diff --git a/doc/test-auth-v0.5.0-2026-04-19.md b/doc/test-auth-v0.5.0-2026-04-19.md
new file mode 100644
index 0000000..a105414
--- /dev/null
+++ b/doc/test-auth-v0.5.0-2026-04-19.md
@@ -0,0 +1,20 @@
+# Тест auth v0.5.0 — 2026-04-19
+
+## Что проверено
+
+| Тест | Ожидание | Результат |
+|------|----------|-----------|
+| GET /console/ | 200 | ✅ 200 |
+| POST /console/api/auth {token: "badtoken"} | {"error":"invalid token"} | ✅ |
+| GET /console/api/functions без токена | 401 | ✅ 401 |
+| Логин с реальным YC IAM токеном | {"ok":true,"env":"test"} | ⏳ не проверено — нет токена |
+
+## Что не проверено
+
+- Полный flow: логин → появление UI → CRUD функций
+- Logout → блокировка доступа
+- Проверка `env` (dev/prod)
+
+## Итог
+
+Защита работает: без токена — 401, плохой токен — ошибка. Полный flow нужно проверить вручную в браузере после получения YC IAM токена.