On E16-korzina-zakaz-agregat: WIP backup before E16 cleanup: desktop+docs prior-session changes

index on E16-korzina-zakaz-agregat: c00f1920c4 [598-33][@ant ] feat: SDK-обёртки корзины и checkout (селекторы, queries, mutations) — дать desktop типизированный клиент для работы с корзиной и оформлением заказа
[598-33][@ant ] feat: SDK-обёртки корзины и checkout (селекторы, queries, mutations) — дать desktop типизированный клиент для работы с корзиной и оформлением заказа
2026-06-02 10:33:43 +00:00 · 2026-06-02 10:33:43 +00:00 · 2026-06-02 09:15:30 +00:00 · 2026-06-02 09:11:25 +00:00 · 2026-06-02 08:52:50 +00:00 · 2026-06-02 08:46:32 +00:00
1050 changed files with 53107 additions and 42403 deletions
@@ -0,0 +1,3 @@
+Trial run of Typecheck workflow on PR → dev.
+Created 2026-05-23 to measure end-to-end duration of vue-tsc (desktop) and tsc (controller).
+Do not merge; close after measurement.
@@ -5,8 +5,12 @@ name: Release
 # Порядок (через jobs.needs):
 #   1) release             — контракты + контейнеры + webhook деплоя (атомарно)
 #   2) publish-packages    — npm publish через lerna (если не -alpha)
-#   3) publish-docs        — mkdocs + standards-site → gh-pages (если не -alpha + ветка main)
-#   4) trigger-coopenomics — repository_dispatch в coopenomics/coopenomics (тот же гейт, что docs)
+#   3) trigger-coopenomics — workflow_dispatch сборки сайта C9S/coopenomics на
+#                            Gitea (если не -alpha + ветка main); он сам тянет
+#                            mono и пересобирает доки.
+#
+# publish-docs (gh-pages на github.com) удалён 2026-05-25 — после переезда на
+# Gitea Pages-публикация невалидна; доки деплоятся через C9S/coopenomics.
 #
 # Зачем последовательно: пакеты/доки/внешний триггер не должны уезжать,
 # если релиз контрактов или контейнеров провалился. Раньше четыре workflow'а
@@ -34,16 +38,7 @@ permissions:
  contents: write

 jobs:
-  # Гейт TS-типов перед сборкой образов. Reusable workflow `typecheck.yaml`
-  # запускает vue-tsc на desktop и tsc --noEmit на controller. Нужно потому,
-  # что `lerna run build` в корневом Dockerfile НЕ ловит TS-ошибки:
-  # quasar build идёт через esbuild с выключенным vueTsc, а у controller'а
-  # build-скрипта вообще нет (ts-node в рантайме).
-  typecheck:
-    uses: ./.github/workflows/typecheck.yaml
-
  release:
-    needs: typecheck
    runs-on: ubuntu-latest
    outputs:
      tag_name: ${{ steps.resolve.outputs.tag_name }}
@@ -127,14 +122,41 @@ jobs:
          password: ${{ secrets.DOCKERHUB_TOKEN }}

      # === Этап 1: контракты ===
+      # CDT ставим из .deb (C9S/cdt v4.2.0) прямо в окружение job'а и
+      # компилируем напрямую — БЕЗ вложенного docker. Почему не build-all.sh:
+      # тот монтирует $(pwd):/project в sibling-контейнер, а под Gitea
+      # act_runner сам job исполняется в контейнере → хостовый демон не видит
+      # этот путь, /project пуст, cmake падает "no CMakeLists.txt".
+      # build-all.sh остаётся для локальной сборки (оборачивает тот же
+      # build_contracts_cdt.sh в docker).
+      # CMakeLists хардкодит toolchain /cdt/build/...; .deb кладёт CDT в
+      # /usr/opt/cdt/4.2.0, а сам CDTWasmToolchain.cmake указывает на /usr
+      # абсолютно — поэтому симлинк /cdt/build → /usr/opt/cdt/4.2.0 сводит пути
+      # без правки CMakeLists.

-      - name: Pull CDT toolchain image
-        run: docker pull dicoop/blockchain_v5.1.1:dev
+      - name: Install CDT 4.2.0 toolchain (.deb)
+        run: |
+          SUDO=""; [ "$(id -u)" -ne 0 ] && SUDO="sudo"
+          $SUDO apt-get update
+          # build-essential — для host-компилятора (project() в CMakeLists);
+          # libz3-4/libtinfo6/libxml2/zlib1g — рантайм бинарей CDT (clang-9,
+          # ld.lld и т.д.). Пакет cdt объявляет только libcurl4-gnutls-dev,
+          # поэтому остальные .so ставим явно — в образе dicoop/blockchain они
+          # были из сборки исходников, из .deb не тянутся.
+          $SUDO apt-get install -y --no-install-recommends \
+            curl ca-certificates cmake make build-essential \
+            libz3-4 libtinfo6 libxml2 zlib1g
+          curl -fsSL -o /tmp/cdt.deb \
+            https://git.coopenomics.world/C9S/cdt/releases/download/v4.2.0/cdt_4.2.0-1_amd64.deb
+          $SUDO apt-get install -y /tmp/cdt.deb
+          $SUDO mkdir -p /cdt
+          $SUDO ln -sfn /usr/opt/cdt/4.2.0 /cdt/build
+          cdt-cpp --version || true

      - name: Compile contracts
        working-directory: components/contracts
        run: |
-          ./build-all.sh "$BUILD_MODE"
+          ./build_contracts_cdt.sh "$BUILD_MODE"
          echo "--- build/contracts ---"
          ls -la build/contracts/

@@ -215,6 +237,17 @@ jobs:
      - name: Build and push contracts image
        working-directory: components/contracts
        run: |
+          # Ретрай push'а: резолвинг registry-1.docker.io на runner'е изредка
+          # моргает (DNS-таймаут к 127.0.0.53) — 3 попытки с паузой.
+          dpush() {
+            local ref="$1" n=1
+            until docker push "$ref"; do
+              [ "$n" -ge 3 ] && { echo "::error::docker push $ref не удался после $n попыток"; return 1; }
+              echo "::warning::docker push $ref упал (попытка $n/3) — повтор через 10с"
+              n=$((n+1)); sleep 10
+            done
+          }
+
          IMAGE="dicoop/contracts"
          SHORT_SHA="${SHA::7}"
          docker build \
@@ -223,14 +256,14 @@ jobs:
            --label "build.mode=$BUILD_MODE" \
            -t "$IMAGE:$CONTRACTS_TAG" \
            ./docker/.context
-          docker push "$IMAGE:$CONTRACTS_TAG"
+          dpush "$IMAGE:$CONTRACTS_TAG"

          docker tag "$IMAGE:$CONTRACTS_TAG" "$IMAGE:$CONTRACTS_TAG-$SHORT_SHA"
-          docker push "$IMAGE:$CONTRACTS_TAG-$SHORT_SHA"
+          dpush "$IMAGE:$CONTRACTS_TAG-$SHORT_SHA"

          if [ -n "$CONTRACTS_EXTRA" ]; then
            docker tag "$IMAGE:$CONTRACTS_TAG" "$IMAGE:$CONTRACTS_EXTRA"
-            docker push "$IMAGE:$CONTRACTS_EXTRA"
+            dpush "$IMAGE:$CONTRACTS_EXTRA"
          fi

      - name: Verify pushed contracts image
@@ -243,15 +276,31 @@ jobs:

      - name: Build and push base image
        run: |
+          dpush() {
+            local ref="$1" n=1
+            until docker push "$ref"; do
+              [ "$n" -ge 3 ] && { echo "::error::docker push $ref не удался после $n попыток"; return 1; }
+              echo "::warning::docker push $ref упал (попытка $n/3) — повтор через 10с"
+              n=$((n+1)); sleep 10
+            done
+          }
          docker build --target runtime -t "dicoop/mono-base:$TAG_NAME" .
-          docker push "dicoop/mono-base:$TAG_NAME"
+          dpush "dicoop/mono-base:$TAG_NAME"
          if [ "$IS_PROD" = "true" ]; then
            docker tag "dicoop/mono-base:$TAG_NAME" dicoop/mono-base:latest
-            docker push dicoop/mono-base:latest
+            dpush dicoop/mono-base:latest
          fi

      - name: Build and push service images
        run: |
+          dpush() {
+            local ref="$1" n=1
+            until docker push "$ref"; do
+              [ "$n" -ge 3 ] && { echo "::error::docker push $ref не удался после $n попыток"; return 1; }
+              echo "::warning::docker push $ref упал (попытка $n/3) — повтор через 10с"
+              n=$((n+1)); sleep 10
+            done
+          }
          build_service() {
            local SVC="$1" PKG="$2" CMD="$3"
            local DOCKERFILE="Dockerfile.$SVC"
@@ -260,10 +309,10 @@ jobs:
              echo "CMD [\"pnpm\", \"-F\", \"$PKG\", \"run\", \"$CMD\"]"
            } > "$DOCKERFILE"
            docker build -t "dicoop/$SVC:$TAG_NAME" -f "$DOCKERFILE" .
-            docker push "dicoop/$SVC:$TAG_NAME"
+            dpush "dicoop/$SVC:$TAG_NAME"
            if [ "$IS_PROD" = "true" ]; then
              docker tag "dicoop/$SVC:$TAG_NAME" "dicoop/$SVC:latest"
-              docker push "dicoop/$SVC:latest"
+              dpush "dicoop/$SVC:latest"
            fi
          }

@@ -314,149 +363,44 @@ jobs:
          NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}

  # ============================================================================
-  # publish-docs — mkdocs + standards-site → gh-pages (бывший publish-docs.yaml).
+  # trigger-coopenomics-docs — пересборка сайта C9S/coopenomics.
  # Гейт: не-alpha + ветка main.
-  # ВНИМАНИЕ: gh-pages step пушит на github.com/coopenomics/mono — это GitHub
-  # Pages. При переезде на Gitea Actions нужно будет либо подложить PAT для
-  # внешнего push'а в GitHub, либо переключить публикацию на Gitea Pages.
-  # ============================================================================
-  publish-docs:
-    needs: release
-    if: ${{ !contains(github.ref, '-alpha') && needs.release.outputs.branch == 'main' }}
-    runs-on: ubuntu-latest
-    steps:
-      - name: Checkout repository
-        uses: actions/checkout@v4
-
-      # Версия pnpm берётся из `packageManager` корневого package.json,
-      # синхронно с publish-packages job'ом и Dockerfile'ами.
-      - name: Set up pnpm
-        uses: pnpm/action-setup@v4
-
-      - name: Set up Node.js
-        uses: actions/setup-node@v4
-        with:
-          node-version: 22
-          cache: pnpm
-
-      - name: Set up Python
-        uses: actions/setup-python@v4
-        with:
-          python-version: '3.10'
-
-      - name: Install Python requirements
-        run: |
-          python -m venv venv
-          source venv/bin/activate
-          pip install mkdocs-material mkdocs-macros-plugin mkdocs-section-index pymdown-extensions
-        working-directory: ./components/docs
-
-      - name: Install Node.js dependencies
-        run: pnpm install
-        working-directory: ./components/docs
-
-      - name: Patch spectaql-config.yml for CI
-        run: |
-          sed -i.bak "0,/url:.*/s|url:.*|url: 'https://testnet.coopenomics.world/backend/v1/graphql'|" spectaql-config.yml
-        working-directory: ./components/controller
-
-      - name: Show patched spectaql-config.yml
-        run: cat spectaql-config.yml
-        working-directory: ./components/controller
-
-      - name: Build cooptypes
-        run: pnpm run build
-        working-directory: ./components/cooptypes
-
-      - name: Generate controller docs
-        run: pnpm run docs
-        working-directory: ./components/controller
-
-      - name: Copy controller docs
-        run: |
-          mkdir -p ./components/docs/docs/graphql
-          cp -r ./components/controller/docs/* ./components/docs/docs/graphql/
-
-      - name: Generate sdk docs
-        run: pnpm run docs
-        working-directory: ./components/sdk
-
-      - name: Copy sdk docs
-        run: |
-          mkdir -p ./components/docs/docs/sdk
-          cp -r ./components/sdk/docs/* ./components/docs/docs/sdk/
-
-      - name: Generate cooptypes docs
-        run: pnpm run docs
-        working-directory: ./components/cooptypes
-
-      - name: Copy cooptypes docs
-        run: |
-          mkdir -p ./components/docs/docs/cooptypes
-          cp -r ./components/cooptypes/docs/* ./components/docs/docs/cooptypes/
-
-      # ── standards-site → /standards/ на docs.цифровой-кооператив.рф ──
-      # Отдельный Vue-сайт с BPMN-графом кооперативных стандартов,
-      # публикуется как поддиректория на том же домене. Vite собирает
-      # с base='/standards/' (см. vite.config.ts), относительные пути
-      # внутри dist/ и hash-router работают корректно.
-      # dist кладём в docs/standards/ ДО mkdocs build — так же, как
-      # graphql/sdk/cooptypes; mkdocs сам включит его в итоговый site/.
-      - name: Build standards-site
-        run: pnpm run build
-        working-directory: ./components/contracts/standards-site
-
-      - name: Copy standards-site into docs/standards
-        run: |
-          mkdir -p ./components/docs/docs/standards
-          cp -r ./components/contracts/standards-site/dist/* ./components/docs/docs/standards/
-
-      - name: Build docs (mkdocs)
-        run: |
-          source venv/bin/activate
-          mkdocs build
-        working-directory: ./components/docs
-
-      - name: Remove specific large file before publishing
-        run: |
-          rm -f ./components/docs/site/sdk/typedoc.json
-          if [ -f "./components/docs/site/sdk/typedoc.json" ]; then
-            echo "ERROR: typedoc.json still exists!"
-            exit 1
-          else
-            echo "SUCCESS: typedoc.json removed successfully"
-          fi
-
-      - name: Publish to GitHub Pages
-        run: npx gh-pages --nojekyll -d site --repo https://x-access-token:${GITHUB_TOKEN}@github.com/coopenomics/mono.git
-        working-directory: ./components/docs
-        env:
-          GIT_AUTHOR_NAME: github-actions
-          GIT_AUTHOR_EMAIL: github-actions@github.com
-          GIT_COMMITTER_NAME: github-actions
-          GIT_COMMITTER_EMAIL: github-actions@github.com
-          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
-
-      - name: Trigger docs deployment webhook
-        if: ${{ success() }}
-        run: |
-          curl -X POST "${{ vars.DOCS_DEPLOY_WEBHOOK_URL }}" \
-            -H 'Content-Type: application/json' \
-            -d '{"ref":"${{ github.ref }}","sha":"${{ github.sha }}","branch":"${{ github.ref_name }}"}'
-
-  # ============================================================================
-  # trigger-coopenomics-docs — repository_dispatch в coopenomics/coopenomics
-  # (бывший build-contracts-docs.yaml). Гейт идентичен publish-docs.
+  #
+  # coopenomics переехал на Gitea (C9S/coopenomics); его publish-docs.yaml
+  # клонирует mono и пересобирает сайт. Gitea НЕ имеет API для
+  # repository_dispatch — только workflow_dispatch, поэтому дёргаем целевой
+  # workflow через Gitea API с PAT (secret DOCS_DISPATCH_TOKEN — префикс GITEA_
+  # у секретов зарезервирован Gitea, нельзя; права write на C9S/coopenomics).
+  # Целевой workflow слушает workflow_dispatch с входами
+  # mono_sha/mono_ref.
  # ============================================================================
  trigger-coopenomics-docs:
    needs: release
    if: ${{ !contains(github.ref, '-alpha') && needs.release.outputs.branch == 'main' }}
    runs-on: ubuntu-latest
    steps:
-      - name: Trigger Coopenomics deployment
-        uses: peter-evans/repository-dispatch@v2
-        with:
-          token: ${{ secrets.COOPENOMICS_PAT }}
-          repository: coopenomics/coopenomics
-          event-type: deploy_from_mono
-          client-payload: '{"repository": "${{ github.repository }}", "sha": "${{ github.sha }}", "ref": "${{ github.ref }}", "actor": "${{ github.actor }}"}'
+      - name: Trigger coopenomics website rebuild (Gitea workflow_dispatch)
+        run: |
+          curl -fsSL -X POST \
+            -H "Authorization: token ${{ secrets.DOCS_DISPATCH_TOKEN }}" \
+            -H "Content-Type: application/json" \
+            -d '{"ref":"master","inputs":{"mono_sha":"${{ github.sha }}","mono_ref":"${{ github.ref }}"}}' \
+            "${{ github.server_url }}/api/v1/repos/C9S/coopenomics/actions/workflows/publish-docs.yaml/dispatches"
+
+  # ============================================================================
+  # trigger-mono-docs — деплой ВТОРОЙ документации (сайт доков mono) через
+  # webhook DOCS_DEPLOY_WEBHOOK_URL. Отдельная от coopenomics публикация —
+  # обе доки уезжают синхронно по релизу. Извлечён из бывшего publish-docs:
+  # gh-pages на github.com выпилен как мёртвый, остался реальный deploy-webhook
+  # (приёмник деплоит доки на своей стороне). Гейт: не-alpha + ветка main.
+  # ============================================================================
+  trigger-mono-docs:
+    needs: release
+    if: ${{ !contains(github.ref, '-alpha') && needs.release.outputs.branch == 'main' }}
+    runs-on: ubuntu-latest
+    steps:
+      - name: Trigger docs deployment webhook
+        run: |
+          curl -fsSL -X POST "${{ vars.DOCS_DEPLOY_WEBHOOK_URL }}" \
+            -H 'Content-Type: application/json' \
+            -d '{"ref":"${{ github.ref }}","sha":"${{ github.sha }}","branch":"${{ github.ref_name }}"}'
@@ -13,11 +13,11 @@ name: Typecheck
 #
 # Триггеры:
 #  - pull_request на dev — гейт перед мерджем в основную ветку;
-#  - workflow_call — переиспользуется из release.yaml как `needs:` у release-job,
-#    чтобы битый тэг не уехал в DockerHub.
+#  - workflow_call — оставлен для переиспользования, но release.yaml его
+#    больше НЕ вызывает (гейт из релиза убран как избыточный — типы
+#    проверяются на PR в dev до того, как код доедет до тэга).
 #
-# Push в dev/testnet/main НЕ триггерит — намеренно (PR-гейт достаточен,
-# а тэги покрывает workflow_call из release.yaml).
+# Push в dev/testnet/main НЕ триггерит — намеренно (PR-гейт на dev достаточен).

 on:
  pull_request:
@@ -42,13 +42,15 @@ jobs:
      - name: Install workspace
        run: pnpm install --frozen-lockfile

-      # cooptypes/factory/sdk собираются здесь, потому что desktop
-      # импортирует типы из @coopenomics/sdk (zeus-генерация поверх
-      # controller GraphQL-схемы), а sdk в свою очередь зависит от
-      # cooptypes. Без `unbuild` dist/ пусто — vue-tsc упадёт на
-      # «Cannot find module '@coopenomics/sdk'».
-      - name: Build type dependencies (cooptypes → factory → sdk)
-        run: pnpm lerna run build --scope cooptypes --scope @coopenomics/factory --scope @coopenomics/sdk
+      # Полный lerna build по всему workspace — как в корневом Dockerfile.
+      # Не --scope, потому что workspace-пакеты unbuild-типа (sdk, inter,
+      # notifications, factory, cooptypes, …) экспортируют типы только из
+      # сгенерированного dist/. Без dist/ tsc/vue-tsc валятся на TS2307
+      # «Cannot find module». Локально это маскируется ts-node-ом, но в
+      # CI пути резолвятся через package.json → types → dist/.
+      # См. Graphiti / run #148 root cause 2026-05-23.
+      - name: Build all workspace packages
+        run: pnpm lerna run build

      # quasar prepare генерирует .quasar/* (auto-imports d.ts, типы для
      # quasar плагинов). Без него vue-tsc ругается на отсутствующие
@@ -83,10 +85,12 @@ jobs:
      - name: Install workspace
        run: pnpm install --frozen-lockfile

-      # controller импортирует cooptypes и factory. Без build dist/
-      # типы не резолвятся — TS2307 на каждом import.
-      - name: Build type dependencies (cooptypes → factory)
-        run: pnpm lerna run build --scope cooptypes --scope @coopenomics/factory
+      # Полный lerna build по всему workspace — controller импортирует
+      # @coopenomics/sdk, @coopenomics/inter, @coopenomics/notifications
+      # помимо cooptypes/factory; их dist/ генерируется unbuild и без
+      # этого шага tsc валится на 37 TS2307. См. root cause выше.
+      - name: Build all workspace packages
+        run: pnpm lerna run build

      - name: tsc --noEmit (controller)
        run: pnpm --filter @coopenomics/controller run typecheck
@@ -1,4 +1,5 @@
 node_modules/
+node_modules
 lerna-debug.log
 components/controller/graph.png
 blockchain-data/
@@ -22,3 +23,5 @@ components/contracts/cpp/ledger2/scripts/out/

 .env.testnet
 .pnpm-store
+schema.gql
+.claude
@@ -1 +1,7 @@
 store-dir=./.pnpm-store
+supported-architectures.os[]=darwin
+supported-architectures.os[]=linux
+supported-architectures.cpu[]=x64
+supported-architectures.cpu[]=arm64
+supported-architectures.libc[]=glibc
+
@@ -214,6 +214,35 @@ await sendPOST('/v1/graphql', { query: QUERY, variables });

 Канон — `features/Branch/CreateBranch/{api,model}/index.ts`: тип в model `export type IXxxInput = Mutations.X.Y.IInput['data']`; функция в api `function (data: IXxxInput) { ... variables: { data } }`. Не делать `as` cast'ов.

+## ⚠️ ДИЗАЙН-КАНОН desktop — ОБЯЗАТЕЛЕН К ИСПОЛЬЗОВАНИЮ
+
+**ПРИ ЛЮБОЙ ВЁРСТКЕ В `components/desktop/` НЕ ВЫДУМЫВАТЬ СТИЛИ.** Всегда сначала свериться с каноном. Не строй гипотез о цветах/радиусах/типографике/паттернах из памяти — иди и читай.
+
+**Полная спецификация канона — в skill `/mono-desktop-canon`** (правила обёрток, цвета/токены, иконки, структура страницы, stop-signals). Здесь — короткая выжимка; при расхождении побеждает skill.
+
+**Источник истины — в самом репозитории** (НЕ внешние HTML/прототипы):
+
+| Что | Путь |
+|---|---|
+| Токены палитры/типографики/spacing/radii (`--p-*`) | `components/desktop/src/css/mono-platform/tokens.css` |
+| Прототип-классы компонентов + typography-утилиты `.t-*` | `components/desktop/src/css/mono-platform/components.css` |
+| Оверрайды Quasar под канон | `components/desktop/src/css/mono-platform/quasar-canon.css` |
+| Минимальная SCSS-палитра Quasar (`$primary`/`$dark`) | `components/desktop/src/css/quasar.variables.scss` |
+| Обёртки / доменные блоки / layout | `components/desktop/src/shared/ui/{base,domain,layout}/` |
+| **Живой эталон** (`/_dev/ui` в dev-сборке) | `components/desktop/src/pages/_dev/ui/index.vue` |
+
+**При сомнении — открыть `tokens.css` и `_dev/ui/index.vue`, смотреть как сделано там.** Внешний `shared/MONO Design System.html` и `auth-prototype/` каноном НЕ являются — это устаревшие прототипы.
+
+**Запреты:**
+- Экран собирается из готовых компонентов: `shared/ui/base` (вместо сырых `q-input`/`q-btn`/`q-card`/`q-table`/`q-chip`/`q-dialog`/`q-select`), `shared/ui/domain` (WalletCard, DataRow, DocumentRow, IdentityPanel…), `shared/ui/layout` (PageHead, PageTabs, AppHeader/AppDrawer). Голый Quasar — только где обёртки нет (`q-icon`, `q-toggle`, `q-list`, `q-menu`, `q-tooltip`, `q-tabs`, `q-separator`, `q-spinner`, `q-inner-loading`…). Props обёрток не угадывать — читать `*.types.ts` рядом.
+- Цвет — только токены `var(--p-*)` (поверхности `--p-surface*`, текст `--p-ink*`, линии `--p-line*`, акцент `--p-primary`, статусы `--p-pos/neg/warn/info`) либо utility-классы/color-props. Никаких сырых hex/rgb. Темы light/dark переключаются через `[data-theme]` на `<html>` — токены следуют сами.
+- Spacing/радиусы/типографика — токены `--p-1..--p-10` (4px…72px), `--p-r-sm/md/lg/xl`, `--p-fs-*`/`--p-lh-*` либо классы `.t-*`. Без хардкод-px.
+- Иконки — `q-icon(name='…')` именами Material Icons. **FontAwesome (`fa-*`) запрещён** — заменять на Material-эквивалент попутно.
+- Запрещённые/удаляемые токены: `--mp-*` (старый `marketplace-tokens.scss`), `--tr-*`, `--ds-*`. Легитимны только `--p-*`, `--q-*` (Quasar автоген), `--prog-*`.
+- Никаких локальных переопределений `.q-btn`/`.q-card`/`.q-notification` в feature-файлах — Quasar-overrides централизованы в `quasar-canon.css`.
+
+**Кейс 2026-05-28:** при сомнении в каноне пошёл искать его во внешнем HTML/auth-prototype вместо репозитория — перевёрстал не туда, переделывал. SoT — репо (`tokens.css` + `_dev/ui`) и skill `/mono-desktop-canon`, не внешние файлы.
+
 ## Frontend desktop — English имена

 В `components/desktop/` и любом Vue/TS frontend коде **все имена идентификаторов — английские**:
@@ -0,0 +1,139 @@
+# Запуск mono dev-стека на macOS
+
+Полная пошаговая инструкция, как поднять backend (`coopback`) + parser (`cooparser`) + блокчейн-ноду + БД на macOS через Docker Desktop. Прошёл — отметь, ниже разобраны типичные грабли.
+
+## TL;DR
+
+```bash
+cd ~/dacom-code/foundation/monocoop
+docker compose up -d                                                    # 1. поднять базу
+./scripts/dev-setup-macos.sh                                            # 2. одной командой (см. ниже скрипт)
+```
+
+Если скрипта ещё нет — выполняй шаги ниже руками.
+
+## Шаги
+
+### 1. Поднять контейнеры
+
+```bash
+docker compose up -d
+```
+
+Поднимутся: `node` (NodeOS), `mongo`, `monoredis`, `postgres`, `coopback`, `cooparser`. **MinIO** входит в дефолт. **OpenSearch** — нет (тяжёлый, см. опц. сервисы).
+
+### 2. Проверить чтоб .env'ы указывали на service-имена, а не localhost
+
+`components/controller/.env`:
+- `MONGODB_URL=mongodb://mongo:27017/cooperative-x`
+- `REDIS_HOST=monoredis`
+- `POSTGRES_HOST=postgres`, `POSTGRES_PASSWORD=postgres!23!23`
+- `BLOCKCHAIN_RPC=http://node:8888`
+- `SIMPLE_EXPLORER_API=http://cooparser:4000`
+- `MINIO_ENDPOINT=minio:9000`
+- `CHAIN_ID=<реальный chain_id, см. ниже>`
+
+`components/parser/.env`:
+- `MONGO_EXPLORER_URI=mongodb://mongo:27017/cooperative-x`
+- `REDIS_HOST=monoredis`
+- `API=http://node:8888`
+- `SHIP=ws://node:8080`
+
+**Почему service-имена:** все контейнеры в bridge-сети `monocoop_default`. Внутри контейнера `127.0.0.1` = сам контейнер, не host. На macOS `network_mode: host` в Docker Desktop работает плохо — используем bridge + service names.
+
+### 3. Узнать живой chain_id
+
+```bash
+curl -s http://localhost:8888/v1/chain/get_info | jq -r .chain_id
+```
+
+И вписать в `components/controller/.env` → `CHAIN_ID=...`. **Если chain_id в .env не совпадает с живым — on-chain транзакции упадут на verify, хотя приложение запустится.**
+
+### 4. Если правил .env — пересоздать контейнер (не restart!)
+
+```bash
+docker compose up -d --force-recreate --no-deps coopback cooparser
+```
+
+`docker restart` **не перечитывает** `env_file`. `--no-deps` — чтобы не пересоздавать БД (потеряются данные).
+
+### 5. Native binding libxmljs2 — пересборка под Linux
+
+На свежем чекауте `pnpm install` запускается на macOS, и `libxmljs2` собирает Mach-O бинарник. В Linux-контейнере он падает:
+
+```
+Error: .../xmljs.node: invalid ELF header  ERR_DLOPEN_FAILED
+```
+
+**Фикс** (один раз после `pnpm install`):
+
+```bash
+docker exec monocoop-coopback-1 sh -c '
+  cd /app/node_modules/.pnpm/libxmljs2@0.37.0/node_modules/libxmljs2 \
+  && rm -rf build \
+  && PATH="$PWD/node_modules/.bin:$PATH" npm run install
+'
+docker restart monocoop-coopback-1
+```
+
+Проверка — magic bytes Linux ELF:
+```bash
+docker exec monocoop-coopback-1 sh -c \
+  'head -c 4 /app/node_modules/.pnpm/libxmljs2@0.37.0/node_modules/libxmljs2/build/Release/xmljs.node | od -c -N 4'
+# Должно быть:  177   E   L   F
+# Если cf fa ed fe — это macOS Mach-O, фикс не применился.
+```
+
+### 6. Дождаться cold-start coopback (~5–6 минут)
+
+`ts-node` без cache + DI tree NestJS = долго. Первые логи появляются спустя ~5 минут после старта контейнера.
+
+```bash
+docker logs -f monocoop-coopback-1 | grep -E 'NestJS app|Nest application|Error'
+```
+
+Готово, когда видишь:
+```
+Nest application successfully started
+NestJS app with Express routes running on port 2998
+```
+
+Проверка:
+```bash
+curl -s -X POST -H 'Content-Type: application/json' \
+  -d '{"query":"{__typename}"}' http://localhost:2998/v1/graphql
+# {"data":{"__typename":"Query"}}
+```
+
+## Опциональные сервисы
+
+### OpenSearch (поиск)
+
+```bash
+docker compose --profile search up -d opensearch
+```
+
+Затем в `components/controller/.env`:
+```
+OPENSEARCH_ENABLED=true
+```
+И пересоздать coopback:
+```bash
+docker compose up -d --force-recreate --no-deps coopback
+```
+
+## Грабли (если опять провозился пол-дня)
+
+| Симптом | Причина | Фикс |
+|---|---|---|
+| `invalid ELF header` | host'овый `pnpm install` положил Mach-O | См. п. 5 — пересборка libxmljs2 в контейнере |
+| `MongooseServerSelectionError: ECONNREFUSED 127.0.0.1:27017` | .env на localhost вместо service-имени | См. п. 2 |
+| `password authentication failed for user "postgres"` | в .env `POSTGRES_PASSWORD=postgres` вместо `postgres!23!23` | См. п. 2 |
+| Coopback ушёл в restart-loop, но рядом есть другой `monocoop-coopback-1` Up | Случайно запустился старый `components/controller/docker-compose.yml` (network_mode: host, без bind-mount, без CMD) | `docker stop coopback && docker rm coopback` |
+| `docker restart` не подхватил новые переменные .env | `restart` не перечитывает `env_file` | `docker compose up -d --force-recreate --no-deps <svc>` |
+| Coopback зависает на 5+ минут, лога нет | Это нормально для cold-start ts-node | Подождать. CPU должен крутиться ≥50%. Если CPU = 0% — другая проблема |
+| `[VaultDomainService] Ошибка при получении WIF... bad decrypt` | SERVER_SECRET не совпадает с тем, чем шифровали WIF в БД | См. CLAUDE.md → раздел Vault & SERVER_SECRET. Дефолт — `SECRET` |
+| Транзакции падают на on-chain verify | CHAIN_ID в .env не совпадает с живым | См. п. 3 |
+| `Custom endpoint \`minio://9000\` was not a valid URI` на bootstrap | `MINIO_ENDPOINT` без схемы | `MINIO_ENDPOINT=http://minio:9000` (со схемой!) |
+| nodeos в restart-loop с `Database dirty flag set` после sleep/crash Docker Desktop | unclean shutdown chain state | `docker stop monocoop-node-1`; `mv blockchain-data/state-history{,.broken-$(date +%s)}`; `docker compose up -d node` — nodeos сам сделает replay |
+| Cold-start coopback 10+ минут (вместо обычных 3-5) | ts-node без cache + bind-mount через osxfs + параллельная нагрузка (nodeos replay) | Подождать; в будущем — `tsx` / `ts-node --swc` для dev-режима |
@@ -1,6 +1,6 @@
 {
  "name": "@coopenomics/blago-cli",
-  "version": "2026.5.23-4",
+  "version": "2026.5.30-alpha-2",
  "description": "CLI синхронизации артефактов Благорост с бэкендом через @coopenomics/sdk",
  "type": "module",
  "private": true,
@@ -362,9 +362,9 @@ export async function runCli(argv: string[]): Promise<void> {
    )
    .action(async (paths: string[]) => {
      const root = requireRoot()
-      const { stagedPaths, skippedUnchanged, skippedIgnored, skippedPullOnlyArtifacts } = await runAdd(root, paths)
+      const { stagedPaths, skippedUnchanged, skippedIgnored, skippedPullOnlyArtifacts, skippedNonEntity } = await runAdd(root, paths)
      success(
-        `Staging обновлён: в списке ${stagedPaths.length} путь(ей). Пропущено без изменений относительно индекса: ${skippedUnchanged}; по .blagoignore: ${skippedIgnored}; артефакты только pull (messages/ и meetings/): ${skippedPullOnlyArtifacts}.`,
+        `Staging обновлён: в списке ${stagedPaths.length} путь(ей). Пропущено без изменений относительно индекса: ${skippedUnchanged}; по .blagoignore: ${skippedIgnored}; артефакты только pull (messages/ и meetings/): ${skippedPullOnlyArtifacts}; не blago-сущности (нет type=project/issue/story во frontmatter): ${skippedNonEntity}.`,
      )
    })

@@ -38,6 +38,22 @@ export function parseBlagoMarkdown(raw: string): ParsedBlagoFile {
  }
 }

+/** Не бросает: возвращает тип сущности blago, если файл — корректный project/issue/story; иначе undefined. */
+export function peekBlagoEntityType(raw: string): EntityFrontmatterType | undefined {
+  let file: ReturnType<typeof matter>
+  try {
+    file = matter(raw)
+  }
+  catch {
+    return undefined
+  }
+  const t = file.data?.type
+  if (t === 'project' || t === 'issue' || t === 'story') {
+    return t
+  }
+  return undefined
+}
+
 export function serializeBlagoMarkdown(data: Record<string, unknown>, body: string): string {
  const trimmed = body.endsWith('\n') ? body : `${body}\n`
  // matter.stringify(string, data) сначала парсит string как frontmatter — body, начинающийся
@@ -3,6 +3,7 @@
 import * as fs from 'node:fs/promises'
 import * as path from 'node:path'

+import { peekBlagoEntityType } from '../format/index.js'
 import { sha256Hex } from '../lib/hash.js'
 import { expandBlagoUserTargetsToRelativePaths } from './capital-target-expand.js'
 import { isBlagoSyncExcludedDirName, isIgnoredRelativePath, loadBlagoIgnoreRules } from './ignore.js'
@@ -28,19 +29,39 @@ async function collectMarkdownFiles(absDir: string): Promise<string[]> {
  return out
 }

