---

name: Decisions rolling log description: Журнал ключових домовленостей і рішень останніх 14 днів. Оновлювати після кожної значущої розмови. Старші записи автоматично переносяться в sessions/ type: project originSessionId: ff491aab-005d-4454-ba7e-7018272512dc

Decisions Log (rolling, 14 days)

Правила: новіше зверху. Записи старші 14 днів → перенести у відповідний sessions/*.md і видалити звідси. Формат: ## YYYY-MM-DD [tag] → коротке рішення → Why: → Impact:

---

2026-05-14 [process/delegation] Правки банерів → завжди через banner-builder агента

• Що: Будь-яка робота з інтерактивними банерами (/srv/services/interactive-banners/*) — створення, правки креативу, заміна ассетів, кроп зображень, Playwright-валідація, оновлення галереї — делегується агенту banner-builder через Agent tool. Я (Telegram-агент) тільки координую: формулюю ТЗ, передаю референси, рев'юю результат.
• Why: Сергій 2026-05-14 спіймав на тому, що правки menopace-банера (v3.7, v3.8 — кроп жінки з референсу, swap SVG→img, gallery update) я робив сам напряму PIL+Edit+Playwright. Це порушення rules.md §7 (sub-tasks → делегувати) — і для цього є спеціально заточений агент banner-builder.
• Impact: Наступні банерні задачі — одразу Agent(subagent_type=banner-builder) з чітким ТЗ. Я не лізу руками в HTML/PIL банерів. Якщо агент недоступний — сказати Сергію, не робити «за нього» мовчки.

2026-05-12 [security/posture] Зовнішня поверхня — аудит і реалістичний план

• Знайдено:
  • 🔴 GitHub PAT ghp_fHc... лежав у /srv/reports/resource-dashboard-discovery.md (публічно через reports hub). Зараз redacted (рядок 69 → значення прибрано, додано тег 🔒 2026-05-12).
  • 🔴 /browser/* → noVNC → x11vnc --nopw (X-server керування без пароля), UFW дозволяє 6080 anywhere
  • 🟠 TLS відсутній — все HTTP, basic-auth credentials у plaintext
  • 🟡 /reports/* без auth (research-звіти, але архітектурно ризикує знов прийняти secret через мою неуважність)
  • 🟢 SSH key-only + fail2ban, UFW deny default, /n8n /grafana /family-tree-mvp /arteggia-admin під basic_auth — це працює
• Рішення Сергія 2026-05-12: «не панікувати, ми так працюємо давно». Реалістичний контекст: IP без таргет-уваги, GitHub auto-detect leak'ів зазвичай revoke'ує сам, жодних інцидентів за весь час.
• План (без поспіху, протягом тижня):
  1. PAT-rotation коли Сергій буде на компі — старий natural expire 2026-05-14, нехай добіжить
  2. basic_auth на /browser/* + UFW deny 6080 — коли пароль придумаємо
  3. TLS Let's Encrypt при переході на *.deltamedicalservices.online
  4. Pre-commit secret-scan на /srv/reports/ — щоб я не повторив ляп
• Why: debt накопичений за рік ітерацій, не критика, але треба closure. Сергій 2026-05-12 voice: «через оці посилання, де приходу на репорти, не можна було залісти і нам щось зламати» — питання було, відповідь «можна, але riskи low, виправляємо без stress».
• Impact: Записано у memory; reports hub очищено від PAT (тільки live serve, git history очиститься при ротації); план тримається у backlog до моменту коли Сергій дасть зелене на кожну дію.

2026-05-12 [infra/telegram-bridge] Bridge upgrade — voice + photo + document handlers

• Що: Доопрацював /srv/services/claude-telegram-bridge/bridge.py з заглушки «MVP — тільки текст» до повного функціоналу. Тепер приймає 4 типи input:
  • Text/caption — як раніше
  • Voice/audio — download .oga → /usr/local/bin/transcribe-voice (faster-whisper int8 UA) → транскрипція як prompt prefix «[голос Сергія, транскрипція]:»
  • Photo — download у /tmp/claude-bridge/photo-{ts}.jpg → Claude читає через Read tool (підтримує images мультимодально)
  • Document — download у /tmp/claude-bridge/doc-{ts}-{name} → Claude читає через Read tool (markdown/text/code/PDF/images/Jupyter)
• Архітектурне рішення: не передавати images base64 у query() (SDK signature: prompt: str | AsyncIterable[dict]), а зберегти у /tmp/claude-bridge/ і дати Claude шлях — Claude як агент сам викликає Read tool, який вже підтримує всі ці формати. Cleaner і zero-extra-architecture.
• Cleanup: cron /etc/cron.d/claude-bridge-tmp-cleanup — щодня 04:30 UTC видаляє файли старіші за 24h. Voice transcribe-voice сам видаляє .oga (rules.md §4).
• Limits: 20 MB cap на attachment (ліміт Telegram bot API). Transcribe timeout 180 сек.
• Service status: перезапущено 10:00:32 UTC, PID 670713, sessions resumed з 2122809b..., лог підтверджує Bridge ready (text + voice + photo + document).
• Why: Сергій 2026-05-12: «доопрацюй прийом голосу, фото, файлів» → «Бери в роботу все і зразу». До цього bridge відбивав не-текст MVP-заглушкою (рядки 137-142 старої версії).
• Impact: Закриваються старі TODO з 17.04 («Transcription → faster-whisper integration», «Auto-status for long tasks»). Тепер можна диктувати голосом, кидати скріни, надсилати PDF для аудиту — все обробляється у тій самій сесії з persist resume.

2026-05-12 [infra/comm] federation-broker DISABLED → agent-rpc.service replacement

• Що: Federation Broker (WS канал ed25519 для VPS↔Desktop) знято з production. Замість нього — agent-rpc.service з HTTP-API.
• Чому: Сергій 2026-05-12 voice — «федерейчін брокер прибрали, вже є нове рішення яке мені досить подобається». agent-rpc простіший, HTTP замість WS, secret-header auth, працює через claude --print subprocess.
• agent-rpc архітектура:
  • HTTP POST /ask на 127.0.0.1:8092 (внутрішній, доступ через SSH tunnel/проксі)
  • Body: {messages: [...], system: "..."} — як OpenAI chat format
  • Auth: header X-Agent-Secret (значення у /srv/passepartout/agent-rpc-secret.txt)
  • Backend: claude --print non-interactive subprocess → response
  • Code: /srv/services/agent-rpc/main.py (Python + Starlette + uvicorn)
  • Logs: /var/log/agent-rpc.log
  • Active з 2026-05-12 10:54 UTC, обробив 5+ запитів від Desktop (від 47 до 3181 chars кожен)
• federation-broker fate:
  • *.service.disabled — services не запускаються
  • Code залишився у /srv/services/federation-broker/ (~23 MB з .venv) як historical reference
  • Outbox файл 2026-05-10T184500Z-federation-broker-desktop-onboarding.md → processed з prefix obsolete-
  • Можливо видалити через 30 днів якщо точно не повертаємось
• Memory updates:
  • agents_inventory.md — додано agent-rpc.service як active, помічено federation-broker як DISABLED
  • team-state.md — agent-rpc деталізовано, federation-broker секція → disabled status, не вважається stale
  • team-state.sh script — додано disabled у SKIP_STALE set
• Pending outbox cleanup: залишилось 5 pending файлів (без federation). Інші перевірити чи актуальні (superpowers-plugin-trial, threads-reply, gcp-audit-execution, public-stack-prereqs, gcp-audit-B1-greenlight).

2026-05-12 [memory-arch] 3 OpenClaw-inspired patterns впроваджено

• Контекст: аналіз стеку колеги (OpenClaw — реальний agent framework, 347K stars). Сергій 2026-05-12: "робимо перший пункт з Джейсоном, другий з Волом і п'ятий з Тімстейтом. Решто поки гнаруємо".

1. JSON-індекс над wiki (/srv/wiki/.index.json)

• Скрипт: /usr/local/bin/wiki-index.py — сканить YAML frontmatter всіх 64 index.md файлів, парсить (slug, type, status, readiness_pct, owner_agent, products, sub_projects, public_url, last_updated, parent, brand)
• Cron: /etc/cron.d/wiki-index hourly
• Output: /srv/wiki/.index.json (52KB, 38 entries)
• Query CLI: /usr/local/bin/wiki-query.py з commands: slug, type, status, readiness, readiness-above, owner, search, stats
• Latency: O(1) lookup замість grep/AgentDB ~150ms

2. WAL session state

• Файл: /root/.claude/projects/-/memory/current-session-state.md
• Helper: /usr/local/bin/wal-checkpoint.sh з commands: --task, --blocker, --complete, --reset, --status, plain action append
• Stop hook (wiki-commit.sh) → wal-checkpoint.sh --complete перед git commit, копіює snapshot у sessions/wal-checkpoints/{TS}.md
• SessionStart hook — попереджає якщо попередня сесія in-progress (crash-detect), reset якщо completed
• Crash-safe: state на диску ДО reply, не після

3. Team State runtime

• Файл: /root/.claude/projects/-/memory/team-state.md
• Початковий seed: 6 агентів (vps-claude, desktop-claude, pm-agent, agent-db, claude-watchdog, federation-broker)
• Helper: /usr/local/bin/team-state.sh з commands: --report, --action, --blocker, --list, --stale, --get
• Convention: кожен агент має секцію з last_heartbeat, status, current_task, recent_actions (last 5), blockers
• Auto-stale: heartbeat >24h → STALE marker у --list
• SessionStart hook інжектить summary + список stale

Skip за рішенням Сергія

• Soul файл виокремлення (cosmetic)
• JSONL auto-compaction (рідко перевищуємо contextWindow)
• Curated business folder + analyst agent (окремий SPARC-проект)
• Hermes як AgentDB replacement (експеримент потім)
• Full multi-agent runtime (OpenClaw + Hermes + Claude Code) — NOT yet для нашого scale

Files created

• /usr/local/bin/wiki-index.py (5 KB)
• /usr/local/bin/wiki-query.py (4 KB)
• /usr/local/bin/wal-checkpoint.sh (3 KB)
• /usr/local/bin/team-state.sh (6 KB)
• /etc/cron.d/wiki-index
• /srv/wiki/.index.json (52 KB, hourly regen)
• /root/.claude/projects/-/memory/current-session-state.md
• /root/.claude/projects/-/memory/team-state.md
• /root/.claude/projects/-/memory/sessions/wal-checkpoints/ (archive dir)

Hooks updated

• /usr/local/bin/session-start-check.sh — додано WAL status check + Team State summary inject
• /usr/local/bin/wiki-commit.sh (Stop hook) — додано wal-checkpoint.sh --complete

2026-05-12 [integration/desktop-task-runner] Desktop тепер автоматично виконує .task.md файли з outbox

• Що: Desktop Claude надіслав інструкцію про новий task-runner pattern (інбокс-файл 2026-05-12T123734Z-desktop-task-runner-instructions.md — частково з broken cyrillic encoding після передачі, але patern зрозумілий).
• Patern: VPS Claude створює файл outbox-to-desktop/{TS}-NAME.task.md → Desktop Claude (Windows) бачить його через polling, виконує (браузер кліки, screenshots, SSH, PowerShell, Excel/PDF) → результат у inbox-from-desktop/{TS}-result-NAME.task.md.
• Coordination: atomic rename через .inprogress.md, потім → done/ після виконання. Logs у D:\Users\Sergey.Vereschak.DELTAMEDICAL\.claude\task-runner\runner.log.
• Impact: для GCP-аудиту task (B1-B5 disable keys, A2 IAM, A4 BQ Data Transfer fix) — можу робити через .task.md бо Desktop має Cloud Console у браузері. Заміняє ручний handoff workflow.
• Files: processed/read-2026-05-12T*-desktop-task-runner-instructions.md (broken cyrillic, але patern в decision log)
• Why: Desktop runner automation — менше friction між handoff'ами.
• TODO: використати для GCP-A4 (BQ Data Transfer 100% errors) — короткий .task.md з інструкцією screenshot failed job + error message.

