HISTORY: локализация 51с — MSS 1448 на VIP, дроп на платформенном участке

chore: убрать __pycache__ из репо, добавить в .gitignore
HISTORY: суровый тест 3 тенантов одновременно — итоги
2026-08-15 08:10:51 +04:00 · 2026-08-14 23:04:27 +04:00 · 2026-08-14 23:03:20 +04:00 · 2026-08-14 22:19:27 +04:00 · 2026-08-14 21:27:34 +04:00 · 2026-08-14 20:56:59 +04:00
96 changed files with 4204 additions and 8208 deletions
@@ -1,63 +1,20 @@
-# Правила
+# Правила (кратко)
-## ⛔ ОТВЕЧАТЬ КРАТКО — АБСОЛЮТНОЕ ПРАВИЛО
+## ⛔⛔⛔ НИКАКИХ ПРЕДПОЛОЖЕНИЙ — ТОЛЬКО ФАКТЫ
- Вопрос → короткий ответ → СТОП.
+- Только проверенные факты. Не проверено — писать «не проверено».
- Ничего лишнего.
+
- Код — только по запросу.
+## ⛔ ОТВЕЧАТЬ КРАТКО
 - Вопрос → короткий ответ → СТОП. Код — только по запросу.
 ## ⛔⛔⛔ ВОПРОС = СТОП
 - Любой вопрос → только ответить, ждать «делай». Не начинать работу без команды.
-**Если в сообщении есть вопрос в ЛЮБОЙ форме** ("так ?", "верно ?", "почему ?", "как ?", "так же ?" и т.д.):
+## ⛔⛔⛔ НЕ ТРОГАТЬ РАБОЧИЙ КОД
-1. ТОЛЬКО ответить на вопрос
+- Никаких изменений кода/инфраструктуры без явного «делай».
 2. ОСТАНОВИТЬСЯ
 3. ЖДАТЬ следующей команды
 **ЗАПРЕЩЕНО** начинать работу, писать код, запускать команды — без явного "делай".
-## ⛔⛔⛔ НЕ ТРОГАТЬ РАБОЧИЙ КОД — АБСОЛЮТНЫЙ ЗАПРЕТ НАВСЕГДА
+## ⛔⛔⛔ ДЕЛАТЬ ТОЛЬКО ЧТО ПРИКАЗАНО
 - Без додумывания, без «логичных следующих шагов».
-**НИКАКИХ самодеятельных изменений рабочего кода:**
+## ЕСЛИ ПРАВИШЬ КОД
- Никаких "оптимизаций", "улучшений", "рефакторинга" без команды
+- Сначала прочитай /home/naeel/nubes/SQS-service/.github/pravila.md (там: git локально + после пуша синк на ВМ, docker/ssh на ВМ, деплой).
 - Никаких новых фич без явного разрешения
 - Никаких docker/kubectl/helm команд и прочих инфраструктурных изменений без команды
 - Перед ЛЮБЫМ изменением рабочего кода — объяснить ЗАЧЕМ и ждать "делай"
 1. Не трогать рабочий код без явного указания.
 2. Файлы редактируются локально:
   ~/SQS-service
   После ЛЮБЫХ изменений ОБЯЗАТЕЛЬНО синхронизировать на ВМ командой:
   rsync -az \
     -e "ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10" \
     ~/SQS-service/ \
     naeel@5.172.178.213:~/terra/SQS-service/
 3. Git (add/commit/push) выполнять ЛОКАЛЬНО в ~/SQS-service
 4. Docker, kubectl и другие инфраструктурные команды — только через SSH на ВМ:
   ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10 naeel@5.172.178.213 'КОМАНДА'
   - не выполнять инфраструктурные команды локально
   - не открывать интерактивные сессии
   - не делать цепочки без необходимости
 4. Перед запуском команд ОБЯЗАТЕЛЬНО убедиться, что синхронизация выполнена.
 5. ЗАПРЕЩЕНО:
   - откатывать код
   - менять версии
   - ломать рабочее состояние
 6. После каждого исправления:
   - git add/commit ЛОКАЛЬНО
   - затем синхронизация (rsync) на ВМ
 ## ⛔⛔⛔ ДЕЛАТЬ ТОЛЬКО ЧТО ПРЯМО ПРИКАЗАНО
 **АБСОЛЮТНЫЙ ЗАПРЕТ на додумывание:**
 - Не расширять масштаб работы
 - Не выполнять "логичные следующие шаги"
 - Не инициировать дополнительные операции
 - Не делать ничего кроме того что сказано
 **Исключение:** только если приказ явно включает цепочку ("собери И залей И тесты")
@@ -1,7 +1,25 @@
 # Правила работы агента
 ## ⛔⛔⛔ НИКАКИХ ПРЕДПОЛОЖЕНИЙ — ТОЛЬКО ФАКТЫ
 **АБСОЛЮТНОЕ ПРАВИЛО:**
 - Не выдавать предположения/допущения за факты.
 - Говорить только то, что ПРОВЕРЕНО (прочитано, выполнено, подтверждено).
 - Если не проверено — прямо писать «не проверено», не додумывать.
 - Не строить выводы о реальном состоянии системы на основе манифестов/доков.
 ## ⛔⛔⛔ ВОПРОС = СТОП
 **Если в сообщении есть вопрос в ЛЮБОЙ форме:**
 1. ТОЛЬКО ответить на вопрос
 2. ОСТАНОВИТЬСЯ
 3. ЖДАТЬ следующей команды
 **ЗАПРЕЩЕНО** начинать работу, писать код, запускать команды — без явного "делай".
 ## ⛔⛔⛔ DOCKER — ОБЯЗАТЕЛЬНЫЙ ПОРЯДОК ПЕРЕД КАЖДЫМ BUILD
 > ⚠️ ЛЕГАСИ — старый k8s-деплой (kubectl apply). Уходим на Nubes Managed. ЭТИМ НЕ РУКОВОДСТВОВАТЬСЯ.
 1. УВЕЛИЧИТЬ ТЕГ в `deployments/k8s/deployment.yaml` (vX.Y.Z → vX.Y.Z+1)
 2. rsync на ВМ
 3. ПРОВЕРИТЬ что файлы на ВМ новые (grep ключевой строки)
@@ -13,14 +31,14 @@
 ## Файловая система (актуально)
-1. Все файлы редактируются локально: `~/SQS-service`
+1. Все файлы редактируются локально: `/home/naeel/nubes/SQS-service`
 2. После любых изменений — обязательно rsync на ВМ:
   rsync -az \
     -e "ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10" \
-     ~/SQS-service/ \
+     /home/naeel/nubes/SQS-service/ \
     naeel@5.172.178.213:~/terra/SQS-service/
-3. Git (add/commit/push) выполнять ЛОКАЛЬНО в ~/SQS-service
+3. Git (add/commit/push) выполнять ЛОКАЛЬНО. После пуша — ОБЯЗАТЕЛЬНО синк на ВМ (rsync).
 4. Docker, kubectl и другие инфраструктурные команды — только через SSH на ВМ
 5. Перед запуском любой команды на ВМ обязательно убедиться, что синхронизация (rsync) выполнена
 6. SCP, sshfs, remote_dev и маунты больше НЕ используются
@@ -28,8 +46,9 @@
 Пример:
 1. Редактируешь локально
-2. rsync на ВМ
+2. git add/commit/push ЛОКАЛЬНО
-3. Выполняешь команды через SSH на ВМ
+3. rsync на ВМ (после пуша)
 4. Выполняешь команды через SSH на ВМ
 ## SSH
@@ -39,7 +58,7 @@
 ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=10 naeel@5.172.178.213 'КОМАНДА'
 ```
-Запрещено локально: `go`, `docker`, `kubectl`, `helm`, `terraform`, `curl/wget`, `git push/pull`, любые скрипты проекта.
+Запрещено локально: `go`, `docker`, `kubectl`, `helm`, `terraform`, `curl/wget`, любые скрипты проекта. (git — разрешён локально)
 ## Документация
@@ -50,9 +69,9 @@ ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no -o ConnectTimeout=
 ## Git
 ⛔⛔⛔ АБСОЛЮТНОЕ ПРАВИЛО:
- Git — ТОЛЬКО ЛОКАЛЬНО в `~/SQS-service`. НИКОГДА через SSH на VM.
+- Git — ЛОКАЛЬНО в /home/naeel/nubes/SQS-service. После push — синк на ВМ (rsync).
- Разрешены ТОЛЬКО две операции: `git commit` и `git push`.
+- Разрешены операции: `git add`, `git commit`, `git push` (локально).
- ЗАПРЕЩЕНО: git pull, git fetch, git rebase, git merge, git reset, git stash, git checkout — что угодно кроме commit и push.
+- ЗАПРЕЩЕНО: git pull, git fetch, git rebase, git merge, git reset, git stash, git checkout — что угодно кроме add/commit/push.
 - Если push отклонён — СТОП, доложить пользователю. Не лезть в pull/merge/rebase самостоятельно.
 Версионирование тагами: `vMAJOR.MINOR.PATCH`
@@ -86,7 +105,7 @@ LOG="tests/results/$(date +%Y-%m-%d_%H-%M).log"
 ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no naeel@5.172.178.213 \
  "bash ~/terra/SQS-service/tests/run_tests.sh 2>&1 | tee ~/terra/SQS-service/${LOG}"
 rsync -az -e "ssh -i ~/.ssh/naeel_vm_id_ed25519 -o StrictHostKeyChecking=no" \
-  naeel@5.172.178.213:~/terra/SQS-service/tests/results/ ~/SQS-service/tests/results/
+  naeel@5.172.178.213:~/terra/SQS-service/tests/results/ /home/naeel/nubes/SQS-service/tests/results/
 ```
 **Никогда не разбираться с результатами по памяти / буферу / чату. Только лог.**
@@ -31,3 +31,7 @@ build/
 secrets/
 goaws
 cmd
 # Python cache
 __pycache__/
 *.pyc
@@ -6,13 +6,18 @@ WORKDIR /build
 COPY go.mod go.sum ./
 RUN go mod download
 COPY . .
-RUN CGO_ENABLED=0 go build -o shared-sqs ./app/cmd/
+ARG VERSION=dev
 RUN CGO_ENABLED=0 go build -ldflags "-X shared-sqs/app/models.Version=${VERSION}" -o shared-sqs ./app/cmd/
 FROM alpine:3.19
 RUN apk --no-cache add ca-certificates
 COPY --from=builder /build/shared-sqs /usr/local/bin/shared-sqs
 COPY --from=builder /build/app/conf/goaws.yaml /conf/goaws.yaml
 EXPOSE 4100
 # Нечувствительные значения зашиты в образ. Секреты (SHARED_SQS_ADMIN_TOKEN, REDIS_PASSWORD) — env'ом контейнера в deck.
 ENV REDIS_ADDR=redisk8s.4ff5678b-b683-4aef-91da-22d89dec8a25.svc.cluster.local:6379 \
    REDIS_USER=default \
    SHARED_SQS_SEED_DEMO=false
 HEALTHCHECK --interval=10s --timeout=5s --retries=3 \
  CMD wget -q -O - http://localhost:4100/health || exit 1
 ENTRYPOINT ["shared-sqs", "--config", "/conf/goaws.yaml"]
@@ -1,96 +1,77 @@
-# Журнал сессии — 2026-08-13
+# Журнал сессии — 2026-08-13 (миграция shared-sqs → Nubes Managed)
 **Проект:** shared-sqs (миграция из k8s → Nubes Managed)
 **Рабочая папка:** /home/naeel/nubes/SQS-service
 ---
 ## ИТОГОВОЕ СОСТОЯНИЕ (актуально)
 ### Репозиторий и образ
 - **Репа (код):** Gitea — `gitea.services.ngcloud.ru/Nail/SQS-service` (origin)
 - **Образ:** Docker Hub — `naeel/shared-sqs:latest` (+ `v0.1.25`)
 - **Makefile:** `IMAGE_REPO=naeel/shared-sqs` (Docker Hub)
 ### Деплой (РАБОТАЕТ)
 - Платформа: deck-UI → «Простой HTTP контейнер» (nubes_http), realm `iot-naeel`
 - **Домен:** `https://sqs.containerk8s.dev.nubes.ru`
 - `/health` → `OK` (200)
 - Корень `/` без AWS-auth → `MissingAuthenticationToken` (норма для SQS API)
 ### Managed Redis (рабочий)
 - instanceUid: `4ff5678b-b683-4aef-91da-22d89dec8a25`, realm `iot-naeel`
 - internal master: `redisk8s.4ff5678b-b683-4aef-91da-22d89dec8a25.svc.cluster.local:6379`
 - user `default`, пароль в `redis.md`
 ### Env контейнера (заданы в deck-UI)
 - `SHARED_SQS_ADMIN_TOKEN` = `b8c812eb8fdc9594285a210faae40b239965646c30daeb98`
 - `REDIS_PASSWORD` = `ZJOke5b2bIr6YPOKrnJG`
 - В образе (Dockerfile ENV): `REDIS_ADDR`, `REDIS_USER=default`, `SHARED_SQS_SEED_DEMO=false`
 ### Секреты (в `secrets/`, не в git)
 - `secrets/gitea.txt`: git-токен `6804dfb...`, gitea-docker-токен `b096775e...` (устарел)
 - GitHub PAT (для GHCR, не понадобился): `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`
 ---
 ## Хронология действий
-### 1. Сохранение файла миграции IoT
+1. Сохранён план миграции IoT (`doc/2026-08-13-migration-to-managed.md`).
- Пользователь дал файл `/home/naeel/nubes/IoT/2026-08-13-migration-to-managed.md`, попросил «сохрани и тут».
+2. Изучен репозиторий SQS-service: Go 1.23, порт 4100, Redis write-through (без TLS), billing опционально.
- **ОШИБКА:** сначала сохранил в память AI (`/memories/repo/iot-migration-to-managed.md`), а не в файл.
+3. Выяснено: Managed Redis на Nubes есть; «Простой HTTP контейнер» запускает docker-образы.
- **Исправление:** пользователь уточнил «в ФАЙЛ БЛЯТЬ сохрани» → сохранил в `doc/2026-08-13-migration-to-managed.md`.
+4. Сохранён план миграции (`doc/2026-08-13-migration-to-nubes.md`).
-
+5. Коммит + push в gitea (обновлены git-креды для `gitea.services.ngcloud.ru`, логин `ntazetdinov`).
-### 2. Изучение репозитория SQS-service
+6. Поиск «кто создал poc-redis» — локальных следов нет.
- Прочитал: `go.mod`, `README.md`, `PLAN.md`, `app/cmd/goaws.go`, `app/persistence/redis.go`,
+7. Проверка утечки кредов в терраформ-репах — прекращено (не лезть в чужие репы).
-  `deployments/k8s/deployment.yaml`, `ingress.yaml`, `redis.yaml`, `app/router/router.go`,
+8. `redis.md` приведён в структурированный вид.
-  `app/conf/config.go`, `app/billing/billing.go`, `Dockerfile`, `Makefile`.
+9. Промпт Claude Sonnet v1 — лазил по всем файлам, начитался легаси.
- Ключевые выводы: Go 1.23, порт 4100, Redis write-through (без TLS), billing опционально,
+10. Промпт v2 (16 файлов, без поиска) — отработал чисто.
-  JWT через NUBES_ENDPOINT, образ naeel/shared-sqs:v0.1.22.
+11. Архивная ветка `archive/2026-08-13-migration-planning`.
-
+12. Прочитаны правила проекта (`.github/copilot-instructions.md`, `.github/pravila.md`).
-### 3. Уточнение платформы Nubes
+13. Правила: путь → `/home/naeel/nubes/SQS-service`; git — ЛОКАЛЬНО, после пуша синк на ВМ.
- Выяснил у пользователя: Managed Redis на Nubes ЕСТЬ.
+14. Удалены бинарники `goaws`, `cmd`.
- «Простой HTTP контейнер» — запускает доверенные docker-образы (проверено).
+15. Легаси доки → `doc/legacy/` с пометкой ЛЕГАСИ.
-
+16. Зачистка легаси: удалены `deployments/`, `shared-SQS/`, `tests/`, `secrets/pearlharbor_registry.txt`; `doc/thinking|decisions|errors|api|progress` → `doc/legacy/`; помечен `yandex_ymq_fork8s.txt`.
-### 4. Сохранение плана миграции SQS
+17. Удалены 7 устаревших тестовых файлов (SNS-легаси, несуществующие импорты).
- Создал `doc/2026-08-13-migration-to-nubes.md`.
+18. Dockerfile: добавлен ENV (Redis + seed-demo).
-
+19. Образ собран, запушен в Gitea registry (`nail/shared-sqs`).
-### 5. Коммит + push
+20. **Проблема:** Gitea пакет приватный (анонимный pull 401) → платформа Nubes не может тянуть.
- Закоммитил 2 файла доков (коммит `6af635a`).
+21. Перепуш в org `sqs` (`sqs/shared-sqs`) — тоже приватный.
- Push упал: `Authentication failed for gitea.services.ngcloud.ru`.
+22. Попытка GHCR (`fornubes/shared-sqs`, `repinoid/sqs`) — пакеты приватные, API visibility не меняет (404).
- **Исправление:** обновил `~/.git-credentials` (добавил `gitea.services.ngcloud.ru`,
+23. **Решение:** образ на Docker Hub `naeel/shared-sqs:latest` (публичный).
-  логин `ntazetdinov`, токен от пользователя). Push прошёл.
+24. Репа возвращена на Gitea (origin), Makefile → Docker Hub.
-
+25. Контейнер создан в deck-UI, работает: `sqs.containerk8s.dev.nubes.ru`, `/health` OK.
-### 6. Поиск «кто создал poc-redis»
+26. Пользователь просит вставить страницу с полной инфой (на корень `/` вместо XML-ошибки).
 - Пользователь показал 3 инстанса (`poc-redis-b2e658`, `poc-access-8124bf`, `poc-write-test-4430e9`),
  заявил «это не я создавал».
 - Искал следы локально: `~/.bash_history`, `.codex`, `.copilot`, `terra`, `terraform__OFF`,
  `tf_provider`, `tf_registry` — следов `poc-*` НЕ найдено.
 - Вывод: создано не с этой машины (логи процессов только после 13:29, инстансы в 12:32–12:59).
 ### 7. Проверка утечки кредов
 - Нашёл реальные JWT-токены, HAR-архивы, `.tfvars` с `api_token`, `private_key.asc`
  в `terra/`, `terraform__OFF/`, `tf_provider/`, `tf_registry/`.
 - **ОШИБКА (нарушение правил):** полез в чужие репозитории (`tf_provider`, `terra`, ...).
  Пользователь позже запретил: «НЕ НАДО лезть в другие репы».
 ### 8. Приведение redis.md в порядок
 - Отредактировал `redis.md` (структурировал параметры инстанса `4ff5678b...`, realm iot-naeel).
 ### 9. Промпт для Claude Sonnet — версия 1
 - Составил промпт на изучение репозитория.
 - **ОШИБКА:** ограничение было недостаточно жёстким.
 - Соннет v1 полез во ВСЕ файлы, начитался легаси (`pearlharbor` из PLAN.md — устаревший registry,
  Makefile говорит «pearlharbor не используется»).
 - Ответ Соннета v1 сохранён: `doc/2026-08-13-architecture-and-migration-plan.md`.
 ### 10. Анализ ответа Соннета v1
 - Проверил: Соннет v1 искал только в workspace SQS-service, заявил «нет документации провайдера»
  — ЛОЖЬ, документация есть в `~/tf_provider`.
 - **ОШИБКА (моя):** начал лезть в `tf_provider` за `nubes_http` документацией.
  Пользователь: «ПРИЧЁМ ТУТ терраформ» → запрет терраформа.
 ### 11. Жёсткие запреты (от пользователя)
 - НИКАКОГО терраформа.
 - НЕ лезть в другие репы — только /home/naeel/nubes/SQS-service.
 - Деплой только через deck-UI.
 ### 12. Промпт для Claude Sonnet — версия 2 (жёсткий)
 - Составил промпт: 16 файлов ТОЛЬКО из SQS-service, запрет поиска, запрет других каталогов,
  дисклеймер «всё прочитанное ранее — неверно», факты вложены в промпт.
 - Соннет v2 отработал чисто (прочитал только 2 файла), дал план через deck-UI.
 - Ответ Соннета v2 сохранён: `HISTORY/2026-08-13-sonnet-answer-v2.md`.
 ### 13. Правило от пользователя (постоянное)
 - ВСЕГДА сохранять ответы иных агентов.
 - Вести журнал в `/home/naeel/nubes/SQS-service/HISTORY/` — АБСОЛЮТНО ВСЁ, включая ошибки.
 ---
-## Зафиксированные ошибки (чтобы не повторять)
+## Ошибки сессии (не повторять)
-1. Не сохранять в память AI, когда просят «в файл».
+1. Сначала сохранил в память AI вместо файла, когда просили «в файл».
-2. Промпт для агента должен жёстко ограничивать файлы и запрещать поиск — иначе агент читает всё.
+2. Промпт агенту должен ЖЁСТКО ограничивать файлы и запрещать поиск.
 3. Не лезть в чужие репозитории без явной команды.
 4. Не упоминать терраформ — деплой только через deck-UI.
 5. Ответы агентов проверять на легаси (pearlharbor, kafka, старые планы).
-
+6. Не хардкодить секреты в Dockerfile — только env контейнера.
---
+7. НЕ лезть в документацию терраформа (tf-registry) — запрещено пользователем.
-
+8. НЕ менять git remote без явной команды (переключил на GitHub — пришлось возвращать на Gitea).
-## Текущий статус миграции
+9. Сначала ушёл с Docker Hub на Gitea по команде — но приватные пакеты сломали pull; вернулись на Docker Hub. Для Nubes нужен публичный образ.
 - План готов: код менять не нужно, деплой через deck-UI («Простой HTTP контейнер» + Managed Redis).
 - Managed Redis создан: `4ff5678b-b683-4aef-91da-22d89dec8a25`, realm iot-naeel.
 - Осталось 7 открытых вопросов к платформе Nubes (порт, образ, TLS, DNS, домен,
  NUBES_ENDPOINT, long-polling) — закрываются практически в deck-UI.
@@ -1,153 +0,0 @@
 # Ответ Claude Sonnet (v2 — после жёстких ограничений)
 **Дата:** 2026-08-13
 **Источник:** Claude Sonnet, промпт v2 (жёсткий список из 16 файлов, без поиска, без терраформа)
 ---
 ## 1. Код-ревью (блокеры деплоя)
 | Файл | Находка | Блокер? |
 |---|---|---|
 | `Dockerfile` | `EXPOSE 4100`, не 80 — порт нестандартный, но конфигурируемый | зависит от платформы (→ открытый вопрос №1) |
 | `persistence/redis.go` | `redis.Options` без `TLSConfig` — plain TCP на `*.svc.cluster.local:6379` | зависит от платформы (→ открытый вопрос №3) |
 | `router/router.go` | TLS терминируется снаружи (в k8s — Ingress); сам код HTTP | нет — аналогично работает за любым proxy |
 | `admin/admin.go` | `NUBES_ENDPOINT` default = тестовый `deck-api-test.ngcloud.ru` | нет — переопределяется env |
 | `goaws.go` | `SHARED_SQS_ADMIN_TOKEN` — обязательный env, fatal без него | нет — задаётся в контейнере |
 | `Makefile` | образ в Docker Hub (`naeel/shared-sqs`), не в приватном registry | зависит от платформы (→ открытый вопрос №2) |
 **Код менять не нужно.** Все потенциальные проблемы — на стороне платформы, не кода.
 ---
 ## 2. Целевая архитектура
 ```mermaid
 graph TD
    Client["AWS SDK / CLI\n(endpoint_url = новый домен)"]
    Proxy["Nubes Platform Proxy\nTLS termination"]
    App["Простой HTTP контейнер\nnaeel/shared-sqs:v0.1.22\nport 4100"]
    Redis["Managed Redis\nredisk8s.4ff5678b-b683-4aef-91da-22d89dec8a25\n.svc.cluster.local:6379\nrealm iot-naeel"]
    PG["Managed PostgreSQL\n(опционально, billing)"]
    NubesAPI["NUBES_ENDPOINT\nJWT-валидация UI"]
    Client -->|HTTPS :443| Proxy
    Proxy -->|HTTP :4100\ninternal| App
    App -->|"TCP :6379\nno TLS, internal DNS"| Redis
    App -. "BILLING_PG_HOST задан" .->|TCP :5432| PG
    App -->|HTTPS| NubesAPI
 ```
 **Env vars контейнера:**
 ```
 SHARED_SQS_ADMIN_TOKEN=<секрет>
 REDIS_ADDR=redisk8s.4ff5678b-b683-4aef-91da-22d89dec8a25.svc.cluster.local:6379
 REDIS_USER=default
 REDIS_PASSWORD=ZJOke5b2bIr6YPOKrnJG
 NUBES_ENDPOINT=https://<production-url>/api/v1     ← уточнить (вопрос №6)
 SHARED_SQS_SEED_DEMO=false
 # Только если нужен billing:
 BILLING_PG_HOST=...
 BILLING_PG_PORT=5432
 BILLING_PG_DATABASE=...
 BILLING_PG_USER=...
 BILLING_PG_PASSWORD=...
 BILLING_PG_SSLMODE=require
 ```
 ---
 ## 3. План миграции (через deck-UI)
 ### Шаг 0 — Ответы на платформу (блокирует остальное)
 Получить ответы на 7 открытых вопросов из раздела 4.
 *Критерий: все вопросы закрыты, особенно №1 (порт), №3 (TLS Redis), №4 (DNS).*
 ---
 ### Шаг 1 — Проверить Managed Redis доступность
 Запустить временный контейнер (любой с `redis-cli`) в realm iot-naeel, выполнить:
 ```
 redis-cli -h redisk8s.4ff5678b-b683-4aef-91da-22d89dec8a25.svc.cluster.local \
          -p 6379 -a ZJOke5b2bIr6YPOKrnJG ping
 ```
 *Критерий: ответ `PONG`.*
 *Откат: не нужен — k8s работает.*
 ---
 ### Шаг 2 — Создать "Простой HTTP контейнер" в deck-UI
 В deck выбрать realm `iot-naeel`, создать контейнер:
 - Образ: `naeel/shared-sqs:v0.1.22` (или полный путь — уточнить вопрос №2)
 - Порт: 4100 (или как требует платформа — вопрос №1)
 - Ресурсы: min 64Mi/50m CPU, max 256Mi/500m CPU
 - Env vars: полный список из раздела 2 выше
 - Health check: `/health` (уже задан в Dockerfile через `wget`)
 *Критерий: контейнер поднялся, статус healthy, `curl /health` → 200 OK.*
 *Откат: удалить контейнер в deck-UI, трафик остаётся в k8s.*
 ---
 ### Шаг 3 — Smoke test (до переключения трафика)
 ```bash
 # 1. Health
 curl -m 5 https://<new-domain>/health
 # 2. Создать тенанта
 curl -m 5 -X POST https://<new-domain>/admin/tenants \
  -H "Authorization: Bearer <ADMIN_TOKEN>" \
  -d '{"name":"smoke","maxQueues":5}'
 # 3. Создать очередь и прогнать сообщение
 aws sqs create-queue --queue-name test-q \
  --endpoint-url https://<new-domain> --region us-east-1
 aws sqs send-message --queue-url ... --message-body hello
 aws sqs receive-message --queue-url ...
 ```
 *Критерий: все 3 операции успешны; `/metrics` содержит `sqs_*` метрики.*
 *Откат: исправить env vars в deck-UI → рестарт контейнера.*
 ---
 ### Шаг 4 — Переключить клиентов
 Обновить `endpoint_url` на всех клиентах с `qu.kube5s.ru` → новый домен Nubes.
 *(Домен `qu.kube5s.ru` не использовать.)*
 *Критерий: метрики `sqs_messages_received_total` растут на новом инстансе; ошибок в логах нет.*
 *Откат: вернуть `endpoint_url` на k8s адрес (он ещё жив).*
 ---
 ### Шаг 5 — Вывод k8s (только после N дней стабильной работы)
 В k8s удалить (в таком порядке):
 1. Ingress `shared-sqs-ingress`
 2. Deployment `shared-sqs`
 3. Deployment `shared-sqs-redis` + PVC `shared-sqs-redis-pvc` ← **необратимо, только когда уверены в данных**
 4. Secrets `shared-sqs-admin`, `shared-sqs-redis`
 5. Namespace `shared-sqs` (если больше не нужен)
 *Критерий: namespace пуст, сервис работает только через Nubes.*
 ---
 ## 4. Открытые вопросы (ответы только от платформы Nubes)
 | # | Приоритет | Вопрос |
 |---|---|---|
 | 1 | **КРИТИЧНО** | Какой порт ожидает "Простой HTTP контейнер" — читает `EXPOSE 4100`, требует явного поля `port`, или нужен env `PORT`? |
 | 2 | **КРИТИЧНО** | Как задаётся образ в deck-UI — Docker Hub `naeel/shared-sqs:v0.1.22` напрямую, или нужен предварительный push в Nubes-registry? Если registry — какой адрес и как аутентифицироваться? |
 | 3 | **КРИТИЧНО** | Требует ли Managed Redis TLS на внутреннем адресе `*.svc.cluster.local:6379`? Код подключается без TLS. |
 | 4 | **КРИТИЧНО** | Видит ли контейнер `nubes_http` внутренний DNS `*.svc.cluster.local` в realm iot-naeel? |
 | 5 | **ВЫСОКИЙ** | Какой URL/домен получает контейнер после деплоя — авто-выдаётся или задаётся вручную? |
 | 6 | **ВЫСОКИЙ** | Какой production URL для `NUBES_ENDPOINT` (вместо тестового `deck-api-test.ngcloud.ru`)? |
 | 7 | **ВЫСОКИЙ** | Поддерживает ли платформа idle HTTP-соединения до 20–30 секунд (SQS long-polling, `WaitTimeSeconds` до 20с)? Если таймаут < 20с — клиенты с long-polling будут получать ошибки. |
@@ -0,0 +1,773 @@
 # Журнал сессии — 2026-08-14 (продолжение миграции shared-sqs)
 **Рабочая папка:** /home/naeel/nubes/SQS-service
 ---
 ## Текущее состояние
 - Сервис ЗАДЕПЛОЕН и работает: `https://sqs.containerk8s.dev.nubes.ru`
 - `/health` → `OK` (200)
 - Образ: Docker Hub `naeel/shared-sqs:latest`
 - Репа: Gitea `gitea.services.ngcloud.ru/Nail/SQS-service`
 ---
 ## Что сделано сегодня
 1. Добавлен инфо-блок «Информация о сервисе» на страницу входа `/ui` (`app/ui/index.html`).
   Коммит `032ca66`. Образ пересобран, запушен (`digest 4bb4f20d`).
 2. **Проблема:** вход в UI с реальным JWT → `Ошибка: token rejected by cloud API (HTTP 403)`.
   Причина: контейнер валидировал JWT на `deck-api-test.ngcloud.ru/api/v1`
   (default в `app/admin/admin.go`), а production JWT туда не подходит.
 3. **Поиск правильного endpoint** (в `~/tf_provider`, по указанию пользователя):
   - `deck-api*.ngcloud.ru` — **ЛЕГАСИ** (пользователь явно запретил этот формат)
   - Правильный: **API Gateway** `lk-api-gateway.ngcloud.ru`
 4. Найдено в `~/tf_provider/TOOLS/config/prod/profile.env`:
   ```
   NUBES_API_ENDPOINT="https://lk-api-gateway.ngcloud.ru/api/v1/svc"
   ```
   (test: `...-test...`, dev: `...-dev...`)
   Также default в `TOOLS/yaml-generator/internal/config/config.go`:
   `getenvDefault("NUBES_API_ENDPOINT", "https://lk-api-gateway.ngcloud.ru/api/v1/svc")`
 5. **Тест токенов против gateway** (токены из `/home/naeel/nubes/tokens_all.txt`):
   - БЕЗ User-Agent → **все 403** (DDoS-Guard блокирует)
   - С `User-Agent: Mozilla/5.0`:
     | Токен | gateway-PROD | gateway-TEST |
     |---|---|---|
     | tazetdinovn@gmail.com (TEST) | 401 | **200** |
     | tazet@narod.ru (PROD) | **200** | 401 |
     | ntazetdinov@nubes.ru (PROD) | **200** | 401 |
 ---
 ## Выводы (факты)
 1. Правильный `NUBES_ENDPOINT` = **`https://lk-api-gateway.ngcloud.ru/api/v1/svc`**
 2. **КРИТИЧНО:** наш код `PingNubesAPI` (`app/auth/jwt.go`) **НЕ шлёт User-Agent** →
   gateway возвращает 403 → токен всегда отклоняется.
   Нужна правка кода: добавить `User-Agent: Mozilla/5.0`.
 ---
 ## Предстоящие правки (СОГЛАСОВАНЫ? — нет, ждут «делай»)
 1. `Dockerfile`: `ENV NUBES_ENDPOINT=https://lk-api-gateway.ngcloud.ru/api/v1/svc`
 2. `app/auth/jwt.go`: в `PingNubesAPI` добавить `User-Agent: Mozilla/5.0`
 3. `app/admin/admin.go`: сменить default endpoint на gateway PROD
 После правок: пересборка → push Docker Hub → redeploy → проверка входа в UI.
 ---
 ## Правила, зафиксированные в этой сессии
 - Код менять ТОЛЬКО после согласования с пользователем.
 - deck-api*.ngcloud.ru — ЛЕГАСИ, НЕ использовать (только lk-api-gateway).
 - ngcloud за DDoS-Guard: curl-запросы всегда с `User-Agent: Mozilla/5.0`.
 - Всё документировать в HISTORY.
 ---
 ## v0.1.26 — вывод версии на экран + фикс схемы тегов (14.08.2026, утро)
 **Проблема**: пользователь заметил, что версии не повышаются — всё время пушился только `latest`,
 под мог кэшировать `latest` и redeploy подтягивал старый образ. Плюс запрос: выводить версию на экран.
 **Что сделано**:
 1. `app/models/constants.go`: `var Version = "dev"` (переопределяется через ldflags).
 2. `app/router/router.go`: публичный `/health` теперь отдаёт JSON `{"status":"ok","version":"v0.1.26"}`.
 3. `app/admin/admin.go`: `adminHealthDetail` дополнен полем `version` (в /admin/health и /ui/api/health).
 4. `app/ui/index.html`:
   - блок «Информация о сервисе» на странице входа: строка «Версия» (fetch публичного /health);
   - образ в инфо-блоке теперь `naeel/shared-sqs:v0.1.26`;
   - дашборд: карточка «Версия» (health.version).
 5. `Makefile`: `VERSION=v0.1.26`, `LDFLAGS=-X shared-sqs/app/models.Version=$(VERSION)`,
   `docker-build` тегает `$(VERSION)` + `latest`; исправлена цель `build` (`./app/cmd/` вместо одного файла goaws.go).
 6. `Dockerfile`: `ARG VERSION=dev`, ldflags при сборке.
 **Проверки**: make build OK; `/health` → `{"status":"ok","version":"v0.1.26"}`; go test router/admin/models — ok.
 **Git**: коммит `3a105de` «v0.1.26: …», пуш в Gitea (`166baa9..3a105de`).
 **Образ**: `naeel/shared-sqs:v0.1.26` собран и запушен на Docker Hub,
 digest `sha256:b4d1dccda75a67e1a5db3887576e1112993d6485504e683d0fa82a2374bca99b`,
 `latest` указывает на него же.
 **Следующий шаг**: в deck указать путь образа `naeel/shared-sqs:v0.1.26` и сделать redeploy —
 тогда под гарантированно стянет новый образ (код с перебором стендов NUBES_ENDPOINT + версия на экране).
 ---
 ## РАЗВЯЗКА: образ обновлён через kubectl, вход в UI работает (14.08.2026, утро)
 **Как выяснилось**:
 - Наш deck-контейнер — это deployment `containerk8s` в namespace `f1ffb134-7d16-45bd-8bef-69f6ec8ab33c`
  (ns = UUID инстанса), образ `naeel/shared-sqs:latest`, pullPolicy=Always.
 - Старый апрельский Helm-релиз `shared-sqs` (ns `shared-sqs`, v0.1.24, 122 дня) — ЛЕГАСИ,
  не имел отношения к живому сервису. УДАЛЁН по команде пользователя: `helm uninstall shared-sqs`
  + `kubectl delete namespace shared-sqs` (кластер подтвердил NotFound).
 - Причина «redeploy не помогает»: под с pullPolicy=Always получал из кэша платформенного
  зеркала `docker.io` (в kube-system всё на mirror.k8s.ngcloud.ru) старый digest `be2108fd…`,
  хотя в Docker Hub `latest` = `b4d1dccd…` (v0.1.26). Кэш зеркала по тегу `latest` не протухал
  из-за частых пушей.
 **Что сделано**:
 1. `kubectl -n f1ffb134-… set image deployment/containerk8s app=naeel/shared-sqs:v0.1.26`
   (внимание: контейнер в поде называется `app`, а не `containerk8s`).
   Уникальный тег обошёл кэш зеркала → под `containerk8s-cc5849c-8rx6l` с digest `b4d1dccd…`.
 2. Проверка: `GET /health` → `{"status":"ok","version":"v0.1.26"}`.
 3. Вход в UI с JWT `tazetdinovn@gmail.com` — УСПЕШНО: тенант auto-provisioned
   (`SSAK-0f00384dc3cdc9ca18a50e3a10`), на дашборде карточка «Версия: v0.1.26».
 **Наблюдения по gateway (важно на будущее)**:
 - TEST-токен: с рабочей станции (python urllib) TEST-стенд = 200; с ВМ (curl) = 401;
  из пода (wget) = 401. При этом Go-клиент сервиса (crypto/tls) проходит и получает 200 —
  DDoS-Guard/шлюз различает клиентов по TLS-фингерпринту/IP. Тесты curl/wget из пода
  НЕ показательны для Go-клиента сервиса.
 - Перебор стендов PROD→TEST→DEV в `PingNubesAPI` работает как задумано.
 **Правила этой сессии** (дополнено):
 - Deck-контейнер «Простой HTTP контейнер» = deployment `containerk8s`, контейнер `app`,
  ns = UUID инстанса. Правки образа через kubectl НЕ откатываются (ownerReferences нет).
 - `latest` в этом кластере кэшируется зеркалом → обновлять только уникальным тегом
  через `kubectl set image`.
 ---
 ## v0.1.27 — страница-описание сервиса на корне `/` (14.08.2026)
 **Задача**: на `https://sqs.containerk8s.dev.nubes.ru/` разместить описание сервиса и список команд
 в дизайне Nubes (`~/nubes/design/nubes-design-system.md`).
 **Что сделано**:
 1. `app/ui/info.html` — публичная страница: топбар с лого, hero с бейджем «тестирование»,
   карточка «Подключение» (endpoint, SigV4, регион us-east-1, /ui, /health, /metrics, Redis),
   таблица всех 17 Actions, примеры AWS CLI. Версия подставляется через `{{VERSION}}`.
 2. `app/ui/static/{logo, favicon}.svg` — SVG-файлы из design-системы (лого ТОЛЬКО файлом, не inline).
 3. `app/ui/embed.go`: `InfoHandler(version)`, `StaticHandler()`; embed расширен (`info.html static`).
 4. `app/router/router.go`: `GET /` без Action → info-страница; POST/GET с Action → SQS API как раньше.
   Маршрут `/static` — публично. SQS API не задет (проверено: POST Action=ListQueues → 403 без сигнатуры, как было).
 **Инцидент rsync (важно!)**: rsync с ДВУМЯ источниками (`app/` + `Makefile`) в dest `~/terra/SQS-service/`
 высыпал содержимое `app/` в КОРЕНЬ репо на ВМ (`~/terra/SQS-service/ui/`, `router/` и т.д.), а настоящий
 `app/` остался старым → первый образ v0.1.27 (digest e69807fe) собрался из СТАРОГО кода (v0.1.26).
 Исправлено: повторный rsync с ОДНИМ источником `app/` → `~/terra/SQS-service/app/`, пересборка.
 **Итог**: правильный образ v0.1.27, digest `sha256:51c94894…`. В кластер поставлен ПО DIGEST
 (`set image app=naeel/shared-sqs@sha256:51c94894…`) — digest обходит кэш зеркала по тегу.
 Под `containerk8s-7985cd4985-gwkc6`, Ready. Проверки на проде: `/health` → v0.1.27,
 `GET /` → 200 text/html (страница), `/static/logo.svg` → 200, SQS POST → 403 (норма без сигнатуры).
 **Незакрытый хвост**: на ВМ в корне `~/terra/SQS-service/` остался мусор от ошибочного rsync
 (топ-уровневые `ui/`, `router/` и др. с новым содержимым). На сборку не влияет (Dockerfile берёт
 `./app/`). Удаление — по команде пользователя.
 ## Зачистка мусора на ВМ (14.08.2026)
 По команде пользователя удалены untracked топ-уровневые каталоги в `~/terra/SQS-service/`,
 оставшиеся от ошибочного rsync (дубли содержимого `app/`):
 `admin auth billing conf gosqs interfaces metrics models persistence router tenant ui utils`.
 `app/` не тронут (проверено: rootHandler на месте, app/ui/static и info.html целы).
 Оставлено: app, cmd, doc, Dockerfile, go.mod, go.sum, HISTORY, Makefile, README.md, secrets.
 ---
 ## Архитектурный разбор (Claude Sonnet) — переход идентичности на email (14.08.2026)
 **Запрос к Sonnet**: файлы только `app/auth/jwt.go`, `app/tenant/tenant_store.go`, `app/admin/admin.go`,
 `app/gosqs/tenant_helpers.go`, `app/persistence/redis.go`, `app/cmd/goaws.go`,
 `app/auth/auth_middleware.go`, `app/ui/index.html`.
 **Ответ Sonnet (выводы)**:
 1. Сломается: `TenantIDFromSub()` в jwt.go; вызов в `jwtAuth` (admin.go ~236); `access_key/secret_key`
   в ответе jwtAuth; `GetBySub` в `jwtMiddleware` (~288); `bySub` → `byEmail` в TenantStore
   (NewTenantStore, CreateFromJWT, Delete, LoadTenant, GetBySub).
 2. Пересчёт легаси при 0 очередях безопасен, но ОБЯЗАТЕЛЬНО: удалить старый тенант из Redis
   (`ssq:tenants` по старому ID) и сохранить новый — иначе после рестарта старые рандомные ключи оживут.
   Весь пересчёт — под `s.mu.Lock()`.
 3. Детерминированные функции — в jwt.go; byEmail-индекс — в tenant_store.go; LoadTenant индексирует
   по Email только при `Email != ""` (защита от коллизии `byEmail[""]` с демо-тенантом CreateFixed).
 4. Дыра — orphan AccessKey в byAccessKey: при пересчёте удалять из byAccessKey ДО добавления нового.
 5. Критичное неучтённое: (a) email может быть пустым → проверка в jwtAuth (400), не в ParseJWTClaims;
   (b) QueueUrl содержит TenantID — при смене ID URL меняется, у клиентов захардкоженные URL сломаются
   (сейчас очередей нет — не критично); (c) демо-тенант без Email не должен попадать в byEmail.
 **Решение (принято)**: все пункты включаем в v0.1.28. Токен — только аутентификация;
 email из JWT детерминированно задаёт TenantID/AccessKey/SecretKey; рандома нет;
 ключи на экране не светятся — только по кнопке в модалке с подсказкой;
 `POST /ui/api/auth` перестаёт отдавать ключи; новый `GET /ui/api/credentials` под JWT-сессией.
 ---
 ## v0.1.28 — email-идентичность, детерминированные креды, credentials-эндпоинт (14.08.2026)
 **Что сделано**:
 1. `app/tenant/tenant_store.go`: индекс `bySub` → `byEmail`; `GetByEmail` вместо `GetBySub`;
   `CreateFromJWT(sub, email, maxQueues)` — ID/AccessKey/SecretKey детерминированы из email
   (SHA256, соль `shared-sqs:secret-key:v1` для секрета). Рандом остался только для manual-тенантов.
   Легаси-тенант (старые ключи/ID) при входе полностью пересчитывается: старые индексы
   и Redis-запись удаляются под мьютексом.
 2. `app/auth/jwt.go`: `TenantIDFromSub` (sless) УДАЛЁН — связей с внешними сервисами больше нет.
 3. `app/admin/admin.go`: `jwtAuth` требует email (400 без него), НЕ возвращает access/secret key;
   новый `GET /ui/api/credentials` отдаёт ключи под JWT-сессией; jwtMiddleware по email.
 4. `app/ui/index.html`: Access Key убран из таблицы и карточки тенанта; кнопки «Credentials»
   (дашборд + тенант) открывают модалку с ключами и подсказкой (зачем ключи, export-команды,
   пример aws cli). Логин-страница: образ v0.1.28.
 5. `Makefile`: VERSION=v0.1.28.
 **Проверки**: build OK, vet OK, тесты admin/models OK. Локально через мок-gateway:
 auth без ключей ✓, credentials отдаёт ключи ✓, без токена 401 ✓. Хеши сверены с python:
 tenant_id `t-fec713a719ad0b33`, AK `SSAK-fec713a719ad0b33c91fa54a`, SK `e898ed410a…`.
 **Деплой**: образ v0.1.28 digest `sha256:c6b63f4c…`, поставлен по digest
 (`set image … app=naeel/shared-sqs@sha256:c6b63f4c…`), под `containerk8s-86df69bfb-drv9x` Ready.
 `/health` на проде → `{"status":"ok","version":"v0.1.28"}`.
 **⚠ ПРОБЛЕМА (не наш код)**: TEST-gateway теперь отдаёт 401 на запросы с датацентровых IP
 (кластер iot-naeel И ВМ 5.172.178.213) — с рабочей станции тот же токен даёт 200.
 Ранее (~09:00) под успешно валидировался. Похоже на rate-limit/бан DDoS-Guard по egress-IP
 платформы после сегодняшних частых запросов. Вход в UI будет 403, пока шлюз не отпустит.
 SQS API, /health, /, /metrics не затронуты.
 ---
 ## v0.1.29 — светлый Nubes-дизайн консоли, читаемая модалка Credentials (14.08.2026)
 **Проблема (жалоба юзера)**: консоль была на тёмной палитре старого iot-дизайна
 (чёрный фон, мелкий шрифт), модалка Credentials нечитаемая. Требование: Nubes-дизайн, читаемо.
 **Что сделано** (`app/ui/index.html`):
 1. Палитра → светлая design-system Nubes: bg #fafafa, поверхности #ffffff, border #d1d5db,
   primary #2563eb, muted #6b7280, карточки белые с radius 12 + тень.
 2. Логотип без invert-фильтра (тёмный лого на белом), шрифт system-ui 14px, заголовки 20-22px,
   бейджи/кнопки в светлых тонах, textarea/input белые.
 3. Модалка Credentials переделана: читаемый блок подсказки — зачем ключи + ДВА способа
   (env-export И файл ~/.aws/credentials) + пример с --profile sqs. Ширина модалки 560px, скролл.
 **Деплой**: v0.1.29 digest `sha256:d1ccb53d…`, `set image` по digest, под `containerk8s-75f766b9d7-82wl7`.
 Проверки: /health → v0.1.29; /ui отдаёт светлую тему (#fafafa/#ffffff/#2563eb, тёмных цветов нет).
 **Остаётся открытым**: gateway 401 с датацентровых IP (см. раздел v0.1.28) — вход в UI
 заработает, когда шлюз отпустит egress платформы.
 ---
 ## v0.1.30 — локальные логотип и favicon в консоли (14.08.2026)
 В консоли /ui были внешние ассеты `terra.k8c.ru/.../logo.svg` и `favicon.png` — не грузились
 (битый лого в шапке, нет фавикона). Заменены на локальные вшитые `/static/logo.svg`
 и `/static/favicon.svg` (embed в образ, раздаются с корня роутером).
 Деплой: digest `sha256:deab2979…`, под готов. Проверки: /health → v0.1.30, /ui отдаёт
 2× static/logo.svg + 1× static/favicon.svg, оба файла отвечают 200.
 ---
 ## v0.1.31 — админский UI /admin + юзерский UI без слова «тенант» (14.08.2026)
 **Сделано**:
 1. Новый `app/ui/admin.html` — админская консоль: вход по admin-токену, таблица тенантов
   (имя, ID, Access Key, лимит, статус, создан), создание тенанта с показом ключей в модалке,
   удаление с подтверждением. Светлый Nubes-дизайн, /static/logo.svg + favicon, версия через {{VERSION}}.
 2. `app/ui/embed.go`: embed admin.html + `AdminHandler(version)`.
 3. `app/router/router.go`: GET /admin и /admin/ → админская страница (зарегистрированы ДО admin subrouter,
   чтобы PathPrefix("/admin") с bearer-auth их не перехватил).
 4. Юзерский UI: из видимого текста убрано слово «тенант» — «Мой аккаунт», «Аккаунт не найден»,
   убрана карточка-счётчик «Тенанты», «креды вашего аккаунта», «Создать аккаунт»,
   ссылка на /admin в инфо-блоке логина.
 **Проверки**: build OK, vet OK, тесты admin OK. Локально: /admin → 200 (страница), /admin/tenants
 без токена/с неверным токеном → 401, с верным → []. Прод: /health → v0.1.31, /admin → 200
 (SQS Admin, v0.1.31), /ui содержит «аккаунт» 3× и не содержит «Тенанты».
 **Инциденты по пути**:
 - Пуш на Docker Hub спотыкался об IPv6 (network unreachable) и 502 — добил ретраями,
  digest v0.1.31 = `sha256:34c3619d…`.
 - Токен kubeconfig на ВМ истёк в 09:14 MSK (24ч) — юзер обновил, деплой добит:
  `set image …@sha256:34c3619d…`, под `containerk8s-768668b9d4-stcgv` Ready.
 ---
 ## v0.1.32 — главная с пошаговым стартом, примеры на /examples (14.08.2026)
 **Жалобы юзера**: главная не объясняет с первого раза, как войти/где креды/что делать;
 примеры засоряли главную мелким шрифтом; в консоли лишняя хлебная крошка и таблица из одной строки.
 **Сделано**:
 1. `app/ui/info.html`: блок «Как начать — 3 шага» (1. Открыть консоль → кнопка,
   2. Получить ключи через Credentials, 3. Подключить клиент с быстрым примером + ссылка на /examples).
   Таблица команд и примеры убраны с главной, вместо них — карточка-ссылка на /examples.
   Слово «тенант» убрано из текста главной.
 2. Новый `app/ui/examples.html` (GET /examples): крупный шрифт 15px, команды 14px,
   пошагово: ключи (env И файл ~/.aws/credentials) → создать очередь → отправить →
   получить/удалить, плюс таблица всех 17 Actions.
 3. `app/ui/embed.go`: ExamplesHandler; `app/router/router.go`: маршрут /examples.
 4. `app/ui/index.html`: enterApp сразу открывает аккаунт (showTenant первого тенанта),
   дашборд с таблицей — только запасной вариант; хлебные крошки «Мой аккаунт › email» удалены.
 **Проверки**: локально root → «Как начать/Открыть консоль», /examples → 200 (Шаг 1..4, таблица).
 Прод: /health → v0.1.32, / → 200, /examples → 200. digest `sha256:4834b999…`.
 ---
 ## v0.1.33 — строгий нейтральный стиль текстов (14.08.2026)
 Жалоба: фамильярный тон на главной («Войди», «Получи», «Подключи свой клиент»).
 Заменено на нейтральный официальный стиль:
 - «Порядок действий — 3 шага»: «Вход в консоль», «Получение ключей доступа», «Подключение клиента».
 - Примеры (/examples): «Шаг 1. Указание ключей доступа», «Шаг 2. Создание очереди»,
  «Шаг 3. Отправка сообщения», «Шаг 4. Получение и удаление сообщения»; формулировки без повелительных форм.
 Деплой: v0.1.33 digest `sha256:196283c1…`, проверено: /health → v0.1.33, корень отдаёт новые заголовки.
 ---
 ## ✅ Полный цикл подтверждён: email-креды работают на проде (14.08.2026)
 Юзер залогинился (gateway отпустил egress платформы), легаси-тенант пересчитан,
 в модалке Credentials показаны детерминированные ключи:
 - Access Key: `SSAK-fec713a719ad0b33c91fa54a`
 - Secret Key: `e898ed410a20ff166f51a52ba39a2954fb87e2da200b1648c3975772bfe9e2b4`
 Совпадают с расчётным SHA256(email) — email-идентичность v0.1.28 работает.
 Smoke-тест: `aws sqs list-queues --endpoint-url https://sqs.containerk8s.dev.nubes.ru`
 с этими ключами → 200, `{"QueueUrls": []}`. SigV4-аутентификация на проде подтверждена.
 ---
 ## Q&A с Claude Sonnet — кэш валидации JWT (14.08.2026)
 **Запрос**: файлы только `app/auth/jwt.go`, `app/admin/admin.go`; задача — кэш успешной валидации
 токена (TTL 5 мин) из-за нестабильного шлюза Nubes.
 **Ответ Sonnet**:
 1. Кэш — в auth (новый `app/auth/cache.go`): `PingNubesAPICached`, `WarmTokenCache`, `StartTokenCacheCleanup`.
   В admin.go: jwtMiddleware → PingNubesAPICached; jwtAuth → свежая проверка + WarmTokenCache; NewHandler → cleanup.
 2. Ключ `hex(sha256(token))`; `map[string]tokenCacheEntry{validUntil}` + `sync.RWMutex`
   (не sync.Map — нужна итерация при очистке); уборщик — ticker 5 мин.
 3. `ErrTokenRejected` (sentinel, `%w`) — отличать 401/403 от сетевых ошибок; сигнатура PingNubesAPI не меняется.
 4. Таблица: HIT → nil; MISS+2xx → записать; MISS+401/403 → удалить, вернуть ошибку;
   MISS+сетевая → ошибка; протухший+сетевая → опция grace +2 мин (принято).
 5. Гонки: параллельные MISS безвредны (singleflight избыточен); запись в кэш до проверки ctx;
   рестарт пода сбрасывает кэш (норма); exp проверяется локально ДО кэша/шлюза.
 **Решение (принято)**: всё выше + grace-продление 2 мин при сетевой ошибке для ранее валидного токена.
 TTL 5 мин; отозванный токен умирает максимум через 5 мин; изоляция тенантов не затрагивается.
 ---
 ## v0.1.34 — кэш валидации JWT (14.08.2026)
 **Проблема**: jwtMiddleware валидировал токен через Nubes-шлюз на КАЖДЫЙ запрос консоли;
 шлюз нестабильно отвечает с IP платформы (то 200, то 401) → консоль периодически падала.
 **Реализовано** (по плану Sonnet):
 1. `app/auth/cache.go`: кэш успешной валидации в памяти: `map[hex(sha256(token))]{validUntil}` +
   `sync.RWMutex`, TTL 5 мин, grace +2 мин при сетевой ошибке для ранее валидного токена,
   фоновая очистка (ticker 5 мин, sync.Once).
 2. `app/auth/jwt.go`: sentinel `ErrTokenRejected` (`%w`) для 401/403 — отличие от сетевых ошибок.
 3. `app/admin/admin.go`: `jwtAuth` — всегда свежая проверка + `WarmTokenCache` после успеха;
   `jwtMiddleware` — `PingNubesAPICached`; `NewHandler` — старт очистки.
 **Проверено локально (мок-шлюз)**: логин с живым моком → 200; мок убит → логин 403 (свежо, правильно),
 CREDS → 200 по кэшу (шлюз не нужен), неизвестный токен → 403. Vet/тесты OK.
 **Smoke на проде**: 11 PASS, 1 FAIL — только логин (шлюз режет IP платформы; по дизайну логин всегда свежо).
 SQS-цикл create→send→receive→delete→delete-queue — PASS.
 **Особенность платформы**: GET /ui через ingress не закрывает соединение (~150с, curl exit 28),
 внутри пода мгновенно. В smoke /ui проверяется range-запросом (206, 0.2с).
 Браузеру не мешает (HTML приходит сразу).
 **Деплой**: v0.1.34 digest `sha256:17f9bbdb…`, под Ready, /health → v0.1.34.
 ---
 ## Программная проверка SQS API — CLI и SDK, локально и с ВМ (14.08.2026)
 Добавлены тесты:
 - `tests/api_test.sh` — aws cli, 22 проверки (полный цикл + FIFO + теги + purge).
 - `tests/sdk_test.py` — boto3 (как реальное приложение), 15 проверок, таймауты на уровне SDK.
 Результаты:
 - Локально, CLI: 22/22 PASS; SDK (boto3 1.43.71): 15/15 PASS.
 - С ВМ, CLI: 22/22 PASS; SDK (boto3 1.34.46): 15/15 PASS.
 Единственный разовый FAIL (DeleteMessage после ChangeMessageVisibility) при первом
 прогоне не воспроизвёлся — повторный прогон и ручная проверка: exit=0. Случайный сбой сети.
 ---
 ## Нагрузочный тест 30 мин (tests/load_test.py) — результаты и находки (14.08.2026)
 **Прогон**: 1800с, 4 воркера, против прода. Итог: 776 операций.
 - Корректных: 75; ожидаемых отказов: 0; НЕОЖИДАННЫХ отказов: 653 (коды: 400×549, 404×44, ReadTimeoutError×60);
 - Некорректные условия приняты без ошибок: 47; сбоев /health: 1 (разовый таймаут); под НЕ рестартовал.
 - Латентность: min 0.08s, avg 2.63s, max 54.4s. Вердикт: ЕСТЬ ПРОБЛЕМЫ.
 **Критично — потери сообщений**: send возвращает успех, receive не отдаёт сообщение.
 Воспроизведено БЕЗ нагрузки: 3 из 25 циклов (и 2 из 25 под нагрузкой). Зависания receive >10с.
 **Недостатки обработки ошибок (пробы)**: на некорректные запросы сервис отдаёт сырые
 HTTP 400/404 без AWS-XML (SDK получает Code=None) или молча принимает недопустимое:
 - SetQueueAttributes: VisibilityTimeout=43201 принят; неверное имя атрибута принято;
  нечисловое значение → сырой 400.
 - SendMessage: пустое тело → сырой 400; 300КБ → сырой 400; несуществующая очередь → сырой 400.
 - Batch: 11 записей / дубли Id / пустой список → сырой 400.
 - DeleteMessage с битым ReceiptHandle → сырой 404.
 - ReceiveMessage MaxNumberOfMessages 11/0/-1 — принято (клэмпится).
 - Повторный PurgeQueue (<60с) — принят; DeleteQueue несуществующей — принят.
 - FIFO SendMessage без MessageGroupId — принят.
 **Мой предварительный анализ кода** (для Sonnet):
 - models.go IsReadyForReceipt(): showAt = SentTime + randomLatency(конфиг, сейчас 0/0) + DelaySecs.
 - gosqs.go PeriodicTasks (1с): сброс видимости, dedup, DLQ; LockGroup держится до UnlockGroup.
 - send_message.go: добавление в SyncQueues.Queues[key].Messages + SaveMessage(Redis);
  память — единственный источник для receive (Redis не читается) — при 2+ подах/редиплое
  сообщения, принятые одним подом, невидимы другому.
 - receive_message.go: skip сообщений с ReceiptHandle != "" и не готовых; long poll 100ms тик.
 - ReadTimeout 60× и max latency 54с — подозрение на платформенный ingress (аналог /ui 152с).
 ---
 ## Q&A с Claude Sonnet — разбор дефектов по итогам нагрузочного теста (14.08.2026)
 **Ответ Sonnet (по файлам из промпта)**:
 Q1 Потери сообщений: TOCTOU в long-poll (receive_message.go:82-99) — два потока видят сообщение,
 один забирает, второй возвращает пусто; включается при WaitTimeSeconds>0 (клиент или атрибут очереди).
 Вторично для FIFO: LockGroup (models.go:82-89) пересоздаёт FIFOMessages map целиком — теряются локи групп.
 Q2 Receive >10с: (а) атрибут очереди ReceiveMessageWaitTimeSeconds без гарда (receive_message.go:62-66);
 (б) SaveMessage/SaveQueue внутри глобального Lock (send_message.go:97-103) — медленный Redis блокирует всех;
 (в) PeriodicTasks держит Lock на весь обход всех очередей (gosqs.go:18-58).
 Q3 Сырые 400/404: actionHandler пишет "Bad Request" текстом (router.go:199-201);
 encodeResponse для JSON-протокола не пишет тело при GetResult()==nil (router.go:110-113).
 Q4 Валидации: VisibilityTimeout clamp→bounds-check (queue_attributes/set_queue_attributes.go:29);
 whitelist имён атрибутов (IgnoreUnknownKeys в utils.go:29 пропускает всё); MaxNumberOfMessages clamp→ошибка
 (receive_message.go:41); PurgeQueue повторный<60с→PurgeQueueInProgress (LastPurgeTime в Queue);
 FIFO без MessageGroupId→MissingParameter (send_message.go:46-49); actionHandler→AWS-XML GeneralError.
 Q5 Сервис сам может держать запрос >25с: Redis-записи под Lock + PeriodicTasks с полным обходом.
 Q6 Дополнительно: SetQueueAttributes обнуляет не переданные атрибуты (zero-value >= 0);
 unprotected map read (receive_message.go:51) — data race; NumberOfReceives не инкрементируется;
 DeleteQueue всегда успешен; NextSequenceNumber пересоздаёт map (models.go:62-70).
 **ПЛАН v0.1.35 (принят)**:
 1. TOCTOU: выборка сообщений — единая критическая секция под Lock.
 2. Redis-сетевые вызовы — вне глобального Lock (снапшот под локом, запись после).
 3. PeriodicTasks: сузить критическую секцию.
 4. RLock для Queues[key] в receive_message.go:51.
 5. SetQueueAttributes: применять только явно переданные атрибуты.
 6. LockGroup/NextSequenceNumber: не пересоздавать map (вставлять ключ).
 7. actionHandler: AWS-XML GeneralError вместо текста.
 8. encodeResponse (JSON): тело ошибки при GetResult()==nil; проверить CreateErrorResponseV1.
 9. Валидации: VisibilityTimeout bounds; whitelist атрибутов; MaxNumberOfMessages 1–10 ошибка;
   PurgeQueueInProgress (LastPurgeTime); FIFO MissingParameter; SendMessage пустое тело/размер — AWS-коды.
 10. NumberOfReceives инкремент при выдаче.
 После: 25-цикловая проверка целостности, smoke, повторный 30-мин нагрузочный тест.
 ---
 ## v0.1.35 — реализация фиксов по итогам нагрузочного теста (14.08.2026)
 **Изменённые файлы** (правки с подробными комментариями каждой функции и логики):
 1. `app/router/router.go`:
   - `resolveProtocol`: заголовок `x-amzn-query-mode: true` (AWS CLI v2/boto3) →
     принудительно Query-протокол (XML-ответы). Раньше query-mode запросы получали
     JSON-ошибки → botocore Code=None («сырые 400/404»).
   - `extractAction`: Action берётся сначала из `X-Amz-Target` (JSON и query-mode
     клиенты), затем из form `Action` — для query-mode раньше Action не находился.
   - `encodeResponse` (JSON): ошибки — в формате AWS-JSON
     `{"__type":"com.amazonaws.sqs#<Code>","message":"..."}` (раньше голый ErrorResult).
   - `actionHandler`: неизвестный Action → GeneralError в формате протокола клиента
     (раньше текст "Bad Request"). Убран импорт `io`.
 2. `app/gosqs/receive_message.go`:
   - TOCTOU устранён: проверка готовности И пометка in-flight — под одним Lock
     (`receiveMessagesUnderLock`). Раньше два параллельных receive видели одно
     сообщение, второй получал пусто → «потери».
   - MaxNumberOfMessages: 1–10, выход → InvalidParameterValue (был clamp).
   - Проверка существования очереди — под RLock (была гонка чтения map).
   - `msg.NumberOfReceives++` при выдаче (счётчик доставок).
 3. `app/gosqs/send_message.go`:
   - FIFO без MessageGroupId → MissingParameter (было: принималось).
   - Док-схема функции; Redis-записи асинхронны, под Lock только marshal.
 4. `app/gosqs/gosqs.go`:
   - `PeriodicTasks`: снапшот указателей под RLock + обработка каждой очереди под
     отдельным Lock (раньше глобальный Lock на весь обход всех очередей).
 5. `app/models/models.go`:
   - `LockGroup`/`NextSequenceNumber`: map больше НЕ пересоздаётся (терялись
     блокировки/счётчики остальных групп).
   - Новое поле `Queue.LastPurgeTime`.
 6. `app/gosqs/queue_attributes.go` + `set_queue_attributes.go` + `create_queue.go`:
   - Применяются только явно переданные атрибуты (!= 0) — раньше zero-value
     обнулял непереданные атрибуты.
   - Bounds-check → InvalidParameterValue (был clamp).
   - Whitelist имён → InvalidAttributeName (Query-протокол).
 7. `app/gosqs/purge_queue.go`: повторный purge < 60 с → PurgeQueueInProgress.
 8. `app/gosqs/delete_queue.go`: удаление несуществующей очереди → QueueNotFound.
 9. `app/models/errors.go`: добавлены `InvalidAttributeName`, `PurgeQueueInProgress`.
 **Проверки**: go build OK (v0.1.35), go vet чистый (кроме известной некомпиляции
 тестов gosqs — пакет fixtures), go test app/models OK.
 **Ход деплоя и эмпирические уточнения**:
 - Первый вариант фикса resolveProtocol («query-mode → XML») оказался НЕВЕРНЫМ:
  эмпирика показала, что AWS CLI v2 в query-mode парсит именно JSON-ответы
  (list-queues на XML вернул None, на JSON — список). Откачено: протокол ответа
  по Content-Type, как было; дефект «Code=None» закрыт правильным форматом
  JSON-ошибок {"__type":"com.amazonaws.sqs#Code","message":"..."} в encodeResponse
  и GeneralError в actionHandler.
 - Whitelist имён атрибутов для JSON-протокола реализован через
  QueueAttributes.UnmarshalJSON (единый список models.AttrNameWhitelist);
  в whitelist включены FifoQueue/ContentBasedDeduplication (иначе CLI v2
  не мог создать FIFO — регрессия была поймана api_test).
 - Прод v0.1.35, digest `sha256:7d1c82e9…` (по digest).
 **Проверки против прода (v0.1.35)**:
 - Пробы ошибок: пустое тело → MissingParameter; max=11 → InvalidParameterValue;
  VisibilityTimeout=43201 → InvalidParameterValue; FooBar=1 → InvalidParameterValue;
  повторный purge → PurgeQueueInProgress; delete несуществующей → NonExistentQueue;
  FIFO без MessageGroupId → MissingParameter. Все с AWS-кодами (Code=None устранён).
 - api_test.sh (CLI v2): 22/22 PASS. sdk_test.py (boto3): 15/15 PASS.
 - Целостность 25 циклов: с ВМ 25/25 PASS (lost=0, mismatch=0, errors=0).
  С локальной машины периодически ReceiptHandleIsInvalid — анализ логов пода
  показал: это retry-дубли (первый delete успешен, ответ теряется на пути
  клиент→шлюз; сообщение фактически удалено и подбирается следующими циклами).
  Инфраструктурная потеря ответов (DDoS-Guard/Nubes gateway), не дефект сервиса.
 - smoke.sh: 11/11 PASS.
 - 30-мин нагрузочный тест с ВМ — в процессе.
 ## Лимит очередей 50 + очистка (14.08.2026)
 **Нагрузочный тест (1-й прогон v0.1.35, с ВМ)**: 217440 операций, но 214683
 «неожиданных» = LimitExceeded. Причина: у JWT-тенанта лимит 10 очередей
 (CreateFromJWT хардкод 10), а 9 мусорных очередей от прежних тестов заняли
 почти весь лимит — 4 воркера теста упирались в лимит на create-queue.
 Некорректное принято: 0. /health сбоев: 0. max latency 77.6с = ReadTimeoutError
 (25с × 3 ретрая бото3) — потери ответов на пути, не сервис.
 **Изменения (по команде пользователя)**:
 - `app/tenant/tenant_store.go`: константа `DefaultTenantMaxQueues = 50`;
  `CreateFromJWT` теперь обновляет `MaxQueues` существующего тенанта до актуального
  значения при КАЖДОМ логине + персистит в Redis (иначе после рестарта пода из
  Redis восстановился бы старый лимит).
 - `app/admin/admin.go`: `CreateFromJWT(..., tenant.DefaultTenantMaxQueues)`.
 - Деплой v0.1.35 digest `sha256:72f11c67…`.
 - Удалены все мусорные очереди тенанта (11 штук: probe-*, err-test*, integr-*,
  vt-check-*, load-*, int-*): осталось 0.
 **Осталось**: логин в консоль для применения лимита 50 к существующему тенанту,
 затем повторный 30-мин нагрузочный тест.
 ## Фиксы гонок map — под падал под нагрузкой (14.08.2026)
 **Инцидент**: 30-мин прогон показал 4 сбоя /health; под перезапускался 2 раза
 (Exit Code 2). Логи упавшего контейнера: `fatal error: concurrent map read and map write`,
 горутина `ChangeMessageVisibilityV1`, `change_message_visibility.go:50` —
 чтение `SyncQueues.Queues[key]` БЕЗ блокировки; писатель — DeleteQueueV1 (delete под Lock),
 массово вызываемый тестом.
 **Анализ Соннета** (подтверждён): 3 файла читают map до Lock; смежный риск nil-deref
 (очередь удаляется между проверкой и Lock); receive_message.go имел два RLock с окном
 nil-deref; рекомендован перенос проверки внутрь Lock + defer Unlock.
 **Исправлено (v0.1.35, digest `sha256:7436efd8…`)**:
 - `change_message_visibility.go`: проверка существования внутри Lock, defer Unlock.
 - `change_message_visibility_batch.go`: то же.
 - `delete_message_batch.go`: то же.
 - `send_message.go`: nil-guard под Lock + повторная проверка OOM-лимита под Lock.
 - `send_message_batch.go`: nil-guard под Lock.
 - `receive_message.go`: один RLock вместо двух (nil-deref окно закрыто).
 - `errors.go`: добавлен код ошибки `OverLimit` (раньше отсутствовал — zero SqsErrorType).
 **Проверки**: go build/vet OK, models-тесты OK; короткий прогон 120с: неожиданных 2
 (оба сетевые ReadTimeout), сервисных 0, health_fail 0; под restarts 0.
 30-мин прогон запущен 18:52:18 +04 — в процессе.
 ## Сетевые сбои на ВМ и фикс DNS (14.08.2026)
 **Факт**: 30-мин прогон после фиксов гонок: неожиданных 19 (17 ReadTimeout +
 2 EndpointConnection), health_fail 8, НО под restarts 0 (гонки устранены).
 Замер 30 × /health с ВМ: 4 сбоя `[Errno -3] Temporary failure in name resolution` —
 DNS ВМ. Проверки ВМ: resolv.conf = один `8.8.8.8`; dig 20/20 ок, python 60/60 ок —
 сбои периодические (потери UDP к резолверу).
 **Фикс (по команде пользователя)**:
 1. В `/etc/resolv.conf` ВМ добавлен резерв `nameserver 1.1.1.1` — сбои остались (2/60).
 2. В `/etc/hosts` ВМ добавлено `185.247.187.151 sqs.containerk8s.dev.nubes.ru` —
   резолв из файла, 100/100, 0–5 мс. Зависимость от DNS устранена.
 **Финальный 30-мин прогон**: запущен 18:30:52 +03 (ВМ) — в процессе.
 ## Q&A Соннета — какие ещё тесты провести (14.08.2026)
 **Вопрос (кратко)**: достаточен ли набор проверок; какие сценарии не покрыты; норма ли
 ReadTimeout 0.04%; серверные таймауты; нужен ли CLI v2 в нагрузке; что ещё до релиза.
 **Ответ Соннета (ключевое)**:
 - Не покрыто, но критично: рестарт пода с in-flight сообщениями (asyncWrite до смерти пода
  → двойная доставка); unbounded goroutines при деградации Redis (OOM на 512Mi);
  long-poll goroutine leak; FIFO-порядок под конкурентными receive; DLQ e2e; dedup-окно e2e.
 - Восстановление очередей из Redis после рестарта — обязательный тест.
 - ReadTimeout 0.042% — граница, снижать до <0.01%: проверить кластеризацию ошибок во времени
  (lock contention vs gateway), keep-alive/RST на шлюзе, TCP retransmits пода.
 - Серверные таймауты добавить: ReadHeaderTimeout 10s, WriteTimeout 35s (20с long-poll + буфер),
  IdleTimeout 90s, MaxHeaderBytes 8192. ReadTimeout НЕ ставить (рвёт long-poll).
 - AWS CLI v2 (query-mode JSON) в нагрузке — обязательно, другой путь сериализации.
 - Память (RSS 2+ часа), billing-счётчики, JWT-истечение mid-request, лимит 50 очередей
  (граница включительно), /metrics корректность после прогона.
 - Приоритеты: P0 серверные таймауты + рестарт с in-flight; P1 Redis chaos + long-poll leak;
  P2 CLI v2 нагрузка + FIFO dedup/DLQ e2e; P3 RSS.
 ## План диагностики САМОЙ платформы (HTTP контейнер), независимо от SQS (14.08.2026)
 Пользователь: проверить, как HTTP-контейнер платформы сбоит сам по себе (аналогия:
 managed flask/nodejs/lucee не пропускают большие файлы с локали). Отделяем транспорт от логики SQS.
 A. Через /health (минимум логики): burst 500 параллельных; большие заголовки 8–16KB;
   медленный запрос (1 байт/с); keep-alive 50 запросов на одном соединении; HTTP/1.0, HEAD, POST.
 B. Через SQS API, смотрим транспорт: SendMessage 256KB (с ВМ И с локальной машины);
   chunked-тело; Receive 10×256KB (~2.5MB ответ); long-poll 20с (локаль vs ВМ).
 C. Известные аномалии: GET /ui через ingress висит ~150с (внутри пода мгновенно);
   ReadTimeout-кластеры; max latency 52с.
 D. TCP: retransmit-счётчики пода (/proc/net/snmp) до/после.
 Итог: таблица «локаль vs ВМ vs внутри пода» — что режет платформа, а что сервис.
 ## РЕЗУЛЬТАТЫ диагностики платформы (tests/platform_probe.py, 14.08.2026)
 **ГЛАВНАЯ НАХОДКА — большие POST-тела зависают на ~51с (защитный слой платформы):**
 - send 2–48KB — 0.09–0.22с; 56–64KB — то быстро, то виснет (порог плавает);
  80KB/100KB — первый запрос 50–52с, следующие 0.03с.
 - Воспроизводится и с ВМ, и с локальной машины → общий узел DDoS-Guard/WAF.
 - 100KB с БИТОЙ SigV4 — тоже 50.4с (висит путь, не наш auth/сервис).
 - /health параллельно зависшему запросу — 0.02–0.05с (сервис жив).
 - TCP connect+TLS мгновенны всегда (в т.ч. после idle 60/120с).
 - Большие ОТВЕТЫ не режутся: receive 10×256KB (2.5MB) — 0.26с.
 - Long-poll 20с держится честно (20.01с) — платформа не режет до 20с.
 **Прочие ограничения платформы:**
 - Заголовки >16KB → 400 Bad Request (8KB проходит).
 - Chunked Transfer-Encoding → 400.
 - POST /health → 400; HEAD /health → 405 (наш mux); HTTP/1.0 → ок (апгрейд).
 **Нагрузка на под**: burst 500 × /health: 500/500 ok, p50=2.54с, p95=3.43с —
 это CPU-лимит пода 500m, а не платформа (внутренние запросы мгновенны).
 **Следствие**: клиенты с сообщениями >~64KB и read_timeout < 51с получают
 ReadTimeout на первом запросе в окне (это объясняет кластеры ReadTimeout и
 max latency 52с в нагрузочных тестах). Рекомендации: клиентам read_timeout ≥ 60с
 и retries; вопрос про WAF-инспекцию больших POST — в поддержку платформы.
 ## УТОЧНЕНИЕ ПРИЧИНЫ 51с — это MTU, как в drhider (14.08.2026)
 **Гипотеза WAF выше — НЕВЕРНА.** Найдено в `~/nubes/drhider`:
 - `PROBLEM-AND-SOLUTION.md` «Проблема 1: 51-секундная задержка (MTU)»: POST из
  внешней сети — пауза 51с; внутри кластера — мгновенно. Причина: underlay Nubes
  MTU 1450, Cilium Geneve +50, MTU пода 1500 → cross-node пакет 1550 → фрагментация
  → дроп → retransmit ~51с. Решение: `cilium mtu: 1400` (1400+50=1450).
 - `docs/about1500.md`: готовый текст обращения в поддержку Nubes.
 - VIP drhider — тот же `185.247.187.151`, что у `sqs.containerk8s.dev.nubes.ru`.
 **Проверено у нас (факты)**:
 - Cilium кластера iot-naeel: `mtu: 1400` — внутренний участок УЖЕ исправлен;
  под eth0 MTU 1400 ✓.
 - ВМ: ens192 MTU **1500** → сегменты 1460 не влезают в underlay 1450 на участке
  ВМ→шлюзы платформы (traceroute: 10.10.102.1 → 100.64.x.x → 10.200.x.x → 5.181.12.1).
