BrainKeeper — что изменилось

Принцип: store.py считает url_hash = sha256 от канонизированного URL и body_hash = sha256 от нормализованного тела. Повторный захват возвращает 200 с duplicate_of вместо создания второй записи. Именно поэтому канонизация обязана быть стабильной: ссылка с utm-хвостом и без него должны давать один хеш.

Принцип: detect_secrets() ловит vless://, ss://, PEM-блоки приватных ключей, ssh-rsa и ssh-ed25519, AKIA…, ghp_ и github_pat_, sk-ant-, xoxb-, JWT-тройки, postgres://user:pass@ и Bearer-блобы. При совпадении бот удаляет исходное сообщение из чата и прямо говорит, что значение прошло через серверы Telegram в открытом виде. До фазы 3 секреты хранятся на сервере открыто — продукт говорит это вслух, а не намекает на безопасность, которой нет.

Принцип: server/brainkeeper/api.py отдаёт POST /v1/capture с тремя видами нагрузки и идемпотентным client_ref. Разбор, типизация, теги и дедупликация выполняются на сервере — клиент не умеет ничего, кроме одного запроса (D-005). Дубликат возвращает 200 с duplicate_of и не создаёт записи. Ограничение частоты — 30 захватов в минуту на пользователя, токен-бакет в процессе.

Принцип: bot/capture.py подключён к @brainkeepertg_bot и обрабатывает апдейт до waitlist-логики, если чат прошёл /enroll. Текст уходит в POST /v1/capture с kind=text, ссылка — kind=url, фото и документ — kind=file (потолок 20 МБ, это ограничение самого Telegram), пересланное сообщение сохраняет исходного автора. Бот ходит в API по внутреннему токену BK_INTERNAL_TOKEN, который не покидает хост, поэтому ему не нужен девайс-токен. Ответ — одна строка с типом, заголовком и тегами.

Принцип: server/brainkeeper/classify.py — правила по порядку: secret, file, snippet, instruction, reading, link, note. Теги из технического словаря (русские синонимы сведены к тем же тегам), домена источника и языков блоков кода, максимум 8. Проверено на 40 размеченных случаях в server/tests/fixtures/classify_cases.json: 38 верных, 95% при планке AC-1.5 в 80%. Никакого сетевого вызова в пути захвата — D-022.

Принцип: server/brainkeeper/parse.py: канонизация URL (снятие utm_*, fbclid, yclid, gclid, ref), скачивание с потолками 15 с / 5 МБ / 3 редиректа, извлечение через trafilatura с сохранением заголовков, списков и блоков кода. Меньше 200 символов, пейволл, cookie-баннер или ошибка сети — запись сохраняется как partial с записанной причиной, а не теряется. Картинки до 5 МБ скачиваются, видео линкуется. Хост проверяется до запроса и после каждого редиректа: loopback, link-local, приватные и CGNAT-адреса отвергаются.

Принцип: Звезда — один бит: она ведёт список до запроса и поднимает запись в выдаче, но не выносит слабое совпадение выше сильного. Стоит и на записи, и в строке списка, нажимается без сети и едет своей очередью, отдельной от очереди правок. Дерево тегов собирается из «клиенты/акме/vpn» на клиенте — сервер об этом не знает; оно живёт в строке фильтров, свёрнутое, и уходит с глаз, как только ветка выбрана. Выбор ветки берёт и всё, что под ней; переименование ветки — одно действие, правки ложатся локально и уезжают очередью. Ни вкладки «Избранное», ни дерева в боте не появилось намеренно.

Принцип: Кнопка копирования есть у каждого блока кода, каждого секрета, каждого URL и у тела записи целиком («Копировать всё» в шапке). Используется navigator.clipboard с запасным вариантом через execCommand — на iOS первый способ срабатывает не всегда. Это FR-1.6 и AC-1.3: смысл продукта в том, чтобы найденное сразу оказалось в буфере, а не было выделено пальцем по абзацу.

Принцип: app/offline-search.js строит инвертированный индекс в памяти из IndexedDB при загрузке. Токенизация: нижний регистр, ё→е, разбиение по неалфавитно-цифровым, префиксное совпадение последнего токена — «сертифик» находит «сертификаты» без стеммера. Ранжирование в духе BM25: заголовок ×3, теги ×2, тело ×1, бонус за точную фразу, свежесть как тайбрейк. Замерено: 10 000 записей — индекс 401 мс при загрузке, запрос 5,7 мс в среднем и 7,6 мс в худшем; 1 000 записей — 1,8 мс в среднем и 3,7 мс в худшем при планке NFR-2 в 300 мс. Поле поиска в фокусе сразу при открытии (D-004).

Принцип: /link в боте выпускает шестизначный код на 10 минут, одноразовый. Приложение отправляет {code, device_name, platform} в POST /v1/auth/exchange и получает 32-байтовый токен; на сервере хранится только sha256(token). Ни паролей, ни почты, ни OAuth — телеграмной личности достаточно для однопользовательской фазы. Обмен кода ограничен десятью попытками в минуту с одного IP.

