, rd.Plan).Director
+		// Ручное обновление имени доступно, когда есть распознанное название,
+		// которое можно перелить (иначе FormatTitleYear даст пусто → no-op).
+		view.Nameable = rd.Plan.Title != ""
+		switch rd.Provider {
+		case "", "none":
+			view.NoBase = rd.Provider == "none"
+		default:
+			view.Provider = rd.Provider
+			view.ProviderID = rd.ProviderID
+			view.MatchURL = rd.MatchURL()
+		}
+		if rd.Recognition.Confidence.Valid {
+			view.Confidence = strconv.FormatFloat(rd.Recognition.Confidence.Float64, 'f', 2, 64)
+		}
+
+		// Файл источника → целевой путь из превью (единая логика layout).
+		view.Files = buildFileRows(rd.Plan, rd.Preview)
+	}
+
+	// Живая статистика раздачи — со значениями уже в первом кадре; секция
+	// деградирует (пустой контейнер), если торрент не сидирует/данных нет.
+	l, ok := s.liveFor(d)
+	view.Seeding = buildSeeding(id, l, ok)
+
+	return view
+}

internal/httpapi/files.go

@@ -0,0 +1,57 @@
+package httpapi
+
+import (
+	"git.vakhrushev.me/av/jellybit/internal/layout"
+	"git.vakhrushev.me/av/jellybit/internal/recognize"
+)
+
+// fileRow — строка виджета «файл источника → раскладка», общего для экранов
+// ревью и просмотра загрузки. Целевой путь берётся из превью (единая логика
+// internal/layout), а не вычисляется в шаблоне.
+type fileRow struct {
+	Src       string
+	Dst       string // целевой путь; пусто — файл не раскладывается
+	RoleLabel string
+	Linked    bool
+	Ignored   bool
+}
+
+// buildFileRows сшивает файлы плана с целевыми путями из превью раскладки.
+func buildFileRows(plan recognize.Plan, preview []layout.Link) []fileRow {
+	dstBySrc := make(map[string]string, len(preview))
+	for _, l := range preview {
+		dstBySrc[l.Src] = l.Dst
+	}
+	rows := make([]fileRow, 0, len(plan.Files))
+	for _, f := range plan.Files {
+		dst := dstBySrc[f.Src]
+		rows = append(rows, fileRow{
+			Src:       f.Src,
+			Dst:       dst,
+			RoleLabel: roleLabel(string(f.Role)),
+			Linked:    dst != "",
+			Ignored:   f.Role == "ignore",
+		})
+	}
+	return rows
+}
+
+// roleLabel — человекочитаемая роль файла раскладки.
+func roleLabel(role string) string {
+	switch role {
+	case "episode":
+		return "эпизод"
+	case "main", "movie":
+		return "фильм"
+	case "subtitle":
+		return "субтитры"
+	case "extra":
+		return "допматериал"
+	case "sample":
+		return "семпл"
+	case "ignore":
+		return "игнор"
+	default:
+		return role
+	}
+}

internal/httpapi/format_test.go

@@ -0,0 +1,162 @@
+package httpapi
+
+import (
+	"net/http"
+	"strings"
+	"testing"
+	"time"
+
+	"git.vakhrushev.me/av/jellybit/internal/store"
+	"git.vakhrushev.me/av/jellybit/internal/worker"
+)
+
+// TestFmtDateZone — дата отображается в переданной таймзоне: полуночное UTC-время
+// сдвигается на следующий день под Europe/Moscow (UTC+3), в UTC остаётся прежним.
+func TestFmtDateZone(t *testing.T) {
+	// 2026-06-14 22:30 UTC == 2026-06-15 01:30 MSK.
+	ts := time.Date(2026, 6, 14, 22, 30, 0, 0, time.UTC)
+
+	if got := fmtDate(ts, time.UTC); got != "2026-06-14" {
+		t.Fatalf("UTC: got %q, want 2026-06-14", got)
+	}
+	msk, err := time.LoadLocation("Europe/Moscow")
+	if err != nil {
+		t.Fatalf("load Europe/Moscow (tzdata встроен): %v", err)
+	}
+	if got := fmtDate(ts, msk); got != "2026-06-15" {
+		t.Fatalf("MSK: got %q, want 2026-06-15", got)
+	}
+}
+
+func TestHumanizeAge(t *testing.T) {
+	now := time.Date(2026, 7, 4, 12, 0, 0, 0, time.UTC)
+	cases := []struct {
+		ago  time.Duration
+		want string
+	}{
+		{30 * time.Second, "только что"},
+		{time.Minute, "1 минуту назад"},
+		{5 * time.Minute, "5 минут назад"},
+		{2 * time.Hour, "2 часа назад"},
+		{24 * time.Hour, "1 день назад"},
+		{5 * 24 * time.Hour, "5 дней назад"},
+		{40 * 24 * time.Hour, "1 месяц назад"},
+		{400 * 24 * time.Hour, "1 год назад"},
+	}
+	for _, c := range cases {
+		if got := humanizeAge(now.Add(-c.ago), now); got != c.want {
+			t.Errorf("humanizeAge(-%s) = %q, want %q", c.ago, got, c.want)
+		}
+	}
+	// Будущее (рассинхрон часов) не должно давать «-N»: схлопывается в «только что».
+	if got := humanizeAge(now.Add(time.Hour), now); got != "только что" {
+		t.Errorf("humanizeAge(future) = %q, want «только что»", got)
+	}
+}
+
+func TestPlural(t *testing.T) {
+	cases := []struct {
+		n    int
+		want string
+	}{{1, "день"}, {2, "дня"}, {4, "дня"}, {5, "дней"}, {11, "дней"}, {14, "дней"}, {21, "день"}, {22, "дня"}, {25, "дней"}}
+	for _, c := range cases {
+		if got := plural(c.n, "день", "дня", "дней"); got != c.want {
+			t.Errorf("plural(%d) = %q, want %q", c.n, got, c.want)
+		}
+	}
+}
+
+func TestSizeAndRatioText(t *testing.T) {
+	// Снимок есть → размер из total_size, рейтинг из снимка.
+	l := worker.Live{TotalSize: 2 << 30, Ratio: 1.42}
+	if got := sizeText(l, true, 0); got != fmtBytes(2<<30) {
+		t.Errorf("size (снимок) = %q, want %q", got, fmtBytes(2<<30))
+	}
+	if got := ratioText(l, true); got != "1.42" {
+		t.Errorf("ratio (снимок) = %q, want 1.42", got)
+	}
+	// Снимка нет → размер из фолбэка по файлам, рейтинг «—».
+	if got := sizeText(worker.Live{}, false, 512); got != fmtBytes(512) {
+		t.Errorf("size (фолбэк) = %q, want %q", got, fmtBytes(512))
+	}
+	if got := ratioText(worker.Live{}, false); got != "—" {
+		t.Errorf("ratio (нет снимка) = %q, want «—»", got)
+	}
+	// Ни снимка, ни файлов → «—».
+	if got := sizeText(worker.Live{}, false, 0); got != "—" {
+		t.Errorf("size (нет данных) = %q, want «—»", got)
+	}
+}
+
+func TestAddedTimeFallback(t *testing.T) {
+	// source_added_at приоритетнее created_at.
+	added := time.Date(2026, 6, 30, 10, 0, 0, 0, time.UTC)
+	created := time.Date(2026, 6, 1, 10, 0, 0, 0, time.UTC)
+	d := store.Download{
+		CreatedAt:     store.FormatTime(created),
+		SourceAddedAt: store.NullString(store.FormatTime(added)),
+	}
+	got, ok := addedTime(d)
+	if !ok || !got.Equal(added) {
+		t.Errorf("addedTime = %v (ok=%v), want %v", got, ok, added)
+	}
+	// Без source_added_at — фолбэк на created_at.
+	d.SourceAddedAt = store.NullString("")
+	got, ok = addedTime(d)
+	if !ok || !got.Equal(created) {
+		t.Errorf("addedTime (фолбэк) = %v (ok=%v), want %v", got, ok, created)
+	}
+	// Нечего парсить — ok=false.
+	if _, ok := addedTime(store.Download{}); ok {
+		t.Error("addedTime пустой должен вернуть ok=false")
+	}
+}
+
+// TestIndexCardMeta: карточка списка несёт обзорную мета-строку (метка ID, дата
+// добавления, размер и рейтинг из снимка) и НЕ показывает контекст.
+func TestIndexCardMeta(t *testing.T) {
+	added := time.Date(2026, 6, 30, 10, 0, 0, 0, time.UTC)
+	dl := store.Download{
+		ID: testULID, SourceRef: "Dune", DisplayName: "Dune (2024)", Context: "секретный контекст",
+		Infohashes:    []store.Infohash{{DownloadID: testULID, Infohash: "ihmeta", Kind: store.HashV1}},
+		State:         store.StateDone,
+		SourceAddedAt: store.NullString(store.FormatTime(added)),
+	}
+	lv := stubLive{m: map[string]worker.Live{"ihmeta": {Seeding: true, TotalSize: 2 << 30, Ratio: 1.42}}}
+	h := testRouterLive(t, stubReader{list: []store.Download{dl}}, stubReviewer{}, lv)
+
+	rr := get(t, h, "/")
+	if rr.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	for _, want := range []string{"ID:", "2026-06-30", "назад", "1.42", fmtBytes(2 << 30)} {
+		if !strings.Contains(body, want) {
+			t.Errorf("карточка не содержит %q", want)
+		}
+	}
+	// Контекст из карточки убран (доступен на /download/{id}).
+	if strings.Contains(body, "секретный контекст") {
+		t.Error("контекст всё ещё показан в карточке списка")
+	}
+}
+
+// N2: shorten режет по рунам, не байтам — кириллица (2 байта/руна) не рвётся
+// посреди символа в U+FFFD.
+func TestShortenRuneSafe(t *testing.T) {
+	// 50 кириллических рун (100 байт). Обрезка до 40 рун раньше резала s[:40]
+	// посреди руны.
+	s := strings.Repeat("я", 50)
+	got := shorten(s, 40)
+	if strings.ContainsRune(got, '�') {
+		t.Errorf("обрезка порвала руну: %q", got)
+	}
+	// 40 рун + многоточие.
+	if want := strings.Repeat("я", 40) + "…"; got != want {
+		t.Errorf("shorten = %q, want %q", got, want)
+	}
+	// Короткая строка (по рунам) возвращается как есть, без многоточия.
+	if got := shorten("привет", 40); got != "привет" {
+		t.Errorf("короткая строка изменена: %q", got)
+	}
+}

internal/httpapi/httpapi.go

@@ -8,19 +8,29 @@ import (
 	"context"
 	"encoding/json"
 	"errors"
+	"fmt"
 	"html/template"
+	"io"
+	"io/fs"
 	"log/slog"
 	"net/http"
 	"net/url"
 	"strconv"
 	"strings"
 	"time"
+	"unicode"
+	"unicode/utf8"
 
 	"github.com/go-chi/chi/v5"
 	"github.com/go-chi/chi/v5/middleware"
 
+	"git.vakhrushev.me/av/jellybit/internal/ident"
 	"git.vakhrushev.me/av/jellybit/internal/ingest"
+	"git.vakhrushev.me/av/jellybit/internal/layout"
+	"git.vakhrushev.me/av/jellybit/internal/magnet"
 	"git.vakhrushev.me/av/jellybit/internal/store"
+	"git.vakhrushev.me/av/jellybit/internal/torrent"
+	"git.vakhrushev.me/av/jellybit/internal/worker"
 	"git.vakhrushev.me/av/jellybit/web"
 )
 
@@ -31,14 +41,21 @@ type Ingestor interface {
 
 // Commander исполняет команды над задачей (worker.Worker).
 type Commander interface {
-	Cancel(ctx context.Context, id int64) error
-	Retry(ctx context.Context, id int64) error
+	Cancel(ctx context.Context, id string) error
+	Retry(ctx context.Context, id string) error
 }
 
 // Reader читает задачи (store.Store).
 type Reader interface {
 	ListDownloads(ctx context.Context) ([]store.Download, error)
-	GetDownload(ctx context.Context, id int64) (*store.Download, error)
+	ListDownloadsPage(ctx context.Context, f store.ListFilter) ([]store.Download, int, error)
+	GetDownload(ctx context.Context, id string) (*store.Download, error)
+	// LayoutSizeByDownload — суммарный размер разложенных файлов по каждой из
+	// загрузок (фолбэк размера раздачи в карточке, когда торрента нет в снимке).
+	LayoutSizeByDownload(ctx context.Context, ids []string) (map[string]int64, error)
+	// ListDeletableDownloads — загрузки, разрешённые к полному удалению, без
+	// постраничной выдачи (страница группового удаления показывает их разом).
+	ListDeletableDownloads(ctx context.Context) ([]store.Download, error)
 }
 
 // Deps — зависимости транспорта.
@@ -48,27 +65,44 @@ type Deps struct {
 	Commander Commander
 	Reader    Reader
 	Reviewer  Reviewer
+	Live      LiveStatus
+	// Loc — таймзона отображения дат в веб-UI (хранение всегда UTC). nil → UTC.
+	Loc *time.Location
 }
 
 type server struct {
-	deps   Deps
-	index  *template.Template
-	review *template.Template
+	deps     Deps
+	tmpl     *template.Template
+	assetVer string
 }
 
 // NewRouter собирает HTTP-обработчик сервиса.
 func NewRouter(d Deps) (http.Handler, error) {
-	index, err := template.ParseFS(web.FS, "templates/index.html")
+	assetVer, err := assetVersion()
 	if err != nil {
 		return nil, err
 	}
-	review, err := template.New("review.html").
-		Funcs(template.FuncMap{"add": func(a, b int) int { return a + b }}).
-		ParseFS(web.FS, "templates/review.html")
+	funcs := template.FuncMap{
+		"add":        func(a, b int) int { return a + b },
+		"asset":      func(p string) string { return "/static/" + p + "?v=" + assetVer },
+		"badgeLabel": badgeLabel,
+	}
+	tmpl, err := template.New("").Funcs(funcs).
+		ParseFS(web.FS, "templates/*.html", "templates/partials/*.html")
 	if err != nil {
 		return nil, err
 	}
-	s := &server{deps: d, index: index, review: review}
+	staticFS, err := fs.Sub(web.FS, "static")
+	if err != nil {
+		return nil, err
+	}
+	if d.Live == nil {
+		d.Live = noLive{} // источник телеметрии не подключён — деградируем штатно
+	}
+	if d.Loc == nil {
+		d.Loc = time.UTC // таймзона отображения не задана — показываем в UTC
+	}
+	s := &server{deps: d, tmpl: tmpl, assetVer: assetVer}
 
 	r := chi.NewRouter()
 	r.Use(middleware.RequestID)
@@ -77,24 +111,47 @@ func NewRouter(d Deps) (http.Handler, error) {
 
 	r.Get("/healthz", handleHealthz)
 
+	// Статика (встроенная, с длинным кэшем; URL версионируются ?v=).
+	r.Handle("/static/*", http.StripPrefix("/static/", staticHandler(staticFS)))
+
 	// Веб-UI.
 	r.Get("/", s.handleIndex)
+	r.Get("/download/{id}", s.handleDownload)
+	// Групповое удаление: выбор → подтверждение → исполнение. Отдельная
+	// страница, потому что живая перерисовка списка стёрла бы выбор человека.
+	r.Get("/delete", s.handleBulkDeletePage)
+
+	// Партиалы телеметрии без потребителя в новой разметке: оставлены гасителями
+	// вкладок, отрисованных прошлой версией (см. handleFragProgress).
+	r.Get("/fragments/downloads/{id}/progress", s.handleFragProgress)
+	r.Get("/fragments/downloads/{id}/seeding", s.handleFragSeeding)
+	// Карточка целиком — тик самообновления списка: пока задача наблюдаема,
+	// карточка приносит текущее состояние без перезагрузки страницы.
+	r.Get("/fragments/downloads/{id}/card", s.handleFragCard)
+	// Тело ревью для поллинга recognizing (htmx-своп до готового плана).
+	r.Get("/fragments/downloads/{id}/review", s.handleFragReview)
 	r.Post("/ui/downloads", s.handleUIAdd)
+	r.Post("/ui/delete/confirm", s.handleBulkDeleteConfirm)
+	r.Post("/ui/delete", s.handleBulkDelete)
 	r.Post("/ui/downloads/{id}/cancel", s.handleUICancel)
+	r.Post("/ui/downloads/{id}/retry", s.handleUIRetry)
 
 	// Веб-UI: ревью раскладки.
 	r.Get("/review/{id}", s.handleReview)
 	r.Post("/ui/downloads/{id}/apply", s.handleApply)
 	r.Post("/ui/downloads/{id}/refine", s.handleRefine)
 	r.Post("/ui/downloads/{id}/rerecognize", s.handleRerecognize)
-	r.Post("/ui/downloads/{id}/type", s.handleSetType)
 	r.Post("/ui/downloads/{id}/ignore", s.handleIgnore)
 	r.Post("/ui/downloads/{id}/candidate", s.handleChooseCandidate)
 	r.Post("/ui/downloads/{id}/provider", s.handleSetProvider)
+	r.Post("/ui/downloads/{id}/source", s.handleAddSource)
+	r.Post("/ui/downloads/{id}/refresh-name", s.handleRefreshName)
 	r.Post("/ui/downloads/{id}/nobase", s.handleNoBase)
 	r.Post("/ui/downloads/{id}/defer", s.handleDefer)
 	r.Post("/ui/downloads/{id}/undo", s.handleUndo)
 	r.Post("/ui/downloads/{id}/relink", s.handleRelink)
+	r.Post("/ui/downloads/{id}/delete", s.handleDelete)
+	r.Post("/ui/downloads/{id}/dismiss", s.handleDismiss)
 
 	// REST API.
 	r.Route("/api", func(r chi.Router) {
@@ -114,52 +171,290 @@ func handleHealthz(w http.ResponseWriter, _ *http.Request) {
 
 // --- Веб-UI ---
 
+// pageSize — размер страницы списка загрузок (серверная пагинация).
+const pageSize = 25
+
 type indexView struct {
 	Error     string
 	Downloads []downloadView
+
+	// Фильтр/поиск (серверные, в query).
+	Filter  string       // активная группа (all/review/active/done/problem)
+	Query   string       // текст поиска
+	ShowAll bool         // показывать удалённые
+	Chips   []filterChip // чипы фильтра со ссылками
+	ShowURL string       // ссылка тумблера «показать всё»
+
+	// Пагинация.
+	Page      int
+	Pages     int        // всего страниц (>=1)
+	Total     int        // всего строк под фильтром
+	Searching bool       // активны фильтр/поиск — влияет на текст пустого состояния
+	PrevURL   string     // пусто — на первой странице
+	NextURL   string     // пусто — на последней
+	PageLinks []pageLink // пронумерованные страницы (окно)
+}
+
+type filterChip struct {
+	Key    string
+	Label  string
+	URL    string
+	Active bool
+}
+
+type pageLink struct {
+	Num    int
+	URL    string
+	Active bool
 }
 
 type downloadView struct {
-	ID         int64
-	Source     string
-	Infohash   string
-	Context    string
-	State      string
-	Error      string
-	Terminal   bool
-	Reviewable bool // review/deferred — есть экран ревью
-	Undoable   bool // done — можно откатить раскладку
-	Relinkable bool // reverted/cancelled — можно перепривязать заново
+	ID            string
+	Title         string // отображаемый заголовок карточки
+	MediaType     string // тип контента для значка строки списка (movie/series; пусто — не распознан)
+	State         string
+	Error         string
+	Terminal      bool
+	IsDownloading bool         // активная загрузка → живой прогресс-бар
+	SelfPoll      bool         // задача наблюдаема → карточка сама опрашивает себя
+	PollEvery     string       // интервал самообновления карточки (pollFast/pollSlow)
+	Progress      progressView // живой прогресс (заполняется в handleIndex из снимка)
+	Reviewable    bool         // review/deferred — есть экран ревью
+	Undoable      bool         // done — можно откатить раскладку
+	Relinkable    bool         // reverted/cancelled/target_missing — можно перепривязать заново
+	Retriable     bool         // failed/stuck — можно повторить попытку
+	Note          string       // пояснение рассинхрона (target_missing/orphaned/deleted)
+	ActionError   string       // ошибка действия на htmx-пути (своп карточки), не error_msg
+
+	// Обзор жизненного цикла (мета-строка карточки).
+	Added    string // абсолютная дата добавления (TZ сервера), «2006-01-02»
+	AddedAgo string // относительная давность, «5 дней назад»
+	Size     string // размер раздачи (снимок → фолбэк по файлам → «—»)
+	Ratio    string // рейтинг отдачи (снимок → «—»)
+}
+
+// listChips — определения чипов фильтра списка (порядок = порядок показа).
+var listChips = []struct {
+	Key   string
+	Label string
+	Group store.StateGroup
+}{
+	{"all", "Все", store.GroupAll},
+	{"review", "Ждут меня", store.GroupReview},
+	{"active", "В работе", store.GroupActive},
+	{"done", "Готово", store.GroupDone},
+	{"problem", "Проблемы", store.GroupProblem},
 }
 
 func (s *server) handleIndex(w http.ResponseWriter, r *http.Request) {
-	downloads, err := s.deps.Reader.ListDownloads(r.Context())
+	q := r.URL.Query()
+	group := parseGroup(q.Get("f"))
+	query := strings.TrimSpace(q.Get("q"))
+	showAll := q.Get("all") == "1"
+	page := parsePage(q.Get("page"))
+
+	downloads, total, err := s.deps.Reader.ListDownloadsPage(r.Context(), store.ListFilter{
+		Group:          group,
+		Query:          query,
+		IncludeDeleted: showAll,
+		Limit:          pageSize,
+		Offset:         (page - 1) * pageSize,
+	})
 	if err != nil {
-		s.deps.Logger.Error("list downloads", "err", err)
+		s.deps.Logger.Error("list downloads", "error", err)
 		http.Error(w, "internal error", http.StatusInternalServerError)
 		return
 	}
-	view := indexView{Error: r.URL.Query().Get("err")}
-	for _, d := range downloads {
-		view.Downloads = append(view.Downloads, toView(d))
+
+	pages := max((total+pageSize-1)/pageSize, 1)
+
+	view := indexView{
+		Error:     q.Get("err"),
+		Filter:    string(group),
+		Query:     query,
+		ShowAll:   showAll,
+		Page:      page,
+		Pages:     pages,
+		Total:     total,
+		Searching: query != "" || group != store.GroupAll || showAll || page > 1,
 	}
-	w.Header().Set("Content-Type", "text/html; charset=utf-8")
-	if err := s.index.Execute(w, view); err != nil {
-		s.deps.Logger.Error("render index", "err", err)
+	// Чипы: сохраняют q/all, сбрасывают страницу.
+	for _, c := range listChips {
+		view.Chips = append(view.Chips, filterChip{
+			Key:    c.Key,
+			Label:  c.Label,
+			URL:    listURL(c.Group, query, showAll, 1),
+			Active: c.Group == group,
+		})
+	}
+	// Тумблер «показать всё» переключает all, сохраняя фильтр/поиск.
+	view.ShowURL = listURL(group, query, !showAll, 1)
+	// Пагинация: сохраняет f/q/all.
+	if page > 1 {
+		view.PrevURL = listURL(group, query, showAll, page-1)
+	}
+	if page < pages {
+		view.NextURL = listURL(group, query, showAll, page+1)
+	}
+	for _, n := range pageWindow(page, pages) {
+		view.PageLinks = append(view.PageLinks, pageLink{
+			Num: n, URL: listURL(group, query, showAll, n), Active: n == page,
+		})
+	}
+
+	// Суммарный размер разложенных файлов по странице — фолбэк размера раздачи,
+	// когда торрента нет в живом снимке (один батч-запрос, не N+1).
+	ids := make([]string, len(downloads))
+	for i, d := range downloads {
+		ids[i] = d.ID
+	}
+	layoutSizes, err := s.deps.Reader.LayoutSizeByDownload(r.Context(), ids)
+	if err != nil {
+		s.deps.Logger.Error("layout sizes", "error", err)
+		layoutSizes = nil // деградируем: размер уедет в фолбэк «—», страница не падает
+	}
+
+	now := store.Now()
+	for _, d := range downloads {
+		view.Downloads = append(view.Downloads, s.buildCardView(d, now, layoutSizes[d.ID]))
+	}
+	s.render(w, "index.html", view)
+}
+
+// buildCardView собирает представление карточки списка из доменных данных и
+// живого снимка. Общий для полной страницы (handleIndex), тика самообновления
+// (handleFragCard) и htmx-свопа после действия (renderCardFragment): чтобы
+// htmx-ветки не дублировали обвязку (рейтинг/размер/прогресс). Живые цифры едут
+// вместе с карточкой — своего опроса у блока прогресса нет, поэтому Progress
+// заполняется здесь на каждом пути.
+func (s *server) buildCardView(d store.Download, now time.Time, layoutSize int64) downloadView {
+	v := s.toView(d, now)
+	// Живой снимок читаем для всех карточек (map-lookup, без сети/БД): рейтинг
+	// и размер нужны в любом состоянии, пока торрент есть в qBittorrent.
+	l, ok := s.liveFor(d)
+	v.Ratio = ratioText(l, ok)
+	v.Size = sizeText(l, ok, layoutSize)
+	// Живой прогресс активных загрузок — со значениями уже в первом кадре
+	// (без мигания); дальше карточка дозапрашивает фрагмент поллингом.
+	if v.IsDownloading {
+		v.Progress = buildProgress(d.ID, true, l, ok)
+	}
+	return v
+}
+
+// parseGroup разбирает параметр фильтра `f`; неизвестное → all.
+func parseGroup(s string) store.StateGroup {
+	switch store.StateGroup(s) {
+	case store.GroupReview:
+		return store.GroupReview
+	case store.GroupActive:
+		return store.GroupActive
+	case store.GroupDone:
+		return store.GroupDone
+	case store.GroupProblem:
+		return store.GroupProblem
+	default:
+		return store.GroupAll
 	}
 }
 