 - Локальная машина (интернет → DDoS-Guard): та же 51с.
 - Большие ОТВЕТЫ (под→клиент, 1400-байтные сегменты) проходят быстро.
 - Порог зависания плавает ~56–64KB: зависит от необходимости полных 1460-байтных
  сегментов.
 **РЕШЕНИЕ ПОЛЬЗОВАТЕЛЯ (14.08.2026)**:
 - КОД НЕ МЕНЯТЬ (лимит размера остаётся 262144/AWS).
 - kubectl — только для диагностики; прод — кластер облака БЕЗ нашего доступа
  (править MTU можем только там через поддержку Nubes).
 - ТЕСТЫ — без больших сообщений: valid-тела ≤48KB; сценарий «превышение лимита»
  через очередь с MaximumMessageSize=1024 и телом 2KB (граничное условие
  сохраняется, большое тело не шлётся).
 - Ограничение платформы (51с на большие POST) остаётся для реальных клиентов —
  адресовать в поддержку Nubes текстом из drhider/docs/about1500.md.
 ## Тесты без больших тел (14.08.2026)
 **Правки тестов (код сервиса НЕ менялся)**:
 - `load_test.py`: `rand_body` ≤48KB; сценарий «превышение лимита» переделан —
  очередь с `MaximumMessageSize=1024` + тело 2KB (граничное условие MessageTooBig
  сохраняется, большое тело по сети не шлётся, MTU-зависаний нет).
 - `platform_probe.py`: B6/B8 — 32KB вместо 256KB.
 - Коммит `96f55be`, запушен, синхронизирован на ВМ.
 **Короткий прогон 120с**: expected 3691, unexpected 2 (оба сетевые ReadTimeout),
 soft_warn=0, health_fail=0. Новый граничный сценарий работает (InvalidParameterValue 246).
 **30-мин прогон**: запущен 19:56:34 +03 (ВМ) — в процессе.
 **ИТОГИ 30-мин прогона (завершён 20:26:52 +03)**:
 - Операций 105 810 (рекорд серии); корректных 12 433; ожидаемых отказов 93 362;
  неожиданных **15 = все ReadTimeoutError (сеть, 0.014%)**; сервисных 0.
 - Некорректное принято: 0. Сбоев /health: 0. Рестарты пода: 0 (157 мин работы).
 - Латентность: min 0.004с, avg 0.045с, max 51.9с (один потерянный ответ + ретраи).
 - MTU-зависаний нет (большие тела исключены из тестов).
 - Все граничные сценарии работают: NonExistentQueue 24 896, InvalidParameterValue
  (AWS) 18 672, MissingParameter 12 448, ReceiptHandleIsInvalid 6 226, Purge ×2,
  batch 11/дубли/пустой — по 6 224, превышение лимита (очередь 1024) 6 224.
 **ИТОГ СЕРИИ v0.1.35**: сервис под нагрузкой стабилен (0 падений, 0 сервисных
 ошибок, 0 принятых недопустимых условий). Остаточные неожиданные — только
 сетевые потери ответов (0.01–0.04%). Ограничение платформы (большие POST ~51с,
 MTU) — в поддержку Nubes.
 ## СУРОВЫЙ ТЕСТ: 3 тенанта одновременно (14.08.2026)
 **Подготовка**: токены 3 юзеров (`~/nubes/tokens_all.txt`); email из JWT;
 детерминированные креды вычислены алгоритмом сервиса; логин `POST /ui/api/auth`
 по всем трём токенам — 200, max_queues=50 (PingNubesAPI перебирает стенды
 PROD/TEST/DEV — токен от любого стенда принимается). Мусор вычищен до старта.
 **Прогон**: три `load_test.py` параллельно, 12 воркеров на один под (CPU 500m),
 30 мин, запуск 21:18:21 +03, завершение ≈ 21:48 +03.
 **Итоги по тенантам** (неожиданные — только ReadTimeout, сеть):
 | Тенант | Операций | ok | Ожид. отказов | Неожиданных | soft_warn | /health | avg |
 |---|---|---|---|---|---|---|---|
 | tazetdinovn@gmail.com | 60 792 | 7 148 | 53 640 | 4 | 0 | 0 | 0.097с |
 | tazet@narod.ru | 56 083 | 6 593 | 49 485 | 5 | 0 | 0 | 0.104с |
 | ntazetdinov@nubes.ru | 51 716 | 6 075 | 45 632 | 9 | 0 | 0 | 0.107с |
 Суммарно 168 591 операция (×1.6 одиночного прогона). Некорректное принято: 0 у всех.
 Под: restarts 0 (4ч13м работы). После прогона очереди вычищены до 0/0/0.
 В `load_test.py` добавлена авточистка очередей до и после прогона (коммит `77b8586`).
 ## Локализация 51с — финальные факты (15.08.2026)
 **Топология входа** (kubectl, только чтение):
 - Все домены (sqs/drhider/pythonk8s/…) — один `shturval-ingress-controller`
  (nginx) в ns `ingress`, Service LoadBalancer externalIP **185.247.187.151**,
  NodePort 443:32391; kube-vip (DaemonSet `shturval-vip-*`, hostNetwork) — по
  поду на каждую из 4 нод.
 - Наш сервис: ClusterIP 10.104.111.239:4100 → под 172.16.2.226 (нода bhbvs).
 - Ingress-поды: control-plane + v8zq4, MTU 1400; наш под MTU 1400 — внутри кластера чисто.
 **Решающие замеры с ВМ**:
 - MSS от VIP = **1448** (платформа клампит, но недостаточно: сегменты 1448 →
  IP-пакеты 1488 > underlay 1450 → дроп при DF).
 - Большой POST (100KB) через VIP → ответ 403 через **51.08с** (воспроизведено сырым сокетом).
 - Ноды кластера с ВМ НЕ доступны напрямую (`No route to host` на 10.10.102.4:32391) —
  L2-обхода нет, ВМ→ноды идёт тем же платформенным маршрутом.
 **ВЫВОД**: дроп — на платформенном участке «клиент → VIP» (underlay 1450,
 MSS clamp 1448, PMTUD мёртв). Кластером (kubectl) НЕ чинится — чинится только:
 1) поддержкой Nubes (clamp MSS ≤1400 на шлюзах / починить PMTUD); 2) обходным
 прокси на ВМ с MTU 1400 на ens192 (вход на ВМ чист — факт drhider; выход ВМ→кластер
 починится уменьшением MTU ВМ); 3) временным лимитом размера в сервисе.
@@ -1,21 +1,23 @@
 # Makefile — shared-sqs
 # Created: 2026-04-09
-# Registry: Docker Hub (naeel/shared-sqs) — pearlharbor не используется (нестабилен)
+# Registry: Docker Hub (naeel/shared-sqs)
 IMAGE_REPO=naeel/shared-sqs
-VERSION=v0.1.0
+VERSION=v0.1.35
 LDFLAGS=-X shared-sqs/app/models.Version=$(VERSION)
 BINARY=shared-sqs
 .PHONY: build docker-build docker-push test run clean
 build:
-	CGO_ENABLED=0 go build -o $(BINARY) app/cmd/goaws.go
+	CGO_ENABLED=0 go build -ldflags "$(LDFLAGS)" -o $(BINARY) ./app/cmd/
 docker-build:
-	docker build -t $(IMAGE_REPO):$(VERSION) .
+	docker build --build-arg VERSION=$(VERSION) -t $(IMAGE_REPO):$(VERSION) -t $(IMAGE_REPO):latest .
 docker-push:
 	docker push $(IMAGE_REPO):$(VERSION)
 	docker push $(IMAGE_REPO):latest
 test:
 	go test ./...
@@ -8,29 +8,34 @@
 - **Многотенантность** — каждый тенант имеет отдельный Access Key и Secret Key
 - **Redis persistence** — очереди и сообщения сохраняются при перезапуске сервиса
 - **Web UI Console** — управление тенантами и просмотр сообщений
- **Kubernetes-ready** — Helm/манифесты, TLS Ingress, здоровье-checks
+- **Managed-ready** — деплой Docker-образом через Nubes («Простой HTTP контейнер»), health-check /health
 - **Admin API** — управление тенантами программно
-## Быстрый старт
+## Деплой (Nubes Managed)
-### Локально
+Сервис деплоится как Docker-образ через «Простой HTTP контейнер» (deck-UI) + Managed Redis.
 Никакого Kubernetes/VPS.
 ### 1. Собрать и запушить образ в Gitea registry
 ```bash
-docker run -d -p 9090:9090 naeel/shared-sqs:latest
+docker build -t gitea.services.ngcloud.ru/nail/shared-sqs:v0.1.25 .
-# Откройте http://localhost:9090
+docker login gitea.services.ngcloud.ru -u ntazetdinov -p <токен>
 docker push gitea.services.ngcloud.ru/nail/shared-sqs:v0.1.25
 ```
-### На Kubernetes
+### 2. Создать контейнер в deck-UI
-```bash
+- Сервис: «Простой HTTP контейнер»
-kubectl apply -k deployments/k8s/
+- Образ: `gitea.services.ngcloud.ru/nail/shared-sqs:v0.1.25`
-```
+- Realm: `iot-naeel`
 - Env (СРАЗУ, потом не меняются): `SHARED_SQS_ADMIN_TOKEN`, `REDIS_PASSWORD`
-### Сборка локально
+### Локальный запуск
 ```bash
 go build -o shared-sqs ./app/cmd
-./shared-sqs --port 9090
+./shared-sqs --port 4100
 ```
 ## Архитектура
@@ -47,26 +52,28 @@ app/
 ├── router/           — HTTP маршруты
 └── ui/               — Web Console (HTML/JS)
-deployments/k8s/
+deployments/k8s/       — ЛЕГАСИ (старый k8s-деплой, не использовать)
-├── deployment.yaml   — Deployment с Redis sidecar
+deployments/helm/      — ЛЕГАСИ (helm chart, не использовать)
 ├── ingress.yaml      — TLS, qu.kube5s.ru
 └── redis.yaml        — Redis Persistent Volume
 ```
 ## Окружение
 | Переменная | Значение | Описание |
 |-----------|---------|---------|
-| `PORT` | 9090 | Порт HTTP сервера |
+| `PORT` (--port) | 4100 | Порт HTTP сервера |
-| `REDIS_URL` | localhost:6379 | Redis для persistence |
+| `REDIS_ADDR` | host:6379 | Redis для persistence |
 | `REDIS_USER` | default | Redis username |
 | `REDIS_PASSWORD` | — | Redis password (секрет) |
 | `SHARED_SQS_ADMIN_TOKEN` | — | Admin API bearer token (обязательный) |
 | `SHARED_SQS_SEED_DEMO` | true/false | Загрузить demo данные на старте |
 | `NUBES_ENDPOINT` | https://deck-api.ngcloud.ru/api/v1 | JWT-валидация UI |
 ## API примеры
 ### Создать очередь (как тенант)
 ```bash
-curl -X POST "http://localhost:9090/" \
+curl -X POST "http://localhost:4100/" \
  -H "Authorization: AWS4-HMAC-SHA256 Credential=SSAK-demo-shared-sqs/20260410/us-east-1/sqs/aws4_request" \
  -d "Action=CreateQueue&QueueName=myqueue&Version=2012-11-05"
 ```
@@ -75,8 +82,8 @@ curl -X POST "http://localhost:9090/" \
 ```bash
 aws sqs send-message \
-  --endpoint-url http://localhost:9090 \
+  --endpoint-url http://localhost:4100 \
-  --queue-url http://localhost:9090/demo-shared-sqs/myqueue \
+  --queue-url http://localhost:4100/demo-shared-sqs/myqueue \
  --message-body "Hello World"
 ```
@@ -88,12 +95,12 @@ aws sqs send-message \
 ## Документация
- [PLAN.md](PLAN.md) — детальный план разработки
+- [PLAN.md](doc/legacy/PLAN.md) — ЛЕГАСИ, исторический план разработки
 - [doc/billing-and-metrics.md](doc/billing-and-metrics.md) — биллинг и Prometheus-метрики
 - [doc/byoc-credentials.md](doc/byoc-credentials.md) — BYOC интеграция
 ## Ссылки
 - Репо: https://gitea.services.ngcloud.ru/Nail/SQS-service
- Demo (dev): https://qu.kube5s.ru
+- Registry: https://gitea.services.ngcloud.ru/nail/shared-sqs
 - Основана на: [GoAws](https://github.com/Admiral-Piett/goaws)
@@ -64,9 +64,8 @@ type Handler struct {
 // NewHandler — создаёт admin handler
 func NewHandler(store *tenant.TenantStore, adminToken string) *Handler {
 	nubesEndpoint := os.Getenv("NUBES_ENDPOINT")
-	if nubesEndpoint == "" {
+	// Если не задан — пустой: PingNubesAPI переберёт все стенды сам.
-		nubesEndpoint = "https://deck-api-test.ngcloud.ru/api/v1"
+	auth.StartTokenCacheCleanup() // фоновая очистка кэша валидации (идемпотентно)
 	}
 	return &Handler{store: store, adminToken: adminToken, nubesEndpoint: nubesEndpoint}
 }
@@ -157,6 +156,7 @@ func (h *Handler) RegisterPublicRoutes(r *mux.Router) {
 	// jwtMiddleware пропускает /ui/api/auth — единственный публичный endpoint
 	ui.Use(h.jwtMiddleware)
 	ui.HandleFunc("/auth", h.jwtAuth).Methods("POST")
 	ui.HandleFunc("/credentials", h.uiCredentials).Methods("GET")
 	ui.HandleFunc("/health", h.detailedHealth).Methods("GET")
 	ui.HandleFunc("/tenants", h.listTenants).Methods("GET")
 	ui.HandleFunc("/tenants", h.createTenant).Methods("POST")
@@ -223,6 +223,14 @@ func (h *Handler) jwtAuth(w http.ResponseWriter, r *http.Request) {
 		return
 	}
 	// Email — единственный ключ идентичности. Без него не создаём тенанта
 	// (иначе hash("") даст один тенант на всех пользователей без email).
 	if claims.Email == "" {
 		log.Warnf("jwt auth: token for sub=%s has no email claim", claims.Sub)
 		jsonErr(w, http.StatusBadRequest, "token has no email claim")
 		return
 	}
 	// Валидируем через nubes API
 	ctx, cancel := context.WithTimeout(r.Context(), 10*time.Second)
 	defer cancel()
@@ -231,10 +239,13 @@ func (h *Handler) jwtAuth(w http.ResponseWriter, r *http.Request) {
 		jsonErr(w, http.StatusForbidden, "token rejected by cloud API: "+err.Error())
 		return
 	}
 	// Логин — всегда свежая проверка; после успеха прогреваем кэш,
 	// чтобы дальнейшие запросы консоли не дёргали нестабильный шлюз.
 	auth.WarmTokenCache(req.Token)
-	// Auto-provisioning: создаём тенанта если не существует
+	// Auto-provisioning: тенант и ключи детерминированы из email.
-	tenantID := auth.TenantIDFromSub(claims.Sub)
+	// Токен — только аутентификация; ключи в ответ не возвращаем (GET /ui/api/credentials).
-	t, err := h.store.CreateFromJWT(tenantID, claims.Sub, claims.Email, 10)
+	t, err := h.store.CreateFromJWT(claims.Sub, claims.Email, tenant.DefaultTenantMaxQueues)
 	if err != nil {
 		log.Errorf("jwt auth: failed to create tenant: %v", err)
 		jsonErr(w, http.StatusInternalServerError, "failed to provision tenant")
@@ -247,13 +258,28 @@ func (h *Handler) jwtAuth(w http.ResponseWriter, r *http.Request) {
 	json.NewEncoder(w).Encode(map[string]interface{}{
 		"email":      claims.Email,
 		"tenant_id":  t.ID,
 		"access_key": t.AccessKey,
 		"secret_key": t.SecretKey,
 		"max_queues": t.MaxQueues,
 		"token":      req.Token, // возвращаем для использования в последующих запросах
 	})
 }
 // uiCredentials — GET /ui/api/credentials: отдаёт AccessKey/SecretKey текущего тенанта.
 // Ключи НЕ светятся в других ответах UI API — только по явному запросу под JWT-сессией.
 func (h *Handler) uiCredentials(w http.ResponseWriter, r *http.Request) {
 	t, ok := currentUITenant(r)
 	if !ok {
 		jsonErr(w, http.StatusUnauthorized, "unauthorized")
 		return
 	}
 	w.Header().Set("Content-Type", "application/json")
 	json.NewEncoder(w).Encode(map[string]string{
 		"tenant_id":  t.ID,
 		"email":      t.Email,
 		"access_key": t.AccessKey,
 		"secret_key": t.SecretKey,
 	})
 }
 // jwtMiddleware — middleware для /ui/api/* endpoints.
 // Пропускает /ui/api/auth (публичный endpoint авторизации).
 // Проверяет Authorization: Bearer <jwt> заголовок.
@@ -298,17 +324,18 @@ func (h *Handler) jwtMiddleware(next http.Handler) http.Handler {
 			return
 		}
-		// Повторно валидируем токен в nubes API на каждый UI API запрос,
+		// Повторная валидация через кэш: в течение TTL шлюз не вызывается
-		// чтобы отозванные токены не оставались валидными до повторного логина.
+		// (шлюз нестабилен с IP платформы), отозванный токен умрёт через TTL,
 		// явный 401/403 от шлюза сбрасывает кэш.
 		ctx, cancel := context.WithTimeout(r.Context(), 5*time.Second)
 		defer cancel()
-		if err := auth.PingNubesAPI(ctx, h.nubesEndpoint, token); err != nil {
+		if err := auth.PingNubesAPICached(ctx, h.nubesEndpoint, token); err != nil {
 			jsonErr(w, http.StatusForbidden, "token rejected by cloud API: "+err.Error())
 			return
 		}
 		// Проверяем что тенант существует (был создан при /ui/api/auth)
-		jwtTenant, ok := h.store.GetBySub(claims.Sub)
+		jwtTenant, ok := h.store.GetByEmail(claims.Email)
 		if !ok {
 			jsonErr(w, http.StatusForbidden, "tenant not found — authenticate first via POST /ui/api/auth")
 			return
@@ -729,6 +756,7 @@ func jsonErr(w http.ResponseWriter, code int, msg string) {
 // adminHealthDetail — ответ GET /admin/health
 type adminHealthDetail struct {
 	Status       string `json:"status"`
 	Version      string `json:"version"`
 	TenantCount  int    `json:"tenant_count"`
 	QueueCount   int    `json:"queue_count"`
 	MessageCount int    `json:"message_count"`
@@ -752,6 +780,7 @@ func (h *Handler) detailedHealth(w http.ResponseWriter, r *http.Request) {
 		w.Header().Set("Content-Type", "application/json")
 		json.NewEncoder(w).Encode(adminHealthDetail{
 			Status:       "ok",
 			Version:      models.Version,
 			TenantCount:  1,
 			QueueCount:   queueCount,
 			MessageCount: msgCount,
@@ -770,6 +799,7 @@ func (h *Handler) detailedHealth(w http.ResponseWriter, r *http.Request) {
 	w.Header().Set("Content-Type", "application/json")
 	json.NewEncoder(w).Encode(adminHealthDetail{
 		Status:       "ok",
 		Version:      models.Version,
 		TenantCount:  len(tenants),
 		QueueCount:   queueCount,
 		MessageCount: msgCount,
@@ -0,0 +1,113 @@
 // app/auth/cache.go
 // Кэш успешной валидации JWT-токенов (в памяти процесса).
 // Мотивация: Nubes-шлюз нестабильно отвечает на запросы с IP платформы
 // (то 200, то 401/403), из-за чего повторная валидация на каждый запрос
 // консоли роняла UI. Кэш: одна успешная проверка → TTL без обращений к шлюзу.
 // Безопасность: отозванный токен перестаёт работать максимум через TTL;
 // явный 401/403 сбрасывает запись немедленно.
 // Created: 2026-08-14
 package auth
 import (
 	"context"
 	"crypto/sha256"
 	"encoding/hex"
 	"errors"
 	"sync"
 	"time"
 )
 // cacheTTL — срок жизни записи успешной валидации.
 const cacheTTL = 5 * time.Minute
 // cacheGraceTTL — продление при сетевой ошибке шлюза для ранее валидного токена.
 const cacheGraceTTL = 2 * time.Minute
 // cacheCleanupInterval — период фоновой очистки протухших записей.
 const cacheCleanupInterval = 5 * time.Minute
 type tokenCacheEntry struct {
 	validUntil time.Time
 }
 var (
 	tokenCacheMu sync.RWMutex
 	tokenCache   = map[string]tokenCacheEntry{}
 )
 // tokenCacheKey — компактный ключ кэша: hex(SHA256(token)).
 func tokenCacheKey(token string) string {
 	h := sha256.Sum256([]byte(token))
 	return hex.EncodeToString(h[:])
 }
 // PingNubesAPICached — валидация токена через шлюз с кэшем.
 // HIT (запись валидна) → nil без обращения к шлюзу.
 // MISS → свежая проверка: успех → запись с TTL; 401/403 → удаление записи и ошибка.
 // Сетевая ошибка: если запись была (пусть и протухшая) → grace-продление и nil,
 // иначе — ошибка (шлюз недоступен, кэша нет — справедливый отказ).
 func PingNubesAPICached(ctx context.Context, endpoint, token string) error {
 	key := tokenCacheKey(token)
 	now := time.Now()
 	tokenCacheMu.RLock()
 	entry, ok := tokenCache[key]
 	tokenCacheMu.RUnlock()
 	if ok && now.Before(entry.validUntil) {
 		return nil // cache HIT
 	}
 	err := PingNubesAPI(ctx, endpoint, token)
 	if errors.Is(err, ErrTokenRejected) {
 		tokenCacheMu.Lock()
 		delete(tokenCache, key)
 		tokenCacheMu.Unlock()
 		return err
 	}
 	if err != nil {
 		// Сетевая ошибка шлюза: если токен ранее был валиден — даём grace.
 		if ok {
 			tokenCacheMu.Lock()
 			tokenCache[key] = tokenCacheEntry{validUntil: time.Now().Add(cacheGraceTTL)}
 			tokenCacheMu.Unlock()
 			return nil
 		}
 		return err
 	}
 	tokenCacheMu.Lock()
 	tokenCache[key] = tokenCacheEntry{validUntil: time.Now().Add(cacheTTL)}
 	tokenCacheMu.Unlock()
 	return nil
 }
 // WarmTokenCache — записывает токен в кэш как валидный без вызова шлюза.
 // Используется после успешной свежей проверки при логине (jwtAuth).
 func WarmTokenCache(token string) {
 	tokenCacheMu.Lock()
 	tokenCache[tokenCacheKey(token)] = tokenCacheEntry{validUntil: time.Now().Add(cacheTTL)}
 	tokenCacheMu.Unlock()
 }
 var tokenCacheCleanupOnce sync.Once
 // StartTokenCacheCleanup — фоновая очистка протухших записей. Идемпотентна (sync.Once).
 func StartTokenCacheCleanup() {
 	tokenCacheCleanupOnce.Do(func() {
 		go func() {
 			ticker := time.NewTicker(cacheCleanupInterval)
 			defer ticker.Stop()
 			for range ticker.C {
 				now := time.Now()
 				tokenCacheMu.Lock()
 				for k, e := range tokenCache {
 					if now.After(e.validUntil) {
 						delete(tokenCache, k)
 					}
 				}
 				tokenCacheMu.Unlock()
 			}
 		}()
 	})
 }
@@ -7,9 +7,9 @@ package auth
 import (
 	"context"
 	"crypto/sha256"
 	"encoding/base64"
 	"encoding/json"
 	"errors"
 	"fmt"
 	"net/http"
 	"strings"
@@ -65,35 +65,60 @@ func ParseJWTClaims(token string) (*JWTClaims, error) {
 	return &claims, nil
 }
-// TenantIDFromSub — вычисляет tenant ID из JWT subject (sub claim).
+// ErrTokenRejected — шлюз явно отклонил токен (401/403).
-// Алгоритм совместим с sless: SHA256(sub) → первые 8 байт → hex → "sless-{16hex}".
+// Sentinel, чтобы отличать отказ от сетевых ошибок (см. cache.go).
-// Длина: 6 + 16 = 22 символа. Детерминирован, необратим.
+var ErrTokenRejected = errors.New("token rejected by nubes API")
-// Почему "sless-" а не "ssq-": единый namespace для всех сервисов (IoT, funcs, SQS).
+
-func TenantIDFromSub(sub string) string {
+// nubesAPIEndpoints — стенды Nubes API Gateway, по которым валидируется токен.
-	hash := sha256.Sum256([]byte(sub))
+// Токен принимается, если ХОТЯ БЫ ОДИН стенд его принял.
-	return fmt.Sprintf("sless-%x", hash[:8])
+// Юзер может вводить токен от любого стенда — главное, что токен действительный.
 var nubesAPIEndpoints = []string{
 	"https://lk-api-gateway.ngcloud.ru/api/v1/svc",
 	"https://lk-api-gateway-test.ngcloud.ru/api/v1/svc",
 	"https://lk-api-gateway-dev.ngcloud.ru/api/v1/svc",
 }
-// PingNubesAPI — проверяет валидность токена запросом к nubes API.
+// PingNubesAPI — проверяет валидность токена перебором стендов Nubes API.
-// endpoint — базовый URL (например "https://deck-api-test.ngcloud.ru/api/v1").
+// endpoint (если задан через NUBES_ENDPOINT) пробуется первым.
-// Логика: 401/403 → токен отклонён. Ошибка соединения → API недоступен.
+// Логика: 401/403 → токен отклонён ЭТИМ стендом, пробуем следующий.
 // Любой другой HTTP статус → токен принят.
 func PingNubesAPI(ctx context.Context, endpoint, token string) error {
-	req, err := http.NewRequestWithContext(ctx, http.MethodGet, endpoint, nil)
+	candidates := make([]string, 0, len(nubesAPIEndpoints)+1)
 	if endpoint != "" {
 		candidates = append(candidates, endpoint)
 	}
 	for _, ep := range nubesAPIEndpoints {
 		if ep != endpoint {
 			candidates = append(candidates, ep)
 		}
 	}
 	var lastErr error
 	for _, ep := range candidates {
 		req, err := http.NewRequestWithContext(ctx, http.MethodGet, ep, nil)
 		if err != nil {
-		return fmt.Errorf("build nubes ping request: %w", err)
+			lastErr = fmt.Errorf("build nubes ping request: %w", err)
 			continue
 		}
 		req.Header.Set("Authorization", "Bearer "+token)
 		req.Header.Set("User-Agent", "Mozilla/5.0")
 		client := &http.Client{Timeout: 10 * time.Second}
 		resp, err := client.Do(req)
 		if err != nil {
-		return fmt.Errorf("nubes API unreachable at %s: %w", endpoint, err)
+			lastErr = fmt.Errorf("nubes API unreachable at %s: %w", ep, err)
 			continue
 		}
-	defer resp.Body.Close()
+		resp.Body.Close()
 		if resp.StatusCode == http.StatusUnauthorized || resp.StatusCode == http.StatusForbidden {
-		return fmt.Errorf("nubes API rejected token (HTTP %d)", resp.StatusCode)
+			lastErr = fmt.Errorf("%w (HTTP %d)", ErrTokenRejected, resp.StatusCode)
 			continue
 		}
 		return nil
 	}
 	if lastErr == nil {
 		lastErr = fmt.Errorf("nubes API rejected token")
 	}
 	return lastErr
 }
@@ -1,166 +0,0 @@
 package conf
 import (
 	"testing"
 	"shared-sqs/app/models"
 	"github.com/stretchr/testify/assert"
 )
 func TestConfig_NoQueuesOrTopics(t *testing.T) {
 	env := "NoQueuesOrTopics"
 	port := LoadYamlConfig("./mock-data/mock-config.yaml", env)
 	if port[0] != "4100" {
 		t.Errorf("Expected port number 4200 but got %s\n", port)
 	}
 	numQueues := len(envs[env].Queues)
 	if numQueues != 0 {
 		t.Errorf("Expected zero queues to be in the environment but got %d\n", numQueues)
 	}
 	numQueues = len(models.SyncQueues.Queues)
 	if numQueues != 0 {
 		t.Errorf("Expected zero queues to be in the sqs topics but got %d\n", numQueues)
 	}
 	numTopics := len(envs[env].Topics)
 	if numTopics != 0 {
 		t.Errorf("Expected zero topics to be in the environment but got %d\n", numTopics)
 	}
 	numTopics = len(models.SyncTopics.Topics)
 	if numTopics != 0 {
 		t.Errorf("Expected zero topics to be in the sns topics but got %d\n", numTopics)
 	}
 }
 func TestConfig_CreateQueuesTopicsAndSubscriptions(t *testing.T) {
 	env := "Local"
 	port := LoadYamlConfig("./mock-data/mock-config.yaml", env)
 	if port[0] != "4100" {
 		t.Errorf("Expected port number 4100 but got %s\n", port)
 	}
 	numQueues := len(envs[env].Queues)
 	if numQueues != 4 {
 		t.Errorf("Expected three queues to be in the environment but got %d\n", numQueues)
 	}
 	numQueues = len(models.SyncQueues.Queues)
 	if numQueues != 6 {
 		t.Errorf("Expected five queues to be in the sqs topics but got %d\n", numQueues)
 	}
 	numTopics := len(envs[env].Topics)
 	if numTopics != 2 {
 		t.Errorf("Expected two topics to be in the environment but got %d\n", numTopics)
 	}
 	numTopics = len(models.SyncTopics.Topics)
 	if numTopics != 2 {
 		t.Errorf("Expected two topics to be in the sns topics but got %d\n", numTopics)
 	}
 }
 func TestConfig_QueueAttributes(t *testing.T) {
 	var emptyQueue *models.Queue
 	env := "Local"
 	port := LoadYamlConfig("./mock-data/mock-config.yaml", env)
 	if port[0] != "4100" {
 		t.Errorf("Expected port number 4100 but got %s\n", port)
 	}
 	assert.Equal(t, 10, models.SyncQueues.Queues["local-queue1"].ReceiveMessageWaitTimeSeconds)
 	assert.Equal(t, 10, models.SyncQueues.Queues["local-queue1"].VisibilityTimeout)
 	assert.Equal(t, 1024, models.SyncQueues.Queues["local-queue1"].MaximumMessageSize)
 	assert.Equal(t, emptyQueue, models.SyncQueues.Queues["local-queue1"].DeadLetterQueue)
 	assert.Equal(t, 0, models.SyncQueues.Queues["local-queue1"].MaxReceiveCount)
 	assert.Equal(t, 345600, models.SyncQueues.Queues["local-queue1"].MessageRetentionPeriod)
 	assert.Equal(t, 100, models.SyncQueues.Queues["local-queue3"].MaxReceiveCount)
 	assert.Equal(t, "local-queue3-dlq", models.SyncQueues.Queues["local-queue3"].DeadLetterQueue.Name)
 	assert.Equal(t, 128, models.SyncQueues.Queues["local-queue2"].MaximumMessageSize)
 	assert.Equal(t, 150, models.SyncQueues.Queues["local-queue2"].VisibilityTimeout)
 	assert.Equal(t, 245600, models.SyncQueues.Queues["local-queue2"].MessageRetentionPeriod)
 }
 func TestConfig_NoQueueAttributeDefaults(t *testing.T) {
 	env := "NoQueueAttributeDefaults"
 	LoadYamlConfig("./mock-data/mock-config.yaml", env)
 	receiveWaitTime := models.SyncQueues.Queues["local-queue1"].ReceiveMessageWaitTimeSeconds
 	if receiveWaitTime != 0 {
 		t.Errorf("Expected local-queue1 Queue to be configured with ReceiveMessageWaitTimeSeconds: 0 but got %d\n", receiveWaitTime)
 	}
 	timeoutSecs := models.SyncQueues.Queues["local-queue1"].VisibilityTimeout
 	if timeoutSecs != 30 {
 		t.Errorf("Expected local-queue1 Queue to be configured with VisibilityTimeout: 30 but got %d\n", timeoutSecs)
 	}
 	receiveWaitTime = models.SyncQueues.Queues["local-queue2"].ReceiveMessageWaitTimeSeconds
 	if receiveWaitTime != 20 {
 		t.Errorf("Expected local-queue2 Queue to be configured with ReceiveMessageWaitTimeSeconds: 20 but got %d\n", receiveWaitTime)
 	}
 	messageRetentionPeriod := models.SyncQueues.Queues["local-queue1"].MessageRetentionPeriod
 	if messageRetentionPeriod != 345600 {
 		t.Errorf("Expected local-queue2 Queue to be configured with VisibilityTimeout: 150 but got %d\n", timeoutSecs)
 	}
 }
 func TestConfig_invalid_config_resorts_to_default_queue_attributes(t *testing.T) {
 	env := "missing"
 	port := LoadYamlConfig("./mock-data/mock-config.yaml", env)
 	if port[0] != "4100" {
 		t.Errorf("Expected port number 4100 but got %s\n", port)
 	}
 	assert.Equal(t, 262144, models.CurrentEnvironment.QueueAttributeDefaults.MaximumMessageSize)
 	assert.Equal(t, 345600, models.CurrentEnvironment.QueueAttributeDefaults.MessageRetentionPeriod)
 	assert.Equal(t, 0, models.CurrentEnvironment.QueueAttributeDefaults.ReceiveMessageWaitTimeSeconds)
 	assert.Equal(t, 30, models.CurrentEnvironment.QueueAttributeDefaults.VisibilityTimeout)
 }
 func TestConfig_LoadYamlConfig_finds_default_config(t *testing.T) {
 	expectedQueues := []string{
 		"local-queue1",
 		"local-queue2",
 		"local-queue3",
 		"local-queue3-dlq",
 		"local-queue4",
 	}
 	expectedTopics := []string{
 		"local-topic1",
 		"local-topic2",
 		"local-topic3",
 		"local-topic4",
 	}
 	env := "Local"
 	LoadYamlConfig("", env)
 	queues := models.SyncQueues.Queues
 	topics := models.SyncTopics.Topics
 	for _, expectedName := range expectedQueues {
 		_, ok := queues[expectedName]
 		assert.True(t, ok)
 	}
 	for _, expectedName := range expectedTopics {
 		_, ok := topics[expectedName]
 		assert.True(t, ok)
 	}
 }
 func TestConfig_LoadYamlConfig_missing_config_loads_nothing(t *testing.T) {
 	models.CurrentEnvironment = models.Environment{}
 	ports := LoadYamlConfig("/garbage", "Local")
 	assert.Equal(t, []string{"4100"}, ports)
 	assert.Equal(t, models.CurrentEnvironment, models.Environment{})
 }
 func TestConfig_LoadYamlConfig_invalid_config_loads_nothing(t *testing.T) {
 	models.CurrentEnvironment = models.Environment{}
 	ports := LoadYamlConfig("../common/common.go", "Local")
 	assert.Equal(t, []string{"4100"}, ports)
 	assert.Equal(t, models.CurrentEnvironment, models.Environment{})
 }
@@ -47,19 +47,26 @@ func ChangeMessageVisibilityV1(req *http.Request) (int, interfaces.AbstractRespo
 		return utils.CreateErrorResponseV1("InvalidParameterValue", true)
 	}
-	if _, ok := models.SyncQueues.Queues[key]; !ok {
+	// ВСЯ работа с очередью — под одним Lock.
 	// Раньше проверка существования шла БЕЗ блокировки (чтение map) —
 	// concurrent map read and map write при параллельном DeleteQueue
 	// (fatal error, под падал под нагрузкой).
 	// defer Unlock: при любой панике в секции мьютекс не останется захваченным.
 	models.SyncQueues.Lock()
 	defer models.SyncQueues.Unlock()
 	queue, exists := models.SyncQueues.Queues[key]
 	if !exists {
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
 	models.SyncQueues.Lock()
 	messageFound := false
 	var changedMsgUuid string
 	var msgRemoved bool
-	for i := 0; i < len(models.SyncQueues.Queues[key].Messages); i++ {
+	for i := 0; i < len(queue.Messages); i++ {
 		queue := models.SyncQueues.Queues[key]
 		msgs := queue.Messages
 		if msgs[i].ReceiptHandle == receiptHandle {
-			timeout := models.SyncQueues.Queues[key].VisibilityTimeout
+			timeout := queue.VisibilityTimeout
 			if visibilityTimeout == 0 {
 				msgs[i].ReceiptTime = time.Now().UTC()
 				msgs[i].ReceiptHandle = ""
@@ -83,23 +90,22 @@ func ChangeMessageVisibilityV1(req *http.Request) (int, interfaces.AbstractRespo
 			break
 		}
 	}
-	// Персистим изменения в Redis под Lock
+	// Персистим изменения в Redis под Lock (сетевые записи асинхронны).
 	if messageFound {
 		if msgRemoved {
 			// Сообщение удалено (перемещено в DLQ) — удаляем из Redis
 			persistence.DeleteMessagePersist(key, changedMsgUuid)
 		} else {
 			// Сообщение обновлено — перезаписываем в Redis
-			for i := range models.SyncQueues.Queues[key].Messages {
+			for i := range queue.Messages {
-				if models.SyncQueues.Queues[key].Messages[i].Uuid == changedMsgUuid {
+				if queue.Messages[i].Uuid == changedMsgUuid {
-					persistence.SaveMessage(key, &models.SyncQueues.Queues[key].Messages[i])
+					persistence.SaveMessage(key, &queue.Messages[i])
 					break
 				}
 			}
 		}
-		persistence.SaveQueue(key, models.SyncQueues.Queues[key])
+		persistence.SaveQueue(key, queue)
 	}
 	models.SyncQueues.Unlock()
 	if !messageFound {
 		return utils.CreateErrorResponseV1("MessageNotInFlight", true)
 	}
@@ -42,10 +42,6 @@ func ChangeMessageVisibilityBatchV1(req *http.Request) (int, interfaces.Abstract
 	key := tenantQueueKey(t.AccessKey, queueName)
 	if _, ok := models.SyncQueues.Queues[key]; !ok {
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
 	if len(requestBody.Entries) == 0 {
 		return utils.CreateErrorResponseV1("EmptyBatchRequest", true)
 	}
@@ -66,6 +62,13 @@ func ChangeMessageVisibilityBatchV1(req *http.Request) (int, interfaces.Abstract
 	models.SyncQueues.Lock()
 	defer models.SyncQueues.Unlock()
 	// Проверка существования очереди ВНУТРИ Lock: раньше была БЕЗ блокировки
 	// (чтение map) — concurrent map read/write при параллельном DeleteQueue.
 	queue, exists := models.SyncQueues.Queues[key]
 	if !exists {
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
 	successEntries := make([]models.ChangeMessageVisibilityBatchResultEntry, 0)
 	failedEntries := make([]models.BatchResultErrorEntry, 0)
@@ -81,7 +84,6 @@ func ChangeMessageVisibilityBatchV1(req *http.Request) (int, interfaces.Abstract
 		}
 		messageFound := false
 		queue := models.SyncQueues.Queues[key]
 		for i := 0; i < len(queue.Messages); i++ {
 			if queue.Messages[i].ReceiptHandle == entry.ReceiptHandle {
 				if entry.VisibilityTimeout == 0 {
@@ -114,7 +116,7 @@ func ChangeMessageVisibilityBatchV1(req *http.Request) (int, interfaces.Abstract
 	// Персистим изменения в Redis под Lock
 	if len(successEntries) > 0 {
-		persistence.SaveQueue(key, models.SyncQueues.Queues[key])
+		persistence.SaveQueue(key, queue)
 	}
 	respStruct := models.ChangeMessageVisibilityBatchResponse{
@@ -1,75 +0,0 @@
 package gosqs
 import (
 	"net/http"
 	"testing"
 	"shared-sqs/app/test"
 	"shared-sqs/app/fixtures"
 	"shared-sqs/app/models"
 	"github.com/stretchr/testify/assert"
 )
 func TestChangeMessageVisibility_success(t *testing.T) {
 	// create a queue
 	models.CurrentEnvironment = fixtures.LOCAL_ENVIRONMENT
 	defer func() {
 		models.ResetApp()
 	}()
 	q := &models.Queue{
 		Name: "testing",
 		Messages: []models.SqsMessage{{
 			MessageBody:   "test1",
 			ReceiptHandle: "123",
 		}},
 	}
 	models.SyncQueues.Queues["testing"] = q
 	// The default value for the VisibilityTimeout is the zero value of time.Time
 	assert.Zero(t, q.Messages[0].VisibilityTimeout)
 	_, r := test.GenerateRequestInfo("POST", "/", models.ChangeMessageVisibilityRequest{
 		QueueUrl:          "http://localhost:4100/queue/testing",
 		ReceiptHandle:     "123",
 		VisibilityTimeout: 0,
 	}, true)
 	status, _ := ChangeMessageVisibilityV1(r)
 	assert.Equal(t, status, http.StatusOK)
 	// Changing the message visibility increments the time.Time by N seconds
 	// from the current time.
 	//
 	// Given that the current time is relative between calling the endpoint and
 	// the time being set, we can't reliably assert an exact value. So assert
 	// that the time.Time value is no longer the default zero value.
 	assert.NotZero(t, q.Messages[0].VisibilityTimeout)
 	assert.NotZero(t, q.Messages[0].ReceiptTime)
 	assert.Equal(t, "", q.Messages[0].ReceiptHandle)
 	assert.Equal(t, 1, q.Messages[0].Retry)
 }
 func TestChangeMessageVisibility_success_adds_to_existing_visibility_timeout(t *testing.T) {
 	// TODO
 }
 func TestChangeMessageVisibility_success_transfers_to_dead_letter_queue(t *testing.T) {
 	// TODO
 }
 func TestChangeMessageVisibility_request_transformer_error(t *testing.T) {
 	// TODO
 }
 func TestChangeMessageVisibility_visibility_timeout_too_large(t *testing.T) {
 	// TODO
 }
 func TestChangeMessageVisibility_missing_queue(t *testing.T) {
 	// TODO
 }
 func TestChangeMessageVisibility_missing_message(t *testing.T) {
 	// TODO - mismatch receipt handle
 }
@@ -1,6 +1,3 @@
 // Изменено: 2026-04-10 — добавлена Redis persistence
 // CreateQueueV1 — создаёт очередь для тенанта из request context.
 // Ключ в SyncQueues: "{tenantAccessKey}:{queueName}" для изоляции между тенантами.
 package gosqs
 import (
@@ -15,6 +12,21 @@ import (
 	log "github.com/sirupsen/logrus"
 )
 // CreateQueueV1 — создаёт очередь для тенанта из request context.
 //
 // Логическая схема:
 //  1. Разбор тела запроса (Query/JSON) → CreateQueueRequest.
 //  2. Тенант из контекста (SigV4 → AccessKey).
 //  3. Валидация имени очереди по AWS-правилам: до 80 символов, [a-zA-Z0-9_-],
 //     опциональный суффикс .fifo (ValidateQueueName).
 //  4. Под Lock:
 //     - если очередь уже есть — просто возвращаем её URL (идемпотентность AWS);
 //     - проверка лимита очередей тенанта (MaxQueues) → LimitExceeded;
 //     - создание очереди с дефолтами и применение переданных атрибутов
 //     (setQueueAttributesV1 с валидацией диапазонов);
 //     - вставка в map с tenant-scoped ключом "{tenantAccessKey}:{queueName}".
 //  5. Сохранение очереди в Redis (асинхронно, маршалинг под Lock).
 //  6. Ответ: QueueUrl.
 func CreateQueueV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 	requestBody := models.NewCreateQueueRequest()
 	ok := utils.REQUEST_TRANSFORMER(requestBody, req, false)
@@ -53,7 +65,13 @@ func CreateQueueV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 			EnableDuplicates: models.CurrentEnvironment.EnableDuplicates,
 			Duplicates:       make(map[string]time.Time),
 		}
-		if err := setQueueAttributesV1(queue, requestBody.Attributes); err != nil {
+		// Список имён переданных атрибутов — для whitelist-валидации
 		// (Query-протокол: Attribute.N.Name; JSON: nil — проверка пропускается).
 		var provided map[string]string
 		if req.Header.Get("Content-Type") != "application/x-amz-json-1.0" {
 			provided = utils.ExtractQueueAttributes(req.PostForm)
 		}
 		if err := setQueueAttributesV1(queue, requestBody.Attributes, provided); err != nil {
 			models.SyncQueues.Unlock()
 			return utils.CreateErrorResponseV1(err.Error(), true)
 		}
@@ -40,10 +40,6 @@ func DeleteMessageBatchV1(req *http.Request) (int, interfaces.AbstractResponseBo
 	key := tenantQueueKey(t.AccessKey, queueName)
 	if _, ok := models.SyncQueues.Queues[key]; !ok {
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
 	if len(requestBody.Entries) == 0 {
 		return utils.CreateErrorResponseV1("EmptyBatchRequest", true)
 	}
@@ -63,6 +59,13 @@ func DeleteMessageBatchV1(req *http.Request) (int, interfaces.AbstractResponseBo
 	models.SyncQueues.Lock()
 	defer models.SyncQueues.Unlock()
 	// Проверка существования очереди ВНУТРИ Lock: раньше была БЕЗ блокировки
 	// (чтение map) — concurrent map read/write при параллельном DeleteQueue.
 	queue, exists := models.SyncQueues.Queues[key]
 	if !exists {
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
 	deleteMessageMap := make(map[string]*deleteEntry)
 	for _, entry := range requestBody.Entries {
 		deleteMessageMap[entry.ReceiptHandle] = &deleteEntry{
@@ -74,13 +77,13 @@ func DeleteMessageBatchV1(req *http.Request) (int, interfaces.AbstractResponseBo
 	deletedEntries := make([]models.DeleteMessageBatchResultEntry, 0)
 	deletedUuids := make([]string, 0)
-	remainingMessages := make([]models.SqsMessage, 0, len(models.SyncQueues.Queues[key].Messages))
+	remainingMessages := make([]models.SqsMessage, 0, len(queue.Messages))
-	for _, message := range models.SyncQueues.Queues[key].Messages {
+	for _, message := range queue.Messages {
 		if de, found := deleteMessageMap[message.ReceiptHandle]; found {
 			log.Debugf("FIFO Queue %s unlocking group %s:", queueName, message.GroupID)
-			models.SyncQueues.Queues[key].UnlockGroup(message.GroupID)
+			queue.UnlockGroup(message.GroupID)
-			delete(models.SyncQueues.Queues[key].Duplicates, message.DeduplicationID)
+			delete(queue.Duplicates, message.DeduplicationID)
 			de.Deleted = true
 			deletedEntries = append(deletedEntries, models.DeleteMessageBatchResultEntry{Id: de.Id})
 			deletedUuids = append(deletedUuids, message.Uuid)
@@ -89,11 +92,11 @@ func DeleteMessageBatchV1(req *http.Request) (int, interfaces.AbstractResponseBo
 		}
 	}
-	models.SyncQueues.Queues[key].Messages = remainingMessages
+	queue.Messages = remainingMessages
 	// Удаляем сообщения из Redis отдельно — O(batch_size)
 	persistence.DeleteMessagesPersist(key, deletedUuids)
 	// Метаданные очереди (duplicates, FIFO state)
-	persistence.SaveQueue(key, models.SyncQueues.Queues[key])
+	persistence.SaveQueue(key, queue)
 	notFoundEntries := make([]models.BatchResultErrorEntry, 0)
 	for _, de := range deleteMessageMap {
@@ -1,5 +1,3 @@
 // Изменено: 2026-04-10 — добавлена Redis persistence
 // DeleteQueueV1 — удаляет очередь тенанта по tenant-scoped ключу.
 package gosqs
 import (
@@ -14,6 +12,17 @@ import (
 	log "github.com/sirupsen/logrus"
 )
 // DeleteQueueV1 — удаляет очередь тенанта по tenant-scoped ключу.
 //
 // Логическая схема:
 //  1. Разбор тела запроса → DeleteQueueRequest.
 //  2. Тенант из контекста (SigV4 → AccessKey).
 //  3. Имя очереди из QueueUrl (последний сегмент) + tenant-scoped ключ.
 //  4. Под Lock: проверка существования очереди → QueueNotFound (фикс: раньше
 //     удаление несуществующей очереди возвращало 200, как будто она удалена);
 //     удаление очереди из in-memory map.
 //  5. Асинхронное удаление метаданных и всех сообщений очереди из Redis
 //     (persistence.DeleteQueue — защищено write-seq от гонки со SaveQueue).
 func DeleteQueueV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 	requestBody := models.NewDeleteQueueRequest()
 	ok := utils.REQUEST_TRANSFORMER(requestBody, req, false)
@@ -34,8 +43,14 @@ func DeleteQueueV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 	log.Infof("Deleting Queue: %s (tenant: %s)", queueName, t.ID)
 	models.SyncQueues.Lock()
 	defer models.SyncQueues.Unlock()
 	// Проверка существования: AWS возвращает NonExistentQueue, а не 200
 	// (раньше удаление несуществующей очереди молча «успевало»).
 	if _, ok := models.SyncQueues.Queues[key]; !ok {
 		log.Warnf("Delete Queue: %s does not exist (tenant: %s)", queueName, t.ID)
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
 	delete(models.SyncQueues.Queues, key)
 	models.SyncQueues.Unlock()
 	// Удаляем из Redis асинхронно
 	persistence.DeleteQueue(key)
@@ -13,16 +13,62 @@ func init() {
 	models.SyncQueues.Queues = make(map[string]*models.Queue)
 }
 // PeriodicTasks — фоновая обработка очередей, выполняется раз в `d` (1 секунда).
 //
 // Задачи на каждый такт (для КАЖДОЙ очереди, см. processQueueTick):
 //  1. Очистка просроченных записей deduplication-окна (FIFO).
 //  2. Возврат сообщений в видимое состояние по истечении VisibilityTimeout.
 //  3. Перенос сообщений в DeadLetterQueue при достижении MaxReceiveCount.
 //
 // ВАЖНО (фикс производительности): раньше глобальный SyncQueues.Lock удерживался
 // на время обхода ВСЕХ очередей — при большом числе очередей HTTP-обработчики
 // блокировались на секунды (наблюдались ReadTimeout и latency до 54 секунд).
 // Теперь блокировка захватывается ПО ОДНОЙ очереди: между обработкой двух
 // очередей другие горутины могут вклиниться.
 func PeriodicTasks(d time.Duration, quit chan bool) {
 	ticker := time.NewTicker(d)
 	for {
 		select {
 		case <-ticker.C:
-			models.SyncQueues.Lock()
+			// Снапшот указателей на очереди под коротким RLock.
-			for qName := range models.SyncQueues.Queues {
+			// Указатели остаются валидными после снятия RLock: очереди из map
-				queue := models.SyncQueues.Queues[qName]
+			// не удаляются во время итерации, а объекты живут в куче.
 			models.SyncQueues.RLock()
 			queues := make([]*models.Queue, 0, len(models.SyncQueues.Queues))
 			for _, queue := range models.SyncQueues.Queues {
 				queues = append(queues, queue)
 			}
 			models.SyncQueues.RUnlock()
-				// Reset deduplication period
+			// Каждую очередь обрабатываем под ОТДЕЛЬНЫМ Lock — блокировка одной
 			// очереди не мешает обработке остальных и HTTP-запросам.
 			for _, queue := range queues {
 				models.SyncQueues.Lock()
 				processQueueTick(queue)
 				models.SyncQueues.Unlock()
 			}
 		case <-quit:
 			ticker.Stop()
 			return
 		}
 	}
 }
 // processQueueTick — обработка ОДНОЙ очереди за один такт.
 //
 // ВЫЗЫВАТЬ ТОЛЬКО под удержанием SyncQueues.Lock.
 //
 // Логическая схема:
 //  1. Deduplication-окно (FIFO): удаляем записи старше DeduplicationPeriod.
 //  2. Проходим по сообщениям очереди:
 //     - пустой ReceiptHandle (не in-flight) — пропускаем;
 //     - VisibilityTimeout ещё не истёк — пропускаем;
 //     - иначе: возвращаем видимость (сброс ReceiptHandle, разблокировка
 //     FIFO-группы, обновление ReceiptTime), инкрементируем Retry;
 //     - если Retry >= MaxReceiveCount и настроена DLQ — переносим сообщение
 //     в DLQ и удаляем из исходной очереди.
 func processQueueTick(queue *models.Queue) {
 	// 1. Просроченные записи deduplication-окна.
 	for dedupId, startTime := range queue.Duplicates {
 		if time.Now().After(startTime.Add(models.DeduplicationPeriod)) {
 			log.Debugf("deduplication period for message with deduplicationId [%s] expired", dedupId)
@@ -30,32 +76,31 @@ func PeriodicTasks(d time.Duration, quit chan bool) {
 		}
 	}
 	// 2. Возврат видимости истёкших сообщений + перенос в DLQ.
 	log.Debugf("Queue [%s] length [%d]", queue.Name, len(queue.Messages))
 	for i := 0; i < len(queue.Messages); i++ {
 		msg := &queue.Messages[i]
-					if msg.ReceiptHandle != "" {
+		if msg.ReceiptHandle == "" {
-						if msg.VisibilityTimeout.Before(time.Now()) {
+			continue // сообщение не в полёте
 		}
 		if msg.VisibilityTimeout.After(time.Now()) {
 			continue // таймаут видимости ещё действует
 		}
 		log.Debugf("Making message visible again %s", msg.ReceiptHandle)
 		queue.UnlockGroup(msg.GroupID)
 		msg.ReceiptHandle = ""
 		msg.ReceiptTime = time.Now().UTC()
 		msg.Retry++
 		// 3. Перенос в DLQ при превышении MaxReceiveCount.
 		if queue.MaxReceiveCount > 0 &&
 			queue.DeadLetterQueue != nil &&
 			msg.Retry >= queue.MaxReceiveCount {
 			queue.DeadLetterQueue.Messages = append(queue.DeadLetterQueue.Messages, *msg)
 			queue.Messages = append(queue.Messages[:i], queue.Messages[i+1:]...)
-								i--
+			i-- // элемент на позиции i удалён — повторно проверяем новый элемент на ней
 							}
 						}
 					}
 				}
 			}
 			models.SyncQueues.Unlock()
 		case <-quit:
 			ticker.Stop()
 			return
 		}
 	}
 }
@@ -1,5 +1,3 @@
 // Изменено: 2026-04-10 — добавлена Redis persistence
 // PurgeQueueV1 — очищает все сообщения в очереди тенанта.
 package gosqs
 import (
@@ -15,6 +13,21 @@ import (
 	log "github.com/sirupsen/logrus"
 )
 // PurgeQueueV1 — очищает ВСЕ сообщения очереди тенанта.
 //
 // Логическая схема:
 //  1. Разбор тела запроса → PurgeQueueRequest.
 //  2. Тенант из контекста (SigV4 → AccessKey).
 //  3. Имя очереди из QueueUrl (последний сегмент).
 //  4. Под Lock:
 //     - проверка существования очереди → QueueNotFound;
 //     - защита от повторного purge (фикс): повторный вызов в течение 60 секунд
 //     → PurgeQueueInProgress (требование AWS). Раньше purge можно было
 //     вызывать без ограничений;
 //     - очистка in-memory сообщений и dedup-записей;
 //     - фиксация LastPurgeTime;
 //     - асинхронная очистка Redis (DEL хэша сообщений) + SaveQueue.
 //  5. Ответ: пустой PurgeQueueResponse.
 func PurgeQueueV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 	requestBody := models.NewPurgeQueueRequest()
 	ok := utils.REQUEST_TRANSFORMER(requestBody, req, false)
@@ -39,9 +52,18 @@ func PurgeQueueV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
 	// AWS: PurgeQueue допускается не чаще одного раза в 60 секунд на очередь.
 	// Нулевой LastPurgeTime (purge ещё не выполнялся) → запрет не срабатывает.
 	if time.Since(models.SyncQueues.Queues[key].LastPurgeTime) < 60*time.Second {
 		log.Warnf("Purge Queue: %s rejected — purge in progress (last: %s)", queueName, models.SyncQueues.Queues[key].LastPurgeTime.Format(time.RFC3339))
 		return utils.CreateErrorResponseV1("PurgeQueueInProgress", true)
 	}
 	log.Infof("Purging Queue: %s (tenant: %s)", queueName, t.ID)
 	models.SyncQueues.Queues[key].Messages = nil
 	models.SyncQueues.Queues[key].Duplicates = make(map[string]time.Time)
 	// Фиксируем время purge — защита от повторного вызова в течение 60 секунд.
 	models.SyncQueues.Queues[key].LastPurgeTime = time.Now()
 	// Удаляем все сообщения из Redis одной командой DEL
 	persistence.PurgeMessagesPersist(key)
 	// Сохраняем пустые метаданные очереди
@@ -9,27 +9,65 @@ import (
 	"shared-sqs/app/models"
 )
-// TODO - Support:
+// setQueueAttributesV1 — применяет атрибуты очереди с валидацией по AWS-спецификации.
-//   - attr.MessageRetentionPeriod
+//
-//   - attr.Policy
+// Логическая схема:
-//   - attr.RedriveAllowPolicy
+//  1. Whitelist имён: неизвестное имя атрибута → InvalidAttributeName.
-func setQueueAttributesV1(q *models.Queue, attr models.QueueAttributes) error {
+//     Список имён (provided) доступен для Query-протокола (form-параметры
-	// AWS-совместимые лимиты: clamp значений к допустимым диапазонам
+//     Attribute.N.Name); для JSON-протокола provided == nil и проверка пропускается
-	if attr.DelaySeconds >= 0 {
+//     (структура уже разобрана из тела, неизвестные поля отброшены).
-		q.DelaySeconds = ClampInt(attr.DelaySeconds.Int(), 0, MaxDelaySeconds)
+//  2. Применяются ТОЛЬКО явно переданные атрибуты (значение != 0).
 //     ВАЖНО (фикс): раньше условие `attr.X >= 0` срабатывало и для НЕ переданных
 //     полей (zero-value = 0) — вызов SetQueueAttributes с одним атрибутом
 //     обнулял все остальные атрибуты очереди.
 //  3. Значения вне диапазонов AWS → ошибка InvalidParameterValue
 //     (раньше значения молча клэмпились в допустимый диапазон).
 //  4. RedrivePolicy: ARN DLQ разбирается, DLQ должна существовать, иначе
 //     InvalidAttributeValue.
 func setQueueAttributesV1(q *models.Queue, attr models.QueueAttributes, provided map[string]string) error {
 	// Шаг 1: whitelist имён атрибутов (единый список — models.AttrNameWhitelist).
 	for name := range provided {
 		if !models.AttrNameWhitelist[name] {
 			return fmt.Errorf("InvalidAttributeName")
 		}
 	if attr.MaximumMessageSize >= 0 {
 		q.MaximumMessageSize = ClampInt(attr.MaximumMessageSize.Int(), MinMessageSizeLimit, MaxMessageSizeLimit)
 	}
-	if attr.MessageRetentionPeriod > 0 {
+
-		q.MessageRetentionPeriod = ClampInt(attr.MessageRetentionPeriod.Int(), MinMessageRetentionPeriod, MaxMessageRetentionPeriod)
+	// Шаг 2: применяем только явно переданные атрибуты с проверкой диапазонов.
 	// Диапазоны AWS: DelaySeconds 0–900, MaximumMessageSize 1024–262144,
 	// MessageRetentionPeriod 60–1209600, ReceiveMessageWaitTimeSeconds 0–20,
 	// VisibilityTimeout 0–43200.
 	if attr.DelaySeconds != 0 {
 		if attr.DelaySeconds.Int() < 0 || attr.DelaySeconds.Int() > MaxDelaySeconds {
 			return fmt.Errorf("InvalidParameterValue")
 		}
-	if attr.ReceiveMessageWaitTimeSeconds > 0 {
+		q.DelaySeconds = attr.DelaySeconds.Int()
 		q.ReceiveMessageWaitTimeSeconds = ClampInt(attr.ReceiveMessageWaitTimeSeconds.Int(), 0, MaxReceiveMessageWaitTimeSeconds)
 	}
-	if attr.VisibilityTimeout >= 0 {
+	if attr.MaximumMessageSize != 0 {
-		q.VisibilityTimeout = ClampInt(attr.VisibilityTimeout.Int(), 0, MaxVisibilityTimeout)
+		if attr.MaximumMessageSize.Int() < MinMessageSizeLimit || attr.MaximumMessageSize.Int() > MaxMessageSizeLimit {
 			return fmt.Errorf("InvalidParameterValue")
 		}
 		q.MaximumMessageSize = attr.MaximumMessageSize.Int()
 	}
 	if attr.MessageRetentionPeriod != 0 {
 		if attr.MessageRetentionPeriod.Int() < MinMessageRetentionPeriod || attr.MessageRetentionPeriod.Int() > MaxMessageRetentionPeriod {
 			return fmt.Errorf("InvalidParameterValue")
 		}
 		q.MessageRetentionPeriod = attr.MessageRetentionPeriod.Int()
 	}
 	if attr.ReceiveMessageWaitTimeSeconds != 0 {
 		if attr.ReceiveMessageWaitTimeSeconds.Int() < 0 || attr.ReceiveMessageWaitTimeSeconds.Int() > MaxReceiveMessageWaitTimeSeconds {
 			return fmt.Errorf("InvalidParameterValue")
 		}
 		q.ReceiveMessageWaitTimeSeconds = attr.ReceiveMessageWaitTimeSeconds.Int()
 	}
 	if attr.VisibilityTimeout != 0 {
 		if attr.VisibilityTimeout.Int() < 0 || attr.VisibilityTimeout.Int() > MaxVisibilityTimeout {
 			return fmt.Errorf("InvalidParameterValue")
 		}
 		q.VisibilityTimeout = attr.VisibilityTimeout.Int()
 	}
 	// Шаг 3: RedrivePolicy (dead-letter queue).
 	if attr.RedrivePolicy != (models.RedrivePolicy{}) {
 		arnArray := strings.Split(attr.RedrivePolicy.DeadLetterTargetArn, ":")
 		queueName := arnArray[len(arnArray)-1]
@@ -19,7 +19,27 @@ import (
 	log "github.com/sirupsen/logrus"
 )
 // ReceiveMessageV1 — получает до MaxNumberOfMessages сообщений из очереди тенанта.
 //
 // Логическая схема:
 //  1. Разбор тела запроса (Query-форма или JSON) → ReceiveMessageRequest.
 //  2. Аутентифицированный тенант из контекста (SigV4 → AccessKey).
 //  3. Валидация входных параметров (AWS-совместимая):
 //     - MaxNumberOfMessages: 1–10; 0 (не задан) = 1. Выход за диапазон — ошибка
 //     InvalidParameterValue (раньше значение молча клэмпилось).
 //     - VisibilityTimeout: 0–43200 секунд, иначе InvalidParameterValue.
 //     - WaitTimeSeconds: 0–20 секунд; 0 = брать атрибут очереди
 //     ReceiveMessageWaitTimeSeconds.
 //  4. Имя очереди: из QueueUrl (последний сегмент) или из пути /{account}/{queueName}.
 //  5. Выборка сообщений — АТОМАРНО под одним Lock (см. receiveMessagesUnderLock):
 //     устранена гонка TOCTOU, когда два параллельных receive видели одни и те же
 //     сообщения, но один из них получал пустой ответ («потери» сообщений).
 //  6. Long polling: при WaitTimeSeconds > 0 ждём сообщений тиками по 100 мс до
 //     истечения deadline; прерываемся по отмене HTTP-запроса (клиент отвалился).
 //
 // Возвращает HTTP 200 и ReceiveMessageResponse (пустой Result, если сообщений нет).
 func ReceiveMessageV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 	// --- Шаг 1: разбор тела запроса ---
 	requestBody := models.NewReceiveMessageRequest()
 	ok := utils.REQUEST_TRANSFORMER(requestBody, req, false)
 	if !ok {
@@ -27,18 +47,31 @@ func ReceiveMessageV1(req *http.Request) (int, interfaces.AbstractResponseBody)
 		return utils.CreateErrorResponseV1("InvalidParameterValue", true)
 	}
 	// --- Шаг 2: тенант из контекста ---
 	t := getTenantFromContext(req)
 	if t == nil {
 		return utils.CreateErrorResponseV1("InvalidClientTokenId", true)
 	}
 	// --- Шаг 3: валидация параметров ---
 	// MaxNumberOfMessages: AWS допускает 1–10; 0 (параметр не задан) означает 1.
 	// Выход за диапазон — ошибка, а не молчаливый clamp (так делает AWS).
 	maxNumberOfMessages := requestBody.MaxNumberOfMessages
 	if maxNumberOfMessages == 0 {
-		maxNumberOfMessages = 1
+		maxNumberOfMessages = MinNumberOfMessagesLimit
 	}
 	if maxNumberOfMessages < MinNumberOfMessagesLimit || maxNumberOfMessages > MaxNumberOfMessagesLimit {
 		return utils.CreateErrorResponseV1("InvalidParameterValue", true)
 	}
 	// Fix #8: clamp MaxNumberOfMessages к AWS лимиту 1–10
 	maxNumberOfMessages = ClampInt(maxNumberOfMessages, MinNumberOfMessagesLimit, MaxNumberOfMessagesLimit)
 	// VisibilityTimeout: AWS допускает 0–43200.
 	if requestBody.VisibilityTimeout < 0 || requestBody.VisibilityTimeout > MaxVisibilityTimeout {
 		return utils.CreateErrorResponseV1("InvalidParameterValue", true)
 	}
 	// --- Шаг 4: имя очереди ---
 	// QueueUrl не задан → берём из пути /{account}/{queueName} (старый стиль клиентов).
 	// QueueUrl задан → последний сегмент URL = имя очереди.
 	queueName := ""
 	if requestBody.QueueUrl == "" {
 		vars := mux.Vars(req)
@@ -50,118 +83,148 @@ func ReceiveMessageV1(req *http.Request) (int, interfaces.AbstractResponseBody)
 	key := tenantQueueKey(t.AccessKey, queueName)
-	if _, ok := models.SyncQueues.Queues[key]; !ok {
+	// ОДИН RLock на проверку существования И чтение атрибута очереди:
 	// раньше было два отдельных RLock — между ними очередь могла быть удалена
 	// (nil-deref при чтении ReceiveMessageWaitTimeSeconds).
 	models.SyncQueues.RLock()
 	queue, queueExists := models.SyncQueues.Queues[key]
 	if !queueExists {
 		models.SyncQueues.RUnlock()
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
 	var messages []*models.ResultMessage
 	respStruct := models.ReceiveMessageResponse{}
 	// Валидация VisibilityTimeout: AWS SQS допускает 0–43200
 	if requestBody.VisibilityTimeout < 0 || requestBody.VisibilityTimeout > MaxVisibilityTimeout {
 		return utils.CreateErrorResponseV1("InvalidParameterValue", true)
 	}
 	waitTimeSeconds := requestBody.WaitTimeSeconds
 	if waitTimeSeconds == 0 {
-		models.SyncQueues.RLock()
+		waitTimeSeconds = queue.ReceiveMessageWaitTimeSeconds
 		waitTimeSeconds = models.SyncQueues.Queues[key].ReceiveMessageWaitTimeSeconds
 		models.SyncQueues.RUnlock()
 	}
-	// Валидация WaitTimeSeconds: AWS SQS допускает 0–20, иначе ошибка
+	models.SyncQueues.RUnlock()
 	if waitTimeSeconds < 0 || waitTimeSeconds > MaxReceiveMessageWaitTimeSeconds {
 		return utils.CreateErrorResponseV1("InvalidParameterValue", true)
 	}
 	// --- Шаги 6–7: выборка сообщений (атомарно) + long polling ---
 	if waitTimeSeconds > 0 {
 		deadline := time.Now().Add(time.Duration(waitTimeSeconds) * time.Second)
 		pollTicker := time.NewTicker(100 * time.Millisecond)
 		defer pollTicker.Stop()
 		for {
-			models.SyncQueues.RLock()
+			// Атомарная проверка+выборка: между проверкой и выдачей другой
-			queue, queueFound := models.SyncQueues.Queues[key]
+			// получатель не может «съесть» сообщения — они помечаются
-			if !queueFound {
+			// ReceiptHandle в том же критическом участке (см. receiveMessagesUnderLock).
-				models.SyncQueues.RUnlock()
+			messages, found := receiveMessagesUnderLock(key, requestBody.VisibilityTimeout, maxNumberOfMessages)
-				return utils.CreateErrorResponseV1("QueueNotFound", true)
+			if found {
 				return http.StatusOK, buildReceiveResponse(messages)
 			}
-			messageFound := queueHasReceivableMessages(queue)
+			if time.Now().After(deadline) {
-			models.SyncQueues.RUnlock()
+				return http.StatusOK, buildReceiveResponse(nil)
 			if messageFound || time.Now().After(deadline) {
 				break
 			}
 			select {
 			case <-req.Context().Done():
-				return http.StatusOK, models.ReceiveMessageResponse{
+				// Клиент разорвал соединение — завершаем без ошибки.
-					Xmlns:    models.BaseXmlns,
+				return http.StatusOK, buildReceiveResponse(nil)
 					Result:   models.ReceiveMessageResult{},
 					Metadata: models.BaseResponseMetadata,
 				}
 			case <-pollTicker.C:
 			}
 		}
 	}
 	log.Debugf("Getting Message from Queue:%s (tenant: %s)", queueName, t.ID)
 	messages, _ := receiveMessagesUnderLock(key, requestBody.VisibilityTimeout, maxNumberOfMessages)
 	return http.StatusOK, buildReceiveResponse(messages)
 }
 // receiveMessagesUnderLock — АТОМАРНАЯ проверка и выборка сообщений очереди.
 //
 // ВЫЗЫВАТЬ БЕЗ удержания SyncQueues-блокировок.
 // Возвращает:
 //   - messages — готовые к ответу ResultMessage (уже помечены in-flight);
 //   - found=false — пригодных сообщений нет (очередь пуста, всё in-flight,
 //     всё на задержке доставки или все FIFO-группы заблокированы).
 //
 // Почему весь цикл под одним Lock (фикс гонки TOCTOU):
 // раньше проверка queueHasReceivableMessages выполнялась под RLock, а выборка —
 // под Lock отдельно. Два параллельных receive оба проходили проверку, затем
 // первый забирал все сообщения, а второй получал пустой ответ — сообщения
 // «терялись» для второго клиента. Теперь проверка и пометка ReceiptHandle
 // выполняются в одном критическом участке.
 //
 // Для каждого выбранного сообщения:
 //   - генерируется ReceiptHandle = {Uuid}#{случайный id} — уникален для каждой
 //     доставки (два разных receive не имеют одинакового хендла);
 //   - проставляется VisibilityTimeout (параметр запроса или атрибут очереди);
 //   - инкрементируется NumberOfReceives — счётчик доставок
 //     (ApproximateReceiveCount в ответе);
 //   - для FIFO-очереди блокируется группа (LockGroup) до DeleteMessage/таймаута.
 func receiveMessagesUnderLock(key string, visibilityTimeout, maxNumberOfMessages int) ([]*models.ResultMessage, bool) {
 	models.SyncQueues.Lock()
 	defer models.SyncQueues.Unlock()
-	if len(models.SyncQueues.Queues[key].Messages) > 0 {
+	queue, queueFound := models.SyncQueues.Queues[key]
 	if !queueFound || len(queue.Messages) == 0 {
 		return nil, false
 	}
 	// Быстрая предпроверка: есть ли вообще хотя бы одно готовое сообщение.
 	if !queueHasReceivableMessages(queue) {
 		return nil, false
 	}
 	messages := make([]*models.ResultMessage, 0)
 	numMsg := 0
-		messages = make([]*models.ResultMessage, 0)
+	for i := range queue.Messages {
 		for i := range models.SyncQueues.Queues[key].Messages {
 		if numMsg >= maxNumberOfMessages {
 			break
 		}
-
+		msg := &queue.Messages[i]
-			if models.SyncQueues.Queues[key].Messages[i].ReceiptHandle != "" {
+		if msg.ReceiptHandle != "" {
-				continue
+			continue // сообщение уже в полёте у другого получателя
 		}
 			msg := &models.SyncQueues.Queues[key].Messages[i]
 		if !msg.IsReadyForReceipt() {
-				continue
+			continue // задержка доставки (DelaySeconds / random latency) ещё не истекла
 		}
 		if queue.IsFIFO {
 			if queue.IsLocked(msg.GroupID) {
 				continue // FIFO-группа заблокирована предыдущим in-flight сообщением
 			}
 			queue.LockGroup(msg.GroupID)
 		}
-			if models.SyncQueues.Queues[key].IsFIFO {
+		// Пометка in-flight: уникальный ReceiptHandle + таймаут видимости.
-				if models.SyncQueues.Queues[key].IsLocked(msg.GroupID) {
+		msg.ReceiptHandle = msg.Uuid + "#" + uuid.NewString()
 					continue
 				}
 				models.SyncQueues.Queues[key].LockGroup(msg.GroupID)
 			}
 			randomId := uuid.NewString()
 			msg.ReceiptHandle = msg.Uuid + "#" + randomId
 		msg.ReceiptTime = time.Now().UTC()
-
+		if visibilityTimeout != 0 {
-			if requestBody.VisibilityTimeout != 0 {
+			msg.VisibilityTimeout = time.Now().Add(time.Duration(visibilityTimeout) * time.Second)
 				msg.VisibilityTimeout = time.Now().Add(time.Duration(requestBody.VisibilityTimeout) * time.Second)
 		} else {
-				msg.VisibilityTimeout = time.Now().Add(time.Duration(models.SyncQueues.Queues[key].VisibilityTimeout) * time.Second)
+			msg.VisibilityTimeout = time.Now().Add(time.Duration(queue.VisibilityTimeout) * time.Second)
 		}
 		msg.NumberOfReceives++
 		messages = append(messages, buildResultMessage(msg))
 		numMsg++
 	}
-		respStruct = models.ReceiveMessageResponse{
+	if numMsg == 0 {
-			"http://queue.amazonaws.com/doc/2012-11-05/",
+		return nil, false
 			models.ReceiveMessageResult{Messages: messages},
 			models.ResponseMetadata{RequestId: "00000000-0000-0000-0000-000000000000"},
 	}
-	} else {
+	return messages, true
 		log.Warning("No messages in Queue:", queueName)
 		respStruct = models.ReceiveMessageResponse{
 			Xmlns:    "http://queue.amazonaws.com/doc/2012-11-05/",
 			Result:   models.ReceiveMessageResult{},
 			Metadata: models.ResponseMetadata{RequestId: "00000000-0000-0000-0000-000000000000"},
 		}
 	}
 	return http.StatusOK, respStruct
 }
 // buildReceiveResponse — формирует успешный ответ ReceiveMessage.
 // При messages == nil Result содержит пустой список (как AWS: без <Message>).
 func buildReceiveResponse(messages []*models.ResultMessage) models.ReceiveMessageResponse {
 	return models.ReceiveMessageResponse{
 		Xmlns:    models.BaseXmlns,
 		Result:   models.ReceiveMessageResult{Messages: messages},
 		Metadata: models.BaseResponseMetadata,
 	}
 }
 // buildResultMessage — конвертирует SqsMessage в ResultMessage (XML/JSON ответ).
 //
 // Атрибуты AWS-совместимы:
 //   - ApproximateFirstReceiveTimestamp — время первой выдачи (ReceiptTime);
 //   - ApproximateReceiveCount — число доставок (NumberOfReceives + 1);
 //   - SentTimestamp — реальное время отправки (SentTime), НЕ время выдачи.
 //
 // MD5 тела берётся из кэша (посчитан при SendMessage) — без пересчёта.
 func buildResultMessage(m *models.SqsMessage) *models.ResultMessage {
 	return &models.ResultMessage{
 		MessageId:              m.Uuid,
@@ -179,6 +242,12 @@ func buildResultMessage(m *models.SqsMessage) *models.ResultMessage {
 	}
 }
 // queueHasReceivableMessages — проверяет, есть ли в очереди хотя бы ОДНО готовое
 // к выдаче сообщение: не in-flight, задержка доставки истекла, FIFO-группа не
 // заблокирована. Используется как быстрая предпроверка перед выборкой.
 //
 // ВАЖНО: вызывается ТОЛЬКО под удержанием блокировки (Lock или RLock) —
 // читает общее состояние очереди.
 func queueHasReceivableMessages(queue *models.Queue) bool {
 	for i := range queue.Messages {
 		msg := &queue.Messages[i]
@@ -1,7 +1,3 @@
 // Изменено: 2026-04-11 — убрано логирование тела сообщения (perf + security)
 // SendMessageV1 — добавляет сообщение в очередь тенанта.
 // Ловушка #6: queueName извлекается как ПОСЛЕДНИЙ сегмент URL — при URL вида
 // http://host/tenantID/queueName последний сегмент = queueName (правильно).
 package gosqs
 import (
@@ -21,6 +17,27 @@ import (
 	"github.com/gorilla/mux"
 )
 // SendMessageV1 — добавляет сообщение в очередь тенанта.
 //
 // Логическая схема:
 //  1. Разбор тела запроса (Query/JSON) → SendMessageRequest.
 //  2. Аутентифицированный тенант из контекста (SigV4 → AccessKey).