-/** true — файл стоит поставить в staging: нет в индексе или SHA256 на диске ≠ content_etag_local. */
-async function isDirtyVsIndex(root: string, rel: string, index: Awaited<ReturnType<typeof loadIndex>>): Promise<boolean> {
-  const entry = findByRelativePath(index, rel)
-  if (!entry) {
-    return true
-  }
+type FileCheck =
+  | { kind: 'unreadable' }
+  | { kind: 'non-entity' }
+  | { kind: 'clean' }
+  | { kind: 'dirty' }
+
+/**
+ * Решение по одному файлу для staging:
+ * — нечитаемый → dirty (push сам сообщит вменяемую ошибку),
+ * — без корректного frontmatter type → non-entity (README/notes/CLAUDE/AGENTS и пр. не отправляем),
+ * — есть в индексе и sha256 совпал → clean,
+ * — иначе dirty.
+ */
+async function classifyFileForAdd(
+  root: string,
+  rel: string,
+  index: Awaited<ReturnType<typeof loadIndex>>,
+): Promise<FileCheck> {
+  let raw: string
  try {
-    const raw = await fs.readFile(path.join(root, rel), 'utf8')
-    return sha256Hex(raw) !== entry.content_etag_local
+    raw = await fs.readFile(path.join(root, rel), 'utf8')
  }
  catch {
-    return true
+    return { kind: 'unreadable' }
  }
+  if (peekBlagoEntityType(raw) === undefined) {
+    return { kind: 'non-entity' }
+  }
+  const entry = findByRelativePath(index, rel)
+  if (!entry) {
+    return { kind: 'dirty' }
+  }
+  return sha256Hex(raw) === entry.content_etag_local ? { kind: 'clean' } : { kind: 'dirty' }
 }

 export interface RunAddResult {
@@ -50,6 +71,8 @@ export interface RunAddResult {
  skippedIgnored: number
  /** messages/ и meetings/ — только синхронизация с сервера, в push не идут */
  skippedPullOnlyArtifacts: number
+  /** Файлы без корректного blago-frontmatter (README, notes, CLAUDE/AGENTS и пр.) — в staging не попадают */
+  skippedNonEntity: number
 }

 export async function runAdd(root: string, targets: string[]): Promise<RunAddResult> {
@@ -65,6 +88,7 @@ export async function runAdd(root: string, targets: string[]): Promise<RunAddRes
  let skippedUnchanged = 0
  let skippedIgnored = 0
  let skippedPullOnlyArtifacts = 0
+  let skippedNonEntity = 0

  for (const t of expanded) {
    const abs = path.resolve(root, t)
@@ -86,7 +110,12 @@ export async function runAdd(root: string, targets: string[]): Promise<RunAddRes
        skippedPullOnlyArtifacts += 1
        continue
      }
-      if (!(await isDirtyVsIndex(root, rel, index))) {
+      const check = await classifyFileForAdd(root, rel, index)
+      if (check.kind === 'non-entity') {
+        skippedNonEntity += 1
+        continue
+      }
+      if (check.kind === 'clean') {
        skippedUnchanged += 1
        continue
      }
@@ -96,5 +125,5 @@ export async function runAdd(root: string, targets: string[]): Promise<RunAddRes

  const stagedPaths = [...set].sort()
  await saveStaging(root, { paths: stagedPaths })
-  return { stagedPaths, skippedUnchanged, skippedIgnored, skippedPullOnlyArtifacts }
+  return { stagedPaths, skippedUnchanged, skippedIgnored, skippedPullOnlyArtifacts, skippedNonEntity }
 }
@@ -9,12 +9,15 @@ export interface CommunicationCursorsFile {
  messageLastTsByRoom: Record<string, number>
  /** project_hash → ISO instant: транскрипции с endedAt ≤ этого момента уже выгружены */
  transcriptionLastEndedExclusiveByProject: Record<string, string>
+  /** matrixRoomId → ISO instant: транскрипции непроектной комнаты с endedAt ≤ этого момента уже выгружены */
+  transcriptionLastEndedExclusiveByRoom: Record<string, string>
 }

 function empty(): CommunicationCursorsFile {
  return {
    messageLastTsByRoom: {},
    transcriptionLastEndedExclusiveByProject: {},
+    transcriptionLastEndedExclusiveByRoom: {},
  }
 }

@@ -32,6 +35,11 @@ export async function loadCommunicationCursors(root: string): Promise<Communicat
        && typeof parsed.transcriptionLastEndedExclusiveByProject === 'object'
          ? { ...parsed.transcriptionLastEndedExclusiveByProject }
          : {},
+      transcriptionLastEndedExclusiveByRoom:
+        parsed.transcriptionLastEndedExclusiveByRoom !== undefined
+        && typeof parsed.transcriptionLastEndedExclusiveByRoom === 'object'
+          ? { ...parsed.transcriptionLastEndedExclusiveByRoom }
+          : {},
    }
  }
  catch {
@@ -43,7 +43,6 @@ export function projectCommunicationDayToMarkdown(
 }

 export interface TranscriptionHeaderModel {
-  matrixRoomId: string
  roomId: string
  startedAt: Date | string
  endedAt: Date | string | null | undefined
@@ -71,7 +70,6 @@ export function renderCallTranscriptionMarkdown(
  const header = [
    `# Транскрипция звонка`,
    ``,
-    `- Matrix room: \`${transcription.matrixRoomId}\``,
    `- LiveKit room: \`${transcription.roomId}\``,
    `- Начало: ${start.toISOString()}`,
    `- Окончание: ${end ? end.toISOString() : '—'}`,
@@ -25,7 +25,7 @@ import {
  transcriptionMeetingFileStemUtc,
  type CommunicationDayLine,
 } from './communication-markdown.js'
-import { workspaceBasePath, type ProjectPathModel } from './layout.js'
+import { generateSlug, workspaceBasePath, type ProjectPathModel } from './layout.js'
 import { syncEntityFile } from './sync-entity-file.js'

 interface ProjectRowLite {
@@ -183,6 +183,19 @@ async function listRooms(ctx: AuthenticatedContext, projectHash: string) {
  return q[Queries.ChatCoop.ListProjectCommunicationRooms.name] ?? []
 }

+/** Стабильная папка непроектной комнаты в `rooms/`. Системные — фиксированные, комнаты секретаря — slug + хвост id (уникальность). */
+function nonProjectRoomFolder(kind: string, matrixRoomId: string, displayLabel: string): string {
+  if (kind === 'MEMBERS') {
+    return 'komnata-paishchikov'
+  }
+  if (kind === 'COUNCIL') {
+    return 'komnata-soveta'
+  }
+  const slug = generateSlug(displayLabel) || 'komnata'
+  const shortId = createHash('sha256').update(matrixRoomId, 'utf8').digest('hex').slice(0, 6)
+  return `${slug}-${shortId}`
+}
+
 export async function pullProjectCommunicationArtifacts(
  ctx: AuthenticatedContext,
  index: IndexFile,
@@ -198,6 +211,7 @@ export async function pullProjectCommunicationArtifacts(
    cursors = {
      messageLastTsByRoom: {},
      transcriptionLastEndedExclusiveByProject: {},
+      transcriptionLastEndedExclusiveByRoom: {},
    }
  }

@@ -356,7 +370,6 @@ export async function pullProjectCommunicationArtifacts(
          = dateFromUnknown(tr.endedAt) ?? (tr.endedAt as Date | string | null | undefined)
        const md = renderCallTranscriptionMarkdown(
          {
-            matrixRoomId: String(tr.matrixRoomId),
            roomId: String(tr.roomId),
            startedAt,
            endedAt: endedAtTr,
@@ -422,3 +435,207 @@ export async function pullProjectCommunicationArtifacts(
    warn(`Не удалось сохранить курсоры переписки: ${formatThrownValue(e)}`)
  }
 }
+
+/**
+ * Pull переписки и транскрипций из комнат ВНЕ проектов Capital (пайщики, совет, комнаты секретаря).
+ * Раскладка — отдельная верхняя папка `rooms/<folder>/{messages,meetings}/`, чтобы не смешивать с
+ * проектными `meetings/`. Логика идентична проектной, но bucket = одна комната, курсор транскрипций — по matrixRoomId.
+ */
+export async function pullNonProjectCommunicationArtifacts(
+  ctx: AuthenticatedContext,
+  index: IndexFile,
+): Promise<void> {
+  let rooms: { matrixRoomId: string, displayLabel: string, kind: string }[]
+  try {
+    const q = await ctx.client.Query(Queries.ChatCoop.ListNonProjectCommunicationRooms.query, {})
+    rooms = (q[Queries.ChatCoop.ListNonProjectCommunicationRooms.name] ?? []) as typeof rooms
+  }
+  catch (e) {
+    warn(`Список непроектных комнат (chatcoopListNonProjectCommunicationRooms): ${formatThrownValue(e)}`)
+    return
+  }
+  if (rooms.length === 0) {
+    return
+  }
+
+  let cursors: CommunicationCursorsFile
+  try {
+    cursors = await loadCommunicationCursors(ctx.root)
+  }
+  catch (e) {
+    warn(`Курсоры переписки (комнаты): не удалось прочитать, начинаем с пустых: ${formatThrownValue(e)}`)
+    cursors = {
+      messageLastTsByRoom: {},
+      transcriptionLastEndedExclusiveByProject: {},
+      transcriptionLastEndedExclusiveByRoom: {},
+    }
+  }
+
+  for (const room of rooms) {
+    const folder = nonProjectRoomFolder(room.kind, room.matrixRoomId, room.displayLabel)
+    const basePath = `rooms/${folder}`
+    const roomTitle = room.displayLabel || room.matrixRoomId
+
+    // Сообщения комнаты — по календарным суткам UTC новее курсора.
+    try {
+      const last = cursors.messageLastTsByRoom[room.matrixRoomId]
+      const afterTs = last ?? 0
+      const datesQ = await ctx.client.Query(Queries.ChatCoop.ListUtcDatesWithNewRoomMessages.query, {
+        variables: { data: { matrixRoomId: room.matrixRoomId, afterOriginServerTsExclusive: afterTs } },
+      })
+      const dates = (datesQ[Queries.ChatCoop.ListUtcDatesWithNewRoomMessages.name] ?? []).sort()
+      for (const utcDate of dates) {
+        const mq = await ctx.client.Query(Queries.ChatCoop.GetRoomMessagesForUtcDate.query, {
+          variables: { data: { matrixRoomId: room.matrixRoomId, utcDate } },
+        })
+        const linesRaw = mq[Queries.ChatCoop.GetRoomMessagesForUtcDate.name] ?? []
+        const lines: CommunicationDayLine[] = linesRaw.map(m => ({
+          originServerTs: m.originServerTs,
+          authorLabel: m.authorLabel,
+          coopUsername: m.coopUsername,
+          kind: String(m.kind),
+          bodyText: m.bodyText,
+        }))
+        if (lines.length === 0) {
+          continue
+        }
+        const content = projectCommunicationDayToMarkdown(roomTitle, room.matrixRoomId, utcDate, [
+          { displayLabel: room.displayLabel, matrixRoomId: room.matrixRoomId, lines },
+        ])
+        const rel = `${basePath}/messages/${utcDate}.md`
+        const entityHash = messageDayEntityHash(room.matrixRoomId, utcDate)
+        await syncEntityFile({
+          root: ctx.root,
+          index,
+          entityType: 'room_message_day',
+          entityHash,
+          relativePath: rel,
+          content,
+          remoteUpdatedAt: `${utcDate}T23:59:59.999Z`,
+          label: `переписка ${utcDate} (${room.matrixRoomId})`,
+        })
+      }
+
+      const maxQ = await ctx.client.Query(Queries.ChatCoop.GetMaxOriginServerTsForRoom.query, {
+        variables: { data: { matrixRoomId: room.matrixRoomId } },
+      })
+      const maxTs = maxQ[Queries.ChatCoop.GetMaxOriginServerTsForRoom.name] as number | null | undefined
+      if (maxTs !== undefined && maxTs !== null && Number.isFinite(maxTs)) {
+        cursors.messageLastTsByRoom[room.matrixRoomId] = maxTs
+      }
+    }
+    catch (e) {
+      warn(`Переписка Matrix, комната ${room.matrixRoomId} (${roomTitle}): ${formatThrownValue(e)}`)
+    }
+
+    // Транскрипции звонков комнаты + sibling memo.
+    try {
+      const tExIso = cursors.transcriptionLastEndedExclusiveByRoom[room.matrixRoomId]
+      const lowerBoundExclusive = tExIso === undefined ? new Date(0) : new Date(tExIso)
+
+      interface TranscriptionCandidate {
+        id: string
+        endedAt: Date
+        memo: string
+        updatedAt: Date | undefined
+      }
+      const byId = new Map<string, TranscriptionCandidate>()
+      const tq = await ctx.client.Query(Queries.ChatCoop.GetTranscriptions.query, {
+        variables: { data: { matrixRoomId: room.matrixRoomId, limit: CHATCOOP_TRANSCRIPTIONS_QUERY_LIMIT, offset: 0 } },
+      })
+      const list = tq[Queries.ChatCoop.GetTranscriptions.name] ?? []
+      for (const t of list) {
+        const end = dateFromUnknown(t.endedAt)
+        if (t.status !== Zeus.TranscriptionStatus.COMPLETED || !end) {
+          continue
+        }
+        const prev = byId.get(t.id)
+        if (!prev || end > prev.endedAt) {
+          byId.set(t.id, {
+            id: t.id,
+            endedAt: end,
+            memo: typeof t.memo === 'string' ? t.memo : '',
+            updatedAt: dateFromUnknown(t.updatedAt),
+          })
+        }
+      }
+      const allCompleted = [...byId.values()].sort((a, b) => a.endedAt.getTime() - b.endedAt.getTime())
+
+      const newMeetings = allCompleted.filter(c => c.endedAt.getTime() > lowerBoundExclusive.getTime())
+      let maxEnded: Date | null = null
+      for (const c of newMeetings) {
+        const packQ = await ctx.client.Query(Queries.ChatCoop.GetTranscription.query, {
+          variables: { data: { id: c.id } },
+        })
+        const pack = packQ[Queries.ChatCoop.GetTranscription.name]
+        if (!pack?.transcription || pack.transcription.status !== Zeus.TranscriptionStatus.COMPLETED) {
+          continue
+        }
+        const tr = pack.transcription
+        const startedAt: Date | string = dateFromUnknown(tr.startedAt) ?? (tr.startedAt as Date | string)
+        const endedAtTr: Date | string | null | undefined
+          = dateFromUnknown(tr.endedAt) ?? (tr.endedAt as Date | string | null | undefined)
+        const md = renderCallTranscriptionMarkdown(
+          {
+            roomId: String(tr.roomId),
+            startedAt,
+            endedAt: endedAtTr,
+          },
+          pack.segments.map(s => ({
+            speakerName: s.speakerName,
+            text: s.text,
+            startOffset: s.startOffset,
+            endOffset: s.endOffset,
+          })),
+        )
+        const stem = transcriptionMeetingFileStemUtc(c.endedAt)
+        const rel = `${basePath}/meetings/${stem}.md`
+        const entityHash = c.id.toLowerCase()
+        await syncEntityFile({
+          root: ctx.root,
+          index,
+          entityType: 'call_transcription',
+          entityHash,
+          relativePath: rel,
+          content: md,
+          remoteUpdatedAt: toUpdatedIso(c.endedAt),
+          label: `транскрипция ${c.id}`,
+        })
+        if (!maxEnded || c.endedAt > maxEnded) {
+          maxEnded = c.endedAt
+        }
+      }
+
+      for (const c of allCompleted) {
+        const stem = transcriptionMeetingFileStemUtc(c.endedAt)
+        const memoRel = `${basePath}/meetings/${stem}.memo.md`
+        const memoRemoteUpdatedAt = toUpdatedIso(c.updatedAt ?? c.endedAt)
+        await syncTranscriptionMemoFile({
+          root: ctx.root,
+          index,
+          transcriptionId: c.id,
+          relativePath: memoRel,
+          serverMemo: c.memo,
+          remoteUpdatedAtIso: memoRemoteUpdatedAt,
+        })
+      }
+
+      if (maxEnded) {
+        cursors.transcriptionLastEndedExclusiveByRoom[room.matrixRoomId] = maxEnded.toISOString()
+      }
+      else if (tExIso === undefined) {
+        cursors.transcriptionLastEndedExclusiveByRoom[room.matrixRoomId] = new Date().toISOString()
+      }
+    }
+    catch (e) {
+      warn(`Транскрипции звонков, комната ${room.matrixRoomId}: ${formatThrownValue(e)}`)
+    }
+  }
+
+  try {
+    await saveCommunicationCursors(ctx.root, cursors)
+  }
+  catch (e) {
+    warn(`Не удалось сохранить курсоры переписки (комнаты): ${formatThrownValue(e)}`)
+  }
+}
@@ -28,7 +28,7 @@ import {
  storyFileRelativePath,
  workspaceBasePath,
 } from './layout.js'
-import { pullProjectCommunicationArtifacts } from './pull-communication.js'
+import { pullNonProjectCommunicationArtifacts, pullProjectCommunicationArtifacts } from './pull-communication.js'
 import { scaffoldBmadWorkspacesAfterPull } from './scaffold-bmad-workspace.js'
 import { syncEntityFile } from './sync-entity-file.js'
 import { writeWorkspaceIndexMarkdown } from './workspace-index.js'
@@ -329,6 +329,8 @@ export async function runPull(ctx: AuthenticatedContext, options: RunPullOptions

  await pullProjectCommunicationArtifacts(ctx, index, allProjects, projectByHash)

+  await pullNonProjectCommunicationArtifacts(ctx, index)
+
  await scaffoldBmadWorkspacesAfterPull(ctx, allProjects, projectByHash)

  await saveIndex(ctx.root, index)
@@ -6,7 +6,7 @@ import * as fs from 'node:fs/promises'
 import * as path from 'node:path'

 import { Mutations, Queries } from '@coopenomics/sdk'
-import { parseBlagoMarkdown } from '../format/index.js'
+import { parseBlagoMarkdown, peekBlagoEntityType } from '../format/index.js'
 import { sha256Hex } from '../lib/hash.js'
 import { effectiveParentHash } from '../lib/parent-hash.js'
 import { warn } from '../ui/output.js'
@@ -58,6 +58,30 @@ export async function runPush(ctx: AuthenticatedContext): Promise<void> {
    }
    staging = await loadStaging(ctx.root)
  }
+  // Не-сущности (README/notes/CLAUDE/AGENTS и пр., в .md без type=project|issue|story) тоже не должны валить весь push.
+  // Чистим их автоматически — иначе одна забытая заметка блокирует отправку реальных правок.
+  const stagingAbs = (p: string): string => path.join(ctx.root, normalizeRelativePath(p))
+  const nonEntityInStaging: string[] = []
+  for (const p of staging.paths) {
+    try {
+      const raw = await fs.readFile(stagingAbs(p), 'utf8')
+      if (peekBlagoEntityType(raw) === undefined) {
+        nonEntityInStaging.push(normalizeRelativePath(p))
+      }
+    }
+    catch {
+      // нечитаемый файл — пусть основной цикл бросит понятную ошибку с путём
+    }
+  }
+  if (nonEntityInStaging.length > 0) {
+    const drop = new Set(nonEntityInStaging)
+    const kept = staging.paths.filter(p => !drop.has(normalizeRelativePath(p)))
+    await saveStaging(ctx.root, { paths: [...new Set(kept.map(p => normalizeRelativePath(p)))].sort() })
+    for (const p of nonEntityInStaging) {
+      warn(`Убрано из staging (нет blago-frontmatter type=project|issue|story): ${p}`)
+    }
+    staging = await loadStaging(ctx.root)
+  }
  if (staging.paths.length === 0) {
    throw new Error('Нечего отправлять. Добавьте файлы: blago add <путь | id проекта | projectId-issueId>')
  }
@@ -75,8 +99,24 @@ export async function runPush(ctx: AuthenticatedContext): Promise<void> {
    }
    const abs = path.join(ctx.root, n)
    const raw = await fs.readFile(abs, 'utf8')
-    const parsed = parseBlagoMarkdown(raw)
-    const { type, hash } = validateParsedForPush(parsed)
+    let parsed: ReturnType<typeof parseBlagoMarkdown>
+    try {
+      parsed = parseBlagoMarkdown(raw)
+    }
+    catch (err) {
+      // Без префикса путём из staging вылезает «type: undefined» без указания файла.
+      const msg = err instanceof Error ? err.message : String(err)
+      throw new Error(`Файл «${n}»: ${msg}`)
+    }
+    let type: ReturnType<typeof validateParsedForPush>['type']
+    let hash: string
+    try {
+      ({ type, hash } = validateParsedForPush(parsed))
+    }
+    catch (err) {
+      const msg = err instanceof Error ? err.message : String(err)
+      throw new Error(`Файл «${n}»: ${msg}`)
+    }
    const entry = findByHash(index, type, hash)
    const pKind = pendingKindForEntityType(type)
    const pending = pKind ? await findPendingForParsed(ctx.root, pKind, hash) : undefined
@@ -367,7 +367,6 @@ export async function runRestore(ctx: AuthenticatedContext, userPath: string): P
  if (entry.entity_type === 'call_transcription') {
    interface TranscriptionRestorePack {
      transcription: {
-        matrixRoomId: string
        roomId: string
        startedAt: Date | string
        endedAt: Date | string | null | undefined
@@ -394,7 +393,6 @@ export async function runRestore(ctx: AuthenticatedContext, userPath: string): P
    }
    const content = renderCallTranscriptionMarkdown(
      {
-        matrixRoomId: tr.matrixRoomId,
        roomId: tr.roomId,
        startedAt: tr.startedAt,
        endedAt: tr.endedAt,
@@ -4,11 +4,34 @@ import type { BlagoEntityType, IndexFile } from './index-store.js'
 import * as fs from 'node:fs/promises'

 import * as path from 'node:path'
+import { parseBlagoMarkdown, serializeBlagoMarkdown } from '../format/index.js'
 import { sha256Hex } from '../lib/hash.js'

 import { warn } from '../ui/output.js'
 import { findByHash, normalizeRelativePath, upsertEntry } from './index-store.js'

+/**
+ * Канонический вид для сравнения «есть ли реальный конфликт», без волатильных
+ * серверных меток времени. updated_at/created_at сервер бьёт при дочерних мутациях
+ * (создание/удаление issue/story у родителя), и они попадают и во frontmatter, и в
+ * content_etag_local. Из-за этого raw-sha файла расходится с etag, локальный файл
+ * считается «грязным», а pull при изменившемся remote_updated_at пишет маркеры слияния —
+ * хотя содержательно текст совпадает. Сравнение в каноне (без updated_at/created_at)
+ * отличает настоящую правку от чистого bump'а времени.
+ */
+function canonicalForCompare(raw: string): string {
+  try {
+    const parsed = parseBlagoMarkdown(raw)
+    const data = { ...parsed.data }
+    delete data.updated_at
+    delete data.created_at
+    return serializeBlagoMarkdown(data, parsed.body)
+  }
+  catch {
+    return raw
+  }
+}
+
 async function ensureDirForFile(absFile: string): Promise<void> {
  await fs.mkdir(path.dirname(absFile), { recursive: true })
 }
@@ -139,6 +162,21 @@ export async function syncEntityFile(params: {
  const dirty
    = current !== null && current !== undefined && sha256Hex(current) !== prev.content_etag_local
  if (dirty && remoteUpdatedAt !== prev.remote_updated_at) {
+    // Реальный конфликт — только если содержимое расходится вне волатильных меток времени.
+    // Если локальный и серверный тексты совпадают по канону (отличие лишь в updated_at/created_at),
+    // это не конфликт: принимаем серверную версию и лечим etag, без маркеров слияния.
+    if (current !== null && current !== undefined && canonicalForCompare(current) === canonicalForCompare(content)) {
+      await ensureDirForFile(absNew)
+      await fs.writeFile(absNew, content, 'utf8')
+      upsertEntry(index, {
+        entity_type: entityType,
+        entity_hash: entityHash,
+        relative_path: rel,
+        remote_updated_at: remoteUpdatedAt,
+        content_etag_local: sha256Hex(await fs.readFile(absNew, 'utf8')),
+      })
+      return
+    }
    const merged = wrapMergeConflictMarkers(current ?? '', content)
    await ensureDirForFile(absNew)
    await fs.writeFile(absNew, merged, 'utf8')
@@ -1,7 +1,7 @@
 {
  "name": "@coopenomics/boot",
  "type": "module",
-  "version": "2026.5.23-4",
+  "version": "2026.5.30-alpha-2",
  "private": true,
  "packageManager": "pnpm@9.0.6",
  "description": "CLI-утилита инициализации блокчейна и кооператива",
@@ -1,6 +1,7 @@
 #!/bin/bash

-# Загружаем per-instance конфиг из корня репо.
+# Загружаем per-instance конфиг из корня репо (для CHAIN_URL/MONGODB_URL/API_URL,
+# которые читают TS-код boot и шелл-скрипты networks.sh/preactivate.sh).
 ROOT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")/../../.." && pwd)"
 if [ -f "$ROOT_DIR/.env" ]; then
  set -a
@@ -9,26 +10,34 @@ if [ -f "$ROOT_DIR/.env" ]; then
  set +a
 fi

-# Останавливаем и удаляем контейнеры вместе с volumes
-echo "Останавливаем и удаляем контейнеры с volumes..."
-docker compose down -v mongo postgres cooparser || true
+# Останавливаем и удаляем контейнеры (сеть НЕ трогаем — к ней может быть
+# подключён внешний контейнер вроде provider-backend; down её снёс бы с ошибкой).
+echo "Останавливаем и удаляем контейнеры..."
+docker compose rm -fsv mongo postgres monoredis cooparser coopback || true

 # Останавливаем blockchain контейнер перед удалением данных
 echo "Останавливаем blockchain контейнер..."
 docker compose stop node || true

-# Удаляем blockchain data
+# Удаляем тома баз данных для чистого старта (named volumes rm -v не чистит)
+echo "Удаляем тома баз данных..."
+PROJECT="${COMPOSE_PROJECT_NAME:-$(basename "$ROOT_DIR")}"
+docker volume rm "${PROJECT}_postgres_data" "${PROJECT}_mongo_data" 2>/dev/null || true
+
+# Удаляем blockchain data через контейнер (alpine под root стирает данные
+# независимо от владельца — без sudo на любой ноде; на проде nodeos пишет под root).
 echo "Удаляем blockchain data..."
-# sudo chmod -R 755 ../blockchain-data/ 2>/dev/null || true
-sudo rm -rf ../blockchain-data/
+docker run --rm -v "$(cd .. && pwd)/blockchain-data:/d" alpine sh -c 'rm -rf /d/* /d/.[!.]* 2>/dev/null || true'

-# Пересоздаем и запускаем базы данных
+# Пересоздаем и запускаем базы данных + Redis (monoredis).
+# monoredis ОБЯЗАТЕЛЕН: без него coopback падает на старте с
+# `getaddrinfo EAI_AGAIN monoredis` → MaxRetriesPerRequestError → nodemon crash.
 echo "Пересоздаем и запускаем базы данных..."
-docker compose up -d mongo postgres
+docker compose up -d mongo postgres monoredis

-# Ждем готовности MongoDB
+# Ждем готовности MongoDB (standalone, ping вместо ожидания PRIMARY).
 echo "Ждем готовности MongoDB..."
-until docker compose exec -T mongo mongosh --eval "db.adminCommand('ping')" --quiet > /dev/null 2>&1; do
+until docker compose exec -T mongo mongosh --quiet --eval "db.adminCommand({ping:1}).ok" > /dev/null 2>&1; do
  echo "MongoDB еще не готов, ждем..."
  sleep 2
 done
@@ -42,7 +51,7 @@ until docker compose exec -T postgres pg_isready -U postgres -d voskhod > /dev/n
 done
 echo "PostgreSQL готов!"

-# Запускаем boot процесс
+# Запускаем boot процесс (clean: только программы Благорост/маркетплейс)
 echo "Запускаем boot процесс..."
 pnpm run boot:clean

@@ -51,6 +60,6 @@ echo "Запускаем parser..."
 docker compose up -d cooparser

 echo "Запускаем контроллер..."
-docker compose restart coopback || true
+docker compose up -d --force-recreate coopback || true

 echo "Перезапуск завершен!"
@@ -1,6 +1,7 @@
 #!/bin/bash

-# Загружаем per-instance конфиг из корня репо.
+# Загружаем per-instance конфиг из корня репо (для CHAIN_URL/MONGODB_URL/API_URL,
+# которые читают TS-код boot и шелл-скрипты networks.sh/preactivate.sh).
 ROOT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")/../../.." && pwd)"
 if [ -f "$ROOT_DIR/.env" ]; then
  set -a
@@ -9,30 +10,32 @@ if [ -f "$ROOT_DIR/.env" ]; then
  set +a
 fi

-# Останавливаем контроллер перед очисткой данных
-echo "Останавливаем контроллер..."
-docker compose down coopback || true
-
 # Останавливаем и удаляем контейнеры вместе с volumes
 echo "Останавливаем и удаляем контейнеры с volumes..."
-docker compose down -v mongo postgres cooparser || true
+docker compose down -v mongo postgres monoredis cooparser coopback || true

 # Останавливаем blockchain контейнер перед удалением данных
 echo "Останавливаем blockchain контейнер..."
 docker compose stop node || true

-# Удаляем blockchain data
+# Удаляем blockchain data.
+# Контейнерный wipe (alpine под root) стирает данные независимо от их владельца —
+# без sudo на любой ноде (на Pi нет passwordless sudo; на проде nodeos пишет
+# данные под root). Единый способ с reboot.sh / clean_reboot.sh.
 echo "Удаляем blockchain data..."
 # sudo chmod -R 755 ../blockchain-data/ 2>/dev/null || true
-sudo rm -rf ../blockchain-data/
+docker run --rm -v "$(cd .. && pwd)/blockchain-data:/d" alpine sh -c 'rm -rf /d/* /d/.[!.]* 2>/dev/null || true'

-# Пересоздаем и запускаем базы данных
+# Пересоздаем и запускаем базы данных + Redis (monoredis).
+# monoredis ОБЯЗАТЕЛЕН: без него coopback падает на старте с
+# `getaddrinfo EAI_AGAIN monoredis` → MaxRetriesPerRequestError → nodemon crash,
+# и провайдер не может взять org-данные partner1 (PROVIDER_URL=coopback:2998).
 echo "Пересоздаем и запускаем базы данных..."
-docker compose up -d mongo postgres
+docker compose up -d mongo postgres monoredis

-# Ждем готовности MongoDB
+# Ждем готовности MongoDB (standalone, ping вместо ожидания PRIMARY).
 echo "Ждем готовности MongoDB..."
-until docker compose exec -T mongo mongosh --eval "db.adminCommand('ping')" --quiet > /dev/null 2>&1; do
+until docker compose exec -T mongo mongosh --quiet --eval "db.adminCommand({ping:1}).ok" > /dev/null 2>&1; do
  echo "MongoDB еще не готов, ждем..."
  sleep 2
 done
@@ -46,7 +49,7 @@ until docker compose exec -T postgres pg_isready -U postgres -d voskhod > /dev/n
 done
 echo "PostgreSQL готов!"

-# Запускаем boot процесс
+# Запускаем boot процесс (расширенный: совет + пайщики; partner1 — при EXTRA_RENT=1)
 echo "Запускаем boot процесс..."
 pnpm run boot:extra

@@ -55,7 +58,7 @@ echo "Запускаем parser..."
 docker compose up -d cooparser

 echo "Запускаем контроллер..."
-docker compose up -d coopback
+docker compose up -d --force-recreate coopback || true

 # Контроллер создаёт marketplace-таблицы через TypeORM synchronize при старте.
 # Ждём появления marketplace_ku_details, затем засеваем 3 ПВЗ Подмосковья
@@ -315,31 +315,46 @@ export default class Blockchain {
  async activateFeature(feature: Feature) {
    await this.update_pass_instance()

-    await this.api.transact(
-      {
-        actions: [
-          {
-            account: 'eosio',
-            name: 'activate',
-            authorization: [
-              {
-                actor: 'eosio',
-                permission: 'active',
+    try {
+      await this.api.transact(
+        {
+          actions: [
+            {
+              account: 'eosio',
+              name: 'activate',
+              authorization: [
+                {
+                  actor: 'eosio',
+                  permission: 'active',
+                },
+              ],
+              data: {
+                feature_digest: feature.hash,
              },
-            ],
-            data: {
-              feature_digest: feature.hash,
            },
-          },
-        ],
-      },
-      {
-        blocksBehind: 3,
-        expireSeconds: 30,
-      },
-    )
+          ],
+        },
+        {
+          blocksBehind: 3,
+          expireSeconds: 30,
+        },
+      )

-    console.log('Фича активирована: ', feature.name)
+      console.log('Фича активирована: ', feature.name)
+    }
+    catch (e: any) {
+      // На уже забутстрапленном (не обнулённом) чейне протокол-фича уже активна —
+      // nodeos отдаёт protocol_feature_exception (code 3250000). Это не повод
+      // ронять весь boot: фича на месте, нужный результат достигнут, продолжаем.
+      const errName = e?.json?.error?.name
+      const errCode = e?.json?.error?.code
+      const msg = e instanceof Error ? e.message : String(e)
+      if (errName === 'protocol_feature_exception' || errCode === 3250000 || /already activated/i.test(msg)) {
+        console.warn(`Фича уже активирована, пропускаю: ${feature.name}`)
+        return
+      }
+      throw e
+    }
  }

  async createToken(params: TokenContract.Interfaces.ICreate) {
@@ -1,7 +1,6 @@
-import config from '../configs'
 import { initExtensionsInPostgres, initSystemStatus } from '../postgres-init'
 import { installExtraData, installInitialData, startInfra } from './infra'
-import { CooperativeClass, startCoop } from './cooperative'
+import { startCoop } from './cooperative'

 export async function boot() {
  const blockchain = await startInfra()
@@ -14,18 +13,29 @@ export async function boot() {
 }

 export async function bootClean() {
-  const blockchain = await startInfra()
-
-  console.log('Создаём программы (Благорост и маркетплейс)')
-
-  const cooperative = new CooperativeClass(blockchain)
-  await cooperative.createPrograms(config.provider)
+  // Только инфраструктура: контракты, фичи, токен, системные параметры.
+  // Ни совета, ни программ — программы (createPrograms) требуют существующий
+  // совет и создаются в boot/bootExtra внутри installInitialData. В clean их
+  // не делаем (иначе soviet::createprog падает с «Совет не найден»).
+  await startInfra()
 }

 export async function bootExtra() {
  const blockchain = await startInfra()
  await installInitialData(blockchain, true) // Создать расширенный совет (устанавливает статус 'active' в MongoDB)
-  await installExtraData(blockchain) // Добавить дополнительных пайщиков
+
+  // installExtraData регистрирует partner1 как coop с auto-approve от провайдера —
+  // это и есть программная on-chain активация, которая триггерит аренду VM в
+  // провайдере (PENDING→RENT). boot:extra используется НЕ только для аренды
+  // сервера (например, просто пересев совета/чейна для других задач), поэтому
+  // провижининг partner1 включается ТОЛЬКО под флагом EXTRA_RENT=1.
+  if (process.env.EXTRA_RENT === '1') {
+    console.log('EXTRA_RENT=1 → installExtraData: провижининг partner1 (триггер аренды)')
+    await installExtraData(blockchain) // Регистрируем partner1 как coop (active)
+  }
+  else {
+    console.log('EXTRA_RENT не задан → пропускаем провижининг partner1 (аренда не запускается)')
+  }

  console.log('Инициализируем статус системы в PostgreSQL')
  await initSystemStatus() // Устанавливает статус 'active' в PostgreSQL
@@ -15,6 +15,9 @@ import { sleep } from '../utils'
 import { generateRandomSHA256 } from '../utils/randomHash'
 import { initUsersInPostgres, initVaultInPostgres } from '../postgres-init'
 import { CooperativeClass } from './cooperative'
+import { signProgramAgreement } from './sign-program-agreement'
+import { fakeDocument } from '../tests/shared/fakeDocument'
+import { walletDraftId, walletProgramId } from '../tests/capital/consts'

 const __filename = fileURLToPath(import.meta.url)
 const __dirname = dirname(__filename)
@@ -674,10 +677,17 @@ export async function installExtraData(blockchain: Blockchain) {
    status: 'active',
  })