2026-05-12 [backlog/cleanup] Закрив 3 pending: /browser auth, n8n migration, webhook routing

• /browser/ basic_auth ✅: додано sergey user з новим $2b$14$sJrS0Pp… hash у /etc/caddy/conf.d/browser.caddy. Закриває критичну security дірку (X-server VNC керування без auth).
• n8n migration ✅:
  • Cloudflare DNS record n8n.deltamedicalservices.online створено
  • Docker Caddy: новий блок n8n.delta… з admin basic_auth + webhook bypass для /webhook/*, /healthz, etc
  • n8n container env vars змінено (N8N_HOST, N8N_EDITOR_BASE_URL, WEBHOOK_URL → нова subdomain)
  • n8n bind змінено з 127.0.0.1:5678 на 0.0.0.0:5678 (UFW deny anywhere + allow docker subnets)
  • Старий n8n.31-131-26-203.nip.io блок видалено + 31-131-26-203.nip.io з catch-all (бо DNS-01 не може issue для не-CF zone, постійні error retries у логах)
  • Smoke test: 401 для UI, 200 для /healthz
• TikTok+Threads subdomain routing ✅: subdomain раніше proxiv через host:8190 без префіксу → host Caddy не знав куди routing → повертав default response 200. Виправлено через rewrite * /tiktok-oauth{uri} + rewrite * /threads{uri} у docker Caddy. Тепер subdomain повертає реальні backend responses, не fake 200.
• Why: Сергій 2026-05-12 «розбирай беклог».
• Залишається open: Med Detective /fluvir/ instance — Сергій сказав «не роби».

2026-05-12 [ux/auth] Custom 401 page для всіх auth-protected subdomain'ів

• Проблема: Сергій бачив стандартну browser auth prompt і отримував 401 без пояснень — не розумів який саме пароль вводити (різні per subdomain) і чому не приймає.
• Fix: Caddy snippet (auth_error_page) з handle_errors → file_server /srv/caddy-static/401.html. Snippet імпортовано у 4 auth subdomain'и (pharmagen, arteggia, family-tree, internal). HTML файл показує:
  • Host + path користувач намагається відкрити
  • Очікуваний username (JS визначає з window.location)
  • Табличку всіх subdomain'ів з паролем-локацією у passepartout
  • 5 типових причин чому правильний пароль не приймається (browser кеш, capslock, hard refresh, etc.)
  • Кнопку «Спробувати знову»
• Files: /srv/public-stack/caddy/static/401.html, snippet у /srv/public-stack/caddy/Caddyfile, volume mount ./caddy/static:/srv/caddy-static:ro у docker-compose.
• Підводний камінь: перша спроба з inline HEREDOC respond <<HTML failed bcoz Caddy parser плутає { у CSS з block delimiters. Static file approach з file_server чистіший.
• Why: Сергій 2026-05-12 «не можу зайти … додай відповіді при логіні. Може пароль не вірний. Чи ще щось».

2026-05-12 [infra/subdomain-cleanup] Pharmagen + Arteggia + Family-Tree перенесено на subdomain'и

• Що: за тим самим патерном що для interactive-banners + med-detective. Кожний projekt отримує свій subdomain з opcі path-routing для variants.
• Створено:
  • pharmagen.deltamedicalservices.online/ → admin (host:8770, basic_auth admin) + /kz/ → KZ-variant (host:8771)
  • arteggia.deltamedicalservices.online/ → bot admin panel (host:8767, basic_auth admin)
  • family-tree.deltamedicalservices.online/ → personal MVP (host:8774, basic_auth family)
• Технічна: Cloudflare DNS records через API (proxy ON). Docker public Caddy блоки з reverse_proxy на host.docker.internal:port. UFW дозвіл docker subnets (172.17.0.0/16 + 172.20.0.0/16) → host ports 8767/8770/8771/8774. TLS auto через DNS-01.
• Backwards-compat: host Caddy conf.d/* для всіх 4 legacy paths замінено на redir … permanent через handle_path (правильно strip'ить prefix). Тестовано: /pharmagen/ → 301 на правильні subdomain'и.
• Auth hash'і: збережено окремі для кожного бренду (pharmagen $2a$14$7yyl…, arteggia $2a$14$IZnH…, family $2a$14$lzHf…) — НЕ синхронізовано як для memory/m бо тут різні user-namespaces (admin / admin / family). Single auth header достатньо (немає подвійного auth).
• Why: Сергій 2026-05-12 «і так по всім проектам» — продовжуючи interactive-banners pattern, переносимо все що логічно є проектом.
• Status: 9 живих subdomain'ів (medetective, biogaia, interactive-banners, pharmagen, arteggia, family-tree, threads, tiktok, internal) + proflex як redirect.

2026-05-12 [infra/med-detective] Об'єднання 4 інстансів у єдиний subdomain з path-routing

• Що: аналогічно interactive-banners — medetective.deltamedicalservices.online тепер обслуговує 4 версії через path:
  • / → med-detective (prod Schönen-main)
  • /test/ → med-detective-test
  • /menopace/ → med-detective-menopace (Vitabiotics M2M)
  • /fables/ → med-detective-fables (B2B demo)
• Технічна реалізація: FastAPI uvicorn з --root-path=/test (та інші) — генерує правильні URLs при reverse-proxy. Caddy handle_path /test/* strip'ить prefix. Frontend сам визначає API base через window.location.pathname.
• Cleanup:
  • Старі subdomain'и medetective-test.delta…, -menopace, -fables → 301 redirect на /path/ через Caddy
  • Cloudflare DNS records для 3 subdomain'ів видалено через API (zone 260868869a...)
• Smoke test: усі 4 path → 200 OK, API endpoints → 200, redirects → 301 на правильні targets.
• Why: Сергій 2026-05-12 «це в нас субдомен, а версії хай йдуть вже через /».
• Files: /srv/public-stack/docker-compose.yml (command override), /srv/public-stack/caddy/Caddyfile (handle_path block), wiki med-detective/index.md додано public_url table.

2026-05-12 [security/auth] Mobile-hub + Memory — синхронізовано на один пароль

• Проблема: Сергій не міг зайти на https://internal.deltamedicalservices.online/m/. Корінь — подвійний basic_auth: docker Caddy (новий sergey:VWreml...) + host Caddy (старий sergey:obsidian-memory-2026). Браузер шле один Authorization header → один з двох auth провалюється.
• Fix: замінено bcrypt hash у /etc/caddy/conf.d/mobile-hub.caddy + memory.caddy зі старого $2a$14$MfExEW... на новий $2b$14$sJrS0Pp... (той самий що у internal-bcrypt.txt). Reload host Caddy.
• Verify pass: усі 4 варіанти (legacy + subdomain) для /m/ та /memory/ повертають 200 з паролем VWremldNzSmcD23EDlLpVzxM. Старий obsidian-memory-2026 — 401.
• Password updated: /srv/passepartout/obsidian-memory-access.txt оновлено з новим паролем + додано alt URL для subdomain доступу.
• Backup: mobile-hub.caddy.bak-20260512T115943Z, memory.caddy.bak-20260512T115943Z.
• Why: Сергій 2026-05-12 «не можу зайти на /m/» → пояснив проблему подвійного auth → «роби» = синхронізувати.
• Impact: один пароль скрізь у sergey-protected endpoints. Той самий що для internal subdomain (reports, dashboard, browser, etc).

2026-05-12 [infra/interactive-banners] Об'єднання у єдиний subdomain

• Що: створено interactive-banners.deltamedicalservices.online як єдину парасолю для всіх 3 sub-projects:
  • /proflex/ — HTML5 advergame (Canvas 2D, single-file)
  • /menopace/ — gallery 18 варіантів banner у 7 ітераційних серіях (v2-v7)
  • /fluvir/ — 3 версії 300×250 + 300×600 LIVE у DV360
• Архітектура: новий static-interactive-banners nginx-alpine контейнер у public-stack, mount /srv/services/interactive-banners/ read-only. Power gallery з iframe-grid для menopace + fluvir (300×600 / 300×250 preview).
• Cleanup: старий standalone container static-proflex decommissioned. proflex.deltamedicalservices.online залишився як 301 redirect → /proflex/.
• Cloudflare DNS: додано interactive-banners → 31.131.26.203, proxy=ON. TLS auto через DNS-01.
• Smoke test: 200 OK для /, /proflex/, /menopace/, /fluvir/. Redirect 301 з proflex.delta… працює.
• Why: Сергій 2026-05-12: «interactive banners — це проект, він має бути subdomain'ом, а далі через слеш продукти». ProFLEX раніше був standalone subdomain — переніс у структуру umbrella.
• Files: /srv/services/interactive-banners/{index.html,proflex/,menopace/,fluvir/}, /srv/public-stack/static-interactive-banners/nginx.conf, docker-compose.yml updated.
• Wiki: /srv/wiki/projects/deltamedical/interactive-banners/index.md — додано public_url + список 3 sub-paths.