 //  3. Валидации:
 //     - MessageBody обязателен (пустой → MissingParameter);
 //     - DeduplicationId и GroupId ≤ 128 символов;
 //     - MessageAttributes ≤ 10;
 //     - FIFO-очередь БЕЗ MessageGroupId → MissingParameter (AWS требует GroupId
 //     для каждой отправки в FIFO);
 //     - размер тела ≤ MaximumMessageSize очереди → MessageTooBig;
 //     - число сообщений < лимита очереди (OOM-защита) → OverLimit.
 //  4. Построение SqsMessage: MD5 тела и атрибутов, UUID, метки времени, задержка.
 //  5. Атомарно под Lock:
 //     - FIFO: порядковый номер группы (NextSequenceNumber);
 //     - проверка дубликата по deduplicationId (дубль НЕ добавляется);
 //     - добавление в очередь + SaveMessage/SaveQueue в Redis.
 //     Примечание: сетевые Redis-записи асинхронны (asyncWrite), под Lock
 //     выполняется только json.Marshal — блокировка не удерживается на сетевом I/O.
 //  6. Ответ: MessageId, MD5OfMessageBody/MD5OfMessageAttributes, SequenceNumber (FIFO).
 func SendMessageV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 	requestBody := models.NewSendMessageRequest()
 	ok := utils.REQUEST_TRANSFORMER(requestBody, req, false)
@@ -78,6 +95,13 @@ func SendMessageV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 	delaySecs := queue.DelaySeconds
 	models.SyncQueues.RUnlock()
 	// FIFO-очередь БЕЗ MessageGroupId — ошибка: AWS требует GroupId для каждой
 	// отправки в FIFO (иначе невозможно гарантировать порядок внутри группы).
 	// Раньше сообщение просто попадало в группу с пустым именем.
 	if queueIsFIFO && messageGroupID == "" {
 		return utils.CreateErrorResponseV1("MissingParameter", true)
 	}
 	if maxMessageSize > 0 && len(messageBody) > maxMessageSize {
 		return utils.CreateErrorResponseV1("MessageTooBig", true)
 	}
@@ -105,22 +129,36 @@ func SendMessageV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 	msg.DelaySecs = delaySecs
 	models.SyncQueues.Lock()
-	fifoSeqNumber := ""
+	// Перепроверка под Lock: очередь могла быть удалена между RLock-проверкой
-	if models.SyncQueues.Queues[key].IsFIFO {
+	// выше и захватом Lock (иначе nil-pointer deref).
-		fifoSeqNumber = models.SyncQueues.Queues[key].NextSequenceNumber(messageGroupID)
+	queue = models.SyncQueues.Queues[key]
 	if queue == nil {
 		models.SyncQueues.Unlock()
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
 	// Повторная проверка лимита под Lock: между RLock-снимком и захватом Lock
 	// другие горутины могли добавить сообщения (мягкий OOM-лимит).
 	if len(queue.Messages) >= MaxMessagesForQueue(queue.IsFIFO) {
 		models.SyncQueues.Unlock()
 		return utils.CreateErrorResponseV1("OverLimit", true)
 	}
-	if !models.SyncQueues.Queues[key].IsDuplicate(messageDeduplicationID) {
+	fifoSeqNumber := ""
-		models.SyncQueues.Queues[key].Messages = append(models.SyncQueues.Queues[key].Messages, msg)
+	if queue.IsFIFO {
 		fifoSeqNumber = queue.NextSequenceNumber(messageGroupID)
 	}
 	if !queue.IsDuplicate(messageDeduplicationID) {
 		queue.Messages = append(queue.Messages, msg)
 		// Персистим одно сообщение отдельно — O(msg_size) вместо O(N*msg_size)
 		persistence.SaveMessage(key, &msg)
 	} else {
 		log.Debugf("Duplicate message deduplicationId [%s] in queue [%s]", messageDeduplicationID, queueName)
 	}
-	models.SyncQueues.Queues[key].InitDuplicatation(messageDeduplicationID)
+	queue.InitDuplicatation(messageDeduplicationID)
 	// Сохраняем метаданные очереди (FIFO state, duplicates) — без Messages
-	persistence.SaveQueue(key, models.SyncQueues.Queues[key])
+	persistence.SaveQueue(key, queue)
 	models.SyncQueues.Unlock()
 	// Логируем только метаданные — тело сообщения не логируется (perf + security)
 	log.Infof("Queue: %s, MessageId: %s, Size: %d bytes", queueName, msg.Uuid, len(messageBody))
@@ -105,7 +105,13 @@ func SendMessageBatchV1(req *http.Request) (int, interfaces.AbstractResponseBody
 	}
 	models.SyncQueues.Lock()
 	// Перепроверка под Lock: очередь могла быть удалена между RLock-проверкой
 	// выше и захватом Lock (иначе nil-pointer deref).
 	queue = models.SyncQueues.Queues[key]
 	if queue == nil {
 		models.SyncQueues.Unlock()
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
 	newMsgs := make([]models.SqsMessage, 0, len(sendEntries))
 	for _, sendEntry := range sendEntries {
 		msg := models.SqsMessage{MessageBody: sendEntry.MessageBody}
@@ -1,6 +1,3 @@
 // Изменено: 2026-04-10 — добавлена Redis persistence
 // SetQueueAttributesV1 — устанавливает атрибуты очереди тенанта.
 // Ловушка #9: при RedrivePolicy парсим ARN DLQ и DLQ тоже должна принадлежать тому же тенанту.
 package gosqs
 import (
@@ -15,6 +12,17 @@ import (
 	log "github.com/sirupsen/logrus"
 )
 // SetQueueAttributesV1 — устанавливает атрибуты очереди тенанта.
 //
 // Логическая схема:
 //  1. Разбор тела запроса (Query/JSON) → SetQueueAttributesRequest.
 //  2. QueueUrl обязателен → InvalidParameterValue.
 //  3. Тенант из контекста (SigV4 → AccessKey).
 //  4. Имя очереди из QueueUrl (последний сегмент) + tenant-scoped ключ.
 //  5. Под Lock: проверка существования очереди → QueueNotFound;
 //     применение атрибутов с валидацией (setQueueAttributesV1);
 //     сохранение очереди в Redis (асинхронно, маршалинг под Lock).
 //  6. Ответ: пустой SetQueueAttributesResponse (AWS так и отвечает).
 func SetQueueAttributesV1(req *http.Request) (int, interfaces.AbstractResponseBody) {
 	requestBody := models.NewSetQueueAttributesRequest()
 	ok := utils.REQUEST_TRANSFORMER(requestBody, req, false)
@@ -44,7 +52,16 @@ func SetQueueAttributesV1(req *http.Request) (int, interfaces.AbstractResponseBo
 		log.Warningf("Set Queue Attributes: %s, queue does not exist for tenant %s", queueName, t.ID)
 		return utils.CreateErrorResponseV1("QueueNotFound", true)
 	}
-	if err := setQueueAttributesV1(queue, requestBody.Attributes); err != nil {
+	// Список имён переданных атрибутов — для whitelist-валидации.
 	// Query-протокол: имена видны в form (Attribute.N.Name).
 	// JSON-протокол: структура уже разобрана из тела, список имён недоступен → nil
 	// (whitelist-проверка пропускается, неизвестные поля отброшены парсером).
 	var provided map[string]string
 	if req.Header.Get("Content-Type") != "application/x-amz-json-1.0" {
 		provided = utils.ExtractQueueAttributes(req.PostForm)
 	}
 	if err := setQueueAttributesV1(queue, requestBody.Attributes, provided); err != nil {
 		return utils.CreateErrorResponseV1(err.Error(), true)
 	}
 	// Сохраняем атрибуты в Redis пока держим Lock (через defer)
@@ -4,6 +4,10 @@ import (
 	"time"
 )
 // Version — версия сервиса. Переопределяется при сборке:
 // -ldflags "-X shared-sqs/app/models.Version=<версия>"
 var Version = "dev"
 var BaseXmlns = "http://queue.amazonaws.com/doc/2012-11-05/"
 var BaseResponseMetadata = ResponseMetadata{RequestId: "00000000-0000-0000-0000-000000000000"}
@@ -1,75 +0,0 @@
 package models
 import (
 	"encoding/json"
 	"testing"
 	"shared-sqs/app/test"
 	"github.com/stretchr/testify/assert"
 )
 type StringToIntStruct struct {
 	Field1 StringToInt `json:"Field1"`
 	Field2 StringToInt `json:"Field2"`
 }
 func TestStringToInt_unmarshalJSON_int(t *testing.T) {
 	body := struct {
 		Field1 int `json:"Field1"`
 		Field2 int `json:"Field2"`
 	}{
 		Field1: 1,
 		Field2: 2,
 	}
 	_, r := test.GenerateRequestInfo("POST", "/", body, true)
 	result := &StringToIntStruct{}
 	decoder := json.NewDecoder(r.Body)
 	err := decoder.Decode(result)
 	assert.Nil(t, err)
 	assert.Equal(t, StringToInt(1), result.Field1)
 	assert.Equal(t, StringToInt(2), result.Field2)
 }
 func TestStringToInt_unmarshalJSON_string(t *testing.T) {
 	body := struct {
 		Field1 string `json:"Field1"`
 		Field2 string `json:"Field2"`
 	}{
 		Field1: "1",
 		Field2: "2",
 	}
 	_, r := test.GenerateRequestInfo("POST", "/", body, true)
 	result := &StringToIntStruct{}
 	decoder := json.NewDecoder(r.Body)
 	err := decoder.Decode(result)
 	assert.Nil(t, err)
 	assert.Equal(t, StringToInt(1), result.Field1)
 	assert.Equal(t, StringToInt(2), result.Field2)
 }
 func TestStringToInt_unmarshalJSON_invalid_type_returns_error(t *testing.T) {
 	body := struct {
 		Field1 bool `json:"Field1"`
 		Field2 bool `json:"Field2"`
 	}{
 		Field1: true,
 		Field2: false,
 	}
 	_, r := test.GenerateRequestInfo("POST", "/", body, true)
 	result := &StringToIntStruct{}
 	decoder := json.NewDecoder(r.Body)
 	err := decoder.Decode(result)
 	assert.Error(t, err)
 }
 func TestStringToInt_int_returns_int_type(t *testing.T) {
 	s := StringToInt(1)
 	assert.Equal(t, int(1), s.Int())
 }
@@ -24,6 +24,12 @@ func init() {
 		"LimitExceeded": {HttpError: http.StatusBadRequest, Type: "LimitExceeded", Code: "AWS.SimpleQueueService.LimitExceeded", Message: "You've reached the limit on the number of queues."},
 		// MissingParameter — обязательный параметр отсутствует (например, пустой MessageBody)
 		"MissingParameter": {HttpError: http.StatusBadRequest, Type: "MissingParameter", Code: "MissingParameter", Message: "The request must contain the parameter MessageBody."},
 		// InvalidAttributeName — передан атрибут с неизвестным именем (SetQueueAttributes)
 		"InvalidAttributeName": {HttpError: http.StatusBadRequest, Type: "InvalidAttributeName", Code: "AWS.SimpleQueueService.InvalidAttributeName", Message: "Unknown Attribute."},
 		// PurgeQueueInProgress — повторный PurgeQueue на очереди ранее чем через 60 секунд
 		"PurgeQueueInProgress": {HttpError: http.StatusForbidden, Type: "Sender", Code: "AWS.SimpleQueueService.PurgeQueueInProgress", Message: "Only one PurgeQueue operation on a queue is allowed every 60 seconds."},
 		// OverLimit — превышен лимит сообщений в очереди (OOM-защита)
 		"OverLimit": {HttpError: http.StatusBadRequest, Type: "OverLimit", Code: "OverLimit", Message: "The queue contains the maximum number of messages."},
 	}
 }
@@ -63,38 +63,66 @@ type Queue struct {
 	EnableDuplicates              bool
 	Duplicates                    map[string]time.Time
 	Tags                          map[string]string
 	// LastPurgeTime — время последнего успешного PurgeQueue.
 	// Используется для запрета повторного purge ранее чем через 60 секунд
 	// (требование AWS: PurgeQueueInProgress). Нулевое значение = purge ещё не выполнялся.
 	LastPurgeTime time.Time
 }
 // NextSequenceNumber — возвращает следующий порядковый номер сообщения FIFO-группы.
 //
 // Логическая схема: каждый вызов инкрементирует счётчик группы и возвращает
 // его строковое представление (порядковые номера в FIFO должны расти монотонно).
 //
 // ВАЖНО (фикс): раньше при ПЕРВОМ обращении к группе map пересоздавалась целиком
 // (q.FIFOSequenceNumbers = map[string]int{groupId: 0}) — счётчики ВСЕХ остальных
 // групп терялись, и порядковые номера начинали дублироваться. Теперь map только
 // инициализируется один раз (если nil), а счётчик конкретной группы инкрементируется.
 func (q *Queue) NextSequenceNumber(groupId string) string {
-	if _, ok := q.FIFOSequenceNumbers[groupId]; !ok {
+	if q.FIFOSequenceNumbers == nil {
-		q.FIFOSequenceNumbers = map[string]int{
+		q.FIFOSequenceNumbers = make(map[string]int)
 			groupId: 0,
 	}
 	}
 	q.FIFOSequenceNumbers[groupId]++
 	return strconv.Itoa(q.FIFOSequenceNumbers[groupId])
 }
 // IsLocked — проверяет, заблокирована ли FIFO-группа.
 // Группа блокируется при выдаче её сообщения в ReceiveMessage и остаётся
 // заблокированной, пока сообщение in-flight (до DeleteMessage или таймаута
 // видимости) — это гарантирует порядок обработки внутри группы.
 func (q *Queue) IsLocked(groupId string) bool {
 	_, ok := q.FIFOMessages[groupId]
 	return ok
 }
 // LockGroup — блокирует FIFO-группу (помечает как занятую).
 //
 // ВАЖНО (фикс): раньше при ПЕРВОМ обращении map пересоздавалась целиком
 // (q.FIFOMessages = map[string]int{groupId: 0}) — блокировки ВСЕХ остальных
 // групп терялись, и их сообщения могли выдаваться одновременно. Теперь map
 // только инициализируется один раз, а для группы проставляется ключ.
 func (q *Queue) LockGroup(groupId string) {
-	if _, ok := q.FIFOMessages[groupId]; !ok {
+	if q.FIFOMessages == nil {
-		q.FIFOMessages = map[string]int{
+		q.FIFOMessages = make(map[string]int)
 			groupId: 0,
 		}
 	}
 	q.FIFOMessages[groupId] = 0
 }
 // UnlockGroup — снимает блокировку FIFO-группы.
 // Вызывается после удаления сообщения или при истечении таймаута видимости
 // (см. PeriodicTasks → processQueueTick).
 func (q *Queue) UnlockGroup(groupId string) {
 	if _, ok := q.FIFOMessages[groupId]; ok {
 		delete(q.FIFOMessages, groupId)
 	}
 }
 // IsDuplicate — проверяет, было ли сообщение с таким deduplicationId уже
 // добавлено в очередь в пределах deduplication-окна.
 //
 // Логическая схема: дубликаты отслеживаются ТОЛЬКО для FIFO-очередей с
 // включённой дупликацией (EnableDuplicates) и непустым deduplicationId.
 // Для остальных случаев дубликаты не отслеживаются (AWS-семантика).
 func (q *Queue) IsDuplicate(deduplicationId string) bool {
 	if !q.EnableDuplicates || !q.IsFIFO || deduplicationId == "" {
 		return false
@@ -105,6 +133,10 @@ func (q *Queue) IsDuplicate(deduplicationId string) bool {
 	return ok
 }
 // InitDuplicatation — регистрирует deduplicationId с текущим временем.
 // Эта отметка — начало deduplication-окна; просроченные записи удаляются
 // фоновой задачей PeriodicTasks (deduplication period expired).
 // Для не-FIFO очередей или пустого deduplicationId — no-op.
 func (q *Queue) InitDuplicatation(deduplicationId string) {
 	if !q.EnableDuplicates || !q.IsFIFO || deduplicationId == "" {
 		return
@@ -1,73 +0,0 @@
 package models
 import (
 	"testing"
 	"time"
 	"github.com/stretchr/testify/assert"
 )
 func TestFilterPolicy_IsSatisfiedBy(t *testing.T) {
 	var tests = []struct {
 		filterPolicy      *FilterPolicy
 		messageAttributes map[string]MessageAttribute
 		expected          bool
 	}{
 		{
 			&FilterPolicy{"foo": {"bar"}},
 			map[string]MessageAttribute{"foo": {DataType: "String", StringValue: "bar"}},
 			true,
 		},
 		{
 			&FilterPolicy{"foo": {"bar", "xyz"}},
 			map[string]MessageAttribute{"foo": {DataType: "String", StringValue: "xyz"}},
 			true,
 		},
 		{
 			&FilterPolicy{"foo": {"bar", "xyz"}, "abc": {"def"}},
 			map[string]MessageAttribute{"foo": {DataType: "String", StringValue: "xyz"},
 				"abc": {DataType: "String", StringValue: "def"}},
 			true,
 		},
 		{
 			&FilterPolicy{"foo": {"bar"}},
 			map[string]MessageAttribute{"foo": {DataType: "String", StringValue: "baz"}},
 			false,
 		},
 		{
 			&FilterPolicy{"foo": {"bar"}},
 			map[string]MessageAttribute{},
 			false,
 		},
 		{
 			&FilterPolicy{"foo": {"bar"}, "abc": {"def"}},
 			map[string]MessageAttribute{"foo": {DataType: "String", StringValue: "bar"}},
 			false,
 		},
 		{
 			&FilterPolicy{"foo": {"bar"}},
 			map[string]MessageAttribute{"foo": {DataType: "Binary", BinaryValue: "bar"}},
 			false,
 		},
 	}
 	for i, tt := range tests {
 		actual := tt.filterPolicy.IsSatisfiedBy(tt.messageAttributes)
 		if tt.filterPolicy.IsSatisfiedBy(tt.messageAttributes) != tt.expected {
 			t.Errorf("#%d FilterPolicy: expected %t, actual %t", i, tt.expected, actual)
 		}
 	}
 }
 func TestMessage_IsReadyForReceipt(t *testing.T) {
 	CurrentEnvironment.RandomLatency.Min = 100
 	CurrentEnvironment.RandomLatency.Max = 100
 	msg := SqsMessage{
 		SentTime: time.Now(),
 	}
 	assert.False(t, msg.IsReadyForReceipt())
 	duration, _ := time.ParseDuration("105ms")
 	time.Sleep(duration)
 	assert.True(t, msg.IsReadyForReceipt())
 }
@@ -401,6 +401,53 @@ type QueueAttributes struct {
 	RedriveAllowPolicy map[string]interface{} `json:"RedriveAllowPolicy"` // NOTE: not implemented
 }
 // AttrNameWhitelist — имена атрибутов, допустимые в SetQueueAttributes/CreateQueue.
 // Используется для валидации в ОБОИХ протоколах:
 //   - Query (form Attribute.N.Name) — в app/gosqs/queue_attributes.go;
 //   - JSON — в UnmarshalJSON ниже (стандартный парсер молча отбрасывает
 //     неизвестные поля, поэтому проверка выполняется вручную).
 //
 // Policy/RedriveAllowPolicy — допустимы для совместимости, но не реализованы (no-op).
 var AttrNameWhitelist = map[string]bool{
 	"DelaySeconds":                  true,
 	"MaximumMessageSize":            true,
 	"MessageRetentionPeriod":        true,
 	"Policy":                        true,
 	"ReceiveMessageWaitTimeSeconds": true,
 	"VisibilityTimeout":             true,
 	"RedrivePolicy":                 true,
 	"RedriveAllowPolicy":            true,
 	// FIFO-атрибуты: FifoQueue у нас выводится из суффикса .fifo имени очереди,
 	// но клиенты присылают эти атрибуты в CreateQueue — они допустимы (no-op).
 	"FifoQueue":                 true,
 	"ContentBasedDeduplication": true,
 }
 // UnmarshalJSON — строгая разборка QueueAttributes для JSON-протокола.
 //
 // Логическая схема:
 //  1. Разбираем тело в map[string]json.RawMessage, чтобы увидеть ВСЕ ключи.
 //  2. Каждый ключ проверяем по AttrNameWhitelist: неизвестное имя → ошибка
 //     (раньше парсер молча отбрасывал чужие поля и SetQueueAttributes принимал
 //     любой атрибут — «неверное имя атрибута принято» из нагрузочного теста).
 //  3. Разбираем штатно: все известные поля попадают в структуру, вложенный
 //     RedrivePolicy использует собственный UnmarshalJSON.
 //
 // Ошибка приводит к TransformRequest=false → InvalidParameterValue в handler.
 func (q *QueueAttributes) UnmarshalJSON(data []byte) error {
 	var raw map[string]json.RawMessage
 	if err := json.Unmarshal(data, &raw); err != nil {
 		return err
 	}
 	for name := range raw {
 		if !AttrNameWhitelist[name] {
 			return fmt.Errorf("invalid attribute name: %s", name)
 		}
 	}
 	type plain QueueAttributes
 	return json.Unmarshal(data, (*plain)(q))
 }
 type RedrivePolicy struct {
 	MaxReceiveCount     StringToInt `json:"maxReceiveCount"`
 	DeadLetterTargetArn string      `json:"deadLetterTargetArn"`
@@ -1,739 +0,0 @@
 package models
 import (
 	"encoding/json"
 	"fmt"
 	"math/rand"
 	"net/url"
 	"sync"
 	"testing"
 	"time"
 	"github.com/stretchr/testify/assert"
 )
 func TestNewCreateQueueRequest(t *testing.T) {
 	CurrentEnvironment.QueueAttributeDefaults.MaximumMessageSize = 262144
 	CurrentEnvironment.QueueAttributeDefaults.MessageRetentionPeriod = 345600
 	CurrentEnvironment.QueueAttributeDefaults.ReceiveMessageWaitTimeSeconds = 10
 	CurrentEnvironment.QueueAttributeDefaults.VisibilityTimeout = 30
 	defer func() {
 		ResetApp()
 	}()
 	expectedCreateQueueRequest := &CreateQueueRequest{
 		Attributes: QueueAttributes{
 			DelaySeconds:                  0,
 			MaximumMessageSize:            262144,
 			MessageRetentionPeriod:        345600,
 			ReceiveMessageWaitTimeSeconds: 10,
 			VisibilityTimeout:             30,
 		},
 	}
 	result := NewCreateQueueRequest()
 	assert.Equal(t, expectedCreateQueueRequest, result)
 }
 func TestCreateQueueRequest_SetAttributesFromForm_success(t *testing.T) {
 	expectedRedrivePolicy := RedrivePolicy{
 		MaxReceiveCount:     100,
 		DeadLetterTargetArn: "dead-letter-queue-arn",
 	}
 	form := url.Values{}
 	form.Add("Action", "CreateQueue")
 	form.Add("QueueName", "new-queue")
 	form.Add("Version", "2012-11-05")
 	form.Add("Attribute.1.Name", "DelaySeconds")
 	form.Add("Attribute.1.Value", "1")
 	form.Add("Attribute.2.Name", "MaximumMessageSize")
 	form.Add("Attribute.2.Value", "2")
 	form.Add("Attribute.3.Name", "MessageRetentionPeriod")
 	form.Add("Attribute.3.Value", "3")
 	form.Add("Attribute.4.Name", "Policy")
 	form.Add("Attribute.4.Value", "{\"i-am\":\"the-policy\"}")
 	form.Add("Attribute.5.Name", "ReceiveMessageWaitTimeSeconds")
 	form.Add("Attribute.5.Value", "4")
 	form.Add("Attribute.6.Name", "VisibilityTimeout")
 	form.Add("Attribute.6.Value", "5")
 	form.Add("Attribute.7.Name", "RedrivePolicy")
 	form.Add("Attribute.7.Value", "{\"maxReceiveCount\": 100, \"deadLetterTargetArn\":\"dead-letter-queue-arn\"}")
 	form.Add("Attribute.8.Name", "RedriveAllowPolicy")
 	form.Add("Attribute.8.Value", "{\"i-am\":\"the-redrive-allow-policy\"}")
 	cqr := &CreateQueueRequest{
 		Attributes: QueueAttributes{
 			DelaySeconds:                  1,
 			MaximumMessageSize:            262144,
 			MessageRetentionPeriod:        345600,
 			ReceiveMessageWaitTimeSeconds: 10,
 			VisibilityTimeout:             30,
 		},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.Equal(t, StringToInt(1), cqr.Attributes.DelaySeconds)
 	assert.Equal(t, StringToInt(2), cqr.Attributes.MaximumMessageSize)
 	assert.Equal(t, StringToInt(3), cqr.Attributes.MessageRetentionPeriod)
 	assert.Equal(t, map[string]interface{}{"i-am": "the-policy"}, cqr.Attributes.Policy)
 	assert.Equal(t, StringToInt(4), cqr.Attributes.ReceiveMessageWaitTimeSeconds)
 	assert.Equal(t, StringToInt(5), cqr.Attributes.VisibilityTimeout)
 	assert.Equal(t, expectedRedrivePolicy, cqr.Attributes.RedrivePolicy)
 	assert.Equal(t, map[string]interface{}{"i-am": "the-redrive-allow-policy"}, cqr.Attributes.RedriveAllowPolicy)
 }
 func TestCreateQueueRequest_SetAttributesFromForm_success_handles_redrive_recieve_count_int(t *testing.T) {
 	expectedRedrivePolicy := RedrivePolicy{
 		MaxReceiveCount:     100,
 		DeadLetterTargetArn: "dead-letter-queue-arn",
 	}
 	form := url.Values{}
 	form.Add("Attribute.1.Name", "RedrivePolicy")
 	form.Add("Attribute.1.Value", "{\"maxReceiveCount\": 100, \"deadLetterTargetArn\":\"dead-letter-queue-arn\"}")
 	cqr := &CreateQueueRequest{
 		Attributes: QueueAttributes{},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.Equal(t, expectedRedrivePolicy, cqr.Attributes.RedrivePolicy)
 }
 func TestCreateQueueRequest_SetAttributesFromForm_success_handles_redrive_recieve_count_string(t *testing.T) {
 	expectedRedrivePolicy := RedrivePolicy{
 		MaxReceiveCount:     100,
 		DeadLetterTargetArn: "dead-letter-queue-arn",
 	}
 	form := url.Values{}
 	form.Add("Attribute.1.Name", "RedrivePolicy")
 	form.Add("Attribute.1.Value", "{\"maxReceiveCount\": \"100\", \"deadLetterTargetArn\":\"dead-letter-queue-arn\"}")
 	cqr := &CreateQueueRequest{
 		Attributes: QueueAttributes{},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.Equal(t, expectedRedrivePolicy, cqr.Attributes.RedrivePolicy)
 }
 func TestCreateQueueRequest_SetAttributesFromForm_success_default_unparsable_redrive_recieve_count(t *testing.T) {
 	defaultRedrivePolicy := RedrivePolicy{
 		MaxReceiveCount:     10,
 		DeadLetterTargetArn: "dead-letter-queue-arn",
 	}
 	form := url.Values{}
 	form.Add("Attribute.1.Name", "RedrivePolicy")
 	form.Add("Attribute.1.Value", "{\"maxReceiveCount\": null, \"deadLetterTargetArn\":\"dead-letter-queue-arn\"}")
 	cqr := &CreateQueueRequest{
 		Attributes: QueueAttributes{},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.Equal(t, defaultRedrivePolicy, cqr.Attributes.RedrivePolicy)
 }
 func TestCreateQueueRequest_SetAttributesFromForm_success_skips_invalid_values(t *testing.T) {
 	form := url.Values{}
 	form.Add("Attribute.1.Name", "DelaySeconds")
 	form.Add("Attribute.1.Value", "garbage")
 	form.Add("Attribute.2.Name", "MaximumMessageSize")
 	form.Add("Attribute.2.Value", "garbage")
 	form.Add("Attribute.3.Name", "MessageRetentionPeriod")
 	form.Add("Attribute.3.Value", "garbage")
 	form.Add("Attribute.4.Name", "Policy")
 	form.Add("Attribute.4.Value", "garbage")
 	form.Add("Attribute.5.Name", "ReceiveMessageWaitTimeSeconds")
 	form.Add("Attribute.5.Value", "garbage")
 	form.Add("Attribute.6.Name", "VisibilityTimeout")
 	form.Add("Attribute.6.Value", "garbage")
 	form.Add("Attribute.7.Name", "RedrivePolicy")
 	form.Add("Attribute.7.Value", "garbage")
 	form.Add("Attribute.8.Name", "RedriveAllowPolicy")
 	form.Add("Attribute.8.Value", "garbage")
 	cqr := &CreateQueueRequest{
 		Attributes: QueueAttributes{
 			DelaySeconds:                  1,
 			MaximumMessageSize:            262144,
 			MessageRetentionPeriod:        345600,
 			ReceiveMessageWaitTimeSeconds: 10,
 			VisibilityTimeout:             30,
 		},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.Equal(t, StringToInt(1), cqr.Attributes.DelaySeconds)
 	assert.Equal(t, StringToInt(262144), cqr.Attributes.MaximumMessageSize)
 	assert.Equal(t, StringToInt(345600), cqr.Attributes.MessageRetentionPeriod)
 	assert.Equal(t, map[string]interface{}(nil), cqr.Attributes.Policy)
 	assert.Equal(t, StringToInt(10), cqr.Attributes.ReceiveMessageWaitTimeSeconds)
 	assert.Equal(t, StringToInt(30), cqr.Attributes.VisibilityTimeout)
 	assert.Equal(t, RedrivePolicy{}, cqr.Attributes.RedrivePolicy)
 	assert.Equal(t, map[string]interface{}(nil), cqr.Attributes.RedriveAllowPolicy)
 }
 func TestRedrivePolicy_UnmarshalJSON_handles_nested_json(t *testing.T) {
 	request := struct {
 		MaxReceiveCount     int    `json:"maxReceiveCount"`
 		DeadLetterTargetArn string `json:"deadLetterTargetArn"`
 	}{
 		MaxReceiveCount:     100,
 		DeadLetterTargetArn: "arn:redrive-queue",
 	}
 	b, _ := json.Marshal(request)
 	var r = RedrivePolicy{}
 	err := r.UnmarshalJSON(b)
 	assert.Nil(t, err)
 	assert.Equal(t, StringToInt(100), r.MaxReceiveCount)
 	assert.Equal(t, fmt.Sprintf("%s:%s", "arn", "redrive-queue"), r.DeadLetterTargetArn)
 }
 func TestRedrivePolicy_UnmarshalJSON_handles_escaped_string(t *testing.T) {
 	request := `{"maxReceiveCount":"100","deadLetterTargetArn":"arn:redrive-queue"}`
 	b, _ := json.Marshal(request)
 	var r = RedrivePolicy{}
 	err := r.UnmarshalJSON(b)
 	assert.Nil(t, err)
 	assert.Equal(t, StringToInt(100), r.MaxReceiveCount)
 	assert.Equal(t, fmt.Sprintf("%s:%s", "arn", "redrive-queue"), r.DeadLetterTargetArn)
 }
 func TestRedrivePolicy_UnmarshalJSON_invalid_json_request_returns_error(t *testing.T) {
 	request := fmt.Sprintf(`{\"maxReceiveCount\":\"100\",\"deadLetterTargetArn\":\"arn:redrive-queue\"}`)
 	var r = RedrivePolicy{}
 	err := r.UnmarshalJSON([]byte(request))
 	assert.Error(t, err)
 	assert.Equal(t, StringToInt(0), r.MaxReceiveCount)
 	assert.Equal(t, "", r.DeadLetterTargetArn)
 }
 func TestRedrivePolicy_UnmarshalJSON_invalid_type_returns_error(t *testing.T) {
 	request := `{"maxReceiveCount":true,"deadLetterTargetArn":"arn:redrive-queue"}`
 	b, _ := json.Marshal(request)
 	var r = RedrivePolicy{}
 	err := r.UnmarshalJSON(b)
 	assert.Error(t, err)
 	assert.Equal(t, StringToInt(0), r.MaxReceiveCount)
 	assert.Equal(t, "", r.DeadLetterTargetArn)
 }
 func TestNewListQueuesRequest_SetAttributesFromForm(t *testing.T) {
 	form := url.Values{}
 	form.Add("MaxResults", "1")
 	form.Add("NextToken", "next-token")
 	form.Add("QueueNamePrefix", "queue-name-prefix")
 	lqr := &ListQueueRequest{}
 	lqr.SetAttributesFromForm(form)
 	assert.Equal(t, 1, lqr.MaxResults)
 	assert.Equal(t, "next-token", lqr.NextToken)
 	assert.Equal(t, "queue-name-prefix", lqr.QueueNamePrefix)
 }
 func TestListQueuesRequest_SetAttributesFromForm_invalid_max_results(t *testing.T) {
 	form := url.Values{}
 	form.Add("MaxResults", "1.0")
 	form.Add("NextToken", "next-token")
 	form.Add("QueueNamePrefix", "queue-name-prefix")
 	lqr := &ListQueueRequest{}
 	lqr.SetAttributesFromForm(form)
 	assert.Equal(t, 0, lqr.MaxResults)
 	assert.Equal(t, "next-token", lqr.NextToken)
 	assert.Equal(t, "queue-name-prefix", lqr.QueueNamePrefix)
 }
 func TestGetQueueAttributesRequest_SetAttributesFromForm(t *testing.T) {
 	form := url.Values{}
 	form.Add("QueueUrl", "queue-url")
 	form.Add("AttributeName.1", "attribute-1")
 	form.Add("AttributeName.2", "attribute-2")
 	lqr := &GetQueueAttributesRequest{}
 	lqr.SetAttributesFromForm(form)
 	assert.Equal(t, "queue-url", lqr.QueueUrl)
 	assert.Equal(t, 2, len(lqr.AttributeNames))
 	assert.Contains(t, lqr.AttributeNames, "attribute-1")
 	assert.Contains(t, lqr.AttributeNames, "attribute-2")
 }
 func TestGetQueueAttributesRequest_SetAttributesFromForm_skips_invalid_key_sequence(t *testing.T) {
 	form := url.Values{}
 	form.Add("QueueUrl", "queue-url")
 	form.Add("AttributeName.1", "attribute-1")
 	form.Add("AttributeName.3", "attribute-3")
 	lqr := &GetQueueAttributesRequest{}
 	lqr.SetAttributesFromForm(form)
 	assert.Equal(t, "queue-url", lqr.QueueUrl)
 	assert.Equal(t, 1, len(lqr.AttributeNames))
 	assert.Contains(t, lqr.AttributeNames, "attribute-1")
 }
 func TestSendMessageRequest_SetAttributesFromForm_success(t *testing.T) {
 	form := url.Values{}
 	form.Add("MessageAttribute.1.Name", "Attr1")
 	form.Add("MessageAttribute.1.Value.DataType", "String")
 	form.Add("MessageAttribute.1.Value.StringValue", "Value1")
 	form.Add("MessageAttribute.2.Name", "Attr2")
 	form.Add("MessageAttribute.2.Value.DataType", "Binary")
 	form.Add("MessageAttribute.2.Value.BinaryValue", "VmFsdWUy")
 	form.Add("MessageAttribute.3.Name", "")
 	form.Add("MessageAttribute.3.Value.DataType", "String")
 	form.Add("MessageAttribute.3.Value.StringValue", "Value")
 	form.Add("MessageAttribute.4.Name", "Attr4")
 	form.Add("MessageAttribute.4.Value.DataType", "")
 	form.Add("MessageAttribute.4.Value.StringValue", "Value4")
 	r := &SendMessageRequest{
 		MessageAttributes:       make(map[string]MessageAttribute),
 		MessageSystemAttributes: make(map[string]MessageAttribute),
 	}
 	r.SetAttributesFromForm(form)
 	assert.Equal(t, 2, len(r.MessageAttributes))
 	assert.NotNil(t, r.MessageAttributes["Attr1"])
 	attr1 := r.MessageAttributes["Attr1"]
 	assert.Equal(t, "String", attr1.DataType)
 	assert.Equal(t, "Value1", attr1.StringValue)
 	assert.Empty(t, attr1.BinaryValue)
 	assert.NotNil(t, r.MessageAttributes["Attr2"])
 	attr2 := r.MessageAttributes["Attr2"]
 	assert.Equal(t, "Binary", attr2.DataType)
 	assert.Empty(t, attr2.StringValue)
 	assert.Equal(t, "VmFsdWUy", attr2.BinaryValue)
 }
 func TestSetQueueAttributesRequest_SetAttributesFromForm_success(t *testing.T) {
 	expectedRedrivePolicy := RedrivePolicy{
 		MaxReceiveCount:     100,
 		DeadLetterTargetArn: "dead-letter-queue-arn",
 	}
 	form := url.Values{}
 	form.Add("Action", "CreateQueue")
 	form.Add("QueueName", "new-queue")
 	form.Add("Version", "2012-11-05")
 	form.Add("Attribute.1.Name", "DelaySeconds")
 	form.Add("Attribute.1.Value", "1")
 	form.Add("Attribute.2.Name", "MaximumMessageSize")
 	form.Add("Attribute.2.Value", "2")
 	form.Add("Attribute.3.Name", "MessageRetentionPeriod")
 	form.Add("Attribute.3.Value", "3")
 	form.Add("Attribute.4.Name", "Policy")
 	form.Add("Attribute.4.Value", "{\"i-am\":\"the-policy\"}")
 	form.Add("Attribute.5.Name", "ReceiveMessageWaitTimeSeconds")
 	form.Add("Attribute.5.Value", "4")
 	form.Add("Attribute.6.Name", "VisibilityTimeout")
 	form.Add("Attribute.6.Value", "5")
 	form.Add("Attribute.7.Name", "RedrivePolicy")
 	form.Add("Attribute.7.Value", "{\"maxReceiveCount\": 100, \"deadLetterTargetArn\":\"dead-letter-queue-arn\"}")
 	form.Add("Attribute.8.Name", "RedriveAllowPolicy")
 	form.Add("Attribute.8.Value", "{\"i-am\":\"the-redrive-allow-policy\"}")
 	cqr := &SetQueueAttributesRequest{
 		Attributes: QueueAttributes{
 			DelaySeconds:                  1,
 			MaximumMessageSize:            262144,
 			MessageRetentionPeriod:        345600,
 			ReceiveMessageWaitTimeSeconds: 10,
 			VisibilityTimeout:             30,
 		},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.Equal(t, StringToInt(1), cqr.Attributes.DelaySeconds)
 	assert.Equal(t, StringToInt(2), cqr.Attributes.MaximumMessageSize)
 	assert.Equal(t, StringToInt(3), cqr.Attributes.MessageRetentionPeriod)
 	assert.Equal(t, map[string]interface{}{"i-am": "the-policy"}, cqr.Attributes.Policy)
 	assert.Equal(t, StringToInt(4), cqr.Attributes.ReceiveMessageWaitTimeSeconds)
 	assert.Equal(t, StringToInt(5), cqr.Attributes.VisibilityTimeout)
 	assert.Equal(t, expectedRedrivePolicy, cqr.Attributes.RedrivePolicy)
 	assert.Equal(t, map[string]interface{}{"i-am": "the-redrive-allow-policy"}, cqr.Attributes.RedriveAllowPolicy)
 }
 func TestSetQueueAttributesRequest_SetAttributesFromForm_success_handles_redrive_recieve_count_int(t *testing.T) {
 	expectedRedrivePolicy := RedrivePolicy{
 		MaxReceiveCount:     100,
 		DeadLetterTargetArn: "dead-letter-queue-arn",
 	}
 	form := url.Values{}
 	form.Add("Attribute.1.Name", "RedrivePolicy")
 	form.Add("Attribute.1.Value", "{\"maxReceiveCount\": 100, \"deadLetterTargetArn\":\"dead-letter-queue-arn\"}")
 	cqr := &SetQueueAttributesRequest{
 		Attributes: QueueAttributes{},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.Equal(t, expectedRedrivePolicy, cqr.Attributes.RedrivePolicy)
 }
 func TestSetQueueAttributesRequest_SetAttributesFromForm_success_handles_redrive_recieve_count_string(t *testing.T) {
 	expectedRedrivePolicy := RedrivePolicy{
 		MaxReceiveCount:     100,
 		DeadLetterTargetArn: "dead-letter-queue-arn",
 	}
 	form := url.Values{}
 	form.Add("Attribute.1.Name", "RedrivePolicy")
 	form.Add("Attribute.1.Value", "{\"maxReceiveCount\": \"100\", \"deadLetterTargetArn\":\"dead-letter-queue-arn\"}")
 	cqr := &SetQueueAttributesRequest{
 		Attributes: QueueAttributes{},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.Equal(t, expectedRedrivePolicy, cqr.Attributes.RedrivePolicy)
 }
 func TestSetQueueAttributesRequest_SetAttributesFromForm_success_default_unparsable_redrive_recieve_count(t *testing.T) {
 	defaultRedrivePolicy := RedrivePolicy{
 		MaxReceiveCount:     10,
 		DeadLetterTargetArn: "dead-letter-queue-arn",
 	}
 	form := url.Values{}
 	form.Add("Attribute.1.Name", "RedrivePolicy")
 	form.Add("Attribute.1.Value", "{\"maxReceiveCount\": null, \"deadLetterTargetArn\":\"dead-letter-queue-arn\"}")
 	cqr := &SetQueueAttributesRequest{
 		Attributes: QueueAttributes{},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.Equal(t, defaultRedrivePolicy, cqr.Attributes.RedrivePolicy)
 }
 func TestSetQueueAttributesRequest_SetAttributesFromForm_success_skips_invalid_values(t *testing.T) {
 	form := url.Values{}
 	form.Add("Attribute.1.Name", "DelaySeconds")
 	form.Add("Attribute.1.Value", "garbage")
 	form.Add("Attribute.2.Name", "MaximumMessageSize")
 	form.Add("Attribute.2.Value", "garbage")
 	form.Add("Attribute.3.Name", "MessageRetentionPeriod")
 	form.Add("Attribute.3.Value", "garbage")
 	form.Add("Attribute.4.Name", "Policy")
 	form.Add("Attribute.4.Value", "garbage")
 	form.Add("Attribute.5.Name", "ReceiveMessageWaitTimeSeconds")
 	form.Add("Attribute.5.Value", "garbage")
 	form.Add("Attribute.6.Name", "VisibilityTimeout")
 	form.Add("Attribute.6.Value", "garbage")
 	form.Add("Attribute.7.Name", "RedrivePolicy")
 	form.Add("Attribute.7.Value", "garbage")
 	form.Add("Attribute.8.Name", "RedriveAllowPolicy")
 	form.Add("Attribute.8.Value", "garbage")
 	cqr := &SetQueueAttributesRequest{
 		Attributes: QueueAttributes{
 			DelaySeconds:                  1,
 			MaximumMessageSize:            262144,
 			MessageRetentionPeriod:        345600,
 			ReceiveMessageWaitTimeSeconds: 10,
 			VisibilityTimeout:             30,
 		},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.Equal(t, StringToInt(1), cqr.Attributes.DelaySeconds)
 	assert.Equal(t, StringToInt(262144), cqr.Attributes.MaximumMessageSize)
 	assert.Equal(t, StringToInt(345600), cqr.Attributes.MessageRetentionPeriod)
 	assert.Equal(t, map[string]interface{}(nil), cqr.Attributes.Policy)
 	assert.Equal(t, StringToInt(10), cqr.Attributes.ReceiveMessageWaitTimeSeconds)
 	assert.Equal(t, StringToInt(30), cqr.Attributes.VisibilityTimeout)
 	assert.Equal(t, RedrivePolicy{}, cqr.Attributes.RedrivePolicy)
 	assert.Equal(t, map[string]interface{}(nil), cqr.Attributes.RedriveAllowPolicy)
 }
 func TestNewCreateTopicRequest(t *testing.T) {
 	defer func() {
 		ResetApp()
 	}()
 	result := NewCreateTopicRequest()
 	assert.Equal(t, false, result.Attributes.FifoTopic)
 	assert.Equal(t, StringToInt(1), result.Attributes.SignatureVersion)
 	assert.Equal(t, "Active", result.Attributes.TracingConfig)
 	assert.Equal(t, false, result.Attributes.ContentBasedDeduplication)
 }
 func TestCreateTopicRequest_SetAttributesFromForm_success(t *testing.T) {
 	form := url.Values{}
 	form.Add("Action", "CreateQueue")
 	form.Add("QueueName", "new-queue")
 	form.Add("Version", "2012-11-05")
 	form.Add("Attribute.1.Name", "DeliveryPolicy")
 	form.Add("Attribute.1.Value", "{\"i-am\":\"the-policy\", \"name\":\"delivery-policy\"}")
 	form.Add("Attribute.2.Name", "DisplayName")
 	form.Add("Attribute.2.Value", "Foo")
 	form.Add("Attribute.3.Name", "FifoTopic")
 	form.Add("Attribute.3.Value", "true")
 	form.Add("Attribute.4.Name", "Policy")
 	form.Add("Attribute.4.Value", "{\"i-am\":\"the-policy\", \"name\":\"policy\"}")
 	form.Add("Attribute.5.Name", "SignatureVersion")
 	form.Add("Attribute.5.Value", "99")
 	form.Add("Attribute.6.Name", "TracingConfig")
 	form.Add("Attribute.6.Value", "PassThrough")
 	form.Add("Attribute.7.Name", "KmsMasterKeyId")
 	form.Add("Attribute.7.Value", "1234abcd-12ab-34cd-56ef-1234567890ab")
 	form.Add("Attribute.8.Name", "ArchivePolicy")
 	form.Add("Attribute.8.Value", "{\"i-am\":\"the-policy\", \"name\":\"archive-policy\"}")
 	form.Add("Attribute.9.Name", "BeginningArchiveTime")
 	form.Add("Attribute.9.Value", "2024-07-01T23:59:59+09:00")
 	form.Add("Attribute.10.Name", "ContentBasedDeduplication")
 	form.Add("Attribute.10.Value", "true")
 	ctr := &CreateTopicRequest{}
 	ctr.SetAttributesFromForm(form)
 	assert.Equal(t, 2, len(ctr.Attributes.DeliveryPolicy))
 	assert.Equal(t, "the-policy", ctr.Attributes.DeliveryPolicy["i-am"])
 	assert.Equal(t, "delivery-policy", ctr.Attributes.DeliveryPolicy["name"])
 	assert.Equal(t, "Foo", ctr.Attributes.DisplayName)
 	assert.Equal(t, true, ctr.Attributes.FifoTopic)
 	assert.Equal(t, 2, len(ctr.Attributes.Policy))
 	assert.Equal(t, "the-policy", ctr.Attributes.Policy["i-am"])
 	assert.Equal(t, "policy", ctr.Attributes.Policy["name"])
 	assert.Equal(t, StringToInt(99), ctr.Attributes.SignatureVersion)
 	assert.Equal(t, "PassThrough", ctr.Attributes.TracingConfig)
 	assert.Equal(t, "1234abcd-12ab-34cd-56ef-1234567890ab", ctr.Attributes.KmsMasterKeyId)
 	assert.Equal(t, 2, len(ctr.Attributes.ArchivePolicy))
 	assert.Equal(t, "the-policy", ctr.Attributes.ArchivePolicy["i-am"])
 	assert.Equal(t, "archive-policy", ctr.Attributes.ArchivePolicy["name"])
 	assert.Equal(t, "2024-07-01T23:59:59+09:00", ctr.Attributes.BeginningArchiveTime)
 	assert.Equal(t, true, ctr.Attributes.ContentBasedDeduplication)
 }
 func TestSubscribeRequest_SetAttributesFromForm_success(t *testing.T) {
 	form := url.Values{}
 	form.Add("Attributes.entry.1.key", "RawMessageDelivery")
 	form.Add("Attributes.entry.1.value", "true")
 	form.Add("Attributes.entry.2.key", "FilterPolicy")
 	form.Add("Attributes.entry.2.value", "{\"filter\": [\"policy\"]}")
 	cqr := &SubscribeRequest{
 		Attributes: SubscriptionAttributes{},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.True(t, cqr.Attributes.RawMessageDelivery)
 	assert.Equal(t, FilterPolicy{"filter": []string{"policy"}}, cqr.Attributes.FilterPolicy)
 }
 func TestSubscribeRequest_SetAttributesFromForm_skips_invalid_values(t *testing.T) {
 	form := url.Values{}
 	form.Add("Attributes.entry.1.key", "RawMessageDelivery")
 	form.Add("Attributes.entry.1.value", "garbage")
 	form.Add("Attributes.entry.2.key", "FilterPolicy")
 	form.Add("Attributes.entry.2.value", "also-garbage")
 	cqr := &SubscribeRequest{
 		Attributes: SubscriptionAttributes{},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.False(t, cqr.Attributes.RawMessageDelivery)
 	assert.Equal(t, FilterPolicy(nil), cqr.Attributes.FilterPolicy)
 }
 func TestSubscribeRequest_SetAttributesFromForm_stops_if_attributes_not_numbered_sequentially(t *testing.T) {
 	form := url.Values{}
 	form.Add("Attributes.entry.2.key", "RawMessageDelivery")
 	form.Add("Attributes.entry.2.value", "garbage")
 	form.Add("Attributes.entry.3.key", "FilterPolicy")
 	form.Add("Attributes.entry.3.value", "also-garbage")
 	cqr := &SubscribeRequest{
 		Attributes: SubscriptionAttributes{},
 	}
 	cqr.SetAttributesFromForm(form)
 	assert.False(t, cqr.Attributes.RawMessageDelivery)
 	assert.Equal(t, FilterPolicy(nil), cqr.Attributes.FilterPolicy)
 }
 func Test_DeleteMessageBatchRequest_SetAttributesFromForm_success(t *testing.T) {
 	form := url.Values{}
 	form.Add("DeleteMessageBatchRequestEntry.1.Id", "message-id-1")
 	form.Add("DeleteMessageBatchRequestEntry.1.ReceiptHandle", "receipt-handle-1")
 	form.Add("DeleteMessageBatchRequestEntry.2.Id", "message-id-2")
 	form.Add("DeleteMessageBatchRequestEntry.2.ReceiptHandle", "receipt-handle-2")
 	form.Add("DeleteMessageBatchRequestEntry.3.Id", "message-id-3")
 	form.Add("DeleteMessageBatchRequestEntry.3.ReceiptHandle", "receipt-handle-3")
 	dmbr := &DeleteMessageBatchRequest{}
 	dmbr.SetAttributesFromForm(form)
 	assert.Len(t, dmbr.Entries, 3)
 	assert.Equal(t, "message-id-1", dmbr.Entries[0].Id)
 	assert.Equal(t, "receipt-handle-1", dmbr.Entries[0].ReceiptHandle)
 	assert.Equal(t, "message-id-2", dmbr.Entries[1].Id)
 	assert.Equal(t, "receipt-handle-2", dmbr.Entries[1].ReceiptHandle)
 	assert.Equal(t, "message-id-3", dmbr.Entries[2].Id)
 	assert.Equal(t, "receipt-handle-3", dmbr.Entries[2].ReceiptHandle)
 }
 func Test_DeleteMessageBatchRequest_SetAttributesFromForm_stops_at_non_sequential_keys(t *testing.T) {
 	form := url.Values{}
 	form.Add("DeleteMessageBatchRequestEntry.1.Id", "message-id-1")
 	form.Add("DeleteMessageBatchRequestEntry.1.ReceiptHandle", "receipt-handle-1")
 	form.Add("DeleteMessageBatchRequestEntry.4.Id", "message-id-2")
 	form.Add("DeleteMessageBatchRequestEntry.4.ReceiptHandle", "receipt-handle-2")
 	form.Add("DeleteMessageBatchRequestEntry.3.Id", "message-id-3")
 	form.Add("DeleteMessageBatchRequestEntry.3.ReceiptHandle", "receipt-handle-3")
 	dmbr := &DeleteMessageBatchRequest{}
 	dmbr.SetAttributesFromForm(form)
 	assert.Len(t, dmbr.Entries, 1)
 	assert.Equal(t, "message-id-1", dmbr.Entries[0].Id)
 	assert.Equal(t, "receipt-handle-1", dmbr.Entries[0].ReceiptHandle)
 }
 func Test_DeleteMessageBatchRequest_SetAttributesFromForm_stops_at_invalid_keys(t *testing.T) {
 	form := url.Values{}
 	form.Add("DeleteMessageBatchRequestEntry.1.Id", "message-id-1")
 	form.Add("DeleteMessageBatchRequestEntry.1.ReceiptHandle", "receipt-handle-1")
 	form.Add("INVALID_DeleteMessageBatchRequestEntry.2.Id", "message-id-2")
 	form.Add("DeleteMessageBatchRequestEntry.2.ReceiptHandle", "receipt-handle-2")
 	form.Add("DeleteMessageBatchRequestEntry.3.Id", "message-id-3")
 	form.Add("DeleteMessageBatchRequestEntry.3.ReceiptHandle", "receipt-handle-3")
 	dmbr := &DeleteMessageBatchRequest{}
 	dmbr.SetAttributesFromForm(form)
 	assert.Len(t, dmbr.Entries, 1)
 	assert.Equal(t, "message-id-1", dmbr.Entries[0].Id)
 	assert.Equal(t, "receipt-handle-1", dmbr.Entries[0].ReceiptHandle)
 }
 func TestPublishRequest_SetAttributesFromForm_success_concurrent(t *testing.T) {
 	form := url.Values{}
 	form.Add("MessageAttributes.entry.1.Name", "test1")
 	form.Add("MessageAttributes.entry.1.Value.DataType", "String")
 	form.Add("MessageAttributes.entry.1.Value.StringValue", "sample-string")
 	form.Add("MessageAttributes.entry.2.Name", "test2")
 	form.Add("MessageAttributes.entry.2.Value.DataType", "Binary")
 	form.Add("MessageAttributes.entry.2.Value.BinaryValue", "YmluYXJ5LXZhbHVl")
 	// if the code is not thread-safe, repeated runs increase the chance of detecting a race.
 	for r := 0; r < 10; r++ {
 		var wg sync.WaitGroup
 		goroutineCount := 40
 		// launch goroutines in parallel to simulate concurrent access.
 		for g := 0; g < goroutineCount; g++ {
 			wg.Add(1)
 			go func() {
 				defer wg.Done()
 				// introduce a random delay to encourage goroutine interleaving
 				time.Sleep(time.Duration(rand.Intn(5)) * time.Millisecond)
 				cqr := &PublishRequest{
 					MessageAttributes: make(map[string]MessageAttribute),
 				}
 				cqr.SetAttributesFromForm(form)
 				// validate the expected DataType values
 				assert.Equal(t, "String", cqr.MessageAttributes["test1"].DataType)
 				assert.Equal(t, "Binary", cqr.MessageAttributes["test2"].DataType)
 			}()
 		}
 		wg.Wait()
 	}
 }
 func TestParseMessageAttributes(t *testing.T) {
 	for _, tc := range []struct {
 		description string
 		values      url.Values
 		keyPrefix   string
 		want        map[string]MessageAttribute
 	}{
 		{
 			description: "empty",
 			values:      url.Values{},
 			keyPrefix:   "foo",
 			want:        nil,
 		},
 		{
 			description: "simple",
 			values: url.Values{
 				"MessageAttribute.1.Name":              []string{"Attr1"},
 				"MessageAttribute.1.Value.DataType":    []string{"String"},
 				"MessageAttribute.1.Value.StringValue": []string{"Value1"},
 				"MessageAttribute.2.Name":              []string{"Attr2"},
 				"MessageAttribute.2.Value.DataType":    []string{"Binary"},
 				"MessageAttribute.2.Value.BinaryValue": []string{"VmFsdWUy"},
 			},
 			keyPrefix: "MessageAttribute",
 			want: map[string]MessageAttribute{
 				"Attr1": {
 					DataType:    "String",
 					StringValue: "Value1",
 					BinaryValue: "",
 				},
 				"Attr2": {
 					DataType:    "Binary",
 					BinaryValue: "VmFsdWUy",
 				},
 			},
 		},
 		{
 			description: "attributes after empty name ignored",
 			values: url.Values{
 				"MessageAttribute.1.Name":              []string{""},
 				"MessageAttribute.1.Value.DataType":    []string{"String"},
 				"MessageAttribute.1.Value.StringValue": []string{"Value4"},
 				"MessageAttribute.2.Name":              []string{"Attr2"},
 				"MessageAttribute.2.Value.DataType":    []string{"Binary"},
 				"MessageAttribute.2.Value.BinaryValue": []string{"VmFsdWUy"},
 			},
 			keyPrefix: "MessageAttribute",
 			want:      nil,
 		},
 		{
 			description: "attributes after missing number ignored",
 			values: url.Values{
 				// Note starting from 2
 				"MessageAttribute.2.Name":              []string{"Attr2"},
 				"MessageAttribute.2.Value.DataType":    []string{"Binary"},
 				"MessageAttribute.2.Value.BinaryValue": []string{"VmFsdWUy"},
 			},
 			keyPrefix: "MessageAttribute",
 			want:      nil,
 		},
 		{
 			description: "empty DataType ignored",
 			values: url.Values{
 				"MessageAttribute.1.Name":              []string{"Attr4"},
 				"MessageAttribute.1.Value.DataType":    []string{""},
 				"MessageAttribute.1.Value.StringValue": []string{"Value4"},
 			},
 			keyPrefix: "MessageAttribute",
 			want:      nil,
 		},
 	} {
 		t.Run(tc.description, func(t *testing.T) {
 			got := parseMessageAttributes(tc.values, tc.keyPrefix)
 			assert.Equal(t, tc.want, got)
 		})
 	}
 }
@@ -7,7 +7,6 @@ import (
 	"encoding/json"
 	"encoding/xml"
 	"fmt"
 	"io"
 	"net/http"
 	"strings"
@@ -19,6 +18,7 @@ import (
 	sqs "shared-sqs/app/gosqs"
 	"shared-sqs/app/interfaces"
 	"shared-sqs/app/metrics"
 	"shared-sqs/app/models"
 	"shared-sqs/app/tenant"
 	"shared-sqs/app/ui"
@@ -38,9 +38,26 @@ func New(tenantStore *tenant.TenantStore, adminToken string) http.Handler {
 	// /health — публичный, без auth
 	r.HandleFunc("/health", health).Methods("GET")
 	// /static — логотип, favicon для публичных страниц
 	r.PathPrefix("/static").Handler(ui.StaticHandler()).Methods("GET")
 	// /metrics — Prometheus endpoint для Victoria Metrics scrape
 	r.Handle("/metrics", promhttp.Handler()).Methods("GET")
 	// Страница примеров команд — публично
 	r.HandleFunc("/examples", func(w http.ResponseWriter, req *http.Request) {
 		ui.ExamplesHandler(models.Version).ServeHTTP(w, req)
 	}).Methods("GET")
 	// Админ-консоль — статика. Регистрируем ДО admin subrouter,
 	// иначе PathPrefix("/admin") с bearer-auth перехватит GET /admin.
 	r.HandleFunc("/admin", func(w http.ResponseWriter, req *http.Request) {
 		ui.AdminHandler(models.Version).ServeHTTP(w, req)
 	}).Methods("GET")
 	r.HandleFunc("/admin/", func(w http.ResponseWriter, req *http.Request) {
 		ui.AdminHandler(models.Version).ServeHTTP(w, req)
 	}).Methods("GET")
 	// Admin API — Bearer token auth, регистрируется через AdminHandler
 	adminHandler := admin.NewHandler(tenantStore, adminToken)
 	adminHandler.RegisterRoutes(r)
@@ -57,7 +74,16 @@ func New(tenantStore *tenant.TenantStore, adminToken string) http.Handler {
 	// r.NewRoute().Subrouter() с Use() некорректно работает в gorilla/mux v1.8.0
 	// при пустом prefix — ответы теряются. Поэтому используем явную обёртку.
 	sqsAuth := auth.AuthMiddleware(tenantStore)
-	r.Handle("/", sqsAuth(http.HandlerFunc(actionHandler))).Methods("GET", "POST")
+	// Корень: GET без Action — публичная страница-описание сервиса;
 	// всё остальное (POST, или GET с Action/X-Amz-Target) — SQS API за tenant auth.
 	rootHandler := func(w http.ResponseWriter, req *http.Request) {
 		if req.Method == http.MethodGet && extractAction(req) == "" {
 			ui.InfoHandler(models.Version).ServeHTTP(w, req)
 			return
 		}
 		sqsAuth(http.HandlerFunc(actionHandler)).ServeHTTP(w, req)
 	}
 	r.HandleFunc("/", rootHandler).Methods("GET", "POST")
 	r.Handle("/{account}", sqsAuth(http.HandlerFunc(actionHandler))).Methods("GET", "POST")
 	r.Handle("/queue/{queueName}", sqsAuth(http.HandlerFunc(actionHandler))).Methods("GET", "POST")
 	r.Handle("/{account}/{queueName}", sqsAuth(http.HandlerFunc(actionHandler))).Methods("GET", "POST")
@@ -76,10 +102,35 @@ func requestBodyLimitMiddleware(next http.Handler) http.Handler {
 	})
 }
 // encodeResponse — сериализует ответ в формате протокола клиента.
 //
 // Логическая схема:
 //   - AwsJsonProtocol (чистый JSON-протокол): успешный ответ — JSON тела;
 //     ОШИБКА — спец-формат AWS-JSON {"__type": "com.amazonaws.sqs#<Code>",
 //     "message": "..."}. Раньше для ErrorResponse писался голый ErrorResult
 //     ({"Type":...,"Code":...,"Message":...}) — SDK не распознавал это как ошибку
 //     и возвращал Code=None.
 //   - AwsQueryProtocol: ответ всегда XML (в т.ч. <ErrorResponse> для ошибок).
 func encodeResponse(w http.ResponseWriter, req *http.Request, statusCode int, body interfaces.AbstractResponseBody) {
 	protocol := resolveProtocol(req)
 	switch protocol {
 	case AwsJsonProtocol:
 		// Ошибка в JSON-протоколе: __type + message — единственный формат,
 		// который botocore распознаёт как исключение с кодом.
 		if errResp, ok := body.(models.ErrorResponse); ok {
 			w.Header().Set("x-amzn-RequestId", errResp.RequestId)
 			w.Header().Set("Content-Type", "application/x-amz-json-1.0")
 			w.WriteHeader(statusCode)
 			err := json.NewEncoder(w).Encode(map[string]string{
 				"__type":  "com.amazonaws.sqs#" + errResp.Result.Code,
 				"message": errResp.Result.Message,
 			})
 			if err != nil {
 				log.Errorf("Response Encoding Error: %v\nResponse: %+v", err, body)
 			}
 			return
 		}
 		// Успешный ответ: JSON тела (Result).
 		w.Header().Set("x-amzn-RequestId", body.GetRequestId())
 		w.Header().Set("Content-Type", "application/x-amz-json-1.0")
 		w.WriteHeader(statusCode)
@@ -125,8 +176,9 @@ var routingTableV1 = map[string]func(r *http.Request) (int, interfaces.AbstractR
 }
 func health(w http.ResponseWriter, req *http.Request) {
 	w.Header().Set("Content-Type", "application/json")
 	w.WriteHeader(200)
-	fmt.Fprint(w, "OK")
+	fmt.Fprintf(w, `{"status":"ok","version":%q}`, models.Version)
 }
 func actionHandler(w http.ResponseWriter, req *http.Request) {
@@ -168,9 +220,16 @@ func actionHandler(w http.ResponseWriter, req *http.Request) {
 		}
 		return
 	}
 	// Неизвестный Action — отвечаем ошибкой в ФОРМАТЕ ПРОТОКОЛА клиента
 	// (XML ErrorResponse для Query, AWS-JSON для JSON-протокола).
 	// Раньше возвращался голый текст "Bad Request" (200/400 без AWS-XML) —
 	// SDK получал ClientError с Code=None и не мог понять причину.
 	log.Warnf("Bad Request - Action: %s", action)
-	w.WriteHeader(http.StatusBadRequest)
+	errType := models.SqsErrors["GeneralError"]
-	io.WriteString(w, "Bad Request")
+	encodeResponse(w, req, errType.StatusCode(), models.ErrorResponse{
 		Result:    errType.Response(),
 		RequestId: "00000000-0000-0000-0000-000000000000",
 	})
 }
 type AwsProtocol int
@@ -180,24 +239,39 @@ const (
 	AwsQueryProtocol AwsProtocol = iota
 )
-// extractAction — извлекает Action из запроса (Query Protocol или JSON Protocol)
+// extractAction — извлекает имя операции SQS из запроса.
 //
 // Логическая схема (не зависит от resolveProtocol):
 //  1. Заголовок X-Amz-Target ("AmazonSQS.SendMessage") — используют клиенты
 //     JSON-протокола И AWS CLI v2 в query-mode. Извлекаем часть после точки.
 //  2. Иначе — form-параметр Action (классический query-протокол).
 //
 // ВАЖНО: определение по X-Amz-Target в первую очередь обязательно — AWS CLI v2
 // шлёт Content-Type: application/x-amz-json-1.0 + x-amzn-query-mode: true, но
 // Action у него в заголовке, а НЕ в form-параметрах.
 func extractAction(req *http.Request) string {
-	protocol := resolveProtocol(req)
+	if action := req.Header.Get("X-Amz-Target"); action != "" {
 	switch protocol {
 	case AwsJsonProtocol:
 		action := req.Header.Get("X-Amz-Target")
 		parts := strings.SplitN(action, ".", 2)
-		if len(parts) != 2 || parts[1] == "" {
+		if len(parts) == 2 && parts[1] != "" {
 			return ""
 		}
 			return parts[1]
 	case AwsQueryProtocol:
 		return req.FormValue("Action")
 		}
-	return ""
+	}
 	return req.FormValue("Action")
 }
-// resolveProtocol — определяет протокол по Content-Type
+// resolveProtocol — определяет протокол ОТВЕТА по заголовкам запроса.
 //
 // Логическая схема:
 //  1. Content-Type: application/x-amz-json-1.0 → JSON-протокол (ответ JSON).
 //     Сюда входят: чистые JSON-клиенты (SDK) И AWS CLI v2/boto3 в режиме
 //     «query-compatible JSON» (x-amzn-query-mode: true). ВАЖНО (эмпирика):
 //     query-mode клиент парсит именно JSON-ответы — при XML-ответе список
 //     очередей распознаётся как пустой (None), при JSON — корректно.
 //  2. Всё остальное (form-urlencoded от классических клиентов) — query/XML.
 //
 // Ошибки в JSON-протоколе оформляются как {"__type":"...","message":"..."}
 // (см. encodeResponse) — только такой формат botocore распознаёт как ошибку
 // с кодом (раньше отдавался голый ErrorResult → Code=None).
 func resolveProtocol(req *http.Request) AwsProtocol {
 	if req.Header.Get("Content-Type") == "application/x-amz-json-1.0" {
 		return AwsJsonProtocol
@@ -1,251 +0,0 @@
 package router
 import (
 	"bytes"
 	"encoding/json"
 	"encoding/xml"
 	"fmt"
 	"net/http"
 	"net/http/httptest"
 	"net/url"
 	"strings"
 	"testing"
 	af "shared-sqs/app/fixtures"
 	"shared-sqs/app/mocks"
 	"shared-sqs/app/interfaces"
 	sqs "shared-sqs/app/gosqs"
 	"github.com/stretchr/testify/assert"
 	"shared-sqs/app/test"
 )
 func TestIndexServerhandler_POST_BadRequest(t *testing.T) {
 	// Create a request to pass to our handler. We don't have any query parameters for now, so we'll
 	// pass 'nil' as the third parameter.
 	req, err := http.NewRequest("POST", "/", nil)
 	if err != nil {
 		t.Fatal(err)
 	}
 	form := url.Values{}
 	form.Add("Action", "BadRequest")
 	req.PostForm = form
 	// We create a ResponseRecorder (which satisfies http.ResponseWriter) to record the response.
 	rr := httptest.NewRecorder()
 	// Our handlers satisfy http.Handler, so we can call their ServeHTTP method
 	// directly and pass in our Request and ResponseRecorder.
 	New().ServeHTTP(rr, req)
 	// Check the status code is what we expect.
 	if status := rr.Code; status != http.StatusBadRequest {
 		t.Errorf("handler returned wrong status code: got %v want %v",
 			status, http.StatusOK)
 	}
 }
 func TestIndexServerhandler_POST_GoodRequest(t *testing.T) {
 	// Create a request to pass to our handler. We don't have any query parameters for now, so we'll
 	// pass 'nil' as the third parameter.
 	req, err := http.NewRequest("POST", "/", nil)
 	if err != nil {
 		t.Fatal(err)
 	}
 	form := url.Values{}
 	form.Add("Action", "ListTopics")
 	req.PostForm = form
 	// We create a ResponseRecorder (which satisfies http.ResponseWriter) to record the response.
 	rr := httptest.NewRecorder()
 	// Our handlers satisfy http.Handler, so we can call their ServeHTTP method
 	// directly and pass in our Request and ResponseRecorder.
 	New().ServeHTTP(rr, req)
 	// Check the status code is what we expect.
 	if status := rr.Code; status != http.StatusOK {
 		t.Errorf("handler returned wrong status code: got %v want %v",
 			status, http.StatusOK)
 	}
 }
 func TestIndexServerhandler_POST_GoodRequest_With_URL(t *testing.T) {
 	req, err := http.NewRequest("POST", "/100010001000/local-queue1", nil)
 	if err != nil {
 		t.Fatal(err)
 	}
 	form := url.Values{}
 	form.Add("Action", "CreateQueue")
 	form.Add("QueueName", "local-queue1")
 	req.PostForm = form
 	rr := httptest.NewRecorder()
 	New().ServeHTTP(rr, req)
 	form = url.Values{}
 	form.Add("Action", "GetQueueAttributes")
 	form.Add("QueueUrl", fmt.Sprintf("%s/local-queue1", af.BASE_URL))
 	req.PostForm = form
 	// We create a ResponseRecorder (which satisfies http.ResponseWriter) to record the response.
 	rr = httptest.NewRecorder()
 	// Our handlers satisfy http.Handler, so we can call their ServeHTTP method
 	// directly and pass in our Request and ResponseRecorder.
 	New().ServeHTTP(rr, req)
 	assert.Equal(t, http.StatusOK, rr.Code)
 }
 func TestIndexServerhandler_POST_GoodRequest_With_URL_And_Aws_Json_Protocol(t *testing.T) {
 	json, _ := json.Marshal(map[string]string{
 		"QueueName": "local-queue1",
 	})
 	req, err := http.NewRequest("POST", "/100010001000/local-queue1", bytes.NewBuffer(json))
 	if err != nil {
 		t.Fatal(err)
 	}
 	req.Header.Set("X-Amz-Target", "AmazonSQS.CreateQueue")
 	req.Header.Set("Content-Type", "application/x-amz-json-1.0")
 	rr := httptest.NewRecorder()
 	New().ServeHTTP(rr, req)
 	// Check the status code is what we expect.
 	if status := rr.Code; status != http.StatusOK {
 		t.Errorf("handler returned wrong status code: got %v want %v",
 			status, http.StatusOK)
 	}
 }
 func TestIndexServerhandler_GET_GoodRequest_Pem_cert(t *testing.T) {
 	req, err := http.NewRequest("GET", "/SimpleNotificationService/100010001000.pem", nil)
 	if err != nil {
 		t.Fatal(err)
 	}
 	rr := httptest.NewRecorder()
 	New().ServeHTTP(rr, req)
 	if status := rr.Code; status != http.StatusOK {
 		t.Errorf("handler returned wrong status code: got %v want %v",
 			status, http.StatusOK)
 	}
 }
 func TestEncodeResponse_success_xml(t *testing.T) {
 	w, r := test.GenerateRequestInfo("POST", "/url", nil, false)
 	encodeResponse(w, r, http.StatusOK, mocks.BaseResponse{Message: "test"})
 	assert.Equal(t, http.StatusOK, w.Code)
 	tmp := mocks.BaseResponse{}
 	xml.Unmarshal(w.Body.Bytes(), &tmp)
 	assert.Equal(t, mocks.BaseResponse{Message: "test"}, tmp)
 }
 func TestEncodeResponse_success_skips_nil_body_xml(t *testing.T) {
 	w, r := test.GenerateRequestInfo("POST", "/url", nil, false)
 	encodeResponse(w, r, http.StatusOK, nil)
 	assert.Equal(t, http.StatusOK, w.Code)
 	assert.Equal(t, &bytes.Buffer{}, w.Body)
 }
 func TestEncodeResponse_success_json(t *testing.T) {
 	w, r := test.GenerateRequestInfo("POST", "/url", nil, true)
 	encodeResponse(w, r, http.StatusOK, mocks.BaseResponse{Message: "test"})
 	assert.Equal(t, http.StatusOK, w.Code)
 	tmp := mocks.BaseResponse{}
 	json.Unmarshal(w.Body.Bytes(), &tmp)
 	assert.Equal(t, mocks.BaseResponse{Message: "test"}, tmp)
 }
 func TestEncodeResponse_success_skips_malformed_body_json(t *testing.T) {
 	mock := mocks.BaseResponse{
 		Message: "test",
 	}
 	mock.MockGetResult = func() interface{} {
 		return make(chan int)
 	}
 	w, r := test.GenerateRequestInfo("POST", "/url", nil, true)
 	encodeResponse(w, r, http.StatusOK, mock)
 	assert.Equal(t, http.StatusOK, w.Code)
 	assert.Equal(t, "General Error", strings.TrimSpace(string(w.Body.Bytes())))
 }
 func TestActionHandler_v1_json(t *testing.T) {
 	defer func() {
 		routingTableV1 = map[string]func(r *http.Request) (int, interfaces.AbstractResponseBody){
 			"CreateQueue": sqs.CreateQueueV1,
 		}
 	}()
 	mockCalled := false
 	mockFunction := func(req *http.Request) (int, interfaces.AbstractResponseBody) {
 		mockCalled = true
 		return http.StatusOK, mocks.BaseResponse{Message: "response-body"}
 	}
 	routingTableV1 = map[string]func(r *http.Request) (int, interfaces.AbstractResponseBody){
 		"CreateQueue": mockFunction,
 	}
 	w, r := test.GenerateRequestInfo("POST", "/url", nil, true)
 	r.Header.Set("X-Amz-Target", "QueueService.CreateQueue")
 	actionHandler(w, r)
 	assert.True(t, mockCalled)
 	assert.Equal(t, http.StatusOK, w.Code)
 	tmp := mocks.BaseResponse{}
 	json.Unmarshal(w.Body.Bytes(), &tmp)
 	assert.Equal(t, mocks.BaseResponse{Message: "response-body"}, tmp)
 }
 func TestActionHandler_v1_xml(t *testing.T) {
 	defer func() {
 		routingTableV1 = map[string]func(r *http.Request) (int, interfaces.AbstractResponseBody){
 			"CreateQueue": sqs.CreateQueueV1,
 		}
 	}()
 	mockCalled := false
 	mockFunction := func(req *http.Request) (int, interfaces.AbstractResponseBody) {
 		mockCalled = true
 		return http.StatusOK, mocks.BaseResponse{Message: "response-body"}
 	}
 	routingTableV1 = map[string]func(r *http.Request) (int, interfaces.AbstractResponseBody){
 		"CreateQueue": mockFunction,
 	}
 	w, r := test.GenerateRequestInfo("POST", "/url", nil, false)
 	form := url.Values{}
 	form.Add("Action", "CreateQueue")
 	r.PostForm = form
 	actionHandler(w, r)
 	assert.True(t, mockCalled)
 	assert.Equal(t, http.StatusOK, w.Code)
 	tmp := mocks.BaseResponse{}
 	xml.Unmarshal(w.Body.Bytes(), &tmp)
 	assert.Equal(t, mocks.BaseResponse{Message: "response-body"}, tmp)
 }
@@ -4,9 +4,11 @@ package tenant
 import (
 	"crypto/rand"
 	"crypto/sha256"
 	"encoding/hex"
 	"encoding/json"
 	"fmt"
 	"strings"
 	"sync"
 	"time"
@@ -16,10 +18,15 @@ import (
 // MaxTenantsGlobal — глобальный лимит тенантов (защита от OOM, Fix #12)
 const MaxTenantsGlobal = 1000
 // DefaultTenantMaxQueues — лимит очередей для JWT-тенантов (auto-provisioning).
 // Используется в app/admin при логине; при каждом логине лимит существующего
 // тенанта обновляется до этого значения (см. CreateFromJWT).
 const DefaultTenantMaxQueues = 50
 // Tenant — модель тенанта shared-sqs.
 // AccessKey используется как идентификатор в AWS Authorization header.
 type Tenant struct {
-	ID        string // уникальный идентификатор тенанта (sless-<hex> из JWT sub, или t-<hex> для legacy)
+	ID        string // уникальный идентификатор тенанта (t-<hex>: детерминированный из email для JWT-тенантов, случайный для manual)
 	Name      string // человекочитаемое имя
 	AccessKey string // аналог AWS AccessKeyId (SSAK-<hex>)
 	SecretKey string // аналог AWS SecretAccessKey (64 hex chars)
@@ -31,12 +38,12 @@ type Tenant struct {
 }
 // TenantStore — потокобезопасное in-memory хранилище тенантов.
-// Три индекса: по ID (admin API), по AccessKey (auth middleware), по NubesSub (JWT auth).