-  // Ресурсы для партнёра: powerup CPU/NET. transfer токенов пропускаем —
-  // eosio.token::transfer падает на проверке membership в wallet program,
-  // которая для partner1 не настроена. Для provider sync + Hostkey-flow
-  // токены не нужны: tx от имени partner1 пойдут от soviet/admin.
+  // Записываем partner1 в ЦПП Кошелька оператора (voskhod, program_id=1).
+  // БЕЗ этого провайдерский performInitialTransfers (150 AXON на partner1 ДО
+  // перехода в ACTIVE, см. provider CLAUDE.md §13) падает ассертом
+  // eosio.token::is_can_transfer «Получатель не является участником целевой
+  // потребительской программы кошелька» — и инстанс навсегда застревает в
+  // INSTALL. wallet::signagree (auth voskhod@active) делает partner1 членом
+  // ЦПП Кошелька. Та же механика, что для обычных пайщиков в participant.ts.
+  console.log('Подписываем wallet-соглашение за partner1 (членство в ЦПП Кошелька)')
+  await signProgramAgreement(blockchain, config.provider, account.username, walletProgramId, walletDraftId, fakeDocument)
+
+  // Ресурсы для партнёра: powerup CPU/NET.
  await blockchain.powerup({
    payer: 'eosio',
    receiver: account.username,
@@ -1,6 +1,6 @@
 {
  "name": "@coopenomics/cleos",
-  "version": "2026.5.23-4",
+  "version": "2026.5.30-alpha-2",
  "private": true,
  "description": "Обёртка над кошельком cleos для EOSIO блокчейна",
  "scripts": {
@@ -359,3 +359,138 @@ topUpAmount: z
 - **SDK:**
  - `sdk/src/types/controller/extension.types.ts` - копия типов из controller

+---
+
+# Канон авторизации столов (grants)
+
+Единый механизм видимости рабочих столов и страниц расширения. Решает проблему
+дублирования: раньше «кто что видит» задавалось в ДВУХ несвязанных местах с
+разными словарями — `meta.roles` на фронте (core-роли) и access-matrix на бэке
+(marketplace capability). Теперь авторизацию вычисляет ТОЛЬКО backend, а фронт
+её лишь отражает. Онбординг (гейтинг до принятия ЦПП) — частный случай этого же
+механизма, а не отдельный код.
+
+## Принцип
+
+> Авторизацию вычисляет backend один раз. Фронт декларирует СТРУКТУРУ (какие
+> роуты есть, их компоненты, заголовки) и НИКОГДА не переопределяет, кому они
+> видны.
+
+- **backend** = КТО получает КАКОЕ право (capability) — единый источник истины;
+- **frontend** = КАКАЯ страница требует КАКОГО права (`meta.requires`).
+
+`getDesktop` отдаёт по каждому столу набор прав текущего пользователя
+(`DesktopWorkspace.grants: string[]`). Фронт показывает страницу/стол, если
+её `meta.requires` входит в `grants` (plain `includes`).
+
+## Контракт
+
+**1. Порт расширения** (`domain/desktop/ports/extension-grants.port.ts`):
+
+```typescript
+interface IExtensionDesktopGrantsProvider {
+  readonly extensionName: string;                       // 'market'
+  resolveGrants(ctx: IDesktopGrantsContext): Promise<string[]>; // гость → []
+}
+```
+
+`IDesktopGrantsContext` = `{ coopname, username?, userRole?, userStatus?, config }`.
+
+**2. Глобальный реестр** (`application/desktop/extension-grants.registry.ts`,
+`@Global`): расширение САМО регистрирует свой провайдер в `onModuleInit`
+(self-registration) — платформа не импортирует модули расширений (нет цикла).
+
+**3. `getDesktop`** (`desktop.interactor.ts`): для каждого desktop-расширения
+зовёт `grantsRegistry.resolve(name, ctx)` и кладёт результат в
+`DesktopWorkspace.grants` всех столов расширения. Резолвер `getDesktop` —
+под `OptionalGqlJwtAuthGuard` (открыт и гостю: состав ответа зависит от того,
+кто спрашивает).
+
+**4. Маршруты фронта** (`extensions/<name>/install.ts`): каждый роут объявляет
+`meta.requires: 'Resource:action'` вместо `meta.roles`.
+
+**5. Стор фронта** (`entities/Desktop/model/store.ts`) — ЕДИНАЯ логика видимости,
+все потребители (переключатель столов, левое меню, cmdk-поиск, навигационный
+гард) зовут её, а не фильтруют сами:
+- `isPageVisible(meta, workspaceName)` — для пункта/доступа к странице;
+- `isWorkspaceVisible(menuItem)` — стол виден, если есть ≥1 доступная страница;
+- `hasRouteAccess(matchedNames, meta)` — для навигационного гарда (глушит лишь
+  при явном невыполненном `requires`);
+- `firstAccessibleRoute(extensionName)` — для редиректа после установки/включения.
+
+## Разворот грантов (важная деталь)
+
+Фронт сверяет `requires` простым `includes` и НЕ знает иерархию охвата. Поэтому
+право `<base>:all` РАЗВОРАЧИВАЕТСЯ провайдером в подмножества `:own` / `:own-KU`
+/ `:to-self` — та же иерархия, что в `canAccess` (marketplace-access-matrix).
+Так у админа (`Warehouse:read:all`) проходит требование оператора
+(`Warehouse:read:own-KU`), а вся policy остаётся на backend
+(см. `marketplace/application/access/marketplace-grants.ts`).
+
+## Онбординг как частный случай грантов
+
+Отдельного кода гейтинга больше нет. Провайдер market
+(`marketplace-desktop-grants.provider.ts`) при `config.coopAcceptance.accepted
+!== true` отдаёт:
+- председателю — только `['Extension:configure']`;
+- остальным — `[]`.
+
+Страница «Подключение ЦПП» требует `Extension:configure`; все прочие admin-страницы
+требуют `Order:read:all` / `Whitelist:manage`, прочие столы — `Offer:read` /
+`Warehouse:read:own-KU`. Поэтому до принятия ЦПП виден лишь Стол администратора
+с одной страницей подключения и только председателю; у всех остальных — ничего.
+После принятия провайдер отдаёт полный набор по ролям, и столы появляются.
+
+## Маппинг видимости market (как воспроизведена прежняя картина по ролям)
+
+| Стол           | requires страниц            | Кому виден (после ЦПП)            |
+|----------------|-----------------------------|-----------------------------------|
+| market         | `Offer:read`, `Order:read:own`, … | любой онбординутый пайщик    |
+| market-supplier| `Offer:read`                | любой онбординутый пайщик          |
+| market-pvz     | `Warehouse:read:own-KU`     | оператор КУ + председатель (admin) |
+| market-admin   | `Order:read:all`            | совет + председатель               |
+| └ category-whitelist | `Whitelist:manage`    | только председатель                |
+| └ onboarding/coop-cpp | `Extension:configure`| только председатель (до и после)  |
+
+## Миграционная безопасность (опционально)
+
+- Расширение БЕЗ провайдера → `grants === undefined` → фронт работает по-старому
+  (видимость по `meta.roles`). Стор сам выбирает ветку: grant-стол (по
+  `requires`) или legacy (по `roles`). capital/soviet/participant не тронуты.
+- Роут с `requires` → новый канон; роут без `requires` в grant-столе скрыт
+  (иначе пустой набор грантов открыл бы его); роут с `roles` без grants → legacy.
+
+## Жизненный цикл / ограничения
+
+- `getDesktop` (и грантов) пере-вычисляется при **старте приложения** и при
+  **включении** расширения; НЕ реактивен в рантайме. После принятия ЦПП советом
+  столы появятся после перезагрузки страницы. Для MVP приемлемо.
+- Источник **безопасности** — backend-резолверы расширения (guard + access-matrix);
+  grants на фронте — UX-слой поверх, не замена enforcement.
+- **Codegen обязателен:** поле `grants` в `DesktopWorkspace` — это изменение
+  GraphQL-схемы. Нужно `generate-schema` → `generate-client` → сборка SDK; в
+  SDK добавлен `grants: true` в `selectors/desktop/workspaceSelector.ts`. До
+  регена SDK не запрашивает поле, фронт видит `grants===undefined` и market
+  падает на legacy (а `meta.roles` у market удалены → временно «видно всем»).
+
+## Связанные файлы
+
+- **Backend:**
+  - `src/domain/desktop/ports/extension-grants.port.ts` — порт + токен.
+  - `src/application/desktop/extension-grants.registry.ts` — `@Global` реестр.
+  - `src/application/desktop/interactors/desktop.interactor.ts` — сборка грантов.
+  - `src/application/desktop/resolvers/desktop.resolver.ts` — `OptionalGqlJwtAuthGuard`.
+  - `src/application/auth/{guards/optional-graphql-jwt-auth.guard,decorators/optional-current-user.decorator}.ts`.
+  - `src/extensions/marketplace/application/desktop/marketplace-desktop-grants.provider.ts`.
+  - `src/extensions/marketplace/application/access/marketplace-grants.ts` — разворот.
+- **SDK:** `src/selectors/desktop/workspaceSelector.ts` — `grants: true`.
+- **Frontend:**
+  - `desktop/src/entities/Desktop/model/store.ts` — `isPageVisible` /
+    `isWorkspaceVisible` / `hasRouteAccess` / `firstAccessibleRoute`.
+  - `desktop/src/processes/navigation-guard-setup/index.ts` — единый гард.
+  - `desktop/src/widgets/Desktop/{WorkspaceMenu,SecondLevelMenuList}/*`,
+    `desktop/src/entities/CmdkMenu/model/store.ts` — потребители.
+  - `desktop/extensions/market/install.ts` — `meta.requires` на всех роутах.
+  - `desktop/src/features/Extension/{InstallExtension,EnableExtension}/ui/*Button.vue`
+    — редирект через `firstAccessibleRoute`.
+
@@ -0,0 +1,86 @@
+# Платформенное ядро L1-онбординга расширений (приём ЦПП Советом)
+
+Как кооператив «подключает» расширение (capital/marketplace/chairman): Совет утверждает
+набор документов ончейн, и состояние расширения **автоматически** меняется по факту
+реально принятого решения. Механизм — общий, платформенный. Расширение лишь декларирует
+свои шаги; весь flow (генерация проекта решения → публикация в Совет → отслеживание
+ончейн-принятия → смена состояния → перерегистрация оферт) делает ядро.
+
+НЕ путать с L2 (выбор ЦПП пайщиком при регистрации) и L3 (fallback-gate на столе).
+Здесь только L1 — приём кооперативом.
+
+## Где что лежит (controller)
+
+| Слой | Путь | Роль |
+|---|---|---|
+| Spec шага | `domain/onboarding/dto/extension-onboarding-step-spec.ts` | `{extension_name, step_key, event_type: SOVIET_DECISION\|MEET_DECISION, vars_field, generator: free_decision\|meet, default_title, order}` |
+| Реестр шагов | `domain/onboarding/services/onboarding-steps-registry.service.ts` | in-memory; реализует `OnboardingStepRegistrationPort` (registerStep/unregisterStepsByExtension) + `OnboardingStepQueryPort` (getStep/getStepsByExtension) |
+| Generic-сервис | `domain/onboarding/services/extension-onboarding.service.ts` | `getState()` / `completeStep()` — собирает состояние из config-полей `onboarding_<step_key>_done`/`_hash`; в `completeStep` гонит free_decision/meet generator |
+| Generic-слушатель | `domain/onboarding/services/extension-onboarding-events.service.ts` | `@OnEvent(DecisionTrackedEvent)`: ставит `_done=true`, при всех done эмитит `ONBOARDING_COMPLETED_EVENT` |
+| Generic-резолвер | `application/onboarding/resolvers/extension-onboarding.resolver.ts` | Query `getExtensionOnboardingState(extension_name)` (chairman/member/user) + Mutation `completeExtensionOnboardingStep(data)` (chairman) |
+| Трекинг решений | `infrastructure/decision-tracking/adapters/decision-tracking.adapter.ts` | `@OnEvent(action::soviet::newdecision / action::meet::newdecision)` → `processDecision(hash)` → ищет tracking-rule по hash → эмитит `DecisionTrackedEvent` |
+| Lifecycle | `domain/extension/services/extension-lifecycle-domain.service.ts` | `@OnEvent(ONBOARDING_COMPLETED_EVENT)` → `restartApp(extension_name)` → `module.initialize(config)` |
+| Глобальный модуль | `domain/onboarding/onboarding-domain.module.ts` | `@Global`; экспортит порты `ONBOARDING_STEP_REGISTRATION_PORT` / `_QUERY_PORT` — доступны любому расширению без импорта |
+
+## Поток «Совет принял ончейн → состояние сменилось»
+
+```
+1. Председатель: completeExtensionOnboardingStep({extension_name, step_key, title, question, decision})
+     decision = HTML самого документа (фронт заранее рендерит через generateDocument(registry_id))
+2. ExtensionOnboardingService.completeStep → runFreeDecisionGenerator:
+     - freeDecisionPort.createProjectOfFreeDecision(...)
+     - generateProjectOfFreeDecisionDocument(registry=ProjectFreeDecision)  → hash
+     - publishProjectOfFreeDecision(...)            → проект решения уходит в Совет ончейн
+     - decisionTrackingPort.registerTrackingRule({hash, event_type, vars_field,
+            metadata:{onboarding_step, project_id, extension}})
+     - сохраняет onboarding_<step>_hash в extensions.config        → шаг 'in_progress'
+3. Совет голосует и принимает решение ончейн (soviet::exec → soviet::newdecision)
+4. DecisionTrackingAdapter ловит action::soviet::newdecision → processDecision(hash)
+     → находит rule по hash → эмитит DecisionTrackedEvent(metadata)
+5. ExtensionOnboardingEventsService: onboarding_<step>_done=true               → шаг 'completed'
+     когда ВСЕ шаги done → emit ONBOARDING_COMPLETED_EVENT({extension_name})
+6. ExtensionLifecycleDomainService → restartApp(extension_name) → initialize(config)
+     расширение в initialize() перерегистрирует оферты/программы и выставляет свой
+     L1-флаг готовности (для marketplace — coopAcceptance.accepted=true).
+```
+
+Состояние шага для фронта: `done → completed`; `hash есть, done нет → in_progress` («Ожидаем
+решение совета»); иначе `pending`.
+
+## Как подключить НОВОЕ расширение (рецепт)
+
+1. **Шаги**: `extensions/<ext>/application/onboarding/register-<ext>-onboarding-steps.ts` —
+   функция зовёт `port.unregisterStepsByExtension(name)` + `port.registerStep({...})` на каждый
+   документ. step_key и vars_field обычно совпадают; order задаёт порядок утверждения.
+2. **Wiring**: в плагине расширения `@Inject(ONBOARDING_STEP_REGISTRATION_PORT)` и вызвать
+   `register<Ext>OnboardingSteps(port)` в `initialize()`. Порт глобальный — импорт модуля не нужен.
+3. **НЕ добавлять** расширение в `LEGACY_EXTENSIONS_WITH_OWN_LISTENER`
+   (`extension-onboarding-events.service.ts`) — тогда generic-слушатель сам обслужит флаги и
+   completion. Свой events-сервис нужен ТОЛЬКО legacy (chairman/capital хардкодят step-mapping).
+4. **L1-флаг готовности**: в `initialize()` вывести флаг видимости из платформенного состояния
+   (например, «все onboarding_*_done → accepted=true»). Идемпотентно — initialize зовётся и на
+   boot, и на auto-restart после ONBOARDING_COMPLETED.
+5. **Документы**: каждый документ = запись в `cooptypes/src/cooperative/registry/<id>.Name/` +
+   генератор в `factory/src/{Actions,Templates}/<id>.Name.ts` + регистрация в индексах factory и
+   диспетчере `factory/src/index.ts`. Пересобрать cooptypes и factory (`pnpm run build`).
+6. **Фронт**: переиспользовать `desktop/src/shared/ui/CouncilOnboarding` (`CouncilOnboardingCard`,
+   проп `config: ICouncilOnboardingConfig`, эмит `step-submit`). Composable строит config из
+   `Queries.Onboarding.GetExtensionOnboardingState`, заранее рендерит HTML документов через
+   `Mutations.Documents.GenerateDocument` (в `step.decision`), а `step-submit` шлёт
+   `Mutations.Onboarding.CompleteExtensionOnboardingStep`. **GraphQL-схему менять не нужно** —
+   generic onboarding API уже в схеме и SDK.
+
+## Marketplace как пример (Эпик 12)
+
+- Шаги: `marketplace_provision` (Положение, registry **1107.MarketplaceProgramTemplate**) и
+  `marketplace_offer_template` (Оферта-шаблон, registry **1100.MarketplaceOfferTemplate**).
+  Регистрация: `extensions/marketplace/application/onboarding/register-marketplace-onboarding-steps.ts`.
+- L1-флаг: `MarketplacePlugin.initialize()` → `syncCoopAcceptanceFromOnboarding()` выставляет
+  `config.coopAcceptance.accepted=true`, когда оба `onboarding_marketplace_*_done`. Этот флаг
+  читают `MarketplaceDesktopGrantsProvider` (видимость столов) и `marketplaceCppStatus`.
+- Документ Положения 1107 — placeholder («РЫБА») до юр. редакции, по образцу 1100/999.
+- Прежняя stub-мутация `marketplaceAcceptCpp` (ручное проставление флага) больше не
+  используется фронтом — осталась как мёртвый код для последующей чистки.
+
+Связано: `CONTROLLER_DECISIONS_TRACKING_FACTORY.md`, `BLAGOROST-CHAIRMAN-ONBOARDING.md`,
+`EXTENSIONS_SCHEMA_SYSTEM.md` (грантовый канон видимости столов).
@@ -1,15 +1,13 @@
 #!/usr/bin/env bash
+# Локальная сборка всех контрактов: оборачивает build_contracts_cdt.sh в
+# CDT-образ. Сам cmake/make живёт в build_contracts_cdt.sh — он же
+# используется в CI (там CDT ставится из .deb, без docker), поэтому
+# флаги сборки в одном месте и не разъезжаются.

 mode="${1:-prod}"

-if [ "$mode" = "test" ]; then
-  is_testnet="ON"
-else
-  is_testnet="OFF"
-fi
-
 docker run --rm --name cdt \
  --volume "$(pwd):/project" \
  -w /project \
  dicoop/blockchain:latest \
-  /bin/bash -c "mkdir -p build && cd build && cmake -DBUILD_TARGET= -DTEST_TARGET= -DVERBOSE=ON -DBUILD_TESTS=OFF -DIS_TESTNET=$is_testnet .. && make"
+  /bin/bash -c "./build_contracts_cdt.sh $mode"
@@ -0,0 +1,28 @@
+#!/usr/bin/env bash
+# Компиляция всех контрактов кооперативной экономики через CDT.
+#
+# ВАЖНО: скрипт запускается УЖЕ внутри окружения с установленным CDT —
+# тулчейн ожидается по пути /cdt/build/lib/cmake/cdt/CDTWasmToolchain.cmake
+# (он захардкожен в CMakeLists.txt). Здесь НЕТ docker — только cmake/make.
+#
+# Два способа подготовить это окружение:
+#   - локально:  build-all.sh оборачивает скрипт в `docker run dicoop/blockchain:latest`
+#                (в образе CDT уже лежит в /cdt/build);
+#   - в CI:      CDT ставится из .deb (C9S/cdt), а /cdt/build симлинкуется на
+#                /usr/opt/cdt/<ver> (см. .github/workflows/release.yaml).
+#
+# Один источник cmake-флагов для обоих путей — чтобы локальная и CI-сборка
+# не разъезжались.
+set -euo pipefail
+
+mode="${1:-prod}"
+if [ "$mode" = "test" ]; then
+  is_testnet="ON"
+else
+  is_testnet="OFF"
+fi
+
+mkdir -p build
+cd build
+cmake -DBUILD_TARGET= -DTEST_TARGET= -DVERBOSE=ON -DBUILD_TESTS=OFF -DIS_TESTNET="$is_testnet" ..
+make
@@ -72,8 +72,8 @@ void capital::importcontrib(eosio::name coopname, eosio::name username, checksum
    auto idx = user_wallets.get_index<"byuserwallet"_n>();
    auto preimp_it = idx.find(combine_ids(ledger2_wallets::PREIMP_FUND.value, username.value));
    if (preimp_it != idx.end() && preimp_it->available.amount > 0) {
-      eosio::check(preimp_it->blocked.amount == 0,
-                   "preimp.blocked > 0 не поддерживается при импорте — обратиться в поддержку");
+      // Поле blocked упразднено (2026-05-24): резерв/блокировка на кошельках
+      // больше не используется, проверка preimp.blocked == 0 излишня.
      Ledger2::apply(
        _capital, coopname, operations::capital::DROP_PREIMP,
        preimp_it->available, username, contributor_hash,
@@ -9,23 +9,26 @@ namespace Capital::Core {
   * @brief Совокупный баланс программы Благорост на уровне кооператива.
   *
   * Источник — ledger2 L2 (`wallets[BLAGOROST_FUND]`), агрегированный по всем
-   * пайщикам. Σ L3.{available, blocked}[w.cap.blago] == L2.{available, blocked}
-   * (Эпик 3 invariant), поэтому L2 — авторитетная сумма для CRPS-знаменателя.
-   * Если кошелёк ещё не создан (никто не инвестировал) — нулевой баланс.
+   * пайщикам. Σ L3.available[w.cap.blago] == L2.available (Эпик 3 invariant),
+   * поэтому L2 — авторитетная сумма для CRPS-знаменателя. Если кошелёк ещё не
+   * создан (никто не инвестировал) — нулевой баланс.
+   *
+   * Поле blocked упразднено (2026-05-24): субсчёт «заблокировано» больше не
+   * используется, баланс кошелька = available.
   */
  eosio::asset get_capital_program_share_balance(eosio::name coopname) {
    wallets2_index wallets(_ledger2, coopname.value);
    auto it = wallets.find(ledger2_wallets::BLAGOROST_FUND.value);
    if (it == wallets.end()) return eosio::asset(0, _root_govern_symbol);
-    return it->available + it->blocked;
+    return it->available;
  }

  /**
-   * @brief Доля пайщика в Благоросте (available + blocked) из ledger2 L3.
+   * @brief Доля пайщика в Благоросте (available) из ledger2 L3.
   *
   * Источник — `userwallets[(w.cap.blago, username)]`. Запись существует
-   * только пока available + blocked > 0 (Эпик 3 §6: auto-delete на нуле),
-   * поэтому отсутствие = нулевой баланс.
+   * только пока available > 0 (Эпик 3 §6: auto-delete на нуле), поэтому
+   * отсутствие = нулевой баланс. Поле blocked упразднено (2026-05-24).
   */
  eosio::asset get_capital_program_user_share_balance(eosio::name coopname, eosio::name username) {
    userwallets_index user_wallets(_ledger2, coopname.value);
@@ -33,6 +36,6 @@ namespace Capital::Core {
    auto key = combine_ids(ledger2_wallets::BLAGOROST_FUND.value, username.value);
    auto it = idx.find(key);
    if (it == idx.end()) return eosio::asset(0, _root_govern_symbol);
-    return it->available + it->blocked;
+    return it->available;
  }
 }
@@ -67,12 +67,12 @@ void ledger2::revert(eosio::name coopname,
  eosio::check(original_operation_id != 0, "revert: original_operation_id обязателен");

  // -------- validate mirror_wallet_op --------
-  eosio::check(mirror_wallet_op <= 5, "revert: неизвестный mirror_wallet_op");
-  // Не позволяем откатывать через BLOCK/UNBLOCK — они асимметричны и нет
-  // адекватного зеркала в одной операции (BLOCK + UNBLOCK — обратные сами по себе).
-  eosio::check(mirror_wallet_op != static_cast<uint8_t>(WalletOp::BLOCK) &&
-               mirror_wallet_op != static_cast<uint8_t>(WalletOp::UNBLOCK),
-               "revert: BLOCK/UNBLOCK не подлежат откату через revert (они симметричны сами себе)");
+  // Зеркало revert — только TRANSFER (обмен wallet_from/wallet_to) либо BURN
+  // (зеркало ISSUE: изъятие с wallet_from). Бывшие BLOCK/UNBLOCK упразднены
+  // (2026-05-24); ISSUE/NONE как зеркало смысла не имеют.
+  eosio::check(mirror_wallet_op == static_cast<uint8_t>(WalletOp::TRANSFER) ||
+               mirror_wallet_op == static_cast<uint8_t>(WalletOp::BURN),
+               "revert: mirror_wallet_op должен быть TRANSFER или BURN");

  // -------- validate mirror wallets/accounts --------
  if (mirror_wallet_from.value != 0) {
@@ -1,5 +1,5 @@
 /**
- * @brief Атомарная операция по кошельку (issue/transfer/block/unblock/burn/burn_blocked).
+ * @brief Атомарная операция по кошельку (issue/transfer/burn).
 *
 * Внутренний action ledger2 — вызывается только через inline из apply().
 * Auth: только сам ledger2 (require_auth(get_self())).
@@ -53,13 +53,15 @@ void ledger2::walletop(eosio::name coopname,
  eosio::check(amount.symbol == _root_govern_symbol,
               "walletop: некорректный символ валюты");
  eosio::check(memo.size() < 256, "walletop: memo > 255");
-  // op_code = 5 (NONE) намеренно не допускается: NONE-операции — это только
-  // бухпроводка без кошелькового движения, apply.cpp не диспатчит для них walletop.
-  // Прямой вызов с op_code=5 был бы no-op и сбил бы инвариант parity.
-  // Допустимы 0..4 (ISSUE/TRANSFER/BLOCK/UNBLOCK/BURN) и 6 (BURN_BLOCKED).
-  eosio::check(op_code <= static_cast<uint8_t>(WalletOp::BURN_BLOCKED) &&
-               op_code != static_cast<uint8_t>(WalletOp::NONE),
-               "walletop: неизвестный op_code");
+  // Допустимы только ISSUE(0), TRANSFER(1), BURN(4). NONE(5) — это только
+  // бухпроводка без кошелькового движения, apply.cpp для неё walletop не диспатчит;
+  // прямой вызов был бы no-op и сбил бы parity. Бывшие BLOCK(2)/UNBLOCK(3)/
+  // BURN_BLOCKED(6) упразднены (2026-05-24): резерв возврата теперь TRANSFER на
+  // w.wal.wpend, их op_code больше не валиден.
+  eosio::check(op_code == static_cast<uint8_t>(WalletOp::ISSUE) ||
+               op_code == static_cast<uint8_t>(WalletOp::TRANSFER) ||
+               op_code == static_cast<uint8_t>(WalletOp::BURN),
+               "walletop: недопустимый op_code");

  wallets2_index   wallets(get_self(), coopname.value);
  userwallets_index user_wallets(get_self(), coopname.value);
@@ -172,7 +174,7 @@ void ledger2::walletop(eosio::name coopname,
  // миграций 048/049.
  //
  // walletop по построению применяет одно и то же `amount` к L2 и L3 (см.
-  // ниже case'ы ISSUE/TRANSFER/BLOCK/UNBLOCK/BURN/BURN_BLOCKED), а sender-guard на
+  // ниже case'ы ISSUE/TRANSFER/BURN), а sender-guard на
  // строке 46-47 запрещает обход. Поэтому инвариант сохраняется по
  // конструкции; полную сверку выполняет бэкенд («стол бухгалтера»),
  // вне транзакционного hot path.
@@ -227,60 +229,6 @@ void ledger2::walletop(eosio::name coopname,
      cleanup_l3_if_empty(wallet_from);
      break;
    }
-    case WalletOp::BLOCK: {
-      eosio::check(wallet_from.value != 0, "walletop BLOCK: требуется wallet_from");
-      eosio::check(wallet_to.value == 0, "walletop BLOCK: wallet_to должен быть пустым");
-
-      auto it = wallets.find(wallet_from.value);
-      eosio::check(it != wallets.end() && it->available >= amount,
-                   std::string{"walletop BLOCK: недостаточно available на кошельке "} +
-                     wallet_from.to_string());
-      wallets.modify(it, payer, [&](auto& w) {
-        w.available -= amount;
-        w.blocked   += amount;
-      });
-
-      if (is_user_shared_l3(wallet_from)) {
-        auto uw = find_l3(wallet_from);
-        eosio::check(uw != user_wallets.get_index<"byuserwallet"_n>().end() &&
-                     uw->available >= amount,
-                     std::string{"walletop BLOCK: недостаточно L3-available у пайщика "} +
-                       username.to_string() + " на " + wallet_from.to_string());
-        auto uw_pri = user_wallets.find(uw->id);
-        user_wallets.modify(uw_pri, payer, [&](auto& r) {
-          r.available -= amount;
-          r.blocked   += amount;
-        });
-      }
-      break;
-    }
-    case WalletOp::UNBLOCK: {
-      eosio::check(wallet_from.value != 0, "walletop UNBLOCK: требуется wallet_from");
-      eosio::check(wallet_to.value == 0, "walletop UNBLOCK: wallet_to должен быть пустым");
-
-      auto it = wallets.find(wallet_from.value);
-      eosio::check(it != wallets.end() && it->blocked >= amount,
-                   std::string{"walletop UNBLOCK: недостаточно blocked на кошельке "} +
-                     wallet_from.to_string());
-      wallets.modify(it, payer, [&](auto& w) {
-        w.blocked   -= amount;
-        w.available += amount;
-      });
-
-      if (is_user_shared_l3(wallet_from)) {
-        auto uw = find_l3(wallet_from);
-        eosio::check(uw != user_wallets.get_index<"byuserwallet"_n>().end() &&
-                     uw->blocked >= amount,
-                     std::string{"walletop UNBLOCK: недостаточно L3-blocked у пайщика "} +
-                       username.to_string() + " на " + wallet_from.to_string());
-        auto uw_pri = user_wallets.find(uw->id);
-        user_wallets.modify(uw_pri, payer, [&](auto& r) {
-          r.blocked   -= amount;
-          r.available += amount;
-        });
-      }
-      break;
-    }
    case WalletOp::BURN: {
      eosio::check(wallet_from.value != 0, "walletop BURN: требуется wallet_from");
      eosio::check(wallet_to.value == 0, "walletop BURN: wallet_to должен быть пустым");
@@ -311,30 +259,6 @@ void ledger2::walletop(eosio::name coopname,
      eosio::check(false, "walletop NONE: запрещённый op_code");
      break;
    }
-    case WalletOp::BURN_BLOCKED: {
-      eosio::check(wallet_from.value != 0, "walletop BURN_BLOCKED: требуется wallet_from");
-      eosio::check(wallet_to.value == 0, "walletop BURN_BLOCKED: wallet_to должен быть пустым");
-
-      auto it = wallets.find(wallet_from.value);
-      eosio::check(it != wallets.end() && it->blocked >= amount,
-                   std::string{"walletop BURN_BLOCKED: недостаточно blocked на кошельке "} +
-                     wallet_from.to_string());
-      wallets.modify(it, payer, [&](auto& w) { w.blocked -= amount; });
-
-      if (is_user_shared_l3(wallet_from)) {
-        auto uw = find_l3(wallet_from);
-        eosio::check(uw != user_wallets.get_index<"byuserwallet"_n>().end() &&
-                     uw->blocked >= amount,
-                     std::string{"walletop BURN_BLOCKED: недостаточно L3-blocked у пайщика "} +
-                       username.to_string() + " на " + wallet_from.to_string());
-        auto uw_pri = user_wallets.find(uw->id);
-        user_wallets.modify(uw_pri, payer, [&](auto& r) { r.blocked -= amount; });
-      }
-
-      cleanup_l2_if_empty(wallet_from);
-      cleanup_l3_if_empty(wallet_from);
-      break;
-    }
  }

  // Post-mutation Σ L3 == L2: см. блок выше (строки 163-175). Снято
@@ -1,5 +1,3 @@
-#include <vector>
-
 /**
 * @brief Универсальное миграционное действие контракта ledger2 — точка
 * расширения для разовых исправлений состояния, которые можно провести
@@ -9,23 +7,33 @@
 * после её прогона на проде тело очищается до пустого `require_auth(get_self())`
 * (как в `capital::migrate`).
 *
- * Текущая задача (2026-05-21): чистка осиротевших L3-записей `w.cap.gen`
- * на voskhod после смены WalletKind GENERATOR_FUND с USER_SHARED на
- * COOPERATIVE (см. `lib/core/ledger2/wallets.hpp`).
+ * Текущая задача (2026-05-24): свёртка `blocked → available` по ВСЕМ коопам.
 *
- * Контекст: на voskhod `convertsegm` падал «недостаточно L3-средств у
- * пайщика» в проектах, где CRPS перераспределял доли между сегментами.
- * w.cap.gen был USER_SHARED, а CRPS в approvecmmt не делал per-user
- * компенсирующих TRANSFER между сегментами: `Σ COMMIT_RID == Σ ACCEPT_RID`
- * соблюдался только на проекте, не на пайщике.
+ * Контекст: механика «заблокированного» баланса упразднена (см.
+ * `lib/core/ledger2/operations.hpp` — удалены WalletOp BLOCK/UNBLOCK/BURN_BLOCKED;
+ * резерв возврата паевого теперь выражается переводом на кошелёк-резерв
+ * `w.wal.wpend`). Поле `blocked` остаётся в таблицах `wallets2`/`userwallets`
+ * как deprecated (физическое удаление поля = небезопасная смена layout таблицы
+ * на живых коопах, выносится в отдельный cleanup-деплой). Перед тем как поле
+ * перестанет поддерживаться кодом, накопленные `blocked`-остатки нужно вернуть
+ * в `available`, чтобы средства не «зависли» на упразднённом субсчёте.
 *
- * Архитектурный фикс: w.cap.gen — COOPERATIVE-пул без L3. Чтобы UI/бэкенд
- * не врали остатками по «личным» w.cap.gen, удаляем осиротевшие L3-записи
- * прямым `userwallets.erase`. L2-баланс `wallets2[w.cap.gen]` уже верен
- * (синхронен с Σ старых userwallets), его не трогаем.
+ * Действие: пройти всех кооперативов (cooperatives2 в scope registrator) и для
+ * каждого свернуть `blocked → available` на уровнях L2 (`wallets2`) и L3
+ * (`userwallets`): `available += blocked; blocked = 0`. Сумма средств на кошельке
+ * не меняется — только субсчёт.
 *
- * Идемпотентно: повторный вызов на чистой БД — no-op (lower_bound пуст).
- * Только voskhod: на остальных кооперативах w.cap.gen не использовался.
+ * Идемпотентно: после свёртки `blocked == 0`, повторный прогон — no-op.
+ *
+ * Сигнатура без аргументов — действие вызывается автоматически при деплое
+ * контракта (как и прочие задачи migrate); проходит по всем кооперативам сам.
+ *
+ * ПРЕДУСЛОВИЕ (операционное): на момент прогона не должно быть заявок на возврат
+ * «в полёте» (статусы pending/authorized в `wallet::withdraws`) — их `blocked`
+ * относится к старой механике и при свёртке в `available` вернётся пайщику как
+ * свободные средства, а последующий `completewthd` (BURN с `w.wal.wpend`) не
+ * найдёт резерва. Незавершённые заявки нужно довести (complete/decline) ДО
+ * деплоя с этой миграцией.
 *
 * @ingroup public_ledger2_actions
 *
@@ -34,24 +42,31 @@
 void ledger2::migrate() {
  require_auth(get_self());

-  const eosio::name target_coop = "voskhod"_n;
+  cooperatives2_index coops(_registrator, _registrator.value);

-  userwallets_index user_wallets(get_self(), target_coop.value);
-  auto idx = user_wallets.get_index<"bywallet"_n>();
+  for (auto c = coops.begin(); c != coops.end(); ++c) {
+    const eosio::name coopname = c->username;

-  // Собираем primary id записей до erase (модификация контейнера при
-  // итерации через secondary index — небезопасна).
-  std::vector<uint64_t> ids_to_erase;
-  for (auto it = idx.lower_bound(ledger2_wallets::GENERATOR_FUND.value);
-       it != idx.end() && it->wallet_name == ledger2_wallets::GENERATOR_FUND;
-       ++it) {
-    ids_to_erase.push_back(it->id);
-  }
+    // --- L3: userwallets[coopname] ---
+    // Модифицируем только не-ключевые поля (available/blocked) — итерация по
+    // первичному индексу с modify безопасна (порядок строк не меняется).
+    userwallets_index user_wallets(get_self(), coopname.value);
+    for (auto it = user_wallets.begin(); it != user_wallets.end(); ++it) {
+      if (it->blocked.amount <= 0) continue;
+      user_wallets.modify(it, get_self(), [&](auto& r) {
+        r.available += r.blocked;
+        r.blocked    = eosio::asset(0, r.blocked.symbol);
+      });
+    }