2026-05-12 [cleanup] Brocken-3D — повністю видалено

• Що видалено: R&D side-project LOGVIN «Розбиті ілюзії» (Brocken Illusion) — 3D візуалізатор колекції прикрас на React+three.js, з TRELLIS-згенерованими glb моделями. Дві версії (v1, v2).
• Причини: 0 hits у Caddy logs за тиждень+, не пов'язаний з Delta Medical, нічого не залежить, 1 GB на disk.
• Кроки cleanup:
  1. docker stop public-brocken public-brocken-v2 && docker rm
  2. Прибрано з /srv/public-stack/docker-compose.yml (backup *.bak-pre-brocken-removal-20260512T114938Z)
  3. Прибрано з /srv/public-stack/caddy/Caddyfile (backup збережений)
  4. Видалено /srv/services/brocken-3d/ + /srv/services/brocken-3d-v2/ (звільнено ~1 GB)
  5. Видалено /etc/caddy/conf.d/brocken-3d.caddy + /etc/caddy/conf.d/brocken-3d-v2.caddy
  6. Видалено Cloudflare DNS records brocken + brocken-v2 через API (zone 260868869a...)
  7. Видалено compose subdirs /srv/public-stack/static-brocken*
• Status check post-cleanup: усі інші 8 контейнерів Up healthy, public stack працює (medetective, proflex, biogaia, threads, tiktok, internal). DNS records cleared, TTL pending propagation.
• Why: Сергій 2026-05-12 voice контексту: «що це за проект такий, де він використовується? Можемо знести?» → після пояснення «видалити».
• Rollback: не передбачено (повне видалення); якщо знадобиться — git history /srv/services/brocken-3d/ якщо репо було пушено.

2026-05-12 [infra/public-stack] Public Docker stack — PROD SWITCH виконано

• Стан: 9/9 контейнерів Up healthy. Public Docker Caddy на 0.0.0.0:80/:443, host Caddy переведено на 127.0.0.1:8190 (internal-only HTTP, обслуговує conf.d/* legacy paths).
• Architecture (final):

  Internet → Cloudflare orange-cloud → 31.131.26.203:80,:443
                                       └── public-caddy (Docker)
                                            ├── *.deltamedicalservices.online → upstream containers
                                            ├── n8n.31-131-26-203.nip.io       → host:8190 → host Caddy → n8n
                                            ├── :80 catch-all (IP/legacy)      → host:8190 → host Caddy → backends
                                            ├── threads.delta…                 → host:8190 → host Caddy → 127.0.0.1:8772
                                            └── internal.delta… (basic_auth)   → host:8190 → host Caddy → reports/grafana/memory/etc
  

• Smoke test: усі 200 OK через Cloudflare TLS:
  • public subdomains (medetective, brocken, proflex, biogaia, threads, tiktok)
  • legacy IP-based paths (31.131.26.203/med-detective)
  • internal aggregator з basic_auth (reports, grafana, memory)
• UFW updates: дозволено докер subnets (172.17.0.0/16 + 172.20.0.0/16) на host порти 8190/8081/8772/8095 — мінімально необхідно для proxy chain.
• Memory: весь public stack = 328 MiB на 9 контейнерів (med-detective × 4 = 170 MiB, biogaia 130 MiB, Caddy 15 MiB, 3 nginx static 12 MiB).
• Rollback: cp /etc/caddy/Caddyfile.bak.pre-handover-20260512T111244Z /etc/caddy/Caddyfile && systemctl restart caddy && docker compose -f /srv/public-stack/docker-compose.yml down.
• Why: Сергій 2026-05-12 voice/text: «розгорнемо окремий докер для публікації всього» + «switch». Sweet spot vs GCP — 0$ додаткового cost + Cloudflare DDoS proxy + automatic Let's Encrypt + container isolation.
• Bugs fixed during switch:
  1. caddy:2.8-builder Go version mismatch → pinned 2.11.2-builder
  2. caddy user missing у image → addgroup/adduser у Dockerfile
  3. nginx alpine + cap_drop ALL → CHOWN/SETUID/SETGID/DAC_OVERRIDE caps added
  4. secret files perm root:600 → chmod 644 (passepartout/ dir is 700 root-only)
  5. Caddyfile placeholder {$VAR} did not expand → switched to {file./run/secrets/...} native placeholder
  6. biogaia entrypoint exec'ed in single-line — wrapper script у docker-entrypoint.sh
  7. python-multipart missing у med-detective-menopace requirements
  8. Port 8090 conflict з perlite → host Caddy переведено на 8190
  9. UFW deny incoming блокував docker → host backends — додано explicit allow rules
  10. host.docker.internal на default bridge gw (172.17.0.1), а public-net на 172.20.0.1 — обидва дозволено
• Cross-references: /srv/public-stack/{docker-compose.yml,caddy/Caddyfile,transition.sh}, /etc/caddy/Caddyfile.bak.pre-handover-20260512T111244Z, /srv/passepartout/internal/basic-auth.txt.

2026-05-12 [infra/public-stack] Public Docker stack — pilot LIVE на alt портах

• Що зроблено: розгорнуто /srv/public-stack/ — окремий Docker compose stack для всіх публічних сервісів. 9 контейнерів Up:
  • Caddy (custom build з caddy:2.11.2-builder + caddy-dns/cloudflare)
  • Med Detective × 4 (prod / test / menopace / fables)
  • BioGaia Story Flask backend
  • Brocken-3D × 2 + ProFLEX (nginx-static, read-only HTML mount)
• TLS: автоматичний Let's Encrypt через DNS-01 challenge (Cloudflare API token у /srv/passepartout/cloudflare/dns-edit-token.txt). 11 сертифікатів випущено для: medetective[.test/menopace/fables].deltamedicalservices.online, biogaia, brocken[v2], proflex, threads, tiktok, internal.
• Pilot mode: Caddy bind на 127.0.0.1:8480 (HTTP redir) + 127.0.0.1:8443 (HTTPS). Host Caddy продовжує тримати :80/:443. Switch на prod — через /srv/public-stack/transition.sh prod.
• Internal aggregator: internal.deltamedicalservices.online за basic_auth sergey:<gen> (pwd /srv/passepartout/internal/basic-auth.txt, bcrypt-hash /srv/public-stack/secrets/internal-bcrypt.txt). Перевіряє /reports, /grafana, /memory, /n8n, /dashboard, /browser через host.docker.internal.
• Hardening: всі контейнери cap_drop: ALL, no-new-privileges, non-root user, read-only fs для med-detective + biogaia, tmpfs для nginx. nginx має CAP_CHOWN/SETUID/SETGID/DAC_OVERRIDE/NET_BIND_SERVICE — мінімум для chown var/cache.
• Smoke test pass: curl --resolve через alt порти повертає 200 OK для med-detective-test (uvicorn HTML), 200 для Brocken (nginx), 401 для internal без auth, 200 з auth.
• Why: Сергій 2026-05-12 voice: «розгорнемо окремий докер для публікації всього» — sweet spot між self-host і GCP. Cloudflare orange cloud дає DDoS+CDN+rate-limit безкоштовно, Caddy робить TLS managed. Origin IP захований за CF, security posture закриває попередні діри (browser/reports auth).
• Next: Desktop виконує transition.sh prod коли Сергій схвалить downtime window (1-2 хв). Після — host Caddy reroute backwards-compat /med-detective/* → нові subdomain'и для зворотнього переходу URL у звітах.
• Files: /srv/public-stack/docker-compose.yml, /srv/public-stack/caddy/{Caddyfile,Dockerfile,entrypoint.sh}, /srv/public-stack/transition.sh.

2026-05-12 [security/gcp] A1 виконано Desktop'ом + B1-B4 green-light після cross-check

• A1 ✅: gemini_sandbox key (project menopace-project, keyId a81c8470-94df-4e17-9620-d7d23c61f9a1) — IP restriction 31.131.26.203 додано Desktop'ом 10:33 UTC. Verify pending — Сергій скине фото у @arteggia_promo_bot, перевірю Vision-обробку.
• B1-B4 green-light: cross-check на VPS не знайшов жодних references до biogaia-story-maker (5 keys, project number 1044705819427), gen-lang-client-0463685358 (Carusle, 3 keys), gen-lang-client-0153982687 (Zest Kids, 1 key), OpenClaw (0 spend). Підтвердив Firebase прод-Story Maker = biogaia-storybook-dm1 (per .firebaserc + wiki pbi-pipeline.md). Desktop disable'не 4 з 5 у biogaia-story-maker (НЕ чіпати Browser key (auto created by Firebase) 25-API — 7 днів моніторинг, потім disable якщо нічого не зламалось).
• IP-restriction runbook: додано GCP-A1-runbook у open-tasks — при майбутній VPS-міграції оновити IP allowlist ПЕРЕД переключенням. Сергій згадував Desktop'у «нові IP» — за моїми даними це Cloudflare edge IPs (вхідний трафік), вихідний від VPS до Gemini API залишається 31.131.26.203. Реальний host upgrade (kVPS90) — у backlog без дати.
• Why: Desktop правильно поставив safe-default «не disable все 5, поки не cross-check» — у нас debt накопичений, краще обережно.

2026-05-12 [security/gcp] GCP audit — 10 unrestricted Gemini ключів + Editor IAM на App Engine SA

• Що: Сергій передав security & cost audit GCP. Знайдено 10 Gemini API keys без Application restrictions у 4 проектах (Biogaia Carusle, Zest Kids, Menopace, Biogaia Story Maker), App Engine SA ad-analytics-hub@appspot з роллю Editor (11338 excess permissions), бюджет €10/міс перевищений на 71% за 11 днів (прогноз €16.99), BQ Data Transfer 100% errors, JSON ключ ad-pipeline-worker без ротації з 16 Mar.
• Критичний риск: один з frontend-ключів Biogaia Story Maker захардкоджений у script.js (підтверджено у wiki/biogaia-story/index.md рядок 19) — без HTTP referrer restriction = публічний.
• План: 9 action item'ів додано у open-tasks.md (GCP-1..GCP-8 + GCP-meta). Повний звіт: /srv/reports/gcp-audit-2026-05-12.md (http://31.131.26.203/reports/gcp-audit-2026-05-12.md).
• Why: базова hygiene — необмежені ключі = vector для quota-drain і data leak; Editor IAM = privilege escalation surface; перевищення бюджету = неконтрольований ріст витрат.
• Impact: дії потребують Сергія у Cloud Console (gcloud на VPS не встановлений). Питання поставлено: чи дозволити apt install google-cloud-cli на VPS, щоб Claude автоматизував restrictions з логами/rollback. 6 open questions для discovery (які проекти/ключі не у wiki-топології).

