Отмена доходит до внешнего собеседника, а токен не покидает единой точки

- контекст проложен от воркера и обоих входов до внешних вызовов: ffmpeg и
  ffprobe заводятся через exec.CommandContext, SpeechKit и Object Storage
  принимают ctx вместо context.Background, скачивание записи идёт запросом с
  контекстом. Прежде остановка сервиса не доходила до чужой работы вовсе
- прерванный шаг приговора не выносит: убитый по контексту ffmpeg отдаёт
  «signal: killed», от настоящего отказа неотличимо ни типом, ни errors.Is, и
  различает их только ctx.Err(). Задача остаётся на повтор, попытку не тратит и
  отправителю о несуществующем сбое не сообщает; воркер не считает остановку
  отказом, а задача не забирается вовсе, если нас уже остановили
- клиента Bot API заводит единая точка internal/adapter/telegram: токен стоит в
  пути каждого обращения, а http.Client кладёт адрес в *url.Error целиком.
  Чистка на месте употребления закрывала один вызов из пяти — теперь свой Do
  чистит отказ, подменённый логгер вычищает токен из строк самой библиотеки, а
  транспорт бота токена не получает вовсе
- принятие операции распознавания защищено от отмены своим пределом: SpeechKit
  мог её принять и начать считать деньги, а потерянный идентификатор заставил
  бы повтор оплатить ту же запись второй раз
- приём по HTTP доводит запись до задачи независимо от отправителя: на
  контексте запроса один обрыв соединения терял полностью загруженную запись
- ответ Telegram с не-2xx кодом больше не становится записью: прежде тело
  отказа доезжало до хранилища и умирало на ffprobe, уводя диагностику

internal/controller/tg/tg.go

@@ -1,6 +1,8 @@
 package tg
 
 import (
+	"context"
+	"errors"
 	"fmt"
 	"io"
 	"log/slog"
@@ -8,6 +10,12 @@ import (
 	"slices"
 	"strings"
 
+	// Транспорт знает адаптер Telegram ровно ради единой точки чистки отказа:
+	// второй экземпляр той же функции здесь был бы вторым способом делать одно
+	// и то же, а секрет в журнале — необратим. Направление «транспорт не знает
+	// адаптера» правилом не держится и уже нарушено HTTP-поверхностью
+	// (docs/conventions/go-linters.md, «Что остаётся прозой»).
+	"git.vakhrushev.me/av/transcriber/internal/adapter/telegram"
 	"git.vakhrushev.me/av/transcriber/internal/contract"
 	"git.vakhrushev.me/av/transcriber/internal/service"
 	tgbotapi "github.com/go-telegram-bot-api/telegram-bot-api/v5"
@@ -25,25 +33,22 @@ type TelegramController struct {
 }
 
 type TelegramConfig struct {
-	BotToken      string
 	UpdateTimeout int
 	UserWhiteList []string
 }
 
+// NewTelegramController принимает готового клиента, а не токен: клиента заводит
+// единая точка `internal/adapter/telegram`, и только её отказ не несёт секрета.
+// Токен сюда не приезжает вовсе — значит, и утечь отсюда ему неоткуда.
 func NewTelegramController(
 	config TelegramConfig,
+	bot *tgbotapi.BotAPI,
 	transcribeService *service.TranscribeService,
 	jobRepo contract.TranscriptJobRepository,
 	logger *slog.Logger,
 ) (*TelegramController, error) {
-	botToken := config.BotToken
-	if botToken == "" {
-		return nil, &EmptyBotTokenError{}
-	}
-
-	bot, err := tgbotapi.NewBotAPI(botToken)
-	if err != nil {
-		return nil, err
+	if bot == nil {
+		return nil, errors.New("telegram bot is not created")
 	}
 
 	controller := &TelegramController{
@@ -58,7 +63,11 @@ func NewTelegramController(
 	return controller, nil
 }
 
-func (c *TelegramController) Start() {
+// Start принимает контекст жизни процесса и отдаёт его каждому обработчику:
+// скачивание записи и разбор её метаданных — работа с внешним собеседником, и
+// остановка сервиса обязана до неё доходить. Приём обновлений контекстом не
+// правится: его прекращает Stop.
+func (c *TelegramController) Start(ctx context.Context) {
 	c.logger.Info("Telegram bot started", "username", c.bot.Self.UserName)
 
 	u := tgbotapi.NewUpdate(0)
@@ -94,11 +103,11 @@ func (c *TelegramController) Start() {
 