-  for (uint64_t id : ids_to_erase) {
-    auto pri = user_wallets.find(id);
-    if (pri != user_wallets.end()) {
-      user_wallets.erase(pri);
+    // --- L2: wallets2[coopname] ---
+    wallets2_index wallets(get_self(), coopname.value);
+    for (auto it = wallets.begin(); it != wallets.end(); ++it) {
+      if (it->blocked.amount <= 0) continue;
+      wallets.modify(it, get_self(), [&](auto& w) {
+        w.available += w.blocked;
+        w.blocked    = eosio::asset(0, w.blocked.symbol);
+      });
    }
  }
 }
@@ -241,7 +241,7 @@ static constexpr uint64_t _capital_program_id = 4;
 #ifdef IS_TESTNET
    static constexpr uint64_t MIN_SOVIET_MEMBERS_COUNT = 1; /*!< минимальное количество членов совета (тест) */
 #else
-    static constexpr uint64_t MIN_SOVIET_MEMBERS_COUNT = 5; /*!< минимальное количество членов совета (прод) */
+    static constexpr uint64_t MIN_SOVIET_MEMBERS_COUNT = 3; /*!< минимальное количество членов совета (прод) */
 #endif

 /**
@@ -31,9 +31,9 @@
 *   - `WalletOp::WALLET_ONLY` удалён (ADR-003): «без бухпроводок» определяется
 *     парой `(debit_account_id == 0, credit_account_id == 0)` на уровне записи.
 *     Для `o.cap.invest` теперь TRANSFER без проводок (оба account_id == 0).
- *   - Добавлен `WalletOp::BURN` (ADR-003): `available -= amount` на `wallet_from`,
- *     без `wallet_to`. На текущем этапе в `OPERATION_REGISTRY` не используется —
- *     зарезервирован под будущие операции штатного сжигания.
+ *   - `WalletOp::BURN` (ADR-003): `available -= amount` на `wallet_from`,
+ *     без `wallet_to`. Используется в `o.wal.wthcpl` (сжигание резерва возврата
+ *     с `w.wal.wpend`), `o.cap.drppre` и как зеркало ISSUE в `revert`.
 *   - Единые программные кошельки: `BLAGOROST_FUND` (`w.cap.blago`) и
 *     `GENERATOR_FUND` (`w.cap.gen`) — заменили ранее декомпозированные
 *     `bginv/bgprop/bgrid/bgmem` и `gncom/gnmem` (ADR-009).
@@ -61,9 +61,9 @@ namespace operations {
  // wallet
  namespace wallet {
    inline constexpr eosio::name COMPLETE_DEPOSIT  = "o.wal.depcpl"_n;  ///< Завершение внесения паевого взноса (Dr 51 / Cr 80, ISSUE SHARE_FUND_PAY).
-    inline constexpr eosio::name COMPLETE_WITHDRAW = "o.wal.wthcpl"_n;  ///< Завершение возврата паевого взноса (Dr 80 / Cr 51, BURN_BLOCKED SHARE_FUND_PAY — деньги уходят из системы, без wallet_to).
-    inline constexpr eosio::name REQUEST_WITHDRAW  = "o.wal.wthreq"_n;  ///< Запрос на возврат паевого: BLOCK на SHARE_FUND_PAY (без Dr/Cr).
-    inline constexpr eosio::name DECLINE_WITHDRAW  = "o.wal.wthdec"_n;  ///< Отклонение запроса на возврат: UNBLOCK на SHARE_FUND_PAY (без Dr/Cr).
+    inline constexpr eosio::name COMPLETE_WITHDRAW = "o.wal.wthcpl"_n;  ///< Завершение возврата паевого взноса (Dr 80 / Cr 51, BURN с WITHDRAW_PENDING — деньги уходят из системы, без wallet_to).
+    inline constexpr eosio::name REQUEST_WITHDRAW  = "o.wal.wthreq"_n;  ///< Запрос на возврат паевого: TRANSFER SHARE_FUND_PAY → WITHDRAW_PENDING (резерв, без Dr/Cr).
+    inline constexpr eosio::name DECLINE_WITHDRAW  = "o.wal.wthdec"_n;  ///< Отклонение запроса на возврат: TRANSFER WITHDRAW_PENDING → SHARE_FUND_PAY (снятие резерва, без Dr/Cr).
    inline constexpr eosio::name CONVERT_TO_MEMBER = "o.wal.conv"_n;    ///< Конвертация цифрового рубля в универсальный членский кошелёк (Dr 80 / Cr 86, TRANSFER SHARE_FUND_PAY → CK_MEMBER). Conditional-шаг серии createorder в «Столе заказов».
  }

@@ -86,11 +86,13 @@ namespace operations {
  // marketplace — членская модель «Стола заказов».
  namespace marketplace {
    inline constexpr eosio::name LOCK_ORDER             = "o.mkt.lock"_n;     ///< Резервирование средств заказчика под конкретный Order (TRANSFER w.wal.share → w.mkt.order, Dr 80 / Cr 86 — паевой переходит в целевое финансирование на резерв-кошелёк). Единственный обязательный шаг ledger2 при createorder.
-    inline constexpr eosio::name UNLOCK_ORDER           = "o.mkt.unlock"_n;   ///< Снятие резерва при отмене Order'а (TRANSFER w.mkt.order → w.wal.member, без Dr/Cr — оба кошелька на 86). Средства возвращаются на универсальный членский — могут быть потрачены пайщиком в членских программах.
+    inline constexpr eosio::name CONVERT_TO_MKT_MEMBER  = "o.mkt.conv"_n;     ///< Конвертация паевого взноса в членский кошелёк «Стола заказов» (TRANSFER w.wal.share → w.mkt.member, Dr 80 / Cr 86). Доплата по факту (signiss2, actual > ordered) идёт ИМЕННО с членского программы — паевой сперва конвертируется сюда, напрямую с паевого не списываем.
+    inline constexpr eosio::name LOCK_FROM_MEMBER       = "o.mkt.lockm"_n;    ///< Добор резерва заказа с членского «Стола заказов» (TRANSFER w.mkt.member → w.mkt.order, без Dr/Cr — оба кошелька на 86). Парный к o.mkt.conv шаг доплаты по факту: после конвертации добирает резерв под этот же Order.
+    inline constexpr eosio::name UNLOCK_ORDER           = "o.mkt.unlock"_n;   ///< Снятие резерва при отмене Order'а или недовыдаче (TRANSFER w.mkt.order → w.mkt.member, без Dr/Cr — оба кошелька на 86). Средства возвращаются на членский «Стола заказов» (не на универсальный членский) — остаются в программе и могут быть потрачены на следующие заказы.
    inline constexpr eosio::name PURCHASE_FROM_SUPPLIER = "o.mkt.purch"_n;    ///< Приёмка имущества кооперативом по АПП приёмки от поставщика (Dr 10 / Cr 86, NONE — только бухпроводка, кошельки не двигаются; имущество — аналитика по 10). Атомарно с PAY_SUPPLIER на закрывающей подписи председателя.
    inline constexpr eosio::name PAY_SUPPLIER           = "o.mkt.payout"_n;   ///< Оплата поставщику с расчётного счёта по факту приёмки (Dr 86 / Cr 51, ISSUE ∅ → SUPPLIER_PAYMENTS). Атомарно с PURCHASE_FROM_SUPPLIER.
    inline constexpr eosio::name CONSUME_BY_MEMBER      = "o.mkt.consum"_n;   ///< Выдача имущества пайщику по АПП выдачи (BURN с w.mkt.order, Dr 86 / Cr 10 — сжигание резерва заказа и выбытие имущества со склада через целевое финансирование).
-    inline constexpr eosio::name RETURN_BY_MEMBER       = "o.mkt.return"_n;   ///< Гарантийный возврат имущества пайщиком — compensating forward к CONSUME_BY_MEMBER (ISSUE ∅ → w.wal.member, Dr 10 / Cr 86 — восстановление средств на универсальном членском заказчика и возврат имущества на склад). Реверты ledger2::revert в Столе заказов не используются.
+    inline constexpr eosio::name RETURN_BY_MEMBER       = "o.mkt.return"_n;   ///< Гарантийный возврат имущества пайщиком — compensating forward к CONSUME_BY_MEMBER (ISSUE ∅ → w.mkt.member, Dr 10 / Cr 86 — восстановление средств на членском «Стола заказов» заказчика и возврат имущества на склад). Реверты ledger2::revert в Столе заказов не используются.
    inline constexpr eosio::name WRITE_OFF_PERISHABLE   = "o.mkt.wroff"_n;    ///< Утилизация скоропорта со склада (NONE Dr 86 / Cr 10). По протоколу совета.
  }

@@ -135,14 +137,23 @@ namespace operations {
 * `(debit_account_id == 0, credit_account_id == 0)` на уровне записи реестра.
 * Compile-time правило `(debit==0) ⇔ (credit==0)` ловит смешанные пары.
 */
+//
+// Удаление BLOCK/UNBLOCK/BURN_BLOCKED (2026-05-24): механика «заблокированного»
+// баланса упразднена. Резерв средств под заявку на возврат паевого теперь
+// выражается переводом на отдельный кошелёк-резерв `w.wal.wpend` (TRANSFER),
+// возврат резерва — обратным TRANSFER, завершение — BURN с резерва. Поле
+// `blocked` в таблицах wallets2/userwallets оставлено deprecated (всегда 0
+// после ledger2::migrate-свёртки) — физическое удаление поля = небезопасная
+// смена layout таблицы на живых коопах, выносится в отдельный cleanup-деплой.
+//
+// Числовые значения ISSUE/TRANSFER/BURN/NONE СОХРАНЕНЫ (не перенумерованы),
+// чтобы исторические op_code в blockchain_actions читались бэкендом без сдвига
+// смысла (2 и 3 — бывшие BLOCK/UNBLOCK — больше не выдаются и невалидны на входе).
 enum class WalletOp : uint8_t {
  ISSUE        = 0, ///< первичный вход средств на кошелёк wallet_to (wallet_from = empty)
  TRANSFER     = 1, ///< перемещение wallet_from → wallet_to (с Dr/Cr ИЛИ без — по парам account_id)
-  BLOCK        = 2, ///< available-=amount, blocked+=amount на wallet_from
-  UNBLOCK      = 3, ///< blocked-=amount, available+=amount на wallet_from
  BURN         = 4, ///< изъятие amount с wallet_from->available, без wallet_to. Покрывает оба кейса: (a) штатное сжигание как бизнес-операция в OPERATION_REGISTRY; (b) зеркало ISSUE при `ledger2::revert` (различие — через operation_code: `o.adj.rev` для adjustment-mirror).
  NONE         = 5, ///< только бухпроводка без перемещения средств (wallet_from = empty, wallet_to = empty, debit ≠ 0, credit ≠ 0). Покрывает кейсы внутрибалансовых проводок типа Dr 04 / Cr 08 (приём РИД в НМА), когда кошелёк уже на нужном программном фонде.
-  BURN_BLOCKED = 6, ///< изъятие amount из wallet_from->blocked, без wallet_to. Используется при завершении возврата паевого (`o.wal.wthcpl`): средства предварительно заблокированы через BLOCK (REQUEST_WITHDRAW), на завершении сжигаются — выходят из системы (получателя на цепи нет). На L3 синхронно: from_uw->blocked -= amount.
 };

 /**
@@ -151,7 +162,7 @@ enum class WalletOp : uint8_t {
 * Семантика полей по `wallet_op`:
 *   - ISSUE:   wallet_from = eosio::name{}, wallet_to = required.
 *   - TRANSFER: wallet_from = required, wallet_to = required (≠ from).
- *   - BLOCK / UNBLOCK / BURN / BURN_BLOCKED: wallet_from = required, wallet_to = eosio::name{}.
+ *   - BURN: wallet_from = required, wallet_to = eosio::name{}.
 *
 * Семантика бух.проводки:
 *   - Без проводок: debit_account_id == 0 И credit_account_id == 0.
@@ -163,7 +174,7 @@ struct OperationRegistryEntry {
  eosio::name    process_type;       ///< тип процесса с префиксом `p.<contract>.<noun>`
  WalletOp       wallet_op;
  eosio::name    wallet_from;        ///< пустое имя для ISSUE
-  eosio::name    wallet_to;          ///< пустое имя для BLOCK/UNBLOCK/BURN/BURN_BLOCKED
+  eosio::name    wallet_to;          ///< пустое имя для BURN
  uint64_t       debit_account_id;   ///< 0 если без бухпроводки (тогда credit_account_id тоже == 0)
  uint64_t       credit_account_id;  ///< 0 если без бухпроводки (тогда debit_account_id тоже == 0)
  const char*    human_name;
@@ -190,12 +201,12 @@ static constexpr OperationRegistryEntry OPERATION_REGISTRY[] = {
    ledger2_accounts::BANK_ACCOUNT, ledger2_accounts::SHARE_FUND,
    "Внесение пайщиком паевого взноса" },

-  // 4. Возврат паевого взноса: Dr 80 / Cr 51, BURN_BLOCKED SHARE_FUND_PAY.
-  // Сжигание из заблокированной суммы пайщика (BLOCK был на REQUEST_WITHDRAW):
+  // 4. Возврат паевого взноса: Dr 80 / Cr 51, BURN WITHDRAW_PENDING.
+  // Сжигание из кошелька-резерва (TRANSFER в резерв был на REQUEST_WITHDRAW):
  // деньги уходят из системы (банковский перевод пайщику), получателя на цепи нет.
  // Бухгалтерия: паевой фонд уменьшается (Дт 80), расчётный счёт уменьшается (Кт 51).
-  { operations::wallet::COMPLETE_WITHDRAW, processes::wallet::WITHDRAW, WalletOp::BURN_BLOCKED,
-    ledger2_wallets::SHARE_FUND_PAY, eosio::name{},
+  { operations::wallet::COMPLETE_WITHDRAW, processes::wallet::WITHDRAW, WalletOp::BURN,
+    ledger2_wallets::WITHDRAW_PENDING, eosio::name{},
    ledger2_accounts::SHARE_FUND, ledger2_accounts::BANK_ACCOUNT,
    "Возврат паевого взноса пайщику" },

@@ -263,21 +274,38 @@ static constexpr OperationRegistryEntry OPERATION_REGISTRY[] = {
    "Возврат беспроцентного займа пайщика по акту-2" },

  // 12a. p.mkt.supply: Резервирование под Order (TRANSFER w.wal.share → w.mkt.order,
-  //      Dr 80 / Cr 86). Единственный обязательный шаг ledger2 при createorder;
-  //      для signiss2 — на разницу при actual > ordered. Паевой переходит в
-  //      целевое финансирование на резерв-кошелёк под конкретный заказ.
+  //      Dr 80 / Cr 86). Единственный обязательный шаг ledger2 при createorder.
+  //      Паевой переходит в целевое финансирование на резерв-кошелёк под
+  //      конкретный заказ.
  { operations::marketplace::LOCK_ORDER, processes::marketplace::SUPPLY, WalletOp::TRANSFER,
    ledger2_wallets::SHARE_FUND_PAY, ledger2_wallets::MARKETPLACE_ORDER_LOCK,
    ledger2_accounts::SHARE_FUND, ledger2_accounts::TARGET_RECEIPTS,
    "Резервирование под заказ" },

-  // 12b. p.mkt.supply: Снятие резерва (TRANSFER w.mkt.order → w.wal.member,
+  // 12a². p.mkt.supply: Конвертация паевого в членский «Стола заказов» под доплату
+  //       (TRANSFER w.wal.share → w.mkt.member, Dr 80 / Cr 86). signiss2 при
+  //       actual > ordered: доплата идёт ИМЕННО с членского программы — паевой
+  //       сперва конвертируется сюда, напрямую с паевого не списываем.
+  { operations::marketplace::CONVERT_TO_MKT_MEMBER, processes::marketplace::SUPPLY, WalletOp::TRANSFER,
+    ledger2_wallets::SHARE_FUND_PAY, ledger2_wallets::MARKETPLACE_MEMBER_FUND,
+    ledger2_accounts::SHARE_FUND, ledger2_accounts::TARGET_RECEIPTS,
+    "Конвертация паевого в членский «Стола заказов» под доплату" },
+
+  // 12a³. p.mkt.supply: Добор резерва заказа с членского «Стола заказов»
+  //       (TRANSFER w.mkt.member → w.mkt.order, без Dr/Cr — оба кошелька на 86).
+  //       Парный к CONVERT_TO_MKT_MEMBER шаг доплаты по факту.
+  { operations::marketplace::LOCK_FROM_MEMBER, processes::marketplace::SUPPLY, WalletOp::TRANSFER,
+    ledger2_wallets::MARKETPLACE_MEMBER_FUND, ledger2_wallets::MARKETPLACE_ORDER_LOCK,
+    0, 0,
+    "Добор резерва заказа с членского «Стола заказов»" },
+
+  // 12b. p.mkt.supply: Снятие резерва (TRANSFER w.mkt.order → w.mkt.member,
  //      без Dr/Cr — оба кошелька на 86). Срабатывает на cancelorder /
  //      declineorder / expireorder; для signiss2 — на разницу при
-  //      actual < ordered. Средства возвращаются на универсальный членский —
-  //      могут быть потрачены пайщиком в членских программах.
+  //      actual < ordered. Средства возвращаются на членский «Стола заказов»
+  //      (не на универсальный членский) — остаются в программе.
  { operations::marketplace::UNLOCK_ORDER, processes::marketplace::SUPPLY, WalletOp::TRANSFER,
-    ledger2_wallets::MARKETPLACE_ORDER_LOCK, ledger2_wallets::CK_MEMBER,
+    ledger2_wallets::MARKETPLACE_ORDER_LOCK, ledger2_wallets::MARKETPLACE_MEMBER_FUND,
    0, 0,
    "Снятие резерва при отмене заказа" },

@@ -306,12 +334,12 @@ static constexpr OperationRegistryEntry OPERATION_REGISTRY[] = {
    "Выдача имущества пайщику по АПП выдачи" },

  // 12f. p.mkt.return: Гарантийный возврат имущества пайщиком
-  //      (ISSUE ∅ → w.wal.member, Dr 10 / Cr 86 — восстановление средств на
-  //      универсальном членском заказчика и возврат имущества на склад).
+  //      (ISSUE ∅ → w.mkt.member, Dr 10 / Cr 86 — восстановление средств на
+  //      членском «Стола заказов» заказчика и возврат имущества на склад).
  //      Compensating forward к CONSUME_BY_MEMBER; ledger2::revert в Столе
  //      заказов не используется.
  { operations::marketplace::RETURN_BY_MEMBER, processes::marketplace::RETURN, WalletOp::ISSUE,
-    eosio::name{}, ledger2_wallets::CK_MEMBER,
+    eosio::name{}, ledger2_wallets::MARKETPLACE_MEMBER_FUND,
    ledger2_accounts::MATERIALS, ledger2_accounts::TARGET_RECEIPTS,
    "Гарантийный возврат — восстановление средств и имущества" },

@@ -328,17 +356,19 @@ static constexpr OperationRegistryEntry OPERATION_REGISTRY[] = {
    ledger2_accounts::SHARE_FUND, ledger2_accounts::TARGET_RECEIPTS,
    "Трансляция паевого взноса из ЦПП «Цифровой Кошелёк» в членский взнос за пользование инфраструктурой" },

-  // 15. Запрос на возврат паевого: BLOCK SHARE_FUND_PAY (без Dr/Cr — внутри одного бухсчёта 80).
-  { operations::wallet::REQUEST_WITHDRAW, processes::wallet::WITHDRAW, WalletOp::BLOCK,
-    ledger2_wallets::SHARE_FUND_PAY, eosio::name{},
+  // 15. Запрос на возврат паевого: TRANSFER SHARE_FUND_PAY → WITHDRAW_PENDING
+  // (без Dr/Cr — оба кошелька на счёте 80; резерв средств на время рассмотрения).
+  { operations::wallet::REQUEST_WITHDRAW, processes::wallet::WITHDRAW, WalletOp::TRANSFER,
+    ledger2_wallets::SHARE_FUND_PAY, ledger2_wallets::WITHDRAW_PENDING,
    0, 0,
-    "Блокировка паевого под запрос на возврат" },
+    "Резервирование паевого под запрос на возврат" },

-  // 16. Отклонение запроса на возврат: UNBLOCK SHARE_FUND_PAY (без Dr/Cr — зеркало REQUEST_WITHDRAW).
-  { operations::wallet::DECLINE_WITHDRAW, processes::wallet::WITHDRAW, WalletOp::UNBLOCK,
-    ledger2_wallets::SHARE_FUND_PAY, eosio::name{},
+  // 16. Отклонение запроса на возврат: TRANSFER WITHDRAW_PENDING → SHARE_FUND_PAY
+  // (без Dr/Cr — зеркало REQUEST_WITHDRAW; возврат резерва пайщику).
+  { operations::wallet::DECLINE_WITHDRAW, processes::wallet::WITHDRAW, WalletOp::TRANSFER,
+    ledger2_wallets::WITHDRAW_PENDING, ledger2_wallets::SHARE_FUND_PAY,
    0, 0,
-    "Разблокировка паевого после отклонения запроса на возврат" },
+    "Снятие резерва паевого после отклонения запроса на возврат" },

  // 17. Возврат из ЦПП «Благорост» в Цифровой Кошелёк: TRANSFER BLAGOROST_FUND → SHARE_FUND_PAY (без Dr/Cr — оба счёта 80, зеркало INVEST).
  { operations::capital::WITHDRAW_FROM_CAPITAL, processes::capital::WTHCAP, WalletOp::TRANSFER,
@@ -395,7 +425,7 @@ static constexpr size_t OPERATION_REGISTRY_SIZE = sizeof(OPERATION_REGISTRY) / s
 //     оба существуют в `LEDGER2_ACCOUNT_MAP`.
 //  4. Для TRANSFER: `wallet_from` ≠ `wallet_to`, оба ≠ 0.
 //  5. Для ISSUE: `wallet_from` == 0 и `wallet_to` ≠ 0.
-//  6. Для BLOCK / UNBLOCK / BURN / BURN_BLOCKED: `wallet_from` ≠ 0, `wallet_to` == 0.
+//  6. Для BURN: `wallet_from` ≠ 0, `wallet_to` == 0.
 //  7. Все id кошельков из записей существуют в `LEDGER2_WALLET_REGISTRY`.
 namespace ledger2_registry_detail {
  constexpr bool operation_codes_unique() {
@@ -439,11 +469,11 @@ namespace ledger2_registry_detail {
    return true;
  }

-  // Правило 6: BURN / BURN_BLOCKED — wallet_from required, wallet_to == 0 (ADR-003).
+  // Правило 6: BURN — wallet_from required, wallet_to == 0 (ADR-003).
  constexpr bool burn_pattern_correct() {
    for (size_t i = 0; i < OPERATION_REGISTRY_SIZE; ++i) {
      const auto& e = OPERATION_REGISTRY[i];
-      if (e.wallet_op != WalletOp::BURN && e.wallet_op != WalletOp::BURN_BLOCKED) continue;
+      if (e.wallet_op != WalletOp::BURN) continue;
      if (e.wallet_from.value == 0) return false;
      if (e.wallet_to.value != 0)   return false;
    }
@@ -495,7 +525,7 @@ static_assert(ledger2_registry_detail::dr_ne_cr_when_posting(),
 static_assert(ledger2_registry_detail::transfer_wallet_from_ne_to(),
              "OPERATION_REGISTRY: TRANSFER с wallet_from == wallet_to или одним из них == 0");
 static_assert(ledger2_registry_detail::burn_pattern_correct(),
-              "OPERATION_REGISTRY: BURN / BURN_BLOCKED требует wallet_from ≠ 0 и wallet_to == 0");
+              "OPERATION_REGISTRY: BURN требует wallet_from ≠ 0 и wallet_to == 0");
 static_assert(ledger2_registry_detail::none_pattern_correct(),
              "OPERATION_REGISTRY: NONE требует wallet_from == 0, wallet_to == 0 и обе проводки заполненными");
 static_assert(ledger2_registry_detail::accounts_exist_in_map(),
@@ -27,7 +27,7 @@
 *   w.mkt.* — Маркетплейс (выплаты поставщикам)
 *
 * Sentinel `eosio::name{}` (пустое имя, value=0) — «кошелёк вне системы»
- * для ISSUE (нет wallet_from) и для BURN/BLOCK/UNBLOCK (нет wallet_to).
+ * для ISSUE (нет wallet_from) и для BURN (нет wallet_to).
 *
 * При первом ISSUE/TRANSFER кошелёк создаётся автоматически по записи
 * из WALLET_REGISTRY. При обнулении available+blocked запись удаляется.
@@ -46,7 +46,8 @@ struct ledger2_wallets {
  // wallet — паевой фонд + возвраты + ЦК
  static constexpr eosio::name SHARE_FUND_PAY       = "w.wal.share"_n;   ///< Паевой взнос пайщика (USER_SHARED)
  static constexpr eosio::name CK_MEMBER            = "w.wal.member"_n;  ///< ЦК — членская часть пайщика (USER_SHARED)
-  static constexpr eosio::name WITHDRAWALS_SINK     = "w.wal.wthdrw"_n;  ///< DEPRECATED 2026-05-21: после переключения o.wal.wthcpl с TRANSFER на BURN_BLOCKED кошелёк больше не получает новых средств. Оставлен в реестре для исторических L2-балансов (накопленные возвраты до перехода). Не использовать в новых операциях.
+  static constexpr eosio::name WITHDRAWALS_SINK     = "w.wal.wthdrw"_n;  ///< DEPRECATED 2026-05-21: исторический sink возвратов. Оставлен в реестре для исторических L2-балансов (накопленные возвраты до перехода). Не использовать в новых операциях.
+  static constexpr eosio::name WITHDRAW_PENDING     = "w.wal.wpend"_n;   ///< Резерв паевого под заявку на возврат (COOPERATIVE-пул). o.wal.wthreq переводит сюда с w.wal.share, o.wal.wthdec возвращает обратно, o.wal.wthcpl сжигает отсюда. Заменил механику blocked/BLOCK/UNBLOCK 2026-05-24.

  // registrator — минимальный паевой + вступительные
  static constexpr eosio::name MIN_SHARE_FUND       = "w.reg.minshr"_n;  ///< Минимальный паевой взнос пайщика (USER_SHARED, без сверки соглашений)
@@ -64,8 +65,9 @@ struct ledger2_wallets {
  static constexpr eosio::name GENERATOR_FUND       = "w.cap.gen"_n;     ///< Генератор — единый агрегированный кошелёк программы (COOPERATIVE — кооперативный пул, без L3-разреза по пайщику; L3-разрез из ADR-009 отменён из-за несовместимости с CRPS-перераспределением, см. wallets.hpp:107)
  static constexpr eosio::name PREIMP_FUND          = "w.cap.preimp"_n;  ///< Первичный учёт РИД-взносов до перехода на электронный учёт (USER_SHARED; o.cap.preimp / o.cap.drppre)

-  // marketplace — резерв под Order + выплаты
-  static constexpr eosio::name MARKETPLACE_ORDER_LOCK = "w.mkt.order"_n;   ///< ЦПП «Стол Заказов» — резерв средств пайщика под конкретный Order (USER_SHARED). TRANSFER w.wal.share → w.mkt.order на createorder (Дт 80 / Кт 86); обратный TRANSFER на w.wal.member при cancel/decline/expire (без проводки); BURN с w.mkt.order на signiss2 (Дт 86 / Кт 10).
+  // marketplace — резерв под Order + членский «Стола заказов» + выплаты
+  static constexpr eosio::name MARKETPLACE_ORDER_LOCK = "w.mkt.order"_n;   ///< ЦПП «Стол Заказов» — резерв средств пайщика под конкретный Order (USER_SHARED). TRANSFER w.wal.share → w.mkt.order на createorder (Дт 80 / Кт 86); обратный TRANSFER на w.mkt.member при cancel/decline/expire (без проводки); BURN с w.mkt.order на signiss2 (Дт 86 / Кт 10).
+  static constexpr eosio::name MARKETPLACE_MEMBER_FUND = "w.mkt.member"_n; ///< ЦПП «Стол Заказов» — членский кошелёк пайщика программы (USER_SHARED, счёт 86). Сюда возвращается остаток резерва при отмене/недовыдаче и гарантийном возврате; сюда же конвертируется паевой взнос (o.mkt.conv) при доплате по факту — списание под заказ идёт ИМЕННО с членского программы, не с паевого напрямую.
  static constexpr eosio::name SUPPLIER_PAYMENTS      = "w.mkt.payout"_n;  ///< Выплаты поставщикам (sink PAYOUT, COOPERATIVE)
 };

@@ -95,16 +97,17 @@ struct Ledger2WalletMeta {
  WalletKind       kind;
 };

-inline constexpr std::array<Ledger2WalletMeta, 15> LEDGER2_WALLET_REGISTRY = {{
-  // USER_SHARED (6) — L3-разрез по пайщику
+inline constexpr std::array<Ledger2WalletMeta, 17> LEDGER2_WALLET_REGISTRY = {{
+  // USER_SHARED (7) — L3-разрез по пайщику
  { ledger2_wallets::MIN_SHARE_FUND,        "Минимальный паевой взнос",                                 WalletKind::USER_SHARED },
  { ledger2_wallets::SHARE_FUND_PAY,        "Паевой взнос пайщика",                                     WalletKind::USER_SHARED },
  { ledger2_wallets::CK_MEMBER,             "ЦК — членская часть пайщика",                              WalletKind::USER_SHARED },
  { ledger2_wallets::BLAGOROST_FUND,        "ЦПП «Благорост» — единый кошелёк программы у пайщика",     WalletKind::USER_SHARED },
  { ledger2_wallets::PREIMP_FUND,           "Первичный учёт РИД-взносов до перехода на электронный учёт", WalletKind::USER_SHARED },
  { ledger2_wallets::MARKETPLACE_ORDER_LOCK,"ЦПП «Стол Заказов» — резерв под заказ у пайщика",         WalletKind::USER_SHARED },
+  { ledger2_wallets::MARKETPLACE_MEMBER_FUND,"ЦПП «Стол Заказов» — членский кошелёк пайщика программы",  WalletKind::USER_SHARED },

-  // COOPERATIVE (9) — единый кооперативный баланс, без L3
+  // COOPERATIVE (10) — единый кооперативный баланс, без L3
  // GENERATOR_FUND переведён сюда из USER_SHARED (см. wallets.hpp:64) —
  // CRPS-распределение между сегментами проекта не поддерживает per-user
  // компенсирующие TRANSFER на approvecmmt, поэтому L3-проверка walletop
@@ -112,6 +115,7 @@ inline constexpr std::array<Ledger2WalletMeta, 15> LEDGER2_WALLET_REGISTRY = {{
  { ledger2_wallets::GENERATOR_FUND,    "ЦПП «Генератор» — единый кошелёк программы",               WalletKind::COOPERATIVE },
  { ledger2_wallets::ENTRANCE_FEES,     "Вступительные взносы",                                     WalletKind::COOPERATIVE },
  { ledger2_wallets::WITHDRAWALS_SINK,  "Возвраты паевых взносов пайщикам (deprecated, не используется в новых операциях)", WalletKind::COOPERATIVE },
+  { ledger2_wallets::WITHDRAW_PENDING,  "Резерв паевого под заявку на возврат",                     WalletKind::COOPERATIVE },
  { ledger2_wallets::INFRA_FEES,        "Членские взносы за инфраструктуру кооп. платформы",        WalletKind::COOPERATIVE },
  { ledger2_wallets::DELEGATE_FEES,     "Делегатские членские взносы",                              WalletKind::COOPERATIVE },
  { ledger2_wallets::SOV_EXPENSES,      "Хозяйственные расходы из числа целевого финансирования",   WalletKind::COOPERATIVE },
@@ -230,7 +234,7 @@ struct Ledger2WalletProgramMapping {
  uint64_t    required_program_id; // 0 = исключение (без проверки)
 };

-inline constexpr std::array<Ledger2WalletProgramMapping, 7> LEDGER2_USER_SHARED_PROGRAM_MAPPING = {{
+inline constexpr std::array<Ledger2WalletProgramMapping, 8> LEDGER2_USER_SHARED_PROGRAM_MAPPING = {{
  { ledger2_wallets::MIN_SHARE_FUND,         0 /* w.reg.minshr — без проверки */    },
  { ledger2_wallets::SHARE_FUND_PAY,         1 /* ЦК */                              },
  { ledger2_wallets::CK_MEMBER,              1 /* ЦК */                              },
@@ -238,6 +242,7 @@ inline constexpr std::array<Ledger2WalletProgramMapping, 7> LEDGER2_USER_SHARED_
  { ledger2_wallets::GENERATOR_FUND,         3 /* Генератор */                       },
  { ledger2_wallets::PREIMP_FUND,            0 /* w.cap.preimp — РИД-учёт до перехода на электронный учёт, без проверки */ },
  { ledger2_wallets::MARKETPLACE_ORDER_LOCK, 2 /* Marketplace */                    },
+  { ledger2_wallets::MARKETPLACE_MEMBER_FUND,2 /* Marketplace */                    },
 }};

 /**
@@ -59,19 +59,6 @@ namespace OrderPayoutStatus {
  inline constexpr eosio::name DECLINED  = "declined"_n;
 }

-/**
- * @brief Тип цикла отсечки заявок поставщика (атрибут Offer'а — Locked Decision L11).
- *
- * Сохраняется на Order'е, потому что фактический cycle_type фиксируется в момент
- * createorder и не меняется при последующем редактировании Offer'а поставщиком.
- */
-namespace CycleType {
-  inline constexpr eosio::name TIME_BASED        = "timebased"_n;
-  inline constexpr eosio::name VOLUME_BASED      = "volumebased"_n;
-  inline constexpr eosio::name OPEN_SUBSCRIPT    = "opensubscr"_n;
-  inline constexpr eosio::name INDIVIDUAL        = "individual"_n;
-}
-
 /**
 * @brief On-chain Order — анкер процесса p.mkt.supply.
 *
@@ -140,7 +127,6 @@ struct [[eosio::table, eosio::contract(MARKETPLACE)]] order {
  eosio::asset total_cost = asset(0, _root_govern_symbol);    ///< quantity * unit_price (заблокированная сумма)
  eosio::asset fact_cost  = asset(0, _root_govern_symbol);    ///< actual_quantity * unit_price (после signiss2)

-  eosio::name cycle_type = CycleType::TIME_BASED;             ///< снимок cycle_type Offer'а на момент createorder
  uint32_t warranty_period_secs = 0;                          ///< из Offer'а — для submretrn гард'а
  time_point_sec warranty_until = time_point_sec(0);          ///< now() + warranty_period_secs (заполняется в signiss2)

@@ -92,7 +92,6 @@ public:
                                      eosio::name delivery_braname,
                                      uint64_t quantity,
                                      eosio::asset unit_price,
-                                      eosio::name cycle_type,
                                      uint32_t warranty_period_secs,
                                      checksum256 batch_hash);

@@ -161,6 +160,8 @@ public:
  [[eosio::action]] void signchair(eosio::name coopname,
                                    eosio::name signer,
                                    checksum256 order_hash,
+                                    uint64_t actual_quantity,
+                                    eosio::asset actual_unit_price,
                                    document2 act);

  /**
@@ -223,6 +224,7 @@ public:
                                   eosio::name orderer,
                                   checksum256 order_hash,
                                   uint64_t actual_quantity,
+                                   eosio::asset actual_unit_price,
                                   eosio::name delivery_signer,
                                   document2 act);

@@ -7,9 +7,10 @@
 # исходной выдаче (o.mkt.consum). Откат через ledger2::revert НЕ
 # используется (упрощение реализации MVP — реверты исключены из системы).
 #
-# **Модель кошельков:** возврат суммы при гарантии происходит на универсальный
-# членский кошелёк пайщика (w.wal.member.available восстанавливается);
-# пайщик может потратить возвращённую сумму в членских программах.
+# **Модель кошельков:** возврат суммы при гарантии происходит на членский
+# кошелёк «Стола заказов» пайщика (w.mkt.member.available восстанавливается);
+# средства остаются в программе — заказчик направляет их на следующие заказы
+# либо отдельным действием выводит в универсальный членский.
 #
 # Идентификация кошельков — eosio::name с префиксом w.<contract>.<waltype>.
 # Sentinel '' (пустая строка) — «кошелёк вне системы» для ISSUE.
@@ -19,8 +20,8 @@
 # его дальнейшая судьба вне этого процесса.
 #
 # В процессе участвует 1 ledger2-операция (compensating forward к выдаче):
-#   • o.mkt.return  — ISSUE ∅ → w.wal.member (восстановление .available
-#                     на универсальном членском заказчика) + Дт 10 / Кт 86
+#   • o.mkt.return  — ISSUE ∅ → w.mkt.member (восстановление .available
+#                     на членском «Стола заказов» заказчика) + Дт 10 / Кт 86
 #                     (имущество назад на склад через целевое финансирование).
 #
 # Канон формата:
@@ -31,7 +32,7 @@
 #   • cpp/lib/core/ledger2/operations.hpp             — OPERATION_REGISTRY
 #                                                       расширение o.mkt.return
 #   • cpp/lib/core/ledger2/processes.hpp              — processes::marketplace::RETURN
-#   • cpp/lib/core/ledger2/wallets.hpp                — w.wal.member (universal member)
+#   • cpp/lib/core/ledger2/wallets.hpp                — w.mkt.member (членский «Стола заказов»)
 #   • cpp/lib/core/ledger2/accounts.hpp               — Целевое финансирование (86),
 #                                                       Материалы (10)
 # ─────────────────────────────────────────────────────────────────────────────
@@ -314,7 +315,7 @@ documents:
 # ── Секция 6. Операции (Ledger2) ────────────────────────────────────────────
 # Одна ledger2-операция — compensating forward к o.mkt.consum (без
 # использования ledger2::revert). Атомарно: восстановление .available на
-# универсальном членском кошельке заказчика + возврат имущества на склад.
+# членском кошельке «Стола заказов» заказчика + возврат имущества на склад.
 operations:
  - ledger_code: o.mkt.return
    human_name: Гарантийный возврат — восстановление средств и имущества
@@ -323,11 +324,11 @@ operations:
    # финансирование (обратная к выдаче, одной операцией).
    debit: 10                      # Материалы — имущество на складе
    credit: 86                     # Целевое финансирование
-    # L2 — восстановление средств на универсальном членском кошельке заказчика
+    # L2 — восстановление средств на членском кошельке «Стола заказов» заказчика
    wallet_from: null              # эмиссия — источника нет
-    wallet_to: w.wal.member        # Универсальный членский кошелёк пайщика
-    # L3 — пайщику восстанавливается available на универсальном членском
-    user_wallet: w.wal.member
+    wallet_to: w.mkt.member        # Членский кошелёк «Стола заказов» пайщика
+    # L3 — пайщику восстанавливается available на членском «Стола заказов»
+    user_wallet: w.mkt.member
    user_ref: return_request.orderer
    available_delta: +order.fact_cost
    blocked_delta: null
@@ -335,11 +336,11 @@ operations:
    triggered_by: marketplace::accretrn
    description: >
      Compensating forward к выдаче имущества (o.mkt.consum). ISSUE на
-      универсальный членский кошелёк заказчика (w.wal.member) — .available
+      членский кошелёк «Стола заказов» заказчика (w.mkt.member) — .available
      +fact_cost (восстановление ранее списанной суммы). Двойная запись
      Дт 10 / Кт 86 — имущество возвращается на склад за счёт целевого
      финансирования (зеркало выдачи). Журнал содержит прикладное поле
      original_consume_op_id (ссылка на исходный o.mkt.consum для
-      трассировки) — это не часть инфраструктуры revert. Возвращённая
-      сумма доступна пайщику в членских программах.
+      трассировки) — это не часть инфраструктуры revert. Возвращённая сумма
+      остаётся в программе «Стол заказов» — на следующие заказы.