2026-05-05 [infra/domain] Куплено deltamedicalservices.online на Hostiq

• Що: Сергій купив домен deltamedicalservices.online на Hostiq.ua (через Hosting Concepts B.V./Openprovider). Експіра 2027-05-01. Уже додано на Cloudflare як site (waiting NS-handoff).
• Стан DNS (12:33 UTC): NS все ще dns1.hostiq.ua / dns2.hostiq.ua, A-record 31.131.22.61 (Hostiq parking, не наш VPS). NS-переключення на Cloudflare = наступний крок.
• Why: загальний домен Deltamedical для розгортання сервісів на сабдоменах. Першочерговий use-case — Med Detective Filtrum variant (CRM Creatio whitelist потребує власний домен, не raw IP).
• Impact: записано у /srv/passepartout/domains/deltamedicalservices.online.meta (chmod 600); оновлено wiki med-detective/filtrum/index.md. Після переключення NS — додаємо A-records у Cloudflare → налаштовуємо Caddy.

2026-05-05 [wiki/structure] Med Detective + Interactive Banners → umbrella+підпроекти

• Що: Створено umbrella patterns як в ad-analytics-hub. med-detective/ → 4 підпроекти (schonen-main / menopace / fables / filtrum). interactive-banners/ → 2 підпроекти (fluvir / menopace) + planned zest. Спільну архітектуру (3-агентний паттерн / tracking pipeline) винесено в umbrella index.md. Стара filtrum-variant.md мерджнута → filtrum/index.md.
• Why: Сергій 2026-05-05: «розпиши мед детекту і інтерактивні банера так, як зробив з аналітікс хаб. Так щоб були підпроекти».
• Impact: MEMORY.md оновлено з новим umbrella+sub-list pattern; кожен підпроект має свій frontmatter (status/readiness_pct/brand/port).

2026-05-05 [memory/structure] Ad Analytics → Hub з 5 підпроектами + крон-таблиця централізована

• Що: В wiki створено umbrella /srv/wiki/projects/deltamedical/ad-analytics-hub/ з 5 підпроектами (google-ads, meta-ads, tabletki-ua, ga4, gtm). index.md парасолі + 5 sub-index.md з статусами і backlog. Прибрано «Looker Studio dashboard» (Сергій 2026-05-05: «забути»). У MEMORY.md перепис ad-analytics → ad-analytics-hub з гіперлінками на кожен sub-wiki. У wiki-файлах НЕ дублюються cron-таблиці (Сергій: крони у global розділі MEMORY.md). Додані гіперлінки на pharmagen + biogaia-story у MEMORY.md.
• Why: Сергій 2026-05-05 voice 08:17 + 08:20 + 08:21: проект розрісся, треба явно структурувати на підпроекти + згадати GA4/GTM як майбутні треки. Looker Studio більше не support'имо. Не дублювати крон-таблиці у per-project wiki.
• Impact: Mobile Hub Wiki tab → MEMORY → перехід на конкретний sub-проект → wiki детальний опис. PM-agent наступним прогоном підхопить нові sub-folders.

2026-05-05 [memory/structure] google-ads-crew → Штат агентів

• Що: В MEMORY.md і agents_inventory.md перенесено google-ads-crew з «Проекти / Активні» у «Штат агентів» / «AI-сервіси / Crews». Замість видалення лишилась згадка серед перенесених у forward-pointer.
• Why: Сергій 2026-05-05: «це команда агентів — потрібно перенести в штат агентів, винести з проектів». Той же принцип що Watchdog/Case Builder Crew (rule #16).
• Impact: При питаннях «які проекти» — тепер видно тільки бізнес-роботи. AI-команди консолідовані у Штаті.

2026-05-04 [pediatric-news] Pre-publish sanitize + HTML-тільки промпт

• Що: В /srv/projects/pediatric-news/bot.py додано sanitize_post(), який (а) зрізає AI-преамбулу до першого header-емодзі (HEADER_EMOJI=🎯🧠🦴🍊❤️🥗📊🛡💉👶🩺⚠️), (б) конвертує **bold** → <b>, *italic* → <i> бо канал шле з parse_mode=HTML. Промпт оновлено з двома critical-блоками («перший символ = емодзі заголовка», «розмітка ТІЛЬКИ HTML»). Тест на проді 2026-05-04 05:19 UTC — Сергій підтвердив «Чудово».
• Why: 2026-05-04 05:06 пост у каналі @smart_pediatric_news вийшов з рядком «Ось адаптований пост для Telegram-каналу:» + видимими зірочками ** навколо жирного тексту і * навколо курсиву. Корінь: між gemini stdout і post_to_telegram() не було пост-процесора, парсер HTML не знає Markdown.
• Impact: Канал тепер публікує без преамбули і з нормальним bold/italic-рендером. readiness 60→65. Wiki «Виявлені проблеми #1» переведено у ✅. Bug #2 (форматування) — закрито, лишилось #3 (заголовки).

2026-05-03 [memory/structure] Особисті проекти виокремлено в MEMORY.md

• Що: В MEMORY.md додано окремий розділ «🏠 Особисті проекти (НЕ Deltamedical)». Туди перенесено family-tree (раніше було як lunar-hubble в розділі MVP + дубль family-tree в Беклозі) і finbot (раніше взагалі не було в індексі MEMORY.md, лише в personal_expense_bot.md і wiki). Кожен запис має статус «зупинилися на варіанті X» (Family Tree → d3-org-chart, Finbot → 8 макро × 2-4 sub таксономія).
• Why: Сергій 2026-05-03 voice 13:30: «Ми домовлялися, що ми розділяємо проекти на особисті і на робочі. Із особистих в мене два активних — дерево роду і Фінбот. Зупинилися на одному варіанті у кожному. Опиши.» Тобто персональний контур мав бути візуально окремий — інакше «не видно».
• Impact: В Mobile Hub, Reports Hub, Perlite — особисті ініціативи відокремлено від Deltamedical-роботи. Дві wiki: /srv/wiki/projects/personal/family-tree/ (вже була повна) і /srv/wiki/projects/personal/finbot/ (раніше stub idea, апгрейднуто до canonical: стек, 2-рівнева таксономія, GCP-конфіг, питання, міграція). PM-agent їх теж буде підхоплювати.

2026-05-03 [memory/projects] Interactive Banners піднято як окремий проект у MEMORY.md

• Що: В MEMORY.md додано interactive-banners у розділ «Проекти / 🟢 Активні» зі статусом: Fluvir LIVE на DV360, Menopace 300×600 — фінальні-3 у продакта (shadcn / Bauhaus / Mantine) + v7 ТОП-2 + open-design ТОП-3. В wiki /srv/wiki/projects/deltamedical/interactive-banners/index.md додано повну хронологію Menopace v2→v7 (27 креативних варіантів, таблиця з посиланнями на всі файли і статусами «фіналіст / не зайшло»). readiness 65→70.
• Why: Сергій 2026-05-03 13:24 voice: «Я не бачу взагалі проєкту інтерактивних банерів. Подивись чому його немає в пам'яті. Вже багато варіантів Menopace, частина варіантів на яких зупинилися. Є банер Fluvir, який крутиться, тягли аналітику. Опиши документ.» Wiki-папка існувала з 2026-04-17 але була зосереджена на Fluvir, без всієї Menopace-історії, і не була в індексі MEMORY.md.
• Impact: проект тепер видно в Mobile Hub / Reports Hub / Perlite. PM-agent наступним прогоном буде його підхоплювати разом з іншими активними проектами (last_updated, readiness_pct, changelog).

2026-05-03 [memory/structure] Watchdog і Case Builder Crew → перенесено з «Проекти» у «Штат агентів»

• Що: В MEMORY.md і agents_inventory.md Watchdog та Case Builder Crew більше не у списку проектів. Watchdog deduplicated із вже наявним claude-watchdog.service-рядком у Штаті. Case Builder Crew, Dev Crew, legal-advisor, PM-Agent, Drift Detector об'єднано у новий розділ «🛡 AI-сервіси / Crews» в agents_inventory.
• Why: Сергій 2026-05-03 13:14 voice: «Watchdog і CaseBuilder це як проекти, а по факту – це агенти. Прекинь їх в команду. Поміняй структуру.» Семантика: «проект» = щось, що ми «розробляємо для бізнесу» (Med Detective, Pediatric, PIM…), «агент/сервіс» = підрядна інфра, що допомагає робити проекти.
• Impact: При питаннях «які проекти» — Watchdog і CaseBuilder більше не випливуть; при «який в нас штат агентів / AI-команд» — будуть. У MEMORY.md залишено forward-pointer (> 🤖 watchdog і case-builder-crew перенесено у Штат агентів) щоб старе посилання не зламало навігацію.

2026-05-02 [pm-agent] Upgrade v0.1 → v0.3 (substantive PR-mode)

• Що: PM-agent (/srv/services/pm-agent/pm_agent.py) переписано з observer-only на substantive doc-update mode. Тепер автоматично:
  1. bump last_updated у frontmatter активних проектів
  2. пропонує readiness_pct зміни (safety: ±10%/день)
  3. додає ## 🤖 PM Changelog → ### YYYY-MM-DD секції у index.md проектів
  4. робить git commit у /srv/wiki з підписом «🤖 PM Agent v0.3»
  5. збирає відповіді Сергія з /srv/services/pm-agent/answers/ (заповнюються вручну/Claude bot після open-questions у digest)
• Why: Сергій 2026-05-02 21:33: «А РМ записав все в документацію? І мені здається ми апгредили РМ. Чому він до сих пір у версії 0.1?». Я мав task #45 у pending з ранку, але не починав; зараз закінчено.
• Impact: wiki-документація проектів буде оновлюватися автоматично у щоденному циклі без ручного редагування. Backup pm_agent.py.bak-v0.1-2026-05-02 для миттєвого rollback. Перший v0.3 run 2026-05-02 21:37 — успішний (auto_changes=0 бо все вже задокументовано вручну).

2026-05-02 [бот/безпека] Bash classifier unavailability → handle gracefully, тримати reply-тред живим

• Що сталось: 2026-05-01 21:50 я виконав python3 /tmp/recat.py для Експенс-аналізу → hook відмовив через «claude-opus-4-7 temporarily unavailable». Я мовчки чекав замість швидкого повідомлення Сергію → він 7 годин піднімав мене (00:55/03:00/04:40 «Хей/Ауу/Живий?»).
• Why: classifier-fail у Bash блокує дії, але якщо я не пишу нічого Сергію → він не знає що сталось.
• Impact: При наступному classifier-fail / hook-deny → треба ОДРАЗУ написати у Telegram, не чекати поки відновиться. Якщо Сергій каже «щось ти притих» — це червоний сигнал.