Принцип: Запись с type=secret отрисована точками. Один тап показывает значение, отдельная кнопка копирует его не раскрывая, при уходе фокуса маска возвращается. Это FR-1.7 — защита от чужого взгляда через плечо, а не от сервера; настоящее шифрование это фаза 3.

Принцип: POST /v1/sync принимает пачку записей, созданных без сети. Разрешение конфликтов — last-write-wins по updated_at; проигравшая правка не исчезает, сервер возвращает победившую строку в conflicts, а приложение показывает расхождение и не пытается досылать ту же правку по кругу. Запись с client_id, которого сервер не видел, создаётся, и её настоящий id приезжает в mapping. Проверено на проде: пачка применяется, повтор ничего не дублирует, устаревшая правка возвращается конфликтом.

Принцип: GET /v1/sync?since=<rev>&limit=<n≤500> отдаёт всё, что изменилось после курсора, включая надгробия удалённых записей в поле deleted. rev выдаётся из таблицы user_rev внутри той же транзакции, что и запись, поэтому пропусков не бывает. Приложение тянет при открытии и по pull-to-refresh. Тела зашифрованных записей приезжают шифротекстом с целыми enc_* — расшифровка на клиенте, но в фазе 1 шифрованных записей ещё нет.

Принцип: Раньше в приложение можно было только смотреть: наполнял его бот. Теперь там есть окно сохранения ссылки или заметки, правка заголовка, типа, тегов и тела, и загрузка файла импорта с предпросмотром. Сохранение не ждёт сети: запись уходит в локальный outbox, показывается в списке сразу и досылается фоном с ретраями; перезагрузка страницы очередь не теряет.

Принцип: app/manifest.webmanifest и app/sw.js: оболочка precache-ится и отдаётся cache-first, запросы к /api/ идут только по сети. Приложение открывается с выключенным радио. На Android доступен share_target; на iOS системного шаринга нет и хранилище может быть вытеснено примерно через 7 дней простоя — цена этого не потерянные данные, а медленный первый запуск с полной пересинхронизацией (D-020).

Принцип: В app/index.html над результатами стоит ряд чипов: «не открывал» плюс тип (секрет, сниппет, инструкция, чтение, ссылка, заметка). Это фильтры к тому же локальному индексу, а не отдельные запросы к серверу, поэтому работают офлайн и мгновенно. Чип «не открывал» опирается на opened_at, который проставляется через POST /v1/records/{id}/open при открытии записи.

Принцип: /var/lib/brainkeeper/records/<uid>/<год>/<id>.md с YAML-frontmatter (id, title, type, tags, url, source, created, partial, encrypted) и телом в markdown. SQLite с FTS5 — только индекс: потеря индекса стоит переиндексации через store.reindex(), потеря markdown стоит всего. Это D-007 и одновременно страховка от привязки к вендору: файлы читаются любым редактором без конвертера.

Принцип: server/deploy/backup.sh по cron делает sqlite3 .backup базы и tar каталога records в /var/backups/brainkeeper/, хранит 14 копий. Порядок именно такой: markdown — истина, sqlite — производное. Если разъедутся, восстанавливается markdown, а индекс пересобирается.

Принцип: records_fts (unicode61, remove_diacritics 2) пишется явно из store.py, а не триггерами, ровно ради одного правила: строка с encrypted=1 не индексируется никогда. Индексировать шифротекст бессмысленно и вредно — это утечка длины и структуры. Один путь записи проще удержать честным, чем четыре триггера. Этот индекс обслуживает GET /v1/search и команду /find в боте.

Принцип: GET /v1/export отдаёт всю базу пользователя зипом markdown-файлов и не закрывается ни подпиской, ни флагом биллинга. Та же кнопка есть в боте как /export. Это осознанная позиция D-007: продукт, который держит данные в заложниках, продаётся хуже, чем продукт, из которого можно уйти за один клик.

Принцип: Два числа, потому что и вопроса два: «сколько прислал» не уменьшается никогда, иначе это не лимит, а «сколько занимает» считается по факту и падает, когда файл действительно стёрт. Считается там, где байты легли на диск, а не там, где о них рассказали в запросе. Ничего не применяется, пока биллинг выключен, и никакого счётчика на экранах нет.

Принцип: encrypted, enc_alg, enc_wrapped_key и enc_nonce есть с миграции 001 и проходят весь конвейер нетронутыми, а users.key_salt и users.key_check зарезервированы под KDF фазы 3. Самой криптографии нет: секреты хранятся на сервере открытым текстом, и бот об этом предупреждает. Статус «частично» — это про схему, готовую к фазе 3, а не про работающее шифрование. Заводить эти поля позже означало бы переписывать синхронизацию (NFR-7, D-006).