+// parsePage разбирает номер страницы (1-based); мусор/<1 → 1. За последней
+// страницей отдаём как есть — запрос вернёт пустую страницу (не ошибка).
+func parsePage(s string) int {
+	n, err := strconv.Atoi(s)
+	if err != nil || n < 1 {
+		return 1
+	}
+	return n
+}
+
+// listURL строит ссылку списка с сохранением состояния фильтра/поиска/страницы.
+// Дефолты (all, пустой поиск, page 1) в query не пишем — URL чистый.
+func listURL(group store.StateGroup, query string, showAll bool, page int) string {
+	v := url.Values{}
+	if group != store.GroupAll {
+		v.Set("f", string(group))
+	}
+	if query != "" {
+		v.Set("q", query)
+	}
+	if showAll {
+		v.Set("all", "1")
+	}
+	if page > 1 {
+		v.Set("page", strconv.Itoa(page))
+	}
+	if len(v) == 0 {
+		return "/"
+	}
+	return "/?" + v.Encode()
+}
+
+// pageWindow возвращает номера страниц вокруг текущей (окно до 7), чтобы пагинация
+// не разрасталась на больших списках.
+func pageWindow(page, pages int) []int {
+	const win = 7
+	if pages <= win {
+		out := make([]int, pages)
+		for i := range out {
+			out[i] = i + 1
+		}
+		return out
+	}
+	start := max(page-win/2, 1)
+	end := start + win - 1
+	if end > pages {
+		end = pages
+		start = end - win + 1
+	}
+	out := make([]int, 0, win)
+	for n := start; n <= end; n++ {
+		out = append(out, n)
+	}
+	return out
+}
+
 func (s *server) handleUIAdd(w http.ResponseWriter, r *http.Request) {
-	if err := r.ParseForm(); err != nil {
-		redirectErr(w, r, "не удалось разобрать форму")
+	// Форма — multipart (файл-пикер .torrent). Лимит тела: размер торрента +
+	// небольшой запас на прочие поля. ParseMultipartForm сперва разбирает
+	// urlencoded-тело (ParseForm), поэтому на обычной (не-multipart) отправке —
+	// напр. из curl или устаревшей страницы — вернёт ErrNotMultipart, но поля
+	// уже в PostForm: такую ошибку глотаем, текстовый путь не ломается.
+	r.Body = http.MaxBytesReader(w, r.Body, ingest.MaxTorrentSize+1<<20)
+	if err := r.ParseMultipartForm(ingest.MaxTorrentSize + 1<<20); err != nil && !errors.Is(err, http.ErrNotMultipart) {
+		redirectErr(w, r, "не удалось разобрать форму (возможно, файл слишком большой)")
 		return
 	}
-	_, err := s.deps.Ingestor.Ingest(r.Context(), ingest.Request{
-		Source:  r.PostForm.Get("source"),
-		Context: r.PostForm.Get("context"),
-	})
+
+	req := ingest.Request{
+		Source:  r.FormValue("source"),
+		Context: r.FormValue("context"),
+	}
+	// Выбран .torrent-файл — приём по байтам (в приоритете над текстом).
+	if file, header, err := r.FormFile("torrent"); err == nil {
+		defer func() { _ = file.Close() }()
+		data, rerr := io.ReadAll(file)
+		if rerr != nil {
+			redirectErr(w, r, "не удалось прочитать .torrent-файл")
+			return
+		}
+		req.TorrentData = data
+		req.TorrentName = header.Filename // фолбек для source_ref
+	}
+
+	res, err := s.deps.Ingestor.Ingest(r.Context(), req)
 	if err != nil {
-		redirectErr(w, r, err.Error())
+		// Нулевой Result на любом пути ошибки — контракт ingest.Ingest;
+		// корреляционный ключ веб-формы, как и REST, — request_id.
+		redirectErr(w, r, userErr(r, err, ""))
+		return
+	}
+	if res.Deduplicated {
+		// Приём привязался к существующей записи (активной или «спящей» desync —
+		// target_missing/orphaned): ведём пользователя на её страницу, а не на
+		// список. Так видно, что нового не завели, и доступны действия записи
+		// (привязать заново / danger-зона «Закрыть»).
+		http.Redirect(w, r, "/download/"+res.DownloadID, http.StatusSeeOther)
 		return
 	}
 	http.Redirect(w, r, "/", http.StatusSeeOther)
@@ -171,25 +466,88 @@ func (s *server) handleUICancel(w http.ResponseWriter, r *http.Request) {
 		redirectErr(w, r, "некорректный id")
 		return
 	}
-	if err := s.deps.Commander.Cancel(r.Context(), id); err != nil {
-		redirectErr(w, r, err.Error())
+	s.surfaceAction(w, r, id, s.deps.Commander.Cancel(r.Context(), id))
+}
+
+func (s *server) handleUIRetry(w http.ResponseWriter, r *http.Request) {
+	id, err := pathID(r)
+	if err != nil {
+		redirectErr(w, r, "некорректный id")
 		return
 	}
-	http.Redirect(w, r, "/", http.StatusSeeOther)
+	s.surfaceAction(w, r, id, s.deps.Commander.Retry(r.Context(), id))
+}
+
+// surfaceAction завершает мутирующее действие, доступное и в списке, и на
+// странице загрузки (undo/relink/retry/cancel). На htmx свопит фрагмент той
+// поверхности, откуда пришло действие (скрытое поле surface=list|download), на
+// ошибке — тот же фрагмент с сообщением и HTTP 200 (иначе htmx не подменит DOM).
+// Без htmx — прежний PRG-редирект на список (форма выхода из ревью тоже сюда:
+// нет htmx → навигация). actionErr — результат доменного вызова.
+func (s *server) surfaceAction(w http.ResponseWriter, r *http.Request, id string, actionErr error) {
+	if !isHTMX(r) {
+		if actionErr != nil {
+			redirectErr(w, r, userErr(r, actionErr, id))
+			return
+		}
+		http.Redirect(w, r, "/", http.StatusSeeOther)
+		return
+	}
+	if r.PostFormValue("surface") == "download" {
+		s.renderDownloadFragment(w, r, id, actionErr)
+		return
+	}
+	s.renderCardFragment(w, r, id, actionErr)
+}
+
+// renderCardFragment перечитывает загрузку и рендерит партиал карточки списка
+// (htmx-своп). На ошибке действия кладёт сообщение в ActionError и всё равно
+// отвечает 200 — htmx не свопит DOM на 4xx/5xx.
+func (s *server) renderCardFragment(w http.ResponseWriter, r *http.Request, id string, actionErr error) {
+	d, err := s.deps.Reader.GetDownload(r.Context(), id)
+	if err != nil {
+		s.fragActionErr(w, err, id, "card-"+id)
+		return
+	}
+	sizes, err := s.deps.Reader.LayoutSizeByDownload(r.Context(), []string{id})
+	if err != nil {
+		s.deps.Logger.Error("layout sizes", "download_id", id, "error", err)
+		sizes = nil // деградируем: размер уедет в фолбэк «—», фрагмент не падает
+	}
+	v := s.buildCardView(*d, store.Now(), sizes[id])
+	if actionErr != nil {
+		v.ActionError = userErr(r, actionErr, id)
+	}
+	s.render(w, "card", v)
+}
+
+// renderDownloadFragment перечитывает загрузку и рендерит главную область
+// страницы загрузки (htmx-своп). Ошибка — в ActionError, ответ 200.
+func (s *server) renderDownloadFragment(w http.ResponseWriter, r *http.Request, id string, actionErr error) {
+	rd, err := s.deps.Reviewer.ReviewData(r.Context(), id)
+	if err != nil {
+		s.fragActionErr(w, err, id, "download-main")
+		return
+	}
+	v := s.buildDownloadView(id, rd)
+	if actionErr != nil {
+		v.ActionError = userErr(r, actionErr, id)
+	}
+	s.render(w, "download_main", v)
 }
 
 // --- REST API ---
 
 type downloadDTO struct {
-	ID         int64  `json:"id"`
-	SourceType string `json:"source_type"`
-	Infohash   string `json:"infohash,omitempty"`
-	Context    string `json:"context,omitempty"`
-	State      string `json:"state"`
-	ErrorCode  string `json:"error_code,omitempty"`
-	ErrorMsg   string `json:"error_msg,omitempty"`
-	CreatedAt  string `json:"created_at"`
-	UpdatedAt  string `json:"updated_at"`
+	ID         string   `json:"id"` // ULID (lowercase)
+	SourceType string   `json:"source_type"`
+	Infohashes []string `json:"infohashes,omitempty"` // все хеши загрузки (v1 раньше v2)
+	Context    string   `json:"context,omitempty"`
+	State      string   `json:"state"`
+	ErrorCode  string   `json:"error_code,omitempty"`
+	ErrorMsg   string   `json:"error_msg,omitempty"`
+	CreatedAt  string   `json:"created_at"`
+	UpdatedAt  string   `json:"updated_at"`
 }
 
 type addRequest struct {
@@ -198,16 +556,16 @@ type addRequest struct {
 }
 
 type addResponse struct {
-	ID           int64  `json:"id"`
-	Infohash     string `json:"infohash"`
-	State        string `json:"state"`
-	Deduplicated bool   `json:"deduplicated"`
+	ID           string   `json:"id"`         // ULID (lowercase)
+	Infohashes   []string `json:"infohashes"` // хеши принятого источника (v1 раньше v2) — симметрично downloadDTO
+	State        string   `json:"state"`
+	Deduplicated bool     `json:"deduplicated"`
 }
 
 func (s *server) handleAPIList(w http.ResponseWriter, r *http.Request) {
 	downloads, err := s.deps.Reader.ListDownloads(r.Context())
 	if err != nil {
-		writeJSON(w, http.StatusInternalServerError, errJSON(err))
+		s.apiErr(w, r, err, "")
 		return
 	}
 	out := make([]downloadDTO, 0, len(downloads))
@@ -220,12 +578,14 @@ func (s *server) handleAPIList(w http.ResponseWriter, r *http.Request) {
 func (s *server) handleAPIGet(w http.ResponseWriter, r *http.Request) {
 	id, err := pathID(r)
 	if err != nil {
-		writeJSON(w, http.StatusBadRequest, errJSON(err))
+		// Синтаксически невалидный id = несуществующая сущность (404), в БД не ходим.
+		writeJSON(w, http.StatusNotFound, errBody(r, "не найдено", ""))
 		return
 	}
 	d, err := s.deps.Reader.GetDownload(r.Context(), id)
 	if err != nil {
-		writeJSON(w, http.StatusNotFound, errJSON(err))
+		// ErrNotFound → 404, реальный сбой БД → 500 (не маскируем под 404).
+		s.apiErr(w, r, err, id)
 		return
 	}
 	writeJSON(w, http.StatusOK, toDTO(*d))
@@ -234,12 +594,15 @@ func (s *server) handleAPIGet(w http.ResponseWriter, r *http.Request) {
 func (s *server) handleAPIAdd(w http.ResponseWriter, r *http.Request) {
 	var req addRequest
 	if err := json.NewDecoder(http.MaxBytesReader(w, r.Body, 1<<16)).Decode(&req); err != nil {
-		writeJSON(w, http.StatusBadRequest, errJSON(err))
+		writeJSON(w, http.StatusBadRequest, errBody(r, "некорректный запрос", ""))
 		return
 	}
 	res, err := s.deps.Ingestor.Ingest(r.Context(), ingest.Request{Source: req.Source, Context: req.Context})
 	if err != nil {
-		writeJSON(w, http.StatusBadRequest, errJSON(err))
+		// Приём на любом пути ошибки возвращает нулевой Result (контракт
+		// ingest.Ingest) — идентификатора загрузки тут нет и быть не может,
+		// коррелируем по request_id.
+		s.apiErr(w, r, err, "")
 		return
 	}
 	status := http.StatusCreated
@@ -248,7 +611,7 @@ func (s *server) handleAPIAdd(w http.ResponseWriter, r *http.Request) {
 	}
 	writeJSON(w, status, addResponse{
 		ID:           res.DownloadID,
-		Infohash:     res.Infohash,
+		Infohashes:   res.Infohashes,
 		State:        string(res.State),
 		Deduplicated: res.Deduplicated,
 	})
@@ -262,20 +625,23 @@ func (s *server) handleAPIRetry(w http.ResponseWriter, r *http.Request) {
 	s.apiCommand(w, r, s.deps.Commander.Retry)
 }
 
-func (s *server) apiCommand(w http.ResponseWriter, r *http.Request, cmd func(context.Context, int64) error) {
+func (s *server) apiCommand(w http.ResponseWriter, r *http.Request, cmd func(context.Context, string) error) {
 	id, err := pathID(r)
 	if err != nil {
-		writeJSON(w, http.StatusBadRequest, errJSON(err))
+		// Синтаксически невалидный id = несуществующая сущность (404), в БД не ходим.
+		writeJSON(w, http.StatusNotFound, errBody(r, "не найдено", ""))
 		return
 	}
 	if err := cmd(r.Context(), id); err != nil {
-		s.deps.Logger.Warn("api command failed", "path", r.URL.Path, "id", id, "err", err)
-		writeJSON(w, http.StatusConflict, errJSON(err))
+		// Тонкий транспорт: возвращённую use-case'ом/воркером ошибку переводим в
+		// статус+сообщение и не логируем повторно (доменный слой уже залогировал,
+		// а невалидный ввод — норма, разбирать команде нечего).
+		s.apiErr(w, r, err, id)
 		return
 	}
 	d, err := s.deps.Reader.GetDownload(r.Context(), id)
 	if err != nil {
-		writeJSON(w, http.StatusOK, map[string]int64{"id": id})
+		writeJSON(w, http.StatusOK, map[string]string{"id": id})
 		return
 	}
 	writeJSON(w, http.StatusOK, toDTO(*d))
@@ -287,7 +653,7 @@ func toDTO(d store.Download) downloadDTO {
 	return downloadDTO{
 		ID:         d.ID,
 		SourceType: string(d.SourceType),
-		Infohash:   d.Infohash.String,
+		Infohashes: d.HashList(),
 		Context:    d.Context,
 		State:      string(d.State),
 		ErrorCode:  d.ErrorCode.String,
@@ -297,34 +663,136 @@ func toDTO(d store.Download) downloadDTO {
 	}
 }
 
-func toView(d store.Download) downloadView {
-	return downloadView{
-		ID:         d.ID,
-		Source:     shorten(d.SourceRef, 64),
-		Infohash:   d.Infohash.String,
-		Context:    d.Context,
-		State:      string(d.State),
-		Error:      d.ErrorMsg.String,
-		Terminal:   d.State.IsTerminal(),
-		Reviewable: d.State == store.StateReview || d.State == store.StateDeferred,
-		Undoable:   d.State == store.StateDone,
-		Relinkable: d.State == store.StateReverted || d.State == store.StateCancelled,
+func (s *server) toView(d store.Download, now time.Time) downloadView {
+	state := string(d.State)
+	v := downloadView{
+		ID:            d.ID,
+		Title:         downloadTitle(d),
+		MediaType:     d.RecMediaType.String, // пусто, если распознавания/типа ещё нет
+		State:         state,
+		Error:         d.ErrorMsg.String,
+		Terminal:      d.State.IsTerminal(),
+		IsDownloading: d.State == store.StateDownloading,
+		SelfPoll:      d.State.IsObservable(),
+		PollEvery:     pollSlow,
+		Reviewable:    d.State == store.StateReview || d.State == store.StateDeferred,
+		Undoable:      d.State == store.StateDone,
+		Relinkable: d.State == store.StateReverted || d.State == store.StateCancelled ||
+			d.State == store.StateTargetMissing,
+		Retriable: d.State == store.StateFailed || d.State == store.StateStuck,
+		Note:      desyncNote(d.State),
+	}
+	// Быстрый интервал — только там, где на поверхности бегут цифры качания.
+	if v.IsDownloading {
+		v.PollEvery = pollFast
+	}
+	// Дата добавления в карточке — всегда (source_added_at → фолбэк created_at,
+	// как в порядке списка); неразбираемое время просто опускаем.
+	if t, ok := addedTime(d); ok {
+		v.Added = fmtDate(t, s.deps.Loc)
+		v.AddedAgo = humanizeAge(t, now)
+	}
+	return v
+}
+
+// downloadTitle — заголовок загрузки для списка: имя раздачи (display_name,
+// то, что ушло в qBittorrent) → распознанное название (RecTitle из листинга) →
+// усечённый до одной строки сырой источник. Сырой magnet не должен занимать
+// несколько строк заголовка.
+func downloadTitle(d store.Download) string {
+	if d.DisplayName != "" {
+		return displaySafe(d.DisplayName)
+	}
+	if d.RecTitle.Valid && d.RecTitle.String != "" {
+		return displaySafe(d.RecTitle.String)
+	}
+	return displaySafe(shorten(oneLine(d.SourceRef), 80))
+}
+
+// displaySafe готовит заголовок к показу: снимает управляющие символы
+// направления письма (`unicode.Bidi_Control` — с ними строка читается не в том
+// порядке, в каком хранится) и заменяет управляющие пробелом (перевод строки в
+// заголовке склеил бы слова). Имя раздачи — недоверенный вход, а
+// `html/template` экранирует разметку, но эти символы пропускает. Цена высока
+// на экране подтверждения группового удаления: там поимённое чтение заголовков
+// и есть предохранитель необратимой операции.
+//
+// Снимается ровно этот класс, не весь `unicode.Cf`: в `Cf` лежат и ZWJ/ZWNJ,
+// без которых рассыпаются составные эмодзи и меняется написание персидских и
+// индийских имён. Чистим на показе, а не на записи — хранение дословное, и
+// поиск по списку идёт по сохранённому имени.
+func displaySafe(s string) string {
+	return strings.Map(func(r rune) rune {
+		if unicode.Is(unicode.Bidi_Control, r) {
+			return -1
+		}
+		if r < 0x20 || r == 0x7f {
+			return ' '
+		}
+		return r
+	}, s)
+}
+
+// oneLine схлопывает переводы строк и лишние пробелы — сырой источник в
+// заголовок кладём одной строкой.
+func oneLine(s string) string {
+	return strings.Join(strings.Fields(s), " ")
+}
+
+// addedTime — базис даты добавления карточки: время добавления в источник
+// (source_added_at, qBittorrent added_on) с фолбэком на время создания загрузки
+// (created_at), согласованно с порядком списка. ok=false — распарсить нечего.
+func addedTime(d store.Download) (time.Time, bool) {
+	s := d.CreatedAt
+	if d.SourceAddedAt.Valid && d.SourceAddedAt.String != "" {
+		s = d.SourceAddedAt.String
+	}
+	t, err := store.ParseTime(s)
+	if err != nil {
+		return time.Time{}, false
+	}
+	return t, true
+}
+
+// desyncNote — пояснение состояния рассинхрона для UI (см. state-reconciliation).
+func desyncNote(s store.State) string {
+	switch s {
+	case store.StateTargetMissing:
+		return "разложено, но файлов в библиотеке нет — можно привязать заново"
+	case store.StateOrphaned:
+		return "источник удалён — это последняя копия данных, откат недоступен"
+	case store.StateDeleted:
+		return "удалены и источник, и файлы в библиотеке"
+	default:
+		return ""
 	}
 }
 
+// shorten обрезает строку до n рун (не байт), добавляя многоточие. Рунобезопасно:
+// кириллица (2 байта/руна) иначе резалась бы посреди руны в U+FFFD — частый случай
+// для source_ref-заголовков.
 func shorten(s string, n int) string {
-	if len(s) <= n {
+	if utf8.RuneCountInString(s) <= n {
 		return s
 	}
-	return s[:n] + "…"
+	return string([]rune(s)[:n]) + "…"
 }
 
-func pathID(r *http.Request) (int64, error) {
-	id, err := strconv.ParseInt(chi.URLParam(r, "id"), 10, 64)
-	if err != nil {
-		return 0, errors.New("invalid id")
+// pathID валидирует {id} из URL как ULID и нормализует к lowercase — до
+// любого обращения к БД (сравнение в SQLite побайтовое). Невалидный id
+// трактуется вызывающими как несуществующая сущность (404).
+func pathID(r *http.Request) (string, error) {
+	return ident.Parse(chi.URLParam(r, "id"))
+}
+
+// liveFor достаёт живую телеметрию по любому из хешей загрузки.
+func (s *server) liveFor(d store.Download) (worker.Live, bool) {
+	for _, h := range d.HashList() {
+		if l, ok := s.deps.Live.Live(h); ok {
+			return l, true
+		}
 	}
-	return id, nil
+	return worker.Live{}, false
 }
 
 func redirectErr(w http.ResponseWriter, r *http.Request, msg string) {
@@ -337,25 +805,110 @@ func writeJSON(w http.ResponseWriter, status int, v any) {
 	_ = json.NewEncoder(w).Encode(v)
 }
 
-func errJSON(err error) map[string]string {
-	return map[string]string{"error": err.Error()}
+// classifyErr транслирует доменную ошибку в HTTP-статус и нейтральное
+// человекочитаемое сообщение публичного канала (без сырого err.Error() и
+// деталей реализации): ErrNotFound → 404; валидация источника
+// (magnet.ErrNotMagnet), oversized `.torrent` (ingest.ErrTorrentTooLarge) и
+// некорректный ввод команды (worker.ErrInvalidInput) →
+// 400; недокачанный источник (worker.ErrNotReady), коллизия цели
+// (layout.ErrCollision), непомещающееся целевое имя (layout.ErrNameTooLong) и
+// конфликт состояния (worker.ErrConflict) → 409; прочее
+// → 500. Полная ошибка уже в логах на доменной границе — наружу отдаём только
+// сообщение + корреляционный ключ.
+func classifyErr(err error) (int, string) {
+	switch {
+	case errors.Is(err, store.ErrNotFound):
+		return http.StatusNotFound, "не найдено"
+	case errors.Is(err, magnet.ErrNotMagnet), errors.Is(err, torrent.ErrNotTorrent):
+		return http.StatusBadRequest, "некорректный источник"
+	case errors.Is(err, ingest.ErrTorrentTooLarge):
+		// Промах ввода (файл больше лимита), не сбой сервера — 400, а не 500.
+		return http.StatusBadRequest, "файл .torrent слишком большой"
+	case errors.Is(err, worker.ErrInvalidInput):
+		// Промах пользователя (пустая подсказка, неизвестный тип/провайдер, …),
+		// не сбой сервера.
+		return http.StatusBadRequest, "некорректный ввод"
+	case errors.Is(err, worker.ErrNotReady):
+		// Источник ещё качается — actionable причина, показываем конкретно.
+		return http.StatusConflict, "торрент ещё качается, дождитесь докачки"
+	case errors.Is(err, layout.ErrCollision):
+		// Целевой путь уже занят: задача штатно ушла в review с причиной —
+		// это не сбой, а требующий разбора конфликт.
+		return http.StatusConflict, "целевой файл уже существует, задача отправлена в ревью"
+	case errors.Is(err, layout.ErrNameTooLong):
+		// Целевое имя не помещается в файловую систему: задача штатно ушла в
+		// review, где название правится подсказкой. Не сбой сервера.
+		return http.StatusConflict, "целевое имя слишком длинное, задача отправлена в ревью"
+	case errors.Is(err, worker.ErrConflict):
+		// Нормальный конфликт состояния (операция недопустима сейчас), не сбой.
+		return http.StatusConflict, "действие недоступно в текущем состоянии"
+	case errors.Is(err, errManualSource):
+		// Ошибка ручного ввода источника — показываем пользователю как есть.
+		return http.StatusBadRequest, errManualSource.Error()
+	case errors.Is(err, errInvalidCandidate):
+		return http.StatusBadRequest, errInvalidCandidate.Error()
+	case errors.Is(err, errBatchEmpty), errors.Is(err, errBatchTooLarge),
+		errors.Is(err, errBatchBadID):
+		// Отказы разбора пачки группового удаления — промах ввода, не сбой:
+		// текст sentinel'а показывается человеку как есть.
+		return http.StatusBadRequest, err.Error()
+	default:
+		return http.StatusInternalServerError, "внутренняя ошибка"
+	}
 }
 
-// requestLogger пишет структурированный лог по каждому запросу. Частые
-// служебные запросы (healthcheck, GET-страницы веб-UI с авто-рефрешем) пишем
-// на DEBUG, чтобы не зашумлять INFO; мутации и REST API остаются на INFO.
+// errBody — тело ошибки REST API: нейтральное сообщение + корреляционный ключ
+// для владельца (download_id, если операция привязана к загрузке, иначе
+// request_id запроса), по которому он найдёт полную ошибку в логах.
+func errBody(r *http.Request, msg string, downloadID string) map[string]any {
+	body := map[string]any{"error": msg}
+	if downloadID != "" {
+		body["download_id"] = downloadID
+	} else {
+		body["request_id"] = middleware.GetReqID(r.Context())
+	}
+	return body
+}
+
+// apiErr пишет ответ об ошибке REST API по доменной ошибке (статус + тело).
+func (s *server) apiErr(w http.ResponseWriter, r *http.Request, err error, downloadID string) {
+	status, msg := classifyErr(err)
+	writeJSON(w, status, errBody(r, msg, downloadID))
+}
+
+// userErr — сообщение публичного канала для веб-UI: нейтральный текст по
+// доменной ошибке + корреляционный ключ владельцу (download_id, если операция
+// привязана к загрузке, иначе request_id). Сырой текст ошибки наружу не идёт.
+func userErr(r *http.Request, err error, downloadID string) string {
+	_, msg := classifyErr(err)
+	if downloadID != "" {
+		return fmt.Sprintf("%s (download_id=%s)", msg, downloadID)
+	}
+	return fmt.Sprintf("%s (request_id=%s)", msg, middleware.GetReqID(r.Context()))
+}
+
+// requestLogger пишет структурированный лог по каждому запросу. Служебные и
+// навигационные GET (healthcheck, страницы веб-UI, статика) пишем на DEBUG,
+// чтобы не зашумлять INFO; мутации и REST API остаются на INFO.
 func requestLogger(logger *slog.Logger) func(http.Handler) http.Handler {
 	return func(next http.Handler) http.Handler {
 		return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 			ww := middleware.NewWrapResponseWriter(w, r.ProtoMajor)
-			start := time.Now()
+			start := time.Now() //nolint:forbidigo // измеряем длительность запроса, а не метку времени в БД
 
 			next.ServeHTTP(ww, r)
 
+			// http.route — низкокардинальный шаблон маршрута (chi), а не
+			// конкретный путь; при отсутствии шаблона падаем на путь.
+			route := chi.RouteContext(r.Context()).RoutePattern()
+			if route == "" {
+				route = r.URL.Path
+			}
 			logger.Log(r.Context(), requestLogLevel(r), "http request",
-				"method", r.Method,
-				"path", r.URL.Path,
-				"status", ww.Status(),
+				"transport", "http",
+				"http.method", r.Method,
+				"http.route", route,
+				"http.status_code", ww.Status(),
 				"bytes", ww.BytesWritten(),
 				"duration_ms", time.Since(start).Milliseconds(),
 				"request_id", middleware.GetReqID(r.Context()),
@@ -364,8 +917,8 @@ func requestLogger(logger *slog.Logger) func(http.Handler) http.Handler {
 	}
 }
 
-// requestLogLevel понижает уровень для частых служебных запросов: healthcheck
-// и GET-страницы веб-UI (список авто-рефрешится каждые 5 с). Мутации и REST
+// requestLogLevel понижает уровень для служебных и навигационных запросов:
+// healthcheck и GET-страницы веб-UI (включая статику). Мутации и REST
 // API (`/api/...`) остаются на INFO.
 func requestLogLevel(r *http.Request) slog.Level {
 	switch {