@@ -17,13 +17,14 @@
 #                   Источник средств при создании заказа.
 #   • w.mkt.order   (контракт marketplace, USER_SHARED) — резерв средств
 #                   пайщика под конкретный Order. Сюда уходят средства с
-#                   паевого при createorder; отсюда возвращаются на
-#                   универсальный членский при отмене/истечении заказа,
+#                   паевого при createorder; отсюда возвращаются на членский
+#                   «Стола заказов» при отмене/истечении/недовыдаче,
 #                   либо сжигаются при выдаче имущества (signiss2).
-#   • w.wal.member  (контракт wallet, USER_SHARED) — универсальный членский
-#                   кошелёк пайщика. Приёмник возврата резерва. Сюда
-#                   стекаются возвраты из всех программ — пайщик тратит как
-#                   «баллы» в членских программах.
+#   • w.mkt.member  (контракт marketplace, USER_SHARED) — членский кошелёк
+#                   пайщика «Стола заказов». Приёмник возврата резерва и
+#                   конвертации паевого под доплату. Средства остаются в
+#                   программе — идут на следующие заказы (не уходят в
+#                   универсальный членский).
 # Платформенный кошелёк w.mkt.payout (Выплаты поставщикам) — без изменений.
 # Имущество отслеживается бухгалтерской аналитикой по счёту 10
 # (per-КУ субсчета), без отдельного кошелька.
@@ -35,11 +36,14 @@
 #   • o.mkt.lock   — резервирование средств под Order
 #                     (TRANSFER, w.wal.share → w.mkt.order, Дт 80 / Кт 86).
 #                     Единственный обязательный шаг createorder.
-#   • o.mkt.unlock — снятие резерва при отмене Order'а
-#                     (TRANSFER, w.mkt.order → w.wal.member, без проводки —
-#                      оба кошелька на 86; средства возвращаются на
-#                      универсальный членский — могут быть потрачены
-#                      пайщиком в членских программах).
+#   • o.mkt.unlock — снятие резерва при отмене Order'а / недовыдаче
+#                     (TRANSFER, w.mkt.order → w.mkt.member, без проводки —
+#                      оба кошелька на 86; средства возвращаются на членский
+#                      «Стола заказов» — остаются в программе под след. заказы).
+#   • o.mkt.conv   — конвертация паевого в членский «Стола заказов» под доплату
+#                     (TRANSFER, w.wal.share → w.mkt.member, Дт 80 / Кт 86).
+#   • o.mkt.lockm  — добор резерва заказа с членского «Стола заказов»
+#                     (TRANSFER, w.mkt.member → w.mkt.order, без проводки).
 #   • o.mkt.purch  — приёмка имущества кооперативом по АПП приёмки
 #                     (NONE, только проводка Дт 10 / Кт 86)
 #   • o.mkt.payout — оплата поставщику с расчётного счёта
@@ -55,7 +59,7 @@
 #   • cpp/lib/core/ledger2/operations.hpp             — OPERATION_REGISTRY (расширение)
 #   • cpp/lib/core/ledger2/processes.hpp              — processes::marketplace::SUPPLY
 #   • cpp/lib/core/ledger2/wallets.hpp                — w.wal.share (паевой),
-#                                                       w.wal.member (универсальный членский, contract wallet),
+#                                                       w.mkt.member (членский «Стола заказов»),
 #                                                       w.mkt.order  (резерв под Order),
 #                                                       w.mkt.payout (платформенный)
 #   • cpp/lib/core/ledger2/accounts.hpp               — Расчётный (51),
@@ -258,8 +262,10 @@ actions:
      выдачи забрал свой заказ. Если фактически выданное расходится с
      заказом — сумма заранее корректируется до фактического: при
      меньшем количестве остаток возвращается на программный членский
-      кошелёк, при большем — недостающая сумма берётся с паевого
-      заказчика. Заказ закрыт, открывается гарантийное окно.
+      кошелёк «Стола заказов», при большем — недостающая сумма вносится
+      дополнительным паевым взносом, который конвертируется в членский
+      «Стола заказов» и им добирается доплата (напрямую с паевого не
+      списываем). Заказ закрыт, открывается гарантийное окно.

 # ── Секция 3. Граф состояний ────────────────────────────────────────────────
 # Сущность: marketplace::order (таблица orders, scope=coopname).
@@ -637,8 +643,10 @@ scenario:
        расхождении (например, развесной товар: фактический вес меньше
        заказанного) сумма заказа предварительно корректируется до
        фактической: при меньшем количестве остаток возвращается на
-        программный членский кошелёк заказчика, при большем — недостающая
-        сумма берётся с паевого заказчика. Заказчик ставит финальную
+        программный членский кошелёк «Стола заказов» заказчика, при большем —
+        недостающая сумма вносится дополнительным паевым взносом, который
+        конвертируется в членский «Стола заказов» и им добирается доплата
+        (напрямую с паевого не списываем). Заказчик ставит финальную
        подпись на акте приёма-передачи и забирает заказ.
      pre:
        - Заказ готов к выдаче.
@@ -763,12 +771,15 @@ documents:
 # с префиксом w.<contract>.<waltype>:
 #   • w.wal.share   — Паевой взнос пайщика (контракт wallet, USER_SHARED).
 #                     Источник средств при создании заказа.
-#   • w.wal.member  — Универсальный членский кошелёк пайщика (контракт wallet,
-#                     USER_SHARED). Приёмник возврата резерва при отмене Order'а.
+#   • w.mkt.member  — ЦПП «Стол Заказов» — членский кошелёк пайщика программы
+#                     (USER_SHARED). Приёмник возврата резерва при отмене Order'а
+#                     и при недовыдаче; приёмник конвертации паевого под доплату.
+#                     Средства остаются в программе под следующие заказы (не
+#                     уходят в универсальный членский).
 #   • w.mkt.order   — ЦПП «Стол Заказов» — резерв средств пайщика под
 #                     конкретный Order (USER_SHARED). Сюда переводятся
 #                     средства на createorder с w.wal.share; обратно на
-#                     w.wal.member — при cancel/expire/decline; сжигаются
+#                     w.mkt.member — при cancel/expire/decline; сжигаются
 #                     BURN'ом — на signiss2.
 #   • w.mkt.payout  — Выплаты поставщикам [платформенный]
 # null — для незатронутого уровня; sentinel '' — legacy-допуск (∅ в UI).
@@ -801,8 +812,8 @@ operations:
      (w.mkt.order). Двойная запись Дт 80 / Кт 86 — переход из складочного
      капитала в целевое финансирование. Резерв снимается либо при выдаче
      (o.mkt.consum — сжигание резерва BURN'ом при подписании АПП выдачи),
-      либо при отмене (o.mkt.unlock — обратный TRANSFER в универсальный
-      членский кошелёк пайщика).
+      либо при отмене (o.mkt.unlock — обратный TRANSFER в членский кошелёк
+      «Стола заказов»).

  - ledger_code: o.mkt.unlock
    human_name: Снятие резерва при отмене заказа
@@ -810,16 +821,16 @@ operations:
    # L1 — без проводки (оба кошелька на 86, фиктивная Дт=Кт игнорируется)
    debit: null
    credit: null
-    # L2 — обратный перевод из резерва в универсальный членский пайщика
+    # L2 — обратный перевод из резерва в членский «Стола заказов» пайщика
    wallet_from: w.mkt.order       # Резерв под Order
-    wallet_to: w.wal.member        # Универсальный членский кошелёк пайщика
+    wallet_to: w.mkt.member        # Членский кошелёк «Стола заказов» пайщика
    # L3 — две стороны движения у одного и того же пайщика
    l3:
      - user_wallet: w.mkt.order
        user_ref: order.orderer
        available_delta: -order.total_cost
        blocked_delta: null
-      - user_wallet: w.wal.member
+      - user_wallet: w.mkt.member
        user_ref: order.orderer
        available_delta: +order.total_cost
        blocked_delta: null
@@ -827,11 +838,70 @@ operations:
    triggered_by: marketplace::cancelorder | marketplace::expirecycle | marketplace::declinebatch
    description: >
      Снятие резерва при отмене Order'а (заказчик отменяет до акцепта;
-      цикл истёк без достижения порога; поставщик отказался от партии).
-      Средства возвращаются с кошелька-резерва (w.mkt.order) на универсальный
-      членский кошелёк заказчика (w.wal.member.available) — могут быть
-      потрачены пайщиком в членских программах. По бухгалтерии — без
-      проводки (оба кошелька на счёте 86 — перевод внутри одной аналитики).
+      цикл истёк без достижения порога; поставщик отказался от партии),
+      а также возврат остатка при недовыдаче (signiss2, факт меньше заказа).
+      Средства возвращаются с кошелька-резерва (w.mkt.order) на членский
+      кошелёк «Стола заказов» заказчика (w.mkt.member.available) — остаются
+      в программе и могут быть направлены на следующие заказы. По бухгалтерии —
+      без проводки (оба кошелька на счёте 86 — перевод внутри одной аналитики).
+
+  - ledger_code: o.mkt.conv
+    human_name: Конвертация паевого в членский «Стола заказов» под доплату
+    wallet_op: TRANSFER
+    # L1 — двойная запись (паевой → целевое финансирование)
+    debit: 80                      # Паевой фонд
+    credit: 86                     # Целевое финансирование
+    # L2 — паевой взнос пайщика конвертируется в членский программы
+    wallet_from: w.wal.share       # Паевой взнос пайщика
+    wallet_to: w.mkt.member        # Членский кошелёк «Стола заказов» пайщика
+    # L3 — две стороны движения у одного и того же пайщика
+    l3:
+      - user_wallet: w.wal.share
+        user_ref: order.orderer
+        available_delta: -diff
+        blocked_delta: null
+      - user_wallet: w.mkt.member
+        user_ref: order.orderer
+        available_delta: +diff
+        blocked_delta: null
+    amount_ref: fact_cost - order.total_cost
+    triggered_by: marketplace::signiss2
+    description: >
+      Доплата по факту при выдаче большего количества/по большей цене НЕ
+      списывается с паевого напрямую. Дополнительный паевой взнос заказчика
+      конвертируется в членский взнос «Стола заказов»: TRANSFER w.wal.share →
+      w.mkt.member, двойная запись Дт 80 / Кт 86 (переход из складочного
+      капитала в целевое финансирование). Парно срабатывает o.mkt.lockm,
+      добирая этим членским резерв заказа. Если на паевом недостаточно средств
+      на разницу — выдача с доплатой не проводится.
+
+  - ledger_code: o.mkt.lockm
+    human_name: Добор резерва заказа с членского «Стола заказов»
+    wallet_op: TRANSFER
+    # L1 — без проводки (оба кошелька на 86, фиктивная Дт=Кт игнорируется)
+    debit: null
+    credit: null
+    # L2 — перевод из членского «Стола заказов» в резерв под Order
+    wallet_from: w.mkt.member      # Членский кошелёк «Стола заказов» пайщика
+    wallet_to: w.mkt.order         # Резерв под конкретный Order
+    # L3 — две стороны движения у одного и того же пайщика
+    l3:
+      - user_wallet: w.mkt.member
+        user_ref: order.orderer
+        available_delta: -diff
+        blocked_delta: null
+      - user_wallet: w.mkt.order
+        user_ref: order.orderer
+        available_delta: +diff
+        blocked_delta: null
+    amount_ref: fact_cost - order.total_cost
+    triggered_by: marketplace::signiss2
+    description: >
+      Парный к o.mkt.conv шаг доплаты по факту: сконвертированный членский
+      взнос «Стола заказов» (w.mkt.member) добирает резерв этого же Order'а
+      (w.mkt.order) на разницу. Списание под заказ идёт ИМЕННО с членского
+      программы, не с паевого напрямую. По бухгалтерии — без проводки
+      (оба кошелька на счёте 86 — перевод внутри одной аналитики).

  - ledger_code: o.mkt.purch
    human_name: Приёмка имущества кооперативом
@@ -910,5 +980,7 @@ operations:
      сумма сжигается без получателя (целевое расходование членского взноса).
      Двойная запись Дт 86 / Кт 10 — расход целевых средств на выбытие
      имущества со склада. При расхождении факт vs заказ предшествуют
-      корректирующие операции: o.mkt.unlock на остаток (если факт меньше);
-      o.mkt.lock на разницу (если факт больше).
+      корректирующие операции: o.mkt.unlock на остаток → членский «Стола
+      заказов» (если факт меньше); o.mkt.conv + o.mkt.lockm на разницу
+      (если факт больше — паевой конвертируется в членский «Стола заказов»
+      и им добирается резерв, напрямую с паевого не списываем).
@@ -2,15 +2,15 @@
 * @brief Председатель принимает гарантийный возврат на очном осмотре (Story 7.4, p.mkt.return).
 *
 *  - Ledger2::apply(o.mkt.return, fact_cost, orderer, hash=request.hash)
- *    — ISSUE w.wal.member, Дт 10 / Кт 86. Восстановление средств на универсальном
- *    членском заказчика и возврат имущества на склад через целевое финансирование.
+ *    — ISSUE w.mkt.member, Дт 10 / Кт 86. Восстановление средств на членском
+ *    «Стола заказов» заказчика и возврат имущества на склад через целевое финансирование.
 *
 * Compensating forward, не revert (Locked Decision L3 — AR14): новое событие в
 * journal с прикладным полем `original_consume_op_id` (заполняется backend'ом
 * в submretrn) для трассировки. Исходная o.mkt.consum в журнале НЕ модифицируется.
 *
 * Status: approved_for_visit → return_accepted (final). Имущество возвращается
- * на склад КУ; средства восстанавливаются на w.wal.member.available заказчика.
+ * на склад КУ; средства восстанавливаются на w.mkt.member.available заказчика.
 *
 * Guards:
 *  - Подписант (`signer`) авторизован для указанного КУ (`braname`).
@@ -37,7 +37,7 @@ void marketplace::accretrn(eosio::name coopname,
    verify_document_or_fail(decision, { signer });
  }

-  // o.mkt.return: ISSUE w.wal.member, Дт 10 / Кт 86
+  // o.mkt.return: ISSUE w.mkt.member, Дт 10 / Кт 86
  Ledger2::apply(_marketplace, coopname,
                 operations::marketplace::RETURN_BY_MEMBER,
                 r.fact_cost, r.orderer, r.hash,
@@ -2,8 +2,8 @@
 * @brief Заказчик отменяет заказ до акцепта поставщиком (Story 4.4, p.mkt.supply).
 *
 * Триггерит `o.mkt.unlock` на full `order.total_cost` — TRANSFER w.mkt.order →
- * w.wal.member (снятие резерва). Сумма возвращается на универсальный членский
- * `w.wal.member.available` заказчика — может быть потрачена в членских программах.
+ * w.mkt.member (снятие резерва). Сумма возвращается на членский «Стола заказов»
+ * `w.mkt.member.available` заказчика — остаётся в программе под следующие заказы.
 *
 * Guards:
 *  - Order существует.
@@ -7,7 +7,7 @@
 *    переходит в целевое финансирование на резерв-кошелёк.
 *
 * Guards (из p.mkt.supply.standard.yaml + Locked Decision L6):
- *  - quantity > 0; unit_price > 0 в _root_govern_symbol; cycle_type валидный.
+ *  - quantity > 0; unit_price > 0 в _root_govern_symbol.
 *  - Order с таким hash ещё не создан (idempotency).
 *  - Заказчик — активный пайщик кооператива (`get_participant_or_fail`).
 *  - `delivery_braname` существует в `branches` (КУ выдачи задаётся пайщиком
@@ -31,7 +31,6 @@ void marketplace::createorder(eosio::name coopname,
                               eosio::name delivery_braname,
                               uint64_t quantity,
                               eosio::asset unit_price,
-                               eosio::name cycle_type,
                               uint32_t warranty_period_secs,
                               checksum256 batch_hash) {
  require_auth(coopname);
@@ -42,11 +41,6 @@ void marketplace::createorder(eosio::name coopname,
               "Некорректная цена за единицу");
  eosio::check(unit_price.symbol == _root_govern_symbol,
               "Некорректный символ валюты в цене");
-  eosio::check(cycle_type == CycleType::TIME_BASED ||
-               cycle_type == CycleType::VOLUME_BASED ||
-               cycle_type == CycleType::OPEN_SUBSCRIPT ||
-               cycle_type == CycleType::INDIVIDUAL,
-               "Неизвестный тип цикла отсечки заявок");

  // Idempotency: Order с таким hash не должен существовать
  eosio::check(!Marketplace::get_order_by_hash(coopname, order_hash).has_value(),
@@ -93,7 +87,6 @@ void marketplace::createorder(eosio::name coopname,
    o.total_cost      = total_cost;
    o.fact_cost       = total_cost;        // до signiss2 == total_cost

-    o.cycle_type            = cycle_type;
    o.warranty_period_secs  = warranty_period_secs;

    o.status      = OrderStatus::ACTIVE;
@@ -1,8 +1,8 @@
 /**
 * @brief Поставщик отказывается от одного Order'а до акцепта (Story 4.5, p.mkt.supply).
 *
- * Per-Order: o.mkt.unlock на total_cost (TRANSFER w.mkt.order → w.wal.member —
- * резерв возвращается на универсальный членский заказчика) + статус active →
+ * Per-Order: o.mkt.unlock на total_cost (TRANSFER w.mkt.order → w.mkt.member —
+ * резерв возвращается на членский «Стола заказов» заказчика) + статус active →
 * cancelled. Backend проходит циклом по orders соответствующего batch'а,
 * вызывая `declineorder` per Order — векторов order_hash нет.
 *
@@ -8,7 +8,7 @@
 * threshold — это вычисление backend'а; on-chain — только закрытие конкретного
 * Order'а с возвратом резерва.
 *
- * Per-Order: o.mkt.unlock на total_cost (TRANSFER w.mkt.order → w.wal.member — снятие резерва на универсальный членский заказчика) + статус active → cancelled.
+ * Per-Order: o.mkt.unlock на total_cost (TRANSFER w.mkt.order → w.mkt.member — возврат резерва на членский «Стола заказов» заказчика) + статус active → cancelled.
 *
 * Guards:
 *  - Order существует и в статусе active (после акцепта поставщика
@@ -3,7 +3,15 @@
 * по одному Order'у (Story 5.3/5.4, p.mkt.supply).
 *
 * Per-Order — только бухгалтерская приёмка имущества:
- *  - Ledger2::apply(o.mkt.purch, total_cost, …, hash=order.hash) — Дт 10 / Кт 86.
+ *  - Ledger2::apply(o.mkt.purch, fact_cost, …, hash=order.hash) — Дт 10 / Кт 86.
+ *
+ * Факт приёмки (кол-во и цена за единицу) корректируется оператором при
+ * открытии приёмки и зашивается в акт, который утверждает поставщик: привезли
+ * меньше / другого качества → принимаем со скидкой. Кооператив приходует
+ * поставщику итоговую `fact_cost = actual_quantity × actual_unit_price`, а не
+ * исходную `o.total_cost`. Резерва пайщика на приёмке нет, поэтому веток
+ * возврата/доплаты (как в signiss2) здесь не требуется — это просто итоговая
+ * стоимость к получению поставщиком.
 *
 * Имущество приходуется на склад приёмного КУ (`accept_braname`); у кооператива
 * возникает обязательство Кт 86 перед поставщиком. Фактическая выплата деньгами
@@ -19,14 +27,22 @@
 *  - Подписант (`signer`) авторизован для приёмного КУ — председатель,
 *    trustee либо доверенное лицо в `branches[accept_braname].trusted[]`.
 *  - На акте есть подписи поставщика и подписанта приёмки.
+ *  - actual_quantity > 0; actual_unit_price > 0 и в валюте кооператива.
 *
 * @ingroup public_marketplace_actions
 */
 void marketplace::signchair(eosio::name coopname,
                             eosio::name signer,
                             checksum256 order_hash,
+                             uint64_t actual_quantity,
+                             eosio::asset actual_unit_price,
                             document2 act) {
  require_auth(coopname);
+  eosio::check(actual_quantity > 0, "Фактическое количество должно быть больше нуля");
+  eosio::check(actual_unit_price.symbol == _root_govern_symbol,
+               "Фактическая цена за единицу указана в неверной валюте");
+  eosio::check(actual_unit_price.amount > 0,
+               "Фактическая цена за единицу должна быть больше нуля");

  auto o = Marketplace::get_order_by_hash_or_fail(coopname, order_hash);
  eosio::check(o.status == OrderStatus::SUPPLY_PREPARED,
@@ -39,14 +55,23 @@ void marketplace::signchair(eosio::name coopname,

  verify_document_or_fail(act, { o.offerer, signer });

+  // Итоговая стоимость к получению поставщиком — от скорректированного факта.
+  const eosio::asset fact_cost = eosio::asset(
+      static_cast<int64_t>(actual_quantity) * actual_unit_price.amount,
+      _root_govern_symbol);
+  eosio::check(fact_cost.amount > 0,
+               "Итоговая фактическая сумма приёмки должна быть больше нуля");
+
  // Только приёмка имущества; payout — отдельный lazy action (L12).
  Ledger2::apply(_marketplace, coopname,
                 operations::marketplace::PURCHASE_FROM_SUPPLIER,
-                 o.total_cost, o.offerer, o.hash,
+                 fact_cost, o.offerer, o.hash,
                 Marketplace::Memo::get_purchase_from_supplier_memo(o.id));

  Marketplace::update_order(coopname, o.id, [&](auto& upd) {
    upd.status = OrderStatus::ACCEPTED_TO_COOP;
+    upd.actual_quantity = actual_quantity;
+    upd.fact_cost = fact_cost;
    upd.acceptance_act_signchair = act;
    upd.current_warehouse_braname = o.accept_braname;  // имущество на приёмном складе
  });
@@ -10,14 +10,17 @@
 *
 * 2) actual < ordered (выдано меньше — остаток резерва возвращается):
 *      Ledger2::apply(o.mkt.unlock, ordered_cost - fact_cost) — TRANSFER w.mkt.order →
- *          w.wal.member на разницу (снятие части резерва на универсальный членский).
+ *          w.mkt.member на разницу (остаток резерва на членский «Стола заказов»).
 *      затем — consum на fact_cost.
 *
- * 3) actual > ordered (доплата с паевого):
+ * 3) actual > ordered (доплата по факту — НЕ списываем с паевого напрямую):
 *      diff = fact_cost - ordered_cost
- *      проверка достаточности средств для diff на w.wal.share.
- *      o.mkt.lock(diff) — TRANSFER w.wal.share → w.mkt.order, Дт 80 / Кт 86 —
- *      добор резерва на этот же Order. Затем — consum на fact_cost.
+ *      проверка достаточности средств для diff на w.wal.share (источник конвертации).
+ *      o.mkt.conv(diff) — TRANSFER w.wal.share → w.mkt.member, Дт 80 / Кт 86 —
+ *          дополнительный паевой взнос конвертируется в членский «Стола заказов».
+ *      o.mkt.lockm(diff) — TRANSFER w.mkt.member → w.mkt.order (без проводки) —
+ *          добор резерва на этот же Order ИМЕННО с членского программы.
+ *      Затем — consum на fact_cost.
 *
 * Status: ready_to_receive → received. actual_quantity, fact_cost,
 * issue_act_signiss2, warranty_until заполняются.
@@ -27,7 +30,9 @@
 *  - Подписант со стороны кооператива (`delivery_signer`) авторизован для
 *    КУ выдачи (`o.delivery_braname`).
 *  - verify_document_or_fail(act, {delivery_signer, orderer}).
- *  - actual_quantity > 0.
+ *  - actual_quantity > 0; actual_unit_price > 0 и в валюте кооператива.
+ *    fact_cost = actual_quantity × actual_unit_price (цена скорректирована
+ *    оператором при открытии выдачи, заказчик факт не редактирует).
 *  - При actual > ordered и нехватке средств — транзакция фейлится с
 *    человеческим сообщением, которое UI показывает напрямую.
 *  - Idempotency: is_empty_document(issue_act_signiss2).
@@ -38,10 +43,15 @@ void marketplace::signiss2(eosio::name coopname,
                            eosio::name orderer,
                            checksum256 order_hash,
                            uint64_t actual_quantity,
+                            eosio::asset actual_unit_price,
                            eosio::name delivery_signer,
                            document2 act) {
  require_auth(coopname);
  eosio::check(actual_quantity > 0, "Фактическое количество должно быть больше нуля");
+  eosio::check(actual_unit_price.symbol == _root_govern_symbol,
+               "Фактическая цена за единицу указана в неверной валюте");
+  eosio::check(actual_unit_price.amount > 0,
+               "Фактическая цена за единицу должна быть больше нуля");

  auto o = Marketplace::get_order_by_hash_or_fail(coopname, order_hash);
  eosio::check(o.orderer == orderer, "Вы не заказчик этого заказа");
@@ -56,15 +66,18 @@ void marketplace::signiss2(eosio::name coopname,

  verify_document_or_fail(act, { delivery_signer, orderer });

+  // Факт считается от скорректированной оператором цены (actual_unit_price),
+  // а не от цены заказа (o.unit_price): оператор мог снизить/поднять цену на
+  // месте (испорчена упаковка, замена позиции и т. п.).
  const eosio::asset fact_cost = eosio::asset(
-      static_cast<int64_t>(actual_quantity) * o.unit_price.amount,
+      static_cast<int64_t>(actual_quantity) * actual_unit_price.amount,
      _root_govern_symbol);
  eosio::check(fact_cost.amount > 0,
               "Итоговая фактическая сумма заказа должна быть больше нуля");

  // ── Корректирующие операции (если факт ≠ заказ) ─────────────────────
  if (fact_cost < o.total_cost) {
-    // actual < ordered: снимаем разницу резерва → .available универсального членского
+    // actual < ordered: остаток резерва возвращается на членский «Стола заказов»
    const eosio::asset diff = o.total_cost - fact_cost;
    Ledger2::apply(_marketplace, coopname,
                   operations::marketplace::UNLOCK_ORDER,
@@ -72,18 +85,27 @@ void marketplace::signiss2(eosio::name coopname,
                   Marketplace::Memo::get_signiss2_correction_less_memo(o.id));

  } else if (fact_cost > o.total_cost) {
-    // actual > ordered: добираем разницу с паевого через дополнительный lock
+    // actual > ordered: доплату НЕ списываем с паевого напрямую. Дополнительный
+    // паевой взнос конвертируется в членский «Стола заказов» (o.mkt.conv), и уже
+    // с членского программы добирается резерв этого же заказа (o.mkt.lockm).
    const eosio::asset diff = fact_cost - o.total_cost;

-    // Проверка доступности diff на паевом заказчика
+    // Проверка доступности diff на паевом заказчика — источнике конвертации.
    auto bal_share = Marketplace::get_user_wallet_balance(
        coopname, ledger2_wallets::SHARE_FUND_PAY, orderer);
    eosio::check(bal_share.available >= diff,
                 std::string{"Недостаточно средств для дооплаты по факту: требуется "} +
                   diff.to_string() + ", доступно " + bal_share.available.to_string());

+    // 1) Конвертация паевой → членский «Стола заказов» (Дт 80 / Кт 86).
    Ledger2::apply(_marketplace, coopname,
-                   operations::marketplace::LOCK_ORDER,
+                   operations::marketplace::CONVERT_TO_MKT_MEMBER,
+                   diff, orderer, o.hash,
+                   Marketplace::Memo::get_signiss2_correction_more_convert_memo(o.id));
+
+    // 2) Добор резерва заказа с членского «Стола заказов» (без проводки, оба на 86).
+    Ledger2::apply(_marketplace, coopname,
+                   operations::marketplace::LOCK_FROM_MEMBER,
                   diff, orderer, o.hash,
                   Marketplace::Memo::get_signiss2_correction_more_block_memo(o.id));
  }
@@ -3,10 +3,11 @@
 # программу «Цифровой Кошелёк» (SHARE_FUND_PAY).
 #
 # Четырёхактовый процесс с одной авторизацией советом. Запись заявки живёт в
-# таблице `withdraws` от создания до выплаты или отказа. На закрывающем
-# действии completewthd срабатывает одна операция o.wal.wthcpl — сжигание
-# заблокированной суммы (BURN_BLOCKED w.wal.share): деньги уходят из системы
-# пайщику банковским переводом, получателя на цепи нет.
+# таблице `withdraws` от создания до выплаты или отказа. На подаче заявки сумма
+# переводится в кошелёк-резерв (WITHDRAW_PENDING, w.wal.wpend). На закрывающем
+# действии completewthd срабатывает операция o.wal.wthcpl — сжигание суммы из
+# резерва (BURN w.wal.wpend): деньги уходят из системы пайщику банковским
+# переводом, получателя на цепи нет.
 #
 # Источники правды в коде:
 #   • cpp/wallet/wallet.hpp                                 — actions
@@ -43,8 +44,8 @@ actions:
    actor: contributor
    role: opener
    purpose: >
-      Пайщик создаёт заявку на возврат паевого взноса. Контракт блокирует
-      сумму на кошельке SHARE_FUND_PAY (статус available → blocked) и
+      Пайщик создаёт заявку на возврат паевого взноса. Контракт переводит
+      сумму с кошелька SHARE_FUND_PAY в кошелёк-резерв WITHDRAW_PENDING и
      создаёт повестку в совете о возврате с callback'ом авторизации.
  - name: wallet::authwthd
    human: Авторизовать выплату
@@ -60,16 +61,17 @@ actions:
    role: closer
    purpose: >
      Gateway подтвердил списание средств в пользу пайщика. Это закрывающее
-      действие: применяется операция o.wal.wthcpl (BURN_BLOCKED w.wal.share)
-      — заблокированная сумма сжигается, в бухгалтерии проходит обратная
+      действие: применяется операция o.wal.wthcpl (BURN w.wal.wpend)
+      — сумма из резерва сжигается, в бухгалтерии проходит обратная
      проводка Дт 80 / Кт 51. Запись заявки удаляется.
  - name: wallet::declinewthd
    human: Отклонить
    actor: soviet
    role: reject
    purpose: >
-      Отказ на любом из этапов до выплаты. Сумма разблокируется на кошельке
-      пайщика (UNBLOCK через o.wal.wthdec), запись заявки удаляется.
+      Отказ на любом из этапов до выплаты. Сумма возвращается из резерва на
+      кошелёк пайщика (o.wal.wthdec: WITHDRAW_PENDING → SHARE_FUND_PAY),
+      запись заявки удаляется.

 # ── Секция 3. Граф состояний ────────────────────────────────────────────────
 entity: wallet::withdraw
@@ -80,8 +82,8 @@ states:
  - name: pending
    human: Ожидает решения совета
    description: >
-      Заявка создана, сумма заблокирована на кошельке пайщика (available → blocked),
-      повестка отправлена в совет.
+      Заявка создана, сумма переведена в кошелёк-резерв (SHARE_FUND_PAY →
+      WITHDRAW_PENDING), повестка отправлена в совет.
    kind: normal
  - name: authorized
    human: Выплата отправлена
@@ -92,15 +94,15 @@ states:
  - name: completed
    human: Возврат выплачен
    description: >
-      Gateway подтвердил списание, заблокированная сумма сжигается на кошельке
-      пайщика (BURN_BLOCKED w.wal.share). В бухгалтерии прошла обратная
+      Gateway подтвердил списание, сумма из резерва сжигается
+      (BURN w.wal.wpend). В бухгалтерии прошла обратная
      проводка Дт 80 / Кт 51. Запись заявки удалена.
    kind: final
  - name: removed
    human: Отклонено
    description: >
-      Возврат не состоялся: сумма разблокирована (UNBLOCK через o.wal.wthdec),
-      запись удалена.
+      Возврат не состоялся: сумма возвращена из резерва на кошелёк пайщика
+      (o.wal.wthdec: WITHDRAW_PENDING → SHARE_FUND_PAY), запись удалена.
    kind: virtual
    virtual: true

@@ -172,7 +174,7 @@ scenario:
        - Сумма возврата ≤ доступного остатка.
      post:
        - В таблице withdraws создана запись со статусом `pending`.
-        - На кошельке пайщика сумма переведена available → blocked.
+        - Сумма переведена с SHARE_FUND_PAY в кошелёк-резерв WITHDRAW_PENDING.
        - Совет получил повестку о возврате.