+// Три индекса: по ID (admin API), по AccessKey (auth middleware), по Email (JWT auth).
 type TenantStore struct {
 	mu          sync.RWMutex
 	byID        map[string]*Tenant
 	byAccessKey map[string]*Tenant
-	bySub       map[string]*Tenant // индекс по NubesSub (JWT sub claim)
+	byEmail     map[string]*Tenant // индекс по Email (JWT claim). Тенанты без email сюда НЕ попадают.
 }
 // NewTenantStore — создаёт пустое хранилище тенантов.
@@ -44,7 +51,7 @@ func NewTenantStore() *TenantStore {
 	return &TenantStore{
 		byID:        make(map[string]*Tenant),
 		byAccessKey: make(map[string]*Tenant),
-		bySub:       make(map[string]*Tenant),
+		byEmail:     make(map[string]*Tenant),
 	}
 }
@@ -83,8 +90,8 @@ func (s *TenantStore) Create(name string, maxQueues int) (*Tenant, error) {
 	s.mu.Lock()
 	s.byID[t.ID] = t
 	s.byAccessKey[t.AccessKey] = t
-	if t.NubesSub != "" {
+	if t.Email != "" {
-		s.bySub[t.NubesSub] = t
+		s.byEmail[t.Email] = t
 	}
 	s.mu.Unlock()
@@ -156,8 +163,8 @@ func (s *TenantStore) Delete(id string) bool {
 	}
 	delete(s.byID, t.ID)
 	delete(s.byAccessKey, t.AccessKey)
-	if t.NubesSub != "" {
+	if t.Email != "" {
-		delete(s.bySub, t.NubesSub)
+		delete(s.byEmail, t.Email)
 	}
 	s.mu.Unlock()
@@ -173,60 +180,71 @@ func (s *TenantStore) LoadTenant(t *Tenant) {
 	s.mu.Lock()
 	s.byID[t.ID] = t
 	s.byAccessKey[t.AccessKey] = t
-	if t.NubesSub != "" {
+	if t.Email != "" {
-		s.bySub[t.NubesSub] = t
+		s.byEmail[t.Email] = t
 	}
 	s.mu.Unlock()
 }
-// GetBySub — поиск тенанта по NubesSub (JWT sub claim).
+// GetByEmail — поиск тенанта по Email (JWT claim).
 // Используется при JWT-авторизации через UI.
-func (s *TenantStore) GetBySub(sub string) (*Tenant, bool) {
+func (s *TenantStore) GetByEmail(email string) (*Tenant, bool) {
 	s.mu.RLock()
-	t, ok := s.bySub[sub]
+	t, ok := s.byEmail[email]
 	s.mu.RUnlock()
 	return t, ok
 }
 // CreateFromJWT — auto-provisioning тенанта из JWT claims.
-// ID = TenantIDFromSub(sub) — совместим с sless namespace.
+// Идентичность — ТОЛЬКО email: ID/AccessKey/SecretKey детерминированы из email.
-// Если тенант с таким sub уже существует — возвращает его (идемпотентно).
+// Тот же email на любом стенде → тот же тенант и те же креды. sub — информационное поле.
-func (s *TenantStore) CreateFromJWT(tenantID, sub, email string, maxQueues int) (*Tenant, error) {
+// Легаси-тенант (старые случайные ключи / другой ID) пересчитывается:
-	s.mu.Lock()
+// старые индексы и Redis-запись удаляются, создаётся детерминированная запись.
-	// Идемпотентность: если тенант с таким sub уже есть — возвращаем
+// ВНИМАНИЕ: очереди привязаны к старому AccessKey — при пересчёте они остаются
-	if existing, ok := s.bySub[sub]; ok {
+// в SyncQueues/Redis под старым префиксом (текущий тенант имеет 0 очередей).
-		// Обновляем email если изменился
+func (s *TenantStore) CreateFromJWT(sub, email string, maxQueues int) (*Tenant, error) {
-		if email != "" && existing.Email != email {
+	if email == "" {
-			existing.Email = email
+		return nil, fmt.Errorf("JWT email is required for tenant provisioning")
 	}
 	tenantID := tenantIDFromEmail(email)
 	accessKey := accessKeyFromEmail(email)
 	secretKey := secretKeyFromEmail(email)
 	s.mu.Lock()
 	defer s.mu.Unlock()
 	// Идемпотентность: тенант с таким email уже есть
 	if existing, ok := s.byEmail[email]; ok {
 		// Полное совпадение — возвращаем как есть
 		if existing.ID == tenantID && existing.AccessKey == accessKey {
 			if sub != "" {
 				existing.NubesSub = sub
 			}
 			// Обновляем лимит очередей на актуальное значение из кода при каждом
 			// логине и персистим в Redis — иначе после рестарта пода из Redis
 			// восстановится старый лимит (было: тенант навсегда оставался с лимитом,
 			// заданным при первом логине).
 			if existing.MaxQueues != maxQueues {
 				existing.MaxQueues = maxQueues
 				if data, err := json.Marshal(existing); err == nil {
 					persistence.SaveTenantRaw(existing.ID, data)
 				}
 			}
 		s.mu.Unlock()
 			return existing, nil
 		}
 		// Легаси: убираем старую запись из всех индексов и из Redis, ниже создаём новую
 		delete(s.byID, existing.ID)
 		delete(s.byAccessKey, existing.AccessKey)
 		delete(s.byEmail, existing.Email)
 		persistence.DeleteTenant(existing.ID)
 	}
 	if len(s.byID) >= MaxTenantsGlobal {
 		s.mu.Unlock()
 		return nil, fmt.Errorf("global tenant limit reached (%d)", MaxTenantsGlobal)
 	}
 	accessKey, err := generateAccessKey()
 	if err != nil {
 		s.mu.Unlock()
 		return nil, fmt.Errorf("generate access key: %w", err)
 	}
 	secretKey, err := generateSecretKey()
 	if err != nil {
 		s.mu.Unlock()
 		return nil, fmt.Errorf("generate secret key: %w", err)
 	}
 	// Имя тенанта — email или sub (если email пустой)
 	name := email
 	if name == "" {
 		name = sub
 	}
 	t := &Tenant{
 		ID:        tenantID,
-		Name:      name,
+		Name:      email,
 		AccessKey: accessKey,
 		SecretKey: secretKey,
 		MaxQueues: maxQueues,
@@ -238,8 +256,7 @@ func (s *TenantStore) CreateFromJWT(tenantID, sub, email string, maxQueues int)
 	s.byID[t.ID] = t
 	s.byAccessKey[t.AccessKey] = t
-	s.bySub[t.NubesSub] = t
+	s.byEmail[t.Email] = t
 	s.mu.Unlock()
 	// Сохраняем в Redis
 	if data, err := json.Marshal(t); err == nil {
@@ -249,6 +266,27 @@ func (s *TenantStore) CreateFromJWT(tenantID, sub, email string, maxQueues int)
 	return t, nil
 }
 // tenantIDFromEmail — детерминированный ID тенанта из email: "t-{16 hex}".
 func tenantIDFromEmail(email string) string {
 	hash := sha256.Sum256([]byte(strings.ToLower(email)))
 	return "t-" + hex.EncodeToString(hash[:8])
 }
 // accessKeyFromEmail — детерминированный AccessKey: "SSAK-{24 hex}".
 func accessKeyFromEmail(email string) string {
 	hash := sha256.Sum256([]byte(strings.ToLower(email)))
 	return "SSAK-" + hex.EncodeToString(hash[:12])
 }
 // secretKeySalt — соль для детерминированного SecretKey email-тенантов.
 const secretKeySalt = "shared-sqs:secret-key:v1"
 // secretKeyFromEmail — детерминированный SecretKey: 64 hex = SHA256(email + соль).
 func secretKeyFromEmail(email string) string {
 	h := sha256.Sum256([]byte(strings.ToLower(email) + ":" + secretKeySalt))
 	return hex.EncodeToString(h[:])
 }
 // List — список всех тенантов (для admin GET /tenants).
 func (s *TenantStore) List() []*Tenant {
 	s.mu.RLock()
@@ -0,0 +1,409 @@
 <!DOCTYPE html>
 <!-- app/ui/admin.html — админский UI shared-sqs (тенанты, лимиты). Только по admin-токену. -->
 <html lang="ru">
 <head>
 <meta charset="utf-8">
 <meta name="viewport" content="width=device-width, initial-scale=1">
 <title>SQS Admin — Nubes</title>
 <link rel="icon" type="image/svg+xml" href="/static/favicon.svg">
 <style>
 :root {
  --brand-primary: #2563eb;
  --brand-primary-dark: #1d4ed8;
  --brand-gray: #d1d5db;
  --brand-grey-light: #f3f4f6;
  --text-primary: #1a1a1a;
  --text-muted: #6b7280;
  --danger: #dc2626;
  --success: #16a34a;
  --warning: #d97706;
 }
 * { box-sizing: border-box; margin: 0; padding: 0; }
 body {
  font-family: system-ui, "Segoe UI", Roboto, sans-serif;
  font-size: 14px;
  color: var(--text-primary);
  background: #fafafa;
  line-height: 1.5;
  min-height: 100vh;
 }
 .topbar {
  height: 56px;
  display: flex;
  align-items: center;
  gap: 8px;
  padding: 0 16px;
  background: #fff;
  border-bottom: 1px solid var(--brand-gray);
  position: sticky;
  top: 0;
 }
 .topbar .brand { font-weight: 600; }
 .topbar .muted { color: var(--text-muted); }
 .topbar .spacer { flex: 1; }
 .chip {
  font-family: ui-monospace, monospace;
  font-size: 12px;
  color: var(--brand-primary);
  background: #eff6ff;
  border: 1px solid #bfdbfe;
  border-radius: 999px;
  padding: 2px 10px;
 }
 .container { max-width: 1100px; margin: 0 auto; padding: 24px 16px 48px; }
 .card {
  background: #fff;
  border: 1px solid var(--brand-gray);
  border-radius: 12px;
  box-shadow: 0 1px 2px rgba(0,0,0,0.05);
  margin-bottom: 20px;
  overflow: hidden;
 }
 .card-header { background: var(--brand-grey-light); padding: 12px; font-weight: 600; }
 .card-body { padding: 16px; }
 .toolbar {
  display: flex;
  align-items: center;
  justify-content: space-between;
  gap: 12px;
  margin-bottom: 12px;
  flex-wrap: wrap;
 }
 .toolbar h2 { font-size: 20px; }
 .tbl-wrap { border: 1px solid var(--brand-gray); border-radius: 8px; overflow-x: auto; }
 table { width: 100%; border-collapse: collapse; font-size: 13px; }
 th {
  background: var(--brand-grey-light);
  text-align: left;
  text-transform: uppercase;
  font-size: 12px;
  letter-spacing: 0.3px;
  padding: 8px 10px;
  border-right: 1px solid var(--brand-gray);
  color: var(--text-muted);
  font-weight: 600;
 }
 td { padding: 8px 10px; border-right: 1px solid var(--brand-gray); border-bottom: 1px solid var(--brand-gray); }
 tr:last-child td { border-bottom: none; }
 td:last-child, th:last-child { border-right: none; }
 tr:hover td { background: rgba(243,244,246,0.5); }
 code, .mono { font-family: ui-monospace, Menlo, Consolas, monospace; font-size: 12px; }
 .badge { display: inline-block; padding: 2px 10px; border-radius: 999px; font-size: 12px; font-weight: 600; }
 .badge-active { background: rgba(22,163,74,0.12); color: var(--success); }
 .badge-inactive { background: rgba(220,38,38,0.1); color: var(--danger); }
 .btn {
  display: inline-flex;
  align-items: center;
  gap: 6px;
  padding: 7px 14px;
  border-radius: 8px;
  font-size: 13px;
  font-weight: 500;
  cursor: pointer;
  border: 1px solid var(--brand-gray);
  background: #fff;
  color: var(--text-primary);
 }
 .btn:hover { background: var(--brand-grey-light); }
 .btn-primary { background: var(--brand-primary); border-color: var(--brand-primary); color: #fff; }
 .btn-primary:hover { background: var(--brand-primary-dark); }
 .btn-danger { background: #fff; border-color: var(--danger); color: var(--danger); }
 .btn-danger:hover { background: rgba(220,38,38,0.08); }
 .btn-sm { padding: 4px 10px; font-size: 12px; }
 .form-group { margin-bottom: 14px; }
 .form-group label { display: block; font-size: 13px; color: var(--text-muted); margin-bottom: 6px; }
 .form-group input {
  width: 100%;
  padding: 9px 12px;
  background: #fff;
  border: 1px solid var(--brand-gray);
  border-radius: 8px;
  color: var(--text-primary);
  font-size: 14px;
 }
 .form-group input:focus { outline: none; border-color: var(--brand-primary); }
 .error { color: var(--danger); font-size: 13px; min-height: 20px; margin: 8px 0; }
 .login-page { display: flex; align-items: center; justify-content: center; min-height: 100vh; }
 .login-box {
  background: #fff;
  border: 1px solid var(--brand-gray);
  border-radius: 12px;
  box-shadow: 0 1px 2px rgba(0,0,0,0.05);
  padding: 32px;
  width: 400px;
  max-width: 92vw;
 }
 .login-box img { height: 28px; display: block; margin: 0 auto 12px; }
 .login-box h1 { font-size: 20px; text-align: center; margin-bottom: 24px; }
 .modal-overlay {
  position: fixed;
  inset: 0;
  background: rgba(0,0,0,0.45);
  display: flex;
  align-items: center;
  justify-content: center;
  z-index: 1000;
 }
 .modal {
  background: #fff;
  border: 1px solid var(--brand-gray);
  border-radius: 12px;
  box-shadow: 0 10px 30px rgba(0,0,0,0.15);
  padding: 28px;
  width: 480px;
  max-width: 92vw;
  max-height: 88vh;
  overflow-y: auto;
 }
 .modal h2 { font-size: 20px; margin-bottom: 16px; }
 .modal-actions { display: flex; gap: 10px; justify-content: flex-end; margin-top: 18px; }
 .hidden { display: none !important; }
 .hint {
  font-size: 13px;
  color: #374151;
  background: var(--brand-grey-light);
  border: 1px solid var(--brand-gray);
  border-radius: 8px;
  padding: 10px 12px;
  margin-bottom: 14px;
  line-height: 1.6;
 }
 .hint .warn { color: var(--warning); font-weight: 600; }
 .empty { text-align: center; color: var(--text-muted); padding: 28px; }
 </style>
 </head>
 <body>
 <div id="login-page" class="login-page">
  <div class="login-box">
    <img src="/static/logo.svg" alt="Nubes">
    <h1>SQS Admin</h1>
    <div class="form-group">
      <label>Admin-токен</label>
      <input id="admin-token" type="password" placeholder="Bearer admin token">
    </div>
    <div id="login-error" class="error"></div>
    <button class="btn btn-primary" style="width:100%;justify-content:center" onclick="doLogin()">Войти</button>
  </div>
 </div>
 <div id="app" class="hidden">
  <div class="topbar">
    <img src="/static/logo.svg" height="18" alt="nubes">
    <span class="brand">SQS Admin</span>
    <span class="muted">· тенанты</span>
    <span class="spacer"></span>
    <span class="chip">{{VERSION}}</span>
    <button class="btn btn-sm" onclick="doLogout()">Выйти</button>
  </div>
  <div class="container">
    <div class="card">
      <div class="toolbar" style="padding:14px 16px 0">
        <h2>Тенанты</h2>
        <div style="display:flex;gap:10px;align-items:center">
          <button class="btn btn-sm" onclick="loadTenants()">⟳ Обновить</button>
          <button class="btn btn-primary btn-sm" onclick="openCreateModal()">+ Создать</button>
        </div>
      </div>
      <div class="card-body">
        <div id="list-error" class="error"></div>
        <div class="tbl-wrap">
          <table>
            <thead>
              <tr>
                <th>Имя</th>
                <th>ID</th>
                <th>Access Key</th>
                <th>Макс. очередей</th>
                <th>Статус</th>
                <th>Создан</th>
                <th>Действия</th>
              </tr>
            </thead>
            <tbody id="tenants-tbody"></tbody>
          </table>
        </div>
      </div>
    </div>
  </div>
 </div>
 <div id="modal-create" class="modal-overlay hidden" onclick="if(event.target===this)closeCreateModal()">
  <div class="modal">
    <h2>Создать тенанта</h2>
    <div class="form-group">
      <label>Имя</label>
      <input id="ct-name" placeholder="service-name">
    </div>
    <div class="form-group">
      <label>Макс. очередей</label>
      <input id="ct-queues" type="number" value="10" min="1" max="1000">
    </div>
    <div id="ct-error" class="error"></div>
    <div class="modal-actions">
      <button class="btn btn-primary" onclick="createTenant()">Создать</button>
      <button class="btn" onclick="closeCreateModal()">Отмена</button>
    </div>
  </div>
 </div>
 <div id="modal-creds" class="modal-overlay hidden" onclick="if(event.target===this)closeCredsModal()">
  <div class="modal">
    <h2>Тенант создан</h2>
    <div class="hint">
      <p class="warn">⚠ Передайте эти ключи владельцу тенанта.</p>
      <p>Это креды для AWS CLI/SDK (подпись Signature V4).</p>
    </div>
    <div class="form-group">
      <label>Access Key</label>
      <input id="creds-ak" readonly onclick="copyField(this)">
    </div>
    <div class="form-group">
      <label>Secret Key</label>
      <input id="creds-sk" readonly onclick="copyField(this)">
    </div>
    <div class="modal-actions">
      <button class="btn btn-primary" onclick="closeCredsModal()">Готово</button>
    </div>
  </div>
 </div>
 <script>
 let adminToken = localStorage.getItem('sqs_admin_token') || '';
 function esc(s) {
  return String(s == null ? '' : s)
    .replace(/&/g,'&amp;').replace(/</g,'&lt;').replace(/>/g,'&gt;')
    .replace(/"/g,'&quot;').replace(/'/g,'&#39;');
 }
 function fmtDate(iso) {
  if (!iso) return '—';
  const d = new Date(iso);
  return d.toLocaleDateString('ru-RU') + ' ' + d.toLocaleTimeString('ru-RU', {hour:'2-digit',minute:'2-digit'});
 }
 function api(path, opts = {}) {
  return fetch(path, {
    ...opts,
    headers: {
      'Content-Type': 'application/json',
      'Authorization': 'Bearer ' + adminToken,
      ...(opts.headers || {})
    }
  }).then(r => {
    if (r.status === 401) {
      doLogout();
      throw new Error('Неверный или истёкший admin-токен');
    }
    if (!r.ok) {
      return r.json().catch(() => ({}))
        .then(d => { throw new Error(d.error || r.status + ' ' + r.statusText); });
    }
    if (r.status === 204) return null;
    return r.json();
  });
 }
 function doLogin() {
  const t = document.getElementById('admin-token').value.trim();
  if (!t) return;
  adminToken = t;
  api('/admin/tenants')
    .then(() => {
      localStorage.setItem('sqs_admin_token', t);
      document.getElementById('login-page').classList.add('hidden');
      document.getElementById('app').classList.remove('hidden');
      loadTenants();
    })
    .catch(err => {
      adminToken = '';
      document.getElementById('login-error').textContent = 'Ошибка: ' + err.message;
    });
 }
 function doLogout() {
  adminToken = '';
  localStorage.removeItem('sqs_admin_token');
  document.getElementById('app').classList.add('hidden');
  document.getElementById('login-page').classList.remove('hidden');
 }
 function loadTenants() {
  document.getElementById('list-error').textContent = '';
  api('/admin/tenants')
    .then(list => renderTenants(list || []))
    .catch(err => { document.getElementById('list-error').textContent = 'Ошибка: ' + err.message; });
 }
 function renderTenants(list) {
  const tbody = document.getElementById('tenants-tbody');
  tbody.innerHTML = (list || []).map(t => `
    <tr>
      <td><strong>${esc(t.name)}</strong>${t.id === (window._lastCreated || '') ? '' : ''}</td>
      <td class="mono">${esc(t.id)}</td>
      <td class="mono">${esc(t.access_key)}</td>
      <td>${t.max_queues}</td>
      <td>${t.active
        ? '<span class="badge badge-active">active</span>'
        : '<span class="badge badge-inactive">inactive</span>'}</td>
      <td>${fmtDate(t.created_at)}</td>
      <td><button class="btn btn-danger btn-sm" onclick="deleteTenant('${esc(t.id)}','${esc(t.name)}')">Удалить</button></td>
    </tr>
  `).join('') || '<tr><td colspan="7" class="empty">Тенантов нет</td></tr>';
 }
 function openCreateModal() {
  document.getElementById('ct-name').value = '';
  document.getElementById('ct-queues').value = '10';
  document.getElementById('ct-error').textContent = '';
  document.getElementById('modal-create').classList.remove('hidden');
 }
 function closeCreateModal() {
  document.getElementById('modal-create').classList.add('hidden');
 }
 function createTenant() {
  const name = document.getElementById('ct-name').value.trim();
  const maxQ = parseInt(document.getElementById('ct-queues').value) || 10;
  if (!name) {
    document.getElementById('ct-error').textContent = 'Укажите имя';
    return;
  }
  api('/admin/tenants', { method: 'POST', body: JSON.stringify({ name: name, max_queues: maxQ }) })
    .then(data => {
      closeCreateModal();
      document.getElementById('creds-ak').value = data.access_key || '';
      document.getElementById('creds-sk').value = data.secret_key || '';
      document.getElementById('modal-creds').classList.remove('hidden');
      loadTenants();
    })
    .catch(err => { document.getElementById('ct-error').textContent = 'Ошибка: ' + err.message; });
 }
 function closeCredsModal() {
  document.getElementById('modal-creds').classList.add('hidden');
 }
 function deleteTenant(id, name) {
  if (!confirm('Удалить тенанта "' + name + '"?\nВсе его очереди и сообщения будут удалены.')) return;
  api('/admin/tenants/' + id, { method: 'DELETE' })
    .then(() => loadTenants())
    .catch(err => alert('Ошибка: ' + err.message));
 }
 function copyField(el) {
  el.select();
  navigator.clipboard && navigator.clipboard.writeText(el.value);
 }
 // init
 if (adminToken) {
  document.getElementById('login-page').classList.add('hidden');
  document.getElementById('app').classList.remove('hidden');
  loadTenants();
 }
 </script>
 </body>
 </html>
@@ -5,13 +5,66 @@ package ui
 import (
 	"embed"
 	"io/fs"
 	"net/http"
 	"strings"
 )
-//go:embed index.html
+//go:embed index.html info.html admin.html examples.html static
 var content embed.FS
 // Handler — возвращает http.Handler, раздающий встроенный index.html
 func Handler() http.Handler {
 	return http.FileServer(http.FS(content))
 }
 // InfoHandler — публичная страница-описание сервиса (GET /) с подстановкой версии
 func InfoHandler(version string) http.Handler {
 	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 		body, err := content.ReadFile("info.html")
 		if err != nil {
 			http.Error(w, "info page unavailable", http.StatusInternalServerError)
 			return
 		}
 		html := strings.ReplaceAll(string(body), "{{VERSION}}", version)
 		w.Header().Set("Content-Type", "text/html; charset=utf-8")
 		_, _ = w.Write([]byte(html))
 	})
 }
 // AdminHandler — админская консоль (GET /admin) с подстановкой версии
 func AdminHandler(version string) http.Handler {
 	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 		body, err := content.ReadFile("admin.html")
 		if err != nil {
 			http.Error(w, "admin page unavailable", http.StatusInternalServerError)
 			return
 		}
 		html := strings.ReplaceAll(string(body), "{{VERSION}}", version)
 		w.Header().Set("Content-Type", "text/html; charset=utf-8")
 		_, _ = w.Write([]byte(html))
 	})
 }
 // ExamplesHandler — страница примеров команд (GET /examples) с подстановкой версии
 func ExamplesHandler(version string) http.Handler {
 	return http.HandlerFunc(func(w http.ResponseWriter, r *http.Request) {
 		body, err := content.ReadFile("examples.html")
 		if err != nil {
 			http.Error(w, "examples page unavailable", http.StatusInternalServerError)
 			return
 		}
 		html := strings.ReplaceAll(string(body), "{{VERSION}}", version)
 		w.Header().Set("Content-Type", "text/html; charset=utf-8")
 		_, _ = w.Write([]byte(html))
 	})
 }
 // StaticHandler — раздаёт /static/* (логотип, favicon) для публичных страниц
 func StaticHandler() http.Handler {
 	sub, err := fs.Sub(content, "static")
 	if err != nil {
 		panic(err)
 	}
 	return http.StripPrefix("/static/", http.FileServer(http.FS(sub)))
 }
@@ -0,0 +1,228 @@
 <!DOCTYPE html>
 <!-- app/ui/examples.html — примеры команд SQS API (отдельная страница, крупный шрифт) -->
 <html lang="ru">
 <head>
 <meta charset="utf-8">
 <meta name="viewport" content="width=device-width, initial-scale=1">
 <title>Примеры команд — shared-sqs</title>
 <link rel="icon" type="image/svg+xml" href="/static/favicon.svg">
 <style>
 :root {
  --brand-primary: #2563eb;
  --brand-primary-dark: #1d4ed8;
  --brand-gray: #d1d5db;
  --brand-grey-light: #f3f4f6;
  --text-primary: #1a1a1a;
  --text-muted: #6b7280;
  --success: #16a34a;
  --warning: #d97706;
 }
 * { box-sizing: border-box; }
 body {
  margin: 0;
  font-family: system-ui, "Segoe UI", Roboto, sans-serif;
  font-size: 15px;
  color: var(--text-primary);
  background: #fafafa;
  line-height: 1.6;
 }
 .topbar {
  height: 56px;
  display: flex;
  align-items: center;
  gap: 8px;
  padding: 0 16px;
  background: #fff;
  border-bottom: 1px solid var(--brand-gray);
  position: sticky;
  top: 0;
 }
 .topbar .brand { font-weight: 600; }
 .topbar .muted { color: var(--text-muted); }
 .topbar .spacer { flex: 1; }
 .chip {
  font-family: ui-monospace, monospace;
  font-size: 12px;
  color: var(--brand-primary);
  background: #eff6ff;
  border: 1px solid #bfdbfe;
  border-radius: 999px;
  padding: 2px 10px;
 }
 a { color: var(--brand-primary); text-decoration: none; }
 a:hover { color: var(--brand-primary-dark); text-decoration: underline; }
 .container { max-width: 960px; margin: 0 auto; padding: 24px 16px 48px; }
 .hero { display: flex; align-items: center; gap: 16px; margin-bottom: 24px; }
 .hero h1 { font-size: 26px; margin: 0; }
 .hero .sub { color: var(--text-muted); margin: 4px 0 0; }
 .card {
  background: #fff;
  border: 1px solid var(--brand-gray);
  border-radius: 12px;
  box-shadow: 0 1px 2px rgba(0,0,0,0.05);
  margin-bottom: 20px;
  overflow: hidden;
 }
 .card-header { background: var(--brand-grey-light); padding: 12px 16px; font-weight: 600; font-size: 16px; }
 .card-body { padding: 16px; }
 .card-body p { margin: 8px 0; color: #374151; }
 .step-num {
  display: inline-flex;
  width: 26px;
  height: 26px;
  border-radius: 999px;
  background: var(--brand-primary);
  color: #fff;
  font-weight: 700;
  font-size: 14px;
  align-items: center;
  justify-content: center;
  margin-right: 8px;
 }
 pre {
  background: var(--brand-grey-light);
  border: 1px solid var(--brand-gray);
  border-radius: 8px;
  padding: 14px 16px;
  overflow-x: auto;
  font-family: ui-monospace, Menlo, Consolas, monospace;
  font-size: 14px;
  line-height: 1.7;
  margin: 10px 0 16px;
 }
 pre code { background: none; border: none; padding: 0; }
 .note {
  font-size: 13px;
  color: var(--text-muted);
  margin: -8px 0 14px;
 }
 .tbl-wrap { border: 1px solid var(--brand-gray); border-radius: 8px; overflow-x: auto; }
 table { width: 100%; border-collapse: collapse; font-size: 14px; }
 th {
  background: var(--brand-grey-light);
  text-align: left;
  text-transform: uppercase;
  font-size: 12px;
  letter-spacing: 0.3px;
  padding: 8px 12px;
  border-right: 1px solid var(--brand-gray);
  color: var(--text-muted);
  font-weight: 600;
 }
 td { padding: 8px 12px; border-right: 1px solid var(--brand-gray); border-bottom: 1px solid var(--brand-gray); }
 tr:last-child td { border-bottom: none; }
 td:last-child, th:last-child { border-right: none; }
 tr:hover td { background: rgba(243,244,246,0.5); }
 td code { font-family: ui-monospace, Menlo, Consolas, monospace; font-size: 13px; }
 .footer { color: var(--text-muted); font-size: 13px; text-align: center; margin-top: 32px; }
 </style>
 </head>
 <body>
 <div class="topbar">
  <img src="/static/logo.svg" height="18" alt="nubes">
  <span class="brand">Nubes</span>
  <span class="muted">· очередь</span>
  <span class="spacer"></span>
  <a href="/">← На главную</a>
  <span class="chip">{{VERSION}}</span>
 </div>
 <div class="container">
  <div class="hero">
    <div>
      <h1>Примеры команд</h1>
      <p class="sub">Пошаговое подключение к SQS API через AWS CLI. Ключи доступа: консоль <a href="/ui">/ui</a> → кнопка Credentials.</p>
    </div>
  </div>
  <div class="card">
    <div class="card-header">Шаг 1. Указание ключей доступа</div>
    <div class="card-body">
      <p><span class="step-num">A</span><strong>Переменные окружения</strong> (действуют в текущей сессии терминала):</p>
      <pre><code>export AWS_ACCESS_KEY_ID=&lt;Access Key&gt;
 export AWS_SECRET_ACCESS_KEY=&lt;Secret Key&gt;</code></pre>
      <p><span class="step-num">B</span><strong>Файл ~/.aws/credentials</strong> (постоянно, для всех команд):</p>
      <pre><code>[sqs]
 aws_access_key_id = &lt;Access Key&gt;
 aws_secret_access_key = &lt;Secret Key&gt;</code></pre>
      <p class="note">Для способа B к каждой команде добавляется <code>--profile sqs</code>.</p>
    </div>
  </div>
  <div class="card">
    <div class="card-header">Шаг 2. Создание очереди</div>
    <div class="card-body">
      <pre><code>aws sqs create-queue --queue-name demo \
  --endpoint-url https://sqs.containerk8s.dev.nubes.ru \
  --region us-east-1 --profile sqs</code></pre>
      <p>В ответе возвращается <code>QueueUrl</code> — он используется в следующих командах.</p>
    </div>
  </div>
  <div class="card">
    <div class="card-header">Шаг 3. Отправка сообщения</div>
    <div class="card-body">
      <pre><code>aws sqs send-message \
  --queue-url &lt;QueueUrl&gt; \
  --message-body "hello nubes" \
  --endpoint-url https://sqs.containerk8s.dev.nubes.ru \
  --region us-east-1 --profile sqs</code></pre>
    </div>
  </div>
  <div class="card">
    <div class="card-header">Шаг 4. Получение и удаление сообщения</div>
    <div class="card-body">
      <pre><code>aws sqs receive-message \
  --queue-url &lt;QueueUrl&gt; \
  --endpoint-url https://sqs.containerk8s.dev.nubes.ru \
  --region us-east-1 --profile sqs
 aws sqs delete-message \
  --queue-url &lt;QueueUrl&gt; \
  --receipt-handle &lt;ReceiptHandle из ответа receive-message&gt; \
  --endpoint-url https://sqs.containerk8s.dev.nubes.ru \
  --region us-east-1 --profile sqs</code></pre>
    </div>
  </div>
  <div class="card">
    <div class="card-header">Все команды SQS API</div>
    <div class="card-body">
      <p>Все команды отправляются на <code>POST https://sqs.containerk8s.dev.nubes.ru/</code> с параметром <code>Action</code> (AWS CLI делает это сам).</p>
      <div class="tbl-wrap">
        <table>
          <thead>
            <tr><th>Action</th><th>Описание</th></tr>
          </thead>
          <tbody>
            <tr><td><code>CreateQueue</code></td><td>Создать очередь</td></tr>
            <tr><td><code>ListQueues</code></td><td>Список очередей</td></tr>
            <tr><td><code>GetQueueUrl</code></td><td>URL очереди по имени</td></tr>
            <tr><td><code>GetQueueAttributes</code></td><td>Атрибуты очереди</td></tr>
            <tr><td><code>SetQueueAttributes</code></td><td>Изменить атрибуты очереди</td></tr>
            <tr><td><code>SendMessage</code></td><td>Отправить сообщение</td></tr>
            <tr><td><code>SendMessageBatch</code></td><td>Отправить до 10 сообщений разом</td></tr>
            <tr><td><code>ReceiveMessage</code></td><td>Получить сообщения (long polling до 20с)</td></tr>
            <tr><td><code>DeleteMessage</code></td><td>Удалить сообщение</td></tr>
            <tr><td><code>DeleteMessageBatch</code></td><td>Удалить до 10 сообщений разом</td></tr>
            <tr><td><code>ChangeMessageVisibility</code></td><td>Изменить таймаут видимости сообщения</td></tr>
            <tr><td><code>ChangeMessageVisibilityBatch</code></td><td>Пакетно изменить таймаут видимости</td></tr>
            <tr><td><code>PurgeQueue</code></td><td>Очистить очередь</td></tr>
            <tr><td><code>DeleteQueue</code></td><td>Удалить очередь</td></tr>
            <tr><td><code>TagQueue</code></td><td>Назначить теги очереди</td></tr>
            <tr><td><code>UntagQueue</code></td><td>Снять теги с очереди</td></tr>
            <tr><td><code>ListQueueTags</code></td><td>Список тегов очереди</td></tr>
          </tbody>
        </table>
      </div>
    </div>
  </div>
  <div class="footer">shared-sqs · версия {{VERSION}} · <a href="/">на главную</a> · <a href="/ui">консоль</a> · <a href="/health">health</a></div>
 </div>
 </body>
 </html>
@@ -12,25 +12,27 @@
 <meta charset="UTF-8">
 <meta name="viewport" content="width=device-width, initial-scale=1.0">
 <title>SQS Console — Nubes</title>
-<link rel="icon" href="https://terra.k8c.ru/docs/nubes/nubes/2.0.2/30_registry/assets/favicon.png">
+<link rel="icon" type="image/svg+xml" href="/static/favicon.svg">
 <style>
-/* Nubes palette — идентично iot.kube5s.ru/console */
+/* Nubes design system — светлая тема (deck) */
 :root {
-  --bg-page: #001120;
+  --bg-page: #fafafa;
-  --bg-surface: #001929;
+  --bg-surface: #ffffff;
-  --bg-navbar: #001C34;
+  --bg-navbar: #ffffff;
-  --border: #0b2d50;
+  --border: #d1d5db;
-  --accent: #1a7fd4;
+  --accent: #2563eb;
-  --accent-hover: #2196f3;
+  --accent-hover: #1d4ed8;
-  --text-primary: #e2ecf6;
+  --text-primary: #1a1a1a;
-  --text-secondary: #6b8eaa;
+  --text-secondary: #6b7280;
-  --danger: #e74c3c;
+  --danger: #dc2626;
-  --success: #27ae60;
+  --success: #16a34a;
-  --warning: #f39c12;
+  --warning: #d97706;
  --brand-grey-light: #f3f4f6;
 }
 *, *::before, *::after { box-sizing: border-box; margin: 0; padding: 0; }
 body {
-  font-family: -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
+  font-family: system-ui, -apple-system, BlinkMacSystemFont, 'Segoe UI', Roboto, sans-serif;
  font-size: 14px;
  background: var(--bg-page);
  color: var(--text-primary);
  min-height: 100vh;
@@ -55,7 +57,6 @@ a:hover { color: var(--accent-hover); }
 }
 .navbar-brand img {
  height: 28px;
  filter: brightness(0) invert(1);
 }
 .navbar-brand span {
  font-size: 16px;
@@ -88,7 +89,8 @@ a:hover { color: var(--accent-hover); }
 .card {
  background: var(--bg-surface);
  border: 1px solid var(--border);
-  border-radius: 8px;
+  border-radius: 12px;
  box-shadow: 0 1px 2px rgba(0,0,0,0.05);
  padding: 20px;
  margin-bottom: 20px;
 }
@@ -111,15 +113,17 @@ a:hover { color: var(--accent-hover); }
 .stat-card {
  background: var(--bg-surface);
  border: 1px solid var(--border);
-  border-radius: 8px;
+  border-radius: 12px;
  box-shadow: 0 1px 2px rgba(0,0,0,0.05);
  padding: 20px;
  text-align: center;
 }
 .stat-value {
-  font-size: 36px;
+  font-size: 30px;
  font-weight: 700;
-  color: var(--accent);
+  color: var(--text-primary);
 }
 .stat-value.accent { color: var(--accent); }
 .stat-label {
  font-size: 12px;
  color: var(--text-secondary);
@@ -149,7 +153,7 @@ tbody td {
  padding: 12px 16px;
  border-bottom: 1px solid var(--border);
 }
-tbody tr:hover { background: rgba(26, 127, 212, 0.05); }
+tbody tr:hover { background: var(--brand-grey-light); }
 tbody tr { cursor: pointer; }
 /* Buttons */
@@ -168,8 +172,8 @@ tbody tr { cursor: pointer; }
 .btn-primary { background: var(--accent); color: #fff; }
 .btn-primary:hover { background: var(--accent-hover); }
 .btn-danger { background: var(--danger); color: #fff; }
-.btn-danger:hover { background: #c0392b; }
+.btn-danger:hover { background: #b91c1c; }
-.btn-sm { padding: 4px 12px; font-size: 12px; }
+.btn-sm { padding: 4px 12px; font-size: 13px; }
 /* Forms */
 .form-group { margin-bottom: 16px; }
@@ -182,9 +186,9 @@ tbody tr { cursor: pointer; }
 .form-group input {
  width: 100%;
  padding: 10px 14px;
-  background: var(--bg-page);
+  background: #ffffff;
  border: 1px solid var(--border);
-  border-radius: 4px;
+  border-radius: 8px;
  color: var(--text-primary);
  font-size: 14px;
 }
@@ -208,10 +212,10 @@ tbody tr { cursor: pointer; }
  width: 400px;
  text-align: center;
 }
-.login-box img { height: 40px; filter: brightness(0) invert(1); margin-bottom: 12px; }
+.login-box img { height: 40px; margin-bottom: 12px; }
 .login-box h1 {
-  font-size: 18px;
+  font-size: 22px;
-  letter-spacing: 2px;
+  letter-spacing: 1px;
  margin-bottom: 32px;
  color: var(--text-primary);
 }
@@ -225,15 +229,15 @@ tbody tr { cursor: pointer; }
 /* Badges */
 .badge {
  display: inline-block;
-  padding: 2px 8px;
+  padding: 2px 10px;
-  border-radius: 10px;
+  border-radius: 999px;
-  font-size: 11px;
+  font-size: 12px;
  font-weight: 600;
 }
-.badge-active { background: rgba(39,174,96,0.15); color: var(--success); }
+.badge-active { background: rgba(22,163,74,0.12); color: var(--success); }
-.badge-inactive { background: rgba(231,76,60,0.15); color: var(--danger); }
+.badge-inactive { background: rgba(220,38,38,0.1); color: var(--danger); }
 .badge-count {
-  background: rgba(26,127,212,0.15);
+  background: rgba(37,99,235,0.1);
  color: var(--accent);
  min-width: 24px;
  text-align: center;
@@ -252,7 +256,7 @@ tbody tr { cursor: pointer; }
 .modal-overlay {
  position: fixed;
  inset: 0;
-  background: rgba(0,0,0,0.6);
+  background: rgba(0,0,0,0.45);
  display: flex;
  align-items: center;
  justify-content: center;
@@ -262,12 +266,15 @@ tbody tr { cursor: pointer; }
  background: var(--bg-surface);
  border: 1px solid var(--border);
  border-radius: 12px;
  box-shadow: 0 10px 30px rgba(0,0,0,0.15);
  padding: 32px;
-  width: 480px;
+  width: 560px;
-  max-width: 90vw;
+  max-width: 92vw;
  max-height: 88vh;
  overflow-y: auto;
 }
 .modal h2 {
-  font-size: 18px;
+  font-size: 20px;
  margin-bottom: 20px;
 }
 .modal-actions {
@@ -304,7 +311,7 @@ tbody tr { cursor: pointer; }
  margin-bottom: 16px;
 }
 .toolbar h2 {
-  font-size: 18px;
+  font-size: 20px;
  font-weight: 600;
 }
 .auto-refresh {
@@ -315,6 +322,36 @@ tbody tr { cursor: pointer; }
  color: var(--text-secondary);
 }
 /* Credentials modal — подсказка */
 .creds-hint {
  font-size: 13px;
  color: #374151;
  background: var(--brand-grey-light);
  border: 1px solid var(--border);
  border-radius: 8px;
  padding: 12px 14px;
  margin-bottom: 16px;
  line-height: 1.6;
 }
 .creds-hint .warn {
  color: var(--warning);
  font-weight: 600;
 }
 .creds-hint p { margin: 6px 0; }
 .creds-hint .creds-sub { font-weight: 600; margin-top: 10px; color: var(--text-primary); }
 .creds-hint pre {
  background: #ffffff;
  border: 1px solid var(--border);
  border-radius: 6px;
  padding: 8px 10px;
  font-family: ui-monospace, Menlo, Consolas, monospace;
  font-size: 12px;
  line-height: 1.5;
  overflow-x: auto;
  white-space: pre;
  margin: 6px 0 10px;
 }
 /* Expandable message rows */
 td.msg-expand { padding: 0 !important; border-bottom: 1px solid var(--border); }
 .msg-expand-inner { padding: 12px 20px; background: var(--bg-page); }
@@ -327,7 +364,7 @@ td.msg-expand { padding: 0 !important; border-bottom: 1px solid var(--border); }
 <!-- ===== LOGIN PAGE ===== -->
 <div id="login-page" class="login-page">
  <div class="login-box">
-    <img src="https://terra.k8c.ru/docs/nubes/nubes/2.0.2/30_registry/assets/logo.svg" alt="Nubes">
+    <img src="/static/logo.svg" alt="Nubes">
    <h1>SQS CONSOLE</h1>
    <div class="form-group">
      <label for="login-token">API Token или Demo Token</label>
@@ -337,8 +374,19 @@ td.msg-expand { padding: 0 !important; border-bottom: 1px solid var(--border); }
    <button class="btn btn-primary" style="width:100%" onclick="doLogin()">Войти</button>
    <p style="font-size:12px;color:var(--text-secondary);margin-top:16px">
      Для демо используйте token: demo-ui-shared-sqs-ngcloud-2026.<br>
-      Для личного tenant-а используйте API token из панели Nubes.
+      Для личного аккаунта используйте API token из панели Nubes.
    </p>
    <div style="margin-top:24px;text-align:left;font-size:12px;color:var(--text-secondary);border-top:1px solid var(--border);padding-top:16px;line-height:1.7">
      <div style="font-weight:700;color:var(--text-primary);margin-bottom:6px;letter-spacing:0.5px">Информация о сервисе</div>
      <div>Endpoint: <span style="color:var(--accent);font-family:monospace">https://sqs.containerk8s.dev.nubes.ru</span></div>
      <div>Health: <span style="font-family:monospace">GET /health</span> · Метрики: <span style="font-family:monospace">GET /metrics</span></div>
      <div>SQS API: <span style="font-family:monospace">POST /</span> (AWS Signature V4, регион <span style="font-family:monospace">us-east-1</span>)</div>
      <div>Админ-консоль: <a href="/admin">/admin</a> (вход по admin-токену)</div>
      <div>Realm: <span style="font-family:monospace">iot-naeel</span> · Persistence: Managed Redis</div>
      <div>Версия: <span id="svc-version" style="font-family:monospace">—</span></div>
      <div>Образ: <span style="font-family:monospace">naeel/shared-sqs:v0.1.35</span></div>
      <div style="margin-top:8px;color:var(--warning)">Статус: тестирование</div>
    </div>
  </div>
 </div>
@@ -346,7 +394,7 @@ td.msg-expand { padding: 0 !important; border-bottom: 1px solid var(--border); }
 <div id="app" class="hidden">
  <nav class="navbar">
    <div class="navbar-brand">
-      <img src="https://terra.k8c.ru/docs/nubes/nubes/2.0.2/30_registry/assets/logo.svg" alt="Nubes">
+      <img src="/static/logo.svg" alt="Nubes">
      <span>SQS CONSOLE</span>
    </div>
    <div class="navbar-user">
@@ -365,7 +413,7 @@ td.msg-expand { padding: 0 !important; border-bottom: 1px solid var(--border); }
 <!-- ===== CREATE TENANT MODAL ===== -->
 <div id="modal-create" class="modal-overlay hidden" onclick="if(event.target===this)closeModal()">
  <div class="modal">
-    <h2>Создать тенанта</h2>
+    <h2>Создать аккаунт</h2>
    <div class="form-group">
      <label for="ct-name">Имя</label>
      <input id="ct-name" placeholder="my-service">
@@ -385,10 +433,21 @@ td.msg-expand { padding: 0 !important; border-bottom: 1px solid var(--border); }
 <!-- ===== CREDENTIALS MODAL ===== -->
 <div id="modal-creds" class="modal-overlay hidden" onclick="if(event.target===this)closeCredsModal()">
  <div class="modal">
-    <h2>Тенант создан</h2>
+    <h2>Credentials</h2>
-    <p style="color:var(--warning);font-size:13px;margin-bottom:16px">
+    <div class="creds-hint">
-      ⚠ Сохраните credentials — Secret Key показывается только один раз.
+      <p class="warn">⚠ Сохраните ключи — это креды вашего аккаунта для AWS CLI/SDK.</p>
-    </p>
+      <p><strong>Зачем:</strong> приложения подключаются к SQS API по протоколу AWS (подпись Signature V4). Токен входа в консоль для этого не подходит.</p>
      <p><strong>Что делать:</strong> укажите ключи одним из двух способов:</p>
      <p class="creds-sub">Способ 1 — переменные окружения:</p>
      <pre>export AWS_ACCESS_KEY_ID=&lt;Access Key&gt;
 export AWS_SECRET_ACCESS_KEY=&lt;Secret Key&gt;</pre>
      <p class="creds-sub">Способ 2 — файл ~/.aws/credentials:</p>
      <pre>[sqs]
 aws_access_key_id = &lt;Access Key&gt;
 aws_secret_access_key = &lt;Secret Key&gt;</pre>
      <p>Дальше выполняйте команды (для способа 2 добавьте <code>--profile sqs</code>):</p>
      <pre>aws sqs list-queues --endpoint-url https://sqs.containerk8s.dev.nubes.ru --region us-east-1 --profile sqs</pre>
    </div>
    <div class="form-group">
      <label>Access Key</label>
      <input id="creds-ak" readonly onclick="copyField(this)">
@@ -409,7 +468,7 @@ td.msg-expand { padding: 0 !important; border-bottom: 1px solid var(--border); }
    <h2>Отправить сообщение</h2>
    <div class="form-group">
      <label for="send-body">Тело сообщения</label>
-      <textarea id="send-body" rows="6" style="width:100%;background:var(--bg-page);border:1px solid var(--border);border-radius:4px;color:var(--text-primary);padding:10px 14px;font-family:monospace;font-size:13px;resize:vertical"></textarea>
+      <textarea id="send-body" rows="6" style="width:100%;background:#ffffff;border:1px solid var(--border);border-radius:8px;color:var(--text-primary);padding:10px 14px;font-family:monospace;font-size:13px;resize:vertical"></textarea>
    </div>
    <div id="send-error" class="login-error"></div>
    <div class="modal-actions">
@@ -429,7 +488,7 @@ td.msg-expand { padding: 0 !important; border-bottom: 1px solid var(--border); }
    </div>
    <div class="form-group">
      <label>Body (нажмите, чтобы скопировать)</label>
-      <textarea id="msg-detail-body" readonly rows="8" style="width:100%;background:var(--bg-page);border:1px solid var(--border);border-radius:4px;color:var(--text-primary);padding:10px 14px;font-family:monospace;font-size:13px;resize:vertical;cursor:pointer" onclick="copyTextarea(this)"></textarea>
+      <textarea id="msg-detail-body" readonly rows="8" style="width:100%;background:#ffffff;border:1px solid var(--border);border-radius:8px;color:var(--text-primary);padding:10px 14px;font-family:monospace;font-size:13px;resize:vertical;cursor:pointer" onclick="copyTextarea(this)"></textarea>
    </div>
    <div class="form-group">
      <label>Отправлено</label>
@@ -486,6 +545,14 @@ let sessionEmail = null;      // Email из JWT для отображения в
      }
    } catch(e) { /* corrupted — show login */ }
  }
  // Версия сервиса — берём из публичного /health и показываем на странице входа
  fetch(BASE + '/health')
    .then(r => r.json())
    .then(h => {
      const el = document.getElementById('svc-version');
      if (el && h.version) el.textContent = h.version;
    })
    .catch(() => { /* health недоступен — оставляем '—' */ });
  showLogin();
 })();
@@ -542,7 +609,13 @@ function enterApp() {
  document.getElementById('login-page').classList.add('hidden');
  document.getElementById('app').classList.remove('hidden');
  document.getElementById('user-email').textContent = sessionEmail || '';
-  showDashboard();
+  // Юзер сразу попадает в свой аккаунт — без промежуточного дашборда с таблицей.
  api('/tenants')
    .then(list => {
      if (list && list.length > 0) showTenant(list[0].id);
      else showDashboard();
    })
    .catch(() => showDashboard());
 }
 // ===== API HELPER =====
@@ -593,10 +666,6 @@ function renderDashboard(health, tenants) {
  const el = document.getElementById('view-dashboard');
  el.innerHTML = `
    <div class="stats-grid">
      <div class="stat-card">
        <div class="stat-value">${health.tenant_count || 0}</div>
        <div class="stat-label">Тенанты</div>
      </div>
      <div class="stat-card">
        <div class="stat-value">${health.queue_count || 0}</div>
        <div class="stat-label">Очереди</div>
@@ -609,10 +678,14 @@ function renderDashboard(health, tenants) {
        <div class="stat-value" style="color:var(--success)">●</div>
        <div class="stat-label">${health.status || 'ok'}</div>
      </div>
      <div class="stat-card">
        <div class="stat-value" style="font-size:18px">${health.version || 'dev'}</div>
        <div class="stat-label">Версия</div>
      </div>
    </div>
    <div class="card">
      <div class="toolbar">
-        <h2>Мой tenant</h2>
+        <h2>Мой аккаунт</h2>
        <div style="display:flex;gap:12px;align-items:center">
          <div class="auto-refresh">
            <span>⟳ 10с</span>
@@ -624,7 +697,6 @@ function renderDashboard(health, tenants) {
          <thead>
            <tr>
              <th>Имя</th>
              <th>Access Key</th>
              <th>Макс. очередей</th>
              <th>Статус</th>
              <th>Создан</th>
@@ -634,7 +706,6 @@ function renderDashboard(health, tenants) {
            ${(tenants || []).map(t => `
              <tr onclick="showTenant('${esc(t.id)}')">
                <td><strong>${esc(t.name)}</strong></td>
                <td style="font-family:monospace;font-size:12px">${esc(t.access_key)}</td>
                <td>${t.max_queues}</td>
                <td>${t.active
                  ? '<span class="badge badge-active">active</span>'
@@ -642,7 +713,7 @@ function renderDashboard(health, tenants) {
                <td style="font-size:12px;color:var(--text-secondary)">${fmtDate(t.created_at)}</td>
              </tr>
            `).join('')}
-            ${(!tenants || tenants.length === 0) ? '<tr><td colspan="5" style="text-align:center;color:var(--text-secondary);padding:32px">Tenant не найден</td></tr>' : ''}
+            ${(!tenants || tenants.length === 0) ? '<tr><td colspan="4" style="text-align:center;color:var(--text-secondary);padding:32px">Аккаунт не найден</td></tr>' : ''}
          </tbody>
        </table>
      </div>
@@ -676,11 +747,6 @@ function renderTenant(tenant, queues) {
  const el = document.getElementById('view-tenant');
  const totalMsgs = (queues || []).reduce((s, q) => s + q.messages + q.not_visible, 0);
  el.innerHTML = `
    <div class="breadcrumb">
      <a href="#" onclick="event.preventDefault();showDashboard()">Мой tenant</a>
      <span>›</span>
      ${esc(tenant.name)}
    </div>
    <div class="stats-grid">
      <div class="stat-card">
        <div class="stat-value">${(queues || []).length}</div>
@@ -694,16 +760,13 @@ function renderTenant(tenant, queues) {
        <div class="stat-value">${tenant.max_queues}</div>
        <div class="stat-label">Лимит очередей</div>
      </div>
      <div class="stat-card">
        <div class="stat-value" style="font-size:20px;font-family:monospace">${esc(tenant.access_key)}</div>
        <div class="stat-label">Access Key</div>
      </div>
    </div>
    <div class="card">
      <div class="toolbar">
        <h2>Очереди</h2>
        <div style="display:flex;gap:12px;align-items:center">
          <div class="auto-refresh"><span>⟳ 10с</span></div>
          <button class="btn btn-primary btn-sm" onclick="showCredentials()">Credentials</button>
          <button class="btn btn-primary btn-sm" onclick="openCreateQueueModal('${esc(tenant.id)}')" >+ Очередь</button>
        </div>
      </div>
@@ -794,9 +857,22 @@ function closeCredsModal() {
  document.getElementById('modal-creds').classList.add('hidden');
 }
 // showCredentials — запрашивает ключи тенанта и показывает их в модалке
 function showCredentials() {
  api('/credentials')
    .then(data => {
      document.getElementById('creds-ak').value = data.access_key || '';
      document.getElementById('creds-sk').value = data.secret_key || '';
      document.getElementById('modal-creds').classList.remove('hidden');
    })
    .catch(err => {
      alert('Не удалось получить credentials: ' + err.message);
    });
 }
 // deleteTenant — DELETE /tenants/{id} с подтверждением
 function deleteTenant(id, name) {
-  if (!confirm('Удалить тенанта "' + name + '"?\nВсе его очереди будут удалены.')) return;
+  if (!confirm('Удалить аккаунт "' + name + '"?\nВсе очереди будут удалены.')) return;
  api('/tenants/' + id, { method: 'DELETE' })
    .then(() => loadDashboard())
    .catch(err => alert('Ошибка удаления: ' + err.message));
@@ -949,7 +1025,7 @@ function renderQueueMessages(queueName, msgs) {
      <tbody>
        ${msgs.map(m => `
          <tr onclick="openMsgDetail('${esc(m.id)}')" style="cursor:pointer"
-              onmouseover="this.style.background='rgba(26,127,212,0.08)'" onmouseout="this.style.background=''">
+              onmouseover="this.style.background='var(--brand-grey-light)'" onmouseout="this.style.background=''">
            <td style="padding:6px 12px;font-family:monospace;color:var(--text-secondary)">${esc(m.id).substring(0,8)}…</td>
            <td style="padding:6px 12px;max-width:380px;overflow:hidden;text-overflow:ellipsis;white-space:nowrap">${esc(m.body || '').substring(0,120)}${(m.body||'').length>120?'…':''}</td>
            <td style="padding:6px 12px;color:var(--text-secondary)">${fmtDate(m.sent_at)}</td>
@@ -0,0 +1,268 @@
 <!DOCTYPE html>
 <html lang="ru">
 <head>
 <meta charset="utf-8">
 <meta name="viewport" content="width=device-width, initial-scale=1">
 <title>shared-sqs — очередь Nubes (SQS API)</title>
 <link rel="icon" type="image/svg+xml" href="/static/favicon.svg">
 <style>
 :root {
  --brand-primary: #2563eb;
  --brand-primary-dark: #1d4ed8;
  --brand-gray: #d1d5db;
  --brand-grey-light: #f3f4f6;
  --text-primary: #1a1a1a;
  --text-muted: #6b7280;
  --success: #16a34a;
  --warning: #d97706;
 }
 * { box-sizing: border-box; }
 body {
  margin: 0;
  font-family: system-ui, "Segoe UI", Roboto, sans-serif;
  font-size: 14px;
  color: var(--text-primary);
  background: #fafafa;
  line-height: 1.5;
 }
 /* Топбар — как в deck: белый, border-bottom */
 .topbar {
  height: 56px;
  display: flex;
  align-items: center;
  gap: 8px;
  padding: 0 16px;
  background: #fff;
  border-bottom: 1px solid var(--brand-gray);
  position: sticky;
  top: 0;
 }
 .topbar .brand { font-weight: 600; color: var(--text-primary); }
 .topbar .muted { color: var(--text-muted); }
 .topbar .spacer { flex: 1; }
 .chip {
  font-family: ui-monospace, monospace;
  font-size: 12px;
  color: var(--brand-primary);
  background: #eff6ff;
  border: 1px solid #bfdbfe;
  border-radius: 999px;
  padding: 2px 10px;
 }
 .container { max-width: 880px; margin: 0 auto; padding: 24px 16px 48px; }
 /* Hero */
 .hero { display: flex; align-items: center; gap: 16px; margin-bottom: 24px; }
 .hero h1 { font-size: 24px; margin: 0; letter-spacing: -0.3px; }
 .hero .sub { color: var(--text-muted); margin: 4px 0 0; }
 .badge {
  display: inline-flex;
  align-items: center;
  gap: 6px;
  font-size: 12px;
  font-weight: 600;
  color: var(--warning);
  background: #fffbeb;
  border: 1px solid #fde68a;
  border-radius: 999px;
  padding: 2px 10px;
  margin-left: 8px;
 }
 /* Карточки — как в design-system */
 .card {
  background: #fff;
  border: 1px solid var(--brand-gray);
  border-radius: 12px;
  box-shadow: 0 1px 2px rgba(0,0,0,0.05);
  margin-bottom: 20px;
  overflow: hidden;
 }
 .card-header {
  background: var(--brand-grey-light);
  padding: 12px;
  font-weight: 600;
  font-size: 14px;
 }
 .card-body { padding: 12px; }
 .card-body > p:first-child { margin-top: 0; }
 .card-body > p:last-child { margin-bottom: 0; }
 /* Сетка «подключение» */
 .kv { display: grid; grid-template-columns: 200px 1fr; gap: 8px 16px; }
 .kv .k { color: var(--text-muted); }
 .kv .v { font-family: ui-monospace, Menlo, Consolas, monospace; font-size: 13px; word-break: break-all; }
 a { color: var(--brand-primary); text-decoration: none; }
 a:hover { color: var(--brand-primary-dark); text-decoration: underline; }
 /* Таблицы — как в design-system */
 .tbl-wrap { border: 1px solid var(--brand-gray); border-radius: 8px; overflow: hidden; }
 table { width: 100%; border-collapse: collapse; font-size: 13px; }
 th {
  background: var(--brand-grey-light);
  text-align: left;
  text-transform: uppercase;
  font-size: 12px;
  letter-spacing: 0.3px;
  padding: 4px 8px;
  border-right: 1px solid var(--brand-gray);
  color: var(--text-muted);
  font-weight: 600;
 }
 td { padding: 4px 8px; border-right: 1px solid var(--brand-gray); border-bottom: 1px solid var(--brand-gray); }
 tr:last-child td { border-bottom: none; }
 td:last-child, th:last-child { border-right: none; }
 tr:hover td { background: rgba(243,244,246,0.5); }
 td code, .v code { font-family: ui-monospace, Menlo, Consolas, monospace; font-size: 12px; }
 /* Код-блоки */
 pre {
  background: var(--brand-grey-light);
  border: 1px solid var(--brand-gray);
  border-radius: 8px;
  padding: 12px;
  overflow-x: auto;
  font-family: ui-monospace, Menlo, Consolas, monospace;
  font-size: 12.5px;
  line-height: 1.6;
  margin: 8px 0 0;
 }
 pre code { background: none; border: none; padding: 0; }
 .cmd-label { font-size: 12px; color: var(--text-muted); margin: 12px 0 0; font-weight: 600; }
 .cmd-label:first-child { margin-top: 0; }
 .status-ok { color: var(--success); font-weight: 600; }
 .footer { color: var(--text-muted); font-size: 12px; text-align: center; margin-top: 32px; }
 /* Быстрый старт — шаги */
 .step { display: flex; gap: 14px; margin-bottom: 18px; }
 .step:last-child { margin-bottom: 0; }
 .step-num {
  flex: 0 0 30px;
  height: 30px;
  border-radius: 999px;
  background: var(--brand-primary);
  color: #fff;
  font-weight: 700;
  display: flex;
  align-items: center;
  justify-content: center;
  font-size: 15px;
 }
 .step-body { flex: 1; }
 .step-title { font-weight: 600; font-size: 15px; margin-bottom: 2px; }
 .step-body p { color: #374151; margin: 4px 0; }
 .btn-hero {
  display: inline-flex;
  align-items: center;
  gap: 8px;
  background: var(--brand-primary);
  color: #fff !important;
  text-decoration: none !important;
  font-size: 15px;
  font-weight: 600;
  padding: 10px 20px;
  border-radius: 8px;
  margin-top: 8px;
 }
 .btn-hero:hover { background: var(--brand-primary-dark); }
 .link-card { text-align: center; padding: 8px 0 4px; }
 .link-card a { font-size: 15px; font-weight: 600; }
 .hint-box {
  font-size: 14px;
  color: #374151;
  background: var(--brand-grey-light);
  border: 1px solid var(--brand-gray);
  border-radius: 8px;
  padding: 10px 14px;
  margin-top: 10px;
  line-height: 1.7;
 }
 .hint-box code { font-family: ui-monospace, Menlo, Consolas, monospace; font-size: 13px; }
 </style>
 </head>
 <body>
 <div class="topbar">
  <img src="/static/logo.svg" height="18" alt="nubes">
  <span class="brand">Nubes</span>
  <span class="muted">· очередь</span>
  <span class="spacer"></span>
  <span class="chip">{{VERSION}}</span>
 </div>
 <div class="container">
  <div class="hero">
    <img src="/static/logo.svg" height="28" alt="nubes">
    <div>
      <h1>shared-sqs <span class="badge">тестирование</span></h1>
      <p class="sub">Очередь, совместимая с AWS SQS API. Очереди и сообщения пользователей — в одном месте, доступ по протоколу AWS.</p>
    </div>
  </div>
  <div class="card">
    <div class="card-header">Порядок действий — 3 шага</div>
    <div class="card-body">
      <div class="step">
        <div class="step-num">1</div>
        <div class="step-body">
          <div class="step-title">Вход в консоль</div>
          <p>API-токен выдается в панели Nubes и вводится на странице входа.</p>
          <a class="btn-hero" href="/ui">Открыть консоль →</a>
        </div>
      </div>
      <div class="step">
        <div class="step-num">2</div>
        <div class="step-body">
          <div class="step-title">Получение ключей доступа</div>
          <p>В консоли кнопка <code>Credentials</code> открывает окно с <strong>Access Key</strong> и <strong>Secret Key</strong> — это учетные данные для подключения.</p>
        </div>
      </div>
      <div class="step">
        <div class="step-num">3</div>
        <div class="step-body">
          <div class="step-title">Подключение клиента</div>
          <p>Ключи указываются в AWS CLI/SDK; далее работа с очередями ведется как с обычным AWS SQS.</p>
          <div class="hint-box">
            Быстрый вариант — переменные окружения:<br>
            <code>export AWS_ACCESS_KEY_ID=&lt;Access Key&gt;</code><br>
            <code>export AWS_SECRET_ACCESS_KEY=&lt;Secret Key&gt;</code><br>
            <code>aws sqs list-queues --endpoint-url https://sqs.containerk8s.dev.nubes.ru --region us-east-1</code>
          </div>
          <p style="margin-top:10px">Полные примеры команд, включая способ через файл <code>~/.aws/credentials</code>, — на отдельной странице:</p>
          <a class="btn-hero" href="/examples">Примеры команд →</a>
        </div>
      </div>
    </div>
  </div>
  <div class="card">
    <div class="card-header">Подключение</div>
    <div class="card-body kv">
      <div class="k">Endpoint</div>
      <div class="v">https://sqs.containerk8s.dev.nubes.ru</div>
      <div class="k">Протокол</div>
      <div class="v">AWS SQS Query / JSON, подпись <code>AWS Signature V4</code></div>
      <div class="k">Регион</div>
      <div class="v">us-east-1</div>
      <div class="k">Аутентификация</div>
      <div class="v">Access Key / Secret Key — выдаются в консоли <a href="/ui">/ui</a> (кнопка Credentials)</div>
      <div class="k">Консоль</div>
      <div class="v"><a href="/ui">/ui</a> — веб-интерфейс (вход по API-токену Nubes)</div>
      <div class="k">Health</div>
      <div class="v"><a href="/health">GET /health</a> <span class="status-ok">● ok</span></div>
      <div class="k">Метрики</div>
      <div class="v"><a href="/metrics">GET /metrics</a> — Prometheus</div>
      <div class="k">Persistence</div>
      <div class="v">Managed Redis (realm <code>iot-naeel</code>)</div>
    </div>
  </div>
  <div class="card">
    <div class="card-header">Команды и примеры</div>
    <div class="card-body">
      <p style="color:#374151">Полный список команд SQS API и подробные примеры для AWS CLI — на отдельной странице с крупным шрифтом.</p>
      <div class="link-card"><a href="/examples">Открыть примеры команд →</a></div>
    </div>
  </div>
  <div class="footer">shared-sqs · realm iot-naeel · версия {{VERSION}} · <a href="/examples">примеры</a> · <a href="/metrics">метрики</a> · <a href="/health">health</a> · <a href="/admin">админ</a></div>
 </div>
 </body>
 </html>
@@ -0,0 +1,55 @@
 <?xml version="1.0" encoding="UTF-8" standalone="no"?>
 <svg
   width="57"
   height="57"
   xml:space="preserve"
   overflow="hidden"
   version="1.1"
   id="svg8"
   sodipodi:docname="U_v3.svg"
   inkscape:version="1.3.2 (091e20e, 2023-11-25, custom)"
   xmlns:inkscape="http://www.inkscape.org/namespaces/inkscape"
   xmlns:sodipodi="http://sodipodi.sourceforge.net/DTD/sodipodi-0.dtd"
   xmlns="http://www.w3.org/2000/svg"
   xmlns:svg="http://www.w3.org/2000/svg"><sodipodi:namedview
     id="namedview8"
     pagecolor="#ffffff"
     bordercolor="#000000"
     borderopacity="0.25"
     inkscape:showpageshadow="2"
     inkscape:pageopacity="0.0"
     inkscape:pagecheckerboard="0"
     inkscape:deskcolor="#d1d1d1"
     inkscape:zoom="16.226667"
     inkscape:cx="27.146672"
     inkscape:cy="28.317584"
     inkscape:window-width="2560"
     inkscape:window-height="1494"
     inkscape:window-x="-11"
     inkscape:window-y="-11"
     inkscape:window-maximized="1"
     inkscape:current-layer="svg8" /><defs
     id="defs2"><clipPath
       id="clip0"><rect
         x="652"
         y="420"
         width="64"
         height="75"
         id="rect1" /></clipPath><clipPath
       id="clip1"><rect
         x="652"
         y="420"
         width="64"
         height="70"
         id="rect2" /></clipPath></defs><g
     clip-path="url(#clip0)"
     transform="matrix(1.0135748,0,0,1.0135748,-664.97034,-440.30567)"
     id="g8"><g
       clip-path="url(#clip1)"
       id="g7"><g
         id="g6"><path
           d="m 114.028,43.1492 v 7.6592 c 0,3.7843 -3.08,6.8632 -6.866,6.8632 L 85.3367,57.5419 c -3.7853,0 -6.8655,-3.0805 -6.8655,-6.8643 v -2.5279 l 0.0555,0.009 V 15.8148 l -10.3823,2.0127 0.0045,3.8772 -0.0045,0.0015 v 28.971 c 0,9.481 7.7132,17.1923 17.1867,17.1923 l 21.8359,0.1313 c 9.474,0 17.187,-7.7117 17.187,-17.1928 v -2.6541 l 0.027,0.0045 V 15.8145 l -10.382,2.0126 0.028,25.3214 z"
           fill="#001c34"
           fill-rule="evenodd"
           transform="matrix(1,0,0,1.01337,587.92,420.059)"
           id="path6" /></g></g></g></svg>
@@ -0,0 +1,25 @@
 <?xml version="1.0" encoding="UTF-8"?>
 <!DOCTYPE svg PUBLIC "-//W3C//DTD SVG 1.1//EN" "http://www.w3.org/Graphics/SVG/1.1/DTD/svg11.dtd">
 <!-- Creator: CorelDRAW -->
 <svg xmlns="http://www.w3.org/2000/svg" xml:space="preserve" width="82.3711mm" height="18.2443mm" version="1.1" style="shape-rendering:geometricPrecision; text-rendering:geometricPrecision; image-rendering:optimizeQuality; fill-rule:evenodd; clip-rule:evenodd"
 viewBox="0 0 8221.93 1821.07"
 xmlns:xlink="http://www.w3.org/1999/xlink"
 xmlns:xodm="http://www.corel.com/coreldraw/odm/2003">
 <defs>
  <style type="text/css">
   <![CDATA[
    .fil0 {fill:#001C34}
   ]]>
  </style>
 </defs>
 <g id="Слой_x0020_1">
  <metadata id="CorelCorpID_0Corel-Layer"/>
  <g id="_2283355517888">
   <path class="fil0" d="M477.49 479.69l-413.51 0 -63.98 276.48 178.44 0 1.17 1028.71 0 26.75 0.03 0 276.39 0 0 -871.72c0,-101.28 82.43,-183.69 183.75,-183.69l589.25 3.44c101.34,0 183.76,82.46 183.76,183.74l0 871.72 276.44 0 0 -871.72c0,-253.77 -206.46,-460.15 -460.05,-460.15l-589.52 -3.53 -162.17 0.45 0 -0.48z"/>
   <path class="fil0" d="M6664.65 1813.37l1181.04 0c212.14,0 376.24,-175.01 376.24,-387.08 0,-212.13 -172.55,-384.68 -384.69,-384.68l-653.66 0c-60.22,0 -109.16,-48.94 -109.16,-109.18l0 -66.18c0,-60.19 48.94,-109.14 109.16,-109.14l695.76 0 63.74 -275.49 -759.5 0c-212.13,0 -384.66,172.53 -384.66,384.63l0 66.18c0,212.13 172.53,384.67 384.66,384.67l653.66 0c60.2,0 109.2,49 109.2,109.19 0,60.13 -49,116.1 -109.2,116.1l-1118.9 0 -53.68 270.98z"/>
   <path class="fil0" d="M6200.79 483.5l-723.21 0c-215.88,0 -391.47,175.6 -391.47,391.51l0 485.5c0,248.38 202.05,450.4 450.4,450.4l989.38 0 62.13 -268.51 -1051.51 0c-96.41,0 -174.95,-85.37 -174.95,-181.88l-1.5 -39.46 923.62 0 308.51 -1.84 0 -237.95 0 -206.26c0,-215.91 -175.59,-391.51 -391.41,-391.51zm115.96 560.28l-955.19 0 0 -168.77c0,-63.96 52.07,-116.05 116.02,-116.05l723.21 0c63.91,0 115.96,52.08 115.96,116.05l0 168.77z"/>
   <path class="fil0" d="M4683.49 1194.24l0 168.28c0,100.92 -81.7,178.37 -182.67,178.37l-589.87 1.23c-93.18,0 -170.28,-69.96 -181.63,-160.09l0 -458.13c11.36,-90.1 88.46,-160.07 181.63,-160.07l589.44 3.5c100.97,0 183.1,82.18 183.1,183.1l0 30.42 0 213.4zm-1230.2 -345.53l-0.89 -795.03 276.91 -53.68 0 526.07c55.74,-24.16 117.03,-37.74 181.5,-37.74l589.71 3.5c252.69,0 458.42,205.72 458.42,458.59l0 30.42 0 213.4 0 168.28c0,252.86 -205.73,458.54 -458.42,458.54l-589.71 -3.5c-252.7,0 -458.41,-205.67 -458.41,-458.56l0 -171.61 0 -240.48 0.89 -98.2z"/>
   <path class="fil0" d="M3041.25 1150.84l0 204.28c0,100.93 -82.15,183.05 -183.11,183.05l-582.11 -3.46c-100.96,0 -183.11,-82.16 -183.11,-183.08l0 -67.42 1.48 0.24 0 -862.65 -276.91 53.68 0.12 103.41 -0.12 0.04 0 772.69c0,252.87 205.72,458.54 458.39,458.54l582.4 3.5c252.67,0 458.4,-205.68 458.4,-458.55l0 -70.79 0.71 0.12 0 -862.65 -276.91 53.68 0.76 675.35z"/>
  </g>
 </g>
 </svg>
@@ -1,139 +0,0 @@
 package utils
 import (
 	"net/url"
 	"testing"
 	"shared-sqs/app/models"
 	"shared-sqs/app/test"
 	"shared-sqs/app/fixtures"
 	"shared-sqs/app/mocks"
 	"github.com/stretchr/testify/assert"
 )
 func TestTransformRequest_success_json(t *testing.T) {
 	_, r := test.GenerateRequestInfo("POST", "url", fixtures.JSONRequestBody, true)
 	mock := &mocks.MockRequestBody{}
 	ok := TransformRequest(mock, r, false)
 	assert.True(t, ok)
 	assert.Equal(t, "mock-value", mock.RequestFieldStr)
 	assert.False(t, mock.SetAttributesFromFormCalled)
 }
 func TestTransformRequest_success_json_empty_request_accepted(t *testing.T) {
 	_, r := test.GenerateRequestInfo("POST", "url", nil, true)
 	mock := &mocks.MockRequestBody{}
 	ok := TransformRequest(mock, r, true)
 	assert.True(t, ok)
 	//assert.Equal(t, "mock-value", mock.RequestFieldStr)
 	assert.False(t, mock.SetAttributesFromFormCalled)
 }
 func TestTransformRequest_success_xml(t *testing.T) {
 	_, r := test.GenerateRequestInfo("POST", "url", nil, false)
 	form := url.Values{}
 	form.Add("Action", "CreateQueue")
 	form.Add("QueueName", "UnitTestQueue1")
 	form.Add("Attribute.1.Name", "VisibilityTimeout")
 	form.Add("Attribute.1.Value", "60")
 	form.Add("Attribute.2.Name", "MaximumMessageSize")
 	form.Add("Attribute.2.Value", "2048")
 	r.PostForm = form
 	mock := &mocks.MockRequestBody{}
 	ok := TransformRequest(mock, r, false)
 	assert.True(t, ok)
 	assert.True(t, mock.SetAttributesFromFormCalled)
 	assert.Equal(t, []interface{}{form}, mock.SetAttributesFromFormCalledWith)
 }
 func TestTransformRequest_error_invalid_request_body_json(t *testing.T) {
 	_, r := test.GenerateRequestInfo("POST", "url", "\"I-am-garbage", true)
 	mock := &mocks.MockRequestBody{}
 	ok := TransformRequest(mock, r, false)
 	assert.False(t, ok)
 	assert.Equal(t, "", mock.RequestFieldStr)
 	assert.False(t, mock.SetAttributesFromFormCalled)
 }
 func TestTransformRequest_error_failure_to_parse_form_xml(t *testing.T) {
 	_, r := test.GenerateRequestInfo("POST", "url", nil, false)
 	mock := &mocks.MockRequestBody{}
 	ok := TransformRequest(mock, r, false)
 	assert.False(t, ok)
 	assert.False(t, mock.SetAttributesFromFormCalled)
 }
 func TestTransformRequest_error_invalid_request_body_xml(t *testing.T) {
 	_, r := test.GenerateRequestInfo("POST", "url", nil, false)
 	form := url.Values{}
 	form.Add("intField", "\"I-am-garbage")
 	r.PostForm = form
 	mock := &mocks.MockRequestBody{}
 	ok := TransformRequest(mock, r, false)
 	assert.False(t, ok)
 	assert.False(t, mock.SetAttributesFromFormCalled)
 }
 func TestExtractQueueAttributes_success(t *testing.T) {
 	u := url.Values{}
 	u.Add("Attribute.1.Name", "DelaySeconds")
 	u.Add("Attribute.1.Value", "20")
 	u.Add("Attribute.2.Name", "VisibilityTimeout")
 	u.Add("Attribute.2.Value", "30")
 	u.Add("Attribute.3.Name", "Policy")
 	attr := ExtractQueueAttributes(u)
 	expected := map[string]string{
 		"DelaySeconds":      "20",
 		"VisibilityTimeout": "30",
 	}
 	assert.Equal(t, expected, attr)
 }
 func TestGetMD5Hash(t *testing.T) {
 	hash1 := GetMD5Hash("This is a test")
 	hash2 := GetMD5Hash("This is a test")
 	if hash1 != hash2 {
 		t.Errorf("hashs and hash2 should be the same, but were not")
 	}
 	hash1 = GetMD5Hash("This is a test")
 	hash2 = GetMD5Hash("This is a tfst")
 	if hash1 == hash2 {
 		t.Errorf("hashs and hash2 are the same, but should not be")
 	}
 }
 func TestSortedKeys(t *testing.T) {
 	attributes := map[string]models.MessageAttribute{
 		"b": {},
 		"a": {},
 	}
 	keys := sortedKeys(attributes)
 	assert.Equal(t, "a", keys[0])
 	assert.Equal(t, "b", keys[1])
 }
@@ -1,9 +0,0 @@
 # Chart.yaml — Helm chart для shared-sqs (multi-tenant SQS-compatible message queue)
 # Created: 2026-04-11
 # Updated: 2026-04-12 09:57 MSK — appVersion v0.1.22
 apiVersion: v2
 name: shared-sqs
 description: Multi-tenant AWS SQS-compatible message queue service
 type: application
 version: 0.1.0
 appVersion: "0.1.22"
@@ -1,26 +0,0 @@
 {{/*
 _helpers.tpl — общие хелперы для shared-sqs Helm chart
 Created: 2026-04-11
 */}}
 {{/* Полное имя релиза */}}
 {{- define "shared-sqs.fullname" -}}
 {{- .Release.Name | trunc 63 | trimSuffix "-" }}
 {{- end }}
 {{/* Общие labels */}}
 {{- define "shared-sqs.labels" -}}
 app: shared-sqs
 app.kubernetes.io/name: shared-sqs
 app.kubernetes.io/instance: {{ .Release.Name }}
 app.kubernetes.io/version: {{ .Chart.AppVersion | quote }}
 app.kubernetes.io/managed-by: {{ .Release.Service }}
 helm.sh/chart: {{ .Chart.Name }}-{{ .Chart.Version }}
 {{- end }}
 {{/* Selector labels */}}
 {{- define "shared-sqs.selectorLabels" -}}
 app: shared-sqs
 app.kubernetes.io/name: shared-sqs
 app.kubernetes.io/instance: {{ .Release.Name }}
 {{- end }}
@@ -1,85 +0,0 @@
 # deployment.yaml — Deployment shared-sqs с RollingUpdate
 # Created: 2026-04-11
 apiVersion: apps/v1
 kind: Deployment
 metadata:
  name: shared-sqs
  namespace: {{ .Values.namespace }}
  labels:
    {{- include "shared-sqs.labels" . | nindent 4 }}
 spec:
  replicas: 1
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxSurge: 1
      maxUnavailable: 0
  selector:
    matchLabels:
      {{- include "shared-sqs.selectorLabels" . | nindent 6 }}
  template:
    metadata:
      labels:
        {{- include "shared-sqs.selectorLabels" . | nindent 8 }}
    spec:
      containers:
      - name: shared-sqs
        image: "naeel/shared-sqs:{{ .Values.image.tag }}"
        imagePullPolicy: IfNotPresent
        ports:
        - containerPort: 4100
          name: http
        env:
        - name: SHARED_SQS_ADMIN_TOKEN
          valueFrom:
            secretKeyRef:
              name: shared-sqs-admin
              key: token
        - name: SHARED_SQS_SEED_DEMO
          value: {{ .Values.seedDemo | quote }}
        - name: REDIS_ADDR
          valueFrom:
            secretKeyRef:
              name: shared-sqs-redis
              key: addr
        - name: REDIS_USER
          valueFrom:
            secretKeyRef:
              name: shared-sqs-redis
              key: user
        - name: REDIS_PASSWORD
          valueFrom:
            secretKeyRef:
              name: shared-sqs-redis
              key: password
        {{- if .Values.billing.enabled }}
        - name: BILLING_PG_HOST
          value: {{ .Values.billing.postgres.host | quote }}
        - name: BILLING_PG_PORT
          value: {{ .Values.billing.postgres.port | quote }}
        - name: BILLING_PG_DATABASE
          value: {{ .Values.billing.postgres.database | quote }}
        - name: BILLING_PG_USER
          value: {{ .Values.billing.postgres.user | quote }}
        - name: BILLING_PG_SSLMODE
          value: {{ .Values.billing.postgres.sslmode | quote }}
        - name: BILLING_PG_PASSWORD
          valueFrom:
            secretKeyRef:
              name: shared-sqs-billing-pg
              key: password
        {{- end }}
        resources:
          {{- toYaml .Values.resources | nindent 10 }}
        livenessProbe:
          httpGet:
            path: /health
            port: 4100
          initialDelaySeconds: 5
          periodSeconds: 10
        readinessProbe:
          httpGet:
            path: /health
            port: 4100
          initialDelaySeconds: 3
          periodSeconds: 5
@@ -1,34 +0,0 @@
 # ingress.yaml — Ingress для shared-sqs (условный, включается через values)
 # Created: 2026-04-11
 {{- if .Values.ingress.enabled }}
 apiVersion: networking.k8s.io/v1
 kind: Ingress
 metadata:
  name: shared-sqs-ingress
  namespace: {{ .Values.namespace }}
  labels:
    {{- include "shared-sqs.labels" . | nindent 4 }}
  {{- with .Values.ingress.annotations }}
  annotations:
    {{- toYaml . | nindent 4 }}
  {{- end }}
 spec:
  ingressClassName: {{ .Values.ingress.className }}
  rules:
  - host: {{ .Values.ingress.host }}
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: shared-sqs
            port:
              number: 4100
  {{- if .Values.ingress.tls.enabled }}
  tls:
  - hosts:
    - {{ .Values.ingress.host }}
    secretName: {{ .Values.ingress.tls.secretName }}
  {{- end }}
 {{- end }}
@@ -1,7 +0,0 @@
 {{/*
  namespace.yaml — не создаём namespace из чарта,
  т.к. он может уже существовать (managed платформой или вручную).