Принцип: bot/waitlist_bot.py на стандартной библиотеке: HTTP-сервер, SQLite, urllib, ноль зависимостей. Вебхук /tg/webhook проксируется на 127.0.0.1:8091. Новичок получает номер в очереди и два вопроса: где сейчас живут его секреты и инструкции (saved, notes, vault, chaos) и уточняющий с ответом да/нет. Ответы в waitlist.sqlite3, свободный текст в таблицу messages, владельцу уходит уведомление. Ответы влияют на продукт, но в пороги D-016 не засчитываются — аудитория уже отпитчена (D-018).

Принцип: Статическая сборка из landing/src/ через build.py, выкладка landing/deploy.sh (сборка, rsync, smoke-проверка). RU на /, EN на /en/. Единственный призыв к действию — Telegram-бот; ни форм почты, ни оплаты. Цены: 299 ₽/мес якорь и 199 ₽/мес ранняя птица, в EN-локали ведут доллары по привязке ~85,4 ₽/$ из D-017; правило пересчёта записано в §4 N7 спеки лендинга и обязательно к прочтению перед правкой любой цифры.

Принцип: Счётчик регенерируется в waitlist-count.json при каждой новой записи и лежит в /var/lib/brainkeeper/, вне веб-корня, потому что деплой лендинга делает rsync --delete и стёр бы его. Статус «частично» по делу: файл отдаётся и обновляется, но на самой странице число показывается только после порога COUNTER_MIN — маленькая цифра работает против страницы, поэтому пока лендинг его не выводит.

Принцип: server/brainkeeper/importers.py по §14 техспеки: загрузка файла (POST /v1/import), разбор в фоновом потоке по одной задаче на пользователя, предпросмотр с галочками до сохранения и явный commit выбранного. Ссылки ставятся в очередь на парсинг медленно, чтобы импорт двух тысяч закладок не превратился в двухтысячный залп по чужому сайту. Статус «частично»: код выкатывается этим деплоем, но на реальных выгрузках Pocket и Obsidian ещё не прогонялся — форматы экспорта у сервисов меняются молча.

Принцип: Заводятся в боте фразой, в приложении и на десктопе — кнопкой с точным моментом. Разбор живой речи живёт только на сервере, поэтому «через неделю» значит одно и то же везде; кнопке «завтра в 9» разбирать нечего — клиент знает и день, и час, и пояс, и потому пояс он не спрашивает. Повтор: день, неделя, месяц, год. Пропущенное догоняется до ближайшего будущего срабатывания, а не высыпается в чат пачкой. Напоминание о секрете не называет его никогда. Без сети клиент честно отвечает, что напоминание не заведено.

Принцип: server/brainkeeper/reading.py по §15: GET /v1/reading отдаёт максимум 7 карточек (type='reading', opened_at пуст, не удалено, defer_until пуст или в прошлом), POST /v1/records/{id}/defer откладывает на месяц, GET /v1/reading/cleanup раз в квартал показывает годовалые ни разу не открытые записи. Счётчиков за пределами раздела нет и быть не должно — D-009 запрещает и бейдж на иконке, и поле unread в /v1/stats. Статус «частично»: серверная часть выкатывается сейчас, полный UI раздела в PWA — работа этого же деплоя и его ещё никто не гонял на живой базе.

Принцип: server/brainkeeper/billing.py смонтирован и отвечает, но BK_BILLING_ENABLED=0 по умолчанию: POST /v1/billing/invoice отдаёт 503, инвойсы не уходят, лимит бесплатного тарифа считается и показывается, но не применяется (enforced: false). «Частично» здесь означает ровно это: проводка работает, деньги не принимаются и не будут, пока владелец не примет отдельное решение — это граница D-023. Когда включат, цены берутся из D-017 (Pro 299 ₽/мес, ранняя птица 199 ₽/мес с фиксацией, пожизненная 4 900 ₽ на первые 200), а количество звёзд считается на момент выставления счёта по курсу из конфига. charge_id уникален, поэтому повторно доставленный апдейт не выдаст вторую подписку.

Принцип: Расширение под Chrome и Firefox и трей-приложение на Tauri собраны и работают локально: расширение ставится распакованным из ext/, приложение — .deb на 3,6 МБ (бинарник 6,9 МБ при бюджете 15). У приложения есть первый запуск из пяти экранов, установка автозапуска и горячей клавиши. Статус «частично» по двум причинам: в сторы ничего не подано — присутствие в сторах это уже продажа, а она ждёт решения владельца (D-023); и собрать здесь можно только Linux — macOS требует Apple SDK, Windows требует clang и lld.

Принцип: Явно вне фазы 2 (§18). Криптография — фаза 3: схема под неё готова с миграции 001, но ключи не выводятся и ничего не шифруется, поэтому секреты на сервере лежат открыто и бот об этом предупреждает. Семантический поиск отложен вместе с эмбеддингами — это единственный случай, где LLM реально заработает своё место (D-022). Шаринг — фаза 4 (D-011): своя модель прав, своя семантика синхронизации, отдельный продукт по сути.