    - step: 2
@@ -197,13 +199,13 @@ scenario:
      action: wallet::completewthd
      description: >
        Gateway подтверждает списание средств в пользу пайщика. Контракт
-        применяет ledger2-операцию o.wal.wthcpl (BURN_BLOCKED w.wal.share с
+        применяет ledger2-операцию o.wal.wthcpl (BURN w.wal.wpend с
        обратной проводкой Дт 80 / Кт 51) и удаляет запись заявки.
      pre:
        - Заявка в статусе `authorized`.
        - Gateway подтвердил списание.
      post:
-        - Заблокированная сумма сожжена с SHARE_FUND_PAY (w.wal.share).
+        - Сумма из резерва сожжена (WITHDRAW_PENDING, w.wal.wpend).
        - В ledger2 применена операция o.wal.wthcpl.
        - Запись заявки удалена.

@@ -214,8 +216,8 @@ scenario:
      actor: soviet
      description: >
        Совет принял отрицательное решение либо Gateway отклонил платёж.
-        Сумма разблокирована на кошельке пайщика (UNBLOCK через o.wal.wthdec),
-        запись удалена.
+        Сумма возвращена из резерва на кошелёк пайщика (o.wal.wthdec:
+        WITHDRAW_PENDING → SHARE_FUND_PAY), запись удалена.

 # ── Секция 5. Документы и подписи ───────────────────────────────────────────
 documents:
@@ -234,45 +236,45 @@ documents:
 # ── Секция 6. Операции ──────────────────────────────────────────────────────
 operations:
  - ledger_code: o.wal.wthreq
-    human_name: Блокировка паевого под запрос на возврат
-    wallet_op: BLOCK
+    human_name: Резервирование паевого под запрос на возврат
+    wallet_op: TRANSFER
    wallet_from: w.wal.share
-    wallet_to: ~
+    wallet_to: w.wal.wpend
    debit: ~
    credit: ~
    amount_ref: withdraw.quantity
    triggered_by: wallet::createwthd
    description: >
-      На создании заявки контракт блокирует сумму на кошельке пайщика
-      (SHARE_FUND_PAY): available → blocked. Бухгалтерская проводка не
-      создаётся — движение внутри одного бухсчёта 80.
+      На создании заявки контракт переводит сумму с кошелька пайщика
+      (SHARE_FUND_PAY) в кошелёк-резерв (WITHDRAW_PENDING). Бухгалтерская
+      проводка не создаётся — движение внутри одного бухсчёта 80.

  - ledger_code: o.wal.wthdec
-    human_name: Разблокировка паевого после отклонения запроса на возврат
-    wallet_op: UNBLOCK
-    wallet_from: w.wal.share
-    wallet_to: ~
+    human_name: Снятие резерва паевого после отклонения запроса на возврат
+    wallet_op: TRANSFER
+    wallet_from: w.wal.wpend
+    wallet_to: w.wal.share
    debit: ~
    credit: ~
    amount_ref: withdraw.quantity
    triggered_by: wallet::declinewthd
    description: >
-      Зеркало REQUEST_WITHDRAW: blocked → available на кошельке пайщика.
-      Бухгалтерская проводка не создаётся.
+      Зеркало REQUEST_WITHDRAW: сумма возвращается из резерва (WITHDRAW_PENDING)
+      на кошелёк пайщика (SHARE_FUND_PAY). Бухгалтерская проводка не создаётся.

  - ledger_code: o.wal.wthcpl
    human_name: Возврат паевого взноса пайщику
-    wallet_op: BURN_BLOCKED
-    wallet_from: w.wal.share          # ЦПП «Цифровой Кошелёк» — паевые взносы деньгами
+    wallet_op: BURN
+    wallet_from: w.wal.wpend           # кошелёк-резерв возвратов
    wallet_to: ~                       # деньги уходят из системы, получателя на цепи нет
    debit: 80                  # Паевой фонд (складочный капитал)
    credit: 51                 # Расчётный счёт
    amount_ref: withdraw.quantity
    triggered_by: wallet::completewthd
    description: >
-      Обратная операция к o.wal.depcpl: заблокированная сумма сжигается с
-      кошелька пайщика «ЦПП Цифровой Кошелёк» (w.wal.share) — деньги уходят
-      из системы банковским переводом пайщику. На цепи получателя нет.
+      Обратная операция к o.wal.depcpl: зарезервированная сумма сжигается с
+      кошелька-резерва (w.wal.wpend) — деньги уходят из системы банковским
+      переводом пайщику. На цепи получателя нет.
      В бухгалтерии прошла проводка Дт 80 / Кт 51 — паевой фонд уменьшился,
      деньги ушли с расчётного счёта пайщику.

@@ -1,6 +1,6 @@
 {
  "name": "@coopenomics/contracts",
-  "version": "2026.5.23-4",
+  "version": "2026.5.30-alpha-2",
  "private": true,
  "type": "module",
  "scripts": {
@@ -71,12 +71,6 @@ SENTRY_DSN=
 GITHUB_TOKEN=


-# OpenSearch (поисковая система документов, опционально)
-OPENSEARCH_NODE=https://opensearch:9200
-OPENSEARCH_ENABLED=false
-OPENSEARCH_USERNAME=admin
-OPENSEARCH_PASSWORD=
-
 LIVEKIT_URL=
 LIVEKIT_API_KEY=
 LIVEKIT_API_SECRET=
@@ -1,4 +1,6 @@
 {
  "watch": ["./src"],
-  "ext": "ts"
+  "ext": "ts",
+  "delay": 2000,
+  "signal": "SIGTERM"
 }
@@ -1,12 +1,12 @@
 {
  "name": "create-nodejs-express-app",
-  "version": "2026.5.23-4",
+  "version": "2026.5.30-alpha-2",
  "lockfileVersion": 3,
  "requires": true,
  "packages": {
    "": {
      "name": "create-nodejs-express-app",
-      "version": "2026.5.23-4",
+      "version": "2026.5.30-alpha-2",
      "license": "MIT",
      "dependencies": {
        "@a2seven/yoo-checkout": "^1.1.4",
@@ -1,6 +1,6 @@
 {
  "name": "@coopenomics/controller",
-  "version": "2026.5.23-4",
+  "version": "2026.5.30-alpha-2",
  "description": "Бэкенд GraphQL API кооператива на NestJS",
  "private": true,
  "bin": "bin/createNodejsApp.js",
@@ -99,7 +99,6 @@
    "@nestjs/typeorm": "^10.0.2",
    "@novu/api": "^1.4.0",
    "@octokit/rest": "^22.0.1",
-    "@opensearch-project/opensearch": "^3.5.1",
    "@sentry/nestjs": "^10.32.1",
    "@sentry/node": "^10.32.1",
    "@types/jest": "^29.5.12",
@@ -193,12 +192,12 @@
    "@antfu/eslint-config": "^2.24.1",
    "@graphql-codegen/cli": "^5.0.3",
    "@graphql-codegen/typescript": "^4.1.1",
-    "@swc-node/register": "^1.11.1",
-    "@swc/core": "^1.15.33",
    "@graphql-codegen/typescript-apollo-client-helpers": "^3.0.0",
    "@graphql-codegen/typescript-operations": "^4.3.1",
    "@nestjs/testing": "^11.1.19",
    "@redocly/cli": "^1.18.0",
+    "@swc-node/register": "^1.11.1",
+    "@swc/core": "^1.15.33",
    "@types/express": "^4.17.21",
    "@types/node": "^20.11.26",
    "@typescript-eslint/eslint-plugin": "^5.10.0",
@@ -15,7 +15,6 @@ import { NovuModule } from './infrastructure/novu/novu.module';
 import { EventsInfrastructureModule } from './infrastructure/events/events.module';
 import { FreeDecisionInfrastructureModule } from './infrastructure/free-decision/free-decision-infrastructure.module';
 import { DecisionTrackingInfrastructureModule } from './infrastructure/decision-tracking/decision-tracking-infrastructure.module';
-import { SearchInfrastructureModule } from './infrastructure/search/search-infrastructure.module';
 import { FileStorageInfrastructureModule } from './infrastructure/file-storage';

 // Domain modules
@@ -61,6 +60,7 @@ import { AgreementModule } from './application/agreement/agreement.module';
 import { ParticipantModule } from './application/participant/participant.module';
 import { AgendaModule } from './application/agenda/agenda.module';
 import { DesktopModule } from './application/desktop/desktop.module';
+import { ExtensionGrantsModule } from './application/desktop/extension-grants.registry';
 import { MeetModule } from './application/meet/meet.module';
 import { GatewayModule } from './application/gateway/gateway.module';
 import { WalletModule } from './application/wallet/wallet.module';
@@ -76,6 +76,7 @@ import { SettingsApplicationModule } from './application/settings/settings.modul
 import { RegistrationModule } from './application/registration/registration.module';
 import { OnboardingApplicationModule } from './application/onboarding/onboarding-application.module';
 import { SearchModule } from './application/search/search.module';
+import { SignedDocumentsModule } from './application/signed-documents/signed-documents.module';
 import { MutationLoggingInterceptor } from './application/common/interceptors/mutation-logging.interceptor';
 import { MarketplacePluginModule } from './extensions/marketplace/marketplace-extension.module';
 import { MarketplaceCardsModule } from './extensions/marketplace-cards/marketplace-cards.module';
@@ -99,7 +100,6 @@ import { MarketplaceCardsModule } from './extensions/marketplace-cards/marketpla
    GeneratorInfrastructureModule,
    RedisModule,
    NovuModule,
-    SearchInfrastructureModule,
    EventsInfrastructureModule,
    FreeDecisionInfrastructureModule,
    DecisionTrackingInfrastructureModule,
@@ -143,6 +143,7 @@ import { MarketplaceCardsModule } from './extensions/marketplace-cards/marketpla
    AgendaModule,
    AppStoreModule,
    AuthModule,
+    ExtensionGrantsModule,
    DesktopModule,
    BranchModule,
    LoggerModule,
@@ -168,6 +169,7 @@ import { MarketplaceCardsModule } from './extensions/marketplace-cards/marketpla
    RegistrationModule,
    OnboardingApplicationModule,
    SearchModule,
+    SignedDocumentsModule,
    // Marketplace extensions
    MarketplacePluginModule,
    MarketplaceCardsModule,
@@ -19,10 +19,14 @@ if (config.env !== 'test') {
 app.use(helmet({ hsts: false }));

 // parse json request body
-app.use(express.json({ limit: '2mb' }));
+// Лимит покрывает base64-загрузку изображений в GraphQL-мутациях (карточки
+// Стола заказов до 8×10 МБ, фото гарантийного возврата до 10×10 МБ): base64
+// раздувает бинарь в ~1.37×, поэтому ~160 МБ. nginx (playbooks) держит ту же
+// планку client_max_body_size 160M.
+app.use(express.json({ limit: '160mb' }));

 // parse urlencoded request body
-app.use(express.urlencoded({ extended: true, limit: '2mb' }));
+app.use(express.urlencoded({ extended: true, limit: '160mb' }));

 // sanitize request data; для части GraphQL-мутаций см. GRAPHQL_ROOT_FIELDS_SKIP_XSS
 // const xssMiddleware = xss();
@@ -0,0 +1,15 @@
+import { createParamDecorator, ExecutionContext } from '@nestjs/common';
+import { GqlExecutionContext } from '@nestjs/graphql';
+
+/**
+ * Возвращает текущего пользователя из запроса ЛИБО `null`, если запрос
+ * гостевой. В паре с `OptionalGqlJwtAuthGuard`: не бросает, не требует
+ * авторизации. Использовать там, где ручка открыта и гостю, но ответ
+ * зависит от того, кто спрашивает.
+ */
+export const OptionalCurrentUser = createParamDecorator(
+  (_data: unknown, context: ExecutionContext) => {
+    const ctx = GqlExecutionContext.create(context);
+    return ctx.getContext().req?.user ?? null;
+  },
+);
@@ -0,0 +1,24 @@
+import { ExecutionContext, Injectable } from '@nestjs/common';
+import { AuthGuard } from '@nestjs/passport';
+import { GqlExecutionContext } from '@nestjs/graphql';
+
+/**
+ * Опциональный JWT-гард для GraphQL: НЕ бросает при отсутствии/невалидности
+ * токена, а просто оставляет `request.user` пустым. Нужен для запросов,
+ * доступных и гостю, и пайщику, где состав ответа зависит от того, кто
+ * спрашивает (например, `getDesktop` — гранты столов вычисляются по
+ * текущему пользователю, но сама ручка открыта без авторизации).
+ */
+@Injectable()
+export class OptionalGqlJwtAuthGuard extends AuthGuard('jwt') {
+  getRequest(context: ExecutionContext) {
+    const ctx = GqlExecutionContext.create(context);
+    return ctx.getContext().req;
+  }
+
+  // passport бросает на отсутствии/невалидном токене — гасим в null,
+  // запрос продолжается как гостевой.
+  handleRequest(_err: any, user: any) {
+    return user ?? null;
+  }
+}
@@ -26,11 +26,22 @@ export class DesktopWorkspaceDTO implements DesktopWorkspaceDomainInterface {
  @IsString()
  public readonly defaultRoute?: string;

+  @Field(() => [String], {
+    nullable: true,
+    description:
+      'Права доступа текущего пользователя в расширении (вид «Resource:action»). ' +
+      'Фронт показывает страницу/стол, если её требование входит в этот список. ' +
+      'Отсутствует у расширений, не использующих канон прав доступа.',
+  })
+  @IsOptional()
+  public readonly grants?: string[];
+
  constructor(data: DesktopWorkspaceDomainInterface) {
    this.name = data.name;
    this.title = data.title;
    this.extension_name = data.extension_name;
    this.icon = data.icon;
    this.defaultRoute = data.defaultRoute;
+    this.grants = data.grants;
  }
 }
@@ -0,0 +1,47 @@
+import { Global, Injectable, Module } from '@nestjs/common';
+import type {
+  IDesktopGrantsContext,
+  IExtensionDesktopGrantsProvider,
+} from '~/domain/desktop/ports/extension-grants.port';
+
+/**
+ * Реестр провайдеров грантов расширений (канон авторизации столов).
+ *
+ * Расширения САМИ регистрируются здесь в `onModuleInit` своего desktop-grants
+ * провайдера (self-registration) — так платформенный `DesktopDomainInteractor`
+ * собирает гранты, НЕ импортируя модули расширений (нет цикла зависимостей).
+ * Реестр — глобальный синглтон (`@Global`), поэтому виден и интерактору, и
+ * модулям расширений без явного импорта.
+ */
+@Injectable()
+export class ExtensionGrantsRegistry {
+  private readonly providers = new Map<string, IExtensionDesktopGrantsProvider>();
+
+  register(provider: IExtensionDesktopGrantsProvider): void {
+    this.providers.set(provider.extensionName, provider);
+  }
+
+  has(extensionName: string): boolean {
+    return this.providers.has(extensionName);
+  }
+
+  /**
+   * Гранты пользователя в расширении. Если провайдер не зарегистрирован —
+   * `undefined` (расширение не использует канон → фронт на legacy-ролях).
+   */
+  async resolve(
+    extensionName: string,
+    ctx: IDesktopGrantsContext,
+  ): Promise<string[] | undefined> {
+    const provider = this.providers.get(extensionName);
+    if (!provider) return undefined;
+    return provider.resolveGrants(ctx);
+  }
+}
+
+@Global()
+@Module({
+  providers: [ExtensionGrantsRegistry],
+  exports: [ExtensionGrantsRegistry],
+})
+export class ExtensionGrantsModule {}
@@ -4,12 +4,23 @@ import { ExtensionListingInteractor } from '~/application/appstore/interactors/e
 import { DesktopDomainEntity } from '~/domain/desktop/entities/desktop-domain.entity';
 import { DesktopWorkspaceDomainEntity } from '~/domain/desktop/entities/workspace-domain.entity';
 import { AppRegistry } from '~/extensions/extensions.registry';
+import { ExtensionGrantsRegistry } from '../extension-grants.registry';
+
+/** Текущий пользователь из JWT (или undefined для гостя). */
+export interface IDesktopRequester {
+  username?: string;
+  role?: string;
+  status?: string;
+}

@Injectable()
 export class DesktopDomainInteractor {
-  constructor(private readonly extensionListingInteractor: ExtensionListingInteractor) {}
+  constructor(
+    private readonly extensionListingInteractor: ExtensionListingInteractor,
+    private readonly grantsRegistry: ExtensionGrantsRegistry,
+  ) {}

-  async getDesktop(): Promise<DesktopDomainEntity> {
+  async getDesktop(requester?: IDesktopRequester): Promise<DesktopDomainEntity> {
    // Получаем установленные desktop расширения
    const apps = await this.extensionListingInteractor.getCombinedAppList({
      is_installed: true,
@@ -23,19 +34,33 @@ export class DesktopDomainInteractor {

    for (const app of apps) {
      const registryData = AppRegistry[app.name];
-      if (registryData?.desktops) {
-        // Каждый desktop из расширения становится отдельным workspace
-        for (const desktop of registryData.desktops) {
-          workspaces.push(
-            new DesktopWorkspaceDomainEntity({
-              name: desktop.name,
-              title: desktop.title,
-              extension_name: app.name,
-              icon: desktop.icon,
-              defaultRoute: desktop.defaultRoute,
-            })
-          );
-        }
+      if (!registryData?.desktops) continue;
+
+      // Канон авторизации столов: если у расширения есть провайдер грантов,
+      // вычисляем плоский набор прав текущего пользователя ОДИН раз и
+      // прикрепляем его ко всем столам расширения. Видимость столов и страниц
+      // (включая онбординг-гейтинг до принятия ЦПП) фронт выводит из грантов,
+      // а резолверы расширения остаются настоящим enforcement'ом.
+      // Расширение без провайдера → grants=undefined → фронт на legacy ролях.
+      const grants = await this.grantsRegistry.resolve(app.name, {
+        coopname: config.coopname,
+        username: requester?.username,
+        userRole: requester?.role,
+        userStatus: requester?.status,
+        config: app.config,
+      });
+
+      for (const desktop of registryData.desktops) {
+        workspaces.push(
+          new DesktopWorkspaceDomainEntity({
+            name: desktop.name,
+            title: desktop.title,
+            extension_name: app.name,
+            icon: desktop.icon,
+            defaultRoute: desktop.defaultRoute,
+            grants,
+          }),
+        );
      }
    }

@@ -1,6 +1,9 @@
 import { Resolver, Query } from '@nestjs/graphql';
+import { UseGuards } from '@nestjs/common';
 import { DesktopService } from '../services/desktop.service';
 import { DesktopDTO } from '../dto/desktop.dto';
+import { OptionalGqlJwtAuthGuard } from '~/application/auth/guards/optional-graphql-jwt-auth.guard';
+import { OptionalCurrentUser } from '~/application/auth/decorators/optional-current-user.decorator';

@Resolver(() => DesktopDTO)
 export class DesktopResolver {
@@ -10,7 +13,12 @@ export class DesktopResolver {
    name: 'getDesktop',
    description: 'Получить состав приложений рабочего стола',
  })
-  async getDesktop(): Promise<DesktopDTO> {
-    return this.desktopService.getDesktop();
+  // Открыт и гостю, и пайщику: состав столов и права доступа (grants)
+  // зависят от того, кто спрашивает, поэтому опциональная авторизация.
+  @UseGuards(OptionalGqlJwtAuthGuard)
+  async getDesktop(
+    @OptionalCurrentUser() user: { username?: string; role?: string; status?: string } | null,
+  ): Promise<DesktopDTO> {
+    return this.desktopService.getDesktop(user ?? undefined);
  }
 }
@@ -1,13 +1,16 @@
 import { Injectable } from '@nestjs/common';
 import { DesktopDTO } from '../dto/desktop.dto';
-import { DesktopDomainInteractor } from '../interactors/desktop.interactor';
+import {
+  DesktopDomainInteractor,
+  type IDesktopRequester,
+} from '../interactors/desktop.interactor';

@Injectable()
 export class DesktopService {
  constructor(private readonly desktopDomainInteractor: DesktopDomainInteractor) {}

-  public async getDesktop(): Promise<DesktopDTO> {
-    const desktop = await this.desktopDomainInteractor.getDesktop();
+  public async getDesktop(requester?: IDesktopRequester): Promise<DesktopDTO> {
+    const desktop = await this.desktopDomainInteractor.getDesktop(requester);

    return new DesktopDTO(desktop);
  }
@@ -9,6 +9,12 @@ import { DocumentPackageAggregator } from '~/domain/document/aggregators/documen
 import { DocumentAggregator } from '~/domain/document/aggregators/document.aggregator';
 import type { DocumentAggregateDomainInterface } from '~/domain/document/interfaces/document-domain-aggregate.interface';
 import type { ISignedDocumentDomainInterface } from '~/domain/document/interfaces/signed-document-domain.interface';
+import {
+  SIGNED_DOCUMENT_REPOSITORY,
+  type SignedDocumentRepository,
+} from '~/domain/document/repository/signed-document.repository';
+import { SignedDocumentStatus } from '~/domain/document/enums/signed-document-status.enum';
+import config from '~/config/config';

@Injectable()
 export class DocumentInteractor {
@@ -16,7 +22,8 @@ export class DocumentInteractor {
    @Inject(forwardRef(() => DocumentDomainService)) private readonly documentDomainService: DocumentDomainService,
    @Inject(forwardRef(() => DocumentPackageAggregator))
    private readonly documentPackageAggregator: DocumentPackageAggregator,
-    @Inject(forwardRef(() => DocumentAggregator)) private readonly documentAggregator: DocumentAggregator
+    @Inject(forwardRef(() => DocumentAggregator)) private readonly documentAggregator: DocumentAggregator,
+    @Inject(SIGNED_DOCUMENT_REPOSITORY) private readonly signedDocumentRepository: SignedDocumentRepository
  ) {}

  public async generateDocument(data: GenerateDocumentDomainInterfaceWithOptions): Promise<DocumentDomainEntity> {
@@ -26,52 +33,56 @@ export class DocumentInteractor {
  public async getDocumentsAggregate(
    data: GetDocumentsInputDomainInterface
  ): Promise<PaginationResultDomainInterface<DocumentPackageAggregateDomainInterface>> {
-    const { type = 'newsubmitted', page = 1, limit = 100, query, after_block, before_block, actions } = data;
+    const { type, page = 1, limit = 100, query = {}, after_block, before_block, actions } = data;

-    // Добавляем фильтры по блокам в query
-    const blockFilters: Record<string, unknown> = { ...query };
-    if (after_block !== undefined || before_block !== undefined) {
-      const blockFilter: Record<string, unknown> = {};
-
-      if (after_block !== undefined) {
-        blockFilter.$gte = after_block;
-      }
-      if (before_block !== undefined) {
-        blockFilter.$lte = before_block;
-      }
-
-      blockFilters.block_num = blockFilter;
-    }
-
-    // Добавляем фильтр по массиву действий (data.action)
-    // DocumentAction enum значения автоматически преобразуются в строки
-    if (actions && actions.length > 0) {
-      blockFilters['data.action'] = { $in: actions };
-    }
-
-    const signedDocuments = await this.documentDomainService.getImmutableSignedDocuments({
-      type,
+    // Read-path из PG-реестра подписанных документов (C28-21): отдаём ГОТОВЫЙ агрегат,
+    // собранный на этапе ingestion/backfill — без обращений к explorer/Mongo и без сборки на лету.
+    const result = await this.signedDocumentRepository.findAggregates({
+      coopname: config.coopname,
+      status: this.mapTypeToStatus(type),
+      actions: actions && actions.length > 0 ? (actions as unknown as string[]) : undefined,
+      username: this.extractReceiverScope(query),
+      hash: this.extractHashFilter(query),
+      afterBlock: after_block,
+      beforeBlock: before_block,
      page,
      limit,
-      query: blockFilters,
    });

-    const response: PaginationResultDomainInterface<DocumentPackageAggregateDomainInterface> = {
-      items: [],
-      totalCount: signedDocuments.total,
-      totalPages: Math.ceil(signedDocuments.total / limit),
+    return {
+      items: result.items,
+      totalCount: result.total,
+      totalPages: Math.ceil(result.total / limit) || 0,
      currentPage: page,
    };
+  }

-    for (const raw_action_document of signedDocuments.results) {
-      const documentPackageAggregate = await this.documentPackageAggregator.buildDocumentPackageAggregate(
-        raw_action_document
-      );
+  // Прежний фильтр был по ИМЕНИ действия, не по статусу-партиции:
+  //   «Все входящие» (newsubmitted) — у каждого пакета есть submitted-действие, поэтому это ВСЕ
+  //     документы кооператива (решённые/аннулированные тоже входят) → статус НЕ ограничиваем;
+  //   «Только утверждённые» (newresolved) — лишь решённые → status=Resolved.
+  // (Партиция по статусу скрыла бы решённые документы из вкладки «Все входящие» — регрессия.)
+  private mapTypeToStatus(type?: 'newsubmitted' | 'newresolved'): SignedDocumentStatus | undefined {
+    return type === 'newresolved' ? SignedDocumentStatus.Resolved : undefined;
+  }

-      response.items.push(documentPackageAggregate);
+  // Скоуп выборки повторяет прежний explorer-фильтр `receiver: username` из DocumentService.
+  // Документ soviet через require_recipient уведомляет И кооператив, И пайщика-субъекта, поэтому:
+  //   receiver === coopname → весь кооператив (фильтр только по coopname — как и было);
+  //   receiver === <пайщик> → его документы (колонка username = субъект заявления).
+  private extractReceiverScope(query: Record<string, unknown>): string | undefined {
+    const receiver = query['receiver'];
+    if (typeof receiver === 'string' && receiver.length > 0 && receiver !== config.coopname) {
+      return receiver;
    }
+    return undefined;
+  }

-    return response;
+  // Фильтр по конкретному документу: Union-страница шлёт filter.document.hash (upper-case).
+  private extractHashFilter(query: Record<string, unknown>): string | undefined {
+    const document = query['document'] as Record<string, unknown> | undefined;
+    const hash = (document?.['hash'] ?? query['hash']) as unknown;
+    return typeof hash === 'string' && hash.length > 0 ? hash : undefined;
  }

  /**
@@ -17,7 +17,4 @@ export class Ledger2WalletDTO {

  @Field(() => String, { description: 'Доступный баланс' })
  available!: string;
-
-  @Field(() => String, { description: 'Заблокированный баланс' })
-  blocked!: string;
 }
@@ -7,9 +7,11 @@
 *
 * Операции marketplace:
 *   - o.mkt.lock:   TRANSFER w.wal.share → w.mkt.order, Дт 80 / Кт 86
- *   - o.mkt.unlock: TRANSFER w.mkt.order → w.wal.member, без проводки
+ *   - o.mkt.conv:   TRANSFER w.wal.share → w.mkt.member, Дт 80 / Кт 86
+ *   - o.mkt.lockm:  TRANSFER w.mkt.member → w.mkt.order, без проводки
+ *   - o.mkt.unlock: TRANSFER w.mkt.order → w.mkt.member, без проводки
 *   - o.mkt.consum: BURN w.mkt.order, Дт 86 / Кт 10
- *   - o.mkt.return: ISSUE → w.wal.member, Дт 10 / Кт 86
+ *   - o.mkt.return: ISSUE → w.mkt.member, Дт 10 / Кт 86
 *   - o.mkt.wroff:  NONE, Дт 86 / Кт 10
 */

@@ -157,7 +159,7 @@ function cancelOrderFlow(amount = 100): MarketplaceLedger2OperationRow[] {
      operationCode: 'o.mkt.unlock',
      amount,
      walletFrom: 'w.mkt.order',
-      walletTo: 'w.wal.member',
+      walletTo: 'w.mkt.member',
      debitAccount: null,
      creditAccount: null,
    }),
@@ -172,7 +174,7 @@ function returnFlow(amount = 100): MarketplaceLedger2OperationRow[] {
      operationCode: 'o.mkt.return',
      amount,
      walletFrom: null,
-      walletTo: 'w.wal.member',
+      walletTo: 'w.mkt.member',
      debitAccount: 10,
      creditAccount: 86,
    }),
@@ -450,7 +452,7 @@ describe('I6 — нет orphan o.mkt.lock', () => {
        operationCode: 'o.mkt.unlock',
        amount: 30,
        walletFrom: 'w.mkt.order',
-        walletTo: 'w.wal.member',
+        walletTo: 'w.mkt.member',
        debitAccount: null,
        creditAccount: null,
      }),
@@ -321,14 +321,16 @@ export function checkInvariantI4Account91Transit(

 // ---------------------------------------------------------------------------
 // I5 — Согласованность резерва под Order на кошельке w.mkt.order:
-//   sum(TRANSFER w.wal.share → w.mkt.order)         // o.mkt.lock   — резерв вошёл (Дт 80 / Кт 86)
-//   − sum(TRANSFER w.mkt.order → w.wal.member)      // o.mkt.unlock — резерв снят (без проводки)
+//   sum(TRANSFER w.wal.share  → w.mkt.order)        // o.mkt.lock   — резерв вошёл (Дт 80 / Кт 86)
+//   + sum(TRANSFER w.mkt.member → w.mkt.order)      // o.mkt.lockm  — добор резерва доплатой (без проводки)
+//   − sum(TRANSFER w.mkt.order → w.mkt.member)      // o.mkt.unlock — резерв снят / недовыдача (без проводки)
 //   − sum(BURN w.mkt.order)                         // o.mkt.consum — резерв сожжён (Дт 86 / Кт 10)
 //     = sum(available у w.mkt.order-кошельков пайщиков).
 //
-// Архитектура 2026-05-28: средства заказчика идут с паевого (w.wal.share)
-// напрямую на резерв-кошелёк w.mkt.order при createorder; возврат при отмене
-// поступает на универсальный членский w.wal.member.
+// Архитектура 2026-05-31 (ревью PR #50): средства заказчика идут с паевого
+// (w.wal.share) напрямую на резерв-кошелёк w.mkt.order при createorder; доплата
+// по факту добирается с членского «Стола заказов» (o.mkt.lockm после o.mkt.conv);
+// возврат при отмене/недовыдаче поступает на членский «Стола заказов» w.mkt.member.
 //
 // На входе тестов wallets обычно содержит aggregated available по всем
 // w.mkt.order-row. Можно подать одну строку с агрегированным `balance`.
@@ -344,8 +346,12 @@ export function checkInvariantI5ReserveConsistency(
    if (r.walletFrom === 'w.wal.share' && r.walletTo === 'w.mkt.order') {
      computed += parseAssetToBigInt(r.quantity)
    }
-    // o.mkt.unlock: TRANSFER w.mkt.order → w.wal.member  (резерв снят)
-    else if (r.walletFrom === 'w.mkt.order' && r.walletTo === 'w.wal.member') {
+    // o.mkt.lockm: TRANSFER w.mkt.member → w.mkt.order  (добор резерва доплатой)
+    else if (r.walletFrom === 'w.mkt.member' && r.walletTo === 'w.mkt.order') {
+      computed += parseAssetToBigInt(r.quantity)
+    }
+    // o.mkt.unlock: TRANSFER w.mkt.order → w.mkt.member  (резерв снят)
+    else if (r.walletFrom === 'w.mkt.order' && r.walletTo === 'w.mkt.member') {
      computed -= parseAssetToBigInt(r.quantity)
    }
    // o.mkt.consum: BURN w.mkt.order  (резерв сожжён при выдаче)
@@ -36,14 +36,16 @@ import {
 import { MARKETPLACE_OPERATION_CODES } from './marketplace-ledger2-invariants'

 /**
- * Canonical список marketplace-операций (7 шт), полностью покрывающих
- * жизненный цикл Order'а, гарантийного возврата и списания скоропорта.
- * Если этот список расходится с `Ledger2.LEDGER2_OPERATION_REGISTRY` —
- * это поломка контракта/cooptypes.
+ * Canonical список marketplace-операций (9 шт), полностью покрывающих
+ * жизненный цикл Order'а, доплату по факту, гарантийный возврат и списание
+ * скоропорта. Если этот список расходится с
+ * `Ledger2.LEDGER2_OPERATION_REGISTRY` — это поломка контракта/cooptypes.
 */
 const EXPECTED_MARKETPLACE_OP_CODES = [
-  // p.mkt.supply (5 операций)
+  // p.mkt.supply (7 операций)
  'o.mkt.lock',
+  'o.mkt.conv',
+  'o.mkt.lockm',
  'o.mkt.unlock',
  'o.mkt.purch',
  'o.mkt.payout',
@@ -55,8 +57,8 @@ const EXPECTED_MARKETPLACE_OP_CODES = [
 ] as const

 describe('Story 11.2 — coverage marketplace operation_code в cooptypes', () => {
-  it('canonical список содержит 7 кодов', () => {
-    expect(EXPECTED_MARKETPLACE_OP_CODES).toHaveLength(7)
+  it('canonical список содержит 9 кодов', () => {
+    expect(EXPECTED_MARKETPLACE_OP_CODES).toHaveLength(9)
  })

  it('каждый код присутствует в LEDGER2_OPERATION_REGISTRY', () => {
@@ -126,11 +128,27 @@ describe('Story 11.2 — wallet_op + Дт/Кт реестра соответст
      debit: 80,
      credit: 86,
    },
+    {
+      code: 'o.mkt.conv',
+      walletOp: 'TRANSFER',
+      walletFrom: 'w.wal.share',
+      walletTo: 'w.mkt.member',
+      debit: 80,
+      credit: 86,
+    },
+    {
+      code: 'o.mkt.lockm',
+      walletOp: 'TRANSFER',
+      walletFrom: 'w.mkt.member',
+      walletTo: 'w.mkt.order',
+      debit: null,
+      credit: null,
+    },
    {
      code: 'o.mkt.unlock',
      walletOp: 'TRANSFER',
      walletFrom: 'w.mkt.order',
-      walletTo: 'w.wal.member',
+      walletTo: 'w.mkt.member',
      debit: null,
      credit: null,
    },
@@ -162,7 +180,7 @@ describe('Story 11.2 — wallet_op + Дт/Кт реестра соответст
      code: 'o.mkt.return',
      walletOp: 'ISSUE',
      walletFrom: null,
-      walletTo: 'w.wal.member',
+      walletTo: 'w.mkt.member',
      debit: 10,
      credit: 86,
    },
@@ -11,6 +11,9 @@ export class SearchResultDTO {
  @Field(() => String, { description: 'Имя пользователя' })
  username!: string;

+  @Field(() => String, { description: 'ФИО подписанта документа' })
+  signer!: string;
+
  @Field(() => String, { description: 'Кооператив' })
  coopname!: string;

@@ -1,24 +1,50 @@
 import { Resolver, Query, Args } from '@nestjs/graphql';
-import { UseGuards } from '@nestjs/common';
+import { Inject, UseGuards } from '@nestjs/common';
 import { SearchResultDTO } from '../dto/search-result.dto';
 import { SearchDocumentsInputDTO } from '../dto/search-input.dto';
-import { DocumentSearchService } from '~/infrastructure/search/opensearch.service';
+import {
+  SIGNED_DOCUMENT_REPOSITORY,
+  type SignedDocumentRepository,
+} from '~/domain/document/repository/signed-document.repository';
 import { GqlJwtAuthGuard } from '~/application/auth/guards/graphql-jwt-auth.guard';
+import { CurrentUser } from '~/application/auth/decorators/current-user.decorator';
+import type { MonoAccountDomainInterface } from '~/domain/account/interfaces/mono-account-domain.interface';
 import config from '~/config/config';