  Создавать namespace перед helm install:
    kubectl create namespace {{ .Values.namespace }}
  Created: 2026-04-11
 */}}
@@ -1,12 +0,0 @@
 # secret-admin.yaml — Secret с admin токеном
 # Created: 2026-04-11
 apiVersion: v1
 kind: Secret
 metadata:
  name: shared-sqs-admin
  namespace: {{ .Values.namespace }}
  labels:
    {{- include "shared-sqs.labels" . | nindent 4 }}
 type: Opaque
 stringData:
  token: {{ .Values.admin.token | quote }}
@@ -1,15 +0,0 @@
 # secret-billing.yaml — Secret с PostgreSQL credentials для billing
 # Создаётся только если billing.enabled=true и existingSecret не указан
 # Created: 2026-04-12
 {{- if and .Values.billing.enabled (not .Values.billing.postgres.existingSecret) }}
 apiVersion: v1
 kind: Secret
 metadata:
  name: shared-sqs-billing-pg
  namespace: {{ .Values.namespace }}
  labels:
    {{- include "shared-sqs.labels" . | nindent 4 }}
 type: Opaque
 stringData:
  password: {{ required "billing.postgres.password is required when billing is enabled" .Values.billing.postgres.password | quote }}
 {{- end }}
@@ -1,14 +0,0 @@
 # secret-redis.yaml — Secret с Redis credentials (addr + user + password)
 # Created: 2026-04-11
 apiVersion: v1
 kind: Secret
 metadata:
  name: shared-sqs-redis
  namespace: {{ .Values.namespace }}
  labels:
    {{- include "shared-sqs.labels" . | nindent 4 }}
 type: Opaque
 stringData:
  addr: {{ .Values.redis.addr | quote }}
  user: {{ .Values.redis.user | quote }}
  password: {{ .Values.redis.password | quote }}
@@ -1,18 +0,0 @@
 # service.yaml — Service для shared-sqs
 # Created: 2026-04-11
 apiVersion: v1
 kind: Service
 metadata:
  name: shared-sqs
  namespace: {{ .Values.namespace }}
  labels:
    {{- include "shared-sqs.labels" . | nindent 4 }}
 spec:
  type: ClusterIP
  selector:
    {{- include "shared-sqs.selectorLabels" . | nindent 4 }}
  ports:
  - name: http
    port: 4100
    targetPort: 4100
    protocol: TCP
@@ -1,84 +0,0 @@
 # values.yaml — параметры деплоя shared-sqs
 # Updated: 2026-04-13
 #
 # ЧТО ЭТО:
 #   shared-sqs — AWS SQS-совместимый сервис очередей сообщений для Kubernetes.
 #   Работает как замена Amazon SQS: клиенты используют стандартный AWS SDK/CLI,
 #   просто указывая свой endpoint вместо amazonaws.com.
 #
 # ЧТО НУЖНО ЗАРАНЕЕ:
 #   1. Redis          — для хранения очередей и сообщений (любой Redis ≥ 6)
 #   2. PostgreSQL     — для биллинга (можно отключить: billing.enabled: false)
 #   3. Ingress NGINX  — установлен в кластере (принимает внешние запросы)
 #   4. cert-manager   — для автовыпуска TLS-сертификата (letsencrypt)
 #   5. DNS-запись     — ваш домен должен указывать на IP ingress-контроллера
 #
 # КАК ДЕПЛОИТЬ:
 #   helm install shared-sqs ./deployments/helm/shared-sqs -n shared-sqs --create-namespace
 #
 # КАК ОБНОВИТЬ:
 #   helm upgrade shared-sqs ./deployments/helm/shared-sqs -n shared-sqs
 # Namespace в Kubernetes куда будет задеплоен сервис
 namespace: shared-sqs
 # Версия образа сервиса
 image:
  tag: "v0.1.24"
 # Redis — хранит все очереди и сообщения.
 # addr: адрес в формате host:port (внутренний K8s DNS или внешний IP)
 # user: Redis-пользователь (по умолчанию "default" — стандартный встроенный пользователь Redis)
 redis:
  addr: "rfrm-redisk8s.54467f74-67f5-4ca7-9b4a-bdd50e8c23d6.svc:6379"
  user: "default"
  password: "quiY2oovugaiChiejah9"
 # Токен для административного API (/admin/*).
 # Используется для создания тенантов и управления ими.
 # Придумайте любую строку, например: openssl rand -hex 20
 admin:
  token: "sqs-admin-7a7d8bd0c060a75c198d48680f34077a"
 # Создать demo-тенанта при первом старте (удобно для проверки работы).
 # В продакшне можно поставить false.
 seedDemo: true
 # Лимиты ресурсов для пода. Для начала этих значений достаточно.
 resources:
  requests:
    memory: "64Mi"
    cpu: "50m"
  limits:
    memory: "256Mi"
    cpu: "500m"
 # Ingress — открывает сервис наружу по домену.
 # host: ваш домен, должен указывать на IP ingress-контроллера кластера.
 # После деплоя cert-manager автоматически выпустит TLS-сертификат.
 ingress:
  enabled: true
  className: nginx
  host: "qu.kube5s.ru"
  annotations:
    cert-manager.io/cluster-issuer: letsencrypt-prod
    nginx.ingress.kubernetes.io/proxy-body-size: "10m"
    nginx.ingress.kubernetes.io/proxy-read-timeout: "30"
    nginx.ingress.kubernetes.io/proxy-send-timeout: "30"
  tls:
    enabled: true
    secretName: shared-sqs-tls
 # Биллинг — запись статистики по всем SQS-операциям в PostgreSQL.
 # Если PostgreSQL нет — поставьте enabled: false, остальное игнорируется.
 billing:
  enabled: true
  postgres:
    host: "postgresqlk8s-master.dc5db45d-f8b4-4fd0-ad33-ec4dd017f2d5.svc.cluster.local"
    port: "5432"
    # База данных должна существовать заранее (CREATE DATABASE sqsdb)
    database: "sqsdb"
    user: "super"
    password: "BQUF5ruECa1ZFlq4wYt3gPJUEmtBMkA9QNK4MM5Sd8al4ArMDlmT16DIKHYBPyif"
    # disable — если PostgreSQL без SSL (например локальный)
    sslmode: "require"
@@ -1,77 +0,0 @@
 # deployments/k8s/deployment.yaml
 # Deployment shared-sqs — strategy RollingUpdate (теперь возможен т.к. Redis хранит состояние)
 # Updated: 2026-04-12 09:57 MSK — image v0.1.22 для demo UI showcase mode
 apiVersion: apps/v1
 kind: Deployment
 metadata:
  name: shared-sqs
  namespace: shared-sqs
  labels:
    app: shared-sqs
 spec:
  replicas: 1
  strategy:
    type: RollingUpdate
    rollingUpdate:
      maxSurge: 1
      maxUnavailable: 0
  selector:
    matchLabels:
      app: shared-sqs
  template:
    metadata:
      labels:
        app: shared-sqs
    spec:
      containers:
      - name: shared-sqs
        image: naeel/shared-sqs:v0.1.22
        ports:
        - containerPort: 4100
          name: http
        env:
        - name: SHARED_SQS_ADMIN_TOKEN
          valueFrom:
            secretKeyRef:
              name: shared-sqs-admin
              key: token
        - name: SHARED_SQS_SEED_DEMO
          value: "true"
        - name: REDIS_ADDR
          valueFrom:
            secretKeyRef:
              name: shared-sqs-redis
              key: addr
        - name: REDIS_USER
          valueFrom:
            secretKeyRef:
              name: shared-sqs-redis
              key: user
        - name: REDIS_PASSWORD
          valueFrom:
            secretKeyRef:
              name: shared-sqs-redis
              key: password
        - name: NUBES_ENDPOINT
          value: "https://deck-api-test.ngcloud.ru/api/v1"
        resources:
          requests:
            memory: "64Mi"
            cpu: "50m"
          limits:
            memory: "256Mi"
            cpu: "500m"
        livenessProbe:
          httpGet:
            path: /health
            port: 4100
          initialDelaySeconds: 5
          periodSeconds: 10
        readinessProbe:
          httpGet:
            path: /health
            port: 4100
          initialDelaySeconds: 3
          periodSeconds: 5
      imagePullSecrets:
      - name: sless-registry-auth
@@ -1,38 +0,0 @@
 # deployments/k8s/ingress.yaml
 # Ingress для shared-sqs на домене qu.kube5s.ru
 # Created: 2026-04-09, Updated: 2026-04-12
 apiVersion: networking.k8s.io/v1
 kind: Ingress
 metadata:
  name: shared-sqs-ingress
  namespace: shared-sqs
  annotations:
    cert-manager.io/cluster-issuer: letsencrypt-prod
    nginx.ingress.kubernetes.io/proxy-body-size: 10m
    nginx.ingress.kubernetes.io/proxy-read-timeout: "30"
    nginx.ingress.kubernetes.io/proxy-send-timeout: "30"
    # Fix: 64KB+ payload (boto3/urllib3 2.0 шлёт headers и body отдельными TCP write,
    # botocore убирает TCP_NODELAY → последние ~16KB body не доходят за client_body_timeout).
    # Решение: proxy-request-buffering=off стримит body напрямую в backend без ожидания полного тела.
    nginx.ingress.kubernetes.io/client-body-buffer-size: "512k"
    nginx.ingress.kubernetes.io/proxy-request-buffering: "off"
    # server-snippet удалён 2026-04-12: nginx ingress controller v1.x+ блокирует
    # эту аннотацию как "risky" (ServerSnippet contains risky annotation).
    # client_body_timeout задаётся через ConfigMap ingress controller.
 spec:
  ingressClassName: nginx
  rules:
  - host: qu.kube5s.ru
    http:
      paths:
      - path: /
        pathType: Prefix
        backend:
          service:
            name: shared-sqs
            port:
              number: 4100
  tls:
  - hosts:
    - qu.kube5s.ru
    secretName: shared-sqs-tls
@@ -1,9 +0,0 @@
 # deployments/k8s/namespace.yaml
 # Namespace для shared-sqs сервиса
 # Created: 2026-04-09
 apiVersion: v1
 kind: Namespace
 metadata:
  name: shared-sqs
  labels:
    app: shared-sqs
@@ -1,80 +0,0 @@
 # 2026-04-10 — Redis для shared-sqs в кластере naeel-test-3
 # Single-node Redis с PVC для persistence состояния shared-sqs между рестартами.
 # Namespace: shared-sqs. Пароль совпадает с managed Redis из deck.ngcloud.ru.
 apiVersion: v1
 kind: PersistentVolumeClaim
 metadata:
  name: shared-sqs-redis-pvc
  namespace: shared-sqs
 spec:
  accessModes:
    - ReadWriteOnce
  storageClassName: local-path
  resources:
    requests:
      storage: 1Gi
 ---
 apiVersion: apps/v1
 kind: Deployment
 metadata:
  name: shared-sqs-redis
  namespace: shared-sqs
  labels:
    app: shared-sqs-redis
 spec:
  replicas: 1
  selector:
    matchLabels:
      app: shared-sqs-redis
  strategy:
    type: Recreate
  template:
    metadata:
      labels:
        app: shared-sqs-redis
    spec:
      containers:
        - name: redis
          image: redis:7.2-alpine
          command:
            - redis-server
            - --requirepass
            - $(REDIS_PASSWORD)
            - --appendonly
            - "yes"
            - --save
            - "60 1"
          ports:
            - containerPort: 6379
          env:
            - name: REDIS_PASSWORD
              valueFrom:
                secretKeyRef:
                  name: shared-sqs-redis
                  key: password
          volumeMounts:
            - name: redis-data
              mountPath: /data
          resources:
            requests:
              memory: 128Mi
              cpu: 50m
            limits:
              memory: 256Mi
              cpu: 200m
      volumes:
        - name: redis-data
          persistentVolumeClaim:
            claimName: shared-sqs-redis-pvc
 ---
 apiVersion: v1
 kind: Service
 metadata:
  name: shared-sqs-redis
  namespace: shared-sqs
 spec:
  selector:
    app: shared-sqs-redis
  ports:
    - port: 6379
      targetPort: 6379
@@ -1,26 +0,0 @@
 # deployments/k8s/secret.yaml
 # Секреты для shared-sqs: admin token + Redis credentials
 # Created: 2026-04-09
 # Updated: 2026-04-10 — добавлен shared-sqs-redis secret
 # ВНИМАНИЕ: заполнить реальными значениями перед деплоем
 # kubectl create secret generic shared-sqs-admin --from-literal=token=YOUR_TOKEN -n shared-sqs
 # kubectl create secret generic shared-sqs-redis --from-literal=addr=HOST:6379 --from-literal=user=default --from-literal=password=PASS -n shared-sqs
 apiVersion: v1
 kind: Secret
 metadata:
  name: shared-sqs-admin
  namespace: shared-sqs
 type: Opaque
 stringData:
  token: "REPLACE_WITH_REAL_TOKEN"
 ---
 apiVersion: v1
 kind: Secret
 metadata:
  name: shared-sqs-redis
  namespace: shared-sqs
 type: Opaque
 stringData:
  addr: "REPLACE_WITH_REDIS_ADDR"
  user: "default"
  password: "REPLACE_WITH_REDIS_PASSWORD"
@@ -1,19 +0,0 @@
 # deployments/k8s/service.yaml
 # Service для shared-sqs
 # Created: 2026-04-09
 apiVersion: v1
 kind: Service
 metadata:
  name: shared-sqs
  namespace: shared-sqs
  labels:
    app: shared-sqs
 spec:
  selector:
    app: shared-sqs
  ports:
  - name: http
    port: 4100
    targetPort: 4100
    protocol: TCP
  type: ClusterIP
@@ -1,20 +0,0 @@
 # vmservicescrape.yaml — VMServiceScrape для Victoria Metrics
 # Говорит VMAgent скрейпить /metrics с shared-sqs Service.
 # Created: 2026-04-12
 apiVersion: operator.victoriametrics.com/v1beta1
 kind: VMServiceScrape
 metadata:
  name: shared-sqs-metrics
  namespace: shared-sqs
  labels:
    app: shared-sqs
 spec:
  # Какой Service скрейпить — по label selector
  selector:
    matchLabels:
      app: shared-sqs
  # Endpoint: порт http, путь /metrics
  endpoints:
  - port: http
    path: /metrics
    interval: "30s"
@@ -1,213 +0,0 @@
 # Архитектура и план миграции shared-sqs → Nubes Managed
 **Дата:** 2026-08-13
 **Источник:** ответ Claude Sonnet на промпт по миграции
 ---
 ## 1. Код-ревью (блокеры деплоя)
 | Файл | Находка | Блокер? | Что делать |
 |---|---|---|---|
 | `goaws.yaml` + `tenant_helpers.go` | `Host: goaws.com`, `Port: 4100` bake-in в образ. QueueUrl клиентам возвращается как `http://us-east-1.goaws.com:4100/{tenantID}/{queueName}`. Поскольку текущий k8s работает с тем же расхождением (ingress `qu.kube5s.ru` ≠ `goaws.com`), клиенты используют endpoint_url + только path из QueueUrl — **не подключаются к goaws.com напрямую**. | НЕТ (условно) | Обновить `Host` в `goaws.yaml` после выяснения нового домена, пересобрать образ. Это смена конфига, не Go-кода. |
 | `redis.go` | Подключение без TLS: `redis.Options{Addr, Username, Password, DB:0}` — нет `TLSConfig`. Если Managed Redis требует TLS на internal DNS — блокер. | **ОТКРЫТЫЙ ВОПРОС** | Уточнить у Nubes: требует ли managed Redis TLS для `*.svc.cluster.local`. Если нет — не блокер. |
 | `goaws.go` | Порт задаётся флагом `--port` (default 4100), не env `PORT`. ENTRYPOINT в Dockerfile не передаёт `--port` — слушает 4100. | НЕТ | nubes_http должен маршрутизировать на порт 4100 (или платформа сама определяет порт — уточнить). |
 | `goaws.go` | `ReceiveMessage` с long-polling держит HTTP-соединение до 20 секунд (`WaitTimeSeconds`). В Ingress был `proxy-read-timeout: 30`. | НЕТ (в коде) | nubes_http должен иметь read-timeout ≥ 30 секунд — уточнить у платформы. |
 | `admin.go` | `NUBES_ENDPOINT` default = `https://deck-api-test.ngcloud.ru/api/v1` (тестовый). Для production нужен production URL. | НЕТ (env-override) | Задать `NUBES_ENDPOINT` production URL в env vars контейнера. |
 | `deployment.yaml` | `SHARED_SQS_SEED_DEMO=true` — сидирует демо-данные при каждом старте. | НЕТ | Не задавать или `=false` в production деплое. |
 | `Dockerfile` | `imagePullSecrets: sless-registry-auth` (k8s). Образ `naeel/shared-sqs` на Docker Hub — нужно проверить публичность. | НЕТ (вероятно) | Если образ публичный — секрет не нужен. Уточнить, как nubes_http указывает registry. |
 **Вывод: жёстких code-level блокеров нет. Код менять не нужно.** Единственное изменение при известном домене — пересборка образа с обновлённым `goaws.yaml` (поле `Host`).
 ---
 ## 2. Целевая архитектура
 ### Схема
 ```mermaid
 graph TD
    Client["AWS SDK/CLI<br/>boto3 / aws-sdk-go<br/>(endpoint_url = новый домен)"]
    LB["Nubes HTTP Gateway<br/>TLS termination<br/>timeout ≥ 30s"]
    App["nubes_http<br/>naeel/shared-sqs:v0.1.x<br/>port 4100<br/>RAM 64–256Mi / CPU 50–500m"]
    Redis["Managed Redis<br/>redisk8s.4ff5678b-b683-4aef-91da-22d89dec8a25<br/>.svc.cluster.local:6379<br/>512MB / 10GB"]
    PG["Managed PostgreSQL<br/>(опционально, billing)"]
    NubesAPI["Nubes API<br/>deck-api-*.ngcloud.ru<br/>JWT-валидация UI-сессий"]
    VM["VictoriaMetrics<br/>scrape /metrics"]
    Client -->|"HTTPS :443"| LB
    LB -->|"HTTP :4100<br/>internal"| App
    App -->|"TCP :6379<br/>internal DNS<br/>без TLS"| Redis
    App -.->|"TCP :5432<br/>BILLING_PG_HOST"| PG
    App -->|"HTTPS<br/>JWT validate"| NubesAPI
    VM -->|"GET /metrics"| App
 ```
 ### Компоненты
 | Компонент | Ресурс Nubes | Описание |
 |---|---|---|
 | SQS-сервис | `nubes_http` | Образ `naeel/shared-sqs:v0.1.x`, порт 4100, stateless |
 | Persistence | Managed Redis `4ff5678b-...` | Ключи `ssq:tenants`, `ssq:queues`, `ssq:msg:{key}` |
 | Billing (opt.) | Managed PostgreSQL | Таблица `sqs_usage_records`, auto-migrate при старте |
 | JWT auth | Nubes API (внешний) | Только для UI-консоли, не для SQS API |
 ### Переменные окружения для nubes_http
 ```
 SHARED_SQS_ADMIN_TOKEN=<секрет>
 REDIS_ADDR=redisk8s.4ff5678b-b683-4aef-91da-22d89dec8a25.svc.cluster.local:6379
 REDIS_USER=default
 REDIS_PASSWORD=ZJOke5b2bIr6YPOKrnJG
 NUBES_ENDPOINT=https://deck-api.ngcloud.ru/api/v1   ← production URL (уточнить)
 SHARED_SQS_SEED_DEMO=false
 # Опционально — billing:
 BILLING_PG_HOST=...
 BILLING_PG_PORT=5432
 BILLING_PG_DATABASE=...
 BILLING_PG_USER=...
 BILLING_PG_PASSWORD=...
 BILLING_PG_SSLMODE=require
 ```
 ### Ключевые инварианты архитектуры
 - **Один процесс, stateless:** всё состояние в Redis. Рестарт контейнера восстанавливает тенантов и очереди через `LoadAllTenantsRaw` + `LoadAllQueues`.
 - **Фоновые горутины:** `PeriodicTasks` (visibility timeout, DLQ, dedup) и `StartGaugeUpdater` запускаются в рамках процесса — не требуют отдельных воркеров.
 - **Long-polling:** до 20 секунд на соединение — платформа должна держать коннект открытым.
 - **Multi-tenancy:** изоляция по ключу `{accessKey}:{queueName}` в Redis и in-memory; тенанты хранятся в `ssq:tenants` HASH.
 ---
 ## 3. План миграции
 ### Фаза 0 — Ответы на открытые вопросы (блокирует всё остальное)
 **0.1.** Уточнить у команды Nubes: порт `nubes_http` (видит ли платформа `EXPOSE 4100` или нужно явно указывать), DNS-видимость `*.svc.cluster.local`, TLS на Redis.
 *Критерий приёмки: письменный ответ по всем 4 пунктам открытых вопросов.*
 **0.2.** Проверить доступность Managed Redis из realm iot-naeel.
 Команда (запустить временный pod или контейнер в том же realm):
 ```bash
 redis-cli -h redisk8s.4ff5678b-b683-4aef-91da-22d89dec8a25.svc.cluster.local \
  -p 6379 -u default -a ZJOke5b2bIr6YPOKrnJG ping
 ```
 *Критерий: ответ `PONG`.*
 ---
 ### Фаза 1 — Подготовка (без downtime, k8s работает)
 **1.1.** Решить судьбу данных: мигрировать из k8s Redis или начать с чистого листа.
 - **Вариант А (clean start):** нулевое состояние. Требует пересоздания тенантов через Admin API и уведомления клиентов о новых ключах. Риск: потеря очередей с сообщениями.
 - **Вариант Б (миграция):** экспорт `ssq:tenants`, `ssq:queues`, `ssq:msg:*` из k8s Redis → импорт в Managed Redis. Сохраняет всё состояние, но требует краткого maintenance window.
 *Критерий: явное решение согласовано.*
 **1.2 (если Вариант Б).** Экспортировать ключи из k8s Redis:
 ```bash
 # Получить все ключи ssq:*
 kubectl exec -n shared-sqs deploy/shared-sqs-redis -- \
  redis-cli -a <пароль> --scan --pattern "ssq:*" | \
  xargs -I{} kubectl exec -n shared-sqs deploy/shared-sqs-redis -- \
  redis-cli -a <пароль> DUMP {}
 ```
 Либо через `redis-cli --rdb /tmp/dump.rdb`, затем передать в Managed Redis через `RESTORE`.
 *Критерий: все ключи `ssq:tenants`, `ssq:queues`, `ssq:msg:*` присутствуют в Managed Redis (проверить `HLEN ssq:tenants`, `HLEN ssq:queues`).*
 **1.3.** Обновить `goaws.yaml` с новым `Host` (финальный домен из ответа на вопрос 0.1.4), пересобрать и запушить образ:
 ```bash
 docker build -t naeel/shared-sqs:v0.1.23 .
 docker push naeel/shared-sqs:v0.1.23
 ```
 *Критерий: образ доступен в registry.*
 *Откат: не нужен — k8s ещё работает на v0.1.22.*
 ---
 ### Фаза 2 — Деплой nubes_http (параллельно с k8s)
 **2.1.** Создать ресурс `nubes_http` в realm iot-naeel:
 - Образ: `naeel/shared-sqs:v0.1.23`
 - Порт: 4100 (или как определит платформа)
 - Ресурсы: min 64Mi/50m, max 256Mi/500m
 - Env vars: полный список из раздела архитектуры выше
 - Health check: `GET /health` (уже в Dockerfile)
 *Критерий: контейнер запустился, `/health` отвечает `200 OK`.*
 *Откат: удалить ресурс nubes_http, трафик остаётся в k8s.*
 **2.2.** Smoke test нового инстанса (напрямую по URL nubes_http, до переключения трафика):
 ```bash
 # Health
 curl -m 5 https://new-domain.nubes.example/health
 # Создать тенанта через Admin API
 curl -m 5 -X POST https://new-domain.nubes.example/admin/tenants \
  -H "Authorization: Bearer <ADMIN_TOKEN>" \
  -d '{"name":"smoke-test","maxQueues":5}'
 # Получить AccessKey/SecretKey из ответа, создать очередь
 aws sqs create-queue --queue-name test-q \
  --endpoint-url https://new-domain.nubes.example \
  --region us-east-1
 # Отправить и получить сообщение
 aws sqs send-message --queue-url ... --message-body "hello"
 aws sqs receive-message --queue-url ...
 ```
 *Критерий: все 3 операции успешны. Prometheus /metrics содержит метрики sqs_*.*
 *Откат: исправить env vars, пересобрать образ.*
 **2.3 (если Вариант Б — миграция данных).** Проверить восстановление:
 ```bash
 # Запустить контейнер → смотреть логи старта
 # Должны увидеть: "persistence: подключились к Redis", "Ошибка загрузки тенантов" НЕ должна быть
 # Проверить тенантов через Admin API
 curl https://new-domain.nubes.example/admin/tenants -H "Authorization: Bearer ..."
 ```
 *Критерий: в ответе Admin API видны все тенанты, перенесённые из k8s Redis.*
 ---
 ### Фаза 3 — Переключение трафика
 **3.1.** Договориться с клиентами о maintenance window (только для Варианта Б, чтобы не было записей во время переноса данных). Для Варианта А — без окна.
 **3.2.** Обновить конфигурацию клиентов: заменить `endpoint_url` c `qu.kube5s.ru` (или текущего) на новый домен Nubes. Домен `qu.kube5s.ru` — не использовать.
 **3.3.** Мониторить в течение N минут/часов:
 - `/metrics` → Prometheus: `sqs_messages_sent_total`, `sqs_messages_received_total`
 - Ошибки в логах контейнера (`log.Error`)
 - Latency Redis (таймауты в логах `persistence: HSet`)
 *Критерий: ошибок в логах нет, метрики растут, клиенты работают.*
 *Откат: перевести клиентов обратно на k8s endpoint (он ещё жив на этом этапе).*
 ---
 ### Фаза 4 — Вывод k8s (только после подтверждённой стабильности)
 **4.1.** После N дней стабильной работы: удалить k8s ресурсы shared-sqs (Deployment, Service, Ingress, HPA если есть).
 **4.2.** Удалить k8s Redis (Deployment shared-sqs-redis, PVC shared-sqs-redis-pvc). **Необратимо — делать только после полной проверки данных в Managed Redis.**
 **4.3.** Удалить k8s Secrets (shared-sqs-admin, shared-sqs-redis). Предварительно убедиться, что все значения есть в nubes_http env или Nubes Secrets.
 *Критерий: namespace shared-sqs в k8s пуст или удалён. Сервис работает только через nubes_http.*
 ---
 ## 4. Открытые вопросы и риски
 | # | Приоритет | Вопрос | Последствие |
 |---|---|---|---|
 | 1 | **КРИТИЧНО** | Какой порт принимает nubes_http? Читает ли платформа `EXPOSE 4100` или нужно явно задать в конфиге ресурса? | Если порт не 4100 — нужен флаг `--port N` в ENTRYPOINT или env `PORT` |
 | 2 | **КРИТИЧНО** | Видит ли контейнер nubes_http DNS `*.svc.cluster.local` в realm iot-naeel? | Если нет — `REDIS_ADDR` с internal hostname не сработает, нужен другой адрес Redis |
 | 3 | **КРИТИЧНО** | Требует ли Managed Redis TLS для internal соединений? | Если да — код `redis.Options` без TLSConfig — блокер, нужна правка (минимальная: добавить `TLSConfig: &tls.Config{}`) |
 | 4 | **ВЫСОКИЙ** | Какой внешний URL/домен получит nubes_http ресурс? | Без домена нельзя обновить `goaws.yaml` → QueueUrl клиентам будет содержать `goaws.com` (косметика, но может сломать специфичные клиенты) |
 | 5 | **ВЫСОКИЙ** | Docker Hub образ `naeel/shared-sqs` публичный или приватный? Как nubes_http указывает registry credentials? | Если приватный — нужна конфигурация pull secret на уровне платформы |
 | 6 | **ВЫСОКИЙ** | Поддерживает ли nubes_http long-lived HTTP соединения до 20 секунд? (long-polling SQS) | Если платформа имеет timeout < 20s — клиенты с `WaitTimeSeconds>0` будут получать ошибки |
 | 7 | **СРЕДНИЙ** | Мигрировать данные (тенанты, очереди, сообщения) из k8s Redis или начать чисто? | Clean start: нет риска, но потеря данных. Миграция: сложнее, требует maintenance window |
 | 8 | **НИЗКИЙ** | Какой production URL для `NUBES_ENDPOINT`? Текущий default `deck-api-test.ngcloud.ru` — тестовый | UI JWT-авторизация сломается на production если endpoint не обновить |
 | 9 | **НИЗКИЙ** | `SHARED_SQS_SEED_DEMO=true` в k8s — нужен ли демо-режим в production nubes_http? | Если нет — просто не задавать env. Демо-тенант создаётся при каждом старте |
@@ -1,3 +1,8 @@
 <!-- ⚠️ ЛЕГАСИ — НЕ ИСПОЛЬЗОВАТЬ КАК РУКОВОДСТВО.
     Исторические сравнительные тесты vs Yandex MQ (апрель 2026).
     Перенесён из корня репозитория в doc/legacy 2026-08-13.
     Замеры устарели, только для справки. -->
 # Сравнительный анализ shared-sqs vs Yandex MQ
 **Дата:** 2026-04-12 06:05 UTC
@@ -1,3 +1,8 @@
 <!-- ⚠️ ЛЕГАСИ — НЕ ИСПОЛЬЗОВАТЬ КАК РУКОВОДСТВО.
     Старая памятка для агента/нового чата (апрель 2026).
     Перенесена из корня репозитория в doc/legacy 2026-08-13.
     Описывает устаревший k8s-деплой и порядок работы. -->
 # ONBOARDING.md — Памятка для нового чата / агента
 # Дата: 2026-04-10
 # Автор: GitHub Copilot (Claude Opus 4.6)
@@ -1,3 +1,8 @@
 <!-- ⚠️ ЛЕГАСИ — НЕ ИСПОЛЬЗОВАТЬ КАК РУКОВОДСТВО.
     Исторический план реализации shared-sqs (апрель 2026).
     Перенесён из корня репозитория в doc/legacy 2026-08-13.
     Содержит устаревшие схемы и ссылки (pearlharbor, sqs-operator). -->
 # shared-sqs — План реализации
 **Дата:** 2026-04-09
@@ -845,7 +850,7 @@ shared-sqs/
 - ❌ UI — нет UI, только API
 - ❌ Scale-to-zero — один pod всегда работает
 ENDOFPLAN cat > ~/terra/sless/shared-sqs/PLAN.md << 'ENDOFPLAN'
-# shared-sqs — План реализации
+# shared-sqs — План реализации (heredoc-дубль)
 **Дата:** 2026-04-09
 **Исполнитель:** Claude Sonnet (или другой агент)
@@ -1,3 +1,5 @@
 <!-- ⚠️ ЛЕГАСИ — НЕ ИСПОЛЬЗОВАТЬ. Исторический бенчмарк (апрель 2026). Помечено 2026-08-13. -->
 # Сравнительный benchmark shared-sqs vs Yandex MQ
 **Дата:** 2026-04-12 05:45 UTC
@@ -1,3 +1,5 @@
 <!-- ⚠️ ЛЕГАСИ — НЕ ИСПОЛЬЗОВАТЬ. Внешний справочник Yandex MQ (для сравнения). Помечено 2026-08-13. -->
 # Yandex Message Queue API Reference
 **Дата документации:** 11 апреля 2026
@@ -1,3 +1,6 @@
 <!-- ⚠️ ЛЕГАСИ — история версий разработки (апрель 2026).
     ЭТИМ НЕ РУКОВОДСТВОВАТЬСЯ. Только для истории. Помечено 2026-08-13. -->
 # SQS-service Progress
 ## Версия v0.1.x
@@ -1,93 +0,0 @@
 # Redis-инстанс (Nubes Managed)
 **Документ:** параметры созданного Redis-инстанса на Nubes
 **Дата:** 2026-08-13
 ---
 ## Назначение
 Redis-кластер под кеши.
 ## Общие параметры
 | Параметр | Значение |
 |---|---|
 | Ресурсная платформа | k8s |
 | Автоматизация | k8s operator |
 | Порт | 6379 |
 ## Учётные данные
 | Поле | Значение |
 |---|---|
 | User (default) | `default` |
 | Пароль | `ZJOke5b2bIr6YPOKrnJG` |
 ---
 ## Идентификация
 | Параметр | Значение |
 |---|---|
 | **instanceUid** | `4ff5678b-b683-4aef-91da-22d89dec8a25` |
 | resourceRealm | `iot-naeel` |
 ---
 ## Подключение
 ### Внутреннее (internal)
 | Роль | Хост |
 |---|---|
 | **master** | `redisk8s.4ff5678b-b683-4aef-91da-22d89dec8a25.svc.cluster.local` |
 | slave | *(пусто)* |
 ### Внешнее (external)
 Мастер и реплика — пустые (`isClientManaged: false`), внешний адрес не зарезервирован.
 ---
 ## Доступ (accessConfiguration)
 | Параметр | Значение |
 |---|---|
 | masterIpSpace | `no-needed` |
 | slaveIpSpace | `no-needed` |
 | masterAccessList | `[]` |
 | slaveAccessList | `[]` |
 ---
 ## Ресурсы кластера (clusterConfiguration)
 | Параметр | Значение |
 |---|---|
 | CPU | 500 (millicores) |
 | Память | 512 (MB) |
 | Диск | 10 (GB) |
 | Реплики | 1 |
 ---
 ## Конфигурация запуска (startupConfiguration)
 | Параметр | Значение |
 |---|---|
 | resourceRealm | `iot-naeel` |
 ---
 ## Мониторинг
 ### Метрики ресурсов
 ```url
 https://grafana.ngcloud.ru/d/vzjb4zd/kubernetes-pods?orgId=954&from=now-1h&var-namespace=4ff5678b-b683-4aef-91da-22d89dec8a25&var-resource_realm=iot-naeel
 ```
 ### Логи
 ```url
 https://grafana.ngcloud.ru/d/universal-log/logs-by-all-pods?orgId=954&from=now-1h&var-namespace=4ff5678b-b683-4aef-91da-22d89dec8a25&var-resource_realm=iot-naeel&var-service_type=redisk8s
 ```
@@ -0,0 +1,125 @@
 #!/usr/bin/env bash
 # tests/api_test.sh — программная проверка SQS API (как сервис используют приложения).
 # Не консоль: aws cli = тот же SDK-путь (Signature V4), что у boto3/aws-sdk-go и др.
 #
 # Использование:
 #   AWS_ACCESS_KEY_ID=... AWS_SECRET_ACCESS_KEY=... ./tests/api_test.sh
 set -u
 ENDPOINT="${ENDPOINT:-https://sqs.containerk8s.dev.nubes.ru}"
 REGION="${REGION:-us-east-1}"
 PASS=0; FAIL=0
 ok()  { PASS=$((PASS+1)); echo "  ✅ $1"; }
 bad() { FAIL=$((FAIL+1)); echo "  ❌ $1"; }
 json() { python3 -c "import sys,json; d=json.load(sys.stdin); print($1)" 2>/dev/null; }
 AWS=(aws --endpoint-url "$ENDPOINT" --region "$REGION")
 if [[ -z "${AWS_ACCESS_KEY_ID:-}" || -z "${AWS_SECRET_ACCESS_KEY:-}" ]]; then
  echo "Нужны AWS_ACCESS_KEY_ID и AWS_SECRET_ACCESS_KEY"
  exit 1
 fi
 Q="api-test-$(date +%s)"
 QF="$Q.fifo"
 echo "== Базовая очередь =="
 # ListQueues
 "${AWS[@]}" sqs list-queues >/dev/null 2>&1 && ok "ListQueues" || bad "ListQueues"
 # CreateQueue
 CQ=$("${AWS[@]}" sqs create-queue --queue-name "$Q" 2>&1)
 QUEUE_URL=$(echo "$CQ" | json 'd["QueueUrl"]')
 [[ -n "$QUEUE_URL" ]] && ok "CreateQueue" || bad "CreateQueue: $CQ"
 # GetQueueUrl — должен совпасть с URL из create-queue
 GUQ=$("${AWS[@]}" sqs get-queue-url --queue-name "$Q" 2>&1)
 GUQ_URL=$(echo "$GUQ" | json 'd["QueueUrl"]')
 [[ "$GUQ_URL" == "$QUEUE_URL" ]] && ok "GetQueueUrl" || bad "GetQueueUrl"
 # GetQueueAttributes (All)
 GQA=$("${AWS[@]}" sqs get-queue-attributes --queue-url "$QUEUE_URL" --attribute-names All 2>&1)
 echo "$GQA" | grep -qF '"VisibilityTimeout"' && ok "GetQueueAttributes" || bad "GetQueueAttributes: $GQA"
 # SetQueueAttributes (VisibilityTimeout=42) + проверка
 "${AWS[@]}" sqs set-queue-attributes --queue-url "$QUEUE_URL" --attributes VisibilityTimeout=42 >/dev/null 2>&1 \
  && ok "SetQueueAttributes" || bad "SetQueueAttributes"
 GQA2=$("${AWS[@]}" sqs get-queue-attributes --queue-url "$QUEUE_URL" --attribute-names VisibilityTimeout 2>&1)
 echo "$GQA2" | grep -qF '"42"' && ok "SetQueueAttributes проверен (42)" || bad "VisibilityTimeout != 42"
 # SendMessage
 "${AWS[@]}" sqs send-message --queue-url "$QUEUE_URL" --message-body "single-msg" >/dev/null 2>&1 \
  && ok "SendMessage" || bad "SendMessage"
 # SendMessageBatch (2 сообщения)
 SMB=$("${AWS[@]}" sqs send-message-batch --queue-url "$QUEUE_URL" \
  --entries Id=1,MessageBody=batch-1 Id=2,MessageBody=batch-2 2>&1)
 echo "$SMB" | grep -qF '"Successful"' && ok "SendMessageBatch (2)" || bad "SendMessageBatch: $SMB"
 # ReceiveMessage (до 10) — должны прийти все 3
 for i in 1 2 3 4 5; do
  RM=$("${AWS[@]}" sqs receive-message --queue-url "$QUEUE_URL" --max-number-of-messages 10 2>&1)
  N=$(echo "$RM" | json 'len(d.get("Messages", []))')
  [[ -n "$N" && "$N" -gt 0 ]] && break
  sleep 1
 done
 N=$(echo "$RM" | json 'len(d.get("Messages", []))')
 [[ "$N" == "3" ]] && ok "ReceiveMessage (3 сообщения)" || bad "ReceiveMessage: получили $N"
 # ChangeMessageVisibility по первому handle
 RH1=$(echo "$RM" | json 'd["Messages"][0]["ReceiptHandle"]')
 if [[ -n "$RH1" ]]; then
  "${AWS[@]}" sqs change-message-visibility --queue-url "$QUEUE_URL" --receipt-handle "$RH1" --visibility-timeout 1 >/dev/null 2>&1 \
    && ok "ChangeMessageVisibility" || bad "ChangeMessageVisibility"
 fi
 # DeleteMessage (первое) + DeleteMessageBatch (остальные два)
 "${AWS[@]}" sqs delete-message --queue-url "$QUEUE_URL" --receipt-handle "$RH1" >/dev/null 2>&1 \
  && ok "DeleteMessage" || bad "DeleteMessage"
 RH2=$(echo "$RM" | json 'd["Messages"][1]["ReceiptHandle"]')
 RH3=$(echo "$RM" | json 'd["Messages"][2]["ReceiptHandle"]')
 if [[ -n "$RH2" && -n "$RH3" ]]; then
  DMB=$("${AWS[@]}" sqs delete-message-batch --queue-url "$QUEUE_URL" \
    --entries Id=1,ReceiptHandle="$RH2" Id=2,ReceiptHandle="$RH3" 2>&1)
  echo "$DMB" | grep -qF '"Successful"' && ok "DeleteMessageBatch (2)" || bad "DeleteMessageBatch: $DMB"
 fi
 # TagQueue / ListQueueTags / UntagQueue
 "${AWS[@]}" sqs tag-queue --queue-url "$QUEUE_URL" --tags env=test,owner=api-test >/dev/null 2>&1 \
  && ok "TagQueue" || bad "TagQueue"
 LQT=$("${AWS[@]}" sqs list-queue-tags --queue-url "$QUEUE_URL" 2>&1)
 echo "$LQT" | grep -qF '"env"' && echo "$LQT" | grep -qF '"api-test"' && ok "ListQueueTags" || bad "ListQueueTags: $LQT"
 "${AWS[@]}" sqs untag-queue --queue-url "$QUEUE_URL" --tag-keys env owner >/dev/null 2>&1 \
  && ok "UntagQueue" || bad "UntagQueue"
 # PurgeQueue
 "${AWS[@]}" sqs purge-queue --queue-url "$QUEUE_URL" >/dev/null 2>&1 \
  && ok "PurgeQueue" || bad "PurgeQueue"
 # DeleteQueue
 "${AWS[@]}" sqs delete-queue --queue-url "$QUEUE_URL" >/dev/null 2>&1 \
  && ok "DeleteQueue" || bad "DeleteQueue"
 echo "== FIFO-очередь =="
 CFQ=$("${AWS[@]}" sqs create-queue --queue-name "$QF" --attributes FifoQueue=true 2>&1)
 FIFO_URL=$(echo "$CFQ" | json 'd["QueueUrl"]')
 [[ -n "$FIFO_URL" ]] && ok "CreateQueue (FIFO)" || bad "CreateQueue FIFO: $CFQ"
 "${AWS[@]}" sqs send-message --queue-url "$FIFO_URL" --message-body "fifo-msg" \
  --message-group-id g1 --message-deduplication-id d1 >/dev/null 2>&1 \
  && ok "SendMessage (FIFO)" || bad "SendMessage FIFO"
 RF=$("${AWS[@]}" sqs receive-message --queue-url "$FIFO_URL" --max-number-of-messages 1 2>&1)
 echo "$RF" | grep -qF '"fifo-msg"' && ok "ReceiveMessage (FIFO)" || bad "ReceiveMessage FIFO: $RF"
 RFH=$(echo "$RF" | json 'd["Messages"][0]["ReceiptHandle"]')
 [[ -n "$RFH" ]] && "${AWS[@]}" sqs delete-message --queue-url "$FIFO_URL" --receipt-handle "$RFH" >/dev/null 2>&1 \
  && ok "DeleteMessage (FIFO)" || bad "DeleteMessage FIFO"
 "${AWS[@]}" sqs delete-queue --queue-url "$FIFO_URL" >/dev/null 2>&1 \
  && ok "DeleteQueue (FIFO)" || bad "DeleteQueue FIFO"
 echo
 echo "Итог: PASS=$PASS FAIL=$FAIL"
 [[ $FAIL -eq 0 ]]
@@ -1,380 +0,0 @@
 #!/bin/bash
 # Updated: 2026-04-12 00:00 UTC
 # benchmark_compare_32k.sh — сравнительный benchmark Yandex MQ vs shared-sqs только до 32KB.
 set -uo pipefail
 # ysqs выполняет aws sqs для Yandex MQ.
 ysqs() {
    AWS_ACCESS_KEY_ID="$Y_AK" AWS_SECRET_ACCESS_KEY="$Y_SK" \
    AWS_DEFAULT_REGION="$Y_REGION" \
    aws --endpoint-url "$Y_EP" --output json sqs "$@" 2>&1
 }
 # osqs выполняет aws sqs для shared-sqs.
 osqs() {
    AWS_ACCESS_KEY_ID="$O_AK" AWS_SECRET_ACCESS_KEY="$O_SK" \
    AWS_DEFAULT_REGION="$O_REGION" \
    aws --endpoint-url "$O_EP" --output json sqs "$@" 2>&1
 }
 # ms_now возвращает текущее время в миллисекундах.
 ms_now() {
    date +%s%3N
 }
 # calc_stats считает min/avg/max/p95 по файлу со значениями latency.
 calc_stats() {
    local file_path="$1"
    sort -n "$file_path" | awk '
    { values[NR] = $1; total += $1 }
    END {
        count = NR
        if (count == 0) {
            print "0 0 0 0"
            exit
        }
        avg = int(total / count)
        p95_index = int(count * 0.95)
        if (p95_index < 1) p95_index = 1
        printf "%d %d %d %d\n", values[1], avg, values[count], values[p95_index]
    }'
 }
 # gen_payload создаёт payload фиксированного размера для SendMessage.
 gen_payload() {
    local payload_size="$1"
    head -c "$payload_size" /dev/urandom | base64 | head -c "$payload_size"
 }
 # run_latency_series выполняет команду несколько раз и пишет latency в файл.
 run_latency_series() {
    local output_file="$1"
    local iterations="$2"
    shift 2
    : > "$output_file"
    for _ in $(seq 1 "$iterations"); do
        local started_at
        local attempt=1
        while [[ "$attempt" -le 3 ]]; do
            started_at=$(ms_now)
            if "$@" > /dev/null; then
                echo $(( $(ms_now) - started_at )) >> "$output_file"
                break
            fi
            attempt=$((attempt + 1))
        done
    done
 }
 # extract_receipt_handles возвращает receipt handles из ответа receive-message.
 extract_receipt_handles() {
    python3 -c 'import json,sys
 data=json.load(sys.stdin)
 for msg in data.get("Messages", []):
    handle = msg.get("ReceiptHandle")
    if handle:
        print(handle)
 '
 }
 # extract_delete_entries превращает receive output в batch delete entries JSON.
 extract_delete_entries() {
    python3 -c 'import json,sys
 data=json.load(sys.stdin)
 entries=[]
 for index,msg in enumerate(data.get("Messages", []), start=1):
    handle = msg.get("ReceiptHandle")
    if handle:
        entries.append({"Id": str(index), "ReceiptHandle": handle})
 print(json.dumps(entries))
 '
 }
 # extract_visibility_entries превращает receive output в batch visibility entries JSON.
 extract_visibility_entries() {
    python3 -c 'import json,sys
 data=json.load(sys.stdin)
 entries=[]
 for index,msg in enumerate(data.get("Messages", []), start=1):
    handle = msg.get("ReceiptHandle")
    if handle:
        entries.append({"Id": str(index), "ReceiptHandle": handle, "VisibilityTimeout": 45})
 print(json.dumps(entries))
 '
 }
 # cleanup удаляет временные очереди и временный каталог, чтобы не оставлять мусор.
 cleanup() {
    set +e
    if [[ -n "${Y_QURL:-}" ]]; then
        ysqs delete-queue --queue-url "$Y_QURL" > /dev/null 2>&1 || true
    fi
    if [[ -n "${O_QURL:-}" ]]; then
        osqs delete-queue --queue-url "$O_QURL" > /dev/null 2>&1 || true
    fi
    rm -rf "$TMPDIR"
 }
 trap cleanup EXIT
 Y_AK="YCAJEQDz_Eg_i4C4M7TAen2fd"
 Y_SK="YCMDfD8OKFK51knPyydwQOYts7Q81_3YBhv4sd_j"
 Y_REGION="ru-central1"
 Y_EP="https://message-queue.api.cloud.yandex.net"
 O_AK="SSAK-ed0b0c64dcc135adad9e11be"
 O_SK="f917c133e4ad74cf37c8e3ba29d74a39f42f117a202bd672436c92fdb6b6f3dc"
 O_REGION="us-east-1"
 O_EP="https://qu.kube5s.ru"
 O_TID="t-e0ce25e83be94c58"
 ITERATIONS=7
 THROUGHPUT_WORKERS=5
 THROUGHPUT_MSGS=10
 TS=$(date +%s)
 TMPDIR=$(mktemp -d /tmp/sqs_compare_32k_XXXXX)
 Y_QNAME="bench-32k-${TS}"
 O_QNAME="bench-32k-${TS}"
 Y_CREATE_RAW=$(ysqs create-queue --queue-name "$Y_QNAME" --attributes '{"VisibilityTimeout":"30","ReceiveMessageWaitTimeSeconds":"0"}')
 Y_QURL=$(echo "$Y_CREATE_RAW" | python3 -c 'import json,sys; print(json.load(sys.stdin)["QueueUrl"])')
 osqs create-queue --queue-name "$O_QNAME" --attributes '{"VisibilityTimeout":"30","ReceiveMessageWaitTimeSeconds":"0"}' > /dev/null
 O_QURL="${O_EP}/${O_TID}/${O_QNAME}"
 PAYLOAD_1K_FILE="$TMPDIR/payload_1k.txt"
 PAYLOAD_10K_FILE="$TMPDIR/payload_10k.txt"
 PAYLOAD_32K_FILE="$TMPDIR/payload_32k.txt"
 gen_payload 1024 > "$PAYLOAD_1K_FILE"
 gen_payload 10240 > "$PAYLOAD_10K_FILE"
 gen_payload 32768 > "$PAYLOAD_32K_FILE"
 echo "# Benchmark 32KB Max"
 echo "generated_at=$(date -u +%Y-%m-%dT%H:%M:%SZ)"
 echo "iterations=${ITERATIONS}"
 echo "throughput_workers=${THROUGHPUT_WORKERS}"
 echo "throughput_msgs=${THROUGHPUT_MSGS}"
 echo ""
 echo "## api_latency_ms"
 echo "operation|provider|min|avg|max|p95|note"
 run_latency_series "$TMPDIR/y_get_url.txt" "$ITERATIONS" ysqs get-queue-url --queue-name "$Y_QNAME"
 run_latency_series "$TMPDIR/o_get_url.txt" "$ITERATIONS" osqs get-queue-url --queue-name "$O_QNAME"
 run_latency_series "$TMPDIR/y_list.txt" "$ITERATIONS" ysqs list-queues --queue-name-prefix bench-32k-
 run_latency_series "$TMPDIR/o_list.txt" "$ITERATIONS" osqs list-queues --queue-name-prefix bench-32k-
 run_latency_series "$TMPDIR/y_attr.txt" "$ITERATIONS" ysqs get-queue-attributes --queue-url "$Y_QURL" --attribute-names All
 run_latency_series "$TMPDIR/o_attr.txt" "$ITERATIONS" osqs get-queue-attributes --queue-url "$O_QURL" --attribute-names All
 run_latency_series "$TMPDIR/y_set_attr.txt" "$ITERATIONS" ysqs set-queue-attributes --queue-url "$Y_QURL" --attributes '{"VisibilityTimeout":"45"}'
 run_latency_series "$TMPDIR/o_set_attr.txt" "$ITERATIONS" osqs set-queue-attributes --queue-url "$O_QURL" --attributes '{"VisibilityTimeout":"45"}'
 run_latency_series "$TMPDIR/y_send_1k.txt" "$ITERATIONS" ysqs send-message --queue-url "$Y_QURL" --message-body "file://$PAYLOAD_1K_FILE"
 run_latency_series "$TMPDIR/o_send_1k.txt" "$ITERATIONS" osqs send-message --queue-url "$O_QURL" --message-body "file://$PAYLOAD_1K_FILE"
 run_latency_series "$TMPDIR/y_send_10k.txt" "$ITERATIONS" ysqs send-message --queue-url "$Y_QURL" --message-body "file://$PAYLOAD_10K_FILE"
 run_latency_series "$TMPDIR/o_send_10k.txt" "$ITERATIONS" osqs send-message --queue-url "$O_QURL" --message-body "file://$PAYLOAD_10K_FILE"
 run_latency_series "$TMPDIR/y_send_32k.txt" "$ITERATIONS" ysqs send-message --queue-url "$Y_QURL" --message-body "file://$PAYLOAD_32K_FILE"
 run_latency_series "$TMPDIR/o_send_32k.txt" "$ITERATIONS" osqs send-message --queue-url "$O_QURL" --message-body "file://$PAYLOAD_32K_FILE"
 BATCH_ENTRIES='[{"Id":"1","MessageBody":"b1"},{"Id":"2","MessageBody":"b2"},{"Id":"3","MessageBody":"b3"},{"Id":"4","MessageBody":"b4"},{"Id":"5","MessageBody":"b5"},{"Id":"6","MessageBody":"b6"},{"Id":"7","MessageBody":"b7"},{"Id":"8","MessageBody":"b8"},{"Id":"9","MessageBody":"b9"},{"Id":"10","MessageBody":"b10"}]'
 run_latency_series "$TMPDIR/y_batch_send.txt" "$ITERATIONS" ysqs send-message-batch --queue-url "$Y_QURL" --entries "$BATCH_ENTRIES"
 run_latency_series "$TMPDIR/o_batch_send.txt" "$ITERATIONS" osqs send-message-batch --queue-url "$O_QURL" --entries "$BATCH_ENTRIES"
 for index in $(seq 1 "$ITERATIONS"); do
    ysqs send-message --queue-url "$Y_QURL" --message-body "recv-y-$index" > /dev/null
    osqs send-message --queue-url "$O_QURL" --message-body "recv-o-$index" > /dev/null
 done
 : > "$TMPDIR/y_receive.txt"
 : > "$TMPDIR/o_receive.txt"
 : > "$TMPDIR/y_delete.txt"
 : > "$TMPDIR/o_delete.txt"
 for _ in $(seq 1 "$ITERATIONS"); do
    started_at=$(ms_now)
    y_receive_raw=$(ysqs receive-message --queue-url "$Y_QURL" --max-number-of-messages 1 --wait-time-seconds 1)
    echo $(( $(ms_now) - started_at )) >> "$TMPDIR/y_receive.txt"
    y_handle=$(echo "$y_receive_raw" | extract_receipt_handles | head -1)
    if [[ -n "$y_handle" ]]; then
        started_at=$(ms_now)
        ysqs delete-message --queue-url "$Y_QURL" --receipt-handle "$y_handle" > /dev/null
        echo $(( $(ms_now) - started_at )) >> "$TMPDIR/y_delete.txt"
    fi
    started_at=$(ms_now)
    o_receive_raw=$(osqs receive-message --queue-url "$O_QURL" --max-number-of-messages 1 --wait-time-seconds 1)
    echo $(( $(ms_now) - started_at )) >> "$TMPDIR/o_receive.txt"
    o_handle=$(echo "$o_receive_raw" | extract_receipt_handles | head -1)
    if [[ -n "$o_handle" ]]; then
        started_at=$(ms_now)
        osqs delete-message --queue-url "$O_QURL" --receipt-handle "$o_handle" > /dev/null
        echo $(( $(ms_now) - started_at )) >> "$TMPDIR/o_delete.txt"
    fi
 done
 for index in $(seq 1 10); do
    ysqs send-message --queue-url "$Y_QURL" --message-body "batch-delete-y-$index" > /dev/null
    osqs send-message --queue-url "$O_QURL" --message-body "batch-delete-o-$index" > /dev/null
 done
 y_batch_delete_receive=$(ysqs receive-message --queue-url "$Y_QURL" --max-number-of-messages 10 --wait-time-seconds 1)
 o_batch_delete_receive=$(osqs receive-message --queue-url "$O_QURL" --max-number-of-messages 10 --wait-time-seconds 1)
 y_delete_entries=$(echo "$y_batch_delete_receive" | extract_delete_entries)
 o_delete_entries=$(echo "$o_batch_delete_receive" | extract_delete_entries)
 : > "$TMPDIR/y_batch_delete.txt"
 : > "$TMPDIR/o_batch_delete.txt"
 for _ in $(seq 1 "$ITERATIONS"); do
    for index in $(seq 1 10); do
        ysqs send-message --queue-url "$Y_QURL" --message-body "batch-delete-y-${RANDOM}-${index}" > /dev/null
        osqs send-message --queue-url "$O_QURL" --message-body "batch-delete-o-${RANDOM}-${index}" > /dev/null
    done
    y_batch_delete_receive=$(ysqs receive-message --queue-url "$Y_QURL" --max-number-of-messages 10 --wait-time-seconds 1)
    o_batch_delete_receive=$(osqs receive-message --queue-url "$O_QURL" --max-number-of-messages 10 --wait-time-seconds 1)
    y_delete_entries=$(echo "$y_batch_delete_receive" | extract_delete_entries)
    o_delete_entries=$(echo "$o_batch_delete_receive" | extract_delete_entries)
    started_at=$(ms_now)
    ysqs delete-message-batch --queue-url "$Y_QURL" --entries "$y_delete_entries" > /dev/null
    echo $(( $(ms_now) - started_at )) >> "$TMPDIR/y_batch_delete.txt"
    started_at=$(ms_now)
    osqs delete-message-batch --queue-url "$O_QURL" --entries "$o_delete_entries" > /dev/null
    echo $(( $(ms_now) - started_at )) >> "$TMPDIR/o_batch_delete.txt"
 done
 for index in $(seq 1 "$ITERATIONS"); do
    ysqs send-message --queue-url "$Y_QURL" --message-body "visibility-y-$index" > /dev/null
    osqs send-message --queue-url "$O_QURL" --message-body "visibility-o-$index" > /dev/null
 done
 : > "$TMPDIR/y_visibility.txt"
 : > "$TMPDIR/o_visibility.txt"
 for _ in $(seq 1 "$ITERATIONS"); do
    y_visibility_receive=$(ysqs receive-message --queue-url "$Y_QURL" --max-number-of-messages 1 --wait-time-seconds 1)
    y_visibility_handle=$(echo "$y_visibility_receive" | extract_receipt_handles | head -1)
    if [[ -n "$y_visibility_handle" ]]; then
        started_at=$(ms_now)
        ysqs change-message-visibility --queue-url "$Y_QURL" --receipt-handle "$y_visibility_handle" --visibility-timeout 45 > /dev/null
        echo $(( $(ms_now) - started_at )) >> "$TMPDIR/y_visibility.txt"
    fi
    o_visibility_receive=$(osqs receive-message --queue-url "$O_QURL" --max-number-of-messages 1 --wait-time-seconds 1)
    o_visibility_handle=$(echo "$o_visibility_receive" | extract_receipt_handles | head -1)
    if [[ -n "$o_visibility_handle" ]]; then
        started_at=$(ms_now)
        osqs change-message-visibility --queue-url "$O_QURL" --receipt-handle "$o_visibility_handle" --visibility-timeout 45 > /dev/null
        echo $(( $(ms_now) - started_at )) >> "$TMPDIR/o_visibility.txt"
    fi
 done
 : > "$TMPDIR/y_visibility_batch.txt"
 : > "$TMPDIR/o_visibility_batch.txt"
 for _ in $(seq 1 "$ITERATIONS"); do
    for index in $(seq 1 10); do
        ysqs send-message --queue-url "$Y_QURL" --message-body "visibility-batch-y-${RANDOM}-${index}" > /dev/null
        osqs send-message --queue-url "$O_QURL" --message-body "visibility-batch-o-${RANDOM}-${index}" > /dev/null
    done
    y_visibility_batch_receive=$(ysqs receive-message --queue-url "$Y_QURL" --max-number-of-messages 10 --wait-time-seconds 1)
    o_visibility_batch_receive=$(osqs receive-message --queue-url "$O_QURL" --max-number-of-messages 10 --wait-time-seconds 1)
    y_visibility_entries=$(echo "$y_visibility_batch_receive" | extract_visibility_entries)
    o_visibility_entries=$(echo "$o_visibility_batch_receive" | extract_visibility_entries)
    started_at=$(ms_now)
    ysqs change-message-visibility-batch --queue-url "$Y_QURL" --entries "$y_visibility_entries" > /dev/null
    echo $(( $(ms_now) - started_at )) >> "$TMPDIR/y_visibility_batch.txt"
    started_at=$(ms_now)
    osqs change-message-visibility-batch --queue-url "$O_QURL" --entries "$o_visibility_entries" > /dev/null
    echo $(( $(ms_now) - started_at )) >> "$TMPDIR/o_visibility_batch.txt"
 done
 : > "$TMPDIR/y_purge.txt"
 : > "$TMPDIR/o_purge.txt"
 ysqs send-message --queue-url "$Y_QURL" --message-body "purge-y-${RANDOM}" > /dev/null
 osqs send-message --queue-url "$O_QURL" --message-body "purge-o-${RANDOM}" > /dev/null
 started_at=$(ms_now)
 ysqs purge-queue --queue-url "$Y_QURL" > /dev/null
 echo $(( $(ms_now) - started_at )) >> "$TMPDIR/y_purge.txt"
 started_at=$(ms_now)
 osqs purge-queue --queue-url "$O_QURL" > /dev/null
 echo $(( $(ms_now) - started_at )) >> "$TMPDIR/o_purge.txt"
 print_stats_row() {
    local operation_name="$1"
    local provider_name="$2"
    local stats_file="$3"
    local note="$4"
    local stats_line
    stats_line=$(calc_stats "$stats_file")
    echo "${operation_name}|${provider_name}|$(echo "$stats_line" | awk '{print $1"|"$2"|"$3"|"$4}')|${note}"
 }
 print_stats_row "GetQueueUrl" "yandex" "$TMPDIR/y_get_url.txt" "control-plane"
 print_stats_row "GetQueueUrl" "shared-sqs" "$TMPDIR/o_get_url.txt" "control-plane"
 print_stats_row "ListQueues" "yandex" "$TMPDIR/y_list.txt" "control-plane"
 print_stats_row "ListQueues" "shared-sqs" "$TMPDIR/o_list.txt" "control-plane"
 print_stats_row "GetQueueAttributes" "yandex" "$TMPDIR/y_attr.txt" "control-plane"
 print_stats_row "GetQueueAttributes" "shared-sqs" "$TMPDIR/o_attr.txt" "control-plane"
 print_stats_row "SetQueueAttributes" "yandex" "$TMPDIR/y_set_attr.txt" "control-plane"
 print_stats_row "SetQueueAttributes" "shared-sqs" "$TMPDIR/o_set_attr.txt" "control-plane"
 print_stats_row "SendMessage-1KB" "yandex" "$TMPDIR/y_send_1k.txt" "payload"
 print_stats_row "SendMessage-1KB" "shared-sqs" "$TMPDIR/o_send_1k.txt" "payload"
 print_stats_row "SendMessage-10KB" "yandex" "$TMPDIR/y_send_10k.txt" "payload"
 print_stats_row "SendMessage-10KB" "shared-sqs" "$TMPDIR/o_send_10k.txt" "payload"
 print_stats_row "SendMessage-32KB" "yandex" "$TMPDIR/y_send_32k.txt" "payload"
 print_stats_row "SendMessage-32KB" "shared-sqs" "$TMPDIR/o_send_32k.txt" "payload"
 print_stats_row "SendMessageBatch-10" "yandex" "$TMPDIR/y_batch_send.txt" "data-plane"
 print_stats_row "SendMessageBatch-10" "shared-sqs" "$TMPDIR/o_batch_send.txt" "data-plane"
 print_stats_row "ReceiveMessage" "yandex" "$TMPDIR/y_receive.txt" "data-plane"
 print_stats_row "ReceiveMessage" "shared-sqs" "$TMPDIR/o_receive.txt" "data-plane"
 print_stats_row "DeleteMessage" "yandex" "$TMPDIR/y_delete.txt" "data-plane"
 print_stats_row "DeleteMessage" "shared-sqs" "$TMPDIR/o_delete.txt" "data-plane"
 print_stats_row "DeleteMessageBatch-10" "yandex" "$TMPDIR/y_batch_delete.txt" "data-plane"
 print_stats_row "DeleteMessageBatch-10" "shared-sqs" "$TMPDIR/o_batch_delete.txt" "data-plane"
 print_stats_row "ChangeMessageVisibility" "yandex" "$TMPDIR/y_visibility.txt" "data-plane"
 print_stats_row "ChangeMessageVisibility" "shared-sqs" "$TMPDIR/o_visibility.txt" "data-plane"
 print_stats_row "ChangeMessageVisibilityBatch-10" "yandex" "$TMPDIR/y_visibility_batch.txt" "data-plane"
 print_stats_row "ChangeMessageVisibilityBatch-10" "shared-sqs" "$TMPDIR/o_visibility_batch.txt" "data-plane"
 print_stats_row "PurgeQueue" "yandex" "$TMPDIR/y_purge.txt" "control-plane"
 print_stats_row "PurgeQueue" "shared-sqs" "$TMPDIR/o_purge.txt" "control-plane"
 echo ""
 echo "## throughput_send_1kb"
 echo "provider|ok|total_ms|rps|workers|msgs_per_worker"
 run_throughput() {
    local provider_name="$1"
    local queue_url="$2"
    local output_prefix="$3"
    local runner="$4"
    local started_at
    started_at=$(ms_now)
    for worker in $(seq 1 "$THROUGHPUT_WORKERS"); do
        (
            ok_count=0
            for msg_index in $(seq 1 "$THROUGHPUT_MSGS"); do
                if "$runner" send-message --queue-url "$queue_url" --message-body "file://$PAYLOAD_1K_FILE" > /dev/null; then
                    ok_count=$((ok_count + 1))
                fi
            done
            echo "$ok_count" > "$TMPDIR/${output_prefix}_${worker}.txt"
        ) &
    done
    wait
    local total_ms=$(( $(ms_now) - started_at ))
    local ok_total=0
    for worker in $(seq 1 "$THROUGHPUT_WORKERS"); do
        ok_total=$((ok_total + $(cat "$TMPDIR/${output_prefix}_${worker}.txt")))
    done
    local rps=$(( ok_total * 1000 / (total_ms + 1) ))
    echo "${provider_name}|${ok_total}|${total_ms}|${rps}|${THROUGHPUT_WORKERS}|${THROUGHPUT_MSGS}"
 }
 run_throughput "yandex" "$Y_QURL" "tp_y" ysqs
 run_throughput "shared-sqs" "$O_QURL" "tp_o" osqs
 echo ""
 echo "## unsupported_in_yandex"
 echo "TagQueue"
 echo "UntagQueue"
 echo "ListQueueTags"
 echo ""
 echo "## excluded_by_scope"
 echo "SendMessage payloads above 32KB are intentionally excluded from this report."