internal/httpapi/live.go

@@ -0,0 +1,348 @@
+package httpapi
+
+import (
+	"errors"
+	"fmt"
+	"net/http"
+	"time"
+
+	"git.vakhrushev.me/av/jellybit/internal/store"
+	"git.vakhrushev.me/av/jellybit/internal/worker"
+)
+
+// LiveStatus — источник живой телеметрии загрузок (снимок воркера). Контракт
+// узкий и не зависит от способа доставки в браузер (поллинг сейчас, SSE позже).
+type LiveStatus interface {
+	// Live возвращает телеметрию по infohash; ok=false — данных нет (нет
+	// торрента в последнем тике), читатель деградирует без живых значений.
+	Live(infohash string) (worker.Live, bool)
+}
+
+// Интервалы самообновления поверхностей (значение hx-trigger="every …").
+//
+//   - pollFast — поверхность с живыми цифрами качания (карточка в downloading).
+//     Равен [worker].poll_interval: воркер снимает телеметрию раз в 5 с, и
+//     опрашивать чаще значит возвращать тот же кадр (docs/database.md).
+//   - pollSlow — все прочие наблюдаемые поверхности, включая страницу
+//     /download/{id} в любом состоянии: там меняется только состояние, а сборка
+//     страницы считает предпросмотр раскладки и ходит в ФС.
+const (
+	pollFast = "5s"
+	pollSlow = "15s"
+)
+
+// noLive — заглушка на случай, когда источник телеметрии не подключён
+// (Deps.Live == nil): живых данных нет, UI деградирует штатно.
+type noLive struct{}
+
+func (noLive) Live(string) (worker.Live, bool) { return worker.Live{}, false }
+
+// progressView — живой прогресс активной загрузки (вложенный блок карточки).
+// Active управляется store-состоянием (downloading), а не qbt: вне downloading
+// скорость и ETA смысла не имеют, и блок не рисуется. Своего опроса блок не
+// ведёт — цифры приезжают с тиком карточки (web-ui, «Самообновление живой
+// задачи»).
+type progressView struct {
+	ID      string
+	Active  bool // store-состояние downloading → показываем бар
+	Has     bool // есть данные снимка
+	Percent int
+	DlSpeed string
+	ETA     string
+}
+
+// seedingView — живая статистика раздачи (секция страницы загрузки).
+// Has истинно только если торрент сидирует и данные есть — иначе секция
+// деградирует (пустой контейнер). Своего опроса секция не ведёт: она лежит
+// внутри свопаемой области страницы, и её цифры приезжают с тиком страницы.
+type seedingView struct {
+	ID       string
+	Has      bool
+	Percent  int
+	Ratio    string
+	Uploaded string
+	Seeds    int
+	Peers    int
+	UpSpeed  string
+}
+
+func buildProgress(id string, active bool, l worker.Live, ok bool) progressView {
+	v := progressView{ID: id, Active: active}
+	if ok {
+		v.Has = true
+		v.Percent = pct(l.Progress)
+		v.DlSpeed = fmtSpeed(l.DlSpeed)
+		// ETA опускаем при неизвестном/sentinel (stalled) — «осталось —» уродливо;
+		// шаблонный {{if .ETA}} тогда скрывает хвост строки.
+		if e := fmtETA(l.ETA); e != "—" {
+			v.ETA = e
+		}
+	}
+	return v
+}
+
+func buildSeeding(id string, l worker.Live, ok bool) seedingView {
+	v := seedingView{ID: id}
+	if ok && l.Seeding {
+		v.Has = true
+		v.Percent = pct(l.Progress)
+		v.Ratio = fmtRatio(l.Ratio)
+		v.Uploaded = fmtBytes(l.Uploaded)
+		v.Seeds = l.Seeds
+		v.Peers = l.Peers
+		v.UpSpeed = fmtSpeed(l.UpSpeed)
+	}
+	return v
+}
+
+// handleFragProgress отдаёт партиал живого прогресса карточки.
+//
+// Потребителя в новой разметке у маршрута нет: блок прогресса едет с тиком
+// карточки. Маршрут оставлен гасителем вкладок, отрисованных прошлой версией:
+// htmx не свопит 4xx/5xx и не снимает hx-trigger, поэтому удалённый маршрут
+// заставил бы старую вкладку стучать бесконечно, а партиал без поллинга гасит
+// её первым же тиком. Убирается отдельной уборкой после деплоя.
+func (s *server) handleFragProgress(w http.ResponseWriter, r *http.Request) {
+	id, err := pathID(r)
+	if err != nil {
+		http.Error(w, "не найдено", http.StatusNotFound)
+		return
+	}
+	d, err := s.deps.Reader.GetDownload(r.Context(), id)
+	if err != nil {
+		s.fragTickErr(w, err, id, "dl-live-"+id)
+		return
+	}
+	active := d.State == store.StateDownloading
+	l, ok := s.liveFor(*d)
+	s.render(w, "progress", buildProgress(id, active, l, ok))
+}
+
+// handleFragCard отдаёт карточку списка целиком — это тик её самообновления.
+// Пока задача наблюдаема (State.IsObservable), карточка опрашивает себя и на
+// каждом тике приносит текущее состояние целиком: бейдж, заголовок, набор
+// действий и живые цифры. Перестала быть наблюдаемой — свежая карточка уже не
+// несёт самополлинга, и цикл завершается сам.
+func (s *server) handleFragCard(w http.ResponseWriter, r *http.Request) {
+	id, err := pathID(r)
+	if err != nil {
+		http.Error(w, "не найдено", http.StatusNotFound)
+		return
+	}
+	d, err := s.deps.Reader.GetDownload(r.Context(), id)
+	if err != nil {
+		s.fragTickErr(w, err, id, "card-"+id)
+		return
+	}
+	// Размер читаем так же, как своповый путь действия: самообновление
+	// обслуживает и состояния с разложенными файлами, и подмена известного
+	// размера прочерком была бы потерей поля полного рендера.
+	sizes, err := s.deps.Reader.LayoutSizeByDownload(r.Context(), []string{id})
+	if err != nil {
+		// WARN, а не ERROR: тик повторится сам (docs/conventions/logging.md).
+		s.deps.Logger.Warn("layout sizes", "download_id", id, "error", err)
+		sizes = nil // деградируем: размер уедет в фолбэк, тик не падает
+	}
+	s.render(w, "card", s.buildCardView(*d, store.Now(), sizes[id]))
+}
+
+// handleFragSeeding отдаёт партиал секции «Раздача».
+//
+// Как и у прогресса, потребителя в новой разметке нет: секция едет с тиком
+// страницы. Маршрут оставлен гасителем старых вкладок — см. handleFragProgress.
+func (s *server) handleFragSeeding(w http.ResponseWriter, r *http.Request) {
+	id, err := pathID(r)
+	if err != nil {
+		http.Error(w, "не найдено", http.StatusNotFound)
+		return
+	}
+	d, err := s.deps.Reader.GetDownload(r.Context(), id)
+	if err != nil {
+		s.fragTickErr(w, err, id, "seeding-"+id)
+		return
+	}
+	l, ok := s.liveFor(*d)
+	s.render(w, "seeding", buildSeeding(id, l, ok))
+}
+
+// fragTickErr — отказ чтения на повторяющемся тике самообновления: 200 и
+// фрагмент, который объясняет положение дел и НЕ несёт самообновления.
+//
+// Статусом ошибки отвечать нельзя: htmx не свопит DOM на 4xx/5xx, поэтому
+// поверхность осталась бы прежней навсегда (человек не отличит «ничего не
+// изменилось» от «сервер не отвечает»), а её опрос продолжался бы бесконечно —
+// при затяжном отказе хранилища это поток записей в журнал с каждой открытой
+// вкладки. Фрагмент без hx-* завершает цикл сам (web-ui, «Самообновление живой
+// задачи»).
+//
+// Уровень WARN, а не ERROR: у тика есть штатный ретрай — следующий тик повторит
+// (docs/conventions/logging.md, «Ошибки»).
+func (s *server) fragTickErr(w http.ResponseWriter, err error, id, rootID string) {
+	s.fragNote(w, err, id, rootID, false)
+}
+
+// fragActionErr — отказ чтения на разовом действии человека: тот же
+// самозавершающийся фрагмент, но ERROR: ретрая у действия нет.
+func (s *server) fragActionErr(w http.ResponseWriter, err error, id, rootID string) {
+	s.fragNote(w, err, id, rootID, true)
+}
+
+// fragNote отдаёт фрагмент отказа с корнем rootID. Корень обязателен и
+// приходит от вызывающего: htmx свопит outerHTML, и фрагмент без целевого id
+// снёс бы узел вместе с якорем — следующее действие и поллер цели не нашли бы
+// (docs/conventions/web-ui.md, «Единый источник разметки»).
+func (s *server) fragNote(w http.ResponseWriter, err error, id, rootID string, oneShot bool) {
+	text := "задача не найдена — обновите страницу"
+	if !errors.Is(err, store.ErrNotFound) {
+		if oneShot {
+			s.deps.Logger.Error("live fragment", "download_id", id, "error", err)
+		} else {
+			s.deps.Logger.Warn("live fragment", "download_id", id, "error", err)
+		}
+		text = "не удалось обновить — обновите страницу"
+	}
+	s.render(w, "frag_note", fragNoteView{RootID: rootID, Text: text})
+}
+
+// fragNoteView — самозавершающийся фрагмент отказа (см. fragNote). RootID —
+// id узла, который фрагмент собой заменяет.
+type fragNoteView struct {
+	RootID string
+	Text   string
+}
+
+// --- форматирование телеметрии ---
+
+// etaInfinity — sentinel qBittorrent для неизвестного/бесконечного ETA.
+const etaInfinity = 8640000
+
+func pct(progress float64) int {
+	if progress < 0 {
+		return 0
+	}
+	if progress > 1 {
+		return 100
+	}
+	return int(progress*100 + 0.5)
+}
+
+// fmtBytes переводит байты в человекочитаемые единицы (двоичные, IEC).
+func fmtBytes(n int64) string {
+	if n < 1024 {
+		return fmt.Sprintf("%d Б", n)
+	}
+	const unit = 1024
+	div, exp := int64(unit), 0
+	units := []string{"КиБ", "МиБ", "ГиБ", "ТиБ", "ПиБ", "ЭиБ"}
+	for v := n / unit; v >= unit && exp < len(units)-1; v /= unit {
+		div *= unit
+		exp++
+	}
+	return fmt.Sprintf("%.1f %s", float64(n)/float64(div), units[exp])
+}
+
+// fmtSpeed форматирует скорость (байт/с).
+func fmtSpeed(n int64) string {
+	if n <= 0 {
+		return "0 Б/с"
+	}
+	return fmtBytes(n) + "/с"
+}
+
+// fmtETA форматирует оценку времени; sentinel/отрицательное → «—».
+func fmtETA(sec int64) string {
+	if sec < 0 || sec >= etaInfinity {
+		return "—"
+	}
+	switch {
+	case sec < 60:
+		return fmt.Sprintf("%d с", sec)
+	case sec < 3600:
+		return fmt.Sprintf("%d мин", sec/60)
+	case sec < 86400:
+		return fmt.Sprintf("%d ч %d мин", sec/3600, (sec%3600)/60)
+	default:
+		return fmt.Sprintf("%d дн", sec/86400)
+	}
+}
+
+// fmtRatio форматирует рейтинг отдачи; отрицательный (sentinel) → «—».
+func fmtRatio(r float64) string {
+	if r < 0 {
+		return "—"
+	}
+	return fmt.Sprintf("%.2f", r)
+}
+
+// fmtDate — абсолютная дата добавления для карточки в таймзоне отображения
+// (general.timezone; хранение всегда UTC). loc не бывает nil — NewRouter
+// подставляет UTC по умолчанию.
+func fmtDate(t time.Time, loc *time.Location) string {
+	return t.In(loc).Format("2006-01-02")
+}
+
+// humanizeAge — относительная давность («5 дней назад») от now до t. Будущее
+// (рассинхрон часов) схлопывается в «только что». Единицы огрубляются к
+// минутам/часам/дням/месяцам/годам — для обзора возраста этого достаточно.
+func humanizeAge(t, now time.Time) string {
+	d := now.Sub(t)
+	if d < time.Minute {
+		return "только что"
+	}
+	switch {
+	case d < time.Hour:
+		n := int(d / time.Minute)
+		return fmt.Sprintf("%d %s назад", n, plural(n, "минуту", "минуты", "минут"))
+	case d < 24*time.Hour:
+		n := int(d / time.Hour)
+		return fmt.Sprintf("%d %s назад", n, plural(n, "час", "часа", "часов"))
+	case d < 30*24*time.Hour:
+		n := int(d / (24 * time.Hour))
+		return fmt.Sprintf("%d %s назад", n, plural(n, "день", "дня", "дней"))
+	case d < 365*24*time.Hour:
+		n := int(d / (30 * 24 * time.Hour))
+		return fmt.Sprintf("%d %s назад", n, plural(n, "месяц", "месяца", "месяцев"))
+	default:
+		n := int(d / (365 * 24 * time.Hour))
+		return fmt.Sprintf("%d %s назад", n, plural(n, "год", "года", "лет"))
+	}
+}
+
+// plural выбирает русскую форму по числу (1 файл / 2 файла / 5 файлов).
+func plural(n int, one, few, many string) string {
+	if n < 0 {
+		n = -n
+	}
+	if m := n % 100; m >= 11 && m <= 14 {
+		return many
+	}
+	switch n % 10 {
+	case 1:
+		return one
+	case 2, 3, 4:
+		return few
+	default:
+		return many
+	}
+}
+
+// sizeText — размер раздачи для карточки: живой общий размер из снимка, иначе
+// суммарный размер разложенных файлов (фолбэк для orphaned), иначе «—».
+func sizeText(l worker.Live, ok bool, layoutSize int64) string {
+	if ok && l.TotalSize > 0 {
+		return fmtBytes(l.TotalSize)
+	}
+	if layoutSize > 0 {
+		return fmtBytes(layoutSize)
+	}
+	return "—"
+}
+
+// ratioText — рейтинг отдачи для карточки: из живого снимка, иначе «—» (торрента
+// нет в qBittorrent).
+func ratioText(l worker.Live, ok bool) string {
+	if !ok {
+		return "—"
+	}
+	return fmtRatio(l.Ratio)
+}

internal/httpapi/live_test.go

@@ -0,0 +1,340 @@
+package httpapi
+
+import (
+	"errors"
+	"net/http"
+	"strings"
+	"testing"
+
+	"git.vakhrushev.me/av/jellybit/internal/store"
+	"git.vakhrushev.me/av/jellybit/internal/worker"
+)
+
+// TestFragProgressDownloading: маршрут прогресса остался гасителем старых
+// вкладок — отдаёт цифры снимка и НЕ несёт собственного опроса.
+func TestFragProgressDownloading(t *testing.T) {
+	dl := store.Download{ID: testULID, Infohashes: []store.Infohash{{DownloadID: testULID, Infohash: "ih5", Kind: store.HashV1}}, State: store.StateDownloading}
+	lv := stubLive{m: map[string]worker.Live{"ih5": {Progress: 0.42, DlSpeed: 6400000, ETA: 720}}}
+	h := testRouterLive(t, stubReader{one: &dl}, stubReviewer{}, lv)
+
+	rr := get(t, h, "/fragments/downloads/"+testULID+"/progress")
+	if rr.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	for _, want := range []string{"width:42%", "42%"} {
+		if !strings.Contains(body, want) {
+			t.Errorf("фрагмент прогресса не содержит %q\n%s", want, body)
+		}
+	}
+	if strings.Contains(body, "hx-trigger") {
+		t.Errorf("партиал прогресса всё ещё опрашивает сервер сам:\n%s", body)
+	}
+}
+
+// TestProgressBlockHiddenOutsideDownloading: вне downloading блок живых цифр не
+// рисуется вовсе — скорость и ETA там смысла не имеют. Проверка на отсутствие
+// hx-trigger сюда не годится: партиал не несёт его ни при каком входе, и такой
+// тест был бы зелёным независимо от логики.
+func TestProgressBlockHiddenOutsideDownloading(t *testing.T) {
+	dl := store.Download{ID: testULID, Infohashes: []store.Infohash{{DownloadID: testULID, Infohash: "ih5", Kind: store.HashV1}}, State: store.StateDone}
+	lv := stubLive{m: map[string]worker.Live{"ih5": {Progress: 0.9, DlSpeed: 6400000, ETA: 720}}}
+	h := testRouterLive(t, stubReader{one: &dl}, stubReviewer{}, lv)
+
+	rr := get(t, h, "/fragments/downloads/"+testULID+"/progress")
+	if rr.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	for _, unwanted := range []string{`class="progress"`, "dl-stats", "90%"} {
+		if strings.Contains(body, unwanted) {
+			t.Errorf("вне downloading блок цифр не должен рисоваться, есть %q:\n%s", unwanted, body)
+		}
+	}
+}
+
+// TestFragErrKeepsSwapRoot: фрагмент отказа несёт корневой id того узла, который
+// он собой заменяет. Иначе своп уносит якорь поверхности: экран ревью или
+// страница загрузки теряют цель для всех своих действий и мертвы до перезагрузки
+// (docs/conventions/web-ui.md, «Единый источник разметки»).
+func TestFragErrKeepsSwapRoot(t *testing.T) {
+	cases := []struct{ path, root string }{
+		{"/fragments/downloads/" + testULID + "/card", `id="card-` + testULID + `"`},
+		{"/fragments/downloads/" + testULID + "/progress", `id="dl-live-` + testULID + `"`},
+		{"/fragments/downloads/" + testULID + "/seeding", `id="seeding-` + testULID + `"`},
+		{"/fragments/downloads/" + testULID + "/review", `id="review-main"`},
+	}
+	h := testRouterLive(t, stubReader{getErr: errors.New("db is gone")}, stubReviewer{}, stubLive{})
+	for _, c := range cases {
+		rr := get(t, h, c.path)
+		if rr.Code != http.StatusOK {
+			t.Errorf("%s: status = %d, want 200", c.path, rr.Code)
+			continue
+		}
+		if body := rr.Body.String(); !strings.Contains(body, c.root) {
+			t.Errorf("%s: фрагмент отказа без корня %s:\n%s", c.path, c.root, body)
+		}
+	}
+}
+
+// TestPageTickFailureSelfTerminates: тик страницы идёт тем же маршрутом, что и
+// навигация, поэтому отказ на htmx-пути обязан отвечать 200 и фрагментом с
+// корнем #download-main без hx-*; навигационный GET по-прежнему получает статус.
+func TestPageTickFailureSelfTerminates(t *testing.T) {
+	h := testRouterLive(t, stubReader{}, stubReviewer{}, stubLive{})
+
+	rr := getHTMX(t, h, "/download/"+testULID)
+	if rr.Code != http.StatusOK {
+		t.Fatalf("тик страницы: status = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	if !strings.Contains(body, `id="download-main"`) {
+		t.Errorf("фрагмент отказа страницы без корня #download-main:\n%s", body)
+	}
+	if strings.Contains(body, "hx-trigger") {
+		t.Errorf("фрагмент отказа страницы не самозавершается:\n%s", body)
+	}
+	if rr := get(t, h, "/download/"+testULID); rr.Code != http.StatusNotFound {
+		t.Errorf("навигационный GET: status = %d, want 404", rr.Code)
+	}
+}
+
+// TestFragSeeding: сидирующая задача → секция «Раздача» со статистикой и
+// поллингом.
+func TestFragSeeding(t *testing.T) {
+	dl := store.Download{ID: testULID, Infohashes: []store.Infohash{{DownloadID: testULID, Infohash: "ih9", Kind: store.HashV1}}, State: store.StateDone}
+	lv := stubLive{m: map[string]worker.Live{"ih9": {
+		Seeding: true, Progress: 1, Ratio: 2.41, Seeds: 38, Peers: 14, Uploaded: 1 << 30, UpSpeed: 1153433,
+	}}}
+	h := testRouterLive(t, stubReader{one: &dl}, stubReviewer{}, lv)
+
+	rr := get(t, h, "/fragments/downloads/"+testULID+"/seeding")
+	if rr.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	for _, want := range []string{"Раздача", "2.41", "38 / 14"} {
+		if !strings.Contains(body, want) {
+			t.Errorf("фрагмент раздачи не содержит %q\n%s", want, body)
+		}
+	}
+	// Секция лежит внутри свопаемой области страницы — своего опроса не ведёт.
+	if strings.Contains(body, "hx-trigger") {
+		t.Errorf("секция раздачи всё ещё опрашивает сервер сама:\n%s", body)
+	}
+}
+
+// TestFragSeedingDegrades: нет живых данных → секция отсутствует, поллинга нет.
+func TestFragSeedingDegrades(t *testing.T) {
+	dl := store.Download{ID: testULID, Infohashes: []store.Infohash{{DownloadID: testULID, Infohash: "ih9", Kind: store.HashV1}}, State: store.StateDone}
+	h := testRouterLive(t, stubReader{one: &dl}, stubReviewer{}, stubLive{})
+
+	rr := get(t, h, "/fragments/downloads/"+testULID+"/seeding")
+	if rr.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	if strings.Contains(body, "Раздача") || strings.Contains(body, "hx-trigger") {
+		t.Errorf("секция раздачи не деградировала:\n%s", body)
+	}
+}
+
+// TestIndexCardShowsLiveProgress: активная карточка в списке несёт прогресс уже
+// в первом кадре (значения снимка), а опрашивает себя сама карточка — один
+// поллер на поверхность, во вложенном блоке прогресса его нет.
+func TestIndexCardShowsLiveProgress(t *testing.T) {
+	dl := store.Download{ID: testULID, SourceRef: "The.Bear.S03", Infohashes: []store.Infohash{{DownloadID: testULID, Infohash: "ih3", Kind: store.HashV1}}, State: store.StateDownloading}
+	lv := stubLive{m: map[string]worker.Live{"ih3": {Progress: 0.46, DlSpeed: 6400000, ETA: 720}}}
+	h := testRouterLive(t, stubReader{list: []store.Download{dl}}, stubReviewer{}, lv)
+
+	rr := get(t, h, "/")
+	if rr.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	for _, want := range []string{`class="progress"`, "width:46%", "/fragments/downloads/" + testULID + "/card"} {
+		if !strings.Contains(body, want) {
+			t.Errorf("карточка без живого прогресса: нет %q", want)
+		}
+	}
+	if strings.Contains(body, "/fragments/downloads/"+testULID+"/progress") {
+		t.Errorf("вложенный блок прогресса опрашивает себя сам:\n%s", body)
+	}
+	if n := strings.Count(body, `hx-trigger="every`); n != 1 {
+		t.Errorf("объявлений самообновления на карточке = %d, want 1\n%s", n, body)
+	}
+}
+
+// TestFragTickOnMissingDownload: тик по исчезнувшей задаче отвечает 200 и
+// фрагментом без hx-* — htmx не свопит 4xx/5xx, поэтому отказ статусом оставил
+// бы карточку прежней навсегда, а опрос — бесконечным.
+func TestFragTickOnMissingDownload(t *testing.T) {
+	h := testRouterLive(t, stubReader{}, stubReviewer{}, stubLive{})
+
+	rr := get(t, h, "/fragments/downloads/01arz3ndektsv4rrffq69g5fff/card")
+	if rr.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	if !strings.Contains(body, "не найдена") {
+		t.Errorf("фрагмент не объясняет отказ тика:\n%s", body)
+	}
+	if strings.Contains(body, "hx-trigger") || strings.Contains(body, "hx-get") {
+		t.Errorf("фрагмент отказа не самозавершается:\n%s", body)
+	}
+}
+
+// TestFragInvalidID: невалидный id → 404 без похода в БД (это не тик живой
+// поверхности, а запрос по несуществующему адресу).
+func TestFragInvalidID(t *testing.T) {
+	h := testRouterLive(t, stubReader{}, stubReviewer{}, stubLive{})
+	if rr := get(t, h, "/fragments/downloads/404/progress"); rr.Code != http.StatusNotFound {
+		t.Fatalf("status(invalid id) = %d, want 404", rr.Code)
+	}
+}
+
+// TestFragTickOnStoreFailure: отказ хранилища на тике — тоже 200 и
+// самозавершающийся фрагмент, но с другим текстом: «не найдена» здесь соврало бы.
+func TestFragTickOnStoreFailure(t *testing.T) {
+	h := testRouterLive(t, stubReader{getErr: errors.New("db is gone")}, stubReviewer{}, stubLive{})
+
+	rr := get(t, h, "/fragments/downloads/"+testULID+"/card")
+	if rr.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rr.Code)
+	}
+	body := rr.Body.String()
+	if !strings.Contains(body, "не удалось обновить") {
+		t.Errorf("отказ хранилища выдан за пропажу задачи:\n%s", body)
+	}
+	if strings.Contains(body, "hx-trigger") {
+		t.Errorf("фрагмент отказа не самозавершается:\n%s", body)
+	}
+}
+
+// TestFragCardSurvivesSizeFailure: отказ чтения размеров не роняет тик —
+// карточка деградирует на прочерк, а не на пустой ответ.
+func TestFragCardSurvivesSizeFailure(t *testing.T) {
+	dl := store.Download{ID: testULID, SourceRef: "Rel", State: store.StateReview}
+	rd := stubReader{one: &dl, sizesErr: errors.New("db is busy")}
+	h := testRouterLive(t, rd, stubReviewer{}, stubLive{})
+
+	rr := get(t, h, "/fragments/downloads/"+testULID+"/card")
+	if rr.Code != http.StatusOK {
+		t.Fatalf("status = %d, want 200", rr.Code)
+	}
+	if body := rr.Body.String(); !strings.Contains(body, "Ревью →") {
+		t.Errorf("тик не пережил отказ чтения размеров:\n%s", body)
+	}
+}
+
+// TestCardSelfPollFollowsObservability: карточка опрашивает себя, пока задача
+// наблюдаема, и замолкает, когда двигать её может только человек. failed,
+// target_missing и orphaned наблюдаются: их возвращает в поток фоновая сверка.
+func TestCardSelfPollFollowsObservability(t *testing.T) {
+	polling := []store.State{
+		store.StateCatched, store.StateDownloading, store.StateCompleted,
+		store.StateRecognizing, store.StateReview, store.StateLinking,
+		store.StateDeferred, store.StateStuck,
+		store.StateFailed, store.StateTargetMissing, store.StateOrphaned,
+	}
+	silent := []store.State{
+		store.StateDone, store.StateCancelled, store.StateReverted, store.StateDeleted,
+	}
+
+	for _, st := range polling {
+		dl := store.Download{ID: testULID, SourceRef: "Rel", State: st}
+		h := testRouterLive(t, stubReader{one: &dl}, stubReviewer{}, stubLive{})
+		body := get(t, h, "/fragments/downloads/"+testULID+"/card").Body.String()
+		if !strings.Contains(body, "/fragments/downloads/"+testULID+"/card") {
+			t.Errorf("%s: наблюдаемая карточка не опрашивает себя:\n%s", st, body)
+		}
+	}
+	for _, st := range silent {
+		dl := store.Download{ID: testULID, SourceRef: "Rel", State: st}
+		h := testRouterLive(t, stubReader{one: &dl}, stubReviewer{}, stubLive{})
+		body := get(t, h, "/fragments/downloads/"+testULID+"/card").Body.String()
+		if strings.Contains(body, "hx-trigger") {
+			t.Errorf("%s: ненаблюдаемая карточка продолжает опрос:\n%s", st, body)
+		}
+	}
+}
+
+// TestCardPollInterval: быстрый интервал — только там, где бегут цифры качания.
+func TestCardPollInterval(t *testing.T) {
+	cases := []struct {
+		state store.State
+		want  string
+	}{
+		{store.StateDownloading, `hx-trigger="every ` + pollFast + `"`},
+		{store.StateReview, `hx-trigger="every ` + pollSlow + `"`},
+		{store.StateCatched, `hx-trigger="every ` + pollSlow + `"`},
+	}
+	for _, c := range cases {
+		dl := store.Download{ID: testULID, SourceRef: "Rel", State: c.state}
+		h := testRouterLive(t, stubReader{one: &dl}, stubReviewer{}, stubLive{})
+		body := get(t, h, "/fragments/downloads/"+testULID+"/card").Body.String()
+		if !strings.Contains(body, c.want) {
+			t.Errorf("%s: нет %q\n%s", c.state, c.want, body)
+		}
+	}
+}
+
+// TestFragCardBringsNewStateAndActions: первый ответ фрагмента после смены
+// состояния приносит новый бейдж и новый набор действий — ради этого change и
+// затевался.
+func TestFragCardBringsNewStateAndActions(t *testing.T) {
+	cases := []struct {
+		state store.State
+		want  string
+	}{
+		{store.StateReview, "Ревью →"},
+		{store.StateDone, "Откатить"},
+	}
+	for _, c := range cases {
+		dl := store.Download{ID: testULID, SourceRef: "Rel", State: c.state}
+		h := testRouterLive(t, stubReader{one: &dl}, stubReviewer{}, stubLive{})
+		body := get(t, h, "/fragments/downloads/"+testULID+"/card").Body.String()
+		if !strings.Contains(body, c.want) {
+			t.Errorf("%s: фрагмент не принёс действие %q\n%s", c.state, c.want, body)
+		}
+	}
+}
+
+// TestDownloadPageSelfPoll: страница живёт по тому же правилу наблюдаемости,
+// интервал у неё всегда медленный (блока живых цифр качания на ней нет), а
+// секция «Раздача» своего опроса не ведёт — один поллер на поверхность.
+func TestDownloadPageSelfPoll(t *testing.T) {
+	seedLive := stubLive{m: map[string]worker.Live{"ihp": {Seeding: true, Progress: 1, Ratio: 2.4, Seeds: 3, Peers: 1}}}
+	hashes := []store.Infohash{{DownloadID: testULID, Infohash: "ihp", Kind: store.HashV1}}
+
+	// Наблюдаемая задача с сидирующей раздачей: ровно одно объявление опроса.
+	dl := store.Download{ID: testULID, SourceRef: "Rel", State: store.StateReview, Infohashes: hashes}
+	h := testRouterLive(t, stubReader{one: &dl}, stubReviewer{data: &worker.ReviewData{Download: dl}}, seedLive)
+	body := get(t, h, "/download/"+testULID).Body.String()
+	if !strings.Contains(body, `hx-trigger="every `+pollSlow+`"`) {
+		t.Errorf("страница наблюдаемой задачи без медленного самообновления:\n%s", body)
+	}
+	if n := strings.Count(body, `hx-trigger="every`); n != 1 {
+		t.Errorf("объявлений самообновления на странице = %d, want 1", n)
+	}
+
+	// Ненаблюдаемая задача: страница замолкает.
+	done := store.Download{ID: testULID, SourceRef: "Rel", State: store.StateDone, Infohashes: hashes}
+	h = testRouterLive(t, stubReader{one: &done}, stubReviewer{data: &worker.ReviewData{Download: done}}, seedLive)
+	if body := get(t, h, "/download/"+testULID).Body.String(); strings.Contains(body, `hx-trigger="every`) {
+		t.Errorf("страница ненаблюдаемой задачи продолжает опрос:\n%s", body)
+	}
+}
+
+// TestFragCardKeepsLayoutSize: самообновление не теряет полей полного рендера —
+// размер разложенных файлов при отсутствии раздачи в снимке.
+func TestFragCardKeepsLayoutSize(t *testing.T) {
+	dl := store.Download{ID: testULID, SourceRef: "Rel", State: store.StateOrphaned}
+	rd := stubReader{one: &dl, sizes: map[string]int64{testULID: 3 << 30}}
+	h := testRouterLive(t, rd, stubReviewer{}, stubLive{})
+
+	body := get(t, h, "/fragments/downloads/"+testULID+"/card").Body.String()
+	if !strings.Contains(body, "3.0 ГиБ") {
+		t.Errorf("фрагмент карточки потерял размер раскладки:\n%s", body)
+	}
+}

internal/httpapi/loglevel_internal_test.go

@@ -12,7 +12,7 @@ func TestRequestLogLevel(t *testing.T) {
 		want         slog.Level
 	}{
 		{"GET", "/healthz", slog.LevelDebug},              // healthcheck — тихо
-		{"GET", "/", slog.LevelDebug},                     // список (авто-рефреш)
+		{"GET", "/", slog.LevelDebug},                     // список загрузок
 		{"GET", "/review/1", slog.LevelDebug},             // страница ревью
 		{"GET", "/api/downloads", slog.LevelInfo},         // REST API — на INFO
 		{"POST", "/ui/downloads/1/apply", slog.LevelInfo}, // мутация — на INFO

internal/httpapi/providerurl_test.go

@@ -0,0 +1,44 @@
+package httpapi
+
+import (
+	"testing"
+)
+
+func TestParseManualSource(t *testing.T) {
+	cases := []struct {
+		name         string
+		provider     string
+		raw          string
+		wantProvider string
+		wantID       string
+		wantErr      bool
+	}{
+		{"id с провайдером", "tmdb", "60622", "tmdb", "60622", false},
+		{"id обрезается позже воркером", "TVDB", "269613", "tvdb", "269613", false},
+		{"URL TMDB со slug", "", "https://www.themoviedb.org/tv/60622-fargo", "tmdb", "60622", false},
+		{"URL TMDB без схемы", "", "themoviedb.org/tv/60622", "tmdb", "60622", false},
+		{"URL TMDB movie", "", "https://www.themoviedb.org/movie/693134", "tmdb", "693134", false},
+		{"URL IMDb", "", "https://www.imdb.com/title/tt0111161/", "imdb", "tt0111161", false},
+		{"URL TVDB dereferrer", "", "https://www.thetvdb.com/dereferrer/series/269613", "tvdb", "269613", false},
+		{"URL TVDB slug — без id → ошибка", "", "https://www.thetvdb.com/series/fargo", "", "", true},
+		{"мусорный URL → ошибка", "", "https://example.com/foo/bar", "", "", true},
+		{"пустой ввод → ошибка", "tmdb", "  ", "", "", true},
+	}
+	for _, c := range cases {
+		t.Run(c.name, func(t *testing.T) {
+			p, id, err := parseManualSource(c.provider, c.raw)
+			if c.wantErr {
+				if err == nil {
+					t.Fatalf("ожидалась ошибка, получено %q:%q", p, id)
+				}
+				return
+			}
+			if err != nil {
+				t.Fatalf("неожиданная ошибка: %v", err)
+			}
+			if p != c.wantProvider || id != c.wantID {
+				t.Errorf("parseManualSource(%q,%q) = %q:%q, want %q:%q", c.provider, c.raw, p, id, c.wantProvider, c.wantID)
+			}
+		})
+	}
+}

