docs: record compatibility runs, decisions and session reasoning

doc/progress.md

@@ -2,6 +2,24 @@
 
 ## Версага v0.1.x
 
+### Security & Compatibility Wave (2026-04-10) ✅
+- ✅ Создана ветка hardening: fix/critical-high-security-2026-04-10
+- ✅ Закрыты Critical/High/Medium пункты безопасности и изоляции
+- ✅ Добавлена проверка SigV4 подписи (header + presigned)
+- ✅ Закрыт IDOR в UI API по tenant id
+- ✅ Устранены гонки map доступа и рассинхрон persistence
+- ✅ Оптимизирован receive long polling
+- ✅ Совместимость SQS подтверждена: tests/shared_sqs_test.sh PASS=28 FAIL=0
+- ⚠️ Legacy UI тесты без JWT падают ожидаемо (quick/hardcore), т.к. /ui/api/* теперь защищены
+
+### v0.1.18 (2026-04-10) — IN PROGRESS
+- ✅ security: fix critical/high auth, idor, races and persistence (a5e9bfb)
+- ✅ security: address medium risks in jwt, redis ordering and body limit (3b4fe0b)
+- ✅ perf: optimize receive long polling and finalize formatting cleanup (ebcb204)
+- [ ] Актуализировать tests/quick_test.sh под JWT flow
+- [ ] Актуализировать UI блоки tests/hardcore_test.sh под JWT flow
+- [ ] Добавить отдельный UI compatibility script с login шагом
+
 ### v0.1.14 (2026-04-10) ✅
 - ✅ Фикс критического дедлока в `create_queue.go` (deadlock после первого CreateQueue)
 - ✅ Фикс UI: `m.sent` → `m.sent_at` (даты сообщений всегда показывали dash)