2026-05-01 [PIM/strategy] Pull-feed замість push-API

• Що: Після research-звіту і уточнення Сергія, що Rozetka/Prom API є тільки для sellers (не manufacturers), переходимо до моделі «PIM = внутрішня платформа з єдиним джерелом істини + structured feed (XML/JSON URL) для рітейлерів».
• Why: Реального manufacturer→push API в UA фарма-/health-рітейлі практично немає. Усі шляхи це або B2B marketplace як seller, або feed pull, або email/Excel.
• Impact: PIM-pilot починаємо з внутрішньої організації даних + Excel/JSON feed який партнери можуть pull. Push-API на rozetka — тільки якщо Deltamedical стане seller у Rozetka (окрема комерційна задача).

2026-05-01 [memory/architecture] legal-advisor → «Штат агентів»

• Що: Перекласифіковано legal-advisor з категорії «Проекти» у «Штат агентів» (підключається у команди Search Campaign Builder, Content Generator, Brand Threads).
• Why: Сергій явно сказав voice 2026-05-01 21:33: «це не проект, а наш агент. Перемістити з папки проектів в агенти».
• Impact: У MEMORY.md і agents_inventory треба думати про legal-advisor як available capability, а не самостійний проект з roadmap'ом.

2026-05-01 [med-detective] rsync+swap до стандарту mapping

• Що: Виконав rsync med-detective-test/ → med-detective/ + swap Caddy: /med-detective/ → 8765 (prod, ALLOWED_CASES=case_02_ibs + CRM), /med-detective-test/ → 8766 (12 кейсів, без CRM). Backup pre-swap у /srv/projects/med-detective.bak-pre-swap-2026-05-01T204422Z.
• Why: Після swap'у 19.04 mapping був перевернутий, що мене плутало. Сергій 1.05 сказав «варіант 1 починаємо» (text-апрувом «Так»).
• Impact: Тепер прод-код у двох директоріях ідентичний; нові правки робляться у med-detective-test/ (8766) → після ОК Сергія → swap у prod.

2026-05-01 [med-detective] Investigation Panel Phase A live

• Що: Додано search-bar (фільтрує 39 тестів по всіх категоріях) + price+turnaround під кожним тестом (типові ринкові ціни UA 2026: ЗАК 180₴ 1 день, DEXA 1100₴ 1 год). Live на /med-detective-test/. Сергій схвалив voice'ом «великий молодець».
• Why: Перший крок до повної Investigation Panel за дизайн-документом 19.04. Phase B (бюджет, recommended-теги, формати, reset) — на паузі до 11.05.
• Impact: Гравцям тепер легше знайти конкретний тест (search) і реалістично балансувати точність діагнозу/бюджет (price+turnaround).

2026-05-01 [infra/watchdog] False-restart при subagent runах → детект pending tool_use

• Інцидент: 16:12 watchdog рестартнув бота під час моєї research-сесії з Agent (~35с subagent), бо jsonl-idle спрацював (parent jsonl не пишеться поки subagent працює). Виявилось що активний процес стартував до edit'у threshold (10:20 vs 13:29) і працював на старому 180s порозі.
• Fix: хендофф Desktop → додано has_pending_tool_use() у watchdog.py (line 233), інтегровано в check_bot_reply_gap (line 334). REPLY_GAP_THRESHOLD_SEC: 3600 → 600s. Service restart, PID 2144138.
• Why: subagent run = parent jsonl idle, але це "alive and working", не "stuck". Тепер watchdog читає останній jsonl, знаходить tool_use без matching tool_result і пропускає рестарт.
• Impact: false-positive restarts при research/Agent runах усунено. Якщо все ж триггериться — watchdog.py.bak-20260501-163706 для реверта.

---

2026-05-01 [infra/watchdog] Детект OAuth 401 → не рестартувати, а алертити Сергію

• Інцидент: 01.05 09:48 — Claude API почав повертати Please run /login · API Error: 401 authentication_error на кожне inbound. OAuth-токен Claude Code протух. Watchdog зловив "немає reply 3 хв" і рестартнув бота 3× (09:51, 10:04, 10:07-failed-start). Рестарт марний — токен живе на диску, новий процес читає той самий протухлий креденшіал. Сергій вручну зробив /login о 10:06 → виправлено о 10:08. Простій 23 хв, 4 пропущені повідомлення.

• Фікс: додано check_recent_auth_error() у /srv/services/claude-watchdog/watchdog.py. Перед рестартом по reply-gap watchdog грепає останні 2 jsonl на assistant-повідомлення з префіксом Please run /login · API Error: 401. Якщо знайдено в останні 600s — НЕ рестартує, а слає Telegram-алерт із інструкцією (tmux attach -t claude-bot → /login). Cooldown алерту 30 хв.

• Why пишемо інструкцію через tmux а не "просто /login у TG": /login — це Claude Code slash-command який обробляється локально CLI, потребує OAuth-flow з браузером. В цьому випадку Сергій вже ховаючись робив через tmux. Додаткова опція через TG /login лишена як fallback (працює якщо плагін інтерпретує перед API-call).

• Backup: /srv/services/claude-watchdog/watchdog.py.bak-20260501-pre-401-detect.

• State key: last_auth_error_alert додано до state-файлу.

• Точність патерну: перший варіант ловив будь-який текст з "401" + "Please run /login" — давав false-positive на моїх діагностичних повідомленнях. Зараз вимагає text.startswith("Please run /login") AND "API Error: 401" in text[:120].

• Не зроблено (chекає go від Сергія): (а) tюнінг telegram-nudge timing (зараз 15min/15min threshold — пропускає switch на :00/:15/:30/:45). Пропозиція: 5min/10min. (б) розслідування ЧОМУ OAuth refresh не спрацював — це може повторитись.

• Рішення: розширено /srv/projects/search-campaign-builder/builder.py з 4-агентної до 6-агентної архітектури:

  1. KeywordResearcher (Gemini) — без змін
  2. VolumeEnricher (новий) — Google Ads KeywordPlanIdeaService, real volumes + competition + trend, mock-fallback коли OAuth не підключений
  3. AdCopywriter (Gemini) — без змін (позиція в pipeline змінена)
  4. LegalAdvisor перенесено — тепер перевіряє headlines/descriptions, не keywords (за фідбеком Сергія: "для підбору ключів legal не потрібен")
  5. AssetGenerator (новий) — 4 sitelinks + 6 callouts + structured snippet, Gemini
  6. CampaignFormatter — розширено: keywords CSV тепер з volume+competition+trend, додано окремий _assets.csv

• Why: Сергій (voice msg 2447) попросив білдер що "даю продукт+URL — отримую готові кластери з реальним volume і готовий пакет assets". Існуючий MVP не тягнув real Keyword Planner data і не мав assets.

• Impact:

  • Test run на Хеафолік thematic пройшов у mock-режимі: 3 групи × 10 kw, 15H+9D (22 SAFE/2 WARN), всі 3 CSV валідні
  • google-ads SDK v30.1 встановлено у venv /srv/projects/search-campaign-builder/.venv/
  • Блокер: Сергій приносить Client ID + Client Secret (Desktop OAuth з GCP ad-analytics-hub) 2026-04-24, після цього я запускаю setup_google_ads_oauth.py, даю йому URL, отримую auth code → google-ads.yaml у passepartout
  • Ротація: OAuth refresh_token не expire, але якщо юзер скасує доступ — треба пере-OAuth
  • Readiness: ~70% (pipeline готовий, потрібен OAuth handoff + живий тест на реальних volumes)

2026-04-23 [infra/memory] Desktop → VPS memory handoff через SSH (замість git/wiki)

• Контекст: git-sync ag-wiki страждає від CRLF↔LF-артефактів Linux-over-Windows mount на Desktop, що блокує автомерджі й потенційно перезаписує чужу сторону. Сергій просив знайти спосіб обійти git для пам'яті.
• Рішення — дворівнева схема:
  1. /root/.claude/projects/-/memory/inbox-from-desktop/ — для оперативних handoff pings (Desktop кладе .md з timestamp-префіксом → SessionStart hook показує count → VPS читає і переносить у processed/).
  2. /root/.claude/projects/-/memory/desktop-memory/ — для snapshot дампу Desktop'ської локальної memory (rsync -az ~/.claude/projects/-/memory/ → desktop-memory/snapshot/). VPS Claude виступає librarian: періодично порівнює з .last-integrated, витягує релевантне в MEMORY.md/decisions_log/project_*.md/wiki. Desktop — push-only, VPS — pull-and-integrate.
• SessionStart hook (/usr/local/bin/session-start-check.sh) оновлено:
  • Блок 📬 Inbox від Desktop: N непрочитаних — список імен файлів.
  • Блок 🗂 Desktop memory: N нових/змінених з останньої інтеграції — нагадує запустити librarian pass.
• Чому не git/ag-wiki: git-sync страждає від CRLF на Linux-over-Windows mount + async (15 хв cron). SSH-push instant, без глюків.
• Чому two-tier (inbox + desktop-memory): inbox — оперативні pings (handoff quick note), desktop-memory — full snapshot для librarian-інтеграції. Різні use cases, різні UX.
• Impact:
  • Desktop one-liner для inbox: cat note.md | ssh root@31.131.26.203 'cat > /root/.claude/projects/-/memory/inbox-from-desktop/$(date -u +%Y-%m-%dT%H%M%SZ)-topic.md'
  • Desktop one-liner для snapshot: rsync -az --delete ~/.claude/projects/-/memory/ root@31.131.26.203:/root/.claude/projects/-/memory/desktop-memory/snapshot/
  • Обидва каталоги мають READMEs з детальним описом формату, конфліктів, librarian flow.