internal/httpapi/render.go

@@ -0,0 +1,89 @@
+package httpapi
+
+import (
+	"bytes"
+	"crypto/sha256"
+	"encoding/hex"
+	"io/fs"
+	"net/http"
+
+	"git.vakhrushev.me/av/jellybit/web"
+)
+
+// assetVersion — короткий хеш изменяемых ассетов (css/js) для cache-busting.
+// Шрифты и вендор адресуются по неизменному имени, их версионировать не нужно.
+func assetVersion() (string, error) {
+	h := sha256.New()
+	for _, p := range []string{"static/css/jellybit.css", "static/js/app.js"} {
+		b, err := web.FS.ReadFile(p)
+		if err != nil {
+			return "", err
+		}
+		_, _ = h.Write(b)
+	}
+	return hex.EncodeToString(h.Sum(nil))[:12], nil
+}
+
+// staticHandler отдаёт встроенную статику с длинным иммутабельным кэшем —
+// URL версионируются через ?v=<assetVersion> в шаблонах, поэтому свежий
+// деплой не отдаёт устаревший файл.
+func staticHandler(fsys fs.FS) http.Handler {
+	fileServer := http.FileServer(http.FS(fsys))
+	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
+		w.Header().Set("Cache-Control", "public, max-age=31536000, immutable")
+		fileServer.ServeHTTP(w, r)
+	})
+}
+
+// badgeLabel — человекочитаемая подпись состояния для бейджа (см. handoff п.4).
+// CSS-класс берётся отдельно как st-<state>; неизвестное состояние показываем
+// как есть, чтобы не терять его в UI.
+func badgeLabel(state string) string {
+	switch state {
+	case "catched":
+		return "🎣 принято, добавляется"
+	case "downloading":
+		return "⬇ качается"
+	case "completed":
+		return "⬇ скачано"
+	case "recognizing":
+		return "🧠 распознаётся"
+	case "linking":
+		return "🔗 раскладка"
+	case "review":
+		return "🟡 на ревью"
+	case "deferred":
+		return "🕗 отложено"
+	case "done":
+		return "✅ готово"
+	case "stuck":
+		return "⏳ застряло"
+	case "target_missing":
+		return "⚠ нет цели"
+	case "failed":
+		return "⛔ ошибка"
+	case "orphaned":
+		return "⚠ потеряно"
+	case "cancelled":
+		return "✖ отменено"
+	case "reverted":
+		return "↩ откат"
+	case "deleted":
+		return "🗑 удалено"
+	default:
+		return state
+	}
+}
+
+// render отрисовывает именованный шаблон в буфер и только затем пишет ответ —
+// при ошибке шаблона клиент не получит «полустраницу».
+func (s *server) render(w http.ResponseWriter, name string, data any) {
+	var buf bytes.Buffer
+	if err := s.tmpl.ExecuteTemplate(&buf, name, data); err != nil {
+		s.deps.Logger.Error("render", "template", name, "error", err)
+		http.Error(w, "внутренняя ошибка", http.StatusInternalServerError)
+		return
+	}
+	w.Header().Set("Content-Type", "text/html; charset=utf-8")
+	_, _ = buf.WriteTo(w)
+}

internal/httpapi/render_test.go

@@ -0,0 +1,245 @@
+package httpapi
+
+import (
+	"context"
+	"log/slog"
+	"net/http"
+	"net/http/httptest"
+	"strings"
+	"testing"
+
+	"git.vakhrushev.me/av/jellybit/internal/recognize"
+	"git.vakhrushev.me/av/jellybit/internal/store"
+	"git.vakhrushev.me/av/jellybit/internal/worker"
+)
+
+// stubReader — минимальный Reader для проверки рендера списка.
+type stubReader struct {
+	list     []store.Download
+	one      *store.Download
+	sizes    map[string]int64 // размеры разложенных файлов по download_id (фолбэк)
+	getErr   error            // отказ чтения задачи (не ErrNotFound)
+	sizesErr error            // отказ чтения размеров раскладки
+
+	// Для страницы группового удаления: список разрешённых к удалению и
+	// поштучное чтение по id (страница подтверждения называет каждую поимённо).
+	deletable    []store.Download
+	deletableErr error
+	byID         map[string]store.Download
+}
+
+func (s stubReader) ListDownloads(context.Context) ([]store.Download, error) { return s.list, nil }
+func (s stubReader) ListDownloadsPage(context.Context, store.ListFilter) ([]store.Download, int, error) {
+	return s.list, len(s.list), nil
+}
+func (s stubReader) GetDownload(_ context.Context, id string) (*store.Download, error) {
+	if s.getErr != nil {
+		return nil, s.getErr
+	}
+	if s.byID != nil {
+		d, ok := s.byID[id]
+		if !ok {
+			return nil, store.ErrNotFound
+		}
+		return &d, nil
+	}
+	if s.one == nil {
+		return nil, store.ErrNotFound
+	}
+	return s.one, nil
+}
+func (s stubReader) ListDeletableDownloads(context.Context) ([]store.Download, error) {
+	return s.deletable, s.deletableErr
+}
+func (s stubReader) LayoutSizeByDownload(context.Context, []string) (map[string]int64, error) {
+	if s.sizesErr != nil {
+		return nil, s.sizesErr
+	}
+	return s.sizes, nil
+}
+
+// stubReviewer — Reviewer-заглушка (нужна для /download/{id}).
+type stubReviewer struct{ data *worker.ReviewData }
+
+func (s stubReviewer) ReviewData(context.Context, string) (*worker.ReviewData, error) {
+	if s.data == nil {
+		return nil, store.ErrNotFound
+	}
+	return s.data, nil
+}
+func (stubReviewer) Apply(context.Context, string) error                         { return nil }
+func (stubReviewer) Refine(context.Context, string, string) error                { return nil }
+func (stubReviewer) IgnoreFile(context.Context, string, string) error            { return nil }
+func (stubReviewer) Defer(context.Context, string) error                         { return nil }
+func (stubReviewer) Undo(context.Context, string) error                          { return nil }
+func (stubReviewer) Delete(context.Context, string) error                        { return nil }
+func (stubReviewer) Dismiss(context.Context, string) error                       { return nil }
+func (stubReviewer) Relink(context.Context, string) error                        { return nil }
+func (stubReviewer) Rerecognize(context.Context, string) error                   { return nil }
+func (stubReviewer) ChooseCandidate(context.Context, string, string) error       { return nil }
+func (stubReviewer) SetProviderID(context.Context, string, string, string) error { return nil }
+func (stubReviewer) AddManualSource(context.Context, string, string, string) error {
+	return nil
+}
+func (stubReviewer) ClearProvider(context.Context, string) error      { return nil }
+func (stubReviewer) RefreshDisplayName(context.Context, string) error { return nil }
+
+// stubLive — заглушка источника живой телеметрии.
+type stubLive struct{ m map[string]worker.Live }
+
+func (s stubLive) Live(infohash string) (worker.Live, bool) {
+	l, ok := s.m[infohash]
+	return l, ok
+}
+
+func testRouter(t *testing.T, r stubReader, rv stubReviewer) http.Handler {
+	t.Helper()
+	return testRouterLive(t, r, rv, stubLive{})
+}
+
+func testRouterLive(t *testing.T, r stubReader, rv stubReviewer, lv stubLive) http.Handler {
+	t.Helper()
+	h, err := NewRouter(Deps{
+		Logger:   slog.New(slog.DiscardHandler),
+		Reader:   r,
+		Reviewer: rv,
+		Live:     lv,
+	})
+	if err != nil {
+		t.Fatalf("NewRouter: %v", err)
+	}
+	return h
+}
+
+func get(t *testing.T, h http.Handler, path string) *httptest.ResponseRecorder {
+	t.Helper()
+	rr := httptest.NewRecorder()
+	h.ServeHTTP(rr, httptest.NewRequest(http.MethodGet, path, nil))
+	return rr
+}
+
+// getHTMX — тот же GET, но помеченный как htmx-запрос (тик самообновления).
+func getHTMX(t *testing.T, h http.Handler, path string) *httptest.ResponseRecorder {
+	t.Helper()
+	rr := httptest.NewRecorder()
+	req := httptest.NewRequest(http.MethodGet, path, nil)
+	req.Header.Set("HX-Request", "true")
+	h.ServeHTTP(rr, req)
+	return rr
+}
+
+// testULID — валидный lowercase-ULID для маршрутов (pathID валидирует формат).
+const testULID = "01arz3ndektsv4rrffq69g5fav"
+
+// TestRouterRendersPages проверяет, что шаблоны парсятся и страницы рендерятся.
+func TestRouterRendersPages(t *testing.T) {
+	dl := store.Download{ID: testULID, SourceRef: "Fargo.S02",
+		Infohashes: []store.Infohash{{DownloadID: testULID, Infohash: "a1b2c3d4e5f6a7b8", Kind: store.HashV1}},
+		State:      store.StateReview}
+	h := testRouter(t,
+		stubReader{list: []store.Download{dl}, one: &dl},
+		stubReviewer{data: &worker.ReviewData{Download: dl}},
+	)
+
+	if rr := get(t, h, "/"); rr.Code != http.StatusOK {
+		t.Fatalf("GET / = %d, want 200", rr.Code)
+	} else if !strings.Contains(rr.Body.String(), "st-review") {
+		t.Errorf("index не содержит бейдж статуса")
+	}
+
+	if rr := get(t, h, "/download/"+testULID); rr.Code != http.StatusOK {
+		t.Fatalf("GET /download/{id} = %d, want 200", rr.Code)
+	}
+}
+
+// TestDownloadPageShowsDirector — блок «Распознано как» на /download/{id}
+// выводит режиссёра слоистым разрешением: из плана (матч) и из сохранённого
+// контекста при распознавании без матча (ранее поле было захардкожено прочерком).
+func TestDownloadPageShowsDirector(t *testing.T) {
+	base := func(plan recognize.Plan, parsedContext string) *worker.ReviewData {
+		return &worker.ReviewData{
+			Download: store.Download{
+				ID: testULID, SourceRef: "Dune", State: store.StateReview,
+				ParsedContext: parsedContext,
+			},
+			Recognition: &store.Recognition{ID: "1", DownloadID: testULID, IsCurrent: true},
+			Plan:        plan,
+		}
+	}
+	moviePlan := func(director string) recognize.Plan {
+		return recognize.Plan{Type: recognize.MediaMovie, Title: "Дюна", Year: 2024, Director: director,
+			Files: []recognize.PlanFile{{Src: "dune.mkv", Role: recognize.RoleMain}}}
+	}
+
+	cases := []struct {
+		name       string
+		rd         *worker.ReviewData
+		wantInBody string
+	}{
+		{
+			name:       "режиссёр из плана (матч)",
+			rd:         base(moviePlan("Дени Вильнёв"), ""),
+			wantInBody: "Дени Вильнёв",
+		},
+		{
+			name:       "режиссёр из контекста при распознавании без матча",
+			rd:         base(moviePlan(""), `{"type":"movie","title":"Дюна","director":"Дени Вильнёв"}`),
+			wantInBody: "Дени Вильнёв",
+		},
+	}
+	for _, c := range cases {
+		t.Run(c.name, func(t *testing.T) {
+			h := testRouter(t, stubReader{one: &c.rd.Download}, stubReviewer{data: c.rd})
+			rr := get(t, h, "/download/"+testULID)
+			if rr.Code != http.StatusOK {
+				t.Fatalf("GET /download/{id} = %d, want 200", rr.Code)
+			}
+			if !strings.Contains(rr.Body.String(), c.wantInBody) {
+				t.Errorf("страница загрузки не содержит режиссёра %q", c.wantInBody)
+			}
+		})
+	}
+}
+
+// TestStaticServed проверяет отдачу встроенной статики с кэш-заголовком.
+func TestStaticServed(t *testing.T) {
+	h := testRouter(t, stubReader{}, stubReviewer{})
+	rr := get(t, h, "/static/css/jellybit.css")
+	if rr.Code != http.StatusOK {
+		t.Fatalf("GET css = %d, want 200", rr.Code)
+	}
+	if cc := rr.Header().Get("Cache-Control"); cc == "" {
+		t.Errorf("нет Cache-Control на статике")
+	}
+	if !strings.Contains(rr.Body.String(), "@font-face") {
+		t.Errorf("css без @font-face (шрифты не self-hosted?)")
+	}
+}
+
+// TestDownloadNotFound — несуществующая загрузка → 404.
+func TestDownloadNotFound(t *testing.T) {
+	h := testRouter(t, stubReader{}, stubReviewer{})
+	if rr := get(t, h, "/download/01arz3ndektsv4rrffq69g5fff"); rr.Code != http.StatusNotFound {
+		t.Fatalf("GET /download/{missing} = %d, want 404", rr.Code)
+	}
+}
+
+// TestDownloadInvalidID — синтаксически невалидный id → 404 без похода в БД.
+func TestDownloadInvalidID(t *testing.T) {
+	h := testRouter(t, stubReader{}, stubReviewer{})
+	for _, path := range []string{"/download/999", "/download/abc!!!", "/review/12"} {
+		if rr := get(t, h, path); rr.Code != http.StatusNotFound {
+			t.Fatalf("GET %s = %d, want 404 (невалидный id = несуществующая сущность)", path, rr.Code)
+		}
+	}
+}
+
+// TestDownloadUppercaseIDNormalized — uppercase-вариант id ведёт на ту же
+// страницу (нормализация на входной границе).
+func TestDownloadUppercaseIDNormalized(t *testing.T) {
+	dl := store.Download{ID: testULID, SourceRef: "X", State: store.StateReview}
+	h := testRouter(t, stubReader{one: &dl}, stubReviewer{data: &worker.ReviewData{Download: dl}})
+	if rr := get(t, h, "/download/"+strings.ToUpper(testULID)); rr.Code != http.StatusOK {
+		t.Fatalf("GET /download/{UPPERCASE} = %d, want 200", rr.Code)
+	}
+}

internal/httpapi/review.go

@@ -2,106 +2,137 @@ package httpapi
 
 import (
 	"context"
-	"database/sql"
 	"errors"
 	"net/http"
 	"net/url"
 	"strconv"
+	"strings"
 
+	"git.vakhrushev.me/av/jellybit/internal/ident"
+	"git.vakhrushev.me/av/jellybit/internal/naming"
+	"git.vakhrushev.me/av/jellybit/internal/recognize"
+	"git.vakhrushev.me/av/jellybit/internal/store"
 	"git.vakhrushev.me/av/jellybit/internal/worker"
 )
 
 // Reviewer — операции ревью и раскладки (worker.Worker).
 type Reviewer interface {
-	ReviewData(ctx context.Context, id int64) (*worker.ReviewData, error)
-	Apply(ctx context.Context, id int64) error
-	Refine(ctx context.Context, id int64, hint string) error
-	SetType(ctx context.Context, id int64, mediaType string) error
-	IgnoreFile(ctx context.Context, id int64, src string) error
-	Defer(ctx context.Context, id int64) error
-	Undo(ctx context.Context, id int64) error
-	Relink(ctx context.Context, id int64) error
-	Rerecognize(ctx context.Context, id int64) error
-	ChooseCandidate(ctx context.Context, id, candidateID int64) error
-	SetProviderID(ctx context.Context, id int64, provider, providerID string) error
-	ClearProvider(ctx context.Context, id int64) error
+	ReviewData(ctx context.Context, id string) (*worker.ReviewData, error)
+	Apply(ctx context.Context, id string) error
+	Refine(ctx context.Context, id string, hint string) error
+	IgnoreFile(ctx context.Context, id string, src string) error
+	Defer(ctx context.Context, id string) error
+	Undo(ctx context.Context, id string) error
+	Delete(ctx context.Context, id string) error
+	Dismiss(ctx context.Context, id string) error
+	Relink(ctx context.Context, id string) error
+	Rerecognize(ctx context.Context, id string) error
+	ChooseCandidate(ctx context.Context, id, candidateID string) error
+	SetProviderID(ctx context.Context, id string, provider, providerID string) error
+	AddManualSource(ctx context.Context, id, provider, providerID string) error
+	ClearProvider(ctx context.Context, id string) error
+	RefreshDisplayName(ctx context.Context, id string) error
 }
 
 // --- Представление страницы ревью ---
 
 type reviewView struct {
-	ID            int64
+	ID            string
 	Source        string
 	Context       string
 	State         string
 	Error         string // из ?err=
 	StateError    string // error_msg загрузки (напр. причина коллизии)
+	PreviewError  string // почему предпросмотр не построился, посчитано на показе
 	MediaType     string
 	IsSeries      bool
 	Title         string
 	OriginalTitle string
+	Director      string // режиссёр эффективного источника (пусто — неизвестен)
 	Year          int
+	SeasonSummary string // сводка сезонов для сериала (пусто для фильма)
 	Provider      string
 	ProviderID    string
+	MatchURL      string // ссылка на подтверждённую запись метабазы (пусто — текстом)
 	Confidence    string
 	Reasons       []string
 	Hints         []string
-	Files         []reviewFileView
-	Preview       []string
+	Files         []fileRow
 	HasPlan       bool
-	NoBase        bool // выбрано «без базы»
-	Candidates    []candidateView
+	HasLinks      bool         // есть хотя бы один целевой путь → можно применять
+	NoBase        bool         // выбрано «без базы»
+	Sources       []sourceView // единый список источников совпадения
+	BlockError    string       // ошибка выбора внутри блока (htmx); не путать с Error (?err=)
+	ActionBarOOB  bool         // рендерить панель действий как oob-фрагмент (своп источника)
 }
 
-type reviewFileView struct {
-	Src     string
-	Role    string
-	Season  string
-	Episode string
-	Ignored bool
-}
-
-type candidateView struct {
-	ID         int64
-	Provider   string
-	ProviderID string
-	Title      string
-	Year       int
-	Chosen     bool
+// sourceView — строка единого списка источников на экране ревью: нейронка или
+// кандидат базы. Инфо и предпросмотр раскладки показываются для активного
+// источника из верхнеуровневых полей reviewView, поэтому per-source превью
+// строка не несёт.
+type sourceView struct {
+	Kind        string // "neural" | "candidate"
+	CandidateID string
+	Provider    string
+	ProviderID  string
+	Title       string
+	Year        int
+	MatchURL    string
+	Active      bool
 }
 
 func (s *server) handleReview(w http.ResponseWriter, r *http.Request) {
 	id, err := pathID(r)
 	if err != nil {
-		http.Error(w, "некорректный id", http.StatusBadRequest)
+		// Невалидный id = несуществующая сущность; в БД не ходим.
+		http.Error(w, "задача не найдена", http.StatusNotFound)
 		return
 	}
 	rd, err := s.deps.Reviewer.ReviewData(r.Context(), id)
 	if err != nil {
-		if errors.Is(err, sql.ErrNoRows) {
+		if errors.Is(err, store.ErrNotFound) {
 			http.Error(w, "задача не найдена", http.StatusNotFound)
 			return
 		}
-		s.deps.Logger.Error("review data", "id", id, "err", err)
-		http.Error(w, "internal error", http.StatusInternalServerError)
+		s.deps.Logger.Error("review data failed", "download_id", id, "error", err)
+		http.Error(w, "внутренняя ошибка", http.StatusInternalServerError)
 		return
 	}
 
+	s.render(w, "review.html", buildReviewView(id, rd, r.URL.Query().Get("err")))
+}
+
+// buildReviewView собирает представление страницы ревью из доменных данных.
+// Общий для полной страницы (handleReview) и htmx-свопа блока источника
+// (reviewBlockAction); errMsg — верхний баннер из ?err= (пусто на htmx-пути,
+// там ошибка идёт в BlockError).
+func buildReviewView(id string, rd *worker.ReviewData, errMsg string) reviewView {
 	view := reviewView{
 		ID:         id,
 		Source:     shorten(rd.Download.SourceRef, 80),
 		Context:    rd.Download.Context,
 		State:      string(rd.Download.State),
-		Error:      r.URL.Query().Get("err"),
+		Error:      errMsg,
 		StateError: rd.Download.ErrorMsg.String,
-		Hints:      rd.Hints,
+		// Причина пустого предпросмотра считается на показе и потому всегда про
+		// текущий план; error_msg остался от последнего перехода и после смены
+		// источника уже не про него.
+		PreviewError: rd.PreviewError,
+		Hints:        rd.Hints,
 	}
 	if rec := rd.Recognition; rec != nil {
 		view.MediaType = string(rd.Plan.Type)
 		view.IsSeries = rd.Plan.Type == "series"
 		view.Title = rd.Plan.Title
 		view.OriginalTitle = rd.Plan.OriginalTitle
+		// Режиссёр — из слоистого разрешения (override → распознавание+матч →
+		// контекст), а не только из плана: иначе слой контекста (режиссёр без
+		// матча) терялся бы, как на странице загрузки.
+		view.Director = naming.EffectiveFields(rd.Download.ParsedContext, rd.Plan).Director
 		view.Year = rd.Plan.Year
+		if view.IsSeries {
+			view.SeasonSummary = recognize.SeasonSummary(rd.Plan)
+		}
 		view.Reasons = rec.ReasonList()
 		switch rd.Provider {
 		case "", "none":
@@ -109,39 +140,31 @@ func (s *server) handleReview(w http.ResponseWriter, r *http.Request) {
 		default:
 			view.Provider = rd.Provider
 			view.ProviderID = rd.ProviderID
+			view.MatchURL = rd.MatchURL()
 		}
 		if rec.Confidence.Valid {
 			view.Confidence = strconv.FormatFloat(rec.Confidence.Float64, 'f', 2, 64)
 		}
-		for _, f := range rd.Plan.Files {
-			view.Files = append(view.Files, reviewFileView{
-				Src:     f.Src,
-				Role:    string(f.Role),
-				Season:  intPtrStr(f.Season),
-				Episode: intPtrStr(f.Episode),
-				Ignored: f.Role == "ignore",
-			})
-		}
+		view.Files = buildFileRows(rd.Plan, rd.Preview)
 		view.HasPlan = len(rd.Plan.Files) > 0
-		for _, c := range rd.Candidates {
-			view.Candidates = append(view.Candidates, candidateView{
-				ID:         c.ID,
-				Provider:   c.Provider,
-				ProviderID: c.ProviderID,
-				Title:      c.Title.String,
-				Year:       int(c.Year.Int64),
-				Chosen:     c.Chosen,
-			})
+		view.HasLinks = len(rd.Preview) > 0
+		for _, src := range rd.Sources {
+			sv := sourceView{
+				Kind:        string(src.Kind),
+				CandidateID: src.CandidateID,
+				Provider:    src.Provider,
+				ProviderID:  src.ProviderID,
+				Title:       src.Title,
+				Year:        src.Year,
+				Active:      src.Active,
+			}
+			if src.Kind == worker.SourceCandidate {
+				sv.MatchURL = sourceMatchURL(src)
+			}
+			view.Sources = append(view.Sources, sv)
 		}
 	}
-	for _, l := range rd.Preview {
-		view.Preview = append(view.Preview, l.Dst)
-	}
-
-	w.Header().Set("Content-Type", "text/html; charset=utf-8")
-	if err := s.review.Execute(w, view); err != nil {
-		s.deps.Logger.Error("render review", "err", err)
-	}
+	return view
 }
 
 // --- Действия ревью (POST → redirect) ---
@@ -153,44 +176,39 @@ func (s *server) handleApply(w http.ResponseWriter, r *http.Request) {
 		return
 	}
 	if err := s.deps.Reviewer.Apply(r.Context(), id); err != nil {
-		s.deps.Logger.Warn("review action failed", "action", "apply", "id", id, "err", err)
-		redirectReview(w, r, id, err.Error())
+		// Тонкий транспорт: ошибку воркера переводим в ответ, не логируя
+		// повторно (доменный слой уже залогировал реальный сбой).
+		redirectReview(w, r, id, userErr(r, err, id))
 		return
 	}
 	http.Redirect(w, r, "/", http.StatusSeeOther)
 }
 
 func (s *server) handleRefine(w http.ResponseWriter, r *http.Request) {
-	s.reviewAction(w, r, func(ctx context.Context, id int64) error {
+	s.reviewAction(w, r, func(ctx context.Context, id string) error {
 		_ = r.ParseForm()
 		return s.deps.Reviewer.Refine(ctx, id, r.PostForm.Get("hint"))
 	})
 }
 
 func (s *server) handleRerecognize(w http.ResponseWriter, r *http.Request) {
-	s.reviewAction(w, r, func(ctx context.Context, id int64) error {
+	s.reviewAction(w, r, func(ctx context.Context, id string) error {
 		return s.deps.Reviewer.Rerecognize(ctx, id)
 	})
 }
 
-func (s *server) handleSetType(w http.ResponseWriter, r *http.Request) {
-	s.reviewAction(w, r, func(ctx context.Context, id int64) error {
-		_ = r.ParseForm()
-		return s.deps.Reviewer.SetType(ctx, id, r.PostForm.Get("type"))
-	})
-}
-
 func (s *server) handleIgnore(w http.ResponseWriter, r *http.Request) {
-	s.reviewAction(w, r, func(ctx context.Context, id int64) error {
+	s.reviewAction(w, r, func(ctx context.Context, id string) error {
 		_ = r.ParseForm()
 		return s.deps.Reviewer.IgnoreFile(ctx, id, r.PostForm.Get("src"))
 	})
 }
 
 func (s *server) handleChooseCandidate(w http.ResponseWriter, r *http.Request) {
-	s.reviewAction(w, r, func(ctx context.Context, id int64) error {
+	s.reviewBlockAction(w, r, func(ctx context.Context, id string) error {
 		_ = r.ParseForm()
-		candidateID, err := strconv.ParseInt(r.PostForm.Get("candidate_id"), 10, 64)
+		// Входная граница: id кандидата из формы валидируется как ULID.
+		candidateID, err := ident.Parse(r.PostForm.Get("candidate_id"))
 		if err != nil {
 			return errInvalidCandidate
 		}
@@ -199,20 +217,138 @@ func (s *server) handleChooseCandidate(w http.ResponseWriter, r *http.Request) {
 }
 
 func (s *server) handleSetProvider(w http.ResponseWriter, r *http.Request) {
-	s.reviewAction(w, r, func(ctx context.Context, id int64) error {
+	// Смена provider/id — операция над выбранным источником, как candidate/nobase/
+	// source: свопит блок источника (#source-block), а не всё тело ревью.
+	s.reviewBlockAction(w, r, func(ctx context.Context, id string) error {
 		_ = r.ParseForm()
 		return s.deps.Reviewer.SetProviderID(ctx, id, r.PostForm.Get("provider"), r.PostForm.Get("provider_id"))
 	})
 }
 
 func (s *server) handleNoBase(w http.ResponseWriter, r *http.Request) {
-	s.reviewAction(w, r, func(ctx context.Context, id int64) error {
+	s.reviewBlockAction(w, r, func(ctx context.Context, id string) error {
 		return s.deps.Reviewer.ClearProvider(ctx, id)
 	})
 }
 
+// handleAddSource добавляет источник вручную по id или URL записи метабазы и
+// выбирает его. Разбор ввода — на входной границе транспорта.
+func (s *server) handleAddSource(w http.ResponseWriter, r *http.Request) {
+	s.reviewBlockAction(w, r, func(ctx context.Context, id string) error {
+		_ = r.ParseForm()
+		provider, providerID, err := parseManualSource(r.PostForm.Get("provider"), r.PostForm.Get("provider_id"))
+		if err != nil {
+			return err
+		}
+		return s.deps.Reviewer.AddManualSource(ctx, id, provider, providerID)
+	})
+}
+
+// handleRefreshName переливает распознанное каноническое имя в display_name и в
+// ярлык раздачи (ручная кнопка на странице загрузки). Свопит главную область
+// (#download-main) с обновлённым заголовком; без htmx — PRG на страницу загрузки
+// (в отличие от surfaceAction, уводящего на список: смысл действия — увидеть
+// новое имя здесь же). Ошибку на htmx-пути показываем 200 + фрагментом.
+func (s *server) handleRefreshName(w http.ResponseWriter, r *http.Request) {
+	id, err := pathID(r)
+	if err != nil {
+		redirectErr(w, r, "некорректный id")
+		return
+	}
+	actionErr := s.deps.Reviewer.RefreshDisplayName(r.Context(), id)
+	if !isHTMX(r) {
+		if actionErr != nil {
+			redirectErr(w, r, userErr(r, actionErr, id))
+			return
+		}
+		http.Redirect(w, r, "/download/"+id, http.StatusSeeOther)
+		return
+	}
+	s.renderDownloadFragment(w, r, id, actionErr)
+}
+
 var errInvalidCandidate = errors.New("некорректный id кандидата")
 
