Bump to Beta 0.2.2

Covers all six places the version is written down: .env, the copy install.sh keeps because it prints its banner and builds the release URL before the archive with .env exists, the three package.json files, and the /ui/brand example in the README. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Support Debian in the installer
2026-09-10 17:51:19 +03:00 · 2026-09-10 17:51:19 +03:00 · 2026-09-10 00:24:18 +03:00 · 2026-09-10 00:24:18 +03:00 · 2026-09-10 00:24:18 +03:00 · 2026-08-29 03:45:27 +03:00
31 changed files with 5563 additions and 62 deletions
@@ -11,4 +11,4 @@

 BRAND=Forgetting
 CHANNEL=Beta
-VERSION=0.2.0
+VERSION=0.2.2
@@ -9,13 +9,13 @@
 | Компонент | Роль |
 |---|---|
 | **awg-ctrl** | Привилегированный REST-бэкенд. Управляет пирами через `awg`/`awg-quick`, ведёт SQLite-базу, генерирует `vpn://` ключи. Слушает только loopback. |
-| **awg-ui** | Express + React. Веб-панель, аутентификация (JWT), прокси к awg-ctrl. Единственный сервис, доступный по сети. |
+| **awg-ui** | Express + React. Веб-панель, аутентификация (JWT), прокси к awg-ctrl, публичный API `/api/v1` и своя база его ключей. Единственный сервис, доступный по сети. |
 | **cli** | Менеджер процессов: `start`/`stop`/`restart`/`status`, смена логина/пароля панели, интерактивное TUI-меню. |

 Внутренняя связь awg-ui → awg-ctrl подписывается асимметрично (Ed25519): приватный ключ только у awg-ui, awg-ctrl проверяет подпись публичным.

 ## Требования
- **ОС**: Ubuntu 24.04+ (Тесты проходили на Ubuntu 24.04.4 LTS)
+- **ОС**: Ubuntu 24.04+ (Тесты проходили на Ubuntu 24.04.4 LTS) или Debian 11–13 (поддержка экспериментальная: PPA amnezia подключается вручную, серия подбирается по релизу Debian и переопределяется через `AMNEZIA_PPA_SUITE`)
 - **Права**: root.
 - **Ядро**: kvm (не OpenVZ/LXC/Docker/WSL — нужен загружаемый kernel-модуль AmneziaWG).
 - **Заголовки ядра** под текущее ядро (для сборки DKMS-модуля).
@@ -43,45 +43,119 @@ AWG_GEN=auto bash <(curl -Ls https://git.ma7neko.ru/maeneko/forgetting/raw/branc
 переустановка не нужна, пользователи сохраняются, ключи перевыпускаются
 автоматически.

-### Свой источник и своё имя
+Источник архива и имя панели не зашиты в код — задаются переменными
+`REPO_BASE`, `REPO_FALLBACK`, `ARCHIVE_URL`, `BRAND` перед запуском установщика
+(подробности — в комментариях `install.sh` и в `.env`).

-В коде не зашиты ни репозиторий, ни бренд — всё задаётся окружением до запуска:
+## API

-| Переменная | По умолчанию | Зачем |
-|---|---|---|
-| `REPO_BASE` | `https://git.ma7neko.ru/maeneko/forgetting` | основной источник архива релиза |
-| `REPO_FALLBACK` | `https://github.com/maeneko/forgetting` | запасной, если в основном релиза ещё нет |
-| `ARCHIVE_URL` | — | полный URL архива, перекрывает оба варианта |
-| `BRAND` | из `.env` | имя продукта в баннерах, systemd-юните и панели |
+Наружу смотрят две независимые поверхности. **Публичный API** `/api/v1` —
+стабильный контракт для сторонних программ, авторизация по API-ключу.
+**Роуты панели** — всё, что умеет веб-интерфейс, авторизация по JWT. Базовый
+URL в обоих случаях — адрес сервера и порт, выбранный при установке.