+// Роли членов совета — им доступен поиск по всему документообороту кооператива.
+const COUNCIL_ROLES = ['chairman', 'member'];
+
@Resolver()
 export class SearchResolver {
-  constructor(private readonly documentSearch: DocumentSearchService) {}
+  constructor(
+    @Inject(SIGNED_DOCUMENT_REPOSITORY) private readonly signedDocuments: SignedDocumentRepository
+  ) {}

+  // Поиск по документам кооператива. Член совета (chairman/member) ищет по всему кооперативу;
+  // обычный пайщик — ТОЛЬКО по своим документам (скоуп по username), чтобы не видеть чужие.
  @Query(() => [SearchResultDTO], { description: 'Полнотекстовый поиск по документам кооператива' })
  @UseGuards(GqlJwtAuthGuard)
  async searchDocuments(
    @Args('data') input: SearchDocumentsInputDTO,
+    @CurrentUser() user: MonoAccountDomainInterface
  ): Promise<SearchResultDTO[]> {
-    if (!this.documentSearch.isAvailable()) {
-      return [];
-    }
+    const isCouncil = COUNCIL_ROLES.includes(user?.role);
+    const hits = await this.signedDocuments.search({
+      coopname: config.coopname,
+      query: input.query,
+      limit: input.limit || 20,
+      username: isCouncil ? undefined : user.username,
+    });

-    return this.documentSearch.search(input.query, config.coopname, input.limit || 20);
+    return hits.map((hit) => ({
+      hash: hit.hash,
+      full_title: hit.full_title,
+      username: hit.username,
+      signer: hit.signer,
+      coopname: hit.coopname,
+      registry_id: hit.registry_id,
+      created_at: hit.created_at ?? undefined,
+      highlights: hit.highlights,
+    }));
  }
 }
@@ -1,10 +1,12 @@
 import { Module } from '@nestjs/common';
 import { SearchResolver } from './resolvers/search.resolver';
-import { SearchEventService } from './services/search-event.service';
-import { DocumentModule } from '~/application/document/document.module';

+/**
+ * Поиск по документам кооператива (C28-21).
+ * searchDocuments читает PG-реестр подписанных документов через SIGNED_DOCUMENT_REPOSITORY
+ * (глобальный TypeOrmModule). OpenSearch и его индексатор удалены.
+ */
@Module({
-  imports: [DocumentModule],
-  providers: [SearchResolver, SearchEventService],
+  providers: [SearchResolver],
 })
 export class SearchModule {}
@@ -1,131 +0,0 @@
-import { Injectable, Logger, OnModuleInit } from '@nestjs/common';
-import { OnEvent } from '@nestjs/event-emitter';
-import { SovietContract } from 'cooptypes';
-import { DocumentSearchService } from '~/infrastructure/search/opensearch.service';
-import { GeneratorInfrastructureService } from '~/infrastructure/generator/generator.service';
-import { DocumentInteractor } from '~/application/document/interactors/document.interactor';
-import type { IAction } from '~/types/common';
-
-/**
- * Сервис индексации документов по событию blockchain.
- * Слушает action::soviet::newsubmitted — подписанные и принятые документы.
- */
-@Injectable()
-export class SearchEventService implements OnModuleInit {
-  private readonly logger = new Logger(SearchEventService.name);
-
-  constructor(
-    private readonly documentSearch: DocumentSearchService,
-    private readonly generatorService: GeneratorInfrastructureService,
-    private readonly documentInteractor: DocumentInteractor,
-  ) {}
-
-  async onModuleInit() {
-    if (this.documentSearch.isAvailable()) {
-      // Запускаем асинхронную ре-индексацию при старте
-      this.reindexAllDocuments().catch((err) => {
-        this.logger.error(`Ошибка при фоновой ре-индексации: ${err.message}`);
-      });
-    }
-  }
-
-  /**
-   * Метод полной ре-индексации только документов типа newsubmitted из блокчейна.
-   * Собирает агрегаты для получения полного содержимого документа.
-   */
-  async reindexAllDocuments(): Promise<void> {
-    this.logger.log('Начало полной ре-индексации документов (newsubmitted)...');
-    let totalIndexed = 0;
-    let currentPage = 1;
-    const limit = 100;
-
-    try {
-      while (true) {
-        const result = await this.documentInteractor.getDocumentsAggregate({
-          type: 'newsubmitted',
-          page: currentPage,
-          limit,
-          query: {}, // Обязательное поле согласно GetDocumentsInputDomainInterface
-        });
-
-        if (!result.items || result.items.length === 0) {
-          break;
-        }
-
-        for (const packageAggregate of result.items) {
-          // В пакете может быть заявление, решение и акты. Индексируем всё, что есть.
-          const aggregatesToindex = [
-            packageAggregate.statement?.documentAggregate,
-            packageAggregate.decision?.documentAggregate,
-            ...packageAggregate.acts.map(act => act.documentAggregate),
-            ...packageAggregate.links
-          ].filter(Boolean);
-
-          for (const aggregate of aggregatesToindex) {
-            const doc = aggregate?.rawDocument;
-            const signedDoc = aggregate?.document;
-
-            if (!doc || !signedDoc) continue;
-
-            try {
-              await this.documentSearch.indexDocument({
-                hash: doc.hash,
-                full_title: doc.full_title || '',
-                html: doc.html || '',
-                username: doc.meta?.username || signedDoc.meta?.username || '',
-                coopname: doc.meta?.coopname || signedDoc.meta?.coopname || '',
-                registry_id: doc.meta?.registry_id || signedDoc.meta?.registry_id || 0,
-                created_at: doc.meta?.created_at || signedDoc.meta?.created_at || '',
-              });
-              totalIndexed++;
-            } catch (docError: any) {
-              this.logger.warn(`Ошибка индексации документа ${doc.hash}: ${docError.message}`);
-            }
-          }
-        }
-
-        if (currentPage >= result.totalPages) {
-          break;
-        }
-        currentPage++;
-      }
-
-      this.logger.log(`Ре-индексация завершена. Проиндексировано документов: ${totalIndexed}`);
-    } catch (error: any) {
-      this.logger.error(`Ошибка при ре-индексации документов: ${error.message}`);
-    }
-  }
-
-  @OnEvent(`action::${SovietContract.contractName.production}::${SovietContract.Actions.Registry.NewSubmitted.actionName}`)
-  async onDocumentSubmitted(action: IAction): Promise<void> {
-    if (!this.documentSearch.isAvailable()) return;
-
-    try {
-      const docHash = action.data?.document?.hash;
-      if (!docHash) {
-        this.logger.debug('Событие newsubmitted без хеша документа, пропускаем');
-        return;
-      }
-
-      const document = await this.generatorService.getDocument({ hash: docHash });
-      if (!document) {
-        this.logger.debug(`Документ ${docHash.substring(0, 8)} не найден в MongoDB`);
-        return;
-      }
-
-      await this.documentSearch.indexDocument({
-        hash: document.hash,
-        full_title: document.full_title || '',
-        html: document.html || '',
-        username: document.meta?.username || action.data?.username || '',
-        coopname: document.meta?.coopname || action.data?.coopname || '',
-        registry_id: document.meta?.registry_id || 0,
-        created_at: document.meta?.created_at || '',
-      });
-
-      this.logger.log(`Документ проиндексирован: ${document.full_title?.substring(0, 50)}`);
-    } catch (error: any) {
-      this.logger.warn(`Ошибка индексации документа по событию newsubmitted: ${error?.message}`);
-    }
-  }
-}
@@ -0,0 +1,125 @@
+import { Inject, Injectable, Logger, OnApplicationBootstrap } from '@nestjs/common';
+import { DocumentDomainService } from '~/domain/document/services/document-domain.service';
+import {
+  SIGNED_DOCUMENT_REPOSITORY,
+  type SignedDocumentRepository,
+} from '~/domain/document/repository/signed-document.repository';
+import { SignedDocumentStatus } from '~/domain/document/enums/signed-document-status.enum';
+import { SignedDocumentIngestionService } from './signed-document-ingestion.service';
+import config from '~/config/config';
+import type { IAction } from '~/types/common';
+
+export interface BackfillStats {
+  scanned: number;
+  created: number;
+  updated: number;
+  skipped: number;
+}
+
+interface BackfillPass {
+  type: string;
+  status: SignedDocumentStatus;
+}
+
+// Порядок важен: сперва базовые записи (submitted/resolved), затем смена статусов поверх.
+const PASSES: BackfillPass[] = [
+  { type: 'newsubmitted', status: SignedDocumentStatus.Submitted },
+  { type: 'newresolved', status: SignedDocumentStatus.Resolved },
+  // newdeclined пока не приходит как registry-action (см. C28-21); пройдёт пустым — это безопасно.
+  { type: 'newdeclined', status: SignedDocumentStatus.Declined },
+];
+
+const PAGE_LIMIT = 100;
+
+/**
+ * Разовый backfill реестра подписанных документов (C28-21).
+ *
+ * Сканирует все действия soviet (newsubmitted/newresolved/newdeclined) через explorer-источник,
+ * для каждого достаёт документ из factory-Mongo и складывает в Postgres-проекцию.
+ * Идемпотентен по (coopname, doc_hash) — повторный прогон безопасен (package НЕ уникален:
+ * в одном процессе несколько разных документов, поэтому ключ записи — doc_hash).
+ *
+ * Запуск автоматически ОДИН РАЗ при первом старте с этой фичей: если реестр по кооперативу пуст —
+ * затягиваем всю историю. Принудительный повторный прогон — флагом `SIGNED_DOCS_BACKFILL_ON_BOOT=true`.
+ * Выполняется детачем в onApplicationBootstrap (после инициализации всех модулей — генератор уже
+ * подключён к Mongo), чтобы не блокировать старт. Метод `run()` пригоден и для отдельного CLI.
+ */
+@Injectable()
+export class SignedDocumentBackfillService implements OnApplicationBootstrap {
+  private readonly logger = new Logger(SignedDocumentBackfillService.name);
+
+  constructor(
+    private readonly documentDomainService: DocumentDomainService,
+    private readonly ingestion: SignedDocumentIngestionService,
+    @Inject(SIGNED_DOCUMENT_REPOSITORY) private readonly repository: SignedDocumentRepository
+  ) {}
+
+  onApplicationBootstrap(): void {
+    // Детачем: не блокируем старт приложения долгим сканом истории.
+    this.maybeRunOnBoot().catch((error) => {
+      this.logger.error(`Ошибка фонового backfill реестра: ${error?.message}`);
+    });
+  }
+
+  private async maybeRunOnBoot(): Promise<void> {
+    const forced = process.env.SIGNED_DOCS_BACKFILL_ON_BOOT === 'true';
+    if (!forced) {
+      const existing = await this.repository.count(config.coopname);
+      if (existing > 0) {
+        this.logger.log(`Реестр подписанных документов не пуст (${existing}) — авто-backfill пропущен.`);
+        return;
+      }
+    }
+    await this.run();
+  }
+
+  async run(): Promise<BackfillStats> {
+    const stats: BackfillStats = { scanned: 0, created: 0, updated: 0, skipped: 0 };
+    this.logger.log('Старт backfill реестра подписанных документов...');
+
+    for (const pass of PASSES) {
+      await this.runPass(pass, stats);
+    }
+
+    this.logger.log(
+      `Backfill завершён. scanned=${stats.scanned} created=${stats.created} updated=${stats.updated} skipped=${stats.skipped}`
+    );
+    return stats;
+  }
+
+  private async runPass(pass: BackfillPass, stats: BackfillStats): Promise<void> {
+    let page = 1;
+
+    while (true) {
+      // Скоуп ровно как у прежнего chairman-пути getDocuments: {name: type, receiver: coopname}.
+      // Без receiver explorer вернул бы все трейсы каждого действия (receiver=soviet/пайщик) и,
+      // возможно, другие кооперативы — лишняя обработка и чужие данные. receiver=coopname даёт
+      // один трейс на документ и только наш кооператив (coopname — всегда получатель soviet-документа).
+      const response = await this.documentDomainService.getImmutableSignedDocuments({
+        type: pass.type,
+        query: { receiver: config.coopname },
+        page,
+        limit: PAGE_LIMIT,
+      });
+
+      const results = (response?.results ?? []) as unknown as IAction[];
+      if (results.length === 0) break;
+
+      for (const action of results) {
+        stats.scanned++;
+        try {
+          const result = await this.ingestion.ingestAction(action, pass.status);
+          stats[result === 'created' ? 'created' : result === 'updated' ? 'updated' : 'skipped']++;
+        } catch (error: any) {
+          // Одна битая запись (напр. не-парсибельная дата у legacy-документа) не должна ронять
+          // весь прогон backfill — логируем и идём дальше.
+          stats.skipped++;
+          this.logger.warn(`Пропущен документ при backfill (${pass.type}): ${error?.message}`);
+        }
+      }
+
+      if (results.length < PAGE_LIMIT) break;
+      page++;
+    }
+  }
+}
@@ -0,0 +1,279 @@
+import { Inject, Injectable, Logger } from '@nestjs/common';
+import { OnEvent } from '@nestjs/event-emitter';
+import { Cooperative, SovietContract } from 'cooptypes';
+import { DocumentPackageAggregator } from '~/domain/document/aggregators/document-package.aggregator';
+import {
+  SIGNED_DOCUMENT_REPOSITORY,
+  type SignedDocumentRepository,
+} from '~/domain/document/repository/signed-document.repository';
+import { SignedDocumentStatus } from '~/domain/document/enums/signed-document-status.enum';
+import type { DocumentPackageAggregateDomainInterface } from '~/domain/document/interfaces/document-package-aggregate-domain.interface';
+import config from '~/config/config';
+import type { IAction } from '~/types/common';
+import moment from 'moment-timezone';
+
+const SOVIET = SovietContract.contractName.production;
+const Registry = SovietContract.Actions.Registry;
+
+export type IngestResult = 'created' | 'updated' | 'skipped';
+
+/**
+ * Наполнение реестра подписанных документов (Postgres-проекция, C28-21).
+ *
+ * Источник — внутренняя событийная шина (EventEmitter2): парсер ретранслирует blockchain-события
+ * контракта soviet как `action::soviet::*`. На каждое релевантное событие собирается ГОТОВЫЙ агрегат
+ * пакета (DocumentPackageAggregator) и кладётся в PG целиком — чтобы getDocuments/поиск работали
+ * из Postgres без сборки на лету. Парсер не трогаем (parser1→parser2 прозрачно для подписчика).
+ *
+ * - newsubmitted/newresolved/newdeclined — несут заявление: пересобираем агрегат + ставим статус;
+ * - newdecision/newact/newlink — досборка: пересобираем агрегат по сохранённому действию-носителю,
+ *   статус не меняем.
+ */
+@Injectable()
+export class SignedDocumentIngestionService {
+  private readonly logger = new Logger(SignedDocumentIngestionService.name);
+
+  constructor(
+    @Inject(SIGNED_DOCUMENT_REPOSITORY) private readonly repository: SignedDocumentRepository,
+    private readonly aggregator: DocumentPackageAggregator
+  ) {}
+
+  @OnEvent(`action::${SOVIET}::${Registry.NewSubmitted.actionName}`)
+  async onNewSubmitted(action: IAction): Promise<void> {
+    await this.safeStatusEvent(action, SignedDocumentStatus.Submitted, Registry.NewSubmitted.actionName);
+  }
+
+  @OnEvent(`action::${SOVIET}::${Registry.NewResolved.actionName}`)
+  async onNewResolved(action: IAction): Promise<void> {
+    await this.safeStatusEvent(action, SignedDocumentStatus.Resolved, Registry.NewResolved.actionName);
+  }
+
+  @OnEvent(`action::${SOVIET}::${Registry.NewDeclined.actionName}`)
+  async onNewDeclined(action: IAction): Promise<void> {
+    await this.safeStatusEvent(action, SignedDocumentStatus.Declined, Registry.NewDeclined.actionName);
+  }
+
+  @OnEvent(`action::${SOVIET}::${Registry.NewDecision.actionName}`)
+  async onNewDecision(action: IAction): Promise<void> {
+    await this.safeReassemble(action, Registry.NewDecision.actionName);
+  }
+
+  @OnEvent(`action::${SOVIET}::${Registry.NewAct.actionName}`)
+  async onNewAct(action: IAction): Promise<void> {
+    await this.safeReassemble(action, Registry.NewAct.actionName);
+  }
+
+  @OnEvent(`action::${SOVIET}::${Registry.NewLink.actionName}`)
+  async onNewLink(action: IAction): Promise<void> {
+    await this.safeReassemble(action, Registry.NewLink.actionName);
+  }
+
+  /**
+   * Идемпотентно записывает действие-носитель заявления в реестр.
+   * Используется и листенерами шины, и backfill'ом.
+   */
+  async ingestAction(action: IAction, status: SignedDocumentStatus): Promise<IngestResult> {
+    const data = (action?.data ?? {}) as Record<string, any>;
+    // Ключ записи — doc_hash (идентичность документа). hash включает подписи, поэтому у одного
+    // документа бывает несколько hash (версии по мере накопления подписей — напр. акт приёма-передачи:
+    // первая/вторая подпись дают разные hash при одном doc_hash). Держим КРАЙНЮЮ версию по номеру блока,
+    // иначе документ задвоился бы в списке. package НЕ ключ: в одном процессе бывает несколько разных
+    // документов с разными подписантами (обмен в marketplace).
+    const docHash: string | undefined = data.document?.doc_hash;
+    if (!docHash) return 'skipped';
+    const hash: string = data.document?.hash || '';
+    const packageHash: string = data.package || '';
+    const coopname: string = data.coopname || config.coopname;
+    const incomingBlock = this.toBlockNum(action?.block_num);
+
+    const existing = await this.repository.getState(coopname, docHash);
+    if (existing) {
+      // Не понижаем статус: submitted не перетирает resolved/declined.
+      if (status === SignedDocumentStatus.Submitted && existing.status !== SignedDocumentStatus.Submitted) {
+        return 'skipped';
+      }
+      // Не откатываем на более старую версию подписи (меньший номер блока).
+      if (incomingBlock !== null && existing.blockNum !== null && incomingBlock < existing.blockNum) {
+        return 'skipped';
+      }
+      // Идемпотентность: тот же статус и не новее по блоку — обновлять нечего (повторный backfill безопасен).
+      if (
+        existing.status === status &&
+        (incomingBlock === null || existing.blockNum === null || incomingBlock <= existing.blockNum)
+      ) {
+        return 'skipped';
+      }
+    }
+
+    await this.assembleAndUpsert(action, status, coopname, docHash, hash, packageHash);
+    return existing ? 'updated' : 'created';
+  }
+
+  private toBlockNum(value: unknown): number | null {
+    if (value === undefined || value === null) return null;
+    const n = Number(value);
+    return Number.isFinite(n) ? n : null;
+  }
+
+  private async safeStatusEvent(action: IAction, status: SignedDocumentStatus, label: string): Promise<void> {
+    try {
+      const result = await this.ingestAction(action, status);
+      if (result !== 'skipped') {
+        this.logger.log(`[${label}] запись реестра ${result}: package=${this.shortPackage(action)}`);
+      }
+    } catch (error: any) {
+      this.logger.warn(`Ошибка ingestion события ${label}: ${error?.message}`);
+    }
+  }
+
+  private async safeReassemble(action: IAction, label: string): Promise<void> {
+    try {
+      const data = (action?.data ?? {}) as Record<string, any>;
+      const packageHash: string | undefined = data.package;
+      if (!packageHash) return;
+
+      const coopname: string = data.coopname || config.coopname;
+      // decision/act/link относятся к процессу (package), а не к конкретному заявлению.
+      // Пересобираем агрегаты ВСЕХ заявлений пакета (их может быть несколько с разными
+      // подписантами), сохраняя статус каждого.
+      const rows = await this.repository.findByPackage(coopname, packageHash);
+      if (rows.length === 0) return; // заявлений по пакету ещё нет — нечего дособирать
+
+      let rebuilt = 0;
+      for (const row of rows) {
+        if (!row.sourceActionData) continue;
+        await this.assembleAndUpsert(
+          row.sourceActionData as unknown as IAction,
+          row.status,
+          coopname,
+          row.doc_hash,
+          row.hash,
+          packageHash
+        );
+        rebuilt++;
+      }
+      if (rebuilt > 0) {
+        this.logger.log(`[${label}] пересобрано агрегатов: ${rebuilt}, package=${this.shortPackage(action)}`);
+      }
+    } catch (error: any) {
+      this.logger.warn(`Ошибка пересборки агрегата по событию ${label}: ${error?.message}`);
+    }
+  }
+
+  private async assembleAndUpsert(
+    sourceAction: IAction,
+    status: SignedDocumentStatus,
+    coopname: string,
+    docHash: string,
+    hash: string,
+    packageHash: string
+  ): Promise<void> {
+    const aggregate = await this.buildAggregateSafe(sourceAction);
+    const data = (sourceAction?.data ?? {}) as Record<string, any>;
+    const statement = aggregate?.statement;
+    const rawDoc = statement?.documentAggregate?.rawDocument;
+    const meta = (rawDoc?.meta ?? {}) as Record<string, any>;
+
+    await this.repository.upsert({
+      coopname,
+      packageHash,
+      doc_hash: docHash,
+      hash,
+      username: meta.username || data.username || '',
+      status,
+      action: data.action || '',
+      registry_id: typeof meta.registry_id === 'number' ? meta.registry_id : 0,
+      full_title: rawDoc?.full_title || '',
+      content_text: this.stripHtml(rawDoc?.html || ''),
+      signers_text: this.collectSignersText(aggregate),
+      block_num: this.resolveBlockNum(sourceAction?.block_num, meta.block_num),
+      document_created_at: this.parseDocumentDate(meta.created_at, meta.timezone),
+      document_aggregate: aggregate,
+      source_action_data: sourceAction as unknown as Record<string, unknown>,
+    });
+  }
+
+  private async buildAggregateSafe(action: IAction): Promise<DocumentPackageAggregateDomainInterface | null> {
+    try {
+      return await this.aggregator.buildDocumentPackageAggregate(action as unknown as Cooperative.Blockchain.IAction);
+    } catch (error: any) {
+      this.logger.debug(`Не удалось собрать агрегат пакета: ${error?.message}`);
+      return null;
+    }
+  }
+
+  /**
+   * Собирает ФИО/наименования всех подписантов пакета из signer_certificate всех частей агрегата
+   * (заявление/решение/акты/связанные). Это и есть основной индекс поиска по подписанту —
+   * соподписанты (председатель/совет) подписывают решение и акты, а не тело заявления,
+   * поэтому content_text их не покрывает. Username добавляется тоже (редкий поиск по нему).
+   */
+  private collectSignersText(aggregate: DocumentPackageAggregateDomainInterface | null): string {
+    if (!aggregate) return '';
+
+    const docAggregates = [
+      aggregate.statement?.documentAggregate,
+      aggregate.decision?.documentAggregate,
+      ...aggregate.acts.map((act) => act?.documentAggregate),
+      ...aggregate.links,
+    ];
+
+    const parts = new Set<string>();
+    for (const da of docAggregates) {
+      const signatures = da?.document?.signatures ?? [];
+      for (const sig of signatures) {
+        if (sig?.signer) parts.add(String(sig.signer));
+        const cert = sig?.signer_certificate as Record<string, any> | null | undefined;
+        if (!cert) continue;
+        for (const key of ['last_name', 'first_name', 'middle_name', 'short_name']) {
+          if (cert[key]) parts.add(String(cert[key]));
+        }
+      }
+    }
+
+    return Array.from(parts).join(' ');
+  }
+
+  private shortPackage(action: IAction): string {
+    const pkg = (action?.data as Record<string, any>)?.package;
+    return typeof pkg === 'string' ? pkg.substring(0, 8) : '?';
+  }
+
+  /**
+   * Номер блока для колонки block_num — ось упорядочивания ВЕРСИЙ подписи одного doc_hash.
+   * Это блок ON-CHAIN ДЕЙСТВИЯ (action.block_num), а НЕ блок генерации документа (meta.block_num):
+   * guard'ы в ingestAction сравнивают пришедший action.block_num с хранимым block_num, поэтому обе
+   * стороны должны мерить одну величину. Иначе (meta.block_num — блок генерации, всегда ≤ блока
+   * подачи в цепь) защита от отката на старую версию и идемпотентность по блоку не срабатывают.
+   * meta.block_num — только запасной вариант, если у действия нет block_num.
+   */
+  private resolveBlockNum(actionBlockNum: unknown, metaBlockNum: unknown): string | null {
+    if (actionBlockNum !== undefined && actionBlockNum !== null) return String(actionBlockNum);
+    if (metaBlockNum !== undefined && metaBlockNum !== null) return String(metaBlockNum);
+    return null;
+  }
+
+  /**
+   * Парсит meta.created_at в Date для колонки timestamptz. Документы хранят дату в
+   * ЛОКАЛИЗОВАННОМ формате `DD.MM.YYYY HH:mm` + отдельное поле meta.timezone — именно так её
+   * пишет фабрика @coopenomics/factory (Generator.updateMetadata через moment.tz). Нативный
+   * `new Date(meta.created_at)` этот формат НЕ понимает и даёт Invalid Date → pg-драйвер пишет
+   * в timestamptz "0NaN-NaN-NaN…" и вся вставка падает. Парсим тем же moment.tz, что и фабрика;
+   * timezone берём из меты, иначе — из конфига кооператива. Невалидное/пустое значение → null
+   * (одна битая дата не должна ронять запись и весь backfill).
+   */
+  private parseDocumentDate(createdAt: unknown, timezone: unknown): Date | null {
+    if (!createdAt || typeof createdAt !== 'string') return null;
+    const tz = typeof timezone === 'string' && timezone ? timezone : config.timezone;
+    const parsed = moment.tz(createdAt, 'DD.MM.YYYY HH:mm', tz);
+    return parsed.isValid() ? parsed.toDate() : null;
+  }
+
+  private stripHtml(html: string): string {
+    return html
+      .replace(/<style[^>]*>[\s\S]*?<\/style>/gi, '')
+      .replace(/<[^>]+>/g, ' ')
+      .replace(/\s+/g, ' ')
+      .trim();
+  }
+}
@@ -0,0 +1,20 @@
+import { Module } from '@nestjs/common';
+import { DocumentDomainModule } from '~/domain/document/document.module';
+import { SignedDocumentIngestionService } from './services/signed-document-ingestion.service';
+import { SignedDocumentBackfillService } from './services/signed-document-backfill.service';
+
+/**
+ * Реестр подписанных документов в Postgres (C28-21).
+ *
+ * Ingestion-листенер ловит blockchain-события soviet с внутренней шины и наполняет PG-проекцию;
+ * backfill — разовый перенос истории. Репозиторий (SIGNED_DOCUMENT_REPOSITORY) и генератор
+ * предоставляются глобальными модулями (TypeOrmModule / GeneratorInfrastructureModule).
+ *
+ * Это единый источник для getDocuments (read-path) и searchDocuments — OpenSearch удалён.
+ */
+@Module({
+  imports: [DocumentDomainModule],
+  providers: [SignedDocumentIngestionService, SignedDocumentBackfillService],
+  exports: [SignedDocumentIngestionService, SignedDocumentBackfillService],
+})
+export class SignedDocumentsModule {}
@@ -234,7 +234,8 @@ export class SystemInteractor {
      union_link: config.union.link,
      board_members,
      features: {
-        search: process.env.OPENSEARCH_ENABLED === 'true',
+        // Поиск по документам теперь на PG-реестре подписанных документов (C28-21) — доступен всегда.
+        search: true,
      },
    });
  }
@@ -28,9 +28,6 @@ export class ProgramWalletDTO {
  @Field(() => String, { description: 'Доступный баланс (формат: "100.0000 RUB")' })
  available!: string;

-  @Field(() => String, { description: 'Заблокированный баланс (формат: "100.0000 RUB")' })
-  blocked!: string;
-
  @Field(() => String, { description: 'Паевой взнос (формат: "100.0000 RUB")' })
  membership_contribution!: string;

@@ -49,7 +46,6 @@ export class ProgramWalletDTO {
    dto.agreement_id = entity.agreement_id;
    dto.username = entity.username;
    dto.available = entity.available;
-    dto.blocked = entity.blocked;
    dto.membership_contribution = entity.membership_contribution;
    dto.blockNum = entity.blockNum;
    return dto;
@@ -26,22 +26,29 @@ const logger = winston.createLogger({
    })
  ),
  transports: [
-    new DailyRotateFile({
-      filename: 'logs/application-%DATE%.log',
-      datePattern: 'YYYY-MM-DD',
-      zippedArchive: true,
-      maxSize: '20m',
-      maxFiles: '30d',
-      level: 'info',
-    }),
-    new DailyRotateFile({
-      filename: 'logs/error-%DATE%.log',
-      datePattern: 'YYYY-MM-DD',
-      zippedArchive: true,
-      maxSize: '20m',
-      maxFiles: '30d',
-      level: 'error',
-    }),
+    // При генерации схемы (build-time codegen) файловые транспорты не подключаем:
+    // процесс запускается из-под пользователя рядом с работающим контейнером, чей logs/
+    // принадлежит root, — запись туда падает с EACCES. На рантайм не влияет (флаг ставится только в codegen).
+    ...(process.env.CONTROLLER_SCHEMA_GEN
+      ? []
+      : [
+          new DailyRotateFile({
+            filename: 'logs/application-%DATE%.log',
+            datePattern: 'YYYY-MM-DD',
+            zippedArchive: true,
+            maxSize: '20m',
+            maxFiles: '30d',
+            level: 'info',
+          }),
+          new DailyRotateFile({
+            filename: 'logs/error-%DATE%.log',
+            datePattern: 'YYYY-MM-DD',
+            zippedArchive: true,
+            maxSize: '20m',
+            maxFiles: '30d',
+            level: 'error',
+          }),
+        ]),
    new winston.transports.Console({
      stderrLevels: ['error'],
      level: config.env === 'development' ? 'debug' : 'info',
@@ -6,6 +6,7 @@ export class DesktopWorkspaceDomainEntity implements DesktopWorkspaceDomainInter
  public readonly extension_name: string;
  public readonly icon?: string;
  public readonly defaultRoute?: string;
+  public readonly grants?: string[];

  constructor(data: DesktopWorkspaceDomainInterface) {
    this.name = data.name;
@@ -13,5 +14,6 @@ export class DesktopWorkspaceDomainEntity implements DesktopWorkspaceDomainInter
    this.extension_name = data.extension_name;
    this.icon = data.icon;
    this.defaultRoute = data.defaultRoute;
+    this.grants = data.grants;
  }
 }
@@ -4,4 +4,8 @@ export interface DesktopWorkspaceDomainInterface {
  extension_name: string; // имя расширения, которому принадлежит этот workspace
  icon?: string; // иконка для меню
  defaultRoute?: string; // маршрут по умолчанию для этого workspace
+  // Канон авторизации столов: плоский набор capability текущего пользователя
+  // в расширении (`Resource:action`, уже развёрнутый `:all`→подмножества).
+  // undefined — расширение не использует канон (фронт на legacy `meta.roles`).
+  grants?: string[];
 }
@@ -0,0 +1,44 @@
+/**
+ * Канон авторизации столов/страниц (grants) — порт расширения.
+ *
+ * Единый источник истины «кто что видит» — backend. Каждое desktop-расширение
+ * МОЖЕТ опубликовать провайдер грантов: по текущему пользователю он возвращает
+ * плоский набор capability-строк (`Resource:action`), которыми пайщик обладает
+ * в этом расширении. `getDesktop` прикрепляет этот набор к каждому workspace
+ * расширения (`DesktopWorkspace.grants`), а фронт лишь сверяет `meta.requires`
+ * маршрута с выданными грантами (plain includes) — без собственной policy.
+ *
+ * Расширения БЕЗ провайдера работают по-старому: `grants` не приходит
+ * (undefined), фронт падает на legacy-видимость по `meta.roles`. Канон
+ * опционален и не ломает существующие приложения (capital/soviet/participant…).
+ *
+ * Гранты разворачивает САМ провайдер: право `<base>:all` обязано развернуться
+ * в подмножества (`:own`/`:own-KU`/`:to-self`), чтобы фронту хватало plain
+ * `includes`, а вся иерархия охвата осталась на backend (см.
+ * marketplace `expandGrantsForRoles`). Так фронт не реплицирует canAccess.
+ */
+
+export const EXTENSION_GRANTS_REGISTRY = Symbol('EXTENSION_GRANTS_REGISTRY');
+
+/** Контекст для вычисления грантов текущего пользователя. */
+export interface IDesktopGrantsContext {
+  coopname: string;
+  /** username из JWT; undefined — неавторизованный гость. */
+  username?: string;
+  /** core-роль платформы из JWT (`user`/`member`/`chairman`/…). */
+  userRole?: string;
+  /** статус пайщика (`active` и т.п.) — для гейтов, требующих членства. */
+  userStatus?: string;
+  /** конфиг расширения (нужен для онбординг-гейтов: ЦПП принят и т.п.). */
+  config?: any;
+}
+
+export interface IExtensionDesktopGrantsProvider {
+  /** Имя расширения в AppRegistry (например, `market`). */
+  readonly extensionName: string;
+  /**
+   * Вернуть плоский, уже развёрнутый (`:all`→подмножества) набор capability
+   * текущего пользователя. Гость / нет членства → `[]`.
+   */
+  resolveGrants(ctx: IDesktopGrantsContext): Promise<string[]>;
+}
@@ -35,7 +35,14 @@ export class DocumentAggregator {
    // Получаем полный документ по хешу
    if (signedDoc.doc_hash === this.EMPTY_HASH) return null;

-    const document = await this.getDocumentByHash(signedDoc.doc_hash);
+    // Точная версия исходного документа по block_num подписанной meta:
+    // одно тело (doc_hash) может иметь несколько версий черновика с разным
+    // meta.block_num. Второй подписант обязан re-sign'ить ровно ту версию,
+    // которую подписал первый, иначе meta_hash не сойдётся.
+    const document = await this.getDocumentByHash(
+      signedDoc.doc_hash,
+      typeof signedDoc.meta?.block_num === 'number' ? signedDoc.meta.block_num : undefined
+    );