+var errManualSource = errors.New("не удалось разобрать id или URL записи (для TVDB — числовой id)")
+
+// parseManualSource разбирает ручной ввод источника: либо id (с выбранным в
+// форме провайдером), либо URL записи метабазы (провайдер и id из URL).
+func parseManualSource(provider, raw string) (string, string, error) {
+	raw = strings.TrimSpace(raw)
+	if raw == "" {
+		return "", "", errManualSource
+	}
+	if looksLikeURL(raw) {
+		// URL без схемы (`themoviedb.org/tv/1`) url.Parse кладёт в Path, а не в
+		// Host → достраиваем схему, иначе валидный копипаст отвергнется.
+		u := raw
+		if !strings.Contains(u, "://") {
+			u = "https://" + u
+		}
+		p, id, ok := parseProviderURL(u)
+		if !ok {
+			return "", "", errManualSource
+		}
+		return p, id, nil
+	}
+	return strings.ToLower(strings.TrimSpace(provider)), raw, nil
+}
+
+func looksLikeURL(s string) bool {
+	return strings.Contains(s, "://") || strings.HasPrefix(s, "www.") ||
+		strings.Contains(s, ".org/") || strings.Contains(s, ".com/")
+}
+
+// parseProviderURL — обратная к worker.ProviderURL: URL записи → (provider, id).
+// TMDB/IMDb извлекаются из URL; TVDB — только dereferrer с числовым id (URL
+// сайта thetvdb.com/series/{slug} числового id не содержит → не распознаём).
+func parseProviderURL(raw string) (provider, id string, ok bool) {
+	u, err := url.Parse(raw)
+	if err != nil || u.Host == "" {
+		return "", "", false
+	}
+	host := strings.ToLower(u.Host)
+	parts := strings.Split(strings.Trim(u.Path, "/"), "/")
+	switch {
+	case strings.Contains(host, "themoviedb.org"):
+		if len(parts) >= 2 && (parts[0] == "movie" || parts[0] == "tv") {
+			if d := leadingDigits(parts[1]); d != "" {
+				return "tmdb", d, true
+			}
+		}
+	case strings.Contains(host, "imdb.com"):
+		if len(parts) >= 2 && parts[0] == "title" && strings.HasPrefix(parts[1], "tt") {
+			return "imdb", parts[1], true
+		}
+	case strings.Contains(host, "thetvdb.com"):
+		if len(parts) >= 3 && parts[0] == "dereferrer" {
+			if d := leadingDigits(parts[2]); d != "" {
+				return "tvdb", d, true
+			}
+		}
+	}
+	return "", "", false
+}
+
+// leadingDigits возвращает ведущие цифры строки (TMDB-URL вида
+// `/movie/60622-fargo` → «60622»).
+func leadingDigits(s string) string {
+	i := 0
+	for i < len(s) && s[i] >= '0' && s[i] <= '9' {
+		i++
+	}
+	return s[:i]
+}
+
+// sourceMatchURL — ссылка на запись источника-кандидата: URL кандидата, если
+// есть, иначе канонический URL из provider/id (обратный порядок к MatchURL).
+func sourceMatchURL(src worker.SourceOption) string {
+	if src.URL != "" {
+		return src.URL
+	}
+	return worker.ProviderURL(src.Provider, src.ProviderID, src.Type)
+}
+
 func (s *server) handleDefer(w http.ResponseWriter, r *http.Request) {
 	id, err := pathID(r)
 	if err != nil {
@@ -220,8 +356,7 @@ func (s *server) handleDefer(w http.ResponseWriter, r *http.Request) {
 		return
 	}
 	if err := s.deps.Reviewer.Defer(r.Context(), id); err != nil {
-		s.deps.Logger.Warn("review action failed", "action", "defer", "id", id, "err", err)
-		redirectReview(w, r, id, err.Error())
+		redirectReview(w, r, id, userErr(r, err, id))
 		return
 	}
 	http.Redirect(w, r, "/", http.StatusSeeOther)
@@ -233,12 +368,31 @@ func (s *server) handleUndo(w http.ResponseWriter, r *http.Request) {
 		redirectErr(w, r, "некорректный id")
 		return
 	}
-	if err := s.deps.Reviewer.Undo(r.Context(), id); err != nil {
-		s.deps.Logger.Warn("review action failed", "action", "undo", "id", id, "err", err)
-		redirectErr(w, r, err.Error())
+	s.surfaceAction(w, r, id, s.deps.Reviewer.Undo(r.Context(), id))
+}
+
+// handleDelete — полное удаление загрузки (снять хардлинки + снести раздачу с
+// файлами из qBittorrent → deleted). Осознанное необратимое действие: транспорт
+// подтверждает его перед POST (hx-confirm + отдельная danger-секция). Ошибку
+// qBittorrent surfaceAction покажет как отказ (не тихий успех).
+func (s *server) handleDelete(w http.ResponseWriter, r *http.Request) {
+	id, err := pathID(r)
+	if err != nil {
+		redirectErr(w, r, "некорректный id")
 		return
 	}
-	http.Redirect(w, r, "/", http.StatusSeeOther)
+	s.surfaceAction(w, r, id, s.deps.Reviewer.Delete(r.Context(), id))
+}
+
+// handleDismiss — универсальный стоп-кран: перевод задачи в cancelled только
+// сменой статуса (файлы/раздачу не трогает), из danger-секции с подтверждением.
+func (s *server) handleDismiss(w http.ResponseWriter, r *http.Request) {
+	id, err := pathID(r)
+	if err != nil {
+		redirectErr(w, r, "некорректный id")
+		return
+	}
+	s.surfaceAction(w, r, id, s.deps.Reviewer.Dismiss(r.Context(), id))
 }
 
 // handleRelink повторно привязывает откатанную задачу: перезапускает
@@ -249,42 +403,115 @@ func (s *server) handleRelink(w http.ResponseWriter, r *http.Request) {
 		redirectErr(w, r, "некорректный id")
 		return
 	}
-	if err := s.deps.Reviewer.Relink(r.Context(), id); err != nil {
-		s.deps.Logger.Warn("review action failed", "action", "relink", "id", id, "err", err)
-		redirectErr(w, r, err.Error())
-		return
-	}
-	http.Redirect(w, r, "/", http.StatusSeeOther)
+	s.surfaceAction(w, r, id, s.deps.Reviewer.Relink(r.Context(), id))
 }
 
-// reviewAction — общий помощник: выполнить действие и вернуться на страницу
-// ревью (с ошибкой в ?err при неудаче).
-func (s *server) reviewAction(w http.ResponseWriter, r *http.Request, fn func(context.Context, int64) error) {
+// reviewAction — общий помощник петлевых действий ревью (уточнить/распознать
+// заново/…): выполнить действие и обновить экран ревью. На htmx перечитывает
+// состояние и рендерит партиал `review_main` на месте (при ошибке — сообщение в
+// баннере и HTTP 200, иначе htmx не свопит DOM); без htmx деградирует до
+// PRG-редиректа на `/review/{id}`. Действия асинхронны — своп отдаёт актуальное
+// состояние (обычно `recognizing`), которое дальше само допалливается фрагментом
+// (см. handleFragReview).
+func (s *server) reviewAction(w http.ResponseWriter, r *http.Request, fn func(context.Context, string) error) {
 	id, err := pathID(r)
 	if err != nil {
 		redirectErr(w, r, "некорректный id")
 		return
 	}
-	if err := fn(r.Context(), id); err != nil {
-		s.deps.Logger.Warn("review action failed",
-			"action", r.URL.Path, "id", id, "err", err)
-		redirectReview(w, r, id, err.Error())
+	actionErr := fn(r.Context(), id)
+
+	if !isHTMX(r) {
+		msg := ""
+		if actionErr != nil {
+			msg = userErr(r, actionErr, id)
+		}
+		redirectReview(w, r, id, msg)
 		return
 	}
-	redirectReview(w, r, id, "")
+
+	rd, err := s.deps.Reviewer.ReviewData(r.Context(), id)
+	if err != nil {
+		s.deps.Logger.Error("review data failed", "download_id", id, "error", err)
+		http.Error(w, "внутренняя ошибка", http.StatusInternalServerError)
+		return
+	}
+	msg := ""
+	if actionErr != nil {
+		msg = userErr(r, actionErr, id)
+	}
+	s.render(w, "review_main", buildReviewView(id, rd, msg))
 }
 
-func redirectReview(w http.ResponseWriter, r *http.Request, id int64, msg string) {
-	u := "/review/" + strconv.FormatInt(id, 10)
+// handleFragReview отдаёт партиал тела ревью (htmx-поллинг recognizing). Пока
+// загрузка в `recognizing`, `review_main` несёт поллер и экран сам обновляется;
+// как только состояние стало `review`, фрагмент возвращается без поллера — опрос
+// прекращается.
+func (s *server) handleFragReview(w http.ResponseWriter, r *http.Request) {
+	id, err := pathID(r)
+	if err != nil {
+		http.Error(w, "не найдено", http.StatusNotFound)
+		return
+	}
+	rd, err := s.deps.Reviewer.ReviewData(r.Context(), id)
+	if err != nil {
+		s.fragTickErr(w, err, id, "review-main")
+		return
+	}
+	s.render(w, "review_main", buildReviewView(id, rd, ""))
+}
+
+// isHTMX — запрос инициирован htmx (ждёт партиал, а не полную страницу).
+func isHTMX(r *http.Request) bool {
+	return r.Header.Get("HX-Request") == "true"
+}
+
+// reviewBlockAction — помощник для действий выбора источника: выполнить
+// операцию и вернуть свежий блок источника. На htmx-запрос перечитывает
+// состояние и рендерит `review_source_swap` — партиал `review_source_block`
+// плюс oob-обновление панели действий `review_action_bar` (кнопка «Применить»
+// зависит от HasLinks, а лежит вне блока), ошибку кладёт в BlockError, активный
+// источник не меняется; без htmx деградирует до PRG-редиректа, как reviewAction.
+func (s *server) reviewBlockAction(w http.ResponseWriter, r *http.Request, fn func(context.Context, string) error) {
+	id, err := pathID(r)
+	if err != nil {
+		redirectErr(w, r, "некорректный id")
+		return
+	}
+	actionErr := fn(r.Context(), id)
+
+	if !isHTMX(r) {
+		msg := ""
+		if actionErr != nil {
+			msg = userErr(r, actionErr, id)
+		}
+		redirectReview(w, r, id, msg)
+		return
+	}
+
+	// htmx: перечитываем состояние (уже с новым активным источником при успехе)
+	// и рендерим свежий партиал блока.
+	rd, err := s.deps.Reviewer.ReviewData(r.Context(), id)
+	if err != nil {
+		s.deps.Logger.Error("review data failed", "download_id", id, "error", err)
+		http.Error(w, "внутренняя ошибка", http.StatusInternalServerError)
+		return
+	}
+	view := buildReviewView(id, rd, "")
+	if actionErr != nil {
+		view.BlockError = userErr(r, actionErr, id)
+	}
+	// Панель действий («Применить» завязана на HasLinks) лежит вне #source-block,
+	// поэтому обновляем её тем же ответом через hx-swap-oob — иначе кнопка
+	// рассинхронилась бы с превью до полной перезагрузки.
+	view.ActionBarOOB = true
+	s.render(w, "review_source_swap", view)
+}
+
+func redirectReview(w http.ResponseWriter, r *http.Request, id string, msg string) {
+	u := "/review/" + id
 	if msg != "" {
 		u += "?err=" + url.QueryEscape(msg)
 	}
 	http.Redirect(w, r, u, http.StatusSeeOther)
 }
-
-func intPtrStr(p *int) string {
-	if p == nil {
-		return "—"
-	}
-	return strconv.Itoa(*p)
-}

internal/httpapi/ui_add_torrent_test.go

@@ -0,0 +1,137 @@
+package httpapi_test
+
+import (
+	"bytes"
+	"encoding/json"
+	"errors"
+	"fmt"
+	"mime/multipart"
+	"net/http"
+	"net/url"
+	"strings"
+	"testing"
+
+	"git.vakhrushev.me/av/jellybit/internal/httpapi"
+	"git.vakhrushev.me/av/jellybit/internal/ingest"
+	"git.vakhrushev.me/av/jellybit/internal/store"
+)
+
+// Веб-форма с выбранным .torrent-файлом → приём по байтам (TorrentData).
+func TestUIAddTorrentFile(t *testing.T) {
+	ing := &fakeIngestor{res: ingest.Result{DownloadID: tid, State: store.StateCatched}}
+	srv := newServer(t, httpapi.Deps{Ingestor: ing, Commander: &fakeCommander{}, Reader: &fakeReader{}})
+
+	var body bytes.Buffer
+	mw := multipart.NewWriter(&body)
+	_ = mw.WriteField("source", "") // источник пуст — используется файл
+	fw, _ := mw.CreateFormFile("torrent", "dune.torrent")
+	torrentBytes := []byte("d8:announce…bytes")
+	_, _ = fw.Write(torrentBytes)
+	_ = mw.Close()
+
+	resp, err := noRedirectClient().Post(srv.URL+"/ui/downloads", mw.FormDataContentType(), &body)
+	if err != nil {
+		t.Fatal(err)
+	}
+	defer resp.Body.Close()
+	if resp.StatusCode != http.StatusSeeOther {
+		t.Fatalf("status = %d, want 303", resp.StatusCode)
+	}
+	if !bytes.Equal(ing.lastReq.TorrentData, torrentBytes) {
+		t.Errorf("TorrentData не проброшен в ingest: %q", ing.lastReq.TorrentData)
+	}
+}
+
+// Без файла — прежний текстовый путь (Source), TorrentData пуст.
+func TestUIAddTextNoFile(t *testing.T) {
+	ing := &fakeIngestor{res: ingest.Result{DownloadID: tid, State: store.StateCatched}}
+	srv := newServer(t, httpapi.Deps{Ingestor: ing, Commander: &fakeCommander{}, Reader: &fakeReader{}})
+
+	var body bytes.Buffer
+	mw := multipart.NewWriter(&body)
+	_ = mw.WriteField("source", "magnet:?xt=urn:btih:abc")
+	_ = mw.Close()
+
+	resp, err := noRedirectClient().Post(srv.URL+"/ui/downloads", mw.FormDataContentType(), &body)
+	if err != nil {
+		t.Fatal(err)
+	}
+	defer resp.Body.Close()
+	if resp.StatusCode != http.StatusSeeOther {
+		t.Fatalf("status = %d, want 303", resp.StatusCode)
+	}
+	if len(ing.lastReq.TorrentData) != 0 {
+		t.Errorf("TorrentData должен быть пуст без файла")
+	}
+	if !strings.HasPrefix(ing.lastReq.Source, "magnet:") {
+		t.Errorf("source не проброшен: %q", ing.lastReq.Source)
+	}
+}
+
+// Обычная (не-multipart) urlencoded-отправка тоже работает (ErrNotMultipart
+// глотается, поля уже в PostForm) — устойчивость к curl/старой странице.
+func TestUIAddUrlencoded(t *testing.T) {
+	ing := &fakeIngestor{res: ingest.Result{DownloadID: tid, State: store.StateCatched}}
+	srv := newServer(t, httpapi.Deps{Ingestor: ing, Commander: &fakeCommander{}, Reader: &fakeReader{}})
+
+	resp, err := noRedirectClient().PostForm(srv.URL+"/ui/downloads", url.Values{
+		"source": {"magnet:?xt=urn:btih:abc"},
+	})
+	if err != nil {
+		t.Fatal(err)
+	}
+	defer resp.Body.Close()
+	if resp.StatusCode != http.StatusSeeOther {
+		t.Fatalf("status = %d, want 303", resp.StatusCode)
+	}
+	if !strings.HasPrefix(ing.lastReq.Source, "magnet:") {
+		t.Errorf("urlencoded source не проброшен: %q", ing.lastReq.Source)
+	}
+}
+
+// Отказ приёма на HTTP-границе: идентификатора загрузки нет (контракт
+// ingest.Ingest — нулевой Result на любом пути ошибки), поэтому корреляционным
+// ключом остаётся request_id запроса. Проверяются оба HTTP-транспорта: REST
+// отдаёт ключ полем тела, веб-форма — текстом флеш-сообщения в редиректе.
+func TestIngestErrorCorrelatesByRequestID(t *testing.T) {
+	t.Run("REST", func(t *testing.T) {
+		ing := &fakeIngestor{err: fmt.Errorf("ingest: create download: %w", errors.New("boom"))}
+		srv := newServer(t, httpapi.Deps{Ingestor: ing, Commander: &fakeCommander{}, Reader: &fakeReader{}})
+
+		resp, err := http.Post(srv.URL+"/api/downloads", "application/json",
+			strings.NewReader(`{"source":"magnet:?xt=urn:btih:abc"}`))
+		if err != nil {
+			t.Fatal(err)
+		}
+		defer resp.Body.Close()
+		var body map[string]any
+		if err := json.NewDecoder(resp.Body).Decode(&body); err != nil {
+			t.Fatalf("decode: %v", err)
+		}
+		if s, _ := body["request_id"].(string); s == "" {
+			t.Errorf("в теле отказа нет request_id: %v", body)
+		}
+		if _, ok := body["download_id"]; ok {
+			t.Errorf("в теле отказа обещан download_id: %v", body)
+		}
+	})
+
+	t.Run("веб-форма", func(t *testing.T) {
+		ing := &fakeIngestor{err: fmt.Errorf("ingest: create download: %w", errors.New("boom"))}
+		srv := newServer(t, httpapi.Deps{Ingestor: ing, Commander: &fakeCommander{}, Reader: &fakeReader{}})
+
+		resp, err := noRedirectClient().PostForm(srv.URL+"/ui/downloads",
+			url.Values{"source": {"magnet:?xt=urn:btih:abc"}})
+		if err != nil {
+			t.Fatal(err)
+		}
+		defer resp.Body.Close()
+		loc := resp.Header.Get("Location")
+		if !strings.Contains(loc, "request_id%3D") && !strings.Contains(loc, "request_id=") {
+			t.Errorf("в сообщении отказа нет request_id: %q", loc)
+		}
+		if strings.Contains(loc, "download_id") {
+			t.Errorf("в сообщении отказа обещан download_id: %q", loc)
+		}
+	})
+}

internal/ident/ident.go

@@ -0,0 +1,50 @@
+// Package ident — единственная точка генерации и разбора идентификаторов
+// домена. Идентификатор — ULID (26 символов Crockford base32), канонический
+// вид — lowercase; на входных границах (URL, формы) значение прогоняется
+// через Parse до обращения к хранилищу, потому что сравнение строк в SQLite
+// побайтовое.
+package ident
+
+import (
+	"crypto/rand"
+	"fmt"
+	"strings"
+	"sync"
+	"time"
+
+	"github.com/oklog/ulid/v2"
+)
+
+// entropy — monotonic-источник: при равной миллисекунде timestamp'а энтропия
+// инкрементируется, так что id, выданные подряд, сохраняют порядок выдачи.
+var (
+	mu      sync.Mutex
+	entropy = ulid.Monotonic(rand.Reader, 0)
+)
+
+// NewID возвращает новый идентификатор (текущее время).
+func NewID() string {
+	return NewIDAt(time.Now())
+}
+
+// NewIDAt возвращает идентификатор с timestamp-частью из t. Используется
+// миграциями для бэкфилла: сортировка id сохраняет историческую хронологию
+// (created_at имеет секундное разрешение — равные метки упорядочивает
+// monotonic-энтропия в порядке вызовов).
+func NewIDAt(t time.Time) string {
+	mu.Lock()
+	defer mu.Unlock()
+	id := ulid.MustNew(ulid.Timestamp(t.UTC()), entropy)
+	return strings.ToLower(id.String())
+}
+
+// Parse валидирует внешний идентификатор и нормализует его к каноническому
+// lowercase-виду. Регистр входа не важен (base32 ULID case-insensitive).
+func Parse(s string) (string, error) {
+	s = strings.TrimSpace(s)
+	u, err := ulid.ParseStrict(strings.ToUpper(s))
+	if err != nil {
+		return "", fmt.Errorf("ident: parse %q: %w", s, err)
+	}
+	return strings.ToLower(u.String()), nil
+}

internal/ident/ident_test.go

@@ -0,0 +1,70 @@
+package ident
+
+import (
+	"strings"
+	"testing"
+	"time"
+)
+
+func TestNewIDLowercaseAndValid(t *testing.T) {
+	id := NewID()
+	if len(id) != 26 {
+		t.Fatalf("len(%q) = %d, want 26", id, len(id))
+	}
+	if id != strings.ToLower(id) {
+		t.Fatalf("id %q is not lowercase", id)
+	}
+	if _, err := Parse(id); err != nil {
+		t.Fatalf("Parse(NewID()) failed: %v", err)
+	}
+}
+
+func TestNewIDSortedByIssueOrder(t *testing.T) {
+	prev := NewID()
+	for range 100 {
+		next := NewID()
+		if next <= prev {
+			t.Fatalf("ids out of order: %q then %q", prev, next)
+		}
+		prev = next
+	}
+}
+
+func TestNewIDAtEqualTimestampsKeepOrder(t *testing.T) {
+	ts := time.Date(2026, 7, 2, 12, 0, 0, 0, time.UTC)
+	prev := NewIDAt(ts)
+	for range 100 {
+		next := NewIDAt(ts) // одна и та же миллисекунда → monotonic-энтропия
+		if next <= prev {
+			t.Fatalf("ids out of order at equal timestamp: %q then %q", prev, next)
+		}
+		prev = next
+	}
+}
+
+func TestNewIDAtChronology(t *testing.T) {
+	older := NewIDAt(time.Date(2026, 1, 1, 0, 0, 0, 0, time.UTC))
+	newer := NewIDAt(time.Date(2026, 6, 1, 0, 0, 0, 0, time.UTC))
+	if older >= newer {
+		t.Fatalf("chronology broken: %q >= %q", older, newer)
+	}
+}
+
+func TestParseNormalizesCase(t *testing.T) {
+	id := NewID()
+	got, err := Parse(strings.ToUpper(id))
+	if err != nil {
+		t.Fatalf("Parse(upper) failed: %v", err)
+	}
+	if got != id {
+		t.Fatalf("Parse(upper) = %q, want %q", got, id)
+	}
+}
+
+func TestParseRejectsGarbage(t *testing.T) {
+	for _, bad := range []string{"", "abc", "abc!!!", "123", strings.Repeat("z", 26), strings.Repeat("a", 27)} {
+		if _, err := Parse(bad); err == nil {
+			t.Fatalf("Parse(%q) unexpectedly succeeded", bad)
+		}
+	}
+}

internal/ingest/ingest.go

@@ -1,140 +1,305 @@
-// Package ingest — use-case приёма загрузки, общий для всех транспортов
-// (HTTP, Telegram, CLI). Принимает источник + контекст, отдаёт источник в
-// qBittorrent и заводит/находит задачу в БД.
+// Package ingest — use-case быстрого приёма загрузки, общий для всех
+// транспортов (HTTP, Telegram, CLI). Синхронно только парсит источник,
+// синтезирует контекст из полей ссылки, дедуплицирует и сохраняет загрузку в
+// состоянии `catched`, сразу возвращая ответ. Вывод отображаемого имени
+// (медленный LLM) и добавление в qBittorrent — отдельный асинхронный шаг
+// worker'а (см. download-tracking).
 package ingest
 
 import (
 	"context"
+	"errors"
 	"fmt"
 	"log/slog"
 	"strings"
+	"unicode/utf8"
 
+	"git.vakhrushev.me/av/jellybit/internal/logctx"
 	"git.vakhrushev.me/av/jellybit/internal/magnet"
-	"git.vakhrushev.me/av/jellybit/internal/qbt"
 	"git.vakhrushev.me/av/jellybit/internal/store"
+	"git.vakhrushev.me/av/jellybit/internal/torrent"
 )
 
+// capIngest — стадия приёма для поля capability в логах.
+const capIngest = "ingest"
+
 // Store — нужная ingest часть хранилища.
 type Store interface {
-	FindActiveByInfohash(ctx context.Context, infohash string) (*store.Download, error)
-	CreateDownload(ctx context.Context, d *store.Download) (int64, error)
-	SetDownloadState(ctx context.Context, id int64, state store.State, errCode, errMsg string) error
+	// FindReingestBlockingByInfohash — быстрый читающий дедуп-чек: активная задача
+	// ЛИБО удерживающая источник desync-запись (target_missing/orphaned). Активный
+	// инвариант «≤1 активной» авторитетно держит CreateDownloadIfNoActive; desync —
+	// устойчивый пред-рид, коротко замыкающий приём на возврат существующей записи.
+	FindReingestBlockingByInfohash(ctx context.Context, hashes ...string) (*store.Download, error)
+	// CreateDownloadIfNoActive атомарно проверяет инвариант «одна активная
+	// загрузка на infohash» и заводит задачу; вернувшаяся existing ≠ nil —
+	// дедуп на активную задачу (недостающие хеши вызова метод доносит сам).
+	// torrentBlob (для source_type=torrent) пишется в той же транзакции только
+	// на ветке создания; при дедупе не пишется. Для magnet — nil.
+	CreateDownloadIfNoActive(ctx context.Context, d *store.Download, hashes []string, torrentBlob []byte) (*store.Download, error)
+	// AddInfohashes доносит задаче недостающие хеши (guarded). Нужен на
+	// быстром дедуп-пути, который не доходит до CreateDownloadIfNoActive.
+	AddInfohashes(ctx context.Context, downloadID string, hashes []string) error
+	// UpgradeCatchedMagnetToTorrent при дедупе входящих байтов `.torrent` на
+	// пойманную (`catched`) magnet-задачу сохраняет байты и меняет source_type
+	// на torrent (атомарно). No-op, если задача уже добавлена/не magnet. Чинит
+	// magnet закрытого трекера, который иначе застрянет в metaDL.
+	UpgradeCatchedMagnetToTorrent(ctx context.Context, downloadID string, torrentBlob []byte) (bool, error)
 }
 
-// QBittorrent — нужная ingest часть клиента qBittorrent.
-type QBittorrent interface {
-	Add(ctx context.Context, ar qbt.AddRequest) error
-}
-
-// Namer выводит человекочитаемое отображаемое имя торрента из контекста.
-// Пустой результат → имя в qBittorrent не задаём. nil → шаг пропускается.
-type Namer interface {
-	DeriveName(ctx context.Context, contextText, hint string) string
-}
-
-// Config — параметры добавления в qBittorrent.
-type Config struct {
-	Category string
-	SavePath string
-}
-
-// Service — реализация приёма.
+// Service — реализация быстрого приёма.
 type Service struct {
 	store Store
-	qbt   QBittorrent
-	namer Namer
-	cfg   Config
 	log   *slog.Logger
 }
 
-// New собирает сервис приёма. namer опционален (nil → отображаемое имя не
-// выводится; qBittorrent оставит своё).
-func New(st Store, qb QBittorrent, namer Namer, cfg Config, log *slog.Logger) *Service {
-	return &Service{store: st, qbt: qb, namer: namer, cfg: cfg, log: log}
+// New собирает сервис приёма.
+func New(st Store, log *slog.Logger) *Service {
+	return &Service{store: st, log: log}
 }
 
-// Request — входной запрос приёма.
+// Request — входной запрос приёма. Источник задаётся либо строкой (magnet), либо
+// байтами `.torrent` (TorrentData); при непустом TorrentData он в приоритете.
 type Request struct {
-	Source  string // пока — magnet-ссылка
-	Context string // подсказка для распознавания (опц.)
+	Source      string // magnet-ссылка (когда TorrentData пуст)
+	TorrentData []byte // байты .torrent-файла (опц.); при наличии — источник torrent
+	TorrentName string // имя загруженного файла (опц.); фолбек для source_ref
+	Context     string // подсказка для распознавания (опц.)
 }
 
-// Result — итог приёма.
+// Result — итог приёма. При ненулевой ошибке Ingest возвращает НУЛЕВОЙ Result:
+// идентификатор загрузки, хеши, состояние и признак дедупликации не
+// публикуются (см. Ingest).
 type Result struct {
-	DownloadID   int64
-	Infohash     string
+	DownloadID   string
+	Infohashes   []string // все хеши источника (гибридный magnet: v1 и v2, v1 первым)
 	State        store.State
 	Deduplicated bool // присоединились к уже активной задаче, нового добавления не было
 }
 
-// Ingest принимает источник: извлекает infohash, дедуплицирует по активной
-// задаче, иначе заводит задачу и отдаёт источник в qBittorrent.
-func (s *Service) Ingest(ctx context.Context, req Request) (Result, error) {
-	source := strings.TrimSpace(req.Source)
-	info, err := magnet.Parse(source)
+// Ingest быстро принимает источник: извлекает infohash, синтезирует контекст из
+// полей ссылки, дедуплицирует по активной задаче, иначе сохраняет загрузку в
+// `catched` и сразу возвращает результат. Добавление в qBittorrent и вывод
+// имени выполняет worker (см. download-tracking).
+//
+// Контракт: на ЛЮБОМ пути ошибки возвращается нулевой Result. Приём не создаёт
+// наблюдаемых последствий раньше, чем способен вернуть успех, а всё, что может
+// отказать после заведения загрузки, делает worker. Транспорты на это
+// опираются и не обещают идентификатора, которого нет: HTTP коррелирует отказ
+// по request_id, Telegram — ключа не даёт (см. ingest-спеку, требование
+// «Результат приёма при ошибке пуст»).
+//
+// Гарантия структурная — обнуление в одном defer, а не аккуратность каждой
+// ветки возврата: перечень веток растёт, и именно расхождение перечня с
+// комментариями транспортов породило исходный дефект.
+func (s *Service) Ingest(ctx context.Context, req Request) (res Result, err error) {
+	defer func() {
+		if err != nil {
+			res = Result{}
+		}
+	}()
+
+	src, err := s.parse(req)
 	if err != nil {
-		// Ф1: поддержан только magnet. .torrent/url — следующий заход.
-		return Result{}, fmt.Errorf("ingest: %w", err)
+		// Невалидный источник — норма (адресат не команда, а пользователь, и он
+		// получит отказ на транспорте): DEBUG, чтобы не шуметь в аудите.
+		s.log.Debug("ingest source rejected", "capability", capIngest, "error", err)
+		return Result{}, err
 	}
 
