doc: прод-хардненинг (seed off, новый admin-token, logrotate)

HISTORY/2026-10-10-session-log.md

@@ -101,6 +101,11 @@
   `SaveMessages` + идемпотентность через `store.List()`.
 - Управление: `sudo systemctl {status,restart,stop} shared-sqs`.
 
+### 2.12. Прод-хардненинг
+- `SHARED_SQS_SEED_DEMO=false`; admin-token сменён на случайный 64-hex (в `/etc/shared-sqs.env`);
+  logrotate для `sqs.log`.
+- Billing/JWT не настроены. Проверено: сервис работает на существующем тенанте из Redis.
+
 ## 3. Грабли (для повторного использования)
 
 1. **`proxy_set_header Host $host` теряет порт** → SigV4 `SignatureDoesNotMatch`.

doc/thinking/vm-public-entrypoint-2026-10-10.md

@@ -132,3 +132,12 @@ curl -sS https://sqs.sinefo.ru/health
 ### Для прода
 `SHARED_SQS_SEED_DEMO=false` (демо-данные не нужны), тенанты/очереди создаются через API
 (они персистятся штатно).
+
+## 9. Прод-хардненинг (2026-10-10, выполнено)
+
+- `SHARED_SQS_SEED_DEMO=false` — демо-данные отключены (существующий тенант подхватывается из Redis).
+- **admin-token сменён** на случайный 64-hex (хранится в `/etc/shared-sqs.env`, 600). Прежний
+  `dev-token-123` был слабым, а сервис теперь публичный. Прочитать: `sudo sed -n '1p' /etc/shared-sqs.env`.
+- **logrotate** `/etc/logrotate.d/shared-sqs`: daily, rotate 7, compress, delaycompress,
+  copytruncate, `su naeel naeel` (copytruncate — процесс держит файл открытым).
+- Billing (PostgreSQL) и JWT-валидация — **не настроены** (сервис работает без них).