2026-04-23 [infra/security] Desktop Claude → VPS SSH access, new ed25519 pair

• Контекст: Desktop Claude (Cowork mode, Windows sandbox) потребує SSH-доступ до VPS для self-healing («полікувати» Claude-bot / сервіси коли впадуть). 17.04 вже генерували sandbox-ключ, але приватна частина втратилась з ефемерним sandbox, публічна половинка висіла у authorized_keys як сирітська.
• Рішення:
  1. Видалено сирітський ключ (fp SHA256:tA5mTCBfdOk..., comment claude).
  2. Додано новий ключ claude-desktop-2026-04-23 (fp SHA256:h2WYv5Xf1L8vzm4Ixa9Gh6+DGAmIPOdBv+/WavO7E+8) з обмеженням from="193.93.78.10" (egress IP Desktop sandbox, уже в fail2ban ignoreip).
  3. Приватна половинка живе у Windows Credential Manager (DPAPI-encrypted) як AG-VPS-SSH-Key-Claude-Desktop. Desktop на старті sandbox-сесії викликає restore-to-sandbox.ps1 → витягує приватний ключ у ~/.ssh/id_ed25519.
  4. Pub-ключ + .meta збережено у /srv/passepartout/ssh/claude-desktop-2026-04-23.pub|.meta.
  5. Backup попереднього файлу: /root/.ssh/authorized_keys.bak-2026-04-23-pre-claude-desktop.
• Why: ~1% часу на місяць бот падає/зависає, watchdog не завжди встигає. Desktop як second pair of hands без ручного втручання Сергія (він у Coworking / поза компом). Варіант 1 (Desktop генерує ключ + Windows Cred Manager) обрано замість варіанту 2 (приватний на диск + копія у sandbox), бо приватний тоді живе в одному місці, не двох.
• Impact:
  • Desktop тепер може ssh root@31.131.26.203 'systemctl restart claude-bot' тощо з коробки (після restore-скрипту).
  • Sshd: PermitRootLogin prohibit-password, PasswordAuthentication no — тільки ключ, пароль не задіяний.
  • Ротація: 2027-04-23 (річний цикл). Додати нагадування.
  • ВідкритИЙ борг Сергію (не новий): root-пароль SVz5i9061t2sHdWvZC passed through chat 17.04 — все ще pending rotation.

2026-04-21 [wiki-sync] Revert регресії після Desktop stash pop — 56e0627 pushed

• Проблема: після мого successful push e595999 Desktop у Фазі 7 використав git checkout --theirs в rebase-контексті (де --theirs = свій локальний, а --ours = remote — зворотно до merge) + stash pop з 16.04-базованим stash'ем. Результат: open-tasks.md 179→54 рядки, pediatric-news 98→47, zest-content 68→46, ad-analytics 84→45, lunar-hubble 38→43 (replaced with template), projects-overview 44→42 (replaced structure).
• Рішення: git checkout e595999 -- <5 files> + Write projects-overview.md (union VPS проекти + Desktop Infrastructure block) + додав 6 нових Desktop pending tasks у open-tasks.md (PAT rotation 2026-07-19, Remoat persistence bug, Mission Control cron, VPS upgrade kVPS90, LightRAG MCP, Remoat bootstrapPrompt). Commit 56e0627 revert: restore VPS-side content lost in Desktop stash pop. Push пройшов 1291ac2..56e0627.
• Why: без revert'у вся робота 17-20.04 (Arteggia, Med Detective audit, HuggingFace, Case Builder, 7 research-звітів) зникла з open-tasks.md та проектних index'ів — у git history збереглась, але щоденне читання її не бачило.
• Impact:
  • ag-wiki знову коректний: 179 рядків open-tasks.md, повні проектні index'и.
  • ⚠️ Для Desktop: МАЄ зробити git pull перед наступним wiki-sync, інакше повторно push'не стару версію.
  • Нагадування на майбутнє: у rebase-контексті --ours = поточна база (куди rebase'имось), --theirs = локальний commit. У merge-контексті навпаки. Це пастка git checkout --theirs без перевірки контексту.

2026-04-21 [wiki-sync] Union merge VPS + Desktop (варіант A) — 40 commits pushed

• Рішення: wiki-sync застряг у broken rebase з 16.04 на Desktop + 38 unpushed commits на VPS + origin/main мав 1 commit (a6fe9a3 Desktop 17.04). Сергій обрав варіант A (union merge): VPS-версія open-tasks.md (20.04, 168 рядків) + додати з Desktop тільки 3 security-ротації (root pass, VNC pass, GitHub PAT 14.05 expire) і блок "Нещодавно завершені 17.04" (fail2ban incident, UFW, auto-reboot off, watchdog v2, bot token, ed25519). Видалено дублюючий "BioGaia Story деплой — VPS (після .env fix)" (вище вже ✅). Commit e595999 (merge) + 934a07a (prep). Push пройшов a6fe9a3..e595999.
• Why: Desktop Claude мав застарілу версію (17.04) без розуміння Arteggia/Med Detective audit/HuggingFace/Case Builder/Lunar Hubble роботи 18-20.04. Прямий rebase перезаписав би VPS-прогрес. Union merge зберігає обидва набори.
• Impact:
  • ag-wiki синхронізовано, origin/main = main = e595999 на обох сторонах.
  • Desktop має зробити Фаза 7: git pull --rebase → його 1 local commit вже включений, stash pop можна.
  • PAT github_pat_11BUYYLLI0uK... (Сергій прислав у #2174) використаний для push з credential helper; у passepartout ag-wiki-pat-2026-04-21.txt. TODO Сергію: видалити msg #2174 з Telegram + розглянути ротацію PAT.
  • Процес: /tmp/git-cred-helper.sh (sh-wrapper що читає PAT з passepartout + echo username/password для git credential) — видалено після push.

2026-04-20 [arteggia-bot] Запущено Telegram-бот акції Arteggia×Vertebra

• Рішення: новий проект /srv/projects/arteggia-bot/ — Telegram-бот для механіки «2× Arteggia у чеку → промокод на безкоштовну Vertebra на medizine.ua». MVP готовий, live: @arteggia_promo_bot (ID 8660071271).
• Стек: aiogram 3 + Replicate google/gemini-2.5-flash для OCR чеків + SQLite локально + systemd arteggia-bot.service.
• Period: 01.04.2026 – 31.12.2026 (старт з квітня — щоб тестувати на старих чеках відразу).
• Ліміт: 1 людина (за унікальним номером телефону) = 1 промокод. Anti-replay: SHA256 фото + fiscal_id.
• Зараз placeholder ARTEGGIA-TEST-2026 — після валідації OCR буде CSV-loader реальних кодів (завантажить Сергій).
• Інтеграція з medizine: НЕМАЄ — промокоди реєструються окремо на стороні CMS medizine.
• Why: Сергій запросив голосом (msg 2070). Мета MVP — перевірити чи модель нормально розпізнає укр фіскальні чеки (фіскальний №, дата, позиції Arteggia у кількості). Тест пройдено ✅ (msg 2091).
• Impact:
  • Новий systemd unit arteggia-bot.service enabled+running
  • Admin commands для Сергія: /log, /log approved|rejected|error, /comment <id> <text>, /stats
  • Push адміну при: успішній видачі / нечитабельному чеку / vision error
  • Wiki: /srv/wiki/arteggia-bot/index.md. agents_inventory оновлено.

2026-04-20 [infra] Gemini API ключ мертвий — переключилися на Replicate

• Рішення: /srv/passepartout/google/gemini.key повертає 403 PERMISSION_DENIED на 2.5-моделях і 429 «free tier quota=0» на 2.0-моделях. Проект у Google Cloud заблокований або без billing. Для arteggia-bot перемкнулися на google/gemini-2.5-flash через Replicate (той самий SOTA OCR, але billing через деплту-аккаунт Replicate deltamedical). Replicate token: /srv/passepartout/replicate/token.txt.
• Why: при першому тесті OCR бот повернув 403. Прямий API-probe підтвердив проблему по всіх моделях.
• Impact:
  • 🔴 TODO для Сергія: зайти в console.cloud.google.com → GCP проект від якого ключ → перевірити Billing або створити новий ключ. Інакше всі майбутні gemini.key-залежні проекти не працюватимуть (legal-advisor, case-builder-crew, google-ads-crew через Gemini CLI — треба перевірити чи впливає на CLI теж).
  • Для майбутніх проектів, де потрібен Vision — брати через Replicate (google/gemini-2.5-flash або lucataco/qwen2-vl-7b-instruct).
  • Qwen 2.5-VL на Replicate ще немає (тільки Qwen 2-VL).

2026-04-19 [infra] SessionStart hook підтягує tail попередньої сесії

• Рішення: /usr/local/bin/session-start-check.sh тепер викликає /usr/local/bin/session-previous-tail.py, який читає 2-й за свіжістю *.jsonl у /root/.claude/projects/-/ і друкує останні 20 text-реплік user/assistant (таймкод + 👤/🤖 + snippet 280 символів). Поточний session_id береться зі stdin JSON hook-а (session_id поле).
• Why: Сергій помітив (msg 1986+1988): між сесіями контекст Telegram-розмови губиться, бо Bot API історію не віддає, а SessionStart hook підтягував лише memory/open-tasks/session.md. Тричі за добу я «забував» про щойно обговорене (PMax-tabletki Argett/Deflu/Smart Omega — тест кейс, де я перепитав те саме о 10:40 після обриву сесії о 09:48).
• Impact:
  • На старті кожної нової сесії в SessionStart additionalContext з'являється блок «💬 Хвіст попередньої сесії (…)» з 20 останніх реплік.
  • Tool-use викликів у tail немає — тільки текст, щоб не шумити.
  • <system-reminder> і <channel> розгортаються до читабельного тексту.
  • Code: /usr/local/bin/session-previous-tail.py (новий), session-start-check.sh (patched: читає stdin + викликає tail).

2026-04-19 [med-detective] Investigation Panel + QA Gemini — промоут test→prod

• Рішення: нова фіча "Investigation Panel" (лікар замовляє тести → system bubble з результатами → judge оцінює доречність обстежень 15 балів з 100) + каталог LAB (39 тестів) + key_tests_to_order у 9 кейсах — промоут у prod через swap Caddy routes (Варіант A).
• Why: фіча пройшла rollback на prod через інфраструктурну поломку (Caddy/docker/iptables), відновлена на test-інстансі. Gemini 2.5 Pro зробив медичний QA — рекомендував 5 нових тестів у каталог (serum_magnesium, fecal_occult_blood_test, ebv_vca_igm, total_ige, fecal_calprotectin), extra_tests для 3 кейсів (koh_microscopy, patch_test, thompson_test), key_tests для 8 кейсів. Сергій погодив повний пакет (msg 1961), після smoke-тесту на test — промоут (msg 1963).
• Impact:
  • /med-detective/ тепер проксить у port 8766 (колишній test-інстанс, Redis DB 4) — нова фіча.
  • /med-detective-test/ тепер проксить у port 8765 (колишній prod, Redis DB 3) — instant rollback (10 сек sed зворотно + systemctl reload caddy).
  • ⚠️ Port/DB mapping перевернуто відносно memory infra_med_detective_blue_green.md: prod=8766/DB4, test=8765/DB3. Наступний деплой — навпаки (прод на 8765, test на 8766) або знову swap.
  • validate_case.py: 11 кейсів, 0 errors, 0 warnings.