-	if existing, err := s.store.FindActiveByInfohash(ctx, info.Infohash); err != nil {
-		return Result{}, fmt.Errorf("ingest: lookup active: %w", err)
-	} else if existing != nil {
-		s.log.Info("ingest: attached to active download",
-			"download_id", existing.ID, "infohash", info.Infohash, "state", existing.State)
-		return Result{
-			DownloadID:   existing.ID,
-			Infohash:     info.Infohash,
-			State:        existing.State,
-			Deduplicated: true,
+	// Scoped-логгер стадии приёма: download_id допишется после CreateDownload.
+	log := s.log.With("capability", capIngest, "infohash", src.infohashes[0])
+	ctx = logctx.With(ctx, log)
+
+	// Быстрый пред-рид по ЛЮБОМУ из хешей источника (гибридный несёт и v1, и v2):
+	// активная задача ЛИБО удерживающая источник desync-запись
+	// (target_missing/orphaned) блокируют повторный приём. Здесь короткозамыкаем
+	// ТОЛЬКО desync-запись (терминальную): её CreateDownloadIfNoActive не увидит
+	// (тот проверяет лишь активных), а состояния она не меняет. Активную же НЕ
+	// короткозамыкаем — этот чек без транзакции, и в гонке с параллельным cancel
+	// вернул бы stale «уже в работе» при пустом активном множестве. Авторитетное
+	// дедуп-решение по активной примет CreateDownloadIfNoActive под BEGIN IMMEDIATE.
+	if existing, err := s.store.FindReingestBlockingByInfohash(ctx, src.infohashes...); err != nil {
+		// Инфраструктурный сбой (БД) — операция приёма не выполнена: ERROR.
+		log.Error("ingest failed", "stage", "lookup-blocking", "error", err)
+		return Result{}, fmt.Errorf("ingest: lookup blocking: %w", err)
+	} else if existing != nil && existing.State.IsTerminal() {
+		// FindReingestBlockingByInfohash отдаёт терминальную запись только из
+		// удерживающих desync-состояний (target_missing/orphaned) — присоединяемся.
+		log.Info("download attached", "download_id", existing.ID, "state", existing.State)
+		return s.attached(ctx, src, existing), nil
+	}
+
+	// Контекст распознавания дополняем фактами из полей источника (magnet-поля
+	// или дерево `.torrent`) — без сети. Пользовательский текст идёт первым.
+	// DisplayName пуст: имя выведет worker на шаге добавления (rename действует
+	// только при добавлении, а тут медленный LLM в пути ответа недопустим).
+	d := &store.Download{
+		SourceType: src.sourceType,
+		SourceRef:  src.sourceRef,
+		Context:    capContext(mergeContext(req.Context, src.synthContext)),
+		State:      store.StateCatched,
+	}
+	// Все хеши источника (гибрид несёт v1 и v2); kind store выведет по длине.
+	// torrentBlob непуст только для source_type=torrent — пишется в той же
+	// транзакции лишь на ветке создания.
+	existing, err := s.store.CreateDownloadIfNoActive(ctx, d, src.infohashes, src.torrentBlob)
+	if err != nil {
+		// Инфраструктурный сбой (БД) — операция приёма не выполнена: ERROR.
+		log.Error("ingest failed", "stage", "create-download", "error", err)
+		return Result{}, fmt.Errorf("ingest: create download: %w", err)
+	}
+	if existing != nil {
+		// Гонка с параллельным приёмом/discover: активная задача появилась
+		// после быстрого чека — присоединяемся к ней (хеши донёс сам
+		// CreateDownloadIfNoActive; existing уже с подгруженными хешами).
+		log.Info("download attached to active", "download_id", existing.ID, "state", existing.State)
+		return s.attached(ctx, src, existing), nil
+	}
+
+	log.Info("download catched", "download_id", d.ID)
+	return Result{
+		DownloadID: d.ID,
+		Infohashes: src.infohashes,
+		State:      store.StateCatched,
+	}, nil
+}
+
+// MaxTorrentSize — предел размера принимаемого `.torrent` (защита от разбухания
+// БД и oversized-загрузок). Реальные торрент-файлы много меньше; крупные (много
+// файлов → много piece-хешей) отсекаются здесь.
+const MaxTorrentSize = 8 << 20 // 8 MiB
+
+// ErrTorrentTooLarge — принятый `.torrent` превышает MaxTorrentSize. Это промах
+// ввода пользователя (норма, не сбой сервера), поэтому транспорт транслирует его
+// в 400, а не 500 (веб MaxBytesReader пропускает файлы чуть больше лимита —
+// отсекает уже приём). Проверяется через errors.Is.
+var ErrTorrentTooLarge = errors.New("torrent too large")
+
+// parsedSource — нормализованный источник приёма (magnet или .torrent).
+type parsedSource struct {
+	sourceType   store.SourceType
+	sourceRef    string   // референс для человека/логов (magnet-URI или имя torrent)
+	infohashes   []string // все хеши источника; v1 раньше v2
+	synthContext string   // синтез контекста из полей источника (без сети)
+	torrentBlob  []byte   // байты .torrent (для source_type=torrent); иначе nil
+}
+
+// parse разбирает источник запроса: при непустом TorrentData — как `.torrent`
+// (в приоритете), иначе — как magnet. Синтез контекста и хеши берутся из полей
+// источника, без сети.
+func (s *Service) parse(req Request) (parsedSource, error) {
+	if len(req.TorrentData) > 0 {
+		if len(req.TorrentData) > MaxTorrentSize {
+			return parsedSource{}, fmt.Errorf("ingest: torrent too large: %d > %d bytes: %w", len(req.TorrentData), MaxTorrentSize, ErrTorrentTooLarge)
+		}
+		info, err := torrent.Parse(req.TorrentData)
+		if err != nil {
+			return parsedSource{}, fmt.Errorf("ingest: parse torrent: %w", err)
+		}
+		// SourceRef — человекочитаемый референс (имя раздачи), НЕ адрес
+		// добавления: torrent добавляется байтами (см. worker), не по SourceRef.
+		// Фолбек на имя файла, если у раздачи нет содержательного имени:
+		// вырожденное значение отбросил разборщик, здесь остаётся пустота.
+		ref := info.DisplayName
+		if ref == "" {
+			ref = strings.TrimSpace(req.TorrentName)
+		}
+		return parsedSource{
+			sourceType:   store.SourceTorrent,
+			sourceRef:    ref,
+			infohashes:   info.Infohashes,
+			synthContext: info.Context(),
+			torrentBlob:  req.TorrentData,
 		}, nil
 	}
 
-	// Отображаемое имя для списка qBit — best-effort: не валит приём.
-	// Выводится синхронно (param rename действует только при добавлении) и
-	// ДО CreateDownload, чтобы возможный медленный вызов LLM не расширял окно
-	// «строка в БД есть, в qBittorrent ещё нет». Имя от строки БД не зависит.
-	var rename string
-	if s.namer != nil {
-		rename = s.namer.DeriveName(ctx, req.Context, info.DisplayName)
-	}
-
-	d := &store.Download{
-		SourceType:     store.SourceMagnet,
-		SourceRef:      source,
-		Context:        req.Context,
-		Infohash:       store.NullString(info.Infohash),
-		IdempotencyKey: store.NullString(info.Infohash),
-		State:          store.StateDownloading,
-	}
-	id, err := s.store.CreateDownload(ctx, d)
+	source := strings.TrimSpace(req.Source)
+	info, err := magnet.Parse(source)
 	if err != nil {
-		return Result{}, fmt.Errorf("ingest: create download: %w", err)
+		return parsedSource{}, fmt.Errorf("ingest: parse source: %w", err)
 	}
-
-	addErr := s.qbt.Add(ctx, qbt.AddRequest{
-		URLs:     []string{source},
-		Category: s.cfg.Category,
-		SavePath: s.cfg.SavePath,
-		Rename:   rename,
-	})
-	if addErr != nil {
-		s.log.Warn("ingest: qbittorrent add failed, marking download failed",
-			"download_id", id, "infohash", info.Infohash, "err", addErr)
-		// Задача уже в БД — помечаем failed, чтобы worker её не подхватил.
-		if setErr := s.store.SetDownloadState(ctx, id, store.StateFailed, "qbit_add", addErr.Error()); setErr != nil {
-			s.log.Error("ingest: failed to mark download failed after qbit error",
-				"download_id", id, "err", setErr)
-		}
-		return Result{DownloadID: id, Infohash: info.Infohash, State: store.StateFailed},
-			fmt.Errorf("ingest: add to qbittorrent: %w", addErr)
-	}
-
-	s.log.Info("ingest: download accepted",
-		"download_id", id, "infohash", info.Infohash, "category", s.cfg.Category)
-	return Result{
-		DownloadID: id,
-		Infohash:   info.Infohash,
-		State:      store.StateDownloading,
+	return parsedSource{
+		sourceType:   store.SourceMagnet,
+		sourceRef:    source,
+		infohashes:   info.Infohashes,
+		synthContext: info.Context(),
 	}, nil
 }
+
+// MaxContextSize — предел размера контекста распознавания (пользовательский текст
+// + синтез из полей источника). Кап здесь, на единственном месте слияния,
+// покрывает все транспорты: REST ограничен телом (64 KiB), Telegram — лимитом
+// подписи, но веб-форма (multipart-бюджет на всё тело) иначе пропустила бы
+// мегабайты в поле context → в БД, рендер карточки и LLM-промпты.
+const MaxContextSize = 16 << 10 // 16 KiB
+
+// contextTruncMarker дописывается к усечённому контексту как явный маркер.
+const contextTruncMarker = "\n…[контекст усечён]"
+
+// capContext ограничивает контекст MaxContextSize байтами, обрезая по границе
+// руны (кириллица — 2 байта/руна; обрезка посреди руны дала бы U+FFFD) и добавляя
+// маркер усечения. Пустой/короткий контекст возвращается как есть.
+func capContext(s string) string {
+	if len(s) <= MaxContextSize {
+		return s
+	}
+	return trimToRune(s[:MaxContextSize]) + contextTruncMarker
+}
+
+// trimToRune отбрасывает незавершённую многобайтовую руну на конце строки
+// (результат обрезки по фиксированному числу байт), не трогая корректный хвост.
+func trimToRune(s string) string {
+	for len(s) > 0 {
+		if r, size := utf8.DecodeLastRuneInString(s); r != utf8.RuneError || size > 1 {
+			break
+		}
+		s = s[:len(s)-1]
+	}
+	return s
+}
+
+// mergeContext склеивает контекст от транспорта с синтезом из полей magnet:
+// пользовательский текст идёт первым, затем факты из ссылки. Пустые части
+// опускаются; при пустых обеих — пустая строка (пустой контекст допустим).
+func mergeContext(userText, synth string) string {
+	parts := make([]string, 0, 2)
+	if s := strings.TrimSpace(userText); s != "" {
+		parts = append(parts, s)
+	}
+	if s := strings.TrimSpace(synth); s != "" {
+		parts = append(parts, s)
+	}
+	return strings.Join(parts, "\n")
+}
+
+// attached — итог дедупа на быстром чеке: присоединились к блокирующей записи
+// (активной ЛИБО удерживающей источник desync — target_missing/orphaned) и
+// доносим ей недостающие хеши источника (гибридный magnet мог принести хеш,
+// которого задача ещё не знает; guarded-путь через CreateDownloadIfNoActive сюда
+// не доходит). Для desync-записи состояние не меняем (возвращаем «спящей» — relink
+// или закрытие делает пользователь). Донос — best-effort: конфликт хеша с другой
+// активной задачей логируется, приём не валится.
+func (s *Service) attached(ctx context.Context, src parsedSource, existing *store.Download) Result {
+	if len(src.infohashes) > len(existing.Infohashes) {
+		if err := s.store.AddInfohashes(ctx, existing.ID, src.infohashes); err != nil {
+			logctx.FromOr(ctx, s.log).Warn("ingest top-up infohashes failed", "error", err)
+		}
+	}
+	// F6: входящее — байты `.torrent`, а активная задача поймана как magnet и
+	// ещё не отдана в qBittorrent (catched) → сохраняем байты и переключаем
+	// источник на torrent, чтобы воркер добавил раздачу файлом (magnet
+	// закрытого трекера иначе застрянет в metaDL). Best-effort: не валит приём.
+	if src.sourceType == store.SourceTorrent && len(src.torrentBlob) > 0 {
+		if upgraded, err := s.store.UpgradeCatchedMagnetToTorrent(ctx, existing.ID, src.torrentBlob); err != nil {
+			logctx.FromOr(ctx, s.log).Warn("ingest torrent upgrade failed", "error", err)
+		} else if upgraded {
+			logctx.FromOr(ctx, s.log).Info("catched magnet upgraded to torrent", "download_id", existing.ID)
+		}
+	}
+	return Result{
+		DownloadID:   existing.ID,
+		Infohashes:   src.infohashes,
+		State:        existing.State,
+		Deduplicated: true,
+	}
+}

internal/ingest/ingest_test.go

@@ -3,11 +3,12 @@ package ingest
 import (
 	"context"
 	"errors"
-	"io"
 	"log/slog"
+	"reflect"
+	"strings"
 	"testing"
 
-	"git.vakhrushev.me/av/jellybit/internal/qbt"
+	"git.vakhrushev.me/av/jellybit/internal/ident"
 	"git.vakhrushev.me/av/jellybit/internal/store"
 )
 
@@ -16,174 +17,324 @@ const sampleMagnet = "magnet:?xt=urn:btih:541ADCFF3B6DD5DBA7088EA83317D9D6FAC331
 const sampleInfohash = "541adcff3b6dd5dba7088ea83317d9d6fac331d6"
 
 type fakeStore struct {
-	active     *store.Download
-	created    []store.Download
-	nextID     int64
-	stateCalls []stateCall
+	active      *store.Download
+	created     []store.Download
+	hashes      [][]string
+	blobs       [][]byte
+	toppedUp    []string
+	upgradeID   string // downloadID последнего вызова UpgradeCatchedMagnetToTorrent
+	upgradeBlob []byte // байты, переданные в апгрейд
+	upgradeUp   bool   // что вернуть из UpgradeCatchedMagnetToTorrent
+
+	lookupErr error // отказ хранилища на дедуп-чеке
+	createErr error // отказ хранилища на заведении загрузки
 }
 
-type stateCall struct {
-	id    int64
-	state store.State
-	code  string
-	msg   string
-}
-
-func (f *fakeStore) FindActiveByInfohash(_ context.Context, _ string) (*store.Download, error) {
+func (f *fakeStore) FindReingestBlockingByInfohash(_ context.Context, _ ...string) (*store.Download, error) {
+	if f.lookupErr != nil {
+		return nil, f.lookupErr
+	}
 	return f.active, nil
 }
 
-func (f *fakeStore) CreateDownload(_ context.Context, d *store.Download) (int64, error) {
-	f.nextID++
-	d.ID = f.nextID
-	f.created = append(f.created, *d)
-	return f.nextID, nil
-}
-
-func (f *fakeStore) SetDownloadState(_ context.Context, id int64, st store.State, code, msg string) error {
-	f.stateCalls = append(f.stateCalls, stateCall{id, st, code, msg})
-	return nil
-}
-
-type fakeQbt struct {
-	added []qbt.AddRequest
-	err   error
-}
-
-func (f *fakeQbt) Add(_ context.Context, ar qbt.AddRequest) error {
-	if f.err != nil {
-		return f.err
+func (f *fakeStore) CreateDownloadIfNoActive(_ context.Context, d *store.Download, hashes []string, torrentBlob []byte) (*store.Download, error) {
+	if f.createErr != nil {
+		return nil, f.createErr
 	}
-	f.added = append(f.added, ar)
+	if f.active != nil {
+		return f.active, nil
+	}
+	d.ID = ident.NewID()
+	f.created = append(f.created, *d)
+	f.hashes = append(f.hashes, hashes)
+	f.blobs = append(f.blobs, torrentBlob)
+	return nil, nil
+}
+
+func (f *fakeStore) AddInfohashes(_ context.Context, id string, hashes []string) error {
+	f.toppedUp = append(f.toppedUp, hashes...)
+	_ = id
 	return nil
 }
 
-// fakeNamer возвращает заранее заданное имя; фиксирует переданные аргументы.
-type fakeNamer struct {
-	name       string
-	gotContext string
-	gotHint    string
-	called     bool
+func (f *fakeStore) UpgradeCatchedMagnetToTorrent(_ context.Context, id string, blob []byte) (bool, error) {
+	f.upgradeID = id
+	f.upgradeBlob = blob
+	return f.upgradeUp, nil
 }
 
-func (f *fakeNamer) DeriveName(_ context.Context, contextText, hint string) string {
-	f.called = true
-	f.gotContext = contextText
-	f.gotHint = hint
-	return f.name
+// raceStore моделирует гонку F8: пред-рид FindReingestBlockingByInfohash видит
+// активную запись (blocking), но create-гард CreateDownloadIfNoActive её уже не
+// находит (в параллели отменена) и заводит свежую задачу.
+type raceStore struct {
+	blocking *store.Download
+	created  []store.Download
 }
 
-func newService(st Store, qb QBittorrent) *Service {
-	return newServiceWithNamer(st, qb, nil)
+func (r *raceStore) FindReingestBlockingByInfohash(_ context.Context, _ ...string) (*store.Download, error) {
+	return r.blocking, nil
 }
 
-func newServiceWithNamer(st Store, qb QBittorrent, nm Namer) *Service {
-	return New(st, qb, nm, Config{Category: "jellybit", SavePath: "/srv/media/downloads"},
-		slog.New(slog.NewTextHandler(io.Discard, nil)))
+func (r *raceStore) CreateDownloadIfNoActive(_ context.Context, d *store.Download, _ []string, _ []byte) (*store.Download, error) {
+	d.ID = ident.NewID()
+	r.created = append(r.created, *d)
+	return nil, nil // активной уже нет — создаём новую
 }
 
-func TestIngestHappyPath(t *testing.T) {
+func (r *raceStore) AddInfohashes(_ context.Context, _ string, _ []string) error { return nil }
+
+func (r *raceStore) UpgradeCatchedMagnetToTorrent(_ context.Context, _ string, _ []byte) (bool, error) {
+	return false, nil
+}
+
+func newService(st Store) *Service {
+	return New(st, slog.New(slog.DiscardHandler))
+}
+
+// Быстрый приём: сохраняем загрузку в catched и сразу отвечаем; qBittorrent и
+// вывод имени в пути приёма не участвуют (это делает worker).
+func TestIngestCatchesFast(t *testing.T) {
 	fs := &fakeStore{}
-	fq := &fakeQbt{}
-	res, err := newService(fs, fq).Ingest(context.Background(), Request{Source: sampleMagnet, Context: "Дюна 2"})
+	res, err := newService(fs).Ingest(context.Background(), Request{Source: sampleMagnet, Context: "Дюна 2"})
 	if err != nil {
 		t.Fatalf("Ingest: %v", err)
 	}
-	if res.Infohash != sampleInfohash {
-		t.Errorf("infohash = %q", res.Infohash)
+	if len(res.Infohashes) != 1 || res.Infohashes[0] != sampleInfohash {
+		t.Errorf("infohashes = %v", res.Infohashes)
 	}
-	if res.State != store.StateDownloading || res.Deduplicated {
+	if res.State != store.StateCatched || res.Deduplicated {
 		t.Errorf("res = %+v", res)
 	}
 	if len(fs.created) != 1 {
 		t.Fatalf("создано задач: %d, want 1", len(fs.created))
 	}
-	if got := fs.created[0]; got.Context != "Дюна 2" || got.Infohash.String != sampleInfohash {
-		t.Errorf("сохранённая задача: %+v", got)
+	got := fs.created[0]
+	if got.State != store.StateCatched {
+		t.Errorf("state задачи = %q, want catched", got.State)
 	}
-	if len(fq.added) != 1 {
-		t.Fatalf("вызовов qbt.Add: %d, want 1", len(fq.added))
+	// Имя выводит worker на шаге добавления — при приёме display_name пуст.
+	if got.DisplayName != "" {
+		t.Errorf("display_name при приёме = %q, want пусто", got.DisplayName)
 	}
-	add := fq.added[0]
-	if len(add.URLs) != 1 || add.URLs[0] != sampleMagnet {
-		t.Errorf("URLs = %v", add.URLs)
+	// download.Context = пользовательский текст + синтез из полей magnet
+	// (dn=Dune). Текст пользователя идёт первым.
+	if !strings.HasPrefix(got.Context, "Дюна 2") || !strings.Contains(got.Context, "Dune") {
+		t.Errorf("сохранённый контекст = %q", got.Context)
 	}
-	if add.Category != "jellybit" || add.SavePath != "/srv/media/downloads" {
-		t.Errorf("category/savepath = %q/%q", add.Category, add.SavePath)
+	if len(fs.hashes) != 1 || len(fs.hashes[0]) != 1 || fs.hashes[0][0] != sampleInfohash {
+		t.Errorf("хеши задачи: %v", fs.hashes)
 	}
 }
 
-func TestIngestSetsDisplayName(t *testing.T) {
+// Голый magnet без текста: download.Context синтезируется из полей ссылки
+// (dn-имя + размер), приём проходит штатно.
+func TestIngestMagnetOnlySynthesizesContext(t *testing.T) {
+	const raw = "magnet:?xt=urn:btih:541ADCFF3B6DD5DBA7088EA83317D9D6FAC331D6" +
+		"&dn=Dune.Part.Two.2024.2160p&xl=2200000000"
 	fs := &fakeStore{}
-	fq := &fakeQbt{}
-	nm := &fakeNamer{name: "Дюна: Часть вторая (2024)"}
-	_, err := newServiceWithNamer(fs, fq, nm).Ingest(context.Background(),
-		Request{Source: sampleMagnet, Context: "Дюна 2"})
-	if err != nil {
+	if _, err := newService(fs).Ingest(context.Background(), Request{Source: raw}); err != nil {
 		t.Fatalf("Ingest: %v", err)
 	}
-	if !nm.called || nm.gotContext != "Дюна 2" || nm.gotHint != "Dune" {
-		t.Errorf("namer получил context=%q hint=%q (called=%v)", nm.gotContext, nm.gotHint, nm.called)
+	if len(fs.created) != 1 {
+		t.Fatalf("создано задач: %d, want 1", len(fs.created))
 	}
-	if len(fq.added) != 1 || fq.added[0].Rename != "Дюна: Часть вторая (2024)" {
-		t.Errorf("rename = %q, want %q", fq.added[0].Rename, "Дюна: Часть вторая (2024)")
+	ctx := fs.created[0].Context
+	if !strings.Contains(ctx, "Dune.Part.Two.2024.2160p") || !strings.Contains(ctx, "Размер:") {
+		t.Errorf("контекст не синтезирован из magnet: %q", ctx)
 	}
 }
 
-func TestIngestEmptyNameOmitsRename(t *testing.T) {
+// Заглушка-dn (rutracker-topic-*) как строка-название в контекст не попадает,
+// но домен трекера — попадает (сигнал для recognition).
+func TestIngestSynthDropsStubName(t *testing.T) {
+	const raw = "magnet:?xt=urn:btih:541ADCFF3B6DD5DBA7088EA83317D9D6FAC331D6" +
+		"&dn=rutracker-topic-6514485&tr=http%3A%2F%2Fbt.t-ru.org%2Fann%3Fmagnet"
 	fs := &fakeStore{}
-	fq := &fakeQbt{}
-	nm := &fakeNamer{name: ""} // имя не получено
-	if _, err := newServiceWithNamer(fs, fq, nm).Ingest(context.Background(),
-		Request{Source: sampleMagnet}); err != nil {
+	if _, err := newService(fs).Ingest(context.Background(), Request{Source: raw}); err != nil {
 		t.Fatalf("Ingest: %v", err)
 	}
-	if len(fq.added) != 1 || fq.added[0].Rename != "" {
-		t.Errorf("rename = %q, want пусто", fq.added[0].Rename)
+	got := fs.created[0].Context
+	if !strings.Contains(got, "t-ru.org") {
+		t.Errorf("download.Context не обогащён доменом трекера: %q", got)
+	}
+	if strings.Contains(got, "rutracker-topic") {
+		t.Errorf("заглушка-dn просочилась в контекст как имя: %q", got)
+	}
+}
+
+// Реальная рутрекер-ссылка без текста: download.Context = релиз-заголовок из
+// dn (раскодирован) + домен трекера.
+func TestIngestRealRutrackerMagnetOnly(t *testing.T) {
+	const raw = "magnet:?xt=urn:btih:BACA24E18C7382A9E9A44132C8D7DB86C4D319C2" +
+		"&tr=http%3A%2F%2Fbt4.t-ru.org%2Fann%3Fmagnet" +
+		"&dn=%D0%91%D1%83%D1%85%D1%82%D0%B0%20%D0%B2%D0%B4%D0%BE%D0%B2%20%2F%20Widow's%20Bay%20%2F%20%D0%A1%D0%B5%D0%B7%D0%BE%D0%BD%3A%201%20%5B2026%2C%20%D0%A1%D0%A8%D0%90%2C%20WEB-DL%201080p%5D"
+	fs := &fakeStore{}
+	if _, err := newService(fs).Ingest(context.Background(), Request{Source: raw}); err != nil {
+		t.Fatalf("Ingest: %v", err)
+	}
+	ctx := fs.created[0].Context
+	if !strings.Contains(ctx, "Widow's Bay") || !strings.Contains(ctx, "Трекер: t-ru.org") {
+		t.Errorf("download.Context не обогащён: %q", ctx)
 	}
 }
 
 func TestIngestIdempotent(t *testing.T) {
-	existing := &store.Download{ID: 7, State: store.StateDownloading}
+	existing := &store.Download{ID: "01hzzzexisting000000000000", State: store.StateCatched}
 	fs := &fakeStore{active: existing}
-	fq := &fakeQbt{}
-	res, err := newService(fs, fq).Ingest(context.Background(), Request{Source: sampleMagnet})
+	res, err := newService(fs).Ingest(context.Background(), Request{Source: sampleMagnet})
 	if err != nil {
 		t.Fatalf("Ingest: %v", err)
 	}
-	if !res.Deduplicated || res.DownloadID != 7 {
-		t.Errorf("ожидалось присоединение к задаче 7: %+v", res)
+	if !res.Deduplicated || res.DownloadID != existing.ID {
+		t.Errorf("ожидалось присоединение к существующей задаче: %+v", res)
 	}
 	if len(fs.created) != 0 {
 		t.Error("не должно создаваться новой задачи")
 	}
-	if len(fq.added) != 0 {
-		t.Error("не должно быть повторного добавления в qBittorrent")
+}
+
+// Повторный приём привязывается к удерживающей источник desync-записи
+// (target_missing/orphaned) вместо создания близнеца: возвращается существующая
+// «спящей» (её состояние не меняется, к qBittorrent не ходим), Deduplicated=true.
+func TestIngestAttachesToDesyncRecord(t *testing.T) {
+	for _, s := range []store.State{store.StateTargetMissing, store.StateOrphaned} {
+		t.Run(string(s), func(t *testing.T) {
+			existing := &store.Download{ID: "01hzzzexisting000000000000", State: s}
+			fs := &fakeStore{active: existing}
+			res, err := newService(fs).Ingest(context.Background(), Request{Source: sampleMagnet})
+			if err != nil {
+				t.Fatalf("Ingest: %v", err)
+			}
+			if !res.Deduplicated || res.DownloadID != existing.ID {
+				t.Errorf("ожидалось присоединение к desync-записи: %+v", res)
+			}
+			if res.State != s {
+				t.Errorf("состояние существующей записи должно вернуться как есть (%s), got %s", s, res.State)
+			}
+			if len(fs.created) != 0 {
+				t.Error("не должно создаваться новой задачи (близнеца)")
+			}
+		})
 	}
 }
 