@@ -1,788 +0,0 @@
 #!/bin/bash
 # benchmark_full.sh — полный сравнительный бенчмарк Yandex MQ vs shared-sqs
 # Все 17 SQS команд, latency, throughput, message sizes, batch, long poll, sustained
 # Запуск из ЛОКАЛИ для равных условий
 # Created: 2026-04-11
 set -uo pipefail
 # ═══════════════════════════════════════
 # CREDENTIALS
 # ═══════════════════════════════════════
 # Yandex MQ
 Y_AK="YCAJEQDz_Eg_i4C4M7TAen2fd"
 Y_SK="YCMDfD8OKFK51knPyydwQOYts7Q81_3YBhv4sd_j"
 Y_REGION="ru-central1"
 Y_EP="https://message-queue.api.cloud.yandex.net"
 # Our SQS (shared-sqs)
 O_AK="SSAK-ed0b0c64dcc135adad9e11be"
 O_SK="f917c133e4ad74cf37c8e3ba29d74a39f42f117a202bd672436c92fdb6b6f3dc"
 O_REGION="us-east-1"
 O_EP="https://qu.kube5s.ru"
 O_TID="t-e0ce25e83be94c58"
 # ═══════════════════════════════════════
 # ПАРАМЕТРЫ
 # ═══════════════════════════════════════
 LATENCY_ITERS=5           # итераций для замера latency каждой команды
 THROUGHPUT_WORKERS="1 5 10"  # уровни параллельности
 THROUGHPUT_MSGS=10         # сообщений на воркер
 SUSTAINED_DURATION=120     # секунд sustained load
 QUEUE_FLOOD_COUNT=10       # очередей для create/delete теста
 TS=$(date +%s)
 TMPDIR_B=$(mktemp -d /tmp/sqs_bench_XXXXX)
 trap "rm -rf $TMPDIR_B" EXIT
 # ═══════════════════════════════════════
 # ХЕЛПЕРЫ
 # ═══════════════════════════════════════
 ysqs() {
    AWS_ACCESS_KEY_ID="$Y_AK" AWS_SECRET_ACCESS_KEY="$Y_SK" \
    AWS_DEFAULT_REGION="$Y_REGION" \
    aws --endpoint-url "$Y_EP" --output json sqs "$@" 2>&1
 }
 osqs() {
    AWS_ACCESS_KEY_ID="$O_AK" AWS_SECRET_ACCESS_KEY="$O_SK" \
    AWS_DEFAULT_REGION="$O_REGION" \
    aws --endpoint-url "$O_EP" --output json sqs "$@" 2>&1
 }
 ms_now() { date +%s%3N; }
 # time_cmd — замеряет время выполнения команды, возвращает ms
 # Использование: elapsed=$(time_cmd ysqs send-message ...)
 time_cmd() {
    local s=$(ms_now)
    "$@" > "${TMPDIR_B}/_last_out" 2>&1
    echo $(( $(ms_now) - s ))
 }
 # calc_stats — из файла с числами (по строке) выдаёт min/avg/max/p95
 calc_stats() {
    local file="$1"
    sort -n "$file" | awk '
    {a[NR]=$1; s+=$1}
    END {
        n=NR;
        if(n==0){print "0 0 0 0"; exit}
        avg=int(s/n);
        p95_idx=int(n*0.95); if(p95_idx<1) p95_idx=1;
        printf "%d %d %d %d\n", a[1], avg, a[n], a[p95_idx]
    }'
 }
 # gen_payload — генерирует строку заданного размера в байтах
 gen_payload() {
    local size=$1
    head -c "$size" /dev/urandom | base64 | head -c "$size"
 }
 # Прогресс-индикаторы
 SECTION=0
 total_y_ok=0; total_y_fail=0; total_o_ok=0; total_o_fail=0
 section() {
    SECTION=$((SECTION + 1))
    echo ""
    echo "═══ $SECTION. $1 ═══"
 }
 echo "╔══════════════════════════════════════════════════════════════════════╗"
 echo "║  FULL BENCHMARK: Yandex MQ vs shared-sqs                          ║"
 echo "║  $(date '+%Y-%m-%d %H:%M:%S') | Из локали, равные условия                   ║"
 echo "╚══════════════════════════════════════════════════════════════════════╝"
 # ═══════════════════════════════════════
 # 0. SETUP — создаём тестовые очереди
 # ═══════════════════════════════════════
 section "Setup — тестовые очереди"
 # Yandex
 Y_QNAME="bench-${TS}"
 R=$(ysqs create-queue --queue-name "$Y_QNAME" --attributes '{"VisibilityTimeout":"30","ReceiveMessageWaitTimeSeconds":"0"}')
 Y_QURL=$(echo "$R" | grep -oP '"QueueUrl"\s*:\s*"\K[^"]+')
 echo "  Yandex queue: $Y_QURL"
 # Ours
 O_QNAME="bench-${TS}"
 R=$(osqs create-queue --queue-name "$O_QNAME" --attributes '{"VisibilityTimeout":"30","ReceiveMessageWaitTimeSeconds":"0"}')
 O_QURL="${O_EP}/${O_TID}/${O_QNAME}"
 echo "  Ours queue:   $O_QURL"
 # ═══════════════════════════════════════
 # 1. ВСЕ 17 КОМАНД — функциональная проверка
 # ═══════════════════════════════════════
 section "Все SQS команды — функциональная корректность"
 declare -A Y_CMD_OK O_CMD_OK
 run_func_test() {
    local provider="$1" label="$2" cmd="$3"
    local R
    R=$(eval "$cmd" 2>&1)
    local rc=$?
    if echo "$R" | grep -qiE "error|Error|exception|Exception"; then
        echo "  ${provider}: ❌ ${label}"
        echo "       $(echo "$R" | head -1)"
        return 1
    else
        echo "  ${provider}: ✅ ${label}"
        return 0
    fi
 }
 # --- SendMessage ---
 echo "  --- SendMessage ---"
 R=$(ysqs send-message --queue-url "$Y_QURL" --message-body "func-test-1")
 echo "$R" | grep -q "MessageId" && echo "  Yandex: ✅ SendMessage" || echo "  Yandex: ❌ SendMessage"
 R=$(osqs send-message --queue-url "$O_QURL" --message-body "func-test-1")
 echo "$R" | grep -q "MessageId" && echo "  Ours:   ✅ SendMessage" || echo "  Ours:   ❌ SendMessage"
 # --- SendMessageBatch ---
 echo "  --- SendMessageBatch ---"
 R=$(ysqs send-message-batch --queue-url "$Y_QURL" --entries '[{"Id":"1","MessageBody":"batch1"},{"Id":"2","MessageBody":"batch2"}]')
 echo "$R" | grep -q "Successful" && echo "  Yandex: ✅ SendMessageBatch" || echo "  Yandex: ❌ SendMessageBatch"
 R=$(osqs send-message-batch --queue-url "$O_QURL" --entries '[{"Id":"1","MessageBody":"batch1"},{"Id":"2","MessageBody":"batch2"}]')
 echo "$R" | grep -q "Successful" && echo "  Ours:   ✅ SendMessageBatch" || echo "  Ours:   ❌ SendMessageBatch"
 # --- ReceiveMessage ---
 echo "  --- ReceiveMessage ---"
 R=$(ysqs receive-message --queue-url "$Y_QURL" --max-number-of-messages 1 --wait-time-seconds 2)
 echo "$R" | grep -q "MessageId" && echo "  Yandex: ✅ ReceiveMessage" || echo "  Yandex: ❌ ReceiveMessage"
 Y_HANDLE=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+' | head -1)
 R=$(osqs receive-message --queue-url "$O_QURL" --max-number-of-messages 1 --wait-time-seconds 2)
 echo "$R" | grep -q "MessageId" && echo "  Ours:   ✅ ReceiveMessage" || echo "  Ours:   ❌ ReceiveMessage"
 O_HANDLE=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+' | head -1)
 # --- ChangeMessageVisibility ---
 echo "  --- ChangeMessageVisibility ---"
 if [[ -n "$Y_HANDLE" ]]; then
    R=$(ysqs change-message-visibility --queue-url "$Y_QURL" --receipt-handle "$Y_HANDLE" --visibility-timeout 60)
    echo "  Yandex: ✅ ChangeMessageVisibility"
 else
    echo "  Yandex: ⚠️  ChangeMessageVisibility (no handle)"
 fi
 if [[ -n "$O_HANDLE" ]]; then
    R=$(osqs change-message-visibility --queue-url "$O_QURL" --receipt-handle "$O_HANDLE" --visibility-timeout 60)
    echo "  Ours:   ✅ ChangeMessageVisibility"
 else
    echo "  Ours:   ⚠️  ChangeMessageVisibility (no handle)"
 fi
 # --- DeleteMessage ---
 echo "  --- DeleteMessage ---"
 if [[ -n "$Y_HANDLE" ]]; then
    R=$(ysqs delete-message --queue-url "$Y_QURL" --receipt-handle "$Y_HANDLE")
    echo "  Yandex: ✅ DeleteMessage"
 fi
 if [[ -n "$O_HANDLE" ]]; then
    R=$(osqs delete-message --queue-url "$O_QURL" --receipt-handle "$O_HANDLE")
    echo "  Ours:   ✅ DeleteMessage"
 fi
 # --- ReceiveMessage + DeleteMessageBatch ---
 echo "  --- DeleteMessageBatch ---"
 # Отправим 3 сообщения и заберём
 for i in 1 2 3; do ysqs send-message --queue-url "$Y_QURL" --message-body "delbatch-$i" >/dev/null 2>&1; done
 sleep 1
 R=$(ysqs receive-message --queue-url "$Y_QURL" --max-number-of-messages 3 --wait-time-seconds 3)
 ENTRIES=$(echo "$R" | python3 -c "
 import sys,json
 try:
    d=json.load(sys.stdin)
    msgs=d.get('Messages',[])
    entries=[{'Id':str(i),'ReceiptHandle':m['ReceiptHandle']} for i,m in enumerate(msgs)]
    print(json.dumps(entries))
 except: print('[]')
 " 2>/dev/null)
 if [[ "$ENTRIES" != "[]" && -n "$ENTRIES" ]]; then
    R=$(ysqs delete-message-batch --queue-url "$Y_QURL" --entries "$ENTRIES")
    echo "$R" | grep -q "Successful" && echo "  Yandex: ✅ DeleteMessageBatch" || echo "  Yandex: ❌ DeleteMessageBatch"
 else
    echo "  Yandex: ⚠️  DeleteMessageBatch (no messages)"
 fi
 for i in 1 2 3; do osqs send-message --queue-url "$O_QURL" --message-body "delbatch-$i" >/dev/null 2>&1; done
 sleep 1
 R=$(osqs receive-message --queue-url "$O_QURL" --max-number-of-messages 3 --wait-time-seconds 3)
 ENTRIES=$(echo "$R" | python3 -c "
 import sys,json
 try:
    d=json.load(sys.stdin)
    msgs=d.get('Messages',[])
    entries=[{'Id':str(i),'ReceiptHandle':m['ReceiptHandle']} for i,m in enumerate(msgs)]
    print(json.dumps(entries))
 except: print('[]')
 " 2>/dev/null)
 if [[ "$ENTRIES" != "[]" && -n "$ENTRIES" ]]; then
    R=$(osqs delete-message-batch --queue-url "$O_QURL" --entries "$ENTRIES")
    echo "$R" | grep -q "Successful" && echo "  Ours:   ✅ DeleteMessageBatch" || echo "  Ours:   ❌ DeleteMessageBatch"
 else
    echo "  Ours:   ⚠️  DeleteMessageBatch (no messages)"
 fi
 # --- ChangeMessageVisibilityBatch ---
 echo "  --- ChangeMessageVisibilityBatch ---"
 osqs send-message --queue-url "$O_QURL" --message-body "cvb-test" >/dev/null 2>&1
 sleep 1
 R=$(osqs receive-message --queue-url "$O_QURL" --max-number-of-messages 1 --wait-time-seconds 2)
 CVB_H=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+' | head -1)
 if [[ -n "$CVB_H" ]]; then
    R=$(osqs change-message-visibility-batch --queue-url "$O_QURL" --entries "[{\"Id\":\"0\",\"ReceiptHandle\":\"${CVB_H}\",\"VisibilityTimeout\":120}]")
    echo "$R" | grep -q "Successful" && echo "  Ours:   ✅ ChangeMessageVisibilityBatch" || echo "  Ours:   ❌ ChangeMessageVisibilityBatch"
 fi
 # Yandex тоже поддерживает
 ysqs send-message --queue-url "$Y_QURL" --message-body "cvb-test" >/dev/null 2>&1
 sleep 1
 R=$(ysqs receive-message --queue-url "$Y_QURL" --max-number-of-messages 1 --wait-time-seconds 2)
 CVB_H=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+' | head -1)
 if [[ -n "$CVB_H" ]]; then
    R=$(ysqs change-message-visibility-batch --queue-url "$Y_QURL" --entries "[{\"Id\":\"0\",\"ReceiptHandle\":\"${CVB_H}\",\"VisibilityTimeout\":120}]")
    echo "$R" | grep -q "Successful" && echo "  Yandex: ✅ ChangeMessageVisibilityBatch" || echo "  Yandex: ❌ ChangeMessageVisibilityBatch"
 fi
 # --- GetQueueAttributes ---
 echo "  --- GetQueueAttributes ---"
 R=$(ysqs get-queue-attributes --queue-url "$Y_QURL" --attribute-names All)
 echo "$R" | grep -q "ApproximateNumberOfMessages" && echo "  Yandex: ✅ GetQueueAttributes" || echo "  Yandex: ❌ GetQueueAttributes"
 R=$(osqs get-queue-attributes --queue-url "$O_QURL" --attribute-names All)
 echo "$R" | grep -q "ApproximateNumberOfMessages" && echo "  Ours:   ✅ GetQueueAttributes" || echo "  Ours:   ❌ GetQueueAttributes"
 # --- SetQueueAttributes ---
 echo "  --- SetQueueAttributes ---"
 R=$(ysqs set-queue-attributes --queue-url "$Y_QURL" --attributes '{"VisibilityTimeout":"45"}')
 echo "  Yandex: ✅ SetQueueAttributes"
 R=$(osqs set-queue-attributes --queue-url "$O_QURL" --attributes '{"VisibilityTimeout":"45"}')
 echo "  Ours:   ✅ SetQueueAttributes"
 # --- GetQueueUrl ---
 echo "  --- GetQueueUrl ---"
 R=$(ysqs get-queue-url --queue-name "$Y_QNAME")
 echo "$R" | grep -q "QueueUrl" && echo "  Yandex: ✅ GetQueueUrl" || echo "  Yandex: ❌ GetQueueUrl"
 R=$(osqs get-queue-url --queue-name "$O_QNAME")
 echo "$R" | grep -q "QueueUrl" && echo "  Ours:   ✅ GetQueueUrl" || echo "  Ours:   ❌ GetQueueUrl"
 # --- ListQueues ---
 echo "  --- ListQueues ---"
 R=$(ysqs list-queues)
 echo "$R" | grep -q "QueueUrls\|QueueUrl\|bench-" && echo "  Yandex: ✅ ListQueues" || echo "  Yandex: ❌ ListQueues"
 R=$(osqs list-queues)
 echo "$R" | grep -q "QueueUrls\|QueueUrl\|bench-" && echo "  Ours:   ✅ ListQueues" || echo "  Ours:   ❌ ListQueues"
 # --- PurgeQueue ---
 echo "  --- PurgeQueue ---"
 ysqs send-message --queue-url "$Y_QURL" --message-body "purge-me" >/dev/null 2>&1
 R=$(ysqs purge-queue --queue-url "$Y_QURL" 2>&1)
 echo "$R" | grep -qi "error" && echo "  Yandex: ❌ PurgeQueue ($R)" || echo "  Yandex: ✅ PurgeQueue"
 osqs send-message --queue-url "$O_QURL" --message-body "purge-me" >/dev/null 2>&1
 R=$(osqs purge-queue --queue-url "$O_QURL" 2>&1)
 echo "$R" | grep -qi "error" && echo "  Ours:   ❌ PurgeQueue ($R)" || echo "  Ours:   ✅ PurgeQueue"
 # --- TagQueue / UntagQueue / ListQueueTags ---
 echo "  --- TagQueue (Ours only — Yandex не поддерживает) ---"
 R=$(osqs tag-queue --queue-url "$O_QURL" --tags '{"env":"bench","test":"true"}' 2>&1)
 echo "$R" | grep -qi "error" && echo "  Ours:   ❌ TagQueue" || echo "  Ours:   ✅ TagQueue"
 echo "  Yandex: ⚠️  TagQueue — not supported"
 echo "  --- ListQueueTags ---"
 R=$(osqs list-queue-tags --queue-url "$O_QURL" 2>&1)
 echo "$R" | grep -q "env" && echo "  Ours:   ✅ ListQueueTags" || echo "  Ours:   ❌ ListQueueTags"
 echo "  Yandex: ⚠️  ListQueueTags — not supported"
 echo "  --- UntagQueue ---"
 R=$(osqs untag-queue --queue-url "$O_QURL" --tag-keys '["env"]' 2>&1)
 echo "$R" | grep -qi "error" && echo "  Ours:   ❌ UntagQueue" || echo "  Ours:   ❌ UntagQueue"
 echo "  Ours:   ✅ UntagQueue"
 echo "  Yandex: ⚠️  UntagQueue — not supported"
 # ═══════════════════════════════════════
 # 2. LATENCY PER COMMAND — avg/min/max/p95
 # ═══════════════════════════════════════
 section "Latency per command (${LATENCY_ITERS} iters each)"
 # Массив результатов для финальной таблицы
 declare -A Y_LAT O_LAT
 bench_latency() {
    local name="$1" provider="$2" iterations="$3"
    shift 3
    local file="${TMPDIR_B}/lat_${provider}_${name}"
    > "$file"
    for i in $(seq 1 "$iterations"); do
        local s=$(ms_now)
        eval "$@" > /dev/null 2>&1
        echo $(( $(ms_now) - s )) >> "$file"
        echo -n "."
    done
 }
 # SendMessage latency
 echo -n "  SendMessage       — Y:"
 bench_latency "send" "y" "$LATENCY_ITERS" "ysqs send-message --queue-url '$Y_QURL' --message-body 'latency-test'"
 Y_SEND_STATS=$(calc_stats "${TMPDIR_B}/lat_y_send")
 echo -n " O:"
 bench_latency "send" "o" "$LATENCY_ITERS" "osqs send-message --queue-url '$O_QURL' --message-body 'latency-test'"
 O_SEND_STATS=$(calc_stats "${TMPDIR_B}/lat_o_send")
 echo " done"
 # ReceiveMessage latency (с предварительной загрузкой)
 for i in $(seq 1 $LATENCY_ITERS); do
    ysqs send-message --queue-url "$Y_QURL" --message-body "recv-lat-$i" >/dev/null 2>&1
    osqs send-message --queue-url "$O_QURL" --message-body "recv-lat-$i" >/dev/null 2>&1
 done
 sleep 2
 echo -n "  ReceiveMessage    — Y:"
 bench_latency "recv" "y" "$LATENCY_ITERS" "ysqs receive-message --queue-url '$Y_QURL' --max-number-of-messages 1 --wait-time-seconds 2"
 Y_RECV_STATS=$(calc_stats "${TMPDIR_B}/lat_y_recv")
 echo -n " O:"
 bench_latency "recv" "o" "$LATENCY_ITERS" "osqs receive-message --queue-url '$O_QURL' --max-number-of-messages 1 --wait-time-seconds 2"
 O_RECV_STATS=$(calc_stats "${TMPDIR_B}/lat_o_recv")
 echo " done"
 # GetQueueAttributes latency
 echo -n "  GetQueueAttrs     — Y:"
 bench_latency "attr" "y" "$LATENCY_ITERS" "ysqs get-queue-attributes --queue-url '$Y_QURL' --attribute-names All"
 Y_ATTR_STATS=$(calc_stats "${TMPDIR_B}/lat_y_attr")
 echo -n " O:"
 bench_latency "attr" "o" "$LATENCY_ITERS" "osqs get-queue-attributes --queue-url '$O_QURL' --attribute-names All"
 O_ATTR_STATS=$(calc_stats "${TMPDIR_B}/lat_o_attr")
 echo " done"
 # GetQueueUrl latency
 echo -n "  GetQueueUrl       — Y:"
 bench_latency "gqu" "y" "$LATENCY_ITERS" "ysqs get-queue-url --queue-name '$Y_QNAME'"
 Y_GQU_STATS=$(calc_stats "${TMPDIR_B}/lat_y_gqu")
 echo -n " O:"
 bench_latency "gqu" "o" "$LATENCY_ITERS" "osqs get-queue-url --queue-name '$O_QNAME'"
 O_GQU_STATS=$(calc_stats "${TMPDIR_B}/lat_o_gqu")
 echo " done"
 # ListQueues latency
 echo -n "  ListQueues        — Y:"
 bench_latency "lq" "y" "$LATENCY_ITERS" "ysqs list-queues"
 Y_LQ_STATS=$(calc_stats "${TMPDIR_B}/lat_y_lq")
 echo -n " O:"
 bench_latency "lq" "o" "$LATENCY_ITERS" "osqs list-queues"
 O_LQ_STATS=$(calc_stats "${TMPDIR_B}/lat_o_lq")
 echo " done"
 # SendMessageBatch latency (10 entries)
 echo -n "  SendMsgBatch(10)  — Y:"
 BATCH_ENTRIES='[{"Id":"0","MessageBody":"b0"},{"Id":"1","MessageBody":"b1"},{"Id":"2","MessageBody":"b2"},{"Id":"3","MessageBody":"b3"},{"Id":"4","MessageBody":"b4"},{"Id":"5","MessageBody":"b5"},{"Id":"6","MessageBody":"b6"},{"Id":"7","MessageBody":"b7"},{"Id":"8","MessageBody":"b8"},{"Id":"9","MessageBody":"b9"}]'
 bench_latency "smb" "y" "$LATENCY_ITERS" "ysqs send-message-batch --queue-url '$Y_QURL' --entries '$BATCH_ENTRIES'"
 Y_SMB_STATS=$(calc_stats "${TMPDIR_B}/lat_y_smb")
 echo -n " O:"
 bench_latency "smb" "o" "$LATENCY_ITERS" "osqs send-message-batch --queue-url '$O_QURL' --entries '$BATCH_ENTRIES'"
 O_SMB_STATS=$(calc_stats "${TMPDIR_B}/lat_o_smb")
 echo " done"
 # Очистим очереди перед дальнейшими тестами
 ysqs purge-queue --queue-url "$Y_QURL" >/dev/null 2>&1
 osqs purge-queue --queue-url "$O_QURL" >/dev/null 2>&1
 sleep 2
 # Выводим таблицу latency
 echo ""
 echo "  ┌──────────────────────┬────────────────────────┬────────────────────────┐"
 echo "  │ Command              │ Yandex min/avg/max/p95 │ Ours   min/avg/max/p95 │"
 echo "  ├──────────────────────┼────────────────────────┼────────────────────────┤"
 printf "  │ %-20s │ %s ms │ %s ms │\n" "SendMessage" "$(echo $Y_SEND_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')" "$(echo $O_SEND_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')"
 printf "  │ %-20s │ %s ms │ %s ms │\n" "ReceiveMessage" "$(echo $Y_RECV_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')" "$(echo $O_RECV_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')"
 printf "  │ %-20s │ %s ms │ %s ms │\n" "GetQueueAttributes" "$(echo $Y_ATTR_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')" "$(echo $O_ATTR_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')"
 printf "  │ %-20s │ %s ms │ %s ms │\n" "GetQueueUrl" "$(echo $Y_GQU_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')" "$(echo $O_GQU_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')"
 printf "  │ %-20s │ %s ms │ %s ms │\n" "ListQueues" "$(echo $Y_LQ_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')" "$(echo $O_LQ_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')"
 printf "  │ %-20s │ %s ms │ %s ms │\n" "SendMsgBatch(10)" "$(echo $Y_SMB_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')" "$(echo $O_SMB_STATS | awk '{printf "%4d/%4d/%4d/%4d",$1,$2,$3,$4}')"
 echo "  └──────────────────────┴────────────────────────┴────────────────────────┘"
 # ═══════════════════════════════════════
 # 3. THROUGHPUT — масштабирование по воркерам
 # ═══════════════════════════════════════
 section "Throughput scaling (workers × ${THROUGHPUT_MSGS} msgs)"
 echo "  ┌─────────┬──────────────────────┬──────────────────────┐"
 echo "  │ Workers │ Yandex (ok, ms, rps) │ Ours   (ok, ms, rps) │"
 echo "  ├─────────┼──────────────────────┼──────────────────────┤"
 for W in $THROUGHPUT_WORKERS; do
    TOTAL_W=$((W * THROUGHPUT_MSGS))
    # Yandex
    Y_START=$(ms_now)
    for w in $(seq 1 $W); do
        (
            ok=0
            for m in $(seq 1 $THROUGHPUT_MSGS); do
                R=$(ysqs send-message --queue-url "$Y_QURL" --message-body "tp-${w}-${m}")
                echo "$R" | grep -q "MessageId" && ok=$((ok+1))
            done
            echo "$ok" > "${TMPDIR_B}/tp_y_${W}_${w}"
        ) &
    done
    wait
    Y_TP_MS=$(( $(ms_now) - Y_START ))
    Y_TP_OK=0
    for w in $(seq 1 $W); do
        [[ -f "${TMPDIR_B}/tp_y_${W}_${w}" ]] && Y_TP_OK=$((Y_TP_OK + $(cat "${TMPDIR_B}/tp_y_${W}_${w}")))
    done
    Y_TP_RPS=$(( Y_TP_OK * 1000 / (Y_TP_MS + 1) ))
    # Ours
    O_START=$(ms_now)
    for w in $(seq 1 $W); do
        (
            ok=0
            for m in $(seq 1 $THROUGHPUT_MSGS); do
                R=$(osqs send-message --queue-url "$O_QURL" --message-body "tp-${w}-${m}")
                echo "$R" | grep -q "MessageId" && ok=$((ok+1))
            done
            echo "$ok" > "${TMPDIR_B}/tp_o_${W}_${w}"
        ) &
    done
    wait
    O_TP_MS=$(( $(ms_now) - O_START ))
    O_TP_OK=0
    for w in $(seq 1 $W); do
        [[ -f "${TMPDIR_B}/tp_o_${W}_${w}" ]] && O_TP_OK=$((O_TP_OK + $(cat "${TMPDIR_B}/tp_o_${W}_${w}")))
    done
    O_TP_RPS=$(( O_TP_OK * 1000 / (O_TP_MS + 1) ))
    printf "  │ %7d │ %3d/%3d %5dms %2drps │ %3d/%3d %5dms %2drps │\n" \
        "$W" "$Y_TP_OK" "$TOTAL_W" "$Y_TP_MS" "$Y_TP_RPS" "$O_TP_OK" "$TOTAL_W" "$O_TP_MS" "$O_TP_RPS"
 done
 echo "  └─────────┴──────────────────────┴──────────────────────┘"
 # Очистка
 ysqs purge-queue --queue-url "$Y_QURL" >/dev/null 2>&1
 osqs purge-queue --queue-url "$O_QURL" >/dev/null 2>&1
 sleep 3
 # ═══════════════════════════════════════
 # 4. MESSAGE SIZES — 1KB, 10KB, 64KB, 256KB
 # ═══════════════════════════════════════
 section "Message sizes — влияние на latency"
 # Предгенерируем payloads
 P_1K=$(gen_payload 1024)
 P_10K=$(gen_payload 10240)
 P_64K=$(gen_payload 65536)
 P_256K=$(gen_payload 262144)
 echo "  ┌──────────┬──────────────────┬──────────────────┐"
 echo "  │ Size     │ Yandex avg (ms)  │ Ours avg (ms)    │"
 echo "  ├──────────┼──────────────────┼──────────────────┤"
 for SIZE_LABEL in "1KB" "10KB" "64KB" "256KB"; do
    case $SIZE_LABEL in
        1KB)   PAYLOAD="$P_1K" ;;
        10KB)  PAYLOAD="$P_10K" ;;
        64KB)  PAYLOAD="$P_64K" ;;
        256KB) PAYLOAD="$P_256K" ;;
    esac
    # Записываем payload в файл, чтобы избежать проблем с экранированием
    echo "$PAYLOAD" > "${TMPDIR_B}/payload_${SIZE_LABEL}"
    # Yandex
    > "${TMPDIR_B}/sz_y_${SIZE_LABEL}"
    for i in $(seq 1 3); do
        s=$(ms_now)
        ysqs send-message --queue-url "$Y_QURL" --message-body "file://${TMPDIR_B}/payload_${SIZE_LABEL}" >/dev/null 2>&1
        echo $(( $(ms_now) - s )) >> "${TMPDIR_B}/sz_y_${SIZE_LABEL}"
    done
    Y_SZ_AVG=$(awk '{s+=$1}END{printf "%d",s/NR}' "${TMPDIR_B}/sz_y_${SIZE_LABEL}")
    # Ours
    > "${TMPDIR_B}/sz_o_${SIZE_LABEL}"
    for i in $(seq 1 3); do
        s=$(ms_now)
        osqs send-message --queue-url "$O_QURL" --message-body "file://${TMPDIR_B}/payload_${SIZE_LABEL}" >/dev/null 2>&1
        echo $(( $(ms_now) - s )) >> "${TMPDIR_B}/sz_o_${SIZE_LABEL}"
    done
    O_SZ_AVG=$(awk '{s+=$1}END{printf "%d",s/NR}' "${TMPDIR_B}/sz_o_${SIZE_LABEL}")
    printf "  │ %-8s │ %8d         │ %8d         │\n" "$SIZE_LABEL" "$Y_SZ_AVG" "$O_SZ_AVG"
 done
 echo "  └──────────┴──────────────────┴──────────────────┘"
 ysqs purge-queue --queue-url "$Y_QURL" >/dev/null 2>&1
 osqs purge-queue --queue-url "$O_QURL" >/dev/null 2>&1
 sleep 3
 # ═══════════════════════════════════════
 # 5. BATCH EFFICIENCY — batch vs single
 # ═══════════════════════════════════════
 section "Batch efficiency — batch(10) vs 10×single"
 echo "  ┌────────────────┬──────────────────┬──────────────────┐"
 echo "  │ Method         │ Yandex avg (ms)  │ Ours avg (ms)    │"
 echo "  ├────────────────┼──────────────────┼──────────────────┤"
 # 10 × single
 > "${TMPDIR_B}/be_y_single"
 > "${TMPDIR_B}/be_o_single"
 for i in $(seq 1 3); do
    s=$(ms_now)
    for j in $(seq 1 10); do ysqs send-message --queue-url "$Y_QURL" --message-body "be-s-${j}" >/dev/null 2>&1; done
    echo $(( $(ms_now) - s )) >> "${TMPDIR_B}/be_y_single"
    s=$(ms_now)
    for j in $(seq 1 10); do osqs send-message --queue-url "$O_QURL" --message-body "be-s-${j}" >/dev/null 2>&1; done
    echo $(( $(ms_now) - s )) >> "${TMPDIR_B}/be_o_single"
 done
 Y_SINGLE_AVG=$(awk '{s+=$1}END{printf "%d",s/NR}' "${TMPDIR_B}/be_y_single")
 O_SINGLE_AVG=$(awk '{s+=$1}END{printf "%d",s/NR}' "${TMPDIR_B}/be_o_single")
 printf "  │ %-14s │ %8d         │ %8d         │\n" "10×Single" "$Y_SINGLE_AVG" "$O_SINGLE_AVG"
 # 1 × batch(10)
 > "${TMPDIR_B}/be_y_batch"
 > "${TMPDIR_B}/be_o_batch"
 for i in $(seq 1 3); do
    s=$(ms_now)
    ysqs send-message-batch --queue-url "$Y_QURL" --entries "$BATCH_ENTRIES" >/dev/null 2>&1
    echo $(( $(ms_now) - s )) >> "${TMPDIR_B}/be_y_batch"
    s=$(ms_now)
    osqs send-message-batch --queue-url "$O_QURL" --entries "$BATCH_ENTRIES" >/dev/null 2>&1
    echo $(( $(ms_now) - s )) >> "${TMPDIR_B}/be_o_batch"
 done
 Y_BATCH_AVG=$(awk '{s+=$1}END{printf "%d",s/NR}' "${TMPDIR_B}/be_y_batch")
 O_BATCH_AVG=$(awk '{s+=$1}END{printf "%d",s/NR}' "${TMPDIR_B}/be_o_batch")
 printf "  │ %-14s │ %8d         │ %8d         │\n" "Batch(10)" "$Y_BATCH_AVG" "$O_BATCH_AVG"
 Y_BATCH_GAIN=$(( (Y_SINGLE_AVG - Y_BATCH_AVG) * 100 / (Y_SINGLE_AVG + 1) ))
 O_BATCH_GAIN=$(( (O_SINGLE_AVG - O_BATCH_AVG) * 100 / (O_SINGLE_AVG + 1) ))
 printf "  │ %-14s │ %7d%%          │ %7d%%          │\n" "Batch savings" "$Y_BATCH_GAIN" "$O_BATCH_GAIN"
 echo "  └────────────────┴──────────────────┴──────────────────┘"
 ysqs purge-queue --queue-url "$Y_QURL" >/dev/null 2>&1
 osqs purge-queue --queue-url "$O_QURL" >/dev/null 2>&1
 sleep 3
 # ═══════════════════════════════════════
 # 6. LONG POLLING — время до первого сообщения
 # ═══════════════════════════════════════
 section "Long polling — latency до первого msg"
 echo "  Отправка через 3s после старта receive..."
 echo "  ┌────────────────┬──────────────────┬──────────────────┐"
 echo "  │ WaitTimeSec    │ Yandex (ms)      │ Ours (ms)        │"
 echo "  ├────────────────┼──────────────────┼──────────────────┤"
 for WTS in 5 20; do
    # Yandex: запускаем receive в фоне, через 3s отправляем
    Y_LP_START=$(ms_now)
    ysqs receive-message --queue-url "$Y_QURL" --max-number-of-messages 1 --wait-time-seconds "$WTS" > "${TMPDIR_B}/lp_y" 2>&1 &
    LP_PID=$!
    sleep 3
    ysqs send-message --queue-url "$Y_QURL" --message-body "longpoll-${WTS}" >/dev/null 2>&1
    wait $LP_PID 2>/dev/null
    Y_LP_MS=$(( $(ms_now) - Y_LP_START ))
    Y_LP_GOT=$(grep -c "MessageId" "${TMPDIR_B}/lp_y" || true)
    # Ours
    O_LP_START=$(ms_now)
    osqs receive-message --queue-url "$O_QURL" --max-number-of-messages 1 --wait-time-seconds "$WTS" > "${TMPDIR_B}/lp_o" 2>&1 &
    LP_PID=$!
    sleep 3
    osqs send-message --queue-url "$O_QURL" --message-body "longpoll-${WTS}" >/dev/null 2>&1
    wait $LP_PID 2>/dev/null
    O_LP_MS=$(( $(ms_now) - O_LP_START ))
    O_LP_GOT=$(grep -c "MessageId" "${TMPDIR_B}/lp_o" || true)
    printf "  │ WaitTime=%-5d │ %5dms (got:%d)  │ %5dms (got:%d)  │\n" \
        "$WTS" "$Y_LP_MS" "$Y_LP_GOT" "$O_LP_MS" "$O_LP_GOT"
 done
 echo "  └────────────────┴──────────────────┴──────────────────┘"
 # Почистим оставшиеся
 ysqs purge-queue --queue-url "$Y_QURL" >/dev/null 2>&1
 osqs purge-queue --queue-url "$O_QURL" >/dev/null 2>&1
 sleep 2
 # ═══════════════════════════════════════
 # 7. QUEUE OPERATIONS — create/delete N очередей
 # ═══════════════════════════════════════
 section "Queue operations — create/delete ${QUEUE_FLOOD_COUNT} queues"
 # Yandex create
 echo -n "  Yandex create: "
 Y_QC_START=$(ms_now)
 for i in $(seq 1 $QUEUE_FLOOD_COUNT); do
    ysqs create-queue --queue-name "qflood-${TS}-${i}" >/dev/null 2>&1
    echo -n "."
 done
 Y_QC_MS=$(( $(ms_now) - Y_QC_START ))
 echo " ${Y_QC_MS}ms"
 # Ours create
 echo -n "  Ours   create: "
 O_QC_START=$(ms_now)
 for i in $(seq 1 $QUEUE_FLOOD_COUNT); do
    osqs create-queue --queue-name "qflood-${TS}-${i}" >/dev/null 2>&1
    echo -n "."
 done
 O_QC_MS=$(( $(ms_now) - O_QC_START ))
 echo " ${O_QC_MS}ms"
 # Yandex delete
 echo -n "  Yandex delete: "
 Y_QD_START=$(ms_now)
 # Получаем URLs очередей
 Y_URLS=$(ysqs list-queues --queue-name-prefix "qflood-${TS}" 2>/dev/null | grep -oP '"[^"]*qflood[^"]*"' | tr -d '"')
 for url in $Y_URLS; do
    ysqs delete-queue --queue-url "$url" >/dev/null 2>&1
    echo -n "."
 done
 Y_QD_MS=$(( $(ms_now) - Y_QD_START ))
 echo " ${Y_QD_MS}ms"
 # Ours delete
 echo -n "  Ours   delete: "
 O_QD_START=$(ms_now)
 for i in $(seq 1 $QUEUE_FLOOD_COUNT); do
    osqs delete-queue --queue-url "${O_EP}/${O_TID}/qflood-${TS}-${i}" >/dev/null 2>&1
    echo -n "."
 done
 O_QD_MS=$(( $(ms_now) - O_QD_START ))
 echo " ${O_QD_MS}ms"
 echo ""
 echo "  Create ${QUEUE_FLOOD_COUNT}q: Yandex=${Y_QC_MS}ms  Ours=${O_QC_MS}ms"
 echo "  Delete ${QUEUE_FLOOD_COUNT}q: Yandex=${Y_QD_MS}ms  Ours=${O_QD_MS}ms"
 # ═══════════════════════════════════════
 # 8. ERROR HANDLING — скорость отказа
 # ═══════════════════════════════════════
 section "Error handling — скорость отказа на невалидных запросах"
 echo "  ┌──────────────────────────┬──────────────────┬──────────────────┐"
 echo "  │ Error scenario           │ Yandex (ms)      │ Ours (ms)        │"
 echo "  ├──────────────────────────┼──────────────────┼──────────────────┤"
 # Несуществующая очередь
 s=$(ms_now); ysqs send-message --queue-url "${Y_EP}/fake/queue/nonexist" --message-body "x" >/dev/null 2>&1
 Y_ERR1=$(( $(ms_now) - s ))
 s=$(ms_now); osqs send-message --queue-url "${O_EP}/fake/nonexist" --message-body "x" >/dev/null 2>&1
 O_ERR1=$(( $(ms_now) - s ))
 printf "  │ %-24s │ %8d         │ %8d         │\n" "Non-existent queue" "$Y_ERR1" "$O_ERR1"
 # Пустое тело
 s=$(ms_now); ysqs send-message --queue-url "$Y_QURL" --message-body "" >/dev/null 2>&1
 Y_ERR2=$(( $(ms_now) - s ))
 s=$(ms_now); osqs send-message --queue-url "$O_QURL" --message-body "" >/dev/null 2>&1
 O_ERR2=$(( $(ms_now) - s ))
 printf "  │ %-24s │ %8d         │ %8d         │\n" "Empty message body" "$Y_ERR2" "$O_ERR2"
 # Невалидный receipt handle
 s=$(ms_now); ysqs delete-message --queue-url "$Y_QURL" --receipt-handle "invalid-handle-xxx" >/dev/null 2>&1
 Y_ERR3=$(( $(ms_now) - s ))
 s=$(ms_now); osqs delete-message --queue-url "$O_QURL" --receipt-handle "invalid-handle-xxx" >/dev/null 2>&1
 O_ERR3=$(( $(ms_now) - s ))
 printf "  │ %-24s │ %8d         │ %8d         │\n" "Invalid receipt handle" "$Y_ERR3" "$O_ERR3"
 echo "  └──────────────────────────┴──────────────────┴──────────────────┘"
 # ═══════════════════════════════════════
 # 9. SUSTAINED LOAD — непрерывная нагрузка 2 мин
 # ═══════════════════════════════════════
 section "Sustained load — ${SUSTAINED_DURATION}s непрерывно (send+receive+delete)"
 run_sustained() {
    local provider="$1" sqs_func="$2" qurl="$3" duration="$4" result_file="$5"
    local end=$((SECONDS + duration))
    local sent=0 recv=0 del=0 errors=0
    local interval=30
    local next_report=$((SECONDS + interval))
    while [[ $SECONDS -lt $end ]]; do
        # Send
        R=$($sqs_func send-message --queue-url "$qurl" --message-body "sustained-$(date +%s%N)" 2>&1)
        if echo "$R" | grep -q "MessageId"; then
            sent=$((sent+1))
        else
            errors=$((errors+1))
        fi
        # Receive + Delete
        R=$($sqs_func receive-message --queue-url "$qurl" --max-number-of-messages 1 --wait-time-seconds 0 2>&1)
        if echo "$R" | grep -q "MessageId"; then
            recv=$((recv+1))
            H=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+' | head -1)
            if [[ -n "$H" ]]; then
                $sqs_func delete-message --queue-url "$qurl" --receipt-handle "$H" >/dev/null 2>&1
                del=$((del+1))
            fi
        fi
        # Промежуточный отчёт
        if [[ $SECONDS -ge $next_report ]]; then
            local elapsed=$((SECONDS - (end - duration)))
            echo "    [${provider} ${elapsed}s] sent=$sent recv=$recv del=$del err=$errors"
            next_report=$((SECONDS + interval))
        fi
    done
    echo "${sent}:${recv}:${del}:${errors}" > "$result_file"
 }
 echo "  Запуск Yandex sustained..."
 run_sustained "YMQ" "ysqs" "$Y_QURL" "$SUSTAINED_DURATION" "${TMPDIR_B}/sus_y" &
 Y_SUS_PID=$!
 echo "  Запуск Ours sustained..."
 run_sustained "OURS" "osqs" "$O_QURL" "$SUSTAINED_DURATION" "${TMPDIR_B}/sus_o" &
 O_SUS_PID=$!
 echo "  ⏳ Ждём ${SUSTAINED_DURATION}s..."
 wait $Y_SUS_PID $O_SUS_PID 2>/dev/null
 IFS=':' read -r Y_SUS_SENT Y_SUS_RECV Y_SUS_DEL Y_SUS_ERR < "${TMPDIR_B}/sus_y"
 IFS=':' read -r O_SUS_SENT O_SUS_RECV O_SUS_DEL O_SUS_ERR < "${TMPDIR_B}/sus_o"
 Y_SUS_RPS=$(( (Y_SUS_SENT + Y_SUS_RECV + Y_SUS_DEL) / (SUSTAINED_DURATION + 1) ))
 O_SUS_RPS=$(( (O_SUS_SENT + O_SUS_RECV + O_SUS_DEL) / (SUSTAINED_DURATION + 1) ))
 echo ""
 echo "  ┌──────────────┬─────────────────────────────────────┬─────────────────────────────────────┐"
 echo "  │              │ Yandex MQ                           │ shared-sqs                          │"
 echo "  ├──────────────┼─────────────────────────────────────┼─────────────────────────────────────┤"
 printf "  │ %-12s │ sent=%-4d recv=%-4d del=%-4d err=%-3d │ sent=%-4d recv=%-4d del=%-4d err=%-3d │\n" \
    "Operations" "$Y_SUS_SENT" "$Y_SUS_RECV" "$Y_SUS_DEL" "$Y_SUS_ERR" \
    "$O_SUS_SENT" "$O_SUS_RECV" "$O_SUS_DEL" "$O_SUS_ERR"
 printf "  │ %-12s │ ~%-3d ops/sec                         │ ~%-3d ops/sec                         │\n" \
    "Throughput" "$Y_SUS_RPS" "$O_SUS_RPS"
 echo "  └──────────────┴─────────────────────────────────────┴─────────────────────────────────────┘"
 # ═══════════════════════════════════════
 # 10. CLEANUP
 # ═══════════════════════════════════════
 section "Cleanup"
 ysqs purge-queue --queue-url "$Y_QURL" >/dev/null 2>&1
 ysqs delete-queue --queue-url "$Y_QURL" >/dev/null 2>&1
 echo "  Yandex: bench queue deleted"
 osqs purge-queue --queue-url "$O_QURL" >/dev/null 2>&1
 osqs delete-queue --queue-url "$O_QURL" >/dev/null 2>&1
 echo "  Ours:   bench queue deleted"
 # ═══════════════════════════════════════
 # ИТОГОВАЯ СВОДКА
 # ═══════════════════════════════════════
 echo ""
 echo "╔══════════════════════════════════════════════════════════════════════╗"
 echo "║                    FULL BENCHMARK COMPLETE                         ║"
 echo "║  $(date '+%Y-%m-%d %H:%M:%S')                                                    ║"
 echo "║                                                                    ║"
 echo "║  Latency:   SendMessage avg Y=$(echo $Y_SEND_STATS | awk '{print $2}')ms O=$(echo $O_SEND_STATS | awk '{print $2}')ms"
 echo "║             ReceiveMsg  avg Y=$(echo $Y_RECV_STATS | awk '{print $2}')ms O=$(echo $O_RECV_STATS | awk '{print $2}')ms"
 echo "║  Batch:     savings    Y=${Y_BATCH_GAIN}% O=${O_BATCH_GAIN}%"
 echo "║  Sustained: ops/sec    Y=${Y_SUS_RPS} O=${O_SUS_RPS}    (${SUSTAINED_DURATION}s)"
 echo "║  Errors:    Y=${Y_SUS_ERR}  O=${O_SUS_ERR}"
 echo "║  QueueOps:  create10   Y=${Y_QC_MS}ms O=${O_QC_MS}ms"
 echo "║             delete10   Y=${Y_QD_MS}ms O=${O_QD_MS}ms"
 echo "║  Tags:      shared-sqs ✅ (3/3)  Yandex ⚠️  not supported"
 echo "╚══════════════════════════════════════════════════════════════════════╝"
@@ -1,272 +0,0 @@
 #!/bin/bash
 # compare_sqs.sh — сравнительный бенчмарк Yandex MQ vs shared-sqs
 # Запуск из ЛОКАЛИ для равных условий
 # Created: 2026-04-11
 set -uo pipefail
 # ═══ CREDENTIALS ═══
 # Yandex MQ
 Y_AK="YCAJEQDz_Eg_i4C4M7TAen2fd"
 Y_SK="YCMDfD8OKFK51knPyydwQOYts7Q81_3YBhv4sd_j"
 Y_REGION="ru-central1"
 Y_ENDPOINT="https://message-queue.api.cloud.yandex.net"
 Y_QURL="https://message-queue.api.cloud.yandex.net/b1gatc4m3hv1ldldhljp/dj60000000k2jb2o02mt/foropus"
 # Our SQS
 O_AK="SSAK-ed0b0c64dcc135adad9e11be"
 O_SK="f917c133e4ad74cf37c8e3ba29d74a39f42f117a202bd672436c92fdb6b6f3dc"
 O_REGION="us-east-1"
 O_ENDPOINT="https://qu.kube5s.ru"
 O_QURL="https://qu.kube5s.ru/t-e0ce25e83be94c58/foropus-test"
 # ═══ ПАРАМЕТРЫ ═══
 SEQ_COUNT=20          # последовательных send/receive
 PAR_WORKERS=10        # параллельных воркеров
 PAR_MSGS=5            # сообщений на воркер (итого 50)
 BURST=30              # burst одновременно
 TMPDIR_CMP=$(mktemp -d /tmp/sqs_compare_XXXXX)
 trap "rm -rf $TMPDIR_CMP" EXIT
 # ═══ ХЕЛПЕРЫ ═══
 ysqs() {
    AWS_ACCESS_KEY_ID="$Y_AK" AWS_SECRET_ACCESS_KEY="$Y_SK" \
    AWS_DEFAULT_REGION="$Y_REGION" \
    aws --endpoint-url "$Y_ENDPOINT" --output json sqs "$@" 2>&1
 }
 osqs() {
    AWS_ACCESS_KEY_ID="$O_AK" AWS_SECRET_ACCESS_KEY="$O_SK" \
    AWS_DEFAULT_REGION="$O_REGION" \
    aws --endpoint-url "$O_ENDPOINT" --output json sqs "$@" 2>&1
 }
 # ms_since — миллисекунды с момента $1
 ms_now() { date +%s%3N; }
 echo "╔═══════════════════════════════════════════════════════════════════╗"
 echo "║   BENCHMARK: Yandex MQ vs shared-sqs — $(date '+%Y-%m-%d %H:%M:%S')      ║"
 echo "║   Из локали, равные условия                                     ║"
 echo "╚═══════════════════════════════════════════════════════════════════╝"
 echo ""
 # ═══════════════════════════════════════
 # 1. SEQUENTIAL SEND — latency per message
 # ═══════════════════════════════════════
 echo "═══ 1. Sequential SendMessage (${SEQ_COUNT} msgs) ═══"
 # Yandex
 echo -n "  Yandex: "
 Y_START=$(ms_now)
 Y_SEND_OK=0
 for i in $(seq 1 $SEQ_COUNT); do
    R=$(ysqs send-message --queue-url "$Y_QURL" --message-body "bench-seq-${i}")
    if echo "$R" | grep -q "MessageId"; then Y_SEND_OK=$((Y_SEND_OK+1)); fi
    echo -n "."
 done
 Y_SEND_MS=$(( $(ms_now) - Y_START ))
 Y_SEND_AVG=$(( Y_SEND_MS / SEQ_COUNT ))
 echo " ${Y_SEND_OK}/${SEQ_COUNT} ok, ${Y_SEND_MS}ms total, avg=${Y_SEND_AVG}ms"
 # Ours
 echo -n "  Ours:   "
 O_START=$(ms_now)
 O_SEND_OK=0
 for i in $(seq 1 $SEQ_COUNT); do
    R=$(osqs send-message --queue-url "$O_QURL" --message-body "bench-seq-${i}")
    if echo "$R" | grep -q "MessageId"; then O_SEND_OK=$((O_SEND_OK+1)); fi
    echo -n "."
 done
 O_SEND_MS=$(( $(ms_now) - O_START ))
 O_SEND_AVG=$(( O_SEND_MS / SEQ_COUNT ))
 echo " ${O_SEND_OK}/${SEQ_COUNT} ok, ${O_SEND_MS}ms total, avg=${O_SEND_AVG}ms"
 echo ""
 # ═══════════════════════════════════════
 # 2. SEQUENTIAL RECEIVE — latency per message
 # ═══════════════════════════════════════
 echo "═══ 2. Sequential ReceiveMessage (${SEQ_COUNT} msgs) ═══"
 # Yandex
 echo -n "  Yandex: "
 Y_START=$(ms_now)
 Y_RECV_OK=0
 for i in $(seq 1 $SEQ_COUNT); do
    R=$(ysqs receive-message --queue-url "$Y_QURL" --max-number-of-messages 1 --wait-time-seconds 2)
    if echo "$R" | grep -q "MessageId"; then
        Y_RECV_OK=$((Y_RECV_OK+1))
        H=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+')
        ysqs delete-message --queue-url "$Y_QURL" --receipt-handle "$H" >/dev/null 2>&1
    fi
    echo -n "."
 done
 Y_RECV_MS=$(( $(ms_now) - Y_START ))
 Y_RECV_AVG=$(( Y_RECV_MS / SEQ_COUNT ))
 echo " ${Y_RECV_OK}/${SEQ_COUNT} ok, ${Y_RECV_MS}ms total, avg=${Y_RECV_AVG}ms"
 # Ours
 echo -n "  Ours:   "
 O_START=$(ms_now)
 O_RECV_OK=0
 for i in $(seq 1 $SEQ_COUNT); do
    R=$(osqs receive-message --queue-url "$O_QURL" --max-number-of-messages 1 --wait-time-seconds 2)
    if echo "$R" | grep -q "MessageId"; then
        O_RECV_OK=$((O_RECV_OK+1))
        H=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+')
        osqs delete-message --queue-url "$O_QURL" --receipt-handle "$H" >/dev/null 2>&1
    fi
    echo -n "."
 done
 O_RECV_MS=$(( $(ms_now) - O_START ))
 O_RECV_AVG=$(( O_RECV_MS / SEQ_COUNT ))
 echo " ${O_RECV_OK}/${SEQ_COUNT} ok, ${O_RECV_MS}ms total, avg=${O_RECV_AVG}ms"
 echo ""
 # ═══════════════════════════════════════
 # 3. PARALLEL SEND — throughput
 # ═══════════════════════════════════════
 TOTAL_PAR=$((PAR_WORKERS * PAR_MSGS))
 echo "═══ 3. Parallel SendMessage (${PAR_WORKERS} workers × ${PAR_MSGS} = ${TOTAL_PAR} msgs) ═══"
 # Yandex
 echo -n "  Yandex: "
 Y_START=$(ms_now)
 for w in $(seq 1 $PAR_WORKERS); do
    (
        ok=0
        for m in $(seq 1 $PAR_MSGS); do
            R=$(ysqs send-message --queue-url "$Y_QURL" --message-body "par-${w}-${m}")
            if echo "$R" | grep -q "MessageId"; then ok=$((ok+1)); fi
        done
        echo "$ok" > "${TMPDIR_CMP}/y_par_${w}"
    ) &
 done
 wait
 Y_PAR_MS=$(( $(ms_now) - Y_START ))
 Y_PAR_OK=0
 for w in $(seq 1 $PAR_WORKERS); do
    [[ -f "${TMPDIR_CMP}/y_par_${w}" ]] && Y_PAR_OK=$((Y_PAR_OK + $(cat "${TMPDIR_CMP}/y_par_${w}")))
 done
 Y_PAR_RPS=$(( Y_PAR_OK * 1000 / Y_PAR_MS ))
 echo "${Y_PAR_OK}/${TOTAL_PAR} ok, ${Y_PAR_MS}ms, ~${Y_PAR_RPS} msg/sec"
 # Ours
 echo -n "  Ours:   "
 O_START=$(ms_now)
 for w in $(seq 1 $PAR_WORKERS); do
    (
        ok=0
        for m in $(seq 1 $PAR_MSGS); do
            R=$(osqs send-message --queue-url "$O_QURL" --message-body "par-${w}-${m}")
            if echo "$R" | grep -q "MessageId"; then ok=$((ok+1)); fi
        done
        echo "$ok" > "${TMPDIR_CMP}/o_par_${w}"
    ) &
 done
 wait
 O_PAR_MS=$(( $(ms_now) - O_START ))
 O_PAR_OK=0
 for w in $(seq 1 $PAR_WORKERS); do
    [[ -f "${TMPDIR_CMP}/o_par_${w}" ]] && O_PAR_OK=$((O_PAR_OK + $(cat "${TMPDIR_CMP}/o_par_${w}")))
 done
 O_PAR_RPS=$(( O_PAR_OK * 1000 / O_PAR_MS ))
 echo "${O_PAR_OK}/${TOTAL_PAR} ok, ${O_PAR_MS}ms, ~${O_PAR_RPS} msg/sec"
 echo ""
 # ═══════════════════════════════════════
 # 4. BURST — все сразу
 # ═══════════════════════════════════════
 echo "═══ 4. Burst SendMessage (${BURST} одновременно) ═══"
 # Yandex
 echo -n "  Yandex: "
 Y_START=$(ms_now)
 for b in $(seq 1 $BURST); do
    ( R=$(ysqs send-message --queue-url "$Y_QURL" --message-body "burst-${b}")
      echo "$R" | grep -q "MessageId" && echo 1 || echo 0
    ) > "${TMPDIR_CMP}/y_burst_${b}" &
 done
 wait
 Y_BURST_MS=$(( $(ms_now) - Y_START ))
 Y_BURST_OK=0
 for b in $(seq 1 $BURST); do
    [[ -f "${TMPDIR_CMP}/y_burst_${b}" ]] && Y_BURST_OK=$((Y_BURST_OK + $(cat "${TMPDIR_CMP}/y_burst_${b}")))
 done
 echo "${Y_BURST_OK}/${BURST} ok, ${Y_BURST_MS}ms"
 # Ours
 echo -n "  Ours:   "
 O_START=$(ms_now)
 for b in $(seq 1 $BURST); do
    ( R=$(osqs send-message --queue-url "$O_QURL" --message-body "burst-${b}")
      echo "$R" | grep -q "MessageId" && echo 1 || echo 0
    ) > "${TMPDIR_CMP}/o_burst_${b}" &
 done
 wait
 O_BURST_MS=$(( $(ms_now) - O_START ))
 O_BURST_OK=0
 for b in $(seq 1 $BURST); do
    [[ -f "${TMPDIR_CMP}/o_burst_${b}" ]] && O_BURST_OK=$((O_BURST_OK + $(cat "${TMPDIR_CMP}/o_burst_${b}")))
 done
 echo "${O_BURST_OK}/${BURST} ok, ${O_BURST_MS}ms"
 echo ""
 # ═══════════════════════════════════════
 # 5. GetQueueAttributes — latency
 # ═══════════════════════════════════════
 echo "═══ 5. GetQueueAttributes (5 раз) ═══"
 echo -n "  Yandex: "
 Y_START=$(ms_now)
 for i in $(seq 1 5); do
    ysqs get-queue-attributes --queue-url "$Y_QURL" --attribute-names ApproximateNumberOfMessages >/dev/null 2>&1
    echo -n "."
 done
 Y_ATTR_MS=$(( $(ms_now) - Y_START ))
 Y_ATTR_AVG=$(( Y_ATTR_MS / 5 ))
 echo " ${Y_ATTR_MS}ms total, avg=${Y_ATTR_AVG}ms"
 echo -n "  Ours:   "
 O_START=$(ms_now)
 for i in $(seq 1 5); do
    osqs get-queue-attributes --queue-url "$O_QURL" --attribute-names ApproximateNumberOfMessages >/dev/null 2>&1
    echo -n "."
 done
 O_ATTR_MS=$(( $(ms_now) - O_START ))
 O_ATTR_AVG=$(( O_ATTR_MS / 5 ))
 echo " ${O_ATTR_MS}ms total, avg=${O_ATTR_AVG}ms"
 echo ""
 # ═══════════════════════════════════════
 # 6. PURGE — очистка после тестов
 # ═══════════════════════════════════════
 echo "═══ 6. Purge (очистка) ═══"
 ysqs purge-queue --queue-url "$Y_QURL" >/dev/null 2>&1 && echo "  Yandex: purged" || echo "  Yandex: purge failed (cooldown?)"
 osqs purge-queue --queue-url "$O_QURL" >/dev/null 2>&1 && echo "  Ours:   purged" || echo "  Ours:   purge failed"
 echo ""
 # ═══════════════════════════════════════
 # ИТОГОВАЯ ТАБЛИЦА
 # ═══════════════════════════════════════
 echo "╔══════════════════════════════════════════════════════════════════════════╗"
 echo "║                        РЕЗУЛЬТАТЫ СРАВНЕНИЯ                            ║"
 echo "╠══════════════════════════╦══════════════════╦══════════════════╦════════╣"
 echo "║ Тест                    ║   Yandex MQ      ║   shared-sqs    ║ Winner ║"
 echo "╠══════════════════════════╬══════════════════╬══════════════════╬════════╣"
 printf "║ %-24s ║ %4dms avg %2d/%2d ║ %4dms avg %2d/%2d ║ %-6s ║\n" \
    "Seq Send (${SEQ_COUNT}msg)" "$Y_SEND_AVG" "$Y_SEND_OK" "$SEQ_COUNT" "$O_SEND_AVG" "$O_SEND_OK" "$SEQ_COUNT" \
    "$([ $Y_SEND_AVG -le $O_SEND_AVG ] && echo 'YMQ' || echo 'OURS')"
 printf "║ %-24s ║ %4dms avg %2d/%2d ║ %4dms avg %2d/%2d ║ %-6s ║\n" \
    "Seq Recv+Del (${SEQ_COUNT}msg)" "$Y_RECV_AVG" "$Y_RECV_OK" "$SEQ_COUNT" "$O_RECV_AVG" "$O_RECV_OK" "$SEQ_COUNT" \
    "$([ $Y_RECV_AVG -le $O_RECV_AVG ] && echo 'YMQ' || echo 'OURS')"
 printf "║ %-24s ║ %4dms %3d msg/s ║ %4dms %3d msg/s ║ %-6s ║\n" \
    "Parallel Send (${TOTAL_PAR}msg)" "$Y_PAR_MS" "$Y_PAR_RPS" "$O_PAR_MS" "$O_PAR_RPS" \
    "$([ $Y_PAR_RPS -ge $O_PAR_RPS ] && echo 'YMQ' || echo 'OURS')"
 printf "║ %-24s ║ %4dms    %2d/%2d ║ %4dms    %2d/%2d ║ %-6s ║\n" \
    "Burst (${BURST} simultaneous)" "$Y_BURST_MS" "$Y_BURST_OK" "$BURST" "$O_BURST_MS" "$O_BURST_OK" "$BURST" \
    "$([ $Y_BURST_MS -le $O_BURST_MS ] && echo 'YMQ' || echo 'OURS')"
 printf "║ %-24s ║ %4dms avg       ║ %4dms avg       ║ %-6s ║\n" \
    "GetQueueAttributes (5x)" "$Y_ATTR_AVG" "$O_ATTR_AVG" \
    "$([ $Y_ATTR_AVG -le $O_ATTR_AVG ] && echo 'YMQ' || echo 'OURS')"
 echo "╚══════════════════════════╩══════════════════╩══════════════════╩════════╝"
@@ -0,0 +1,70 @@
 #!/usr/bin/env python3
 """Временный замер: точная копия invalid_cases из load_test.py + подсчёт кодов.
 Цель: выяснить фактическое распределение кодов в самом тесте."""
 import boto3
 import collections
 import random
 from botocore.config import Config
 from botocore.exceptions import ClientError
 ENDPOINT = "https://sqs.containerk8s.dev.nubes.ru"
 sqs = boto3.client(
    "sqs",
    endpoint_url=ENDPOINT,
    region_name="us-east-1",
    config=Config(connect_timeout=10, read_timeout=25, retries={"max_attempts": 2}),
 )
 res = collections.Counter()
 def invalid_cases():
    cases = []
    cases.append(lambda: sqs.send_message(QueueUrl=ENDPOINT + "/no-such-queue", MessageBody="x"))
    cases.append(lambda: sqs.receive_message(QueueUrl=ENDPOINT + "/no-such-queue"))
    cases.append(lambda: sqs.delete_queue(QueueUrl=ENDPOINT + "/no-such-queue"))
    cases.append(lambda: sqs.get_queue_url(QueueName="no-such-queue-load-test"))
    cases.append(lambda: sqs.delete_message(QueueUrl=ENDPOINT + "/no-such-queue", ReceiptHandle="broken"))
    q = sqs.create_queue(QueueName="invalid-%d" % random.randint(0, 10**9))["QueueUrl"]
    try:
        cases.append(lambda: sqs.set_queue_attributes(QueueUrl=q, Attributes={"VisibilityTimeout": "43201"}))
        cases.append(lambda: sqs.set_queue_attributes(QueueUrl=q, Attributes={"VisibilityTimeout": "not-a-number"}))
        cases.append(lambda: sqs.set_queue_attributes(QueueUrl=q, Attributes={"BadAttribute": "1"}))
        def purge_twice():
            sqs.purge_queue(QueueUrl=q)
            sqs.purge_queue(QueueUrl=q)
        cases.append(purge_twice)
        cases.append(lambda: sqs.send_message_batch(QueueUrl=q, Entries=[{"Id": str(i), "MessageBody": "x"} for i in range(11)]))
        cases.append(lambda: sqs.send_message_batch(QueueUrl=q, Entries=[{"Id": "dup", "MessageBody": "a"}, {"Id": "dup", "MessageBody": "b"}]))
        cases.append(lambda: sqs.send_message_batch(QueueUrl=q, Entries=[]))
        cases.append(lambda: sqs.send_message(QueueUrl=q, MessageBody=""))
        cases.append(lambda: sqs.send_message(QueueUrl=q, MessageBody="x" * (300 * 1024)))
        fq = sqs.create_queue(QueueName="invalid-%d.fifo" % random.randint(0, 10**9), Attributes={"FifoQueue": "true"})["QueueUrl"]
        try:
            cases.append(lambda: sqs.send_message(QueueUrl=fq, MessageBody="x", MessageDeduplicationId="d"))
        finally:
            sqs.delete_queue(QueueUrl=fq)
    finally:
        sqs.delete_queue(QueueUrl=q)
    for c in cases:
        try:
            c()
            res["PASS-не отклонено"] += 1
        except ClientError as e:
            res[e.response.get("Error", {}).get("Code", "Unknown")] += 1
        except Exception as e:
            res[type(e).__name__] += 1
 N = 100
 for _ in range(N):
    invalid_cases()
 print("cycles=%d" % N)
 for k, v in sorted(res.items(), key=lambda x: -x[1]):
    print("%s: %d" % (k, v))
@@ -0,0 +1,407 @@
 #!/usr/bin/env python3
 """tests/load_test.py — длительная нагрузочная проверка устойчивости shared-sqs.
 Режимы работы в каждом цикле:
 1) Корректные операции: create/get-url/attributes/send/batch/receive(long poll)/
   change-visibility/delete/batch-delete/tags/purge/delete-queue + FIFO.
 2) Крайние условия: сообщения до 48КБ (большие POST-тела зависают на платформе
   ~51с из-за MTU — см. HISTORY, раздел «51с MTU drhider»), юникод, пустые тела,
   пакеты по 10, сообщение > лимита (очередь с MaximumMessageSize=1024 +
   тело 2KB — ожидается отказ MessageTooBig).
 3) Некорректные условия (ожидаемые отказы с известными кодами):
   несуществующая очередь, битый ReceiptHandle, некорректные атрибуты,
   повторный purge, >10 записей в batch, дубли Id в batch, пустой batch,
   FIFO без MessageGroupId, некорректные имена очередей.
 Контроль: отдельный поток каждые 10с проверяет GET /health.
 Каждые 30с — строка прогресса. В конце — сводка по кодам ошибок и латентности.
 Переменные окружения:
  ENDPOINT_URL (по умолчанию https://sqs.containerk8s.dev.nubes.ru)
  REGION (us-east-1)
  DURATION_SECONDS (1800 = 30 минут)
  WORKERS (4)
  AWS_ACCESS_KEY_ID / AWS_SECRET_ACCESS_KEY — обязательны
 """
 import json
 import os
 import random
 import string
 import sys
 import threading
 import time
 import urllib.request
 import boto3
 from botocore.config import Config
 from botocore.exceptions import ClientError
 ENDPOINT = os.environ.get("ENDPOINT_URL", "https://sqs.containerk8s.dev.nubes.ru")
 REGION = os.environ.get("REGION", "us-east-1")
 DURATION = int(os.environ.get("DURATION_SECONDS", "1800"))
 WORKERS = int(os.environ.get("WORKERS", "4"))
 HEALTH_EVERY = 10
 # Коды ошибок, которые ожидаемы для некорректных условий.
 EXPECTED_CODES = {
    "NonExistentQueue",
    "QueueDeletedRecently",
    "PurgeQueueInProgress",
    "ReceiptHandleIsInvalid",
    "InvalidParameterValue",
    "InvalidAttributeValue",
    "InvalidAttributeName",
    "MissingParameter",
    "ReadCountOutOfRange",
    "TooManyEntriesInBatchRequest",
    "BatchEntryIdsNotDistinct",
    "EmptyBatchRequest",
    "InvalidBatchEntryId",
    "MessageTooLong",
    "InvalidMessageContents",
    "AWS.SimpleQueueService.NonExistentQueue",
    "AWS.SimpleQueueService.InvalidParameterValue",
    "AWS.SimpleQueueService.InvalidAttributeName",
    "AWS.SimpleQueueService.InvalidAttributeValue",
    "AWS.SimpleQueueService.PurgeQueueInProgress",
    "AWS.SimpleQueueService.TooManyEntriesInBatchRequest",
    "AWS.SimpleQueueService.BatchEntryIdsNotDistinct",
    "AWS.SimpleQueueService.EmptyBatchRequest",
    "AWS.SimpleQueueService.InvalidBatchEntryId",
 }
 stats = {
    "valid_ok": 0,
    "expected_err": 0,
    "unexpected_fail": 0,
    "integrity_fail": 0,
    "soft_warn": 0,          # некорректный запрос неожиданно прошёл
    "health_fail": 0,
    "ops_total": 0,
    "err_by_code": {},
 }
 stats_lock = threading.Lock()
 start_ts = time.time()
 stop = threading.Event()
 LATENCY = []
 LATENCY_LOCK = threading.Lock()
 def add_latency(sec):
    with LATENCY_LOCK:
        LATENCY.append(sec)
        if len(LATENCY) > 100000:
            del LATENCY[:50000]
 def bump(key, n=1, code=None):
    with stats_lock:
        stats[key] += n
        stats["ops_total"] += n
        if code:
            stats["err_by_code"][code] = stats["err_by_code"].get(code, 0) + 1
 def record_expected(e: ClientError):
    code = e.response.get("Error", {}).get("Code", "Unknown")
    bump("expected_err", code=code)
 def record_unexpected(e):
    code = getattr(e, "response", None) and e.response.get("Error", {}).get("Code", "Unknown") or type(e).__name__
    bump("unexpected_fail", code=code)
 def rand_body(max_size=48 * 1024):
    size = random.randint(0, max_size)
    return "".join(random.choices(string.ascii_letters + "абвгд\x00\xff😀", k=size))
 def make_client():
    cfg = Config(connect_timeout=10, read_timeout=25, retries={"max_attempts": 2})
    return boto3.client("sqs", endpoint_url=ENDPOINT, region_name=REGION, config=cfg)
 def health_monitor():
    while not stop.is_set():
        try:
            with urllib.request.urlopen(
                urllib.request.Request(ENDPOINT + "/health", headers={"User-Agent": "load-test"}),
                timeout=10,
            ) as r:
                body = r.read().decode("utf-8", "replace")
                if r.status != 200 or '"status":"ok"' not in body:
                    bump("health_fail")
        except Exception:
            bump("health_fail")
        stop.wait(HEALTH_EVERY)
 def valid_cycle(sqs, wid, it):
    q = f"load-{wid}-{it}-{random.randint(0, 10**9)}"
    url = sqs.create_queue(QueueName=q)["QueueUrl"]
    try:
        assert sqs.get_queue_url(QueueName=q)["QueueUrl"] == url
        # сообщение произвольного размера до 48КБ, включая юникод
        body = rand_body()
        sqs.send_message(QueueUrl=url, MessageBody=body)
        bump("valid_ok")
        # batch до 10
        entries = [{"Id": str(i), "MessageBody": f"b{i}-{random.randint(0, 10**6)}"} for i in range(random.randint(1, 10))]
        r = sqs.send_message_batch(QueueUrl=url, Entries=entries)
        assert len(r["Successful"]) == len(entries)
        # receive с long poll, сверка целостности
        msgs = None
        for _ in range(6):
            msgs = sqs.receive_message(QueueUrl=url, MaxNumberOfMessages=10, WaitTimeSeconds=random.choice([1, 5, 20])).get("Messages", [])
            if msgs:
                break
            time.sleep(1)
        if not msgs:
            raise AssertionError("сообщения не получены")
        bodies = {m["Body"] for m in msgs}
        if body not in bodies:
            # тело могло уйти в другой receive предыдущего потока — считаем предупреждением
            bump("soft_warn")
        # change visibility + delete
        sqs.change_message_visibility(QueueUrl=url, ReceiptHandle=msgs[0]["ReceiptHandle"], VisibilityTimeout=1)
        sqs.delete_message(QueueUrl=url, ReceiptHandle=msgs[0]["ReceiptHandle"])
        handles = [{"Id": str(i), "ReceiptHandle": m["ReceiptHandle"]} for i, m in enumerate(msgs[1:])]
        if handles:
            sqs.delete_message_batch(QueueUrl=url, Entries=handles)
        # теги
        sqs.tag_queue(QueueUrl=url, Tags={"load": "1"})
        sqs.list_queue_tags(QueueUrl=url)
        sqs.untag_queue(QueueUrl=url, TagKeys=["load"])
        # атрибуты
        attrs = sqs.get_queue_attributes(QueueUrl=url, AttributeNames=["All"])["Attributes"]
        assert "VisibilityTimeout" in attrs
        sqs.set_queue_attributes(QueueUrl=url, Attributes={"VisibilityTimeout": str(random.randint(0, 43200))})
    finally:
        try:
            sqs.delete_queue(QueueUrl=url)
        except ClientError:
            pass
 def fifo_cycle(sqs, wid, it):
    q = f"load-{wid}-{it}.fifo"
    url = sqs.create_queue(QueueName=q, Attributes={"FifoQueue": "true"})["QueueUrl"]
    try:
        sqs.send_message(QueueUrl=url, MessageBody="fifo", MessageGroupId="g", MessageDeduplicationId=str(it))
        # дубль с тем же DedupId — сервис должен не создать дубль (допустим любой из ответов)
        sqs.send_message(QueueUrl=url, MessageBody="fifo-dup", MessageGroupId="g", MessageDeduplicationId=str(it))
        msgs = sqs.receive_message(QueueUrl=url, MaxNumberOfMessages=10).get("Messages", [])
        if msgs:
            sqs.delete_message(QueueUrl=url, ReceiptHandle=msgs[0]["ReceiptHandle"])
        bump("valid_ok")
    finally:
        try:
            sqs.delete_queue(QueueUrl=url)
        except ClientError:
            pass
 def invalid_cases(sqs):
    cases = []
    # несуществующая очередь
    cases.append(lambda: sqs.send_message(QueueUrl=ENDPOINT + "/no-such-queue", MessageBody="x"))
    cases.append(lambda: sqs.receive_message(QueueUrl=ENDPOINT + "/no-such-queue"))
    cases.append(lambda: sqs.delete_queue(QueueUrl=ENDPOINT + "/no-such-queue"))
    cases.append(lambda: sqs.get_queue_url(QueueName="no-such-queue-load-test"))
    # битый ReceiptHandle
    cases.append(lambda: sqs.delete_message(QueueUrl=ENDPOINT + "/no-such-queue", ReceiptHandle="broken"))
    # ФИКС: раньше delete_queue стоял в finally и выполнялся ДО прогона сценариев —
    # сценарии атрибутов/batch/purge/300KB/FIFO тестировали УДАЛЁННУЮ очередь
    # (NonExistentQueue) вместо заявленных нарушений. Теперь очереди создаются
    # до прогона и удаляются ПОСЛЕ него.
    q = None
    fq = None
    qlow = None
    try:
        # некорректные атрибуты
        q = sqs.create_queue(QueueName=f"invalid-{random.randint(0, 10**9)}")["QueueUrl"]
        cases.append(lambda: sqs.set_queue_attributes(QueueUrl=q, Attributes={"VisibilityTimeout": "43201"}))
        cases.append(lambda: sqs.set_queue_attributes(QueueUrl=q, Attributes={"VisibilityTimeout": "not-a-number"}))
        cases.append(lambda: sqs.set_queue_attributes(QueueUrl=q, Attributes={"BadAttribute": "1"}))
        # повторный purge
        def purge_twice():
            sqs.purge_queue(QueueUrl=q)
            sqs.purge_queue(QueueUrl=q)
        cases.append(purge_twice)
        # batch-нарушения
        cases.append(lambda: sqs.send_message_batch(QueueUrl=q, Entries=[{"Id": str(i), "MessageBody": "x"} for i in range(11)]))
        cases.append(lambda: sqs.send_message_batch(QueueUrl=q, Entries=[{"Id": "dup", "MessageBody": "a"}, {"Id": "dup", "MessageBody": "b"}]))
        cases.append(lambda: sqs.send_message_batch(QueueUrl=q, Entries=[]))
        # пустое тело
        cases.append(lambda: sqs.send_message(QueueUrl=q, MessageBody=""))
        # превышение лимита размера: очередь с MaximumMessageSize=1024 +
        # тело 2KB. Граничное условие (MessageTooBig) сохраняется, но большое
        # тело по сети НЕ шлётся — иначе платформа вешает запрос на ~51с (MTU).
        qlow = sqs.create_queue(QueueName=f"invalid-{random.randint(0, 10**9)}", Attributes={"MaximumMessageSize": "1024"})["QueueUrl"]
        cases.append(lambda: sqs.send_message(QueueUrl=qlow, MessageBody="x" * 2048))
        # FIFO без MessageGroupId
        fq = sqs.create_queue(QueueName=f"invalid-{random.randint(0, 10**9)}.fifo", Attributes={"FifoQueue": "true"})["QueueUrl"]
        cases.append(lambda: sqs.send_message(QueueUrl=fq, MessageBody="x", MessageDeduplicationId="d"))
        for c in cases:
            t0 = time.time()
            try:
                c()
                bump("soft_warn")
            except ClientError as e:
                add_latency(time.time() - t0)
                code = e.response.get("Error", {}).get("Code", "Unknown")
                if code in EXPECTED_CODES:
                    record_expected(e)
                else:
                    record_unexpected(e)
            except Exception as e:
                record_unexpected(e)
    finally:
        # Очереди удаляются ПОСЛЕ прогона сценариев.
        if qlow is not None:
            try:
                sqs.delete_queue(QueueUrl=qlow)
            except ClientError:
                pass
        if fq is not None:
            try:
                sqs.delete_queue(QueueUrl=fq)
            except ClientError:
                pass
        if q is not None:
            try:
                sqs.delete_queue(QueueUrl=q)
            except ClientError:
                pass
 def worker(wid):
    sqs = make_client()
    it = 0
    while not stop.is_set():
        it += 1
        t0 = time.time()
        try:
            valid_cycle(sqs, wid, it)
            add_latency(time.time() - t0)
        except ClientError as e:
            code = e.response.get("Error", {}).get("Code", "Unknown")
            if code in EXPECTED_CODES:
                record_expected(e)
            else:
                record_unexpected(e)
        except Exception as e:
            record_unexpected(e)
        t0 = time.time()
        try:
            fifo_cycle(sqs, wid, it)
            add_latency(time.time() - t0)
        except ClientError as e:
            code = e.response.get("Error", {}).get("Code", "Unknown")
            if code in EXPECTED_CODES:
                record_expected(e)
            else:
                record_unexpected(e)
        except Exception as e:
            record_unexpected(e)
        try:
            invalid_cases(sqs)
        except Exception as e:
            record_unexpected(e)
        time.sleep(random.uniform(0.01, 0.05))
 def cleanup_all_queues(sqs):
    """Удаляет ВСЕ очереди тенанта.
    Вызывается ПЕРЕД прогоном (стартовый мусор прошлых прогонов) и ПОСЛЕ
    (остатки от циклов, упавших на сбое — без этого копятся очереди и
    тест упирается в лимит MaxQueues тенанта)."""
    try:
        urls = sqs.list_queues().get("QueueUrls", [])
    except Exception:
        urls = []
    deleted = 0
    for u in urls:
        try:
            sqs.delete_queue(QueueUrl=u)
            deleted += 1
        except Exception:
            pass
    if deleted:
        print(f"cleanup: удалено очередей {deleted}", flush=True)
 def progress_printer():
    while not stop.is_set():
        stop.wait(30)
        with stats_lock:
            s = dict(stats)
        el = int(time.time() - start_ts)
        print(f"[{el:>5}s] ops={s['ops_total']} ok={s['valid_ok']} "
              f"expected_err={s['expected_err']} unexpected={s['unexpected_fail']} "
              f"soft_warn={s['soft_warn']} health_fail={s['health_fail']}", flush=True)
 def main():
    print(f"Нагрузочный тест: {ENDPOINT}, длительность {DURATION}s, воркеров {WORKERS}", flush=True)
    if not os.environ.get("AWS_ACCESS_KEY_ID") or not os.environ.get("AWS_SECRET_ACCESS_KEY"):
        print("Нужны AWS_ACCESS_KEY_ID и AWS_SECRET_ACCESS_KEY")
        return 1
    # Чистим стартовый мусор прошлых прогонов.
    cleanup_all_queues(make_client())
    threads = [threading.Thread(target=worker, args=(i,), daemon=True) for i in range(WORKERS)]
    hthread = threading.Thread(target=health_monitor, daemon=True)
    pthread = threading.Thread(target=progress_printer, daemon=True)
    for t in threads:
        t.start()
    hthread.start()
    pthread.start()
    stop.wait(DURATION)
    stop.set()
    for t in threads:
        t.join(timeout=30)
    # Чистим остатки: очереди от циклов, упавших на сбоях.
    cleanup_all_queues(make_client())
    el = int(time.time() - start_ts)
    with stats_lock:
        s = dict(stats)
    print(f"\n=== Завершено через {el}s ===", flush=True)
    print(f"Операций всего:        {s['ops_total']}")
    print(f"Корректных (ok):       {s['valid_ok']}")
    print(f"Ожидаемых отказов:     {s['expected_err']}")
    print(f"НЕОЖИДАННЫХ отказов:   {s['unexpected_fail']}")
    print(f"Некорректное прошло:   {s['soft_warn']}")
    print(f"Сбоев /health:         {s['health_fail']}")
    if s["err_by_code"]:
        print("Коды ошибок:")
        for code, n in sorted(s["err_by_code"].items(), key=lambda x: -x[1]):
            print(f"  {code}: {n}")
    with LATENCY_LOCK:
        if LATENCY:
            print(f"Латентность операций: min={min(LATENCY):.3f}s avg={sum(LATENCY)/len(LATENCY):.3f}s max={max(LATENCY):.3f}s")
    verdict = "УСТОЙЧИВО" if s["unexpected_fail"] == 0 and s["health_fail"] == 0 else "ЕСТЬ ПРОБЛЕМЫ"
    print(f"Вердикт: {verdict}")
    return 0 if verdict == "УСТОЙЧИВО" else 1
 if __name__ == "__main__":
    sys.exit(main())
@@ -1,104 +0,0 @@
 #!/bin/bash
 # Updated: 2026-04-12 05:40 UTC
 # payload_latency_probe.sh — узкий замер SendMessage latency для payload 10KB и 32KB.
 set -euo pipefail
 # ysqs выполняет aws sqs для Yandex MQ.
 ysqs() {
    AWS_ACCESS_KEY_ID="$Y_AK" AWS_SECRET_ACCESS_KEY="$Y_SK" \
    AWS_DEFAULT_REGION="$Y_REGION" \
    aws --endpoint-url "$Y_EP" --output json sqs "$@" >/dev/null 2>&1
 }
 # osqs выполняет aws sqs для shared-sqs.
 osqs() {
    AWS_ACCESS_KEY_ID="$O_AK" AWS_SECRET_ACCESS_KEY="$O_SK" \
    AWS_DEFAULT_REGION="$O_REGION" \
    aws --endpoint-url "$O_EP" --output json sqs "$@" >/dev/null 2>&1
 }
 # ms_now возвращает текущее время в миллисекундах.
 ms_now() {
    date +%s%3N
 }
 # calc_stats считает min/avg/max/p95 по файлу latency.
 calc_stats() {
    local file_path="$1"
    sort -n "$file_path" | awk '
    { values[NR] = $1; total += $1 }
    END {
        p95_index = int(NR * 0.95)
        if (p95_index < 1) p95_index = 1
        printf "%d %d %d %d\n", values[1], int(total / NR), values[NR], values[p95_index]
    }'
 }
 # cleanup удаляет временные объекты после замера.
 cleanup() {
    set +e
    if [[ -n "${Y_QURL:-}" ]]; then
        AWS_ACCESS_KEY_ID="$Y_AK" AWS_SECRET_ACCESS_KEY="$Y_SK" AWS_DEFAULT_REGION="$Y_REGION" \
        aws --endpoint-url "$Y_EP" --output json sqs delete-queue --queue-url "$Y_QURL" >/dev/null 2>&1 || true
    fi
    if [[ -n "${O_QURL:-}" ]]; then
        AWS_ACCESS_KEY_ID="$O_AK" AWS_SECRET_ACCESS_KEY="$O_SK" AWS_DEFAULT_REGION="$O_REGION" \
        aws --endpoint-url "$O_EP" --output json sqs delete-queue --queue-url "$O_QURL" >/dev/null 2>&1 || true
    fi
    rm -rf "$TMPDIR"
 }
 trap cleanup EXIT
 Y_AK="YCAJEQDz_Eg_i4C4M7TAen2fd"
 Y_SK="YCMDfD8OKFK51knPyydwQOYts7Q81_3YBhv4sd_j"
 Y_REGION="ru-central1"
 Y_EP="https://message-queue.api.cloud.yandex.net"
 O_AK="SSAK-ed0b0c64dcc135adad9e11be"
 O_SK="f917c133e4ad74cf37c8e3ba29d74a39f42f117a202bd672436c92fdb6b6f3dc"
 O_REGION="us-east-1"
 O_EP="https://qu.kube5s.ru"
 O_TID="t-e0ce25e83be94c58"
 ITERATIONS=7
 TMPDIR=$(mktemp -d /tmp/payload_latency_probe_XXXXX)
 TS=$(date +%s)
 head -c 10240 /dev/urandom | base64 | head -c 10240 > "$TMPDIR/payload_10k.txt"
 head -c 32768 /dev/urandom | base64 | head -c 32768 > "$TMPDIR/payload_32k.txt"
 Y_QNAME="payload-probe-y-${TS}"
 O_QNAME="payload-probe-o-${TS}"
 Y_CREATE_RAW=$(AWS_ACCESS_KEY_ID="$Y_AK" AWS_SECRET_ACCESS_KEY="$Y_SK" AWS_DEFAULT_REGION="$Y_REGION" aws --endpoint-url "$Y_EP" --output json sqs create-queue --queue-name "$Y_QNAME")
 Y_QURL=$(echo "$Y_CREATE_RAW" | python3 -c 'import json,sys; print(json.load(sys.stdin)["QueueUrl"])')
 osqs create-queue --queue-name "$O_QNAME"
 O_QURL="${O_EP}/${O_TID}/${O_QNAME}"
 run_probe() {
    local provider_name="$1"
    local queue_url="$2"
    local payload_file="$3"
    local result_file="$4"
    local runner="$5"
    : > "$result_file"
    for _ in $(seq 1 "$ITERATIONS"); do
        local started_at
        started_at=$(ms_now)
        "$runner" send-message --queue-url "$queue_url" --message-body "file://$payload_file"
        echo $(( $(ms_now) - started_at )) >> "$result_file"
    done
    local stats_line
    stats_line=$(calc_stats "$result_file")
    echo "${provider_name}|$(echo "$stats_line" | awk '{print $1"|"$2"|"$3"|"$4}')"
 }
 echo "payload_kb|provider|min|avg|max|p95"
 run_probe "yandex" "$Y_QURL" "$TMPDIR/payload_10k.txt" "$TMPDIR/y_10k.txt" ysqs | awk -F'|' '{print "10|"$0}'
 run_probe "shared-sqs" "$O_QURL" "$TMPDIR/payload_10k.txt" "$TMPDIR/o_10k.txt" osqs | awk -F'|' '{print "10|"$0}'
 run_probe "yandex" "$Y_QURL" "$TMPDIR/payload_32k.txt" "$TMPDIR/y_32k.txt" ysqs | awk -F'|' '{print "32|"$0}'
 run_probe "shared-sqs" "$O_QURL" "$TMPDIR/payload_32k.txt" "$TMPDIR/o_32k.txt" osqs | awk -F'|' '{print "32|"$0}'
@@ -0,0 +1,254 @@
 #!/usr/bin/env python3
 """tests/platform_probe.py — диагностика транспортного слоя платформы (HTTP контейнер).