2026-04-19 [infra] Caddy мігровано з docker на host systemd

• Рішення: reverse-proxy Caddy v2.11.2 встановлено на хост через офіційний cloudsmith apt-repo. Конфіг розбито на /etc/caddy/Caddyfile + /etc/caddy/conf.d/{service}.caddy. Docker-caddy контейнер видалено, caddy прибрано з /srv/docker-compose.yml.
• Why: Ранок 2026-04-19 — после docker compose restart caddy iptables DOCKER chain зник, всі сайти лягли (med-detective, biogaia, browser, reports). Порт 80 не форвардився в контейнер. Сергій попросив: «щоб мінісервіси крутилися поруч з Claude, а не разом — щоб рестарт одного не ламав інші».
• Impact:
  • Проксі більше не залежить від docker-демона і iptables NAT chains.
  • Додавання мінісервісу = systemctl unit на 127.0.0.1:PORT + drop /etc/caddy/conf.d/{name}.caddy + systemctl reload caddy (атомарно).
  • Upstreams переведено з 172.17.0.1/172.18.0.1 на 127.0.0.1 (host-local).
  • n8n лишається в docker (офіційний образ зручний). Якщо docker впаде — сайти живі.
  • Smoke-пройдено: med-detective 200, biogaia 200, browser 200; reports 502 (upstream 8081 down до міграції).

2026-04-18 [med-detective] Нові правила створення кейсів: no-spoiler + health-anxiety + gender balance

• Рішення: три нові обовʼязкові правила у crew.py (Marketer + Medical + Writer prompts):
  1. No-spoiler titles/short. Заголовок і short_description НЕ містять діагнозу або патогномонічних симптомів ("припливи", "brain fog", "гормональна перебудова", "на фоні Х"). Стиль: "Пацієнт(ка) N р. з <нейтральна скарга>", hook = перша репліка пацієнта в кабінеті.
  2. Health-anxiety trigger. У patient persona — пацієнт сам себе правдоподібно-неправильно налякав (Альцгеймер при brain fog, інфаркт при нічному серцебитті, онкологія при болях). Один страх на персону, озвучений у перших репліках.
  3. Gender balance. Мінімум 30% чоловіків у концептах. Для "жіночих" продуктів — хоча б 1 концепт де чоловік приходить сам і лікар має сказати "вам цей продукт не підходить".
• Why: Сергій тестив кейси 07-08 (Menopace) і помітив: (а) заголовки одразу видавали діагноз (msg 1874), (б) "дуже класно" зіграла репліка Олени про страх Альцгеймера як motivator (voice 1879), (в) у 10 кейсів усього 20% чоловіків (voice 1883).
• Impact:
  • case_07/08 пост-hoc виправлено (title + short переписано без діагностичних натяків).
  • crew.py оновлено — Profilex Osteo йшов до фіксу, Zest MgB6 (наступний) уже з новими правилами — вийшло 3 кейси з нейтральними titles, 2 чоловіки + 1 жінка у топ-3, гендер balance спрацював.
  • Окрема таска (#8) — QA-review існуючих case_01-08 через Marketer + Medical (Legal пропускаємо — немає БАД серед старих).

2026-04-18 [case-builder-crew] Profilex Osteo (БАД) — 2 кейси готові до інтеграції

• Рішення: 4 концепти → 2 top: (1) Олена 54 р., постменопаузальний остеопороз з компресійним переломом Th12/L1; (2) Ігор 42 р., гонартроз I-II ст. (K-L).
• Why: перший пост-Menopace продукт у pipeline. Legal Gate успішно згенерував compliant lines[] з наказу МОЗ №1145. Титули пост-hoc перероблено під no-spoiler.
• Impact: очікую approval від Сергія для інтеграції як case_09-10 у Med Detective.

2026-04-18 [case-builder-crew] Zest Магній B6 Ретард (БАД) — 3 кейси готові до інтеграції

• Рішення: 5 концептів → 3 top: Артем 34 (соматоформна вегетативна дисфункція), Марина 27 (ПМС змішана форма), Віктор 46 (вторинна гіпомагніємія).
• Why: перший запуск з оновленими правилами crew.py (no-spoiler, health-anxiety, gender balance) — всі three правила спрацювали з коробки.
• Impact: очікую approval для інтеграції як case_11-13 у Med Detective.

2026-04-18 [med-detective] Відкритий дизайн-вопрос: панель "Обстеження / аналізи"

• Питання: Сергій (voice 1885) — чи додати лікарю можливість призначати обстеження (ОАК, ФСГ, МРТ тощо). Три варіанти UI: (A) free-text у чаті, (B) окрема кнопка з преднабором ~30 тестів, (C) гібрид.
• Моя рекомендація: варіант B + 5-й агент Lab Planner у crew.py (генерує key_tests_to_order[] + test_results[] у case.json). Judge додає вимір "діагностична обґрунтованість" до score.
• Статус: очікую рішення Сергія (msg 1886).

2026-04-18 [case-builder-crew] Створено нову AI-команду для генерації клінічних кейсів під продукт

• Рішення: новий проект /srv/projects/case-builder-crew/ — 4-агентна crew що з картки продукту генерує ready-to-inject кейси для Med Detective:
  • Marketer (Gemini CLI) — демо-концепти пацієнтів з life-trigger
  • Medical Advisor (Gemini CLI) — клінічна валідація + диф-діагноз + case.json
  • Legal Gate — wrapper над /srv/projects/legal-advisor/agent.py, toggle по registration_type=="БАД"
  • Writer (Gemini CLI) — patient role-play .md для Med Detective
• Why: Сергій хоче на вхід давати продукт → команда видає готові кейси (маркетинг бачить куди продукт лягає, медрадник валідує клінічно, юрист робить compliant-rewrite). Raised спочатку як 3 агенти; додано Writer-4-й бо без нього кейс не грається у Med Detective.
• Impact:
  • Перший тест на Menopace Plus: 4 концепти → 2 high-plausibility кейси збережено (cases/менопейс_плюс_case_01/02.json + prompts/patient_*.md).
  • Legal Gate відпрацював бездоганно — compliant lines[] з наказу МОЗ №1145, дисклеймер обов'язковий.
  • Відомий косметичний борг: slugify залишає кирилицю в ID — треба транслітерація перед інтеграцією у Med Detective (той очікує case_XX_english_slug).
  • Reuse: legal_review() тепер shared між crewai-content і case-builder-crew.
• Registration toggle statuses:
  • БАД → Legal Gate ON (naxaz МОЗ №1145 + ЗУ №4122-IX)
  • ЛЗ → OFF (чекаю specs від Сергія)
  • Медвиріб/косметика → OFF

2026-04-18 [med-detective] +2 складніші кейси (афтозний стоматит, AD у перукарки)

• Рішення: додано 2 нових кейси з розширеним диф-діагнозом (6-8 differentials замість стандартних 4-5):
  • case_05_aphthous_stomatitis — Марина Л., 32 р., рецидивуючий афтозний стоматит → Фортеза спрей (бензидамін). Пастка: плутають з герпесом.
  • case_06_adult_atopic_hands — Олена М., 38 р., атопічний дерматит дорослих з ураженням кистей + професійний іррітант → Allerveg Atopik. Пастка: плутають з суто професійним контактним дерматитом, пропускають атопічну основу (дитячий діатез + поліноз + ксероз на ВСЬОМУ тілі + сімейна атопія).
• Why: Сергій попросив складніші кейси; існуючі 4 — класичні, мало диф-діагностики, швидко вгадуються.
• Impact:
  • /srv/projects/med-detective/backend/cases/ — +2 JSON
  • /srv/projects/med-detective/backend/prompts/ — +2 patient.md
  • main.py CASE_REGISTRY оновлено: тепер 5 кейсів (case_01/02/03/05/06). Case_04 (atopic child) залишено поза registry — для нього немає patient-промпту (JSON створений але patient_atopic_child.md не написано — відкритий технічний борг).
  • Uvicorn зараз запущений (foreground через nohup), треба systemd-юніт для продакшну (окремий TODO).
  • Smoke-test пройдено: пацієнтки відповідають у ролі, русизми Llama-8B іноді ("Рукі" → "Руки") — відоме обмеження моделі.

2026-04-18 [med-detective] LLM backend: Llama-8B parallelized як fast default

• Рішення: Med Detective backend — дефолт meta/meta-llama-3-8b-instruct паралелізовано (intent + patient одночасно). Latency 1.0-1.4с vs 15с на 70B sequential.
• Груповий аналіз варіантів:
  • Groq API — нема ключа, потрібна реєстрація з OTP (Сергій має зареєструвати)
  • Gemini 2.5 Flash — ключ є, але 403 project denied access (potrebуje billing enable в GCP)
  • Llama-3-8B Replicate — ✅ робить, ~1с, якість "трохи гірша" (іноді рос. "постепенно")
  • Llama-3-70B Replicate — 15с, якість відмінна, ТТВП неприйнятний для UX
• Why: Сергій скрінив 15с "пацієнт думає" як UX-проблему. Швидкість > якість для concept-демо.
• Impact:
  • /srv/projects/med-detective/backend/llm.py → REPLICATE_DEFAULT_MODEL = "meta/meta-llama-3-8b-instruct"
  • available_backends() повертає replicate першим (Gemini 403)
  • Live: http://31.131.26.203/med-detective/ — uvicorn на host (не Docker, через ufw FORWARD=DROP)
  • TODO для продакшну: підняти Groq API (якщо Сергій створить акаунт) АБО Gemini billing fix АБО посилити prompt "тільки українська, без русизмів"

2026-04-18 [plasma-skylab] EVA повністю знято — не наш канал

• Рішення: EVA виключається з roadmap Plasma Skylab. Не лише відсутній content-push API — EVA сама продає товари, тобто це не marketplace-для-нас, а конкурент/рітейлер з закритою логікою товарних карток.
• Статус research: zest-pharmacy-apis.md — negative result, EVA overranked. Не виправляти, а прибрати EVA з висновків.
• Залишаємо в pilot: apteka911 (через партнерський відділ) + tabletki.ua (через рекламний).
• Нова стратегія Zest content sync (без EVA):
  • Phase 0 (старт): content pack email per релізу — B2B asset bundle apteka911/tabletki
  • Phase 1: PIM як власний B2B content API (JSON endpoint) → партнери pull-ять
  • Phase 2: feed-партнерства по кожній мережі (XML/CSV адаптовано)
• Why: Сергій вручну звірив seller-support EVA — немає методу оновлення контенту картки; плюс сама модель EVA як own-retailer не підходить нашій дистрибуції.
• Impact: видалити EVA з open-tasks Zest-research висновків; не відкривати more research по EVA; Notion services DB — EVA-related records не додавати.