-func TestIngestQbitErrorMarksFailed(t *testing.T) {
+// Быстрый дедуп-путь доносит существующей задаче недостающие хеши
+// гибридного magnet (иначе последующий приём по второму хешу создал бы
+// вторую активную задачу).
+func TestIngestDedupTopsUpHashes(t *testing.T) {
+	const v2 = "0123456789abcdef0123456789abcdef0123456789abcdef0123456789abcdef"
+	existing := &store.Download{
+		ID: "01hzzzexisting000000000000", State: store.StateCatched,
+		Infohashes: []store.Infohash{{DownloadID: "01hzzzexisting000000000000", Infohash: sampleInfohash, Kind: store.HashV1}},
+	}
+	fs := &fakeStore{active: existing}
+	res, err := newService(fs).Ingest(context.Background(),
+		Request{Source: sampleMagnet + "&xt=urn:btmh:1220" + v2})
+	if err != nil {
+		t.Fatalf("Ingest: %v", err)
+	}
+	if !res.Deduplicated {
+		t.Fatalf("ожидался дедуп: %+v", res)
+	}
+	if len(fs.toppedUp) != 2 {
+		t.Errorf("хеши не донесены существующей задаче: %v", fs.toppedUp)
+	}
+}
+
+// F8: пред-рид FindReingestBlockingByInfohash увидел активную задачу, но к моменту
+// создания она отменена (гонка с cancel). Активную запись пред-рид НЕ
+// короткозамыкает — авторитетное дедуп-решение принимает CreateDownloadIfNoActive
+// под BEGIN IMMEDIATE: активной больше нет → заводим свежую задачу, а не
+// возвращаем stale Deduplicated «уже в работе».
+func TestIngestActivePreReadNotShortCircuited(t *testing.T) {
+	stale := &store.Download{ID: "01hzzzstale00000000000000000", State: store.StateCatched}
+	fs := &raceStore{blocking: stale} // пред-рид видит активную; create-гард — уже нет
+	res, err := newService(fs).Ingest(context.Background(), Request{Source: sampleMagnet})
+	if err != nil {
+		t.Fatalf("Ingest: %v", err)
+	}
+	if res.Deduplicated {
+		t.Errorf("активный пред-рид не должен коротко замыкать дедуп: %+v", res)
+	}
+	if res.DownloadID == stale.ID || res.State != store.StateCatched {
+		t.Errorf("ожидалась свежая задача, а не stale: %+v", res)
+	}
+	if len(fs.created) != 1 {
+		t.Errorf("должна быть создана новая задача, created=%d", len(fs.created))
+	}
+}
+
+// F7: oversized `.torrent` — доменная ошибка размера класса ErrTorrentTooLarge
+// (транспорт транслирует в 400, а не 500). Задача не заводится.
+func TestIngestRejectsOversizedTorrent(t *testing.T) {
 	fs := &fakeStore{}
-	fq := &fakeQbt{err: errors.New("connection refused")}
-	res, err := newService(fs, fq).Ingest(context.Background(), Request{Source: sampleMagnet})
-	if err == nil {
-		t.Fatal("ожидалась ошибка")
+	big := make([]byte, MaxTorrentSize+1)
+	_, err := newService(fs).Ingest(context.Background(), Request{TorrentData: big})
+	if !errors.Is(err, ErrTorrentTooLarge) {
+		t.Fatalf("err = %v, want ErrTorrentTooLarge", err)
 	}
-	if res.State != store.StateFailed {
-		t.Errorf("state = %q, want failed", res.State)
+	if len(fs.created) != 0 {
+		t.Error("не должно быть записи задачи")
 	}
-	if len(fs.stateCalls) != 1 || fs.stateCalls[0].state != store.StateFailed {
-		t.Errorf("ожидался перевод в failed: %+v", fs.stateCalls)
+}
+
+// F10: контекст из веб-формы может быть огромным (multipart-бюджет на всё тело) —
+// Ingest режет его до MaxContextSize по границе руны (без U+FFFD) и метит маркером.
+func TestIngestCapsContext(t *testing.T) {
+	// «Ё» — 2 байта; ASCII-префикс сдвигает границу MaxContextSize на нечётный
+	// байт, чтобы обрезка s[:MaxContextSize] пришлась ВНУТРЬ двухбайтовой руны —
+	// тогда trimToRune реально срабатывает (иначе граница попадёт между рунами).
+	huge := "x" + strings.Repeat("Ё", MaxContextSize)
+	fs := &fakeStore{}
+	if _, err := newService(fs).Ingest(context.Background(), Request{Source: sampleMagnet, Context: huge}); err != nil {
+		t.Fatalf("Ingest: %v", err)
+	}
+	got := fs.created[0].Context
+	if len(got) > MaxContextSize+len(contextTruncMarker) {
+		t.Errorf("контекст не ограничен: %d байт", len(got))
+	}
+	if !strings.HasSuffix(got, contextTruncMarker) {
+		t.Errorf("нет маркера усечения: …%q", got[max(0, len(got)-40):])
+	}
+	if strings.ContainsRune(got, '�') {
+		t.Error("обрезка порвала руну (U+FFFD)")
 	}
 }
 
 func TestIngestRejectsNonMagnet(t *testing.T) {
 	fs := &fakeStore{}
-	fq := &fakeQbt{}
-	if _, err := newService(fs, fq).Ingest(context.Background(), Request{Source: "https://example.com/x.torrent"}); err == nil {
+	if _, err := newService(fs).Ingest(context.Background(), Request{Source: "https://example.com/x.torrent"}); err == nil {
 		t.Fatal("ожидалась ошибка для не-magnet источника")
 	}
-	if len(fs.created) != 0 || len(fq.added) != 0 {
-		t.Error("не должно быть ни записи, ни добавления")
+	if len(fs.created) != 0 {
+		t.Error("не должно быть записи задачи")
+	}
+}
+
+// Контракт приёма: на ЛЮБОМ пути ошибки транспорту возвращается НУЛЕВОЙ Result.
+// Транспорты на это опираются и не обещают идентификатора, которого нет
+// (см. ingest-спеку, «Результат приёма при ошибке пуст»). Сравниваем результат
+// с нулевым значением ЦЕЛИКОМ, а не по полю DownloadID: следующая ветвь отказа
+// может заполнить другое поле.
+func TestIngestReturnsZeroResultOnEveryErrorPath(t *testing.T) {
+	boom := errors.New("boom")
+	for _, tc := range []struct {
+		name string
+		fs   *fakeStore
+		req  Request
+	}{
+		{"невалидный источник", &fakeStore{}, Request{Source: "не magnet и не torrent"}},
+		{"сбой хранилища на дедуп-чеке", &fakeStore{lookupErr: boom}, Request{Source: sampleMagnet}},
+		{"сбой хранилища на заведении", &fakeStore{createErr: boom}, Request{Source: sampleMagnet}},
+	} {
+		t.Run(tc.name, func(t *testing.T) {
+			res, err := newService(tc.fs).Ingest(context.Background(), tc.req)
+			if err == nil {
+				t.Fatal("ожидалась ошибка")
+			}
+			if !reflect.DeepEqual(res, Result{}) {
+				t.Errorf("Result = %+v, want нулевой", res)
+			}
+		})
 	}
 }

internal/ingest/torrent_ingest_test.go

@@ -0,0 +1,180 @@
+package ingest
+
+import (
+	"bytes"
+	"context"
+	"crypto/sha1"
+	"encoding/hex"
+	"strings"
+	"testing"
+
+	"github.com/anacrolix/torrent/bencode"
+	"github.com/anacrolix/torrent/metainfo"
+
+	"git.vakhrushev.me/av/jellybit/internal/store"
+)
+
+// buildTorrent собирает валидные байты .torrent и ожидаемый v1-инфохэш.
+func buildTorrent(t *testing.T, name, announce string) (data []byte, infohash string) {
+	t.Helper()
+	info := metainfo.Info{Name: name, Length: 1024, PieceLength: 512, Pieces: make([]byte, 40)}
+	infoBytes, err := bencode.Marshal(info)
+	if err != nil {
+		t.Fatalf("marshal info: %v", err)
+	}
+	sum := sha1.Sum(infoBytes)
+	mi := metainfo.MetaInfo{InfoBytes: infoBytes, Announce: announce}
+	var buf bytes.Buffer
+	if err := mi.Write(&buf); err != nil {
+		t.Fatalf("write metainfo: %v", err)
+	}
+	return buf.Bytes(), hex.EncodeToString(sum[:])
+}
+
+func TestIngestTorrentFile(t *testing.T) {
+	data, wantHash := buildTorrent(t, "Dune.Part.Two.2024.mkv", "http://bt.rutracker.org/ann")
+	fs := &fakeStore{}
+	res, err := newService(fs).Ingest(context.Background(), Request{TorrentData: data, Context: "мой текст"})
+	if err != nil {
+		t.Fatalf("Ingest: %v", err)
+	}
+	if res.State != store.StateCatched || res.Deduplicated {
+		t.Errorf("res = %+v", res)
+	}
+	if len(res.Infohashes) != 1 || res.Infohashes[0] != wantHash {
+		t.Errorf("infohashes = %v, want [%s]", res.Infohashes, wantHash)
+	}
+	if len(fs.created) != 1 {
+		t.Fatalf("создано задач: %d", len(fs.created))
+	}
+	d := fs.created[0]
+	if d.SourceType != store.SourceTorrent {
+		t.Errorf("source_type = %q, want torrent", d.SourceType)
+	}
+	if d.SourceRef != "Dune.Part.Two.2024.mkv" {
+		t.Errorf("source_ref = %q (имя раздачи, не URL)", d.SourceRef)
+	}
+	// Контекст: текст пользователя первым, затем синтез из полей файла.
+	if !strings.HasPrefix(d.Context, "мой текст") {
+		t.Errorf("context не с текста пользователя: %q", d.Context)
+	}
+	if !strings.Contains(d.Context, "Dune.Part.Two") || !strings.Contains(d.Context, "rutracker.org") {
+		t.Errorf("context без синтеза из файла: %q", d.Context)
+	}
+	// Байты сохранены в транзакции создания.
+	if len(fs.blobs) != 1 || !bytes.Equal(fs.blobs[0], data) {
+		t.Errorf("байты .torrent не переданы в CreateDownloadIfNoActive")
+	}
+}
+
+func TestIngestTorrentDedupNoBlob(t *testing.T) {
+	data, _ := buildTorrent(t, "X", "http://t/ann")
+	// Активная задача уже есть → дедуп; байты писаться не должны.
+	fs := &fakeStore{active: &store.Download{ID: "existing", State: store.StateDownloading}}
+	res, err := newService(fs).Ingest(context.Background(), Request{TorrentData: data})
+	if err != nil {
+		t.Fatalf("Ingest: %v", err)
+	}
+	if !res.Deduplicated || res.DownloadID != "existing" {
+		t.Errorf("ожидался дедуп, res = %+v", res)
+	}
+	if len(fs.created) != 0 || len(fs.blobs) != 0 {
+		t.Errorf("при дедупе не должно быть создания/записи байтов")
+	}
+}
+
+// F6: дедуп .torrent на пойманную (catched) magnet-задачу вызывает апгрейд —
+// сохранение байтов и смену источника (magnet закрытого трекера иначе застрянет
+// в metaDL).
+func TestIngestTorrentUpgradesCatchedMagnet(t *testing.T) {
+	data, hash := buildTorrent(t, "Dune", "http://t/ann")
+	existing := &store.Download{
+		ID:         "cm",
+		State:      store.StateCatched,
+		SourceType: store.SourceMagnet,
+		Infohashes: []store.Infohash{{Infohash: hash, Kind: store.HashV1}},
+	}
+	fs := &fakeStore{active: existing, upgradeUp: true}
+	res, err := newService(fs).Ingest(context.Background(), Request{TorrentData: data})
+	if err != nil {
+		t.Fatalf("Ingest: %v", err)
+	}
+	if !res.Deduplicated || res.DownloadID != "cm" {
+		t.Errorf("ожидался дедуп на cm, res = %+v", res)
+	}
+	if fs.upgradeID != "cm" {
+		t.Errorf("апгрейд не вызван для существующей задачи (upgradeID=%q)", fs.upgradeID)
+	}
+	if !bytes.Equal(fs.upgradeBlob, data) {
+		t.Errorf("в апгрейд переданы не те байты")
+	}
+}
+
+// Дедуп magnet-ссылки (не .torrent) апгрейд не вызывает — нечего сохранять.
+func TestIngestMagnetDedupNoUpgrade(t *testing.T) {
+	existing := &store.Download{ID: "cm", State: store.StateCatched, SourceType: store.SourceMagnet}
+	fs := &fakeStore{active: existing}
+	if _, err := newService(fs).Ingest(context.Background(), Request{Source: sampleMagnet}); err != nil {
+		t.Fatalf("Ingest: %v", err)
+	}
+	if fs.upgradeID != "" {
+		t.Errorf("апгрейд не должен вызываться для magnet-дедупа")
+	}
+}
+
+func TestIngestTorrentTooLarge(t *testing.T) {
+	fs := &fakeStore{}
+	big := make([]byte, MaxTorrentSize+1)
+	_, err := newService(fs).Ingest(context.Background(), Request{TorrentData: big})
+	if err == nil {
+		t.Fatal("ожидалась ошибка превышения размера")
+	}
+	if len(fs.created) != 0 {
+		t.Errorf("при превышении размера задача не создаётся")
+	}
+}
+
+// У раздачи без содержательного имени source_ref берётся из имени файла.
+// Случая два, и они разные: раздача БЕЗ поля name (BestName() == "") и
+// раздача, объявившая вырожденное `-` (metainfo.NoName) — второй нормализует
+// разборщик, приём про него уже не знает.
+func TestIngestTorrentNameFallback(t *testing.T) {
+	for _, tc := range []struct {
+		name     string
+		infoName string
+	}{
+		{"без поля name", ""},
+		{"вырожденное имя", metainfo.NoName},
+	} {
+		t.Run(tc.name, func(t *testing.T) {
+			info := metainfo.Info{Name: tc.infoName, Length: 1024, PieceLength: 512, Pieces: make([]byte, 40)}
+			infoBytes, err := bencode.Marshal(info)
+			if err != nil {
+				t.Fatalf("marshal: %v", err)
+			}
+			mi := metainfo.MetaInfo{InfoBytes: infoBytes, Announce: "http://t/ann"}
+			var buf bytes.Buffer
+			if err := mi.Write(&buf); err != nil {
+				t.Fatalf("write: %v", err)
+			}
+
+			fs := &fakeStore{}
+			_, err = newService(fs).Ingest(context.Background(),
+				Request{TorrentData: buf.Bytes(), TorrentName: "Fallback.Name.torrent"})
+			if err != nil {
+				t.Fatalf("Ingest: %v", err)
+			}
+			if len(fs.created) != 1 || fs.created[0].SourceRef != "Fallback.Name.torrent" {
+				t.Errorf("source_ref = %q, want фолбек на имя файла", fs.created[0].SourceRef)
+			}
+		})
+	}
+}
+
+func TestIngestTorrentInvalid(t *testing.T) {
+	fs := &fakeStore{}
+	_, err := newService(fs).Ingest(context.Background(), Request{TorrentData: []byte("not a torrent")})
+	if err == nil {
+		t.Fatal("ожидалась ошибка разбора .torrent")
+	}
+}

internal/jellyfin/jellyfin.go

@@ -13,6 +13,9 @@ import (
 	"net/url"
 	"strings"
 	"time"
+
+	"git.vakhrushev.me/av/jellybit/internal/logctx"
+	"git.vakhrushev.me/av/jellybit/internal/logging"
 )
 
 const defaultTimeout = 10 * time.Second
@@ -77,17 +80,22 @@ func (c *Client) RefreshLibraries(ctx context.Context) error {
 	}
 	req.Header.Set("X-Emby-Token", c.apiKey)
 
-	start := time.Now()
+	log := logctx.FromOr(ctx, c.log)
+	call := logging.StartCall(logging.ServiceJellyfin, "library/refresh")
 	resp, err := c.hc.Do(req)
 	if err != nil {
+		call.Failure(log, err)
 		return fmt.Errorf("jellyfin: refresh: %w", err)
 	}
 	defer func() { _ = resp.Body.Close() }()
+	call.Status = resp.StatusCode
 	body, _ := io.ReadAll(io.LimitReader(resp.Body, 1<<10))
 	if resp.StatusCode < 200 || resp.StatusCode >= 300 {
-		return fmt.Errorf("jellyfin: refresh: status %d body %q",
+		err := fmt.Errorf("jellyfin: refresh: status %d body %q",
 			resp.StatusCode, strings.TrimSpace(string(body)))
+		call.Failure(log, err)
+		return err
 	}
-	c.log.Info("jellyfin: library refresh triggered", "duration", time.Since(start))
+	call.Success(log)
 	return nil
 }

internal/layout/layout.go

@@ -1,5 +1,5 @@
 // Package layout раскладывает распознанные файлы по конвенциям Jellyfin
-// хардлинками, не трогая исходную раздачу (см. docs/specs/jellyfin-layout.md).
+// хардлинками, не трогая исходную раздачу (см. openspec/specs/file-layout/spec.md).
 //
 // Инварианты безопасности (см. architecture.md → «Раскладка файлов»):
 //   - линкуем только файлы; целевые каталоги создаём mkdir;
@@ -20,7 +20,10 @@ import (
 	"log/slog"
 	"os"
 	"path/filepath"
+	"strings"
 	"syscall"
+
+	"git.vakhrushev.me/av/jellybit/internal/logctx"
 )
 
 // MediaType — вид контента.
@@ -66,7 +69,13 @@ type Plan struct {
 	Title       string
 	Year        int
 	ProviderTag string // напр. "tmdbid-693134"; пусто — без тега
-	Files       []PlanFile
+	// FolderBase — унаследованная от живого якоря база имени ("Название (Год)").
+	// Пусто → база печатается из Title/Year (первая загрузка тайтла). Непусто →
+	// перекрывает Title/Year и идёт и в папку, и в имена файлов (правило
+	// сходимости папки, см. file-layout spec). Provider-тег добавляется отдельно
+	// из ProviderTag.
+	FolderBase string
+	Files      []PlanFile
 }
 
 // Link — посчитанная пара источник → цель.
@@ -134,7 +143,7 @@ func (l *Layouter) BuildLinks(p Plan) ([]Link, error) {
 	if err != nil {
 		return nil, err
 	}
-	base, err := titleYear(p.Title, p.Year)
+	base, err := planBase(p)
 	if err != nil {
 		return nil, err
 	}
@@ -162,6 +171,11 @@ func (l *Layouter) BuildLinks(p Plan) ([]Link, error) {
 		if !underRoot(root, dst) {
 			return nil, fmt.Errorf("layout: target %q is outside library %q (file %q)", dst, root, f.Src)
 		}
+		// Длина проверяется ПОСЛЕ песочницы: путь, вышедший за библиотеку, —
+		// находка безопасности, и подменять её косметической причиной нельзя.
+		if err := checkComponentLengths(root, dst); err != nil {
+			return nil, err
+		}
 		links = append(links, Link{Src: f.Src, Dst: dst, Kind: kind})
 	}
 	if len(links) == 0 {
@@ -207,30 +221,73 @@ func (l *Layouter) seriesDst(root, folder, base string, f *PlanFile) (string, Ki
 	}
 }
 
+// TitleFolder разбирает целевой путь dst живой ссылки в папку тайтла и её базу
+// имени для правила сходимости (см. file-layout spec). Возвращает абсолютный
+// путь папки тайтла (первый сегмент под корнем библиотеки типа t), её базу
+// (снят хвостовой provider-тег) и ok. ok=false, если dst не под корнем нужной
+// библиотеки или база пуста — вызывающий трактует как «нет якоря». Существование
+// папки на диске здесь НЕ проверяется (это делает worker через os.Lstat).
+func (l *Layouter) TitleFolder(t MediaType, dst string) (dir, base string, ok bool) {
+	root, err := l.root(t)
+	if err != nil {
+		return "", "", false
+	}
+	dst = filepath.Clean(dst)
+	if !underRoot(root, dst) {
+		return "", "", false
+	}
+	rel, err := filepath.Rel(root, dst)
+	if err != nil {
+		return "", "", false
+	}
+	first, _, _ := strings.Cut(rel, string(filepath.Separator))
+	if first == "" || first == "." {
+		return "", "", false
+	}
+	base = folderBase(first)
+	if base == "" {
+		return "", "", false
+	}
+	return filepath.Join(root, first), base, true
+}
+
 // LinkStatus — исход создания одной ссылки.
 type LinkStatus string
 
 const (
-	StatusLinked    LinkStatus = "linked"    // хардлинк создан
-	StatusCopied    LinkStatus = "copied"    // хардлинк невозможен — файл скопирован (фолбэк)
-	StatusExists    LinkStatus = "exists"    // уже была (тот же inode) — идемпотентно
-	StatusCollision LinkStatus = "collision" // цель занята другим файлом
+	StatusLinked     LinkStatus = "linked"     // хардлинк создан
+	StatusCopied     LinkStatus = "copied"     // хардлинк невозможен — файл скопирован (фолбэк)
+	StatusExists     LinkStatus = "exists"     // уже была (тот же inode) — идемпотентно
+	StatusCollision  LinkStatus = "collision"  // цель занята другим файлом
+	StatusSuperseded LinkStatus = "superseded" // путь перехватила другая загрузка (см. state-reconciliation, владение путём)
 )
 
 // Result — итог по одной ссылке.
 type Result struct {
 	Link   Link
 	Status LinkStatus
+	Size   int64 // размер разложенного файла (байт); 0, если stat не удался
 }
 
 // ErrCollision — цель существует и это другой файл (нужен review).
 var ErrCollision = errors.New("layout: target collision")
 
+// ErrNameTooLong — компонент целевого пути длиннее предела длины имени
+// (maxComponentBytes). Проверяется в BuildLinks, до первой операции с ФС:
+// задача уходит в review с доменной причиной, а не в failed с текстом ядра.
+var ErrNameTooLong = errors.New("layout: имя не помещается")
+
+// ErrLastCopy — отказ снять ссылку, которая осталась последней копией данных
+// (источник недоступен или nlink<=1). Undo снимает лишний хардлинк, а не
+// единственный файл (см. state-reconciliation, инвариант безопасного Undo).
+var ErrLastCopy = errors.New("layout: refusing to remove last remaining copy")
+
 // Apply создаёт хардлинки по ссылкам. Идемпотентно: повтор после сбоя
 // доводит начатое. При коллизии (цель занята чужим файлом) возвращает
 // ErrCollision, не перезаписывая. Если хардлинк невозможен (разные ФС или ФС
 // не поддерживает link) — фолбэк на копирование файла с предупреждением в лог.
-func (l *Layouter) Apply(_ context.Context, links []Link) ([]Result, error) {
+func (l *Layouter) Apply(ctx context.Context, links []Link) ([]Result, error) {
+	log := logctx.FromOr(ctx, l.log)
 	results := make([]Result, 0, len(links))
 	for _, ln := range links {
 		root := l.movies
@@ -244,22 +301,32 @@ func (l *Layouter) Apply(_ context.Context, links []Link) ([]Result, error) {
 			return results, fmt.Errorf("layout: mkdir %q: %w", filepath.Dir(ln.Dst), err)
 		}
 
-		status, err := l.linkOne(ln.Src, ln.Dst)
+		status, err := l.linkOne(log, ln.Src, ln.Dst)
 		if err != nil {
-			l.log.Error("layout: link failed",
-				"src", ln.Src, "dst", ln.Dst, "kind", ln.Kind, "err", err)
+			log.Error("layout link failed",
+				"src", ln.Src, "dst", ln.Dst, "kind", ln.Kind, "error", err)
 			return results, err
 		}
-		l.log.Debug("layout: link applied",
+		log.Debug("layout link applied",
 			"src", ln.Src, "dst", ln.Dst, "kind", ln.Kind, "status", status)
-		results = append(results, Result{Link: ln, Status: status})
+		// Размер разложенного файла для показа в веб-UI (фолбэк размера раздачи,
+		// когда торрента нет в снимке). Best-effort: файл только что слинкован/
+		// скопирован/уже существовал — stat должен пройти; сбой не валит
+		// раскладку, размер остаётся 0.
+		var size int64
+		if fi, serr := os.Stat(ln.Dst); serr == nil {
+			size = fi.Size()
+		} else {
+			log.Debug("layout stat size failed", "dst", ln.Dst, "error", serr)
+		}
+		results = append(results, Result{Link: ln, Status: status, Size: size})
 	}
 	return results, nil
 }
 
 // linkOne создаёт одну ссылку, разбирая «уже существует» и невозможность
 // хардлинка (фолбэк на копирование).
-func (l *Layouter) linkOne(src, dst string) (LinkStatus, error) {
+func (l *Layouter) linkOne(log *slog.Logger, src, dst string) (LinkStatus, error) {
 	err := os.Link(src, dst)
 	if err == nil {
 		return StatusLinked, nil
@@ -279,8 +346,8 @@ func (l *Layouter) linkOne(src, dst string) (LinkStatus, error) {
 		// раскладку — копируем файл и предупреждаем: диск дублируется, но
 		// задача доходит до конца. dst здесь заведомо отсутствует (иначе был бы
 		// fs.ErrExist выше).
-		l.log.Warn("layout: hardlink unsupported, falling back to file copy",
-			"src", src, "dst", dst, "err", err)
+		log.Warn("layout hardlink unsupported, file copy fallback",
+			"src", src, "dst", dst, "error", err)
 		if cerr := copyFile(src, dst); cerr != nil {
 			return "", fmt.Errorf("layout: copy fallback %q → %q: %w", src, dst, cerr)
 		}
@@ -364,30 +431,114 @@ func sameFile(src, dst string) (bool, error) {
 // Undo удаляет ссылки и подчищает опустевшие каталоги. Снимает только пути
 // строго под библиотеками (источник недосягаем). Отсутствующая цель — не
 // ошибка (идемпотентно). Возвращает число удалённых ссылок.
-func (l *Layouter) Undo(_ context.Context, links []Link) (int, error) {
+//
+// Защита от потери данных: сперва предпроверка всего батча — если хоть одна
+// существующая цель оказывается последней копией (источник пропал или
+// nlink<=1), весь Undo отклоняется с ErrLastCopy и НИ ОДНА ссылка не
+// снимается (иначе частичный откат стёр бы часть данных). Так откат снимает
+// лишний хардлинк, а не единственный файл.
+func (l *Layouter) Undo(ctx context.Context, links []Link) (int, error) {
+	log := logctx.FromOr(ctx, l.log)
+
+	// Предпроверка: путь под библиотекой + не последняя копия.
+	for _, ln := range links {
+		if _, err := undoRoot(l, ln.Dst); err != nil {
+			return 0, err
+		}
+		fi, err := os.Lstat(ln.Dst)
+		if err != nil {
+			if errors.Is(err, fs.ErrNotExist) {
+				continue // цели уже нет — снимать нечего (идемпотентно)
+			}
+			return 0, fmt.Errorf("layout: undo stat %q: %w", ln.Dst, err)
+		}
+		last, err := isLastCopy(fi, ln.Src)
+		if err != nil {
+			return 0, fmt.Errorf("layout: undo check %q: %w", ln.Dst, err)
+		}
+		if last {
+			return 0, fmt.Errorf("%w: %q (источник %q недоступен)", ErrLastCopy, ln.Dst, ln.Src)
+		}
+	}
+
 	removed := 0
 	for _, ln := range links {
-		root := l.movies
-		if !underRoot(l.movies, ln.Dst) {
-			root = l.series
-		}
-		if !underRoot(root, ln.Dst) {
-			return removed, fmt.Errorf("layout: undo outside library: %q", ln.Dst)
+		root, err := undoRoot(l, ln.Dst)
+		if err != nil {
+			return removed, err
 		}
 		if err := os.Remove(ln.Dst); err != nil {
 			if errors.Is(err, fs.ErrNotExist) {
 				continue
 			}
-			l.log.Error("layout: undo remove failed", "dst", ln.Dst, "err", err)
+			log.Error("layout undo remove failed", "dst", ln.Dst, "error", err)
 			return removed, fmt.Errorf("layout: undo remove %q: %w", ln.Dst, err)
 		}
 		removed++
-		l.log.Debug("layout: link removed", "dst", ln.Dst)
+		log.Debug("layout link removed", "dst", ln.Dst)
 		pruneEmptyDirs(filepath.Dir(ln.Dst), root)
 	}
 	return removed, nil
 }
 