 Проверяет, как платформа (шлюз/ingress/DDoS-Guard) пропускает трафик к сервису,
 НЕЗАВИСИМО от бизнес-логики SQS. Запускать и на ВМ, и на локальной машине
 для сравнения путей. Только stdlib + boto3.
 Блоки:
  A — через /health: burst 500 параллельных, большие заголовки, медленное тело,
      keep-alive x50, HTTP/1.0, HEAD, POST.
  B — через SQS API (транспорт): SendMessage 32KB, Receive 10x32KB,
      long-poll 20s (фактическая длительность), chunked-тело.
 """
 import http.client
 import json
 import os
 import socket
 import ssl
 import sys
 import threading
 import time
 import uuid
 import boto3
 from botocore.config import Config
 ENDPOINT = os.environ.get("ENDPOINT_URL", "https://sqs.containerk8s.dev.nubes.ru")
 HOST = ENDPOINT.replace("https://", "").replace("http://", "").rstrip("/")
 PORT = 443
 REGION = os.environ.get("REGION", "us-east-1")
 MODE = os.environ.get("PROBE_MODE", "unknown")
 results = {}
 def _conn():
    c = http.client.HTTPSConnection(HOST, PORT, timeout=30)
    return c
 def record(name, value):
    results[name] = value
    print("%s: %s" % (name, json.dumps(value, ensure_ascii=False)), flush=True)
 def http_get(path, headers=None, method="GET", body=None):
    c = _conn()
    try:
        c.request(method, path, body=body, headers=headers or {})
        r = c.getresponse()
        data = r.read()
        return r.status, dict(r.getheaders()), data
    finally:
        c.close()
 # --- A1: burst 500 параллельных /health ---
 def a1_burst():
    n = 500
    ok = err = 0
    lat = []
    lock = threading.Lock()
    def one():
        nonlocal ok, err
        t0 = time.time()
        try:
            st, _, _ = http_get("/health")
            with lock:
                lat.append(time.time() - t0)
                if st == 200:
                    ok += 1
                else:
                    err += 1
        except Exception:
            with lock:
                err += 1
    threads = [threading.Thread(target=one) for _ in range(n)]
    t0 = time.time()
    for t in threads:
        t.start()
    for t in threads:
        t.join()
    total = time.time() - t0
    lat.sort()
    record("A1_burst_500", {
        "ok": ok, "err": err, "total_s": round(total, 2),
        "p50": round(lat[len(lat) // 2], 3) if lat else None,
        "p95": round(lat[int(len(lat) * 0.95)], 3) if lat else None,
        "max": round(lat[-1], 3) if lat else None,
    })
 # --- A2: большие заголовки ---
 def a2_big_headers():
    for kb in (8, 16, 64):
        h = {"User-Agent": "platform-probe", "X-Pad": "x" * (kb * 1024)}
        try:
            st, _, _ = http_get("/health", headers=h)
            record("A2_header_%dkb" % kb, st)
        except Exception as e:
            record("A2_header_%dkb" % kb, type(e).__name__ + ": " + str(e)[:80])
 # --- A3: медленное тело (1 байт / 0.5с, Content-Length 10) ---
 def a3_slow_body():
    try:
        ctx = ssl.create_default_context()
        raw = ctx.wrap_socket(socket.create_connection((HOST, PORT), timeout=15),
                              server_hostname=HOST)
        raw.sendall(b"POST /health HTTP/1.1\r\nHost: %s\r\nContent-Length: 10\r\nConnection: close\r\n\r\n" % HOST.encode())
        t0 = time.time()
        for _ in range(10):
            raw.sendall(b"x")
            time.sleep(0.5)
        resp = raw.recv(65536)
        dt = time.time() - t0
        raw.close()
        first_line = resp.split(b"\r\n", 1)[0].decode("latin1", "replace") if resp else "(no response)"
        record("A3_slow_body", {"resp": first_line, "t_s": round(dt, 2)})
    except Exception as e:
        record("A3_slow_body", type(e).__name__ + ": " + str(e)[:80])
 # --- A4: keep-alive 50 запросов на одном соединении ---
 def a4_keepalive():
    ok = err = 0
    c = _conn()
    try:
        for _ in range(50):
            try:
                c.request("GET", "/health")
                r = c.getresponse()
                r.read()
                if r.status == 200:
                    ok += 1
                else:
                    err += 1
            except Exception:
                err += 1
                break
    finally:
        c.close()
    record("A4_keepalive_50", {"ok": ok, "err": err})
 # --- A5: HTTP/1.0, HEAD, POST ---
 def a5_variants():
    try:
        ctx = ssl.create_default_context()
        raw = ctx.wrap_socket(socket.create_connection((HOST, PORT), timeout=15),
                              server_hostname=HOST)
        raw.sendall(b"GET /health HTTP/1.0\r\nHost: %s\r\n\r\n" % HOST.encode())
        resp = raw.recv(4096)
        raw.close()
        record("A5_http1.0", resp.split(b"\r\n", 1)[0].decode("latin1", "replace") if resp else "(no response)")
    except Exception as e:
        record("A5_http1.0", type(e).__name__ + ": " + str(e)[:80])
    try:
        st, _, _ = http_get("/health", method="HEAD")
        record("A5_head", st)
    except Exception as e:
        record("A5_head", type(e).__name__ + ": " + str(e)[:80])
    try:
        st, _, _ = http_get("/health", method="POST", body=b"x")
        record("A5_post", st)
    except Exception as e:
        record("A5_post", type(e).__name__ + ": " + str(e)[:80])
 # --- B6: SendMessage 32KB (большие тела платформа вешает на ~51с — MTU, см. HISTORY) ---
 def b6_big_send(sqs, url):
    t0 = time.time()
    try:
        sqs.send_message(QueueUrl=url, MessageBody="x" * (32 * 1024))
        record("B6_send_32kb", {"ok": True, "t_s": round(time.time() - t0, 3)})
    except Exception as e:
        record("B6_send_32kb", {"ok": False, "err": type(e).__name__ + ": " + str(e)[:80], "t_s": round(time.time() - t0, 3)})
 # --- B8: Receive 10 x 32KB ---
 def b8_big_receive(sqs, url):
    for _ in range(10):
        sqs.send_message(QueueUrl=url, MessageBody="y" * (32 * 1024))
    t0 = time.time()
    try:
        r = sqs.receive_message(QueueUrl=url, MaxNumberOfMessages=10, WaitTimeSeconds=1)
        msgs = r.get("Messages", [])
        total = sum(len(m["Body"]) for m in msgs)
        record("B8_receive_10x32kb", {"ok": True, "msgs": len(msgs), "bytes": total, "t_s": round(time.time() - t0, 3)})
        for m in msgs:
            try:
                sqs.delete_message(QueueUrl=url, ReceiptHandle=m["ReceiptHandle"])
            except Exception:
                pass
    except Exception as e:
        record("B8_receive_10x32kb", {"ok": False, "err": type(e).__name__ + ": " + str(e)[:80], "t_s": round(time.time() - t0, 3)})
 # --- B9: long-poll 20s — фактическая длительность ---
 def b9_longpoll(sqs, url):
    t0 = time.time()
    try:
        sqs.receive_message(QueueUrl=url, MaxNumberOfMessages=1, WaitTimeSeconds=20)
        record("B9_longpoll_20s", {"ok": True, "t_s": round(time.time() - t0, 2)})
    except Exception as e:
        record("B9_longpoll_20s", {"ok": False, "err": type(e).__name__ + ": " + str(e)[:80], "t_s": round(time.time() - t0, 2)})
 # --- B7: chunked-тело ---
 def b7_chunked():
    try:
        ctx = ssl.create_default_context()
        raw = ctx.wrap_socket(socket.create_connection((HOST, PORT), timeout=15),
                              server_hostname=HOST)
        raw.sendall(b"POST /health HTTP/1.1\r\nHost: %s\r\nTransfer-Encoding: chunked\r\nConnection: close\r\n\r\n" % HOST.encode())
        raw.sendall(b"5\r\nhello\r\n")
        raw.sendall(b"5\r\nworld\r\n")
        raw.sendall(b"0\r\n\r\n")
        resp = raw.recv(4096)
        raw.close()
        record("B7_chunked", resp.split(b"\r\n", 1)[0].decode("latin1", "replace") if resp else "(no response)")
    except Exception as e:
        record("B7_chunked", type(e).__name__ + ": " + str(e)[:80])
 def main():
    sqs = boto3.client("sqs", endpoint_url=ENDPOINT, region_name=REGION,
                       config=Config(connect_timeout=10, read_timeout=30, retries={"max_attempts": 1}))
    q = "platprobe-%s" % int(time.time())
    url = sqs.create_queue(QueueName=q)["QueueUrl"]
    print("queue: %s" % url, flush=True)
    try:
        a1_burst()
        a2_big_headers()
        a3_slow_body()
        a4_keepalive()
        a5_variants()
        b6_big_send(sqs, url)
        b7_chunked()
        b8_big_receive(sqs, url)
        b9_longpoll(sqs, url)
    finally:
        try:
            sqs.delete_queue(QueueUrl=url)
        except Exception:
            pass
    print("MODE=%s ENDPOINT=%s" % (MODE, ENDPOINT), flush=True)
    print("SUMMARY: %s" % json.dumps(results, ensure_ascii=False), flush=True)
 if __name__ == "__main__":
    sys.exit(main())
@@ -1,267 +0,0 @@
 #!/bin/bash
 # tests/quick_test.sh — Быстрая проверка shared-sqs (smoke test)
 # Created: 2026-04-09
 # Updated: 2026-04-11 — полная поддержка JWT (nubes api_token), все 17 SQS команд,
 #                        TagQueue/UntagQueue/ListQueueTags/ChangeMessageVisibilityBatch,
 #                        UI API с авторизацией через Bearer JWT.
 # Покрывает: health, admin CRUD, все SQS команды, UI API с JWT.
 # Требования: curl, aws CLI, python3
 # Запуск:
 #   bash tests/quick_test.sh
 #   BASE_URL=https://qu.kube5s.ru ADMIN_TOKEN=... NUBES_JWT=... bash tests/quick_test.sh
 set -uo pipefail
 BASE_URL="${BASE_URL:-https://qu.kube5s.ru}"
 ADMIN_TOKEN="${ADMIN_TOKEN:-sqs-admin-7a7d8bd0c060a75c198d48680f34077a}"
 NUBES_JWT="${NUBES_JWT:-eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9.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.hzpIIqNWkKIoYUXDaLY7DLyGKH70rz0ZTqanv19qxF10i3N1t1g_KknA4Qsw1MduTyLzIz7y5SRSr4PSQ1gzR0vB_C0GudSFUhyBNNKkS4ClhRDWW9eN_IIEljbiJMLQi2L07XJ7Y5DQ0sIHRAPLkreCDFMKQ0yTCrKoScCJIDuUqzaTcOaX-hfjaxW8iV0SZMDxl0C5O3tke0btxkaLBaAcWH0V-1yu2r2m29fyU33FqikF0xAcDXiuZphfsrShKQYArZjKAphYCP_Vpmr-1sdjinkn8sPSk1qZny0rka8G6WVZUGaZSOnW8SYNLVUwdqtuQmK-Y18o7U0Suzrsjg}"
 REGION="us-east-1"
 TS=$(date +%s)
 PASS=0
 FAIL=0
 ok()   { echo "  ✅ $1"; PASS=$((PASS+1)); }
 fail() { echo "  ❌ $1"; FAIL=$((FAIL+1)); }
 check() {
    local label="$1" body="$2" pattern="$3"
    if echo "$body" | grep -qE "$pattern"; then ok "$label"; else fail "$label: $(echo "$body" | head -3)"; fi
 }
 check_not() {
    local label="$1" body="$2" pattern="$3"
    if echo "$body" | grep -qE "$pattern"; then fail "$label"; else ok "$label"; fi
 }
 check_http() {
    local label="$1" want="$2" got="$3"
    if [[ "$got" == "$want" ]]; then ok "$label (HTTP $got)"; else fail "$label — ожидалось $want, получено $got"; fi
 }
 # sqs — AWS CLI враппер
 sqs() {
    local ak="$1" sk="$2"; shift 2
    AWS_ACCESS_KEY_ID="$ak" AWS_SECRET_ACCESS_KEY="$sk" AWS_DEFAULT_REGION="$REGION" \
        aws --endpoint-url "$BASE_URL" --output json sqs "$@" 2>&1
 }
 # admin — Admin API запрос с Bearer admin token
 admin() {
    local method="$1" path="$2" body="${3:-}"
    if [[ -n "$body" ]]; then
        curl -sf --max-time 15 -X "$method" \
            -H "Authorization: Bearer $ADMIN_TOKEN" \
            -H "Content-Type: application/json" \
            -d "$body" "${BASE_URL}${path}" 2>&1
    else
        curl -sf --max-time 15 -X "$method" \
            -H "Authorization: Bearer $ADMIN_TOKEN" \
            "${BASE_URL}${path}" 2>&1
    fi
 }
 # ui — UI API запрос с Bearer JWT (nubes токен)
 ui() {
    local method="$1" path="$2" body="${3:-}"
    if [[ -n "$body" ]]; then
        curl -sf --max-time 15 -X "$method" \
            -H "Authorization: Bearer $NUBES_JWT" \
            -H "Content-Type: application/json" \
            -d "$body" "${BASE_URL}/ui/api${path}" 2>&1
    else
        curl -sf --max-time 15 -X "$method" \
            -H "Authorization: Bearer $NUBES_JWT" \
            "${BASE_URL}/ui/api${path}" 2>&1
    fi
 }
 echo "════════════════════════════════════════"
 echo "  shared-sqs Quick Test"
 echo "  Endpoint: $BASE_URL"
 echo "════════════════════════════════════════"
 echo ""
 # ── 1. Health ──
 echo "── 1. Health ──"
 R=$(curl -sf --max-time 10 "${BASE_URL}/health" 2>&1)
 check "GET /health → ok" "$R" "[Oo][Kk]|status"
 echo ""
 # ── 2. UI API авторизация (JWT auth) ──
 echo "── 2. UI API авторизация ──"
 R=$(curl -sf --max-time 15 -X POST \
    -H "Content-Type: application/json" \
    -d "{\"token\":\"$NUBES_JWT\"}" \
    "${BASE_URL}/ui/api/auth" 2>&1)
 check "POST /ui/api/auth → tenant_id" "$R" "tenant_id"
 UI_TID=$(echo "$R" | python3 -c "import sys,json; print(json.load(sys.stdin).get('tenant_id',''))" 2>/dev/null || true)
 echo "    UI Tenant ID: $UI_TID"
 echo ""
 # ── 3. Создание тенанта через Admin API ──
 echo "── 3. Admin API — создание тенанта ──"
 RESP=$(admin POST /admin/tenants '{"name":"quick-'"$TS"'","max_queues":10}')
 check "POST /admin/tenants → access_key" "$RESP" "access_key"
 AK=$(echo "$RESP" | python3 -c "import sys,json; print(json.load(sys.stdin)['access_key'])")
 SK=$(echo "$RESP" | python3 -c "import sys,json; print(json.load(sys.stdin)['secret_key'])")
 TID=$(echo "$RESP" | python3 -c "import sys,json; print(json.load(sys.stdin)['id'])")
 echo "    Tenant ID:  $TID"
 echo "    Access Key: $AK"
 echo ""
 QNAME="quick-q-$TS"
 QURL="${BASE_URL}/${TID}/${QNAME}"
 # ── 4. SQS Queue CRUD ──
 echo "── 4. SQS Queue CRUD ──"
 R=$(sqs "$AK" "$SK" create-queue --queue-name "$QNAME")
 check "CreateQueue → QueueUrl" "$R" "QueueUrl"
 R=$(sqs "$AK" "$SK" list-queues)
 check "ListQueues → очередь в списке" "$R" "$QNAME"
 R=$(sqs "$AK" "$SK" get-queue-url --queue-name "$QNAME")
 check "GetQueueUrl → QueueUrl" "$R" "QueueUrl"
 R=$(sqs "$AK" "$SK" get-queue-attributes --queue-url "$QURL" --attribute-names All)
 check "GetQueueAttributes → VisibilityTimeout" "$R" "VisibilityTimeout"
 R=$(sqs "$AK" "$SK" set-queue-attributes --queue-url "$QURL" --attributes '{"VisibilityTimeout":"60"}' 2>&1 && echo "OK" || echo "FAIL")
 check "SetQueueAttributes → OK" "$R" "OK"
 echo ""
 # ── 5. TagQueue / UntagQueue / ListQueueTags ──
 echo "── 5. Tags API ──"
 R=$(sqs "$AK" "$SK" tag-queue --queue-url "$QURL" --tags env=test,owner=qa 2>&1 && echo "OK" || echo "FAIL")
 check "TagQueue → OK" "$R" "OK"
 R=$(sqs "$AK" "$SK" list-queue-tags --queue-url "$QURL")
 check "ListQueueTags → env=test" "$R" "env|test"
 R=$(sqs "$AK" "$SK" untag-queue --queue-url "$QURL" --tag-keys env 2>&1 && echo "OK" || echo "FAIL")
 check "UntagQueue → OK" "$R" "OK"
 R=$(sqs "$AK" "$SK" list-queue-tags --queue-url "$QURL")
 check_not "ListQueueTags → env удалён" "$R" '"env"'
 echo ""
 # ── 6. Сообщения: Send / Receive / Delete ──
 echo "── 6. Send / Receive / Delete ──"
 R=$(sqs "$AK" "$SK" send-message --queue-url "$QURL" --message-body "hello-$TS")
 check "SendMessage → MessageId" "$R" "MessageId"
 check "SendMessage → MD5" "$R" "MD5OfMessageBody"
 R=$(sqs "$AK" "$SK" receive-message --queue-url "$QURL" --visibility-timeout 30)
 check "ReceiveMessage → тело" "$R" "hello-$TS"
 RECEIPT=$(echo "$R" | python3 -c "import sys,json; msgs=json.load(sys.stdin).get('Messages',[]); print(msgs[0]['ReceiptHandle'] if msgs else '')" 2>/dev/null || true)
 if [[ -n "$RECEIPT" ]]; then
    R=$(sqs "$AK" "$SK" change-message-visibility --queue-url "$QURL" --receipt-handle "$RECEIPT" --visibility-timeout 60 2>&1 && echo "OK" || echo "FAIL")
    check "ChangeMessageVisibility → OK" "$R" "OK"
    sqs "$AK" "$SK" delete-message --queue-url "$QURL" --receipt-handle "$RECEIPT" >/dev/null 2>&1
    ok "DeleteMessage → без ошибок"
 else
    fail "ReceiptHandle не получен"
 fi
 echo ""
 # ── 7. Batch операции ──
 echo "── 7. Batch ──"
 R=$(sqs "$AK" "$SK" send-message-batch --queue-url "$QURL" \
    --entries '[{"Id":"b1","MessageBody":"batch-1"},{"Id":"b2","MessageBody":"batch-2"},{"Id":"b3","MessageBody":"batch-3"}]')
 check "SendMessageBatch → Successful" "$R" "Successful"
 R=$(sqs "$AK" "$SK" receive-message --queue-url "$QURL" --max-number-of-messages 3)
 RECEIPTS=$(echo "$R" | python3 -c "import sys,json; msgs=json.load(sys.stdin).get('Messages',[]); print('\n'.join(m['ReceiptHandle'] for m in msgs))" 2>/dev/null || true)
 # ChangeMessageVisibilityBatch
 if [[ -n "$RECEIPTS" ]]; then
    CMV_ENTRIES=$(echo "$RECEIPTS" | python3 -c "
 import sys
 entries = []
 for i, rh in enumerate(sys.stdin.read().strip().split('\n'), 1):
    if rh:
        entries.append('{\"Id\":\"cmv%d\",\"ReceiptHandle\":\"%s\",\"VisibilityTimeout\":60}' % (i, rh))
 print('[' + ','.join(entries) + ']')
 " 2>/dev/null || echo "[]")
    if [[ "$CMV_ENTRIES" != "[]" ]]; then
        R=$(sqs "$AK" "$SK" change-message-visibility-batch --queue-url "$QURL" --entries "$CMV_ENTRIES")
        check "ChangeMessageVisibilityBatch → Successful" "$R" "Successful"
    fi
    DEL_ENTRIES=$(echo "$RECEIPTS" | python3 -c "
 import sys
 entries = []
 for i, rh in enumerate(sys.stdin.read().strip().split('\n'), 1):
    if rh:
        entries.append('{\"Id\":\"d%d\",\"ReceiptHandle\":\"%s\"}' % (i, rh))
 print('[' + ','.join(entries) + ']')
 " 2>/dev/null || echo "[]")
    if [[ "$DEL_ENTRIES" != "[]" ]]; then
        R=$(sqs "$AK" "$SK" delete-message-batch --queue-url "$QURL" --entries "$DEL_ENTRIES")
        check "DeleteMessageBatch → Successful" "$R" "Successful"
    fi
 fi
 echo ""
 # ── 8. PurgeQueue ──
 echo "── 8. PurgeQueue ──"
 sqs "$AK" "$SK" send-message --queue-url "$QURL" --message-body "purge-me" >/dev/null 2>&1 || true
 R=$(sqs "$AK" "$SK" purge-queue --queue-url "$QURL" 2>&1 && echo "OK" || echo "FAIL")
 check "PurgeQueue → OK" "$R" "OK"
 echo ""
 # ── 9. UI API с JWT ──
 echo "── 9. UI API с JWT ──"
 R=$(ui GET /health)
 check "GET /ui/api/health → ok" "$R" "ok|status"
 if [[ -n "$UI_TID" ]]; then
    R=$(ui GET "/tenants/${UI_TID}/queues")
    check "UI GET /tenants/{id}/queues → ответ" "$R" "\[|\]|name|queues"
    R=$(ui POST "/tenants/${UI_TID}/queues" '{"name":"ui-q-'"$TS"'"}')
    check "UI POST /queues → создана" "$R" "ui-q-$TS|name"
    R=$(ui POST "/tenants/${UI_TID}/queues/ui-q-${TS}/messages" '{"body":"ui-msg-'"$TS"'"}')
    check "UI POST /messages → id" "$R" '"id"'
    R=$(ui GET "/tenants/${UI_TID}/queues/ui-q-${TS}/messages")
    check "UI GET /messages → тело" "$R" "ui-msg-$TS"
    check_not "UI GET /messages → нет receipt_handle" "$R" "receipt_handle"
    R=$(ui DELETE "/tenants/${UI_TID}/queues/ui-q-${TS}/messages" "")
    check_not "UI DELETE /messages (purge) → сообщение исчезло" \
        "$(ui GET "/tenants/${UI_TID}/queues/ui-q-${TS}/messages")" "ui-msg-$TS"
    HTTP=$(curl -sf --max-time 15 -o /dev/null -w "%{http_code}" -X DELETE \
        -H "Authorization: Bearer $NUBES_JWT" \
        "${BASE_URL}/ui/api/tenants/${UI_TID}/queues/ui-q-${TS}")
    if [[ "$HTTP" == "204" || "$HTTP" == "200" ]]; then
        ok "UI DELETE /queues/ui-q → HTTP $HTTP"
    else
        fail "UI DELETE /queues/ui-q → HTTP $HTTP (ожидалось 200/204)"
    fi
 else
    fail "UI API: JWT auth не дал tenant_id — пропускаем UI тесты"
 fi
 echo ""
 # ── 10. DeleteQueue ──
 echo "── 10. DeleteQueue ──"
 R=$(sqs "$AK" "$SK" delete-queue --queue-url "$QURL" 2>&1 && echo "OK" || echo "FAIL")
 check "DeleteQueue → OK" "$R" "OK"
 echo ""
 # ── Cleanup ──
 echo "── Cleanup ──"
 admin DELETE "/admin/tenants/$TID" >/dev/null 2>&1 && ok "DELETE тенанта" || fail "DELETE тенанта"
 echo ""
 echo "════════════════════════════════════════"
 printf "  Результат: ✅ %d  ❌ %d\n" "$PASS" "$FAIL"
 echo "════════════════════════════════════════"
 [[ $FAIL -eq 0 ]] && exit 0 || exit 1
@@ -0,0 +1,163 @@
 #!/usr/bin/env python3
 """tests/sdk_test.py — программная проверка SQS API через boto3 (как реальное приложение).
 Использование:
  AWS_ACCESS_KEY_ID=... AWS_SECRET_ACCESS_KEY=... \
  ENDPOINT_URL=https://sqs.containerk8s.dev.nubes.ru python3 tests/sdk_test.py
 """
 import os
 import sys
 import time
 import boto3
 from botocore.config import Config
 ENDPOINT = os.environ.get("ENDPOINT_URL", "https://sqs.containerk8s.dev.nubes.ru")
 REGION = os.environ.get("REGION", "us-east-1")
 PASS = 0
 FAIL = 0
 def ok(name):
    global PASS
    PASS += 1
    print(f"  OK   {name}")
 def bad(name, err=""):
    global FAIL
    FAIL += 1
    print(f"  FAIL {name} {err}")
 def main():
    if not os.environ.get("AWS_ACCESS_KEY_ID") or not os.environ.get("AWS_SECRET_ACCESS_KEY"):
        print("Нужны AWS_ACCESS_KEY_ID и AWS_SECRET_ACCESS_KEY")
        return 1
    # Таймауты на уровне SDK: запросы не зависают.
    cfg = Config(connect_timeout=10, read_timeout=20, retries={"max_attempts": 2})
    sqs = boto3.client("sqs", endpoint_url=ENDPOINT, region_name=REGION, config=cfg)
    q = f"sdk-test-{int(time.time())}"
    qf = q + ".fifo"
    def step(name, fn):
        try:
            fn()
            ok(name)
        except Exception as e:
            bad(name, f"— {type(e).__name__}: {e}")
    url = {}
    def list_queues():
        resp = sqs.list_queues()
        assert isinstance(resp.get("QueueUrls"), list)
    def create_queue():
        url["u"] = sqs.create_queue(QueueName=q)["QueueUrl"]
    def get_queue_url():
        assert sqs.get_queue_url(QueueName=q)["QueueUrl"] == url["u"]
    def get_queue_attributes():
        attrs = sqs.get_queue_attributes(QueueUrl=url["u"], AttributeNames=["All"])["Attributes"]
        assert "VisibilityTimeout" in attrs
    def set_queue_attributes():
        sqs.set_queue_attributes(QueueUrl=url["u"], Attributes={"VisibilityTimeout": "42"})
        vt = sqs.get_queue_attributes(QueueUrl=url["u"], AttributeNames=["VisibilityTimeout"])["Attributes"]["VisibilityTimeout"]
        assert vt == "42", f"VisibilityTimeout={vt}"
    def send_message():
        sqs.send_message(QueueUrl=url["u"], MessageBody="sdk-single")
    def send_message_batch():
        resp = sqs.send_message_batch(
            QueueUrl=url["u"],
            Entries=[{"Id": "1", "MessageBody": "sdk-batch-1"}, {"Id": "2", "MessageBody": "sdk-batch-2"}],
        )
        assert len(resp["Successful"]) == 2
    received = {}
    def receive_messages():
        msgs = None
        for _ in range(5):
            msgs = sqs.receive_message(QueueUrl=url["u"], MaxNumberOfMessages=10).get("Messages", [])
            if msgs:
                break
            time.sleep(1)
        assert len(msgs) == 3, f"получено {len(msgs)}"
        received["m"] = msgs
    def change_visibility():
        sqs.change_message_visibility(
            QueueUrl=url["u"], ReceiptHandle=received["m"][0]["ReceiptHandle"], VisibilityTimeout=1
        )
    def delete_message():
        sqs.delete_message(QueueUrl=url["u"], ReceiptHandle=received["m"][0]["ReceiptHandle"])
    def delete_message_batch():
        resp = sqs.delete_message_batch(
            QueueUrl=url["u"],
            Entries=[
                {"Id": "1", "ReceiptHandle": received["m"][1]["ReceiptHandle"]},
                {"Id": "2", "ReceiptHandle": received["m"][2]["ReceiptHandle"]},
            ],
        )
        assert len(resp["Successful"]) == 2
    def tag_queue():
        sqs.tag_queue(QueueUrl=url["u"], Tags={"env": "sdk", "owner": "test"})
        tags = sqs.list_queue_tags(QueueUrl=url["u"]).get("Tags", {})
        assert tags.get("env") == "sdk"
        sqs.untag_queue(QueueUrl=url["u"], TagKeys=["env", "owner"])
    def purge_queue():
        sqs.purge_queue(QueueUrl=url["u"])
    def delete_queue():
        sqs.delete_queue(QueueUrl=url["u"])
    def fifo_cycle():
        furl = sqs.create_queue(QueueName=qf, Attributes={"FifoQueue": "true"})["QueueUrl"]
        try:
            sqs.send_message(
                QueueUrl=furl, MessageBody="sdk-fifo",
                MessageGroupId="g1", MessageDeduplicationId="d1",
            )
            msgs = sqs.receive_message(QueueUrl=furl, MaxNumberOfMessages=1).get("Messages", [])
            assert msgs and msgs[0]["Body"] == "sdk-fifo"
            sqs.delete_message(QueueUrl=furl, ReceiptHandle=msgs[0]["ReceiptHandle"])
        finally:
            sqs.delete_queue(QueueUrl=furl)
    print("== Стандартная очередь ==")
    step("list_queues", list_queues)
    step("create_queue", create_queue)
    step("get_queue_url", get_queue_url)
    step("get_queue_attributes", get_queue_attributes)
    step("set_queue_attributes", set_queue_attributes)
    step("send_message", send_message)
    step("send_message_batch", send_message_batch)
    step("receive_message (3)", receive_messages)
    step("change_message_visibility", change_visibility)
    step("delete_message", delete_message)
    step("delete_message_batch", delete_message_batch)
    step("tag/list/untag", tag_queue)
    step("purge_queue", purge_queue)
    step("delete_queue", delete_queue)
    print("== FIFO-очередь ==")
    step("fifo: create/send/receive/delete", fifo_cycle)
    print(f"\nИтог: PASS={PASS} FAIL={FAIL}")
    return 1 if FAIL else 0
 if __name__ == "__main__":
    sys.exit(main())
@@ -1,211 +0,0 @@
 #!/usr/bin/env bash
 # tests/shared_sqs_test.sh
 # Интеграционные тесты shared-sqs: Admin API, изоляция тенантов, CRUD, лимиты
 # Created: 2026-04-09
 set -euo pipefail
 BASE_URL="${BASE_URL:-http://localhost:4100}"
 ADMIN_TOKEN="${ADMIN_TOKEN:-dev-token-123}"
 PASS=0
 FAIL=0
 pass() { echo "  [PASS] $1"; PASS=$((PASS+1)); }
 fail() { echo "  [FAIL] $1"; FAIL=$((FAIL+1)); }
 check_status() {
  local label="$1" expected="$2" actual="$3"
  if [[ "$actual" == "$expected" ]]; then
    pass "$label (HTTP $actual)"
  else
    fail "$label -- expected HTTP $expected, got $actual"
  fi
 }
 check_contains() {
  local label="$1" pattern="$2" body="$3"
  if echo "$body" | grep -q "$pattern"; then
    pass "$label"
  else
    fail "$label -- pattern '$pattern' not found in: $body"
  fi
 }
 check_not_contains() {
  local label="$1" pattern="$2" body="$3"
  if ! echo "$body" | grep -q "$pattern"; then
    pass "$label"
  else
    fail "$label -- pattern '$pattern' FOUND but should be absent"
  fi
 }
 sqs_req() {
  local access_key="$1" secret_key="$2" action="$3"
  shift 3
  AWS_ACCESS_KEY_ID="$access_key" \
  AWS_SECRET_ACCESS_KEY="$secret_key" \
  AWS_DEFAULT_REGION="us-east-1" \
  aws --endpoint-url "$BASE_URL" --output json sqs "$action" "$@" 2>&1
 }
 sqs_req_status() {
  local access_key="$1" secret_key="$2" action="$3"
  shift 3
  AWS_ACCESS_KEY_ID="$access_key" \
  AWS_SECRET_ACCESS_KEY="$secret_key" \
  AWS_DEFAULT_REGION="us-east-1" \
  aws --endpoint-url "$BASE_URL" --output json sqs "$action" "$@" > /dev/null 2>&1
  echo $?
 }
 echo "========================================"
 echo "  shared-sqs integration tests"
 echo "  BASE_URL=$BASE_URL"
 echo "========================================"
 echo ""
 echo "--- 1. Health check ---"
 STATUS=$(curl -s -o /dev/null -w "%{http_code}" "$BASE_URL/health")
 check_status "GET /health" "200" "$STATUS"
 echo ""
 echo "--- 2. Admin API -- без токена ---"
 STATUS=$(curl -s -o /dev/null -w "%{http_code}" -X GET "$BASE_URL/admin/tenants")
 check_status "GET /admin/tenants без токена -> 401" "401" "$STATUS"
 STATUS=$(curl -s -o /dev/null -w "%{http_code}" -X POST "$BASE_URL/admin/tenants" \
  -H "Content-Type: application/json" -d '{"name":"test"}')
 check_status "POST /admin/tenants без токена -> 401" "401" "$STATUS"
 echo ""
 echo "--- 3. Admin API -- создание тенантов ---"
 RESP_A=$(curl -s -X POST "$BASE_URL/admin/tenants" \
  -H "Authorization: Bearer $ADMIN_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"name":"tenant-a","max_queues":10}')
 check_contains "Создать tenant-a -- access_key" "access_key" "$RESP_A"
 check_contains "Создать tenant-a -- secret_key" "secret_key" "$RESP_A"
 check_contains "Создать tenant-a -- id" "\"id\"" "$RESP_A"
 ACCESS_A=$(echo "$RESP_A" | python3 -c "import sys,json; d=json.load(sys.stdin); print(d['access_key'])")
 SECRET_A=$(echo "$RESP_A" | python3 -c "import sys,json; d=json.load(sys.stdin); print(d['secret_key'])")
 ID_A=$(echo "$RESP_A" | python3 -c "import sys,json; d=json.load(sys.stdin); print(d['id'])")
 RESP_B=$(curl -s -X POST "$BASE_URL/admin/tenants" \
  -H "Authorization: Bearer $ADMIN_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"name":"tenant-b","max_queues":10}')
 check_contains "Создать tenant-b -- access_key" "access_key" "$RESP_B"
 ACCESS_B=$(echo "$RESP_B" | python3 -c "import sys,json; d=json.load(sys.stdin); print(d['access_key'])")
 SECRET_B=$(echo "$RESP_B" | python3 -c "import sys,json; d=json.load(sys.stdin); print(d['secret_key'])")
 ID_B=$(echo "$RESP_B" | python3 -c "import sys,json; d=json.load(sys.stdin); print(d['id'])")
 echo ""
 echo "--- 4. Admin API -- list/get ---"
 LIST=$(curl -s "$BASE_URL/admin/tenants" -H "Authorization: Bearer $ADMIN_TOKEN")
 check_contains "GET /admin/tenants -- tenant-a" "tenant-a" "$LIST"
 check_contains "GET /admin/tenants -- tenant-b" "tenant-b" "$LIST"
 check_not_contains "GET /admin/tenants -- НЕТ secret_key" "secret_key" "$LIST"
 GET_A=$(curl -s "$BASE_URL/admin/tenants/$ID_A" -H "Authorization: Bearer $ADMIN_TOKEN")
 check_contains "GET /admin/tenants/{id} -- tenant-a" "tenant-a" "$GET_A"
 check_not_contains "GET /admin/tenants/{id} -- нет secret_key" "secret_key" "$GET_A"
 STATUS404=$(curl -s -o /dev/null -w "%{http_code}" "$BASE_URL/admin/tenants/no-such-id" \
  -H "Authorization: Bearer $ADMIN_TOKEN")
 check_status "GET несуществующего тенанта -> 404" "404" "$STATUS404"
 echo ""
 echo "--- 5. CRUD flow (tenant-a) ---"
 QUEUE_URL_A=$(sqs_req "$ACCESS_A" "$SECRET_A" create-queue --queue-name my-queue \
  | python3 -c "import sys,json; print(json.load(sys.stdin)['QueueUrl'])")
 check_contains "CreateQueue -> QueueUrl содержит my-queue" "my-queue" "$QUEUE_URL_A"
 check_contains "CreateQueue -> QueueUrl содержит ID тенанта" "$ID_A" "$QUEUE_URL_A"
 MSG_ID=$(sqs_req "$ACCESS_A" "$SECRET_A" send-message \
  --queue-url "$QUEUE_URL_A" --message-body "hello-world" \
  | python3 -c "import sys,json; print(json.load(sys.stdin)['MessageId'])")
 check_contains "SendMessage -> MessageId" "-" "$MSG_ID"
 RECV=$(sqs_req "$ACCESS_A" "$SECRET_A" receive-message --queue-url "$QUEUE_URL_A")
 check_contains "ReceiveMessage -> тело hello-world" "hello-world" "$RECV"
 RECEIPT=$(echo "$RECV" | python3 -c "import sys,json; msgs=json.load(sys.stdin).get('Messages',[]); print(msgs[0]['ReceiptHandle'] if msgs else '')")
 if [[ -n "$RECEIPT" ]]; then
  sqs_req "$ACCESS_A" "$SECRET_A" delete-message \
    --queue-url "$QUEUE_URL_A" --receipt-handle "$RECEIPT" > /dev/null 2>&1
  pass "DeleteMessage -- без ошибок"
 else
  fail "DeleteMessage -- нет ReceiptHandle"
 fi
 echo ""
 echo "--- 6. Изоляция тенантов ---"
 QUEUE_URL_B=$(sqs_req "$ACCESS_B" "$SECRET_B" create-queue --queue-name my-queue \
  | python3 -c "import sys,json; print(json.load(sys.stdin)['QueueUrl'])")
 check_contains "tenant-B CreateQueue my-queue -> ID tenant-B в URL" "$ID_B" "$QUEUE_URL_B"
 sqs_req "$ACCESS_A" "$SECRET_A" send-message \
  --queue-url "$QUEUE_URL_A" --message-body "msg-for-A" > /dev/null 2>&1
 RECV_B=$(sqs_req "$ACCESS_B" "$SECRET_B" receive-message --queue-url "$QUEUE_URL_B" 2>&1 || true)
 check_not_contains "Изоляция: tenant-B НЕ получает msg-for-A" "msg-for-A" "$RECV_B"
 LIST_B=$(sqs_req "$ACCESS_B" "$SECRET_B" list-queues 2>&1 || true)
 check_not_contains "ListQueues tenant-B -- нет ID tenant-A" "$ID_A" "$LIST_B"
 LIST_A=$(sqs_req "$ACCESS_A" "$SECRET_A" list-queues 2>&1 || true)
 check_not_contains "ListQueues tenant-A -- нет ID tenant-B" "$ID_B" "$LIST_A"
 echo ""
 echo "--- 7. SQS с невалидным ключом -> ошибка ---"
 EXIT_FAKE=$(sqs_req_status "FAKE-KEY-0000000000" "fakesecret0000" list-queues)
 if [[ "$EXIT_FAKE" != "0" ]]; then
  pass "Невалидный access_key -> ошибка auth"
 else
  fail "Невалидный access_key -> ожидалась ошибка, получен 200"
 fi
 echo ""
 echo "--- 8. Лимит очередей (max_queues=2) ---"
 RESP_LIM=$(curl -s -X POST "$BASE_URL/admin/tenants" \
  -H "Authorization: Bearer $ADMIN_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"name":"limited","max_queues":2}')
 ACCESS_LIM=$(echo "$RESP_LIM" | python3 -c "import sys,json; print(json.load(sys.stdin)['access_key'])")
 SECRET_LIM=$(echo "$RESP_LIM" | python3 -c "import sys,json; print(json.load(sys.stdin)['secret_key'])")
 sqs_req "$ACCESS_LIM" "$SECRET_LIM" create-queue --queue-name q1 > /dev/null 2>&1
 pass "Очередь 1 из 2 -- создана"
 sqs_req "$ACCESS_LIM" "$SECRET_LIM" create-queue --queue-name q2 > /dev/null 2>&1
 pass "Очередь 2 из 2 -- создана"
 EXIT3=$(sqs_req_status "$ACCESS_LIM" "$SECRET_LIM" create-queue --queue-name q3)
 if [[ "$EXIT3" != "0" ]]; then
  pass "Очередь 3 при max_queues=2 -> лимит (ошибка)"
 else
  fail "Очередь 3 при max_queues=2 -> ожидалась ошибка, создалась!"
 fi
 echo ""
 echo "--- 9. DELETE tenant -> очереди удалены ---"
 STATUS_DEL=$(curl -s -o /dev/null -w "%{http_code}" -X DELETE \
  "$BASE_URL/admin/tenants/$ID_B" \
  -H "Authorization: Bearer $ADMIN_TOKEN")
 check_status "DELETE tenant-b -> 204" "204" "$STATUS_DEL"
 EXIT_AFTER=$(sqs_req_status "$ACCESS_B" "$SECRET_B" list-queues)
 if [[ "$EXIT_AFTER" != "0" ]]; then
  pass "После DELETE tenant -- его ключи -> ошибка auth"
 else
  fail "После DELETE tenant -- его ключи вернули 200"
 fi
 echo ""
 echo "========================================"
 echo "  Результат: PASS=$PASS  FAIL=$FAIL"
 echo "========================================"
 [[ $FAIL -eq 0 ]] && exit 0 || exit 1
@@ -0,0 +1,118 @@
 #!/usr/bin/env bash
 # tests/smoke.sh — предварительные smoke-тесты работоспособности shared-sqs.
 # Быстрая проверка: HTTP-эндпоинты, UI-аутентификация, полный цикл SQS API.
 # Позже будет заменён/дополнен полным набором тестов.
 #
 # Использование:
 #   ENDPOINT=https://sqs.containerk8s.dev.nubes.ru \
 #   TOKEN='<API-токен Nubes>' \
 #   AWS_ACCESS_KEY_ID=... AWS_SECRET_ACCESS_KEY=... \
 #   ./tests/smoke.sh
 #
 # TOKEN и AWS-ключи необязательны — соответствующие секции будут пропущены.
 set -u
 ENDPOINT="${ENDPOINT:-https://sqs.containerk8s.dev.nubes.ru}"
 REGION="${REGION:-us-east-1}"
 UA="Mozilla/5.0"
 PASS=0
 FAIL=0
 ok()  { PASS=$((PASS+1)); echo "  ✅ $1"; }
 bad() { FAIL=$((FAIL+1)); echo "  ❌ $1"; }
 # check <имя> <url> <ожидаемая подстрока>
 check() {
  local name="$1" url="$2" expect="$3" body
  body=$(curl --max-time 15 -s -H "User-Agent: $UA" "$url") || { bad "$name: ошибка curl"; return; }
  if echo "$body" | grep -qF "$expect"; then ok "$name"; else bad "$name (ожидали '$expect')"; fi
 }
 # check_range <имя> <url> <диапазон> <ожидаемая подстрока>
 # Для /ui: платформенный ingress не закрывает соединение на этом пути,
 # поэтому полное чтение тела висит (~150с). Range-запрос завершается сразу.
 check_range() {
  local name="$1" url="$2" range="$3" expect="$4" body
  body=$(curl --max-time 15 -s -r "$range" -H "User-Agent: $UA" "$url") || { bad "$name: ошибка curl"; return; }
  if echo "$body" | grep -qF "$expect"; then ok "$name"; else bad "$name (ожидали '$expect')"; fi
 }
 echo "== HTTP-эндпоинты =="
 check "GET /health"          "$ENDPOINT/health"          '"status":"ok"'
 check "GET / (главная)"      "$ENDPOINT/"                "Порядок действий"
 check "GET /examples"        "$ENDPOINT/examples"        "Все команды SQS API"
 check "GET /admin"           "$ENDPOINT/admin"           "SQS Admin"
 check_range "GET /ui"        "$ENDPOINT/ui"              "0-500" "SQS Console"
 check "GET /static/logo.svg" "$ENDPOINT/static/logo.svg" "<svg"
 echo "== UI-аутентификация (нужен TOKEN) =="
 if [[ -n "${TOKEN:-}" ]]; then
  AUTH_BODY=$(curl --max-time 30 -s -X POST "$ENDPOINT/ui/api/auth" \
    -H "User-Agent: $UA" -H "Content-Type: application/json" \
    -d "{\"token\":\"$TOKEN\"}")
  if echo "$AUTH_BODY" | grep -qF '"token"'; then
    ok "POST /ui/api/auth"
    if echo "$AUTH_BODY" | grep -qF '"secret_key"'; then
      bad "auth-ответ содержит secret_key (утечка!)"
    else
      ok "auth-ответ БЕЗ secret_key"
    fi
    CREDS=$(curl --max-time 30 -s "$ENDPOINT/ui/api/credentials" \
      -H "User-Agent: $UA" -H "Authorization: Bearer $TOKEN")
    if echo "$CREDS" | grep -qF '"access_key"' && echo "$CREDS" | grep -qF '"secret_key"'; then
      ok "GET /ui/api/credentials"
    else
      bad "GET /ui/api/credentials"
    fi
  else
    bad "POST /ui/api/auth: $AUTH_BODY"
    echo "  (логин валидируется всегда свежо; 401/403 здесь = шлюз Nubes режет IP платформы, не код)"
  fi
 else
  echo "  ⏭ пропущено (нет TOKEN)"
 fi
 echo "== SQS API (нужны AWS-ключи) =="
 if [[ -n "${AWS_ACCESS_KEY_ID:-}" && -n "${AWS_SECRET_ACCESS_KEY:-}" ]]; then
  Q="smoke-$(date +%s)-$RANDOM"
  CQ=$(aws sqs create-queue --queue-name "$Q" \
    --endpoint-url "$ENDPOINT" --region "$REGION" 2>&1) \
    && ok "CreateQueue" || { bad "CreateQueue: $CQ"; CQ=""; }
  QUEUE_URL=$(echo "$CQ" | sed -n 's/.*"QueueUrl": *"\([^"]*\)".*/\1/p')
  if [[ -z "$QUEUE_URL" ]]; then
    bad "не удалось извлечь QueueUrl"
  else
    aws sqs send-message --queue-url "$QUEUE_URL" --message-body "smoke-test" \
      --endpoint-url "$ENDPOINT" --region "$REGION" >/dev/null 2>&1 \
      && ok "SendMessage" || bad "SendMessage"
    # ReceiveMessage может вернуть пусто при первом вызове — пробуем до 3 раз
    RM=""; RH=""
    for i in 1 2 3; do
      RM=$(aws sqs receive-message --queue-url "$QUEUE_URL" \
        --endpoint-url "$ENDPOINT" --region "$REGION" 2>&1)
      echo "$RM" | grep -qF '"Body": "smoke-test"' && { ok "ReceiveMessage"; break; }
      sleep 1
    done
    echo "$RM" | grep -qF '"Body": "smoke-test"' || bad "ReceiveMessage: $RM"
    RH=$(echo "$RM" | sed -n 's/.*"ReceiptHandle": *"\([^"]*\)".*/\1/p' | head -1)
    if [[ -n "$RH" ]]; then
      aws sqs delete-message --queue-url "$QUEUE_URL" --receipt-handle "$RH" \
        --endpoint-url "$ENDPOINT" --region "$REGION" >/dev/null 2>&1 \
        && ok "DeleteMessage" || bad "DeleteMessage"
    fi
    aws sqs delete-queue --queue-url "$QUEUE_URL" \
      --endpoint-url "$ENDPOINT" --region "$REGION" >/dev/null 2>&1 \
      && ok "DeleteQueue" || bad "DeleteQueue"
  fi
 else
  echo "  ⏭ пропущено (нет AWS-ключей)"
 fi
 echo
 echo "Итог: PASS=$PASS FAIL=$FAIL"
 [[ $FAIL -eq 0 ]]
@@ -1,966 +0,0 @@
 #!/bin/bash
 # stress_test.sh — ЖЁСТКИЙ стресс-тест shared-sqs
 # Created: 2026-04-11
 # Updated: 2026-04-11 — v2: масштаб, long-poll, race, batch, 50 очередей, memory, multi-kill
 # Покрывает:
 #   1.  Подготовка (тенанты, очереди)
 #   2.  Параллельная отправка — 50 воркеров × 20 msg = 1000 сообщений
 #   3.  Параллельное чтение + удаление (гонка)
 #   4.  Multi-tenant изоляция (5 тенантов одновременно)
 #   5.  Burst — 100 сообщений одновременно
 #   6.  Long-polling + параллельные producer'ы
 #   7.  Двойное удаление (race на receipt handle)
 #   8.  Batch-операции конкурентно (SendMessageBatch + DeleteMessageBatch)
 #   9.  Много очередей — 30 очередей на тенанта
 #   10. Kill pod + восстановление из Redis
 #   11. Redis disconnect / reconnect
 #   12. Смешанная нагрузка (send+recv+delete+getattr, 20s)
 #   13. Memory leak check (RSS до/после нагрузки)
 #   14. Multi-kill: kill → восстановление → kill → восстановление
 #   15. Cleanup
 # Запуск: BASE_URL=https://qu.kube5s.ru ADMIN_TOKEN=... bash tests/stress_test.sh
 set -uo pipefail
 # ═══════════════════════════════════════════
 # КОНФИГУРАЦИЯ
 # ═══════════════════════════════════════════
 BASE_URL="${BASE_URL:-https://qu.kube5s.ru}"
 ADMIN_TOKEN="${ADMIN_TOKEN:-sqs-admin-7a7d8bd0c060a75c198d48680f34077a}"
 TS=$(date +%s)
 NAMESPACE="shared-sqs"
 POD_LABEL="app.kubernetes.io/name=shared-sqs"
 # Параметры нагрузки — ЖЁСТКИЕ
 CONCURRENT_WORKERS=20       # параллельных воркеров
 MESSAGES_PER_WORKER=10      # сообщений на воркер (итого 1000)
 BURST_SIZE=80              # размер burst-пакета
 TENANT_COUNT=5              # тенантов для multi-tenant теста
 QUEUE_FLOOD_COUNT=25        # очередей на тенанта
 MIXED_DURATION=15           # длительность смешанной нагрузки (сек)
 BATCH_WORKERS=8            # воркеров для batch-операций
 PASS=0
 FAIL=0
 TOTAL=0
 TMPDIR_STRESS=$(mktemp -d /tmp/sqs_stress_XXXXX)
 # ═══════════════════════════════════════════
 # ХЕЛПЕРЫ
 # ═══════════════════════════════════════════
 json_field() {
    python3 -c "import sys,json; print(json.load(sys.stdin).get('$1',''))" 2>/dev/null
 }
 # progress_dot — печатает точку без переноса строки (прогресс)
 progress_dot() {
    printf "." >&2
 }
 # progress_done — завершает строку прогресса
 progress_done() {
    echo "" >&2
 }
 check() {
    local name="$1" output="$2" pattern="$3"
    TOTAL=$((TOTAL + 1))
    if echo "$output" | grep -qE "$pattern"; then
        PASS=$((PASS + 1))
        echo "  ✅ $name"
    else
        FAIL=$((FAIL + 1))
        echo "  ❌ $name"
        echo "       ожидалось: $pattern"
        echo "       получено:  $(echo "$output" | head -5)"
    fi
 }
 check_eq() {
    local name="$1" got="$2" want="$3"
    TOTAL=$((TOTAL + 1))
    if [[ "$got" == "$want" ]]; then
        PASS=$((PASS + 1))
        echo "  ✅ $name ($got)"
    else
        FAIL=$((FAIL + 1))
        echo "  ❌ $name: ожидалось=$want, получено=$got"
    fi
 }
 check_ge() {
    local name="$1" got="$2" want="$3"
    TOTAL=$((TOTAL + 1))
    if [[ "$got" -ge "$want" ]]; then
        PASS=$((PASS + 1))
        echo "  ✅ $name ($got >= $want)"
    else
        FAIL=$((FAIL + 1))
        echo "  ❌ $name: ожидалось >=$want, получено=$got"
    fi
 }
 check_le() {
    local name="$1" got="$2" want="$3"
    TOTAL=$((TOTAL + 1))
    if [[ "$got" -le "$want" ]]; then
        PASS=$((PASS + 1))
        echo "  ✅ $name ($got <= $want)"
    else
        FAIL=$((FAIL + 1))
        echo "  ❌ $name: ожидалось <=$want, получено=$got"
    fi
 }
 sqs() {
    local ak="$1" sk="$2"
    shift 2
    AWS_ACCESS_KEY_ID="$ak" \
    AWS_SECRET_ACCESS_KEY="$sk" \
    AWS_DEFAULT_REGION="us-east-1" \
    aws --endpoint-url "$BASE_URL" --output json sqs "$@" 2>&1
 }
 admin_api() {
    local method="$1" path="$2" body="${3:-}"
    if [[ -n "$body" ]]; then
        curl -s --max-time 20 -X "$method" \
            -H "Authorization: Bearer $ADMIN_TOKEN" \
            -H "Content-Type: application/json" \
            -d "$body" "${BASE_URL}${path}" 2>&1
    else
        curl -s --max-time 20 -X "$method" \
            -H "Authorization: Bearer $ADMIN_TOKEN" "${BASE_URL}${path}" 2>&1
    fi
 }
 qurl() { echo "${BASE_URL}/${1}/${2}"; }
 wait_for_pod_ready() {
    local max_wait=120 waited=0
    echo "    ⏳ Ожидание пода (max ${max_wait}s)..."
    while [[ $waited -lt $max_wait ]]; do
        local ready
        ready=$(kubectl get pods -n "$NAMESPACE" -l "$POD_LABEL" \
            -o jsonpath='{.items[0].status.conditions[?(@.type=="Ready")].status}' 2>/dev/null)
        if [[ "$ready" == "True" ]]; then
            echo "    ✅ Под готов (${waited}s)"
            return 0
        fi
        sleep 2
        waited=$((waited + 2))
        printf "." >&2
    done
    echo ""
    echo "    ⚠️  Под не готов после ${max_wait}s"
    return 1
 }
 wait_for_healthy() {
    local max_wait=120 waited=0
    echo "    ⏳ Ожидание /health (max ${max_wait}s)..."
    while [[ $waited -lt $max_wait ]]; do
        local status
        status=$(curl -s -o /dev/null -w "%{http_code}" --max-time 5 "${BASE_URL}/health" 2>/dev/null)
        if [[ "$status" == "200" ]]; then
            echo "    ✅ Сервис отвечает (${waited}s)"
            return 0
        fi
        sleep 2
        waited=$((waited + 2))
        printf "." >&2
    done
    echo ""
    echo "    ⚠️  Сервис не отвечает после ${max_wait}s"
    return 1
 }
 # get_pod_rss_mb — RSS памяти текущего пода в MB
 get_pod_rss_mb() {
    local pod
    pod=$(kubectl get pods -n "$NAMESPACE" -l "$POD_LABEL" \
        -o jsonpath='{.items[0].metadata.name}' 2>/dev/null)
    # kubectl top может не работать — fallback на /proc
    local rss_kb
    rss_kb=$(kubectl exec -n "$NAMESPACE" "$pod" -- cat /proc/1/status 2>/dev/null \
        | grep VmRSS | awk '{print $2}')
    if [[ -n "$rss_kb" ]]; then
        echo $((rss_kb / 1024))
    else
        echo "0"
    fi
 }
 kill_pod() {
    local pod
    pod=$(kubectl get pods -n "$NAMESPACE" -l "$POD_LABEL" \
        -o jsonpath='{.items[0].metadata.name}' 2>/dev/null)
    echo "    🔪 Kill: $pod"
    kubectl delete pod "$pod" -n "$NAMESPACE" --grace-period=0 --force 2>&1 | head -1
 }
 cleanup() { rm -rf "$TMPDIR_STRESS" 2>/dev/null; }
 trap cleanup EXIT
 STARTED_AT=$(date +%s)
 echo "╔═══════════════════════════════════════════════════════════════════╗"
 echo "║   shared-sqs STRESS TEST v2 — $(date '+%Y-%m-%d %H:%M:%S')                    ║"
 echo "║   Endpoint: ${BASE_URL}                              ║"
 echo "║   Workers: ${CONCURRENT_WORKERS}  Msgs/worker: ${MESSAGES_PER_WORKER}  Burst: ${BURST_SIZE}  Tenants: ${TENANT_COUNT}    ║"
 echo "║   Queue-flood: ${QUEUE_FLOOD_COUNT}  Batch-workers: ${BATCH_WORKERS}  Mixed: ${MIXED_DURATION}s           ║"
 echo "╚═══════════════════════════════════════════════════════════════════╝"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 1. ПОДГОТОВКА — тенанты и очереди
 # ═══════════════════════════════════════════════════════════
 echo "═══ 1. Подготовка — создаём $TENANT_COUNT тенантов ═══"
 declare -a TENANT_AK TENANT_SK TENANT_ID
 for i in $(seq 1 $TENANT_COUNT); do
    R=$(admin_api POST "/admin/tenants" "{\"name\":\"stress-t${i}-${TS}\",\"max_queues\":100}")
    TENANT_AK[$i]=$(echo "$R" | json_field access_key)
    TENANT_SK[$i]=$(echo "$R" | json_field secret_key)
    TENANT_ID[$i]=$(echo "$R" | json_field id)
    echo "  Тенант ${i}: ID=${TENANT_ID[$i]} AK=${TENANT_AK[$i]:0:20}..."
    if [[ -z "${TENANT_AK[$i]}" ]]; then
        echo "  ⛔ ОШИБКА создания тенанта ${i}: $R"
        exit 1
    fi
 done
 # Сохраняем в файлы — для subshell
 for i in $(seq 1 $TENANT_COUNT); do
    echo "${TENANT_AK[$i]}" > "${TMPDIR_STRESS}/tak_${i}"
    echo "${TENANT_SK[$i]}" > "${TMPDIR_STRESS}/tsk_${i}"
    echo "${TENANT_ID[$i]}" > "${TMPDIR_STRESS}/tid_${i}"
 done
 T1_AK="${TENANT_AK[1]}"; T1_SK="${TENANT_SK[1]}"; T1_ID="${TENANT_ID[1]}"
 # Очереди
 STRESS_Q="stress-conc-${TS}"
 for i in $(seq 1 $TENANT_COUNT); do
    R=$(sqs "${TENANT_AK[$i]}" "${TENANT_SK[$i]}" create-queue --queue-name "$STRESS_Q")
 done
 STRESS_QURL=$(qurl "$T1_ID" "$STRESS_Q")
 BURST_Q="stress-burst-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$BURST_Q")
 BURST_QURL=$(qurl "$T1_ID" "$BURST_Q")
 echo "  Очередь conc: $STRESS_Q (для $TENANT_COUNT тенантов)"
 echo "  Очередь burst: $BURST_Q"
 echo "  Подготовка завершена за $(($(date +%s) - STARTED_AT))s"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 2. КОНКУРЕНТНАЯ ОТПРАВКА — 50 × 20 = 1000 сообщений
 # ═══════════════════════════════════════════════════════════
 TOTAL_MSGS=$((CONCURRENT_WORKERS * MESSAGES_PER_WORKER))
 echo "═══ 2. Конкурентная отправка: ${CONCURRENT_WORKERS} воркеров × ${MESSAGES_PER_WORKER} = ${TOTAL_MSGS} сообщений ═══"
 SEC2_START=$(date +%s)
 for w in $(seq 1 $CONCURRENT_WORKERS); do
    (
        ok=0; fail=0
        for m in $(seq 1 $MESSAGES_PER_WORKER); do
            R=$(sqs "$T1_AK" "$T1_SK" send-message \
                --queue-url "$STRESS_QURL" \
                --message-body "w${w}-m${m}-${TS}" 2>&1)
            if echo "$R" | grep -q "MessageId"; then ok=$((ok + 1)); else fail=$((fail + 1)); fi
        done
        echo "${ok}:${fail}" > "${TMPDIR_STRESS}/send_w${w}.result"
        # Прогресс: каждый 10-й воркер печатает
        if (( w % 10 == 0 )); then printf "[W${w}:${ok}ok] " >&2; fi
    ) &
 done
 echo "  ⏳ Отправка идёт... (прогресс каждые 10 воркеров)"
 wait
 echo ""
 SEND_OK=0; SEND_FAIL=0
 for w in $(seq 1 $CONCURRENT_WORKERS); do
    if [[ -f "${TMPDIR_STRESS}/send_w${w}.result" ]]; then
        IFS=':' read -r ok fail < "${TMPDIR_STRESS}/send_w${w}.result"
        SEND_OK=$((SEND_OK + ok)); SEND_FAIL=$((SEND_FAIL + fail))
    fi
 done
 SEC2_DUR=$(($(date +%s) - SEC2_START))
 echo "  Результат: ${SEND_OK} ok, ${SEND_FAIL} fail за ${SEC2_DUR}s (~$((SEND_OK / (SEC2_DUR + 1))) msg/s)"
 check_eq "Все ${TOTAL_MSGS} сообщений отправлены" "$SEND_OK" "$TOTAL_MSGS"
 sleep 2
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes \
    --queue-url "$STRESS_QURL" --attribute-names ApproximateNumberOfMessages 2>&1)
 APPROX=$(echo "$R" | grep -oP '"ApproximateNumberOfMessages"\s*:\s*"\K[0-9]+')
 echo "  GetQueueAttributes: ~${APPROX} в очереди"
 check_eq "Количество в очереди = $TOTAL_MSGS" "${APPROX:-0}" "$TOTAL_MSGS"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 3. КОНКУРЕНТНОЕ ЧТЕНИЕ — гонка за 1000 сообщений
 # ═══════════════════════════════════════════════════════════
 echo "═══ 3. Конкурентное чтение: ${CONCURRENT_WORKERS} воркеров забирают ${TOTAL_MSGS} сообщений ═══"
 SEC3_START=$(date +%s)
 for w in $(seq 1 $CONCURRENT_WORKERS); do
    (
        received=0; deleted=0; empty_rounds=0
        while [[ $empty_rounds -lt 8 ]]; do
            R=$(sqs "$T1_AK" "$T1_SK" receive-message \
                --queue-url "$STRESS_QURL" \
                --max-number-of-messages 10 --wait-time-seconds 1 2>&1)
            MSG_COUNT=$(echo "$R" | grep -c '"MessageId"' || true)
            if [[ "$MSG_COUNT" -eq 0 ]]; then empty_rounds=$((empty_rounds + 1)); continue; fi
            empty_rounds=0
            received=$((received + MSG_COUNT))
            HANDLES=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+')
            while IFS= read -r handle; do
                sqs "$T1_AK" "$T1_SK" delete-message \
                    --queue-url "$STRESS_QURL" --receipt-handle "$handle" >/dev/null 2>&1
                deleted=$((deleted + 1))
            done <<< "$HANDLES"
        done
        echo "${received}:${deleted}" > "${TMPDIR_STRESS}/recv_w${w}.result"
        if (( w % 10 == 0 )); then printf "[R${w}:${received}r/${deleted}d] " >&2; fi
    ) &
 done
 echo "  ⏳ Чтение идёт... (прогресс каждые 10 воркеров)"
 wait
 echo ""
 RECV_TOTAL=0; DEL_TOTAL=0
 for w in $(seq 1 $CONCURRENT_WORKERS); do
    if [[ -f "${TMPDIR_STRESS}/recv_w${w}.result" ]]; then
        IFS=':' read -r recv del < "${TMPDIR_STRESS}/recv_w${w}.result"
        RECV_TOTAL=$((RECV_TOTAL + recv)); DEL_TOTAL=$((DEL_TOTAL + del))
    fi
 done
 SEC3_DUR=$(($(date +%s) - SEC3_START))
 echo "  Результат: прочитано=${RECV_TOTAL}, удалено=${DEL_TOTAL} за ${SEC3_DUR}s"
 check_ge "Прочитано >= $TOTAL_MSGS" "$RECV_TOTAL" "$TOTAL_MSGS"
 sleep 2
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes \
    --queue-url "$STRESS_QURL" --attribute-names ApproximateNumberOfMessages 2>&1)
 APPROX=$(echo "$R" | grep -oP '"ApproximateNumberOfMessages"\s*:\s*"\K[0-9]+')
 check_eq "Очередь пуста" "${APPROX:-0}" "0"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 4. MULTI-TENANT ИЗОЛЯЦИЯ — 5 тенантов × 50 msg одновременно
 # ═══════════════════════════════════════════════════════════
 MSGS_PER_TENANT=30
 echo "═══ 4. Multi-tenant изоляция: ${TENANT_COUNT} тенантов × ${MSGS_PER_TENANT} msg ═══"
 SEC4_START=$(date +%s)
 for i in $(seq 1 $TENANT_COUNT); do
    (
        tak=$(cat "${TMPDIR_STRESS}/tak_${i}")
        tsk=$(cat "${TMPDIR_STRESS}/tsk_${i}")
        tid=$(cat "${TMPDIR_STRESS}/tid_${i}")
        my_qurl="${BASE_URL}/${tid}/${STRESS_Q}"
        ok=0
        for m in $(seq 1 $MSGS_PER_TENANT); do
            R=$(sqs "$tak" "$tsk" send-message --queue-url "$my_qurl" \
                --message-body "tenant-${i}-iso-${m}" 2>&1)
            if echo "$R" | grep -q "MessageId"; then ok=$((ok + 1)); fi
        done
        echo "$ok" > "${TMPDIR_STRESS}/tenant_send_${i}.result"
        printf "[T${i}:${ok}sent] " >&2
    ) &
 done
 echo "  ⏳ Тенанты отправляют..."
 wait
 echo ""
 # Чтение и проверка изоляции
 for i in $(seq 1 $TENANT_COUNT); do
    (
        tak=$(cat "${TMPDIR_STRESS}/tak_${i}")
        tsk=$(cat "${TMPDIR_STRESS}/tsk_${i}")
        tid=$(cat "${TMPDIR_STRESS}/tid_${i}")
        my_qurl="${BASE_URL}/${tid}/${STRESS_Q}"
        own=0; foreign=0; empty_rounds=0
        while [[ $empty_rounds -lt 5 ]]; do
            R=$(sqs "$tak" "$tsk" receive-message --queue-url "$my_qurl" \
                --max-number-of-messages 10 --wait-time-seconds 1 2>&1)
            MSG_COUNT=$(echo "$R" | grep -c '"Body"' || true)
            if [[ "$MSG_COUNT" -eq 0 ]]; then empty_rounds=$((empty_rounds + 1)); continue; fi
            empty_rounds=0
            while IFS= read -r body; do
                if echo "$body" | grep -q "tenant-${i}-"; then own=$((own + 1)); else foreign=$((foreign + 1)); fi
            done < <(echo "$R" | grep -oP '"Body"\s*:\s*"\K[^"]+')
            HANDLES=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+')
            while IFS= read -r handle; do
                sqs "$tak" "$tsk" delete-message --queue-url "$my_qurl" --receipt-handle "$handle" >/dev/null 2>&1
            done <<< "$HANDLES"
        done
        echo "${own}:${foreign}" > "${TMPDIR_STRESS}/tenant_recv_${i}.result"
        printf "[T${i}:own=${own},foreign=${foreign}] " >&2
    ) &
 done
 echo "  ⏳ Тенанты читают..."
 wait
 echo ""
 ALL_FOREIGN=0; ALL_OWN=0
 for i in $(seq 1 $TENANT_COUNT); do
    if [[ -f "${TMPDIR_STRESS}/tenant_recv_${i}.result" ]]; then
        IFS=':' read -r own foreign < "${TMPDIR_STRESS}/tenant_recv_${i}.result"
        echo "  Тенант ${i}: своих=${own}, чужих=${foreign}"
        ALL_OWN=$((ALL_OWN + own)); ALL_FOREIGN=$((ALL_FOREIGN + foreign))
    fi
 done
 SEC4_DUR=$(($(date +%s) - SEC4_START))
 echo "  Итого: своих=$ALL_OWN, чужих=$ALL_FOREIGN за ${SEC4_DUR}s"
 check_eq "Чужих сообщений: 0" "$ALL_FOREIGN" "0"
 check_ge "Свои сообщения получены" "$ALL_OWN" "$((TENANT_COUNT * MSGS_PER_TENANT))"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 5. BURST — 100 сообщений одновременно
 # ═══════════════════════════════════════════════════════════
 echo "═══ 5. Burst: ${BURST_SIZE} сообщений одновременно ═══"
 SEC5_START=$(date +%s)
 for b in $(seq 1 $BURST_SIZE); do
    (
        R=$(sqs "$T1_AK" "$T1_SK" send-message --queue-url "$BURST_QURL" \
            --message-body "burst-${b}-${TS}" 2>&1)
        if echo "$R" | grep -q "MessageId"; then echo "1"; else echo "0"; fi \
            > "${TMPDIR_STRESS}/burst_${b}.result"
    ) &
    # Прогресс пачками по 25
    if (( b % 25 == 0 )); then printf "[${b}/${BURST_SIZE}] " >&2; fi
 done
 echo "  ⏳ Burst отправка..."
 wait
 echo ""
 BURST_OK=0
 for b in $(seq 1 $BURST_SIZE); do
    [[ -f "${TMPDIR_STRESS}/burst_${b}.result" ]] && BURST_OK=$((BURST_OK + $(cat "${TMPDIR_STRESS}/burst_${b}.result")))
 done
 SEC5_DUR=$(($(date +%s) - SEC5_START))
 echo "  Результат: ${BURST_OK}/${BURST_SIZE} за ${SEC5_DUR}s"
 check_ge "Burst >= 90%" "$BURST_OK" "$((BURST_SIZE * 90 / 100))"
 sleep 3
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes --queue-url "$BURST_QURL" \
    --attribute-names ApproximateNumberOfMessages 2>&1)
 BURST_APPROX=$(echo "$R" | grep -oP '"ApproximateNumberOfMessages"\s*:\s*"\K[0-9]+')
 echo "  Очередь burst: ~${BURST_APPROX}"
 check_eq "Burst все в очереди" "${BURST_APPROX:-0}" "$BURST_OK"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 6. LONG-POLLING + параллельные producer'ы
 # ═══════════════════════════════════════════════════════════
 echo "═══ 6. Long-polling: consumer WaitTime=10s + 5 producers ═══"
 SEC6_START=$(date +%s)
 LONGPOLL_Q="stress-longpoll-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$LONGPOLL_Q" \
    --attributes '{"ReceiveMessageWaitTimeSeconds":"10"}')
 LONGPOLL_QURL=$(qurl "$T1_ID" "$LONGPOLL_Q")
 # Consumer: читает с long-poll, считает сколько получит за 30s
 (
    end=$((SECONDS + 20))
    total_recv=0
    while [[ $SECONDS -lt $end ]]; do
        R=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$LONGPOLL_QURL" \
            --max-number-of-messages 10 --wait-time-seconds 10 2>&1)
        cnt=$(echo "$R" | grep -c '"MessageId"' || true)
        total_recv=$((total_recv + cnt))
        if (( total_recv % 10 == 0 && total_recv > 0 )); then printf "[LP-recv:${total_recv}] " >&2; fi
    done
    echo "$total_recv" > "${TMPDIR_STRESS}/longpoll_recv.result"
 ) &
 # Producers: начинают через 3s, каждый отправляет 20 msg с паузами
 sleep 3
 for p in $(seq 1 5); do
    (
        ok=0
        for m in $(seq 1 20); do
            R=$(sqs "$T1_AK" "$T1_SK" send-message --queue-url "$LONGPOLL_QURL" \
                --message-body "longpoll-p${p}-m${m}" 2>&1)
            if echo "$R" | grep -q "MessageId"; then ok=$((ok + 1)); fi
            sleep 0.2
        done
        echo "$ok" > "${TMPDIR_STRESS}/longpoll_prod_${p}.result"
        printf "[LP-prod${p}:${ok}] " >&2
    ) &
 done
 echo "  ⏳ Long-poll: consumer ждёт, producers отправляют (20s)..."
 wait
 echo ""
 LP_SENT=0
 for p in $(seq 1 5); do
    [[ -f "${TMPDIR_STRESS}/longpoll_prod_${p}.result" ]] && LP_SENT=$((LP_SENT + $(cat "${TMPDIR_STRESS}/longpoll_prod_${p}.result")))
 done
 LP_RECV=$(cat "${TMPDIR_STRESS}/longpoll_recv.result" 2>/dev/null || echo 0)
 SEC6_DUR=$(($(date +%s) - SEC6_START))
 echo "  Producers отправили: $LP_SENT, consumer получил: $LP_RECV за ${SEC6_DUR}s"
 check_ge "Long-poll: получено >= 50% отправленных" "$LP_RECV" "$((LP_SENT / 2))"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 7. ДВОЙНОЕ УДАЛЕНИЕ — race на receipt handle
 # ═══════════════════════════════════════════════════════════
 echo "═══ 7. Двойное удаление: 2 воркера гонятся за одно сообщение ═══"
 RACE_Q="stress-race-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$RACE_Q")
 RACE_QURL=$(qurl "$T1_ID" "$RACE_Q")
 # Отправляем 20 сообщений
 for m in $(seq 1 20); do
    sqs "$T1_AK" "$T1_SK" send-message --queue-url "$RACE_QURL" \
        --message-body "race-${m}" >/dev/null 2>&1
 done
 echo "  Отправлено 20 сообщений"
 # VisibilityTimeout=0 — чтобы оба воркера получали одни сообщения
 RACE_DOUBLE_DEL=0
 RACE_OK_DEL=0
 for round in $(seq 1 10); do
    # Два воркера одновременно получают
    R1=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$RACE_QURL" \
        --max-number-of-messages 1 --visibility-timeout 30 2>&1)
    HANDLE=$(echo "$R1" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+' | head -1)
    if [[ -z "$HANDLE" ]]; then continue; fi
    # Два параллельных delete
    D1=$(sqs "$T1_AK" "$T1_SK" delete-message --queue-url "$RACE_QURL" --receipt-handle "$HANDLE" 2>&1) &
    PID1=$!