2026-04-18 [monitoring] Media Monitor — ТІЛЬКИ API, без manual

• Рішення: Media Monitor project будуємо виключно на API/scraper-інтеграціях. Ручні методи (manual FB Ad Library browse, manual TikTok Creative Center checks, ручний збір з Google Ads Transparency) виключаються повністю.
• Stack: Apify actors + Semrush API + FB Graph/Ad Library API + Google Trends через SerpApi + Looqme API + (опційно) DataForSEO.
• Відпадає: SimilarWeb ($1500+), manual-варіанти з media-research Phase 0.
• Why: Сергій явно сказав що manual-роботу команда не візьме; швидкість продукту "тут і зараз" вимагає pull-based архітектури. Research Phase 0 за $0 з ручними частинами — не застосовний.
• Impact: media-research.md Phase 0 ($0) — DEPRECATED. Нова точка старту — мінімальний API-стек ~$60/міс (Apify+FB+Trends+Looqme) або повний ~$200-250/міс з Semrush. Зберігання — Google Sheet → Looker або напряму BQ ad_data. Чекаю рішення від Сергія.

2026-04-18 [projects] Brand Threads відкладено, MVP = Heafolik reviews з legal compliance

• Рішення: Brand Threads MVP призупинено. Пріоритет — Reviews MVP (Heafolik). Сергій підключає юристів Deltamedical, щоб зафіксувати дозволений формат коментарів (що можна/не можна писати у відгуках БАД). Далі промпт бота буде навчено писати тільки у цьому форматі.
• Why: compliance-first підхід; legal-сигнал формує шаблон перед автоматизацією. Research по Brand Threads 17.04 показав ризики (ban 80%+) — треба зачекати.
• Impact:
  • Brand24 ($99/міс) у Notion → "🔵 Опціонально" (вже так)
  • Ресурси фокусуємо на Human-Chrome implementation + Reviews pilot
  • Чекаю від Сергія: legal guidelines → compliance-prompt для бота

2026-04-17 [projects]

Content Generator CIS consolidation

• baryonic-orion + crewai-content merge → Content Generator CIS (генерація контенту для ринків СНД). Поставлено на hold — є пріоритетніші задачі.
• Why: два дубльовані Content-генератори без чіткого розмежування ролей. Сергій вирішив сфокусуватись на Heafolik + tabletki.
• Impact: розблокує час для пріоритетних напрямків. При відновленні — один проект з об'єднаним стеком.

Google Ads Crisis fix DROPPED

• Задача "стратегія [Бренд]-PMax-TABLETKI.UA + правки описів" — знята з автоматизації. PMax-Tabletki стратегія не потрібна зараз.
• Why: стандартні AI-скіли дають незадовільний результат (фокус на дрібниці, ігнорують важливе). Сергій локально навчає нові скіли, потім передасть на автоматизацію.
• Impact: я не беру в роботу Google Ads дрібні фікси до появи нових скілів. Daily delta monitor продовжує працювати (він ok).

Ad Analytics Hub — реальний статус 55%, не 20%

• SA ad-pipeline-worker@ad-analytics-hub + BQ-dataset ad_data вже підключені. daily_delta_monitor.py у cron.
• Why: inventory був застарілий, я бачив тільки старий feedback. Сергій підтвердив що BQ працює, сьогодні локально пробує tabletki integration.
• Impact: % підвищено в agents_inventory.md. Tabletki — Сергій доробляє локально до завтра, потім опише.

⬇️ Аналітика — DEPRIORITIZED (17.04 вечір)

• Вся аналітика (BigPick, crisis-fix, 7 analysis-задач) опускається у пріоритеті поки Сергій локально не навчить нові скіли.
• Why: стандартні AI-скіли дають незадовільний результат; спроба автоматизації повертає "фокус на дрібниці, ігнорує важливе".
• Impact:
  • daily_delta_monitor.py продовжує працювати (автоматизований моніторинг — ок).
  • Будь-які нові аналітичні задачі/звіти — не беру в роботу, очікую нові скіли від Сергія.
  • Пріоритет зсувається на Heafolik + auto-transcription + інші проекти.

Heafolik — пріоритет

• Наступний крок: research безпеки auto-posting + закупка reCAPTCHA. Після research — пробувати публікувати ОДИН відгук per платформа до першого вдалого, потім ЗУПИНИТИ (не всі платформи).
• Skip платформи: Google Maps, Chrome UI (відмінено).
• Моніторинг: після публікації перевірити чи відгук з'явився (приклад add.ua) і чи пройшов модерацію.
• Why: ~88% не опубліковано (14/16). Вузьке місце — невідомість по автоматизованому publishing.
• Impact: заведу в open-tasks як головний пріоритет по відгуках.

Auto-status during long tasks

• Домовились: якщо задача триває >15 сек без output — слати edit_message "працюю над X, очікувано ще Nс".
• Why: сьогодні Сергій не розумів чи я завис під час whisper-транскрипції (17 хв CPU). "Ауу" треба уникати.
• Impact: додам heartbeat-reply в telegram-plugin wrap або watchdog-hook. Окрема задача.

Transcription pipeline — faster-whisper

• Переключились з openai-whisper small (10+ хв для 1-хв audio на CPU) на faster-whisper int8 (~18 сек).
• Why: блокер UX для голосових. openai-whisper CPU-path неприйнятний.
• Impact: /tmp/fw_transcribe.py як стандарт. Наступний крок: інтегрувати в telegram-bot voice-handler напряму.

---

2026-04-17 [infrastructure]

Watchdog responsiveness fix

• Додав check_bot_reply_gap() у /srv/services/claude-watchdog/watchdog.py: якщо inbound-Telegram-повідомлення чекає >3 хв + jsonl idle >2 хв → рестарт claude-bot.service.
• Додав check_post_boot_notification(): при зміні uptime -s шле в Telegram "🔄 Сервер перезавантажений".
• Why: 17.04 о 09:31 UTC хостер зробив ACPI short-press → граceful shutdown → бот 2 години мовчав. Старий watchdog тригерив тільки на downtime Anthropic API, не на "процес живий, але не polling".
• Impact: тепер будь-який silent-hang (tmux alive, но polling зламаний) призведе до авто-рестарту за 3-5 хв + алерт. Post-boot сповіщення гарантує, що після ребуту користувач знає.

Модель = Opus 4.7 для Telegram

• Підтверджено: основний Telegram-агент працює на claude-opus-4-7 з 17.04.2026.
• Why: тест нового рівня з 17.04 (per feedback_opus_usage.md, задача "Привітати з Opus 4.7" закрита).

Memory reorganization (in progress)

• Створюємо: decisions_log.md (цей), rules.md (консолідовані feedback-правила), agents_inventory.md (канонічний реєстр сервісів/крон/проектів).
• Why: 23 memory-файли без структури, правила розпорошені, немає "recent decisions" журналу → я часто не пам'ятаю домовленості. Консолідація + автозавантаження в SessionStart hook.
• Impact: на старті кожної сесії я матиму актуальні правила + останні 14 днів рішень + inventory.

---

2026-04-16 [ads]

Google Ads crisis — root cause знайдено

• PMax конверсії завищені через 3 точки розриву cross-domain medizine.ua↔.eu + LiqPay referral override + AJAX "Швидке замовлення".
• tabletki.ua PMax CPA = 133 грн vs medizine.ua CPA = 420 грн (3× різниця).
• Bioxine PMax Opt.Score 0% = немає активів + фід призупинено + немає goal.
• Рішення: стратегія [Бренд]-PMax-TABLETKI.UA для нульових брендів.
• Звіти: /srv/projects/google-ads-crew/reports/ (включно з GTM cross-domain fix).

BioGaia deploy

• Рефактор .env + /api/config endpoint + systemd + Caddy.
• Live: http://31.131.26.203/biogaia/.

GitHub PAT ротація

• Старий токен засвічено → видано новий: ghp_fHc2w... (user: serhiivereschak, expires May 14 2026).
• Локація: /srv/passepartout/github/tokens.txt.

---

2026-04-15 [architecture]

Двоінстанційна система

• Claude Cloud (VPS, Telegram, Opus) + Claude Desktop (Cowork, Windows) синхронізуються через git-repo ag-wiki.
• git pull кожні 15 хв (cron) для memory folder.
• Wiki-memory-sync Cowork → wiki щодня 20:04.
• Why: Різні середовища, різні задачі, але спільний контекст.

Куки і доступи

• GA4 Medizine ✅ (28K users, 291 покупок через куки)
• Google Ads MCC Delta Medical ✅
• Facebook ✅ (куки, до блокування 16.04)
• Looker Studio ✅
• Всі куки в /srv/passepartout/*/cookies-*.json

CrewAI Content запущено

• 4 агенти: Director + Researcher + Copywriter + ArtDir
• Через Gemini CLI (не API — дешевше і контекст більший)

---

2026-04-14 [foundations]

Ключі проєктів і комплаєнс

• Passepartout (/srv/passepartout/) — єдине місце для ключів. chmod 700, root-only.
• Ніяких секретів у коді чи .env поза Passepartout.

Personal vs Work пам'ять

• MEMORY.md — робочий контекст.
• MEMORY-PERSONAL.md — особисте (здоров'я, відпустка, LEGO).
• Не змішувати. Завантажувати по типу питання.

Розклад Сергія

• Пн, Чт — басейн (зайнятий).
• Вт, Ср, Пт, Сб, Нд — вільно, задачки о 20:00.

---

<!-- Архівовані записи (>14 днів) → sessions/YYYY-MM-DD-DESCRIPTION.md -->

2026-05-11 — n8n vs Python для pediatric-news

Рішення: відкласти міграцію на n8n. Pediatric-news pipeline залишається на Python (bot.py + infographic.py + threads_publisher.py), cron-driven.

Контекст: того ж дня закінчили інтеграцію Telegram-sendPhoto з PIL-інфографікою + Threads-thread з image у ROOT. Pipeline ~400 рядків Python.

Чому відкласти:

• Pipeline вже працює, рефактор ризиковий
• PIL render + кастомний JSON-parsing + Gemini-subprocess у n8n виглядали б як 5-7 Code-node'ів — той самий Python в обгортці UI
• Версіонування workflows у git гірше (JSON-дамп)

Ревью: 2026-05-26 (через 2 тижні продакшну). Якщо стабільно — залишаємо Python. Якщо є нестабільність / Сергій хоче visibility для команди — мігруємо тільки orchestration+alerting на n8n (Python core залишається).