+// Remove снимает целевые ссылки БЕЗ гарда последней копии — в отличие от Undo,
+// который отказывается стирать единственную копию данных. Служит осознанному
+// удалению загрузки («освободить место»): снимает последнюю библиотечную ссылку,
+// даже если источник уже пропал. Как и Undo, трогает только пути строго под
+// библиотеками (источник недосягаем) и идемпотентен к отсутствующей цели.
+// Возвращает число удалённых ссылок.
+func (l *Layouter) Remove(ctx context.Context, links []Link) (int, error) {
+	log := logctx.FromOr(ctx, l.log)
+	removed := 0
+	for _, ln := range links {
+		root, err := undoRoot(l, ln.Dst)
+		if err != nil {
+			return removed, err
+		}
+		if err := os.Remove(ln.Dst); err != nil {
+			if errors.Is(err, fs.ErrNotExist) {
+				continue // цели уже нет — снимать нечего (идемпотентно)
+			}
+			log.Error("layout remove failed", "dst", ln.Dst, "error", err)
+			return removed, fmt.Errorf("layout: remove %q: %w", ln.Dst, err)
+		}
+		removed++
+		log.Debug("layout link removed (delete)", "dst", ln.Dst)
+		pruneEmptyDirs(filepath.Dir(ln.Dst), root)
+	}
+	return removed, nil
+}
+
+// undoRoot возвращает корень библиотеки, под которым лежит dst, либо ошибку,
+// если путь не под movies/series (откат трогает только библиотеку).
+func undoRoot(l *Layouter, dst string) (string, error) {
+	root := l.movies
+	if !underRoot(l.movies, dst) {
+		root = l.series
+	}
+	if !underRoot(root, dst) {
+		return "", fmt.Errorf("layout: undo outside library: %q", dst)
+	}
+	return root, nil
+}
+
+// isLastCopy сообщает, является ли цель последней копией данных: исходный файл
+// уже не существует, либо у цели не осталось других жёстких ссылок (nlink<=1).
+// В обоих случаях unlink цели уничтожил бы единственную копию.
+func isLastCopy(fi os.FileInfo, src string) (bool, error) {
+	if _, err := os.Lstat(src); err != nil {
+		if errors.Is(err, fs.ErrNotExist) {
+			return true, nil // источника нет — цель единственная копия
+		}
+		return false, fmt.Errorf("stat source %q: %w", src, err)
+	}
+	st, ok := fi.Sys().(*syscall.Stat_t)
+	if !ok {
+		return false, fmt.Errorf("unexpected stat type for %q", fi.Name())
+	}
+	return st.Nlink <= 1, nil
+}
+
 // pruneEmptyDirs удаляет опустевшие каталоги вверх до (не включая) root.
 // Ошибки игнорируются: непустой каталог os.Remove не удалит — это и нужно.
 func pruneEmptyDirs(dir, root string) {

internal/layout/layout_test.go

@@ -98,6 +98,78 @@ func TestBuildLinks_Series(t *testing.T) {
 	}
 }
 
+func TestBuildLinks_FolderBaseOverridesSeries(t *testing.T) {
+	f := newFixture(t)
+	// LLM дал «Fargo» 2017, но живой якорь — «Фарго (2014)». FolderBase должна
+	// перекрыть Title/Year и в папке, И в имени файла.
+	plan := Plan{
+		Type: Series, Title: "Fargo", Year: 2017, ProviderTag: "tvdbid-269613",
+		FolderBase: "Фарго (2014)",
+		Files: []PlanFile{
+			{Src: f.srcFile(t, "s/e1.mkv", "1"), Role: RoleEpisode, Season: intp(2), Episode: intp(1)},
+		},
+	}
+	links, err := f.l.BuildLinks(plan)
+	if err != nil {
+		t.Fatalf("BuildLinks: %v", err)
+	}
+	want := filepath.Join(f.series, "Фарго (2014) [tvdbid-269613]", "Season 02", "Фарго (2014) S02E01.mkv")
+	if links[0].Dst != want {
+		t.Errorf("ep = %q, want %q", links[0].Dst, want)
+	}
+}
+
+func TestBuildLinks_FolderBaseOverridesMovie(t *testing.T) {
+	f := newFixture(t)
+	plan := Plan{
+		Type: Movie, Title: "Dune", Year: 2021, ProviderTag: "tmdbid-693134",
+		FolderBase: "Дюна Часть вторая (2024)",
+		Files:      []PlanFile{{Src: f.srcFile(t, "m/f.mkv", "1"), Role: RoleMain}},
+	}
+	links, err := f.l.BuildLinks(plan)
+	if err != nil {
+		t.Fatalf("BuildLinks: %v", err)
+	}
+	want := filepath.Join(f.movies, "Дюна Часть вторая (2024) [tmdbid-693134]", "Дюна Часть вторая (2024).mkv")
+	if links[0].Dst != want {
+		t.Errorf("main = %q, want %q", links[0].Dst, want)
+	}
+}
+
+func TestTitleFolder(t *testing.T) {
+	f := newFixture(t)
+	epDst := filepath.Join(f.series, "Фарго (2014) [tvdbid-269613]", "Season 01", "Фарго (2014) S01E01.mkv")
+	dir, base, ok := f.l.TitleFolder(Series, epDst)
+	if !ok {
+		t.Fatal("want ok for path under series root")
+	}
+	if wantDir := filepath.Join(f.series, "Фарго (2014) [tvdbid-269613]"); dir != wantDir {
+		t.Errorf("dir = %q, want %q", dir, wantDir)
+	}
+	if base != "Фарго (2014)" {
+		t.Errorf("base = %q, want %q", base, "Фарго (2014)")
+	}
+
+	// Фильм: папка тайтла — первый сегмент, база без тега.
+	mvDst := filepath.Join(f.movies, "Dune (2024) [tmdbid-1]", "Dune (2024).mkv")
+	if dir, base, ok := f.l.TitleFolder(Movie, mvDst); !ok ||
+		dir != filepath.Join(f.movies, "Dune (2024) [tmdbid-1]") || base != "Dune (2024)" {
+		t.Errorf("movie: dir=%q base=%q ok=%v", dir, base, ok)
+	}
+
+	// Путь не под корнем нужной библиотеки → not ok.
+	if _, _, ok := f.l.TitleFolder(Series, mvDst); ok {
+		t.Error("movie path must not resolve under series root")
+	}
+	if _, _, ok := f.l.TitleFolder(Movie, "/etc/passwd"); ok {
+		t.Error("path outside library must be rejected")
+	}
+	// Сам корень (нет сегмента папки) → not ok.
+	if _, _, ok := f.l.TitleFolder(Movie, f.movies); ok {
+		t.Error("root itself has no title folder")
+	}
+}
+
 func TestBuildLinks_SeriesEpisodeWithoutNumber(t *testing.T) {
 	f := newFixture(t)
 	plan := Plan{
@@ -145,6 +217,9 @@ func TestApply_CreatesHardlink(t *testing.T) {
 	if len(res) != 1 || res[0].Status != StatusLinked {
 		t.Fatalf("res = %+v", res)
 	}
+	if res[0].Size != int64(len("data")) {
+		t.Errorf("res.Size = %d, want %d", res[0].Size, len("data"))
+	}
 	// Тот же inode, источник цел.
 	si, _ := os.Stat(src)
 	di, _ := os.Stat(links[0].Dst)
@@ -232,6 +307,60 @@ func TestUndo_RemovesLinksAndPrunesDirs(t *testing.T) {
 	}
 }
 
+func TestUndo_RefusesLastCopyWhenSourceGone(t *testing.T) {
+	f := newFixture(t)
+	links, _ := f.l.BuildLinks(Plan{Type: Movie, Title: "Film", Year: 2020,
+		Files: []PlanFile{{Src: f.srcFile(t, "m/film.mkv", "data"), Role: RoleMain}}})
+	if _, err := f.l.Apply(context.Background(), links); err != nil {
+		t.Fatal(err)
+	}
+	// Источник удалён (как при удалении раздачи из qBittorrent) → цель стала
+	// последней копией (nlink упал до 1).
+	if err := os.Remove(links[0].Src); err != nil {
+		t.Fatal(err)
+	}
+
+	n, err := f.l.Undo(context.Background(), links)
+	if !errors.Is(err, ErrLastCopy) {
+		t.Fatalf("err = %v, want ErrLastCopy", err)
+	}
+	if n != 0 {
+		t.Errorf("removed = %d, want 0 (ничего не сняли)", n)
+	}
+	// Цель НЕ удалена — данные целы.
+	if _, err := os.Stat(links[0].Dst); err != nil {
+		t.Errorf("target must remain (last copy): %v", err)
+	}
+}
+
+func TestUndo_RefusesWholeBatchIfAnyLastCopy(t *testing.T) {
+	f := newFixture(t)
+	links, _ := f.l.BuildLinks(Plan{Type: Series, Title: "Show", Year: 2021,
+		Files: []PlanFile{
+			{Src: f.srcFile(t, "s/e1.mkv", "1"), Role: RoleEpisode, Season: intp(1), Episode: intp(1)},
+			{Src: f.srcFile(t, "s/e2.mkv", "2"), Role: RoleEpisode, Season: intp(1), Episode: intp(2)},
+		}})
+	if _, err := f.l.Apply(context.Background(), links); err != nil {
+		t.Fatal(err)
+	}
+	// Источник второй серии пропал — весь батч должен быть отклонён целиком.
+	if err := os.Remove(links[1].Src); err != nil {
+		t.Fatal(err)
+	}
+
+	n, err := f.l.Undo(context.Background(), links)
+	if !errors.Is(err, ErrLastCopy) {
+		t.Fatalf("err = %v, want ErrLastCopy", err)
+	}
+	if n != 0 {
+		t.Errorf("removed = %d, want 0 (батч не трогаем)", n)
+	}
+	// Первая ссылка (источник жив) НЕ снята — частичного отката нет.
+	if _, err := os.Stat(links[0].Dst); err != nil {
+		t.Errorf("first target must remain (no partial undo): %v", err)
+	}
+}
+
 func TestUndo_Idempotent(t *testing.T) {
 	f := newFixture(t)
 	links, _ := f.l.BuildLinks(Plan{Type: Movie, Title: "Film", Year: 2020,

internal/layout/name.go

@@ -6,6 +6,53 @@ import (
 	"strings"
 )
 
+// maxComponentBytes — предел длины одного компонента целевого пути в БАЙТАХ
+// UTF-8, а не в символах: ядро меряет NAME_MAX в байтах, и кириллическое
+// название упирается в предел вдвое раньше латинского той же длины в знаках.
+// Значение — NAME_MAX у ext4/xfs/btrfs; у ядра оно не выясняется, потому что
+// раскладка обязана отказать до обращения к диску (см. spec file-layout).
+// Цена обеих сторон: на ФС с меньшим пределом (часть зашифрованных) имя пройдёт
+// проверку и упрётся в ядро — останется сегодняшний failed; на ФС с бо́льшим мы
+// откажем строже, чем нужно. Лечение — правка этой константы, а не настройка:
+// значение, которое некому выставить осознанно, не гибкость.
+const maxComponentBytes = 255
+
+// checkComponentLengths проверяет, что каждый компонент пути dst ПОД корнем
+// root помещается в maxComponentBytes. Корень не проверяется: его каталоги задаёт
+// оператор, и жаловаться на них раскладка не вправе. Возвращает ошибку,
+// обёртывающую ErrNameTooLong и называющую непомещающийся компонент и его длину.
+// Чистая функция: к диску не обращается.
+func checkComponentLengths(root, dst string) error {
+	rel, err := filepath.Rel(filepath.Clean(root), filepath.Clean(dst))
+	if err != nil {
+		return fmt.Errorf("layout: relative target %q: %w", dst, err)
+	}
+	for c := range strings.SplitSeq(rel, string(filepath.Separator)) {
+		if len(c) > maxComponentBytes {
+			return fmt.Errorf("%w: %q — %d байт при пределе %d",
+				ErrNameTooLong, shorten(c), len(c), maxComponentBytes)
+		}
+	}
+	return nil
+}
+
+// errNameSample — сколько рун непомещающегося имени показать в тексте ошибки.
+// Текст уезжает в error_msg, а оттуда в баннер ревью и в карточку Telegram:
+// имя целиком (а оно по условию длиннее 255 байт) заняло бы там весь экран.
+// Точную длину несёт число рядом, поэтому образца хватает, чтобы узнать имя.
+const errNameSample = 40
+
+// shorten оставляет от имени начало и конец, выкидывая середину. Режет по рунам:
+// обрыв посреди многобайтовой буквы дал бы в сообщении мусор.
+func shorten(s string) string {
+	r := []rune(s)
+	if len(r) <= errNameSample {
+		return s
+	}
+	head := errNameSample / 2
+	return string(r[:head]) + "…" + string(r[len(r)-head:])
+}
+
 // sanitizeComponent чистит один компонент пути (имя папки/файла): убирает
 // разделители, управляющие символы и неудобные для ФС/SMB знаки, схлопывает
 // пробелы и срезает точки/пробелы по краям. Кириллица и пробелы внутри
@@ -40,6 +87,20 @@ func titleYear(title string, year int) (string, error) {
 	return t, nil
 }
 
+// planBase выбирает базу имени плана: унаследованная от живого якоря
+// FolderBase (правило сходимости папки) перекрывает Title/Year. База в любом
+// случае санитизируется (FolderBase пришла с диска — прогон идемпотентен).
+func planBase(p Plan) (string, error) {
+	if p.FolderBase != "" {
+		b := sanitizeComponent(p.FolderBase)
+		if b == "" {
+			return "", fmt.Errorf("layout: empty folder base after sanitization (%q)", p.FolderBase)
+		}
+		return b, nil
+	}
+	return titleYear(p.Title, p.Year)
+}
+
 // folderName добавляет provider-тег к базе: "Название (Год) [tmdbid-123]".
 func folderName(base, providerTag string) string {
 	tag := sanitizeComponent(providerTag)
@@ -49,6 +110,19 @@ func folderName(base, providerTag string) string {
 	return fmt.Sprintf("%s [%s]", base, tag)
 }
 
+// folderBase восстанавливает базу имени ("Название (Год)") из имени папки
+// тайтла, снимая хвостовой provider-тег " [...]" (любой, а не только текущий:
+// у переоценённого якоря тег мог остаться старым). Тег без пробела перед "["
+// или незакрытый — не трогаем. Результат санитизируется; пустой → "" (вызывающий
+// трактует как «нет якоря»).
+func folderBase(folder string) string {
+	base := folder
+	if i := strings.LastIndex(folder, " ["); i >= 0 && strings.HasSuffix(folder, "]") {
+		base = folder[:i]
+	}
+	return sanitizeComponent(base)
+}
+
 // seasonFolder — "Season 00" (спецвыпуски) / "Season 01" / ...
 func seasonFolder(season int) string {
 	return fmt.Sprintf("Season %02d", season)

internal/layout/name_length_test.go

@@ -0,0 +1,250 @@
+package layout
+
+import (
+	"errors"
+	"os"
+	"path/filepath"
+	"strings"
+	"testing"
+)
+
+// countDirEntries считает всё, что появилось под корнем библиотеки: проверка
+// длины обязана отказать ДО первой операции с ФС, поэтому пусто — это часть
+// утверждения, а не гигиена.
+func countDirEntries(t *testing.T, root string) int {
+	t.Helper()
+	n := 0
+	err := filepath.WalkDir(root, func(p string, _ os.DirEntry, err error) error {
+		if err != nil {
+			return err
+		}
+		if p != root {
+			n++
+		}
+		return nil
+	})
+	if err != nil {
+		t.Fatal(err)
+	}
+	return n
+}
+
+// 2.1 Имя файла длиннее предела: отказ целиком, ни одного каталога на диске.
+func TestBuildLinks_FileNameTooLong(t *testing.T) {
+	f := newFixture(t)
+	src := f.srcFile(t, "long/movie.mkv", "x")
+	// Название впритык под папку, но имя файла = база + ".mkv".
+	title := strings.Repeat("a", maxComponentBytes-len(" (1999)"))
+	plan := Plan{
+		Type: Movie, Title: title, Year: 1999,
+		Files: []PlanFile{{Src: src, Role: RoleMain}},
+	}
+	links, err := f.l.BuildLinks(plan)
+	if !errors.Is(err, ErrNameTooLong) {
+		t.Fatalf("err = %v, want ErrNameTooLong", err)
+	}
+	if links != nil {
+		t.Errorf("links = %v, want nil (отказ целиком)", links)
+	}
+	if n := countDirEntries(t, f.movies); n != 0 {
+		t.Errorf("под movies появилось %d записей, ожидалось 0 (проверка до операций с ФС)", n)
+	}
+}
+
+// 2.2 Папка тайтла длиннее предела, хотя имя файла бы поместилось.
+func TestBuildLinks_FolderNameTooLong(t *testing.T) {
+	f := newFixture(t)
+	src := f.srcFile(t, "long/movie.mkv", "x")
+	// База помещается, но provider-тег выталкивает папку за предел; имя файла
+	// тега не несёт и остаётся коротким.
+	tag := "tmdbid-693134"
+	title := strings.Repeat("b", maxComponentBytes-len(" (1999)")-len(" [")-len(tag)-len("]"))
+	plan := Plan{
+		Type: Movie, Title: title, Year: 1999, ProviderTag: tag,
+		Files: []PlanFile{{Src: src, Role: RoleMain}},
+	}
+	if _, err := f.l.BuildLinks(plan); err != nil {
+		t.Fatalf("контроль: имя ровно в предел должно проходить, got %v", err)
+	}
+	plan.Title = title + "c" // +1 байт — папка перестаёт помещаться
+	_, err := f.l.BuildLinks(plan)
+	if !errors.Is(err, ErrNameTooLong) {
+		t.Fatalf("err = %v, want ErrNameTooLong", err)
+	}
+	if n := countDirEntries(t, f.movies); n != 0 {
+		t.Errorf("под movies появилось %d записей, ожидалось 0", n)
+	}
+}
+
+// 2.3 Предел меряется в БАЙТАХ, а не в рунах: кириллица упирается вдвое раньше.
+// Заодно граница 255/256.
+func TestBuildLinks_LimitIsBytesNotRunes(t *testing.T) {
+	f := newFixture(t)
+	src := f.srcFile(t, "long/movie.mkv", "x")
+
+	build := func(title string) error {
+		_, err := f.l.BuildLinks(Plan{
+			Type: Movie, Title: title,
+			Files: []PlanFile{{Src: src, Role: RoleMain}},
+		})
+		return err
+	}
+
+	const ext = ".mkv"
+	// Граница ровно на 255 байтах имени файла.
+	fit := strings.Repeat("a", maxComponentBytes-len(ext))
+	if err := build(fit); err != nil {
+		t.Fatalf("255 байт должны помещаться, got %v", err)
+	}
+	if err := build(fit + "a"); !errors.Is(err, ErrNameTooLong) {
+		t.Fatalf("256 байт: err = %v, want ErrNameTooLong", err)
+	}
+
+	// Столько же ЗНАКОВ кириллицей — вдвое больше байтов, отказ.
+	cyr := strings.Repeat("я", maxComponentBytes-len(ext))
+	if err := build(cyr); !errors.Is(err, ErrNameTooLong) {
+		t.Fatalf("кириллица той же длины в знаках: err = %v, want ErrNameTooLong "+
+			"(предел меряется в байтах)", err)
+	}
+	// Граница кириллицей — тоже по байтам. 125 букв = 250 байт, плюс ".mkv" = 254:
+	// помещается. Ещё одна буква даёт 256 — не помещается.
+	cyrFit := strings.Repeat("я", (maxComponentBytes-len(ext))/2)
+	if err := build(cyrFit); err != nil {
+		t.Fatalf("254 байта кириллицей должны помещаться, got %v", err)
+	}
+	if err := build(cyrFit + "я"); !errors.Is(err, ErrNameTooLong) {
+		t.Fatalf("256 байт кириллицей: err = %v, want ErrNameTooLong", err)
+	}
+}
+
+// 2.4 Приоритет: путь и вне библиотеки, и слишком длинный → отказ называет
+// выход за библиотеку, а не длину. Иначе находка безопасности спрячется за
+// косметической причиной.
+func TestBuildLinks_OutsideLibraryBeatsTooLong(t *testing.T) {
+	f := newFixture(t)
+	src := f.srcFile(t, "long/movie.mkv", "x")
+	// Санитизация режет разделители, поэтому traversal через Title недостижим;
+	// проверяем сам порядок на checkComponentLengths напрямую: путь вне корня
+	// до неё не доходит, а внутри корня — доходит.
+	outside := filepath.Join(filepath.Dir(f.movies), strings.Repeat("z", 300))
+	if underRoot(f.movies, outside) {
+		t.Fatal("подготовка теста неверна: путь обязан быть вне корня")
+	}
+	_, err := f.l.BuildLinks(Plan{
+		Type: Movie, Title: strings.Repeat("z", 300),
+		Files: []PlanFile{{Src: src, Role: RoleMain}},
+	})
+	if !errors.Is(err, ErrNameTooLong) {
+		t.Fatalf("внутри корня длинное имя даёт ErrNameTooLong, got %v", err)
+	}
+	// Прямая сверка порядка в BuildLinks: underRoot стоит раньше и его отказ
+	// формулируется своим текстом (см. layout.go).
+	if err := checkComponentLengths(f.movies, outside); !errors.Is(err, ErrNameTooLong) {
+		t.Fatalf("checkComponentLengths вне корня: %v", err)
+	}
+}
+
+// 2.7 Название не усекается: на непомещающемся входе ссылок нет вовсе, а не
+// возвращена усечённая. Усечение схлопнуло бы два разных названия в один каталог.
+func TestBuildLinks_NoTruncation(t *testing.T) {
+	f := newFixture(t)
+	src := f.srcFile(t, "long/movie.mkv", "x")
+	links, err := f.l.BuildLinks(Plan{
+		Type: Movie, Title: strings.Repeat("d", 400),
+		Files: []PlanFile{{Src: src, Role: RoleMain}},
+	})
+	if err == nil {
+		t.Fatalf("ожидался отказ, получено %d ссылок", len(links))
+	}
+	if len(links) != 0 {
+		t.Errorf("вернулось %d ссылок — усечение недопустимо", len(links))
+	}
+}
+
+// 2.8 Мерится финальный компонент, а не название: суффикс субтитров
+// дописывается после и обязан учитываться.
+func TestBuildLinks_SubtitleSuffixCounted(t *testing.T) {
+	f := newFixture(t)
+	video := f.srcFile(t, "long/ep.mkv", "x")
+	sub := f.srcFile(t, "long/ep.ru.srt", "y")
+	// База подобрана так, что видеофайл помещается, а субтитр с ".ru.forced.srt" —
+	// уже нет: разница ровно в длине суффикса.
+	const stem = " S01E02"
+	title := strings.Repeat("e", maxComponentBytes-len(stem)-len(".mkv"))
+	plan := Plan{
+		Type: Series, Title: title,
+		Files: []PlanFile{
+			{Src: video, Role: RoleEpisode, Season: intp(1), Episode: intp(2)},
+		},
+	}
+	if _, err := f.l.BuildLinks(plan); err != nil {
+		t.Fatalf("видеофайл впритык должен проходить, got %v", err)
+	}
+	plan.Files = append(plan.Files, PlanFile{
+		Src: sub, Role: RoleSubtitle, Season: intp(1), Episode: intp(2),
+		Lang: "ru", Flags: []string{"forced"},
+	})
+	if _, err := f.l.BuildLinks(plan); !errors.Is(err, ErrNameTooLong) {
+		t.Fatalf("субтитр с суффиксом обязан упереться: err = %v", err)
+	}
+}
+
+// 2.9 Вырожденные входы проверку не роняют.
+func TestCheckComponentLengths_Degenerate(t *testing.T) {
+	root := "/srv/media/movies"
+	cases := []string{
+		root + "/",
+		root + "/   ",
+		root + "/" + string([]byte{0xff, 0xfe, 0xfd}), // невалидный UTF-8
+		root + "/" + strings.Repeat("x", 1<<16),
+		root,
+	}
+	for _, dst := range cases {
+		// Требование одно: не паниковать и вернуть значение.
+		_ = checkComponentLengths(root, dst)
+	}
+	if err := checkComponentLengths(root, root+"/"+strings.Repeat("x", 1<<16)); !errors.Is(err, ErrNameTooLong) {
+		t.Error("очень длинный компонент обязан давать ErrNameTooLong")
+	}
+}
+
+// Корень библиотеки под проверку не попадает: его каталоги задаёт оператор.
+func TestCheckComponentLengths_RootNotChecked(t *testing.T) {
+	root := "/srv/" + strings.Repeat("r", 300)
+	if err := checkComponentLengths(root, root+"/Dune (2024)/Dune (2024).mkv"); err != nil {
+		t.Errorf("длинный корень не должен считаться отказом: %v", err)
+	}
+}
+
+// Нерасчислимый относительный путь (корень абсолютный, цель относительная) —
+// не отказ по длине, а отдельная ошибка: путать их нельзя, иначе диагноз соврёт.
+func TestCheckComponentLengths_UnrelatablePath(t *testing.T) {
+	err := checkComponentLengths("/srv/media/movies", "relative/path.mkv")
+	if err == nil {
+		t.Fatal("want error for unrelatable path")
+	}
+	if errors.Is(err, ErrNameTooLong) {
+		t.Errorf("нерасчислимый путь не должен выдаваться за отказ по длине: %v", err)
+	}
+}
+
+// shorten держит текст причины коротким: имя в сообщении усечено серединой, а
+// точную длину несёт число рядом. Короткое имя не трогается.
+func TestShorten(t *testing.T) {
+	short := strings.Repeat("a", errNameSample)
+	if got := shorten(short); got != short {
+		t.Errorf("имя в предел образца не должно меняться: %q", got)
+	}
+	long := strings.Repeat("я", 200)
+	got := shorten(long)
+	if r := []rune(got); len(r) != errNameSample+1 { // +1 — многоточие
+		t.Errorf("длина образца = %d рун, want %d", len(r), errNameSample+1)
+	}
+	if !strings.Contains(got, "…") {
+		t.Errorf("усечённое имя должно нести многоточие: %q", got)
+	}
+	// Режем по рунам: обрыв посреди буквы дал бы мусор вместо кириллицы.
+	if strings.ContainsRune(got, '�') {
+		t.Errorf("усечение разорвало руну: %q", got)
+	}
+}

internal/layout/name_test.go

@@ -47,6 +47,25 @@ func TestFolderName(t *testing.T) {
 	}
 }
 
+func TestFolderBase(t *testing.T) {
+	tests := []struct {
+		in, want string
+	}{
+		{"Фарго (2014) [tvdbid-269613]", "Фарго (2014)"},          // текущий тег
+		{"Fargo (2017) [tmdbid-123]", "Fargo (2017)"},             // чужой/старый тег снимается так же
+		{"No Tag (2020)", "No Tag (2020)"},                        // без тега — как есть
+		{"Bare Name", "Bare Name"},                                // без года и тега
+		{"Weird [not a tag", "Weird [not a tag"},                  // незакрытый — не трогаем
+		{"[tvdbid-1]", "[tvdbid-1]"},                              // нет " [" с пробелом — не тег
+		{"Movie (2020) [edition-Director's Cut]", "Movie (2020)"}, // снимается любой хвостовой [...]
+	}
+	for _, tt := range tests {
+		if got := folderBase(tt.in); got != tt.want {
+			t.Errorf("folderBase(%q) = %q, want %q", tt.in, got, tt.want)
+		}
+	}
+}
+
 func TestEpisodeStem(t *testing.T) {
 	if got := episodeStem("Fargo (2015)", 2, 1, 0); got != "Fargo (2015) S02E01" {
 		t.Errorf("got %q", got)

internal/llm/llm.go

@@ -1,6 +1,6 @@
 // Package llm — провайдер LLM за интерфейсом (дискриминатор type).
 //
-// Реализация выбирается полем [llm].type (см. docs/specs/recognition.md).
+// Реализация выбирается полем [llm].type (см. openspec/specs/recognition/spec.md).
 // Первый и пока единственный тип — "openai-compat": OpenAI-совместимый Chat
 // Completions API (локальные серверы LM Studio/llama.cpp/Ollama и облачные
 // совместимые провайдеры — DeepSeek, Qwen и др.).

internal/llm/openai.go

@@ -11,6 +11,9 @@ import (
 	"net/url"
 	"strings"
 	"time"
+
+	"git.vakhrushev.me/av/jellybit/internal/logctx"
+	"git.vakhrushev.me/av/jellybit/internal/logging"
 )
 
 const (
@@ -117,7 +120,7 @@ func (c *openAICompat) Complete(ctx context.Context, req Request) (Response, err
 		return Response{}, fmt.Errorf("llm: marshal request: %w", err)
 	}
 
-	var lastErr error
+	log := logctx.FromOr(ctx, c.log)
 	for attempt := 1; attempt <= maxAttempts; attempt++ {
 		if attempt > 1 {
 			if err := c.wait(ctx, attempt); err != nil {
@@ -125,31 +128,27 @@ func (c *openAICompat) Complete(ctx context.Context, req Request) (Response, err
 			}
 		}
 
-		c.log.Debug("llm: request",
-			"endpoint", c.endpoint, "model", c.model,
-			"attempt", attempt, "max_attempts", maxAttempts)
-		start := time.Now()
+		call := logging.StartCall(logging.ServiceLLM, "chat.completions")
+		call.Attempt = attempt
 		resp, retryable, err := c.do(ctx, body)
 		if err == nil {
-			c.log.Debug("llm: response ok",
-				"model", resp.Model, "attempt", attempt,
-				"duration", time.Since(start),
+			call.Success(log, "model", resp.Model,
 				"total_tokens", resp.Usage.TotalTokens, "cost", resp.Usage.Cost)
 			return resp, nil
 		}
-		lastErr = err
 		if !retryable {
-			c.log.Error("llm: request failed (non-retryable)",
-				"model", c.model, "attempt", attempt, "duration", time.Since(start), "err", err)
+			call.Failure(log, err, "model", c.model)
 			return Response{}, err
 		}
-		c.log.Warn("llm: request failed, will retry",
-			"model", c.model, "attempt", attempt, "max_attempts", maxAttempts,
-			"duration", time.Since(start), "err", err)
+		if attempt < maxAttempts {
+			call.Retry(log, err, "model", c.model)
+			continue
+		}
+		// Последняя попытка тоже неуспешна — ретраи исчерпаны.
+		call.Failure(log, err, "model", c.model)
+		return Response{}, fmt.Errorf("llm: exhausted %d attempts: %w", maxAttempts, err)
 	}
-	c.log.Error("llm: all attempts exhausted",
-		"model", c.model, "max_attempts", maxAttempts, "err", lastErr)
-	return Response{}, fmt.Errorf("llm: exhausted %d attempts: %w", maxAttempts, lastErr)
+	return Response{}, fmt.Errorf("llm: exhausted %d attempts", maxAttempts)
 }
 
 func (c *openAICompat) buildRequest(req Request) chatRequest {