    D2=$(sqs "$T1_AK" "$T1_SK" delete-message --queue-url "$RACE_QURL" --receipt-handle "$HANDLE" 2>&1) &
    PID2=$!
    wait $PID1 $PID2
    RACE_OK_DEL=$((RACE_OK_DEL + 1))
    printf "[race-${round}] " >&2
 done
 echo ""
 echo "  Раундов race: ${RACE_OK_DEL}/10"
 # Главное: сервер НЕ упал
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes --queue-url "$RACE_QURL" \
    --attribute-names ApproximateNumberOfMessages 2>&1)
 check "Сервер жив после double-delete" "$R" "ApproximateNumberOfMessages"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 8. BATCH-ОПЕРАЦИИ конкурентно
 # ═══════════════════════════════════════════════════════════
 echo "═══ 8. Batch-операции: ${BATCH_WORKERS} воркеров SendMessageBatch + DeleteMessageBatch ═══"
 SEC8_START=$(date +%s)
 BATCH_Q="stress-batch-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$BATCH_Q")
 BATCH_QURL=$(qurl "$T1_ID" "$BATCH_Q")
 # Параллельные SendMessageBatch (10 msg per batch × 10 workers = 100 msg)
 for w in $(seq 1 $BATCH_WORKERS); do
    (
        # Формируем batch из 10 записей
        ENTRIES=""
        for e in $(seq 1 10); do
            [[ -n "$ENTRIES" ]] && ENTRIES="${ENTRIES},"
            ENTRIES="${ENTRIES}{\"Id\":\"${w}-${e}\",\"MessageBody\":\"batch-w${w}-e${e}\"}"
        done
        R=$(sqs "$T1_AK" "$T1_SK" send-message-batch --queue-url "$BATCH_QURL" \
            --entries "[${ENTRIES}]" 2>&1)
        ok=$(echo "$R" | grep -c '"MessageId"' || true)
        echo "$ok" > "${TMPDIR_STRESS}/batch_send_${w}.result"
        printf "[B-send${w}:${ok}] " >&2
    ) &
 done
 echo "  ⏳ SendMessageBatch..."
 wait
 echo ""
 BATCH_SENT=0
 for w in $(seq 1 $BATCH_WORKERS); do
    [[ -f "${TMPDIR_STRESS}/batch_send_${w}.result" ]] && BATCH_SENT=$((BATCH_SENT + $(cat "${TMPDIR_STRESS}/batch_send_${w}.result")))
 done
 echo "  Batch отправлено: ${BATCH_SENT}"
 check_ge "Batch: отправлено >= 80" "$BATCH_SENT" "80"
 # Параллельные ReceiveMessage + DeleteMessageBatch
 BATCH_DELETED=0
 for w in $(seq 1 5); do
    (
        del=0; empty=0
        while [[ $empty -lt 3 ]]; do
            R=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$BATCH_QURL" \
                --max-number-of-messages 10 --wait-time-seconds 1 2>&1)
            HANDLES=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+')
            if [[ -z "$HANDLES" ]]; then empty=$((empty + 1)); continue; fi
            empty=0
            # Формируем batch delete
            ENTRIES=""
            idx=0
            while IFS= read -r handle; do
                [[ -z "$handle" ]] && continue
                [[ -n "$ENTRIES" ]] && ENTRIES="${ENTRIES},"
                ENTRIES="${ENTRIES}{\"Id\":\"${idx}\",\"ReceiptHandle\":\"${handle}\"}"
                idx=$((idx + 1))
            done <<< "$HANDLES"
            if [[ -n "$ENTRIES" ]]; then
                DR=$(sqs "$T1_AK" "$T1_SK" delete-message-batch --queue-url "$BATCH_QURL" \
                    --entries "[${ENTRIES}]" 2>&1)
                ok_del=$(echo "$DR" | grep -c '"Id"' || true)
                del=$((del + ok_del))
            fi
        done
        echo "$del" > "${TMPDIR_STRESS}/batch_del_${w}.result"
        printf "[B-del${w}:${del}] " >&2
    ) &
 done
 echo "  ⏳ DeleteMessageBatch..."
 wait
 echo ""
 BATCH_DEL_TOTAL=0
 for w in $(seq 1 5); do
    [[ -f "${TMPDIR_STRESS}/batch_del_${w}.result" ]] && BATCH_DEL_TOTAL=$((BATCH_DEL_TOTAL + $(cat "${TMPDIR_STRESS}/batch_del_${w}.result")))
 done
 SEC8_DUR=$(($(date +%s) - SEC8_START))
 echo "  Batch удалено: $BATCH_DEL_TOTAL за ${SEC8_DUR}s"
 check_ge "Batch: удалено >= 80%" "$BATCH_DEL_TOTAL" "$((BATCH_SENT * 80 / 100))"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 9. МНОГО ОЧЕРЕДЕЙ — 30 очередей на тенанта
 # ═══════════════════════════════════════════════════════════
 echo "═══ 9. Queue-flood: ${QUEUE_FLOOD_COUNT} очередей, send+receive в каждую ═══"
 SEC9_START=$(date +%s)
 # Создаём 30 очередей параллельно
 for q in $(seq 1 $QUEUE_FLOOD_COUNT); do
    (
        qname="stress-flood-${q}-${TS}"
        my_qurl=$(qurl "$T1_ID" "$qname")
        # Создаём
        R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$qname" 2>&1)
        if ! echo "$R" | grep -q "QueueUrl"; then echo "0" > "${TMPDIR_STRESS}/flood_${q}.result"; exit 0; fi
        # Отправляем 5 msg
        for m in $(seq 1 5); do
            sqs "$T1_AK" "$T1_SK" send-message --queue-url "$my_qurl" \
                --message-body "flood-q${q}-m${m}" >/dev/null 2>&1
        done
        # Читаем 1
        R=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$my_qurl" \
            --max-number-of-messages 1 --wait-time-seconds 1 2>&1)
        if echo "$R" | grep -q "MessageId"; then echo "1" > "${TMPDIR_STRESS}/flood_${q}.result"
        else echo "0" > "${TMPDIR_STRESS}/flood_${q}.result"; fi
        if (( q % 10 == 0 )); then printf "[Q${q}] " >&2; fi
    ) &
 done
 echo "  ⏳ Создание и тест ${QUEUE_FLOOD_COUNT} очередей..."
 wait
 echo ""
 FLOOD_OK=0
 for q in $(seq 1 $QUEUE_FLOOD_COUNT); do
    [[ -f "${TMPDIR_STRESS}/flood_${q}.result" ]] && FLOOD_OK=$((FLOOD_OK + $(cat "${TMPDIR_STRESS}/flood_${q}.result")))
 done
 SEC9_DUR=$(($(date +%s) - SEC9_START))
 echo "  Успешных: ${FLOOD_OK}/${QUEUE_FLOOD_COUNT} за ${SEC9_DUR}s"
 check_ge "Queue-flood: >= 90% очередей работают" "$FLOOD_OK" "$((QUEUE_FLOOD_COUNT * 90 / 100))"
 # Проверяем ListQueues — должно быть >= 30 flood-очередей
 R=$(sqs "$T1_AK" "$T1_SK" list-queues --queue-name-prefix "stress-flood" 2>&1)
 LISTED=$(echo "$R" | grep -c "stress-flood" || true)
 echo "  ListQueues видит: $LISTED очередей"
 check_ge "ListQueues >= ${QUEUE_FLOOD_COUNT}" "$LISTED" "$QUEUE_FLOOD_COUNT"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 10. MEMORY CHECK — RSS до нагрузки
 # ═══════════════════════════════════════════════════════════
 echo "═══ 10. Memory check — запоминаем RSS ═══"
 RSS_BEFORE=$(get_pod_rss_mb)
 echo "  RSS до тяжёлой фазы: ${RSS_BEFORE} MB"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 11. KILL POD + восстановление из Redis
 # ═══════════════════════════════════════════════════════════
 echo "═══ 11. Kill pod → восстановление из Redis ═══"
 # Перед kill — отправляем в burst-очередь ещё 20 msg
 EXTRA=20
 for m in $(seq 1 $EXTRA); do
    sqs "$T1_AK" "$T1_SK" send-message --queue-url "$BURST_QURL" \
        --message-body "pre-kill-${m}-${TS}" >/dev/null 2>&1
    if (( m % 5 == 0 )); then printf "[pre-kill:${m}] " >&2; fi
 done
 echo ""
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes --queue-url "$BURST_QURL" \
    --attribute-names ApproximateNumberOfMessages 2>&1)
 BEFORE_KILL=$(echo "$R" | grep -oP '"ApproximateNumberOfMessages"\s*:\s*"\K[0-9]+')
 echo "  Сообщений в burst до kill: ${BEFORE_KILL:-?}"
 kill_pod
 echo "  Ждём рестарт..."
 wait_for_pod_ready
 wait_for_healthy
 sleep 3
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes --queue-url "$BURST_QURL" \
    --attribute-names ApproximateNumberOfMessages 2>&1)
 AFTER_KILL=$(echo "$R" | grep -oP '"ApproximateNumberOfMessages"\s*:\s*"\K[0-9]+')
 echo "  Сообщений после рестарта: ${AFTER_KILL:-0}"
 check_eq "Данные восстановлены из Redis" "${AFTER_KILL:-0}" "${BEFORE_KILL}"
 R=$(admin_api GET "/admin/tenants")
 TC=$(echo "$R" | grep -c "stress-t1-${TS}" || true)
 check_ge "Тенанты восстановлены" "$TC" "1"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 12. REDIS DISCONNECT / RECONNECT
 # ═══════════════════════════════════════════════════════════
 echo "═══ 12. Redis disconnect simulation ═══"
 cat <<'NETPOL' | kubectl apply -n "$NAMESPACE" -f - 2>&1 | head -1
 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:
  name: stress-test-block-redis
 spec:
  podSelector:
    matchLabels:
      app.kubernetes.io/name: shared-sqs
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
        except:
        - 10.0.0.0/8
    ports:
    - protocol: TCP
      port: 443
    - protocol: TCP
      port: 80
  - to:
    - namespaceSelector: {}
    ports:
    - protocol: TCP
      port: 53
    - protocol: UDP
      port: 53
 NETPOL
 echo "  NetworkPolicy applied — Redis заблокирован"
 sleep 5
 R_CODE=$(curl -s -o /dev/null -w "%{http_code}" --max-time 10 \
    -H "Authorization: Bearer $ADMIN_TOKEN" "${BASE_URL}/admin/tenants" 2>/dev/null)
 echo "  HTTP при потере Redis: $R_CODE"
 TOTAL=$((TOTAL + 1))
 if [[ "$R_CODE" =~ ^[2345][0-9][0-9]$ ]]; then
    PASS=$((PASS + 1)); echo "  ✅ Сервис отвечает (HTTP $R_CODE)"
 else
    FAIL=$((FAIL + 1)); echo "  ❌ Сервис не отвечает (HTTP $R_CODE)"
 fi
 kubectl delete networkpolicy stress-test-block-redis -n "$NAMESPACE" 2>&1 | head -1
 echo "  NetworkPolicy удалена — Redis доступен"
 sleep 5
 R=$(sqs "$T1_AK" "$T1_SK" send-message --queue-url "$BURST_QURL" \
    --message-body "after-redis-recovery-${TS}" 2>&1)
 check "Сервис работает после Redis reconnect" "$R" "MessageId"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 13. СМЕШАННАЯ НАГРУЗКА — send + receive + delete + getattr (20s)
 # ═══════════════════════════════════════════════════════════
 echo "═══ 13. Смешанная нагрузка: 10 senders + 10 receivers + 3 getattr × ${MIXED_DURATION}s ═══"
 SEC13_START=$(date +%s)
 MIXED_Q="stress-mixed-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$MIXED_Q")
 MIXED_QURL=$(qurl "$T1_ID" "$MIXED_Q")
 # Предзагрузка 100 msg
 for m in $(seq 1 30); do
    sqs "$T1_AK" "$T1_SK" send-message --queue-url "$MIXED_QURL" \
        --message-body "mixed-init-${m}" >/dev/null 2>&1
    if (( m % 20 == 0 )); then printf "[init:${m}] " >&2; fi
 done
 echo ""
 echo "  Начальная загрузка: 30 msg"
 # 10 Отправителей
 for w in $(seq 1 5); do
    (
        end=$((SECONDS + MIXED_DURATION)); ok=0
        while [[ $SECONDS -lt $end ]]; do
            R=$(sqs "$T1_AK" "$T1_SK" send-message --queue-url "$MIXED_QURL" \
                --message-body "mixed-s${w}-$(date +%s%N)" 2>&1)
            if echo "$R" | grep -q "MessageId"; then ok=$((ok + 1)); fi
        done
        echo "$ok" > "${TMPDIR_STRESS}/mixed_send_${w}.result"
    ) &
 done
 # 10 Читателей-удалителей
 for w in $(seq 1 5); do
    (
        end=$((SECONDS + MIXED_DURATION)); recv=0
        while [[ $SECONDS -lt $end ]]; do
            R=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$MIXED_QURL" \
                --max-number-of-messages 10 --wait-time-seconds 1 2>&1)
            HANDLES=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+')
            while IFS= read -r handle; do
                [[ -z "$handle" ]] && continue
                sqs "$T1_AK" "$T1_SK" delete-message --queue-url "$MIXED_QURL" \
                    --receipt-handle "$handle" >/dev/null 2>&1
                recv=$((recv + 1))
            done <<< "$HANDLES"
        done
        echo "$recv" > "${TMPDIR_STRESS}/mixed_recv_${w}.result"
    ) &
 done
 # 3 GetQueueAttributes
 for w in $(seq 1 2); do
    (
        end=$((SECONDS + MIXED_DURATION)); ok=0; fail=0
        while [[ $SECONDS -lt $end ]]; do
            R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes --queue-url "$MIXED_QURL" \
                --attribute-names All 2>&1)
            if echo "$R" | grep -q "ApproximateNumberOfMessages"; then ok=$((ok + 1)); else fail=$((fail + 1)); fi
            sleep 0.5
        done
        echo "${ok}:${fail}" > "${TMPDIR_STRESS}/mixed_attr_${w}.result"
    ) &
 done
 # Прогресс каждые 5 сек
 (
    elapsed=0
    while [[ $elapsed -lt $MIXED_DURATION ]]; do
        sleep 5
        elapsed=$((elapsed + 5))
        printf "[mixed: ${elapsed}/${MIXED_DURATION}s] " >&2
    done
 ) &
 PROGRESS_PID=$!
 echo "  ⏳ Смешанная нагрузка ${MIXED_DURATION}s..."
 wait
 echo ""
 MIXED_SENT=0; MIXED_RECV=0; ATTR_OK=0; ATTR_FAIL=0
 for w in $(seq 1 5); do
    [[ -f "${TMPDIR_STRESS}/mixed_send_${w}.result" ]] && MIXED_SENT=$((MIXED_SENT + $(cat "${TMPDIR_STRESS}/mixed_send_${w}.result")))
    [[ -f "${TMPDIR_STRESS}/mixed_recv_${w}.result" ]] && MIXED_RECV=$((MIXED_RECV + $(cat "${TMPDIR_STRESS}/mixed_recv_${w}.result")))
 done
 for w in $(seq 1 2); do
    if [[ -f "${TMPDIR_STRESS}/mixed_attr_${w}.result" ]]; then
        IFS=':' read -r ok fail < "${TMPDIR_STRESS}/mixed_attr_${w}.result"
        ATTR_OK=$((ATTR_OK + ok)); ATTR_FAIL=$((ATTR_FAIL + fail))
    fi
 done
 SEC13_DUR=$(($(date +%s) - SEC13_START))
 echo "  Отправлено: $MIXED_SENT, прочитано+удалено: $MIXED_RECV | Attr: ok=$ATTR_OK fail=$ATTR_FAIL | ${SEC13_DUR}s"
 check_ge "Mixed: отправлено > 0" "$MIXED_SENT" "1"
 check_ge "Mixed: прочитано > 0" "$MIXED_RECV" "1"
 check_eq "Mixed: GetQueueAttributes 0 сбоев" "$ATTR_FAIL" "0"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 14. MEMORY CHECK — после нагрузки
 # ═══════════════════════════════════════════════════════════
 echo "═══ 14. Memory check — RSS после нагрузки ═══"
 RSS_AFTER=$(get_pod_rss_mb)
 echo "  RSS до: ${RSS_BEFORE} MB, после: ${RSS_AFTER} MB"
 if [[ "$RSS_BEFORE" -gt 0 && "$RSS_AFTER" -gt 0 ]]; then
    RSS_GROWTH=$((RSS_AFTER - RSS_BEFORE))
    echo "  Рост: ${RSS_GROWTH} MB"
    # Допускаем рост до 100 MB — выше уже подозрительно
    check_le "Рост RSS <= 100MB" "$RSS_GROWTH" "100"
 else
    echo "  ⚠️  Не удалось измерить RSS (возможно /proc недоступен)"
    TOTAL=$((TOTAL + 1)); PASS=$((PASS + 1))
    echo "  ✅ Memory check пропущен (нет доступа к /proc)"
 fi
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 15. MULTI-KILL: kill → up → kill → up
 # ═══════════════════════════════════════════════════════════
 echo "═══ 15. Multi-kill: 3 рестарта подряд ═══"
 SEC15_START=$(date +%s)
 # Отправляем маркерное сообщение
 MARKER_Q="stress-marker-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$MARKER_Q")
 MARKER_QURL=$(qurl "$T1_ID" "$MARKER_Q")
 sqs "$T1_AK" "$T1_SK" send-message --queue-url "$MARKER_QURL" \
    --message-body "marker-survive-3-kills-${TS}" >/dev/null 2>&1
 for k in 1 2 3; do
    echo "  --- Kill #${k} ---"
    kill_pod
    wait_for_pod_ready
    wait_for_healthy
    echo "  Kill #${k}: под восстановлен ✓"
 done
 # Маркер выжил?
 R=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$MARKER_QURL" \
    --max-number-of-messages 1 --wait-time-seconds 2 2>&1)
 SEC15_DUR=$(($(date +%s) - SEC15_START))
 echo "  3 рестарта за ${SEC15_DUR}s"
 check "Маркер выжил 3 рестарта" "$R" "marker-survive-3-kills"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 16. CLEANUP
 # ═══════════════════════════════════════════════════════════
 echo "═══ 16. Cleanup ═══"
 echo "  Удаляю очереди..."
 # Основные очереди
 for i in $(seq 1 $TENANT_COUNT); do
    tak=$(cat "${TMPDIR_STRESS}/tak_${i}" 2>/dev/null)
    tsk=$(cat "${TMPDIR_STRESS}/tsk_${i}" 2>/dev/null)
    tid=$(cat "${TMPDIR_STRESS}/tid_${i}" 2>/dev/null)
    [[ -n "$tak" ]] && sqs "$tak" "$tsk" delete-queue --queue-url "${BASE_URL}/${tid}/${STRESS_Q}" >/dev/null 2>&1
 done
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$BURST_QURL" >/dev/null 2>&1
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$MIXED_QURL" >/dev/null 2>&1
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$LONGPOLL_QURL" >/dev/null 2>&1
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$RACE_QURL" >/dev/null 2>&1
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$BATCH_QURL" >/dev/null 2>&1
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$MARKER_QURL" >/dev/null 2>&1
 # Flood-очереди
 for q in $(seq 1 $QUEUE_FLOOD_COUNT); do
    sqs "$T1_AK" "$T1_SK" delete-queue \
        --queue-url "$(qurl "$T1_ID" "stress-flood-${q}-${TS}")" >/dev/null 2>&1 &
 done
 wait
 echo "  Очереди удалены"
 TOTAL_DUR=$(($(date +%s) - STARTED_AT))
 echo ""
 echo "╔═══════════════════════════════════════════════════════════════════╗"
 echo "║   ИТОГО: ${PASS}/${TOTAL} ✅    ${FAIL}/${TOTAL} ❌                                   ║"
 echo "║   Время: ${TOTAL_DUR}s                                                     ║"
 echo "╚═══════════════════════════════════════════════════════════════════╝"
 if [[ $FAIL -gt 0 ]]; then exit 1; fi
@@ -1,966 +0,0 @@
 #!/bin/bash
 # stress_test.sh — ЖЁСТКИЙ стресс-тест shared-sqs
 # Created: 2026-04-11
 # Updated: 2026-04-11 — v2: масштаб, long-poll, race, batch, 50 очередей, memory, multi-kill
 # Покрывает:
 #   1.  Подготовка (тенанты, очереди)
 #   2.  Параллельная отправка — 50 воркеров × 20 msg = 1000 сообщений
 #   3.  Параллельное чтение + удаление (гонка)
 #   4.  Multi-tenant изоляция (5 тенантов одновременно)
 #   5.  Burst — 100 сообщений одновременно
 #   6.  Long-polling + параллельные producer'ы
 #   7.  Двойное удаление (race на receipt handle)
 #   8.  Batch-операции конкурентно (SendMessageBatch + DeleteMessageBatch)
 #   9.  Много очередей — 30 очередей на тенанта
 #   10. Kill pod + восстановление из Redis
 #   11. Redis disconnect / reconnect
 #   12. Смешанная нагрузка (send+recv+delete+getattr, 20s)
 #   13. Memory leak check (RSS до/после нагрузки)
 #   14. Multi-kill: kill → восстановление → kill → восстановление
 #   15. Cleanup
 # Запуск: BASE_URL=https://qu.kube5s.ru ADMIN_TOKEN=... bash tests/stress_test.sh
 set -uo pipefail
 # ═══════════════════════════════════════════
 # КОНФИГУРАЦИЯ
 # ═══════════════════════════════════════════
 BASE_URL="${BASE_URL:-https://qu.kube5s.ru}"
 ADMIN_TOKEN="${ADMIN_TOKEN:-sqs-admin-7a7d8bd0c060a75c198d48680f34077a}"
 TS=$(date +%s)
 NAMESPACE="shared-sqs"
 POD_LABEL="app.kubernetes.io/name=shared-sqs"
 # Параметры нагрузки — ЖЁСТКИЕ
 CONCURRENT_WORKERS=50       # параллельных воркеров
 MESSAGES_PER_WORKER=20      # сообщений на воркер (итого 1000)
 BURST_SIZE=100              # размер burst-пакета
 TENANT_COUNT=5              # тенантов для multi-tenant теста
 QUEUE_FLOOD_COUNT=30        # очередей на тенанта
 MIXED_DURATION=20           # длительность смешанной нагрузки (сек)
 BATCH_WORKERS=10            # воркеров для batch-операций
 PASS=0
 FAIL=0
 TOTAL=0
 TMPDIR_STRESS=$(mktemp -d /tmp/sqs_stress_XXXXX)
 # ═══════════════════════════════════════════
 # ХЕЛПЕРЫ
 # ═══════════════════════════════════════════
 json_field() {
    python3 -c "import sys,json; print(json.load(sys.stdin).get('$1',''))" 2>/dev/null
 }
 # progress_dot — печатает точку без переноса строки (прогресс)
 progress_dot() {
    printf "." >&2
 }
 # progress_done — завершает строку прогресса
 progress_done() {
    echo "" >&2
 }
 check() {
    local name="$1" output="$2" pattern="$3"
    TOTAL=$((TOTAL + 1))
    if echo "$output" | grep -qE "$pattern"; then
        PASS=$((PASS + 1))
        echo "  ✅ $name"
    else
        FAIL=$((FAIL + 1))
        echo "  ❌ $name"
        echo "       ожидалось: $pattern"
        echo "       получено:  $(echo "$output" | head -5)"
    fi
 }
 check_eq() {
    local name="$1" got="$2" want="$3"
    TOTAL=$((TOTAL + 1))
    if [[ "$got" == "$want" ]]; then
        PASS=$((PASS + 1))
        echo "  ✅ $name ($got)"
    else
        FAIL=$((FAIL + 1))
        echo "  ❌ $name: ожидалось=$want, получено=$got"
    fi
 }
 check_ge() {
    local name="$1" got="$2" want="$3"
    TOTAL=$((TOTAL + 1))
    if [[ "$got" -ge "$want" ]]; then
        PASS=$((PASS + 1))
        echo "  ✅ $name ($got >= $want)"
    else
        FAIL=$((FAIL + 1))
        echo "  ❌ $name: ожидалось >=$want, получено=$got"
    fi
 }
 check_le() {
    local name="$1" got="$2" want="$3"
    TOTAL=$((TOTAL + 1))
    if [[ "$got" -le "$want" ]]; then
        PASS=$((PASS + 1))
        echo "  ✅ $name ($got <= $want)"
    else
        FAIL=$((FAIL + 1))
        echo "  ❌ $name: ожидалось <=$want, получено=$got"
    fi
 }
 sqs() {
    local ak="$1" sk="$2"
    shift 2
    AWS_ACCESS_KEY_ID="$ak" \
    AWS_SECRET_ACCESS_KEY="$sk" \
    AWS_DEFAULT_REGION="us-east-1" \
    aws --endpoint-url "$BASE_URL" --output json sqs "$@" 2>&1
 }
 admin_api() {
    local method="$1" path="$2" body="${3:-}"
    if [[ -n "$body" ]]; then
        curl -s --max-time 20 -X "$method" \
            -H "Authorization: Bearer $ADMIN_TOKEN" \
            -H "Content-Type: application/json" \
            -d "$body" "${BASE_URL}${path}" 2>&1
    else
        curl -s --max-time 20 -X "$method" \
            -H "Authorization: Bearer $ADMIN_TOKEN" "${BASE_URL}${path}" 2>&1
    fi
 }
 qurl() { echo "${BASE_URL}/${1}/${2}"; }
 wait_for_pod_ready() {
    local max_wait=120 waited=0
    echo "    ⏳ Ожидание пода (max ${max_wait}s)..."
    while [[ $waited -lt $max_wait ]]; do
        local ready
        ready=$(kubectl get pods -n "$NAMESPACE" -l "$POD_LABEL" \
            -o jsonpath='{.items[0].status.conditions[?(@.type=="Ready")].status}' 2>/dev/null)
        if [[ "$ready" == "True" ]]; then
            echo "    ✅ Под готов (${waited}s)"
            return 0
        fi
        sleep 2
        waited=$((waited + 2))
        printf "." >&2
    done
    echo ""
    echo "    ⚠️  Под не готов после ${max_wait}s"
    return 1
 }
 wait_for_healthy() {
    local max_wait=120 waited=0
    echo "    ⏳ Ожидание /health (max ${max_wait}s)..."
    while [[ $waited -lt $max_wait ]]; do
        local status
        status=$(curl -s -o /dev/null -w "%{http_code}" --max-time 5 "${BASE_URL}/health" 2>/dev/null)
        if [[ "$status" == "200" ]]; then
            echo "    ✅ Сервис отвечает (${waited}s)"
            return 0
        fi
        sleep 2
        waited=$((waited + 2))
        printf "." >&2
    done
    echo ""
    echo "    ⚠️  Сервис не отвечает после ${max_wait}s"
    return 1
 }
 # get_pod_rss_mb — RSS памяти текущего пода в MB
 get_pod_rss_mb() {
    local pod
    pod=$(kubectl get pods -n "$NAMESPACE" -l "$POD_LABEL" \
        -o jsonpath='{.items[0].metadata.name}' 2>/dev/null)
    # kubectl top может не работать — fallback на /proc
    local rss_kb
    rss_kb=$(kubectl exec -n "$NAMESPACE" "$pod" -- cat /proc/1/status 2>/dev/null \
        | grep VmRSS | awk '{print $2}')
    if [[ -n "$rss_kb" ]]; then
        echo $((rss_kb / 1024))
    else
        echo "0"
    fi
 }
 kill_pod() {
    local pod
    pod=$(kubectl get pods -n "$NAMESPACE" -l "$POD_LABEL" \
        -o jsonpath='{.items[0].metadata.name}' 2>/dev/null)
    echo "    🔪 Kill: $pod"
    kubectl delete pod "$pod" -n "$NAMESPACE" --grace-period=0 --force 2>&1 | head -1
 }
 cleanup() { rm -rf "$TMPDIR_STRESS" 2>/dev/null; }
 trap cleanup EXIT
 STARTED_AT=$(date +%s)
 echo "╔═══════════════════════════════════════════════════════════════════╗"
 echo "║   shared-sqs STRESS TEST v2 — $(date '+%Y-%m-%d %H:%M:%S')                    ║"
 echo "║   Endpoint: ${BASE_URL}                              ║"
 echo "║   Workers: ${CONCURRENT_WORKERS}  Msgs/worker: ${MESSAGES_PER_WORKER}  Burst: ${BURST_SIZE}  Tenants: ${TENANT_COUNT}    ║"
 echo "║   Queue-flood: ${QUEUE_FLOOD_COUNT}  Batch-workers: ${BATCH_WORKERS}  Mixed: ${MIXED_DURATION}s           ║"
 echo "╚═══════════════════════════════════════════════════════════════════╝"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 1. ПОДГОТОВКА — тенанты и очереди
 # ═══════════════════════════════════════════════════════════
 echo "═══ 1. Подготовка — создаём $TENANT_COUNT тенантов ═══"
 declare -a TENANT_AK TENANT_SK TENANT_ID
 for i in $(seq 1 $TENANT_COUNT); do
    R=$(admin_api POST "/admin/tenants" "{\"name\":\"stress-t${i}-${TS}\",\"max_queues\":100}")
    TENANT_AK[$i]=$(echo "$R" | json_field access_key)
    TENANT_SK[$i]=$(echo "$R" | json_field secret_key)
    TENANT_ID[$i]=$(echo "$R" | json_field id)
    echo "  Тенант ${i}: ID=${TENANT_ID[$i]} AK=${TENANT_AK[$i]:0:20}..."
    if [[ -z "${TENANT_AK[$i]}" ]]; then
        echo "  ⛔ ОШИБКА создания тенанта ${i}: $R"
        exit 1
    fi
 done
 # Сохраняем в файлы — для subshell
 for i in $(seq 1 $TENANT_COUNT); do
    echo "${TENANT_AK[$i]}" > "${TMPDIR_STRESS}/tak_${i}"
    echo "${TENANT_SK[$i]}" > "${TMPDIR_STRESS}/tsk_${i}"
    echo "${TENANT_ID[$i]}" > "${TMPDIR_STRESS}/tid_${i}"
 done
 T1_AK="${TENANT_AK[1]}"; T1_SK="${TENANT_SK[1]}"; T1_ID="${TENANT_ID[1]}"
 # Очереди
 STRESS_Q="stress-conc-${TS}"
 for i in $(seq 1 $TENANT_COUNT); do
    R=$(sqs "${TENANT_AK[$i]}" "${TENANT_SK[$i]}" create-queue --queue-name "$STRESS_Q")
 done
 STRESS_QURL=$(qurl "$T1_ID" "$STRESS_Q")
 BURST_Q="stress-burst-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$BURST_Q")
 BURST_QURL=$(qurl "$T1_ID" "$BURST_Q")
 echo "  Очередь conc: $STRESS_Q (для $TENANT_COUNT тенантов)"
 echo "  Очередь burst: $BURST_Q"
 echo "  Подготовка завершена за $(($(date +%s) - STARTED_AT))s"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 2. КОНКУРЕНТНАЯ ОТПРАВКА — 50 × 20 = 1000 сообщений
 # ═══════════════════════════════════════════════════════════
 TOTAL_MSGS=$((CONCURRENT_WORKERS * MESSAGES_PER_WORKER))
 echo "═══ 2. Конкурентная отправка: ${CONCURRENT_WORKERS} воркеров × ${MESSAGES_PER_WORKER} = ${TOTAL_MSGS} сообщений ═══"
 SEC2_START=$(date +%s)
 for w in $(seq 1 $CONCURRENT_WORKERS); do
    (
        ok=0; fail=0
        for m in $(seq 1 $MESSAGES_PER_WORKER); do
            R=$(sqs "$T1_AK" "$T1_SK" send-message \
                --queue-url "$STRESS_QURL" \
                --message-body "w${w}-m${m}-${TS}" 2>&1)
            if echo "$R" | grep -q "MessageId"; then ok=$((ok + 1)); else fail=$((fail + 1)); fi
        done
        echo "${ok}:${fail}" > "${TMPDIR_STRESS}/send_w${w}.result"
        # Прогресс: каждый 10-й воркер печатает
        if (( w % 10 == 0 )); then printf "[W${w}:${ok}ok] " >&2; fi
    ) &
 done
 echo "  ⏳ Отправка идёт... (прогресс каждые 10 воркеров)"
 wait
 echo ""
 SEND_OK=0; SEND_FAIL=0
 for w in $(seq 1 $CONCURRENT_WORKERS); do
    if [[ -f "${TMPDIR_STRESS}/send_w${w}.result" ]]; then
        IFS=':' read -r ok fail < "${TMPDIR_STRESS}/send_w${w}.result"
        SEND_OK=$((SEND_OK + ok)); SEND_FAIL=$((SEND_FAIL + fail))
    fi
 done
 SEC2_DUR=$(($(date +%s) - SEC2_START))
 echo "  Результат: ${SEND_OK} ok, ${SEND_FAIL} fail за ${SEC2_DUR}s (~$((SEND_OK / (SEC2_DUR + 1))) msg/s)"
 check_eq "Все ${TOTAL_MSGS} сообщений отправлены" "$SEND_OK" "$TOTAL_MSGS"
 sleep 2
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes \
    --queue-url "$STRESS_QURL" --attribute-names ApproximateNumberOfMessages 2>&1)
 APPROX=$(echo "$R" | grep -oP '"ApproximateNumberOfMessages"\s*:\s*"\K[0-9]+')
 echo "  GetQueueAttributes: ~${APPROX} в очереди"
 check_eq "Количество в очереди = $TOTAL_MSGS" "${APPROX:-0}" "$TOTAL_MSGS"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 3. КОНКУРЕНТНОЕ ЧТЕНИЕ — гонка за 1000 сообщений
 # ═══════════════════════════════════════════════════════════
 echo "═══ 3. Конкурентное чтение: ${CONCURRENT_WORKERS} воркеров забирают ${TOTAL_MSGS} сообщений ═══"
 SEC3_START=$(date +%s)
 for w in $(seq 1 $CONCURRENT_WORKERS); do
    (
        received=0; deleted=0; empty_rounds=0
        while [[ $empty_rounds -lt 8 ]]; do
            R=$(sqs "$T1_AK" "$T1_SK" receive-message \
                --queue-url "$STRESS_QURL" \
                --max-number-of-messages 10 --wait-time-seconds 1 2>&1)
            MSG_COUNT=$(echo "$R" | grep -c '"MessageId"' || true)
            if [[ "$MSG_COUNT" -eq 0 ]]; then empty_rounds=$((empty_rounds + 1)); continue; fi
            empty_rounds=0
            received=$((received + MSG_COUNT))
            HANDLES=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+')
            while IFS= read -r handle; do
                sqs "$T1_AK" "$T1_SK" delete-message \
                    --queue-url "$STRESS_QURL" --receipt-handle "$handle" >/dev/null 2>&1
                deleted=$((deleted + 1))
            done <<< "$HANDLES"
        done
        echo "${received}:${deleted}" > "${TMPDIR_STRESS}/recv_w${w}.result"
        if (( w % 10 == 0 )); then printf "[R${w}:${received}r/${deleted}d] " >&2; fi
    ) &
 done
 echo "  ⏳ Чтение идёт... (прогресс каждые 10 воркеров)"
 wait
 echo ""
 RECV_TOTAL=0; DEL_TOTAL=0
 for w in $(seq 1 $CONCURRENT_WORKERS); do
    if [[ -f "${TMPDIR_STRESS}/recv_w${w}.result" ]]; then
        IFS=':' read -r recv del < "${TMPDIR_STRESS}/recv_w${w}.result"
        RECV_TOTAL=$((RECV_TOTAL + recv)); DEL_TOTAL=$((DEL_TOTAL + del))
    fi
 done
 SEC3_DUR=$(($(date +%s) - SEC3_START))
 echo "  Результат: прочитано=${RECV_TOTAL}, удалено=${DEL_TOTAL} за ${SEC3_DUR}s"
 check_ge "Прочитано >= $TOTAL_MSGS" "$RECV_TOTAL" "$TOTAL_MSGS"
 sleep 2
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes \
    --queue-url "$STRESS_QURL" --attribute-names ApproximateNumberOfMessages 2>&1)
 APPROX=$(echo "$R" | grep -oP '"ApproximateNumberOfMessages"\s*:\s*"\K[0-9]+')
 check_eq "Очередь пуста" "${APPROX:-0}" "0"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 4. MULTI-TENANT ИЗОЛЯЦИЯ — 5 тенантов × 50 msg одновременно
 # ═══════════════════════════════════════════════════════════
 MSGS_PER_TENANT=50
 echo "═══ 4. Multi-tenant изоляция: ${TENANT_COUNT} тенантов × ${MSGS_PER_TENANT} msg ═══"
 SEC4_START=$(date +%s)
 for i in $(seq 1 $TENANT_COUNT); do
    (
        tak=$(cat "${TMPDIR_STRESS}/tak_${i}")
        tsk=$(cat "${TMPDIR_STRESS}/tsk_${i}")
        tid=$(cat "${TMPDIR_STRESS}/tid_${i}")
        my_qurl="${BASE_URL}/${tid}/${STRESS_Q}"
        ok=0
        for m in $(seq 1 $MSGS_PER_TENANT); do
            R=$(sqs "$tak" "$tsk" send-message --queue-url "$my_qurl" \
                --message-body "tenant-${i}-iso-${m}" 2>&1)
            if echo "$R" | grep -q "MessageId"; then ok=$((ok + 1)); fi
        done
        echo "$ok" > "${TMPDIR_STRESS}/tenant_send_${i}.result"
        printf "[T${i}:${ok}sent] " >&2
    ) &
 done
 echo "  ⏳ Тенанты отправляют..."
 wait
 echo ""
 # Чтение и проверка изоляции
 for i in $(seq 1 $TENANT_COUNT); do
    (
        tak=$(cat "${TMPDIR_STRESS}/tak_${i}")
        tsk=$(cat "${TMPDIR_STRESS}/tsk_${i}")
        tid=$(cat "${TMPDIR_STRESS}/tid_${i}")
        my_qurl="${BASE_URL}/${tid}/${STRESS_Q}"
        own=0; foreign=0; empty_rounds=0
        while [[ $empty_rounds -lt 5 ]]; do
            R=$(sqs "$tak" "$tsk" receive-message --queue-url "$my_qurl" \
                --max-number-of-messages 10 --wait-time-seconds 1 2>&1)
            MSG_COUNT=$(echo "$R" | grep -c '"Body"' || true)
            if [[ "$MSG_COUNT" -eq 0 ]]; then empty_rounds=$((empty_rounds + 1)); continue; fi
            empty_rounds=0
            while IFS= read -r body; do
                if echo "$body" | grep -q "tenant-${i}-"; then own=$((own + 1)); else foreign=$((foreign + 1)); fi
            done < <(echo "$R" | grep -oP '"Body"\s*:\s*"\K[^"]+')
            HANDLES=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+')
            while IFS= read -r handle; do
                sqs "$tak" "$tsk" delete-message --queue-url "$my_qurl" --receipt-handle "$handle" >/dev/null 2>&1
            done <<< "$HANDLES"
        done
        echo "${own}:${foreign}" > "${TMPDIR_STRESS}/tenant_recv_${i}.result"
        printf "[T${i}:own=${own},foreign=${foreign}] " >&2
    ) &
 done
 echo "  ⏳ Тенанты читают..."
 wait
 echo ""
 ALL_FOREIGN=0; ALL_OWN=0
 for i in $(seq 1 $TENANT_COUNT); do
    if [[ -f "${TMPDIR_STRESS}/tenant_recv_${i}.result" ]]; then
        IFS=':' read -r own foreign < "${TMPDIR_STRESS}/tenant_recv_${i}.result"
        echo "  Тенант ${i}: своих=${own}, чужих=${foreign}"
        ALL_OWN=$((ALL_OWN + own)); ALL_FOREIGN=$((ALL_FOREIGN + foreign))
    fi
 done
 SEC4_DUR=$(($(date +%s) - SEC4_START))
 echo "  Итого: своих=$ALL_OWN, чужих=$ALL_FOREIGN за ${SEC4_DUR}s"
 check_eq "Чужих сообщений: 0" "$ALL_FOREIGN" "0"
 check_ge "Свои сообщения получены" "$ALL_OWN" "$((TENANT_COUNT * MSGS_PER_TENANT))"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 5. BURST — 100 сообщений одновременно
 # ═══════════════════════════════════════════════════════════
 echo "═══ 5. Burst: ${BURST_SIZE} сообщений одновременно ═══"
 SEC5_START=$(date +%s)
 for b in $(seq 1 $BURST_SIZE); do
    (
        R=$(sqs "$T1_AK" "$T1_SK" send-message --queue-url "$BURST_QURL" \
            --message-body "burst-${b}-${TS}" 2>&1)
        if echo "$R" | grep -q "MessageId"; then echo "1"; else echo "0"; fi \
            > "${TMPDIR_STRESS}/burst_${b}.result"
    ) &
    # Прогресс пачками по 25
    if (( b % 25 == 0 )); then printf "[${b}/${BURST_SIZE}] " >&2; fi
 done
 echo "  ⏳ Burst отправка..."
 wait
 echo ""
 BURST_OK=0
 for b in $(seq 1 $BURST_SIZE); do
    [[ -f "${TMPDIR_STRESS}/burst_${b}.result" ]] && BURST_OK=$((BURST_OK + $(cat "${TMPDIR_STRESS}/burst_${b}.result")))
 done
 SEC5_DUR=$(($(date +%s) - SEC5_START))
 echo "  Результат: ${BURST_OK}/${BURST_SIZE} за ${SEC5_DUR}s"
 check_ge "Burst >= 90%" "$BURST_OK" "$((BURST_SIZE * 90 / 100))"
 sleep 3
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes --queue-url "$BURST_QURL" \
    --attribute-names ApproximateNumberOfMessages 2>&1)
 BURST_APPROX=$(echo "$R" | grep -oP '"ApproximateNumberOfMessages"\s*:\s*"\K[0-9]+')
 echo "  Очередь burst: ~${BURST_APPROX}"
 check_eq "Burst все в очереди" "${BURST_APPROX:-0}" "$BURST_OK"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 6. LONG-POLLING + параллельные producer'ы
 # ═══════════════════════════════════════════════════════════
 echo "═══ 6. Long-polling: consumer WaitTime=10s + 5 producers ═══"
 SEC6_START=$(date +%s)
 LONGPOLL_Q="stress-longpoll-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$LONGPOLL_Q" \
    --attributes '{"ReceiveMessageWaitTimeSeconds":"10"}')
 LONGPOLL_QURL=$(qurl "$T1_ID" "$LONGPOLL_Q")
 # Consumer: читает с long-poll, считает сколько получит за 30s
 (
    end=$((SECONDS + 30))
    total_recv=0
    while [[ $SECONDS -lt $end ]]; do
        R=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$LONGPOLL_QURL" \
            --max-number-of-messages 10 --wait-time-seconds 10 2>&1)
        cnt=$(echo "$R" | grep -c '"MessageId"' || true)
        total_recv=$((total_recv + cnt))
        if (( total_recv % 10 == 0 && total_recv > 0 )); then printf "[LP-recv:${total_recv}] " >&2; fi
    done
    echo "$total_recv" > "${TMPDIR_STRESS}/longpoll_recv.result"
 ) &
 # Producers: начинают через 3s, каждый отправляет 20 msg с паузами
 sleep 3
 for p in $(seq 1 5); do
    (
        ok=0
        for m in $(seq 1 20); do
            R=$(sqs "$T1_AK" "$T1_SK" send-message --queue-url "$LONGPOLL_QURL" \
                --message-body "longpoll-p${p}-m${m}" 2>&1)
            if echo "$R" | grep -q "MessageId"; then ok=$((ok + 1)); fi
            sleep 0.2
        done
        echo "$ok" > "${TMPDIR_STRESS}/longpoll_prod_${p}.result"
        printf "[LP-prod${p}:${ok}] " >&2
    ) &
 done
 echo "  ⏳ Long-poll: consumer ждёт, producers отправляют (30s)..."
 wait
 echo ""
 LP_SENT=0
 for p in $(seq 1 5); do
    [[ -f "${TMPDIR_STRESS}/longpoll_prod_${p}.result" ]] && LP_SENT=$((LP_SENT + $(cat "${TMPDIR_STRESS}/longpoll_prod_${p}.result")))
 done
 LP_RECV=$(cat "${TMPDIR_STRESS}/longpoll_recv.result" 2>/dev/null || echo 0)
 SEC6_DUR=$(($(date +%s) - SEC6_START))
 echo "  Producers отправили: $LP_SENT, consumer получил: $LP_RECV за ${SEC6_DUR}s"
 check_ge "Long-poll: получено >= 50% отправленных" "$LP_RECV" "$((LP_SENT / 2))"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 7. ДВОЙНОЕ УДАЛЕНИЕ — race на receipt handle
 # ═══════════════════════════════════════════════════════════
 echo "═══ 7. Двойное удаление: 2 воркера гонятся за одно сообщение ═══"
 RACE_Q="stress-race-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$RACE_Q")
 RACE_QURL=$(qurl "$T1_ID" "$RACE_Q")
 # Отправляем 20 сообщений
 for m in $(seq 1 20); do
    sqs "$T1_AK" "$T1_SK" send-message --queue-url "$RACE_QURL" \
        --message-body "race-${m}" >/dev/null 2>&1
 done
 echo "  Отправлено 20 сообщений"
 # VisibilityTimeout=0 — чтобы оба воркера получали одни сообщения
 RACE_DOUBLE_DEL=0
 RACE_OK_DEL=0
 for round in $(seq 1 10); do
    # Два воркера одновременно получают
    R1=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$RACE_QURL" \
        --max-number-of-messages 1 --visibility-timeout 30 2>&1)
    HANDLE=$(echo "$R1" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+' | head -1)
    if [[ -z "$HANDLE" ]]; then continue; fi
    # Два параллельных delete
    D1=$(sqs "$T1_AK" "$T1_SK" delete-message --queue-url "$RACE_QURL" --receipt-handle "$HANDLE" 2>&1) &
    PID1=$!
    D2=$(sqs "$T1_AK" "$T1_SK" delete-message --queue-url "$RACE_QURL" --receipt-handle "$HANDLE" 2>&1) &
    PID2=$!
    wait $PID1 $PID2
    RACE_OK_DEL=$((RACE_OK_DEL + 1))
    printf "[race-${round}] " >&2
 done
 echo ""
 echo "  Раундов race: ${RACE_OK_DEL}/10"
 # Главное: сервер НЕ упал
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes --queue-url "$RACE_QURL" \
    --attribute-names ApproximateNumberOfMessages 2>&1)
 check "Сервер жив после double-delete" "$R" "ApproximateNumberOfMessages"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 8. BATCH-ОПЕРАЦИИ конкурентно
 # ═══════════════════════════════════════════════════════════
 echo "═══ 8. Batch-операции: ${BATCH_WORKERS} воркеров SendMessageBatch + DeleteMessageBatch ═══"
 SEC8_START=$(date +%s)
 BATCH_Q="stress-batch-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$BATCH_Q")
 BATCH_QURL=$(qurl "$T1_ID" "$BATCH_Q")
 # Параллельные SendMessageBatch (10 msg per batch × 10 workers = 100 msg)
 for w in $(seq 1 $BATCH_WORKERS); do
    (
        # Формируем batch из 10 записей
        ENTRIES=""
        for e in $(seq 1 10); do
            [[ -n "$ENTRIES" ]] && ENTRIES="${ENTRIES},"
            ENTRIES="${ENTRIES}{\"Id\":\"${w}-${e}\",\"MessageBody\":\"batch-w${w}-e${e}\"}"
        done
        R=$(sqs "$T1_AK" "$T1_SK" send-message-batch --queue-url "$BATCH_QURL" \
            --entries "[${ENTRIES}]" 2>&1)
        ok=$(echo "$R" | grep -c '"MessageId"' || true)
        echo "$ok" > "${TMPDIR_STRESS}/batch_send_${w}.result"
        printf "[B-send${w}:${ok}] " >&2
    ) &
 done
 echo "  ⏳ SendMessageBatch..."
 wait
 echo ""
 BATCH_SENT=0
 for w in $(seq 1 $BATCH_WORKERS); do
    [[ -f "${TMPDIR_STRESS}/batch_send_${w}.result" ]] && BATCH_SENT=$((BATCH_SENT + $(cat "${TMPDIR_STRESS}/batch_send_${w}.result")))
 done
 echo "  Batch отправлено: ${BATCH_SENT}"
 check_ge "Batch: отправлено >= 80" "$BATCH_SENT" "80"
 # Параллельные ReceiveMessage + DeleteMessageBatch
 BATCH_DELETED=0
 for w in $(seq 1 5); do
    (
        del=0; empty=0
        while [[ $empty -lt 3 ]]; do
            R=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$BATCH_QURL" \
                --max-number-of-messages 10 --wait-time-seconds 1 2>&1)
            HANDLES=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+')
            if [[ -z "$HANDLES" ]]; then empty=$((empty + 1)); continue; fi
            empty=0
            # Формируем batch delete
            ENTRIES=""
            idx=0
            while IFS= read -r handle; do
                [[ -z "$handle" ]] && continue
                [[ -n "$ENTRIES" ]] && ENTRIES="${ENTRIES},"
                ENTRIES="${ENTRIES}{\"Id\":\"${idx}\",\"ReceiptHandle\":\"${handle}\"}"
                idx=$((idx + 1))
            done <<< "$HANDLES"
            if [[ -n "$ENTRIES" ]]; then
                DR=$(sqs "$T1_AK" "$T1_SK" delete-message-batch --queue-url "$BATCH_QURL" \
                    --entries "[${ENTRIES}]" 2>&1)
                ok_del=$(echo "$DR" | grep -c '"Id"' || true)
                del=$((del + ok_del))
            fi
        done
        echo "$del" > "${TMPDIR_STRESS}/batch_del_${w}.result"
        printf "[B-del${w}:${del}] " >&2
    ) &
 done
 echo "  ⏳ DeleteMessageBatch..."
 wait
 echo ""
 BATCH_DEL_TOTAL=0
 for w in $(seq 1 5); do
    [[ -f "${TMPDIR_STRESS}/batch_del_${w}.result" ]] && BATCH_DEL_TOTAL=$((BATCH_DEL_TOTAL + $(cat "${TMPDIR_STRESS}/batch_del_${w}.result")))
 done
 SEC8_DUR=$(($(date +%s) - SEC8_START))
 echo "  Batch удалено: $BATCH_DEL_TOTAL за ${SEC8_DUR}s"
 check_ge "Batch: удалено >= 80%" "$BATCH_DEL_TOTAL" "$((BATCH_SENT * 80 / 100))"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 9. МНОГО ОЧЕРЕДЕЙ — 30 очередей на тенанта
 # ═══════════════════════════════════════════════════════════
 echo "═══ 9. Queue-flood: ${QUEUE_FLOOD_COUNT} очередей, send+receive в каждую ═══"
 SEC9_START=$(date +%s)
 # Создаём 30 очередей параллельно
 for q in $(seq 1 $QUEUE_FLOOD_COUNT); do
    (
        qname="stress-flood-${q}-${TS}"
        my_qurl=$(qurl "$T1_ID" "$qname")
        # Создаём
        R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$qname" 2>&1)
        if ! echo "$R" | grep -q "QueueUrl"; then echo "0" > "${TMPDIR_STRESS}/flood_${q}.result"; exit 0; fi
        # Отправляем 5 msg
        for m in $(seq 1 5); do
            sqs "$T1_AK" "$T1_SK" send-message --queue-url "$my_qurl" \
                --message-body "flood-q${q}-m${m}" >/dev/null 2>&1
        done
        # Читаем 1
        R=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$my_qurl" \
            --max-number-of-messages 1 --wait-time-seconds 1 2>&1)
        if echo "$R" | grep -q "MessageId"; then echo "1" > "${TMPDIR_STRESS}/flood_${q}.result"
        else echo "0" > "${TMPDIR_STRESS}/flood_${q}.result"; fi
        if (( q % 10 == 0 )); then printf "[Q${q}] " >&2; fi
    ) &
 done
 echo "  ⏳ Создание и тест ${QUEUE_FLOOD_COUNT} очередей..."
 wait
 echo ""
 FLOOD_OK=0
 for q in $(seq 1 $QUEUE_FLOOD_COUNT); do
    [[ -f "${TMPDIR_STRESS}/flood_${q}.result" ]] && FLOOD_OK=$((FLOOD_OK + $(cat "${TMPDIR_STRESS}/flood_${q}.result")))
 done
 SEC9_DUR=$(($(date +%s) - SEC9_START))
 echo "  Успешных: ${FLOOD_OK}/${QUEUE_FLOOD_COUNT} за ${SEC9_DUR}s"
 check_ge "Queue-flood: >= 90% очередей работают" "$FLOOD_OK" "$((QUEUE_FLOOD_COUNT * 90 / 100))"
 # Проверяем ListQueues — должно быть >= 30 flood-очередей
 R=$(sqs "$T1_AK" "$T1_SK" list-queues --queue-name-prefix "stress-flood" 2>&1)
 LISTED=$(echo "$R" | grep -c "stress-flood" || true)
 echo "  ListQueues видит: $LISTED очередей"
 check_ge "ListQueues >= ${QUEUE_FLOOD_COUNT}" "$LISTED" "$QUEUE_FLOOD_COUNT"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 10. MEMORY CHECK — RSS до нагрузки
 # ═══════════════════════════════════════════════════════════
 echo "═══ 10. Memory check — запоминаем RSS ═══"
 RSS_BEFORE=$(get_pod_rss_mb)
 echo "  RSS до тяжёлой фазы: ${RSS_BEFORE} MB"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 11. KILL POD + восстановление из Redis
 # ═══════════════════════════════════════════════════════════
 echo "═══ 11. Kill pod → восстановление из Redis ═══"
 # Перед kill — отправляем в burst-очередь ещё 20 msg
 EXTRA=20
 for m in $(seq 1 $EXTRA); do
    sqs "$T1_AK" "$T1_SK" send-message --queue-url "$BURST_QURL" \
        --message-body "pre-kill-${m}-${TS}" >/dev/null 2>&1
    if (( m % 5 == 0 )); then printf "[pre-kill:${m}] " >&2; fi
 done
 echo ""
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes --queue-url "$BURST_QURL" \
    --attribute-names ApproximateNumberOfMessages 2>&1)
 BEFORE_KILL=$(echo "$R" | grep -oP '"ApproximateNumberOfMessages"\s*:\s*"\K[0-9]+')
 echo "  Сообщений в burst до kill: ${BEFORE_KILL:-?}"
 kill_pod
 echo "  Ждём рестарт..."
 wait_for_pod_ready
 wait_for_healthy
 sleep 3
 R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes --queue-url "$BURST_QURL" \
    --attribute-names ApproximateNumberOfMessages 2>&1)
 AFTER_KILL=$(echo "$R" | grep -oP '"ApproximateNumberOfMessages"\s*:\s*"\K[0-9]+')
 echo "  Сообщений после рестарта: ${AFTER_KILL:-0}"
 check_eq "Данные восстановлены из Redis" "${AFTER_KILL:-0}" "${BEFORE_KILL}"
 R=$(admin_api GET "/admin/tenants")
 TC=$(echo "$R" | grep -c "stress-t1-${TS}" || true)
 check_ge "Тенанты восстановлены" "$TC" "1"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 12. REDIS DISCONNECT / RECONNECT
 # ═══════════════════════════════════════════════════════════
 echo "═══ 12. Redis disconnect simulation ═══"
 cat <<'NETPOL' | kubectl apply -n "$NAMESPACE" -f - 2>&1 | head -1
 apiVersion: networking.k8s.io/v1
 kind: NetworkPolicy
 metadata:
  name: stress-test-block-redis
 spec:
  podSelector:
    matchLabels:
      app.kubernetes.io/name: shared-sqs
  policyTypes:
  - Egress
  egress:
  - to:
    - ipBlock:
        cidr: 0.0.0.0/0
        except:
        - 10.0.0.0/8
    ports:
    - protocol: TCP
      port: 443
    - protocol: TCP
      port: 80
  - to:
    - namespaceSelector: {}
    ports:
    - protocol: TCP
      port: 53
    - protocol: UDP
      port: 53
 NETPOL
 echo "  NetworkPolicy applied — Redis заблокирован"
 sleep 5
 R_CODE=$(curl -s -o /dev/null -w "%{http_code}" --max-time 10 \
    -H "Authorization: Bearer $ADMIN_TOKEN" "${BASE_URL}/admin/tenants" 2>/dev/null)
 echo "  HTTP при потере Redis: $R_CODE"
 TOTAL=$((TOTAL + 1))
 if [[ "$R_CODE" =~ ^[2345][0-9][0-9]$ ]]; then
    PASS=$((PASS + 1)); echo "  ✅ Сервис отвечает (HTTP $R_CODE)"
 else
    FAIL=$((FAIL + 1)); echo "  ❌ Сервис не отвечает (HTTP $R_CODE)"
 fi
 kubectl delete networkpolicy stress-test-block-redis -n "$NAMESPACE" 2>&1 | head -1
 echo "  NetworkPolicy удалена — Redis доступен"
 sleep 5
 R=$(sqs "$T1_AK" "$T1_SK" send-message --queue-url "$BURST_QURL" \
    --message-body "after-redis-recovery-${TS}" 2>&1)
 check "Сервис работает после Redis reconnect" "$R" "MessageId"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 13. СМЕШАННАЯ НАГРУЗКА — send + receive + delete + getattr (20s)
 # ═══════════════════════════════════════════════════════════
 echo "═══ 13. Смешанная нагрузка: 10 senders + 10 receivers + 3 getattr × ${MIXED_DURATION}s ═══"
 SEC13_START=$(date +%s)
 MIXED_Q="stress-mixed-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$MIXED_Q")
 MIXED_QURL=$(qurl "$T1_ID" "$MIXED_Q")
 # Предзагрузка 100 msg
 for m in $(seq 1 100); do
    sqs "$T1_AK" "$T1_SK" send-message --queue-url "$MIXED_QURL" \
        --message-body "mixed-init-${m}" >/dev/null 2>&1
    if (( m % 20 == 0 )); then printf "[init:${m}] " >&2; fi
 done
 echo ""
 echo "  Начальная загрузка: 100 msg"
 # 10 Отправителей
 for w in $(seq 1 10); do
    (
        end=$((SECONDS + MIXED_DURATION)); ok=0
        while [[ $SECONDS -lt $end ]]; do
            R=$(sqs "$T1_AK" "$T1_SK" send-message --queue-url "$MIXED_QURL" \
                --message-body "mixed-s${w}-$(date +%s%N)" 2>&1)
            if echo "$R" | grep -q "MessageId"; then ok=$((ok + 1)); fi
        done
        echo "$ok" > "${TMPDIR_STRESS}/mixed_send_${w}.result"
    ) &
 done
 # 10 Читателей-удалителей
 for w in $(seq 1 10); do
    (
        end=$((SECONDS + MIXED_DURATION)); recv=0
        while [[ $SECONDS -lt $end ]]; do
            R=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$MIXED_QURL" \
                --max-number-of-messages 10 --wait-time-seconds 1 2>&1)
            HANDLES=$(echo "$R" | grep -oP '"ReceiptHandle"\s*:\s*"\K[^"]+')
            while IFS= read -r handle; do
                [[ -z "$handle" ]] && continue
                sqs "$T1_AK" "$T1_SK" delete-message --queue-url "$MIXED_QURL" \
                    --receipt-handle "$handle" >/dev/null 2>&1
                recv=$((recv + 1))
            done <<< "$HANDLES"
        done
        echo "$recv" > "${TMPDIR_STRESS}/mixed_recv_${w}.result"
    ) &
 done
 # 3 GetQueueAttributes
 for w in $(seq 1 3); do
    (
        end=$((SECONDS + MIXED_DURATION)); ok=0; fail=0
        while [[ $SECONDS -lt $end ]]; do
            R=$(sqs "$T1_AK" "$T1_SK" get-queue-attributes --queue-url "$MIXED_QURL" \
                --attribute-names All 2>&1)
            if echo "$R" | grep -q "ApproximateNumberOfMessages"; then ok=$((ok + 1)); else fail=$((fail + 1)); fi
            sleep 0.5
        done
        echo "${ok}:${fail}" > "${TMPDIR_STRESS}/mixed_attr_${w}.result"
    ) &
 done
 # Прогресс каждые 5 сек
 (
    elapsed=0
    while [[ $elapsed -lt $MIXED_DURATION ]]; do
        sleep 5
        elapsed=$((elapsed + 5))
        printf "[mixed: ${elapsed}/${MIXED_DURATION}s] " >&2
    done
 ) &
 PROGRESS_PID=$!
 echo "  ⏳ Смешанная нагрузка ${MIXED_DURATION}s..."
 wait
 echo ""
 MIXED_SENT=0; MIXED_RECV=0; ATTR_OK=0; ATTR_FAIL=0
 for w in $(seq 1 10); do
    [[ -f "${TMPDIR_STRESS}/mixed_send_${w}.result" ]] && MIXED_SENT=$((MIXED_SENT + $(cat "${TMPDIR_STRESS}/mixed_send_${w}.result")))
    [[ -f "${TMPDIR_STRESS}/mixed_recv_${w}.result" ]] && MIXED_RECV=$((MIXED_RECV + $(cat "${TMPDIR_STRESS}/mixed_recv_${w}.result")))
 done
 for w in $(seq 1 3); do
    if [[ -f "${TMPDIR_STRESS}/mixed_attr_${w}.result" ]]; then
        IFS=':' read -r ok fail < "${TMPDIR_STRESS}/mixed_attr_${w}.result"
        ATTR_OK=$((ATTR_OK + ok)); ATTR_FAIL=$((ATTR_FAIL + fail))
    fi
 done
 SEC13_DUR=$(($(date +%s) - SEC13_START))
 echo "  Отправлено: $MIXED_SENT, прочитано+удалено: $MIXED_RECV | Attr: ok=$ATTR_OK fail=$ATTR_FAIL | ${SEC13_DUR}s"
 check_ge "Mixed: отправлено > 0" "$MIXED_SENT" "1"
 check_ge "Mixed: прочитано > 0" "$MIXED_RECV" "1"
 check_eq "Mixed: GetQueueAttributes 0 сбоев" "$ATTR_FAIL" "0"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 14. MEMORY CHECK — после нагрузки
 # ═══════════════════════════════════════════════════════════
 echo "═══ 14. Memory check — RSS после нагрузки ═══"
 RSS_AFTER=$(get_pod_rss_mb)
 echo "  RSS до: ${RSS_BEFORE} MB, после: ${RSS_AFTER} MB"
 if [[ "$RSS_BEFORE" -gt 0 && "$RSS_AFTER" -gt 0 ]]; then
    RSS_GROWTH=$((RSS_AFTER - RSS_BEFORE))
    echo "  Рост: ${RSS_GROWTH} MB"
    # Допускаем рост до 100 MB — выше уже подозрительно
    check_le "Рост RSS <= 100MB" "$RSS_GROWTH" "100"
 else
    echo "  ⚠️  Не удалось измерить RSS (возможно /proc недоступен)"
    TOTAL=$((TOTAL + 1)); PASS=$((PASS + 1))
    echo "  ✅ Memory check пропущен (нет доступа к /proc)"
 fi
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 15. MULTI-KILL: kill → up → kill → up
 # ═══════════════════════════════════════════════════════════
 echo "═══ 15. Multi-kill: 3 рестарта подряд ═══"
 SEC15_START=$(date +%s)
 # Отправляем маркерное сообщение
 MARKER_Q="stress-marker-${TS}"
 R=$(sqs "$T1_AK" "$T1_SK" create-queue --queue-name "$MARKER_Q")
 MARKER_QURL=$(qurl "$T1_ID" "$MARKER_Q")
 sqs "$T1_AK" "$T1_SK" send-message --queue-url "$MARKER_QURL" \
    --message-body "marker-survive-3-kills-${TS}" >/dev/null 2>&1
 for k in 1 2 3; do
    echo "  --- Kill #${k} ---"
    kill_pod
    wait_for_pod_ready
    wait_for_healthy
    echo "  Kill #${k}: под восстановлен ✓"
 done
 # Маркер выжил?
 R=$(sqs "$T1_AK" "$T1_SK" receive-message --queue-url "$MARKER_QURL" \
    --max-number-of-messages 1 --wait-time-seconds 2 2>&1)
 SEC15_DUR=$(($(date +%s) - SEC15_START))
 echo "  3 рестарта за ${SEC15_DUR}s"
 check "Маркер выжил 3 рестарта" "$R" "marker-survive-3-kills"
 echo ""
 # ═══════════════════════════════════════════════════════════
 # 16. CLEANUP
 # ═══════════════════════════════════════════════════════════
 echo "═══ 16. Cleanup ═══"
 echo "  Удаляю очереди..."
 # Основные очереди
 for i in $(seq 1 $TENANT_COUNT); do
    tak=$(cat "${TMPDIR_STRESS}/tak_${i}" 2>/dev/null)
    tsk=$(cat "${TMPDIR_STRESS}/tsk_${i}" 2>/dev/null)
    tid=$(cat "${TMPDIR_STRESS}/tid_${i}" 2>/dev/null)
    [[ -n "$tak" ]] && sqs "$tak" "$tsk" delete-queue --queue-url "${BASE_URL}/${tid}/${STRESS_Q}" >/dev/null 2>&1
 done
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$BURST_QURL" >/dev/null 2>&1
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$MIXED_QURL" >/dev/null 2>&1
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$LONGPOLL_QURL" >/dev/null 2>&1
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$RACE_QURL" >/dev/null 2>&1
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$BATCH_QURL" >/dev/null 2>&1
 sqs "$T1_AK" "$T1_SK" delete-queue --queue-url "$MARKER_QURL" >/dev/null 2>&1
 # Flood-очереди
 for q in $(seq 1 $QUEUE_FLOOD_COUNT); do
    sqs "$T1_AK" "$T1_SK" delete-queue \
        --queue-url "$(qurl "$T1_ID" "stress-flood-${q}-${TS}")" >/dev/null 2>&1 &
 done
 wait
 echo "  Очереди удалены"
 TOTAL_DUR=$(($(date +%s) - STARTED_AT))
 echo ""
 echo "╔═══════════════════════════════════════════════════════════════════╗"
 echo "║   ИТОГО: ${PASS}/${TOTAL} ✅    ${FAIL}/${TOTAL} ❌                                   ║"
 echo "║   Время: ${TOTAL_DUR}s                                                     ║"
 echo "╚═══════════════════════════════════════════════════════════════════╝"
 if [[ $FAIL -gt 0 ]]; then exit 1; fi
Author	SHA1	Message	Date
“Naeel”	0f10b43ece	HISTORY: локализация 51с — MSS 1448 на VIP, дроп на платформенном участке	2026-08-15 08:10:51 +04:00
“Naeel”	d528770f1d	chore: убрать __pycache__ из репо, добавить в .gitignore	2026-08-14 23:04:27 +04:00
“Naeel”	59318aa9c6	HISTORY: суровый тест 3 тенантов одновременно — итоги	2026-08-14 23:03:20 +04:00
“Naeel”	77b8586a47	tests: авточистка очередей до и после прогона (мусор не копится)	2026-08-14 22:19:27 +04:00
“Naeel”	31cd327946	HISTORY: итоги финального 30-мин прогона v0.1.35	2026-08-14 21:27:34 +04:00
“Naeel”	e5c53664d2	HISTORY: тесты без больших тел, запуск 30-мин прогона	2026-08-14 20:56:59 +04:00
“Naeel”	96f55bee49	tests: без больших тел (платформа MTU 51с); превышение лимита через MaximumMessageSize=1024	2026-08-14 20:53:32 +04:00
“Naeel”	a62f9e9a55	HISTORY: уточнение причины 51с — MTU (drhider), решение пользователя по тестам	2026-08-14 20:52:34 +04:00
“Naeel”	2090f309ae	HISTORY: результаты диагностики платформы (зависание больших POST ~51с, WAF) + platform_probe	2026-08-14 20:32:30 +04:00
“Naeel”	64728e4ccc	HISTORY: Q&A Соннета по тестам + план диагностики платформы	2026-08-14 20:11:03 +04:00
“Naeel”	23695585e9	HISTORY: сетевые сбои ВМ, фикс DNS (1.1.1.1 + /etc/hosts)	2026-08-14 19:31:20 +04:00
“Naeel”	8c00c05d0c	HISTORY: фиксы гонок map, инцидент с рестартами пода	2026-08-14 18:52:48 +04:00
“Naeel”	c4da02c814	v0.1.35: устранены гонки map (ChangeVisibility/DeleteBatch) и nil-deref под Lock + OverLimit	2026-08-14 18:48:35 +04:00
“Naeel”	9cde807dda	tests: фикс invalid_cases (очереди удаляются после сценариев) + полные AWS-коды в EXPECTED_CODES + invalid_probe	2026-08-14 17:45:37 +04:00
“Naeel”	7ac750bd72	HISTORY: лимит 50, очистка очередей, итоги 1-го нагрузочного прогона	2026-08-14 16:53:41 +04:00
“Naeel”	0b56677363	v0.1.35: лимит очередей JWT-тенантов 50, обновление лимита при логине	2026-08-14 16:51:12 +04:00
“Naeel”	fa237204f0	v0.1.35: FifoQueue/ContentBasedDeduplication в whitelist (совместимость CLI v2)	2026-08-14 16:02:51 +04:00
“Naeel”	7f6e9308d5	v0.1.35: whitelist имён атрибутов и для JSON-протокола (UnmarshalJSON)	2026-08-14 16:00:48 +04:00
“Naeel”	dbb1aea936	v0.1.35: resolveProtocol — query-mode клиенты парсят JSON-ответы (эмпирика), ошибки AWS-JSON __type	2026-08-14 15:56:40 +04:00
“Naeel”	ec10acc99e	v0.1.35: query-mode XML-ответы, TOCTOU receive, валидации AWS, purge 60s, сужение локов	2026-08-14 15:53:08 +04:00
“Naeel”	8c40ca592f	HISTORY: Q&A Sonnet по дефектам + план v0.1.35	2026-08-14 15:39:57 +04:00
“Naeel”	3a4a5929e9	HISTORY: нагрузочный тест 30 мин — находки и анализ	2026-08-14 15:24:34 +04:00
“Naeel”	167d5bef41	HISTORY: программные проверки API CLI+SDK локально и с ВМ	2026-08-14 14:43:37 +04:00
“Naeel”	698921c88a	tests: api_test.sh (CLI 22 проверки) + sdk_test.py (boto3 15 проверок)	2026-08-14 14:43:36 +04:00
“Naeel”	abe8355389	v0.1.34: кэш валидации JWT + smoke-тесты	2026-08-14 14:16:38 +04:00
“Naeel”	0f24658fc7	v0.1.34: кэш валидации JWT (TTL 5 мин + grace 2 мин) — консоль устойчива к флаку шлюза	2026-08-14 14:09:49 +04:00
“Naeel”	0d5dbaba4f	HISTORY: Q&A Sonnet по кэшу валидации JWT	2026-08-14 14:06:45 +04:00
“Naeel”	5679348f65	HISTORY: email-креды работают на проде (smoke list-queues OK)	2026-08-14 13:54:31 +04:00
“Naeel”	c6784e6bc6	HISTORY: v0.1.33 строгий стиль	2026-08-14 13:50:38 +04:00
“Naeel”	12d07f1589	v0.1.33: строгий нейтральный стиль текстов на главной и в примерах	2026-08-14 13:49:26 +04:00
“Naeel”	cf17a1f729	HISTORY: v0.1.32 пошаговый старт и /examples	2026-08-14 13:46:22 +04:00
“Naeel”	94108eec48	v0.1.32: главная — пошаговый старт; примеры команд — на /examples крупным шрифтом; консоль сразу в аккаунт	2026-08-14 13:45:06 +04:00
“Naeel”	709127caf7	HISTORY: v0.1.31 админский UI	2026-08-14 13:30:45 +04:00
“Naeel”	afa9a1a7e4	v0.1.31: админский UI /admin, юзерский UI без слова «тенант»	2026-08-14 10:19:35 +04:00
“Naeel”	e83ae1e376	HISTORY: v0.1.30 локальные ассеты	2026-08-14 10:11:25 +04:00
“Naeel”	bbbd17ad45	v0.1.30: локальные логотип и favicon /static в консоли (внешние terra.k8c.ru битые)	2026-08-14 10:10:18 +04:00
“Naeel”	8e2b69642e	HISTORY: v0.1.29 светлый дизайн	2026-08-14 09:57:56 +04:00
“Naeel”	cfea73cdea	v0.1.29: светлый Nubes-дизайн консоли, читаемая модалка Credentials (env + файл кредов)	2026-08-14 09:56:18 +04:00
“Naeel”	a85e086c94	HISTORY: v0.1.28 + проблема gateway 401 с датацентровых IP	2026-08-14 09:46:59 +04:00
“Naeel”	e19f63abe4	v0.1.28: email-идентичность — детерминированные креды из email, credentials-эндпоинт, UI модалка	2026-08-14 09:43:36 +04:00
“Naeel”	87ecf3b5ca	HISTORY: сохранить Q&A с Sonnet по email-идентичности	2026-08-14 09:36:14 +04:00
“Naeel”	dc1aaa6652	HISTORY: зачистка мусора на ВМ	2026-08-14 09:13:25 +04:00
“Naeel”	8afc181030	HISTORY: v0.1.27 страница на корне + инцидент rsync	2026-08-14 09:10:33 +04:00
“Naeel”	af656fe8f5	v0.1.27: страница-описание сервиса на корне / (дизайн Nubes) + /static	2026-08-14 09:05:16 +04:00
“Naeel”	5437b9a918	HISTORY: развязка — set image v0.1.26, легаси ns удалён, вход работает	2026-08-14 08:56:08 +04:00
“Naeel”	a5f8218a37	HISTORY: v0.1.26 журнал	2026-08-14 08:20:19 +04:00
“Naeel”	3a105de05b	v0.1.26: версия в /health, admin health и UI; ldflags VERSION; Makefile build фикс	2026-08-14 08:19:14 +04:00
“Naeel”	166baa9a98	fix: валидация JWT перебором всех стендов gateway (токен любого стенда принимается)	2026-08-14 08:05:16 +04:00
“Naeel”	de72fe5c8f	fix: JWT-валидация через lk-api-gateway PROD + User-Agent в PingNubesAPI	2026-08-14 07:51:05 +04:00
“Naeel”	7db1b1ef69	docs: HISTORY 2026-08-14 — найден gateway endpoint, нужен User-Agent в PingNubesAPI	2026-08-14 07:47:56 +04:00
“Naeel”	032ca66cc6	feat: UI — инфо-блок о сервисе на странице входа	2026-08-13 23:20:51 +04:00
“Naeel”	6f575c833d	docs: обновить HISTORY — деплой работает, образ Docker Hub, репа Gitea	2026-08-13 23:19:42 +04:00
“Naeel”	29ac406d71	fix: Makefile — вернуть registry Docker Hub (образ пушится на naeel/shared-sqs)	2026-08-13 23:11:12 +04:00
“Naeel”	a149692a6e	feat: Dockerfile — ENV для Redis и seed-demo (под деплой на Nubes)	2026-08-13 22:07:42 +04:00
“Naeel”	15ec1a9ee4	chore: удалить устаревшие тестовые файлы (SNS-легаси, несуществующие импорты)	2026-08-13 22:06:26 +04:00
“Naeel”	66d1e4e586	chore: переместить исторические doc в doc/legacy, удалить tests и пустые легаси-папки	2026-08-13 22:03:08 +04:00
“Naeel”	55a65c7130	chore: удалить легаси — k8s/helm манифесты (уходим на Nubes Managed)	2026-08-13 22:00:52 +04:00
“Naeel”	8c5c779a0c	chore: убрать легаси — pearlharbor креды удалены, doc/api и yandex YMQ помечены ЛЕГАСИ	2026-08-13 21:58:08 +04:00
“Naeel”	e1165b42c3	docs: пометка ЛЕГАСИ в doc/legacy/PLAN.md	2026-08-13 21:55:09 +04:00
“Naeel”	35a2bfa719	chore: git локально, после пуша синк на ВМ	2026-08-13 21:51:36 +04:00
Naeel	5c1c021bb4	chore: миграция на Nubes Managed — правила, README, registry Gitea, легаси помечено	2026-08-13 20:42:18 +03:00