-Путь релиза у Gitea и GitHub одинаковый (`<repo>/releases/download/v<версия>/awgcontrol-<версия>.tar.gz`),
-так что подходит любой из них. Если архив не найден в основном источнике,
-установщик предупреждает и берёт его из запасного.
+> [!WARNING]
+> Роуты панели отдают приватные поля пиров (`vpn_key`, `psk_key`) — это не
+> публичный контракт, в отличие от `/api/v1`. Не выставляй её порт в интернет
+> без TLS и ограничения по адресам.

-Архив собирается по тегу `v*`: на GitHub — `.github/workflows/release.yml`, в
-Gitea — `.gitea/workflows/release.yml` (сборка та же, публикация через API
-Gitea). Для запуска в Gitea репозиторий не должен быть pull-зеркалом, Actions
-включены, а runner зарегистрирован с меткой `ubuntu-latest`.
+### Публичный API (`/api/v1`)
+
+Ключ создаётся во вкладке «API-ключи» и уходит в заголовке `X-Api-Key`.
+Открытое значение показывается один раз при создании — на сервере лежит только
+SHA-256 и префикс для показа в списке. Наружу отдаются только публичные поля:
+`psk_key` и `pub_key` не покидают сервер.

 ```bash
-REPO_BASE=https://git.example.org/me/vpn BRAND="My VPN" \
-  bash <(curl -Ls https://git.example.org/me/vpn/raw/branch/main/install.sh)
+curl -s -X POST http://HOST:PORT/api/v1/users \
+  -H "X-Api-Key: awgk_xxx" -H "Content-Type: application/json" \
+  -d '{"name":"alice"}' | jq -r .vpn_key
 ```

-Имя панели, канал и версия лежат в `.env` в корне проекта (едет в архиве
-релиза, на сервере — `/opt/awg-control/.env`):
+| Метод | Что делает |
+|---|---|
+| `POST /api/v1/users` | Создаёт пира. Тело `{ "name": "alice" }`. `201` с `{ name, ip, gen, vpn_key }`; `400` — имя не прошло валидацию, `409` — уже есть |
+| `GET /api/v1/users` | Список со счётчиками: `{ users: [{ name, ip, key_gen, online, lastHandshake, rx, tx }] }` |
+| `GET /api/v1/users/:name` | `{ name, ip, gen, vpn_key }`; `404` — не найден |
+| `DELETE /api/v1/users/:name` | `{ "success": true, "name": "alice" }` |