    // Массив для хранения информации о подписантах
    const signatureInfos: SignatureInfoDomainInterface[] = [];
@@ -86,8 +93,8 @@ export class DocumentAggregator {
   * @param hash Хеш документа
   * @returns Документ
   */
-  private async getDocumentByHash(hash: string): Promise<DocumentDomainEntity | null> {
-    const document = await this.documentRepository.findByHash(hash);
+  private async getDocumentByHash(hash: string, block_num?: number): Promise<DocumentDomainEntity | null> {
+    const document = await this.documentRepository.findByHash(hash, block_num);
    return document;
  }
 }
@@ -0,0 +1,18 @@
+/**
+ * Статус подписанного документа в реестре подписанных документов (Postgres-проекция).
+ *
+ * Жизненный цикл документа фиксируется блокчейн-событиями контракта soviet:
+ * - newsubmitted → Submitted
+ * - newresolved  → Resolved
+ * - newdeclined  → Declined
+ *
+ * Resolved — основной статус (на нём построено отображение реестра).
+ * Submitted — отправлен/подписан, но ещё не утверждён (сценарий доп. утверждения;
+ * сейчас фактически не используется — кандидат на вырезание, см. задачу C28-21).
+ * Declined — отклонён/аннулирован.
+ */
+export enum SignedDocumentStatus {
+  Submitted = 'submitted',
+  Resolved = 'resolved',
+  Declined = 'declined',
+}
@@ -8,7 +8,12 @@ export interface GeneratorPort {
    data: Cooperative.Document.IGenerate,
    options?: Cooperative.Document.IGenerationOptions
  ): Promise<Cooperative.Document.IGeneratedDocument>;
-  getDocument(query: { hash: string }): Promise<Cooperative.Document.IGeneratedDocument | null>;
+  getDocument(query: {
+    hash: string;
+    /** Точная версия черновика по meta.block_num (черновики версионируются
+     * по hash+block_num). Не передан — вернётся любая версия с этим hash. */
+    block_num?: number;
+  }): Promise<Cooperative.Document.IGeneratedDocument | null>;
  constructCooperative(username: string, block_num?: number): Promise<Cooperative.Model.ICooperativeData | null>;
  get<T = any>(collection: string, query: Record<string, any>): Promise<T | null>;
  save(collection: string, data: any): Promise<void>;
@@ -2,10 +2,14 @@ import type { DocumentDomainEntity } from '../entity/document-domain.entity';

 export interface DocumentRepository {
  /**
-   * Получить данные об организации по имени кооператива
-   * @param hash Имя кооператива
+   * Найти сгенерированный документ (черновик) по хэшу тела (doc_hash).
+   * @param hash Хэш тела документа (doc_hash).
+   * @param block_num Точная версия черновика. Черновики версионируются по
+   *   (hash + meta.block_num): одно тело может иметь несколько версий с
+   *   разным block_num. Второму подписанту нужна ровно та версия, которую
+   *   подписал первый. Не передан — вернётся любая версия (легаси/превью).
   */
-  findByHash(hash: string): Promise<DocumentDomainEntity | null>;
+  findByHash(hash: string, block_num?: number): Promise<DocumentDomainEntity | null>;
 }

 export const DOCUMENT_REPOSITORY = Symbol('DocumentRepository'); // Создаем уникальный токен
@@ -0,0 +1,125 @@
+import type { SignedDocumentStatus } from '../enums/signed-document-status.enum';
+import type { DocumentPackageAggregateDomainInterface } from '../interfaces/document-package-aggregate-domain.interface';
+
+/**
+ * Данные для записи/обновления одной записи реестра подписанных документов.
+ * Одна запись = ОДИН документ (ключ — `doc_hash`, идентичность содержимого без подписей).
+ * `hash` — крайняя подписанная версия (накопленные подписи), `packageHash` — идентификатор процесса,
+ * общий для нескольких заявлений пакета (submitted↔resolved↔declined трекаются по `doc_hash`).
+ */
+export interface SignedDocumentUpsertInput {
+  coopname: string;
+  /** checksum256 процесса (`package` в blockchain-action; НЕ уникален — группирует документы) */
+  packageHash: string;
+  /** checksum256 содержимого документа — УНИКАЛЬНЫЙ ключ записи (без учёта подписей) */
+  doc_hash: string;
+  /** checksum256 подписанной версии (включает подписи) — крайняя версия документа */
+  hash: string;
+  username: string;
+  status: SignedDocumentStatus;
+  /** под-действие soviet (`data.action`) — для фильтрации списка по типам документов */
+  action: string;
+  registry_id: number;
+  full_title: string;
+  /** html заявления без тегов — для ILIKE-поиска */
+  content_text: string;
+  /** ФИО/наименования всех подписантов пакета + их username — для поиска по подписанту */
+  signers_text: string;
+  /** bigint из блокчейна приходит строкой */
+  block_num: string | null;
+  document_created_at: Date | null;
+  /** готовый агрегат пакета (statement/decision/acts/links) — отдаётся getDocuments как есть */
+  document_aggregate: DocumentPackageAggregateDomainInterface | null;
+  /** data действия-носителя заявления — для пересборки агрегата при доприходе decision/act/link */
+  source_action_data: Record<string, unknown> | null;
+}
+
+export interface SignedDocumentSearchParams {
+  coopname: string;
+  query: string;
+  limit: number;
+  /** ограничить поиск документами этого пайщика (для не-членов совета); undefined — весь кооператив */
+  username?: string;
+}
+
+/**
+ * Результат поиска — повторяет контракт SearchResultDTO (GraphQL `searchDocuments`).
+ */
+export interface SignedDocumentSearchHit {
+  hash: string;
+  /** Чистое наименование документа (meta.title), без служебного хвоста ` - - дата.pdf`. */
+  full_title: string;
+  username: string;
+  /** ФИО подписанта-субъекта («Иванов Иван Иванович») для отображения вместо username. */
+  signer: string;
+  coopname: string;
+  registry_id: number;
+  created_at: string | null;
+  highlights: string[];
+}
+
+/** Параметры выборки готовых агрегатов для списка документов (read-path getDocuments). */
+export interface SignedDocumentListParams {
+  coopname: string;
+  status?: SignedDocumentStatus;
+  /** фильтр по под-действиям (data.action) */
+  actions?: string[];
+  /** фильтр по пайщику */
+  username?: string;
+  /** фильтр по хэшу конкретного документа-заявления */
+  hash?: string;
+  afterBlock?: number;
+  beforeBlock?: number;
+  page: number;
+  limit: number;
+}
+
+export interface SignedDocumentListResult {
+  items: DocumentPackageAggregateDomainInterface[];
+  total: number;
+}
+
+/** Состояние записи для guard'ов ingestion (не понижать статус / не откатывать версию подписи). */
+export interface SignedDocumentState {
+  status: SignedDocumentStatus;
+  /** номер блока крайней версии (для сравнения «новее ли пришедшая версия») */
+  blockNum: number | null;
+}
+
+/** Строка реестра для пересборки агрегата: документ пакета + его действие-носитель. */
+export interface SignedDocumentPackageRow {
+  doc_hash: string;
+  hash: string;
+  status: SignedDocumentStatus;
+  sourceActionData: Record<string, unknown> | null;
+}
+
+/**
+ * Репозиторий реестра подписанных документов (Postgres-проекция).
+ * Единый источник для отображения (getDocuments) и поиска (searchDocuments) — задача C28-21.
+ * Запись = один документ (ключ `doc_hash`); `package` группирует заявления одного процесса.
+ */
+export interface SignedDocumentRepository {
+  /** Вставить или обновить запись по (coopname, doc_hash). */
+  upsert(input: SignedDocumentUpsertInput): Promise<void>;
+
+  /** Статус + номер блока крайней версии документа по его doc_hash (для guard'ов ingestion);
+   *  null, если записи нет. */
+  getState(coopname: string, docHash: string): Promise<SignedDocumentState | null>;
+
+  /** Кол-во записей реестра по кооперативу (для авто-триггера backfill на пустой базе). */
+  count(coopname: string): Promise<number>;
+
+  /** Все заявления одного процесса (package) — для пересборки агрегатов при доприходе
+   *  decision/act/link (на пакет может приходиться несколько заявлений с разными подписантами). */
+  findByPackage(coopname: string, packageHash: string): Promise<SignedDocumentPackageRow[]>;
+
+  /** Поиск по реестру (ILIKE по signers_text/full_title/content_text/username). */
+  search(params: SignedDocumentSearchParams): Promise<SignedDocumentSearchHit[]>;
+
+  /** Список готовых агрегатов с пагинацией и фильтрами (read-path getDocuments). */
+  findAggregates(params: SignedDocumentListParams): Promise<SignedDocumentListResult>;
+}
+
+/** Токен для инъекции зависимости репозитория реестра подписанных документов. */
+export const SIGNED_DOCUMENT_REPOSITORY = Symbol('SignedDocumentRepository');
@@ -17,6 +17,9 @@ import { marketplaceBootstrapV3Migration } from '~/extensions/marketplace/migrat
 import { marketplaceBootstrapV4Migration } from '~/extensions/marketplace/migrations/marketplace-bootstrap-v4.migration';
 import { marketplaceBootstrapV5Migration } from '~/extensions/marketplace/migrations/marketplace-bootstrap-v5.migration';
 import { marketplaceBootstrapV6Migration } from '~/extensions/marketplace/migrations/marketplace-bootstrap-v6.migration';
+import { marketplaceBootstrapV7Migration } from '~/extensions/marketplace/migrations/marketplace-bootstrap-v7.migration';
+import { marketplaceBootstrapV8Migration } from '~/extensions/marketplace/migrations/marketplace-bootstrap-v8.migration';
+import { marketplaceBootstrapV9Migration } from '~/extensions/marketplace/migrations/marketplace-bootstrap-v9.migration';
 import { WinstonLoggerService } from '~/application/logger/logger-app.service';

 import { ExtensionsModule } from '~/extensions/extensions.module';
@@ -66,6 +69,9 @@ export class ExtensionDomainModule {
    this.migrationService.registerMigration(marketplaceBootstrapV4Migration);
    this.migrationService.registerMigration(marketplaceBootstrapV5Migration);
    this.migrationService.registerMigration(marketplaceBootstrapV6Migration);
+    this.migrationService.registerMigration(marketplaceBootstrapV7Migration);
+    this.migrationService.registerMigration(marketplaceBootstrapV8Migration);
+    this.migrationService.registerMigration(marketplaceBootstrapV9Migration);

    // Устанавливаем расширения по умолчанию
    await this.extensionInteractor.installDefaultApps();
@@ -125,13 +125,6 @@ export const PROCESS_HASH_LOCATOR: Readonly<Record<string, HashLocation[]>> = Ob
  'p.mkt.return': [{ code: 'marketplace', table: 'retrequests', field: 'hash' }],
  'p.mkt.wroff':  [{ code: 'marketplace', table: 'wroffprops',  field: 'hash' }],

-  // legacy donor process: o.mkt.supply / o.mkt.recv в cooptypes/operations.ts
-  // ссылаются на p.mkt.reqst, который не имеет entity-таблицы (clearing). По
-  // CLAUDE.md эти операции помечены как удалённые (membership-модель их не
-  // использует), но запись в cooptypes ещё есть — оставляем пустой locator,
-  // чтобы fail-fast валидация не падала. Удалить, когда operations.ts очистят.
-  'p.mkt.reqst':  [],
-
  // p.sov.axncnv — одноактовый процесс: данные из blockchain_actions +
  // документ statement (DocumentFieldDetector).
  'p.sov.axncnv': [],
@@ -256,12 +256,20 @@ export class DecisionExpiredNotificationService implements OnModuleInit, OnModul
        }
      }

-      // Обновляем дату последней проверки (только это поле, чтобы не перезаписать другие параметры конфига)
+      // Обновляем дату последней проверки. ВАЖНО: read-modify-write по СВЕЖЕМУ
+      // config из БД, а не по захваченному при initialize() снимку `plugin`.
+      // Cron-замыкание держит in-memory снимок с момента boot; за время между
+      // boot и тиком онбординг-флаги (`onboarding_*_done/_hash`) и прочие поля
+      // могли быть записаны в БД другими сервисами. Перезапись устаревшего
+      // снимка стёрла бы их (lost update). Поэтому берём актуальный config и
+      // трогаем только lastCheckDate.
+      const fresh = await this.extensionRepository.findByName('chairman');
+      const baseConfig = fresh?.config ?? plugin.config;
      const updatedConfig = {
-        ...plugin.config,
+        ...baseConfig,
        lastCheckDate: new Date().toISOString(),
      };
-      await this.extensionRepository.update({ ...plugin, config: updatedConfig });
+      await this.extensionRepository.update({ name: 'chairman', config: updatedConfig });

      this.logger.debug('Проверка истекших решений завершена');
    } catch (error) {
@@ -0,0 +1,70 @@
+/**
+ * Matrix: комната секретаря — создаётся вручную председателем/советом из desktop.
+ * Всегда незашифрована (E2EE секретарь транскрибировать не может). Тип (public/private)
+ * выбирается при создании, поэтому isPrivate здесь не фиксируем — задаёт сервис.
+ */
+
+import type { MatrixChatRoomPreset } from './matrix-chat-room-preset.types';
+
+/**
+ * Те же права, что у комнаты проекта Capital: модераторы (50) почти по всем настройкам;
+ * 100 только у Matrix-админа для критичных state.
+ */
+function buildPowerLevels(adminUserId: string): Record<string, unknown> {
+  return {
+    users_default: 0,
+    invite: 50,
+    kick: 50,
+    ban: 50,
+    redact: 50,
+    state_default: 50,
+    events_default: 0,
+    users: {
+      [adminUserId]: 100,
+    },
+    events: {
+      'm.room.name': 50,
+      'm.room.topic': 50,
+      'm.room.avatar': 50,
+      'm.room.pinned_events': 50,
+      'm.room.canonical_alias': 50,
+      'm.room.aliases': 50,
+      'm.room.power_levels': 100,
+      'm.room.history_visibility': 50,
+      'm.room.encryption': 100,
+      'm.room.tombstone': 100,
+      'm.room.server_acl': 100,
+
+      'im.vector.modular.widgets': 50,
+      'm.widget': 50,
+      'org.matrix.msc2876.widgets': 50,
+      'io.element.widgets.layout': 50,
+
+      'io.element.call': 50,
+      'io.element.call.member': 0,
+      'org.matrix.msc3401.call': 50,
+      'org.matrix.msc3401.call.member': 0,
+      'm.call': 50,
+      'm.call.invite': 50,
+      'm.call.answer': 0,
+      'm.call.hangup': 0,
+      'm.call.candidates': 0,
+      'm.call.select_answer': 0,
+      'm.call.reject': 0,
+      'm.call.negotiate': 0,
+    },
+  };
+}
+
+/**
+ * Базовый пресет комнаты секретаря. `isPrivate` переопределяется сервисом по флагу публичности.
+ * `encrypt` всегда false — иначе секретарь не сможет читать сообщения и транскрибировать.
+ */
+export const SECRETARY_ROOM_MATRIX: MatrixChatRoomPreset = {
+  label: 'Комната секретаря',
+  isPrivate: true,
+  encrypt: false,
+  roomType: undefined,
+  initialState: [],
+  buildPowerLevels,
+};
@@ -23,6 +23,32 @@ export class ChatcoopProjectCommunicationRoomDTO {
  displayLabel!: string;
 }

+/**
+ * Тип непроектной комнаты: пайщики, совет или комната секретаря.
+ */
+export enum NonProjectRoomKindGql {
+  MEMBERS = 'MEMBERS',
+  COUNCIL = 'COUNCIL',
+  SECRETARY = 'SECRETARY',
+}
+
+registerEnumType(NonProjectRoomKindGql, {
+  name: 'NonProjectRoomKind',
+  description: 'Тип комнаты вне проекта: пайщики, совет, комната секретаря',
+});
+
+@ObjectType('ChatcoopNonProjectCommunicationRoom')
+export class ChatcoopNonProjectCommunicationRoomDTO {
+  @Field({ description: 'Идентификатор комнаты Matrix' })
+  matrixRoomId!: string;
+
+  @Field({ description: 'Подпись для отображения комнаты' })
+  displayLabel!: string;
+
+  @Field(() => NonProjectRoomKindGql, { description: 'Тип комнаты (пайщики / совет / секретарь)' })
+  kind!: NonProjectRoomKindGql;
+}
+
@ObjectType('ChatcoopRoomMessageLine')
 export class ChatcoopRoomMessageLineDTO {
  @Field(() => Float, { description: 'origin_server_ts из Matrix (мс)' })
@@ -0,0 +1,60 @@
+import { Field, InputType, ObjectType, registerEnumType } from '@nestjs/graphql';
+import { IsBoolean, IsNotEmpty, IsString, MaxLength } from 'class-validator';
+
+/**
+ * Тип комнаты в реестре ChatCoop. Редактировать (удалять) можно только `SECRETARY`;
+ * системные (`MEMBERS`/`COUNCIL`) и проектные (`CAPITAL_PROJECT`) защищены.
+ */
+export enum ManagedRoomKindGql {
+  MEMBERS = 'MEMBERS',
+  COUNCIL = 'COUNCIL',
+  CAPITAL_PROJECT = 'CAPITAL_PROJECT',
+  SECRETARY = 'SECRETARY',
+}
+
+registerEnumType(ManagedRoomKindGql, {
+  name: 'ManagedRoomKind',
+  description: 'Тип комнаты: пайщики, совет, проект Capital, комната секретаря',
+});
+
+@ObjectType('ChatcoopSecretaryRoom')
+export class ChatcoopSecretaryRoomDTO {
+  @Field({ description: 'Внутренний идентификатор комнаты в реестре (для операций; это НЕ Matrix room id)' })
+  id!: string;
+
+  @Field({ description: 'Название комнаты' })
+  displayLabel!: string;
+
+  @Field(() => ManagedRoomKindGql, { description: 'Тип комнаты' })
+  kind!: ManagedRoomKindGql;
+
+  @Field({ description: 'Комната зашифрована (E2EE) — секретарь не транскрибирует такие комнаты' })
+  encrypted!: boolean;
+
+  @Field({ description: 'Секретарь присутствует в комнате' })
+  secretaryInRoom!: boolean;
+
+  @Field({ description: 'Можно ли удалить комнату из интерфейса (только комнаты секретаря)' })
+  editable!: boolean;
+}
+
+@InputType('CreateSecretaryRoomInput')
+export class CreateSecretaryRoomInputDTO {
+  @Field({ description: 'Название комнаты' })
+  @IsString()
+  @IsNotEmpty()
+  @MaxLength(240)
+  displayName!: string;
+
+  @Field({ description: 'Публичная комната (любой может войти) либо приватная (вход по приглашению создателя)' })
+  @IsBoolean()
+  isPublic!: boolean;
+}
+
+@InputType('RemoveSecretaryRoomInput')
+export class RemoveSecretaryRoomInputDTO {
+  @Field({ description: 'Идентификатор комнаты в реестре, которую нужно удалить' })
+  @IsString()
+  @IsNotEmpty()
+  id!: string;
+}
@@ -39,12 +39,9 @@ export class CallTranscriptionResponseDTO {
  @Field()
  id!: string;

-  @Field()
+  @Field({ description: 'Внутреннее имя комнаты звонка (LiveKit room name), не Matrix room id' })
  roomId!: string;

-  @Field()
-  matrixRoomId!: string;
-
  @Field()
  roomName!: string;

@@ -11,19 +11,33 @@ import { AuthRoles } from '~/application/auth/decorators/auth.decorator';
 import { CurrentUser } from '~/application/auth/decorators/current-user.decorator';
 import type { MonoAccountDomainInterface } from '~/domain/account/interfaces/mono-account-domain.interface';
 import {
+  ChatcoopNonProjectCommunicationRoomDTO,
  ChatcoopProjectCommunicationRoomDTO,
  ChatcoopRoomMessageLineDTO,
  GetMaxOriginServerTsForRoomInputDTO,
  GetProjectCommunicationRoomsInputDTO,
  GetRoomMessagesForUtcDateInputDTO,
  ListUtcDatesWithNewRoomMessagesInputDTO,
+  NonProjectRoomKindGql,
  RoomMessageKindGql,
 } from '../dto/project-communication.dto';
+import type { InterNonProjectRoomKind } from '@coopenomics/inter';

 function mapKind(kind: 'text' | 'audio'): RoomMessageKindGql {
  return kind === 'text' ? RoomMessageKindGql.TEXT : RoomMessageKindGql.AUDIO;
 }

+function mapNonProjectKind(kind: InterNonProjectRoomKind): NonProjectRoomKindGql {
+  switch (kind) {
+    case 'members':
+      return NonProjectRoomKindGql.MEMBERS;
+    case 'council':
+      return NonProjectRoomKindGql.COUNCIL;
+    case 'secretary':
+      return NonProjectRoomKindGql.SECRETARY;
+  }
+}
+
 /**
 * Доступ к данным переписки Capital↔Matrix для синхронизации (blago-cli, секретарь).
 * Источник — порт `INTER_PROJECT_COMMUNICATION_ARTIFACTS` (пакет inter).
@@ -61,6 +75,24 @@ export class ProjectCommunicationResolver {
    }));
  }

+  @Query(() => [ChatcoopNonProjectCommunicationRoomDTO], {
+    name: 'chatcoopListNonProjectCommunicationRooms',
+    description: 'Комнаты Matrix вне проектов Capital (пайщики/совет/секретарь) — для синхронизации в blago',
+  })
+  @AuthRoles(['chairman', 'member', 'user'])
+  async listNonProjectCommunicationRooms(
+    @CurrentUser() user: MonoAccountDomainInterface
+  ): Promise<ChatcoopNonProjectCommunicationRoomDTO[]> {
+    this.ensureComm();
+    this.logger.debug(`chatcoopListNonProjectCommunicationRooms user=${user.username}`);
+    const rooms = await this.comm!.listNonProjectCommunicationRooms();
+    return rooms.map((r) => ({
+      matrixRoomId: r.matrixRoomId,
+      displayLabel: r.displayLabel,
+      kind: mapNonProjectKind(r.kind),
+    }));
+  }
+
  @Query(() => [String], {
    name: 'chatcoopListUtcDatesWithNewRoomMessages',
    description:
@@ -0,0 +1,98 @@
+import { Args, Mutation, Query, Resolver } from '@nestjs/graphql';
+import { Logger, UseGuards } from '@nestjs/common';
+import { ActiveUserStatusGuard } from '~/application/auth/guards/active-user-status.guard';
+import { GqlJwtAuthGuard } from '~/application/auth/guards/graphql-jwt-auth.guard';
+import { RolesGuard } from '~/application/auth/guards/roles.guard';
+import { AuthRoles } from '~/application/auth/decorators/auth.decorator';
+import { CurrentUser } from '~/application/auth/decorators/current-user.decorator';
+import type { MonoAccountDomainInterface } from '~/domain/account/interfaces/mono-account-domain.interface';
+import { SecretaryRoomManagementService } from '../services/secretary-room-management.service';
+import {
+  ChatcoopSecretaryRoomDTO,
+  CreateSecretaryRoomInputDTO,
+  ManagedRoomKindGql,
+  RemoveSecretaryRoomInputDTO,
+} from '../dto/secretary-room.dto';
+import type { ChatcoopManagedMatrixRoomKind } from '../../domain/entities/managed-matrix-room.entity';
+import type { ManagedMatrixRoomDomainEntity } from '../../domain/entities/managed-matrix-room.entity';
+
+function mapManagedKind(kind: ChatcoopManagedMatrixRoomKind): ManagedRoomKindGql {
+  switch (kind) {
+    case 'members':
+      return ManagedRoomKindGql.MEMBERS;
+    case 'council':
+      return ManagedRoomKindGql.COUNCIL;
+    case 'capital_project':
+      return ManagedRoomKindGql.CAPITAL_PROJECT;
+    case 'secretary':
+      return ManagedRoomKindGql.SECRETARY;
+  }
+}
+
+function toDto(room: ManagedMatrixRoomDomainEntity): ChatcoopSecretaryRoomDTO {
+  return {
+    id: room.id,
+    displayLabel: room.displayLabel || 'Без названия',
+    kind: mapManagedKind(room.kind),
+    encrypted: room.encrypted,
+    secretaryInRoom: room.secretaryInRoom,
+    editable: room.kind === 'secretary',
+  };
+}
+
+/**
+ * Управление комнатами секретаря (стол связи desktop).
+ * Доступ — председатель и члены совета: они создают комнаты для звонков с секретарём и удаляют свои.
+ */
+@Resolver()
+@UseGuards(GqlJwtAuthGuard, RolesGuard, ActiveUserStatusGuard)
+export class SecretaryRoomsResolver {
+  private readonly logger = new Logger(SecretaryRoomsResolver.name);
+
+  constructor(private readonly service: SecretaryRoomManagementService) {}
+
+  @Query(() => [ChatcoopSecretaryRoomDTO], {
+    name: 'chatcoopListSecretaryRooms',
+    description: 'Все комнаты реестра ChatCoop (системные/проектные — read-only, комнаты секретаря — удаляемые)',
+  })
+  @AuthRoles(['chairman', 'member'])
+  async listSecretaryRooms(
+    @CurrentUser() user: MonoAccountDomainInterface
+  ): Promise<ChatcoopSecretaryRoomDTO[]> {
+    this.logger.debug(`chatcoopListSecretaryRooms user=${user.username}`);
+    const rooms = await this.service.listRooms();
+    return rooms.map(toDto);
+  }
+
+  @Mutation(() => ChatcoopSecretaryRoomDTO, {
+    name: 'chatcoopCreateSecretaryRoom',
+    description: 'Создать комнату с секретарём (публичную или приватную); секретарь подключается сразу',
+  })
+  @AuthRoles(['chairman', 'member'])
+  async createSecretaryRoom(
+    @CurrentUser() user: MonoAccountDomainInterface,
+    @Args('data', { type: () => CreateSecretaryRoomInputDTO }) data: CreateSecretaryRoomInputDTO
+  ): Promise<ChatcoopSecretaryRoomDTO> {
+    this.logger.log(`chatcoopCreateSecretaryRoom user=${user.username} isPublic=${data.isPublic}`);
+    const room = await this.service.createSecretaryRoom({
+      creatorUsername: user.username,
+      creatorRole: user.role,
+      displayName: data.displayName,
+      isPublic: data.isPublic,
+    });
+    return toDto(room);
+  }
+
+  @Mutation(() => String, {
+    name: 'chatcoopRemoveSecretaryRoom',
+    description: 'Удалить комнату секретаря: вывести секретаря и снять комнату с синхронизации (возвращает идентификатор комнаты в реестре)',
+  })
+  @AuthRoles(['chairman', 'member'])
+  async removeSecretaryRoom(
+    @CurrentUser() user: MonoAccountDomainInterface,
+    @Args('data', { type: () => RemoveSecretaryRoomInputDTO }) data: RemoveSecretaryRoomInputDTO
+  ): Promise<string> {
+    this.logger.log(`chatcoopRemoveSecretaryRoom user=${user.username} room=${data.id}`);
+    return this.service.removeSecretaryRoom(data.id);
+  }
+}
@@ -54,7 +54,6 @@ export class TranscriptionResolver {
    return {
      id: domain.id,
      roomId: domain.roomId,
-      matrixRoomId: domain.matrixRoomId,
      roomName: domain.roomName,
      startedAt: domain.startedAt,
      endedAt: domain.endedAt,
@@ -818,6 +818,48 @@ export class MatrixApiService {
    }
  }

+  /**
+   * Приглашает пользователя в комнату (от имени Matrix-админа, который состоит в комнате).
+   * Пользователь увидит приглашение и войдёт сам — в отличие от {@link joinRoom} (force-join).
+   */
+  async inviteUser(userId: string, roomId: string): Promise<void> {
+    try {
+      const adminToken = await this.loginAdmin();
+      await this.httpClient.post(
+        `/_matrix/client/v3/rooms/${encodeURIComponent(roomId)}/invite`,
+        { user_id: userId },
+        { headers: { Authorization: `Bearer ${adminToken}` } }
+      );
+      this.logger.log(`Пользователь ${userId} приглашён в комнату ${roomId}`);
+    } catch (error: any) {
+      this.logger.error(
+        `Не удалось пригласить пользователя ${userId} в комнату ${roomId}: ${JSON.stringify(error?.response?.data)}`
+      );
+      throw new Error('Не удалось пригласить пользователя в комнату');
+    }
+  }
+
+  /**
+   * Исключает пользователя из комнаты (от имени Matrix-админа с power 100).
+   * Используется для вывода секретаря из комнаты по требованию председателя/совета.
+   */
+  async kickUser(userId: string, roomId: string, reason?: string): Promise<void> {
+    try {
+      const adminToken = await this.loginAdmin();
+      await this.httpClient.post(
+        `/_matrix/client/v3/rooms/${encodeURIComponent(roomId)}/kick`,
+        reason ? { user_id: userId, reason } : { user_id: userId },
+        { headers: { Authorization: `Bearer ${adminToken}` } }
+      );
+      this.logger.log(`Пользователь ${userId} исключён из комнаты ${roomId}`);
+    } catch (error: any) {
+      this.logger.error(
+        `Не удалось исключить пользователя ${userId} из комнаты ${roomId}: ${JSON.stringify(error?.response?.data)}`
+      );
+      throw new Error('Не удалось исключить пользователя из комнаты');
+    }
+  }
+
  /**
   * Получает текущие права пользователей в комнате
   */
@@ -0,0 +1,152 @@
+import { BadRequestException, Inject, Injectable, Logger, NotFoundException } from '@nestjs/common';
+import { MatrixApiService } from './matrix-api.service';
+import { ChatCoopApplicationService } from './chatcoop-application.service';
+import { MatrixUserManagementService } from '../../domain/services/matrix-user-management.service';
+import { SECRETARY_ROOM_MATRIX } from '../config/matrix-secretary-room.config';
+import {
+  CHATCOOP_MANAGED_MATRIX_ROOM_REPOSITORY,
+  type ChatcoopManagedMatrixRoomRepository,
+} from '../../domain/repositories/managed-matrix-room.repository';
+import {
+  CHATCOOP_STATE_REPOSITORY,
+  type ChatcoopStateRepository,
+} from '../../domain/repositories/chatcoop-state.repository';
+import type { ManagedMatrixRoomDomainEntity } from '../../domain/entities/managed-matrix-room.entity';
+
+export interface CreateSecretaryRoomInput {
+  /** Логин пайщика-создателя (председатель или член совета) */
+  creatorUsername: string;
+  /** Роль создателя в кооперативе — для прав в комнате (chairman / member) */
+  creatorRole: string;
+  /** Название комнаты */
+  displayName: string;
+  /** true — публичная (любой может войти), false — приватная (вход по приглашению) */
+  isPublic: boolean;
+}
+
+/**
+ * Управление комнатами секретаря: создание/удаление и список всех комнат реестра.
+ *
+ * Принцип безопасности: секретарь присутствует ТОЛЬКО в комнатах, созданных нашим бэкендом
+ * (kind `secretary`, а также системные members/council и проектные capital_project). Произвольные
+ * «чужие» Matrix-комнаты сюда не подключаются — Synapse общий на все кооперативы, и force-join в
+ * чужую комнату был бы дырой.
+ */
+@Injectable()
+export class SecretaryRoomManagementService {
+  private readonly logger = new Logger(SecretaryRoomManagementService.name);
+
+  constructor(
+    private readonly matrixApi: MatrixApiService,
+    private readonly chatCoopApplicationService: ChatCoopApplicationService,
+    private readonly matrixUserManagement: MatrixUserManagementService,
+    @Inject(CHATCOOP_MANAGED_MATRIX_ROOM_REPOSITORY)
+    private readonly managedRooms: ChatcoopManagedMatrixRoomRepository,
+    @Inject(CHATCOOP_STATE_REPOSITORY)
+    private readonly chatcoopState: ChatcoopStateRepository
+  ) {}
+
+  async listRooms(): Promise<ManagedMatrixRoomDomainEntity[]> {
+    return this.managedRooms.findAll();
+  }
+
+  async createSecretaryRoom(input: CreateSecretaryRoomInput): Promise<ManagedMatrixRoomDomainEntity> {
+    const st = await this.chatcoopState.getSingleton();
+    if (!st.isInitialized || !st.spaceId || st.spaceId.trim().length === 0) {
+      throw new BadRequestException('ChatCoop не инициализирован — нельзя создать комнату секретаря');
+    }
+    const secretaryId = st.secretaryMatrixUserId;
+    if (typeof secretaryId !== 'string' || secretaryId.trim().length === 0) {
+      throw new BadRequestException('Секретарь не инициализирован — нельзя создать комнату секретаря');
+    }
+    const displayName = input.displayName.trim();
+    if (displayName.length === 0) {
+      throw new BadRequestException('Название комнаты не может быть пустым');
+    }
+
+    const adminUserId = this.matrixApi.getAdminUserId();
+    const powerLevels = SECRETARY_ROOM_MATRIX.buildPowerLevels(adminUserId);
+    const isPrivate = !input.isPublic;
+
+    const roomId = await this.matrixApi.createRoom(
+      displayName.slice(0, 240),
+      `Комната секретаря — создал ${input.creatorUsername}`,
+      isPrivate,
+      SECRETARY_ROOM_MATRIX.roomType,
+      SECRETARY_ROOM_MATRIX.initialState.length > 0 ? SECRETARY_ROOM_MATRIX.initialState : undefined,
+      // Комната секретаря всегда незашифрована — иначе секретарь не читает сообщения и не транскрибирует.
+      false,
+      powerLevels as Record<string, unknown>
+    );
+
+    await this.matrixApi.addRoomToSpace(st.spaceId.trim(), roomId);
+
+    // Force-join только секретарь.
+    await this.matrixApi.joinRoom(secretaryId.trim(), roomId);
+
+    // Создатель сразу входит в свою комнату с правами модератора.
+    const creatorMatrix = await this.matrixUserManagement.getMatrixUserByCoopUsername(input.creatorUsername);
+    if (creatorMatrix) {
+      try {
+        await this.matrixApi.joinRoom(creatorMatrix.matrixUserId, roomId);
+        await this.chatCoopApplicationService.applyMembersRoomStylePowerForUser(
+          creatorMatrix.matrixUserId,
+          roomId,
+          input.creatorRole
+        );
+      } catch (err) {
+        this.logger.warn(`Не удалось ввести создателя ${input.creatorUsername} в комнату ${roomId}: ${String(err)}`);
+      }
+    } else {
+      this.logger.warn(`Нет Matrix-аккаунта для создателя ${input.creatorUsername} — он войдёт позже сам`);
+    }
+
+    const room = await this.managedRooms.upsertRoom({
+      matrixRoomId: roomId,
+      encrypted: false,
+      kind: 'secretary',
+      displayLabel: displayName,
+      projectHash: null,
+      secretaryInRoom: true,
+    });
+
+    this.logger.log(
+      `Создана комната секретаря ${roomId} (${isPrivate ? 'приватная' : 'публичная'}) создателем ${input.creatorUsername}`
+    );
+    return room;
+  }
+
+  /**
+   * Удаляет комнату секретаря: выводит секретаря из Matrix-комнаты и убирает запись из реестра ChatCoop.
+   * Сама Matrix-комната не уничтожается — её участники сохраняют доступ и историю, но транскрипция/синхронизация прекращаются.
+   * Разрешено только для kind `secretary` — системные и проектные комнаты так удалять нельзя.
+   *
+   * На вход — внутренний идентификатор реестра (`id`), а НЕ Matrix room id: интерфейс не оперирует
+   * Matrix room id, чтобы не раздавать handle для входа в приватные комнаты.
+   */
+  async removeSecretaryRoom(id: string): Promise<string> {
+    const room = await this.managedRooms.findById(id);
+    if (!room) {
+      throw new NotFoundException('Комната не найдена в реестре ChatCoop');
+    }
+    if (room.kind !== 'secretary') {
+      throw new BadRequestException('Удалять можно только комнаты секретаря (системные и проектные защищены)');
+    }
+
+    const matrixRoomId = room.matrixRoomId;
+    const st = await this.chatcoopState.getSingleton();
+    const secretaryId = st.secretaryMatrixUserId;
+    if (typeof secretaryId === 'string' && secretaryId.trim().length > 0) {
+      try {
+        await this.matrixApi.kickUser(secretaryId.trim(), matrixRoomId, 'Комната секретаря удалена');
+      } catch (err) {
+        this.logger.warn(`Не удалось вывести секретаря из ${matrixRoomId}: ${String(err)}`);
+      }
+    }
+
+    await this.managedRooms.setSecretaryInRoom(matrixRoomId, false);
+    await this.managedRooms.deleteByMatrixRoomId(matrixRoomId);
+    this.logger.log(`Комната секретаря ${id} удалена из реестра`);
+    return id;
+  }
+}
@@ -13,6 +13,8 @@ import { ChatCoopCalendarResolver } from './application/resolvers/chatcoop-calen
 import { ChatCoopCalendarFeedController } from './application/controllers/chatcoop-calendar-feed.controller';
 import { TranscriptionResolver } from './application/resolvers/transcription.resolver';
 import { ProjectCommunicationResolver } from './application/resolvers/project-communication.resolver';
+import { SecretaryRoomsResolver } from './application/resolvers/secretary-rooms.resolver';
+import { SecretaryRoomManagementService } from './application/services/secretary-room-management.service';
 import { WinstonLoggerService } from '~/application/logger/logger-app.service';
 import { ConfigModule } from '@nestjs/config';
 import { z } from 'zod';
@@ -527,6 +529,7 @@ export class ChatCoopPlugin extends BaseExtModule {
    // Application Services
    ChatCoopApplicationService,
    CapitalProjectMatrixSyncService,
+    SecretaryRoomManagementService,
    MatrixApiService,
    ChatCoopSecretaryMatrixTokenService,
    SecretaryAgentService,
@@ -604,6 +607,7 @@ export class ChatCoopPlugin extends BaseExtModule {
    TranscriptionResolver,
    ActiveUserStatusGuard,
    ProjectCommunicationResolver,
+    SecretaryRoomsResolver,
  ],
  exports: [
    ChatCoopPlugin,
--- a/Show More
+++ b/Show More