 		// Handle audio messages and files
 		if update.Message.Audio != nil {
-			c.handleAudioMessage(update.Message)
+			c.handleAudioMessage(ctx, update.Message)
 		} else if update.Message.Voice != nil {
-			c.handleVoiceMessage(update.Message)
+			c.handleVoiceMessage(ctx, update.Message)
 		} else if update.Message.Document != nil {
-			c.handleDocumentMessage(update.Message)
+			c.handleDocumentMessage(ctx, update.Message)
 		}
 	}
 }
@@ -148,7 +157,7 @@ func (c *TelegramController) handleHelpCommand(message *tgbotapi.Message) {
 	c.send(msg)
 }
 
-func (c *TelegramController) handleAudioMessage(message *tgbotapi.Message) {
+func (c *TelegramController) handleAudioMessage(ctx context.Context, message *tgbotapi.Message) {
 	// Отправляем сообщение о начале обработки
 	progressMsg := tgbotapi.NewMessage(message.Chat.ID, "Обрабатываю аудиофайл...")
 	progressMsg.ReplyToMessageID = message.MessageID
@@ -159,7 +168,7 @@ func (c *TelegramController) handleAudioMessage(message *tgbotapi.Message) {
 	}
 
 	// Скачиваем файл
-	fileReader, fileName, err := c.downloadAudioFile(message.Audio.FileID)
+	fileReader, fileName, err := c.downloadAudioFile(ctx, message.Audio.FileID)
 	if err != nil {
 		c.logger.Error("Failed to download audio file", "error", err)
 		errorMsg := tgbotapi.NewMessage(message.Chat.ID, "Ошибка при скачивании аудиофайла. Попробуйте еще раз.")
@@ -169,7 +178,7 @@ func (c *TelegramController) handleAudioMessage(message *tgbotapi.Message) {
 	defer fileReader.Close()
 
 	// Обрабатываем файл
-	job, err := c.transcribeService.CreateJobFromTelegram(fileReader, fileName, message.Chat.ID, sentProgressMsg.MessageID)
+	job, err := c.transcribeService.CreateJobFromTelegram(ctx, fileReader, fileName, message.Chat.ID, sentProgressMsg.MessageID)
 	if err != nil {
 		c.logger.Error("Failed to create transcribe job", "error", err)
 		errorMsg := tgbotapi.NewMessage(message.Chat.ID, "Ошибка при создании задачи на расшифровку. Попробуйте еще раз.")
@@ -183,7 +192,7 @@ func (c *TelegramController) handleAudioMessage(message *tgbotapi.Message) {
 	c.send(successMsg)
 }
 
-func (c *TelegramController) handleVoiceMessage(message *tgbotapi.Message) {
+func (c *TelegramController) handleVoiceMessage(ctx context.Context, message *tgbotapi.Message) {
 	// Отправляем сообщение о начале обработки
 	progressMsg := tgbotapi.NewMessage(message.Chat.ID, "Обрабатываю голосовое сообщение...")
 	progressMsg.ReplyToMessageID = message.MessageID
@@ -194,7 +203,7 @@ func (c *TelegramController) handleVoiceMessage(message *tgbotapi.Message) {
 	}
 
 	// Скачиваем файл
-	fileReader, fileName, err := c.downloadAudioFile(message.Voice.FileID)
+	fileReader, fileName, err := c.downloadAudioFile(ctx, message.Voice.FileID)
 	if err != nil {
 		c.logger.Error("Failed to download voice file", "error", err)
 		errorMsg := tgbotapi.NewMessage(message.Chat.ID, "Ошибка при скачивании голосового сообщения. Попробуйте еще раз.")
@@ -204,7 +213,7 @@ func (c *TelegramController) handleVoiceMessage(message *tgbotapi.Message) {
 	defer fileReader.Close()
 
 	// Обрабатываем файл
-	job, err := c.transcribeService.CreateJobFromTelegram(fileReader, fileName, message.Chat.ID, sentProgressMsg.MessageID)
+	job, err := c.transcribeService.CreateJobFromTelegram(ctx, fileReader, fileName, message.Chat.ID, sentProgressMsg.MessageID)
 	if err != nil {
 		c.logger.Error("Failed to create transcribe job", "error", err)
 		errorMsg := tgbotapi.NewMessage(message.Chat.ID, "Ошибка при создании задачи на расшифровку. Попробуйте еще раз.")
@@ -218,7 +227,7 @@ func (c *TelegramController) handleVoiceMessage(message *tgbotapi.Message) {
 	c.send(successMsg)
 }
 
