Fix Contracts upload buffer endpoint

Co-authored-by: Copilot <223556219+Copilot@users.noreply.github.com>

upload/README.md

@@ -154,3 +154,20 @@ store_result(res.session, result_zip)       # если нужно отдать
 
 - Слой 3 — логика приложения (обработка файлов из сессии, SSE-прогресс) у каждого своя.
 - CORS на ВМ-буфере — если домен приложения другой, правится nginx на ВМ, а не код модуля.
+
+## Инцидент Contracts VM-буфера (2026-10-30)
+
+Контрактор использовал `contracts.kube5s.ru/contracts-upload/`, но DNS для
+`contracts.kube5s.ru` возвращал `NXDOMAIN`. DNS-запись для отдельного hostname
+`contracts-upload.sinefo.ru` теперь добавлена и проверена на публичных
+резолверах. Переключение только на существующий
+DrHider или Obfuscator endpoint недостаточно: у них другие пути и CORS allowlist,
+и тестовый путь `/contracts-upload/` на этих хостах отвечал `404`. Новый
+hostname теперь настроен на VM213 с отдельным TLS-сертификатом, Nginx vhost и
+cron-очисткой временных файлов. Проверены HTTPS, CORS для Контрактора и прямой
+синтетический цикл PUT/GET/DELETE.
+
+Код приложения и source Nginx настроены локально; Nginx-конфиг буфера уже
+установлен на VM213, но само приложение пока не redeployed. Причина, результаты
+DNS/CORS/TLS-проверок и дальнейший план описаны в
+[отчёте об инциденте](../docs/upload-buffer-incident-2026-10-30.md).

upload/backend/upload_refs/config.py

@@ -8,4 +8,4 @@ PULL_RETRIES = 3
 PULL_RETRY_DELAY = 2  # секунды между попытками
 
 # Доверенный префикс ВМ-буфера — валидация URL при pull (защита от SSRF)
-VM_UPLOAD_PREFIX = "https://contracts.kube5s.ru/drhider-upload/"
+VM_UPLOAD_PREFIX = "https://contracts-upload.sinefo.ru/contracts-upload/"

upload/config.example.json

@@ -1,10 +1,10 @@
 {
-  "vmUploadUrl": "https://contracts.kube5s.ru/drhider-upload/",
+  "vmUploadUrl": "https://contracts-upload.sinefo.ru/contracts-upload/",
   "allowedExt": [".pdf", ".doc", ".docx", ".txt", ".md"],
   "maxFileBytes": 52428800,
   "maxSessionBytes": 524288000,
   "apiPrefix": "/api",
-  "vmUploadPrefix": "https://contracts.kube5s.ru/drhider-upload/",
+  "vmUploadPrefix": "https://contracts-upload.sinefo.ru/contracts-upload/",
   "pullRetries": 3,
   "pullRetryDelay": 2,
   "pullTimeout": 120,