-```env
-BRAND=Forgetting
-CHANNEL=Beta
-VERSION=0.2.0
+`gen` — поколение AmneziaWG, на параметрах которого собран ключ (`"2"` или
+`"3.1"`). Операции только CRD: у пира нет изменяемых полей, «перевыпустить»
+ключ = удалить и создать заново.
+
+| Код | Когда |
+|---|---|
+| `401 {"error":"API key required"}` | заголовка нет или он не начинается с `awgk_` |
+| `401 {"error":"Invalid API key"}` | ключ не найден — удалён или неверен |
+| `502 {"error":"awg-ctrl недоступен"}` | awg-ui посредничает, а awg-ctrl не отвечает |
+
+Ключи лежат в собственной БД панели (`/etc/amnezia/amneziawg/ui.db`) — вне
+каталога установки, поэтому переустановка их не трогает. Сама awg-ctrl про
+внешние ключи ничего не знает: awg-ui ходит к ней своей внутренней авторизацией.
+Управлять ключами можно и без панели, по JWT: `GET/POST /ui/apikeys` и
+`DELETE /ui/apikeys/:id`.
+
+### Авторизация панели
+
+```bash
+TOKEN=$(curl -s -X POST http://HOST:PORT/login \
+  -H "Content-Type: application/json" \
+  -d '{"user":"admin","pass":"***"}' | jq -r .token)
 ```

-Оттуда их читают CLI (баннер меню) и панель (вордмарк, `GET /ui/brand`).
-`BRAND=` при установке перекрывает значение из файла.
+| Метод | Ответ и ошибки |
+|---|---|
+| `POST /login` | `{ "token": "<JWT>" }`, срок 24 часа. `401` — неверная пара; `429` — больше 5 неудачных попыток с одного IP за 15 минут |
+| `POST /logout` | `{ "ok": true }`, токен отзывается немедленно |
+
+Дальше в каждый запрос: `Authorization: Bearer $TOKEN`. Ниже — роуты, которые
+дёргает сама панель; в отличие от `/api/v1` их форма может меняться.
+
+### Состояние
+
+| Метод | Ответ |
+|---|---|
+| `GET /ui/brand` | `{ "brand": "Forgetting", "channel": "Beta", "version": "0.2.2" }` — **без авторизации**, панель берёт отсюда вордмарк на экране логина |
+| `GET /health` | `{ "status", "server", "ip", "gen", "awg": { "status", "peers", "module", "tools" } }`. `200`, если интерфейс поднят, иначе `503` и `status: "degraded"` |
+| `GET /awg/status` | `{ "up": true, "peers": 3, "publicKey": "…" }` |
+
+`gen` — поколение AmneziaWG, на параметрах которого сейчас работает интерфейс:
+`"2"` или `"3.1"`. Оно выводится из `awg1.conf`, а не хранится отдельно.
+
+### Пользователи
+
+| Метод | Что делает |
+|---|---|
+| `POST /api/users` | Создаёт пира. Тело `{ "name": "alice" }`, имя — `a–z A–Z 0–9 _ -`, до 32 символов. `201` с `{ name, ip, pub_key, psk_key, vpn_key, key_gen, vpn_key_prev }`; `400` — имя не прошло валидацию, `409` — уже есть |
+| `GET /api/users` | Список: `{ users: [{ name, ip, pub_key, vpn_key, key_gen, online, lastHandshake }] }` |
+| `GET /api/users/stats` | То же без ключей, но со счётчиками: `{ users: [{ name, ip, key_gen, online, lastHandshake, rx, tx }] }` |
+| `POST /api/users/:name` | Возвращает пользователя целиком, включая `vpn_key`. Метод именно `POST`, чтобы ключ не оседал в логах и истории как параметр `GET`. `404` — не найден |
+| `DELETE /api/users/:name` | `{ "success": true, "name": "alice" }` |
+| `POST /api/users/reissue` | Пересобирает `vpn://` всем на текущих параметрах: `{ total, reissued, regenerated: [], backup }`. IP и ключевая пара сохраняются, клиентам нужно заново импортировать ключ; `backup` — путь к снимку базы, снятому перед проходом |
+
+```bash
+curl -s -X POST http://HOST:PORT/api/users \
+  -H "Authorization: Bearer $TOKEN" -H "Content-Type: application/json" \
+  -d '{"name":"alice"}' | jq -r .vpn_key
+```
+
+Имея `vpn_key`, конфиг `.conf` можно получить локально: убрать префикс `vpn://`,
+base64url-декодировать, отбросить первые 4 байта (длина), распаковать
+`zlib inflate` → JSON; текст конфига лежит в `last_config.config`.
+
+### Интерфейс AWG
+
+| Метод | Что делает |
+|---|---|
+| `POST /awg/start` | Поднимает интерфейс, если он лежит; возвращает его статус |
+| `POST /awg/restart` | `awg-quick down/up` + ресинк пиров, `{ "success": true }`. Соединения клиентов кратковременно рвутся |
+| `POST /awg/upgrade` | Переводит сервер с 2.0 на 3.1: правит `awg1.conf`, перезапускает интерфейс и перевыпускает все ключи. `{ gen, backup, bumpedS: [], reissue: { total, reissued, … } }` |
+
+`POST /awg/upgrade` отвечает `409`, если сервер уже на 3.1, модуль в ядре не
+3