-func (c *TelegramController) handleDocumentMessage(message *tgbotapi.Message) {
+func (c *TelegramController) handleDocumentMessage(ctx context.Context, message *tgbotapi.Message) {
 	// Проверяем, является ли документ аудиофайлом
 	if !c.isAudioDocument(message.Document) {
 		return
@@ -234,7 +243,7 @@ func (c *TelegramController) handleDocumentMessage(message *tgbotapi.Message) {
 	}
 
 	// Скачиваем файл
-	fileReader, fileName, err := c.downloadAudioFile(message.Document.FileID)
+	fileReader, fileName, err := c.downloadAudioFile(ctx, message.Document.FileID)
 	if err != nil {
 		c.logger.Error("Failed to download document file", "error", err)
 		errorMsg := tgbotapi.NewMessage(message.Chat.ID, "Ошибка при скачивании аудиофайла. Попробуйте еще раз.")
@@ -244,7 +253,7 @@ func (c *TelegramController) handleDocumentMessage(message *tgbotapi.Message) {
 	defer fileReader.Close()
 
 	// Обрабатываем файл
-	job, err := c.transcribeService.CreateJobFromTelegram(fileReader, fileName, message.Chat.ID, sentProgressMsg.MessageID)
+	job, err := c.transcribeService.CreateJobFromTelegram(ctx, fileReader, fileName, message.Chat.ID, sentProgressMsg.MessageID)
 	if err != nil {
 		c.logger.Error("Failed to create transcribe job", "error", err)
 		errorMsg := tgbotapi.NewMessage(message.Chat.ID, "Ошибка при создании задачи на расшифровку. Попробуйте еще раз.")
@@ -258,20 +267,41 @@ func (c *TelegramController) handleDocumentMessage(message *tgbotapi.Message) {
 	c.send(successMsg)
 }
 
-func (c *TelegramController) downloadAudioFile(fileID string) (io.ReadCloser, string, error) {
+func (c *TelegramController) downloadAudioFile(ctx context.Context, fileID string) (io.ReadCloser, string, error) {
 	// Получаем информацию о файле
 	file, err := c.bot.GetFile(tgbotapi.FileConfig{FileID: fileID})
 	if err != nil {
 		return nil, "", fmt.Errorf("failed to get file info: %w", err)
 	}
 
-	// Скачиваем файл
+	// Скачиваем файл. Запрос заводится с контекстом: скачивание шестичасовой
+	// записи иначе продолжается и после остановки сервиса, а ссылка на файл
+	// несёт токен бота — держать её живой дольше нужного незачем.
+	//
+	// Клиент берётся у бота, а не `http.DefaultClient`: у бота он свой, и его
+	// отказ уже не несёт адреса (`internal/adapter/telegram`, единая точка).
 	fileURL := file.Link(c.bot.Token)
-	resp, err := http.Get(fileURL)
+	request, err := http.NewRequestWithContext(ctx, http.MethodGet, fileURL, nil)
+	if err != nil {
+		return nil, "", fmt.Errorf("failed to build download request: %w", telegram.WithoutURL(err))
+	}
+
+	resp, err := c.bot.Client.Do(request)
 	if err != nil {
 		return nil, "", fmt.Errorf("failed to download file: %w", err)
 	}
 
+	// Отказ выдачи файла — это не запись. Без проверки телом «записи» станет
+	// JSON вида `{"ok":false,…}`: он доедет до хранилища, ляжет рабочей копией
+	// и умрёт на `ffprobe`, а отправитель получит жалобу на свой файл вместо
+	// правды о протухшей ссылке.
+	if resp.StatusCode != http.StatusOK {
+		if err := resp.Body.Close(); err != nil {
+			c.logger.Error("Failed to close download response", "error", err)
+		}
+		return nil, "", fmt.Errorf("failed to download file: unexpected status %d", resp.StatusCode)
+	}
+
 	// Получаем имя файла из URL
 	fileName := file.FilePath
 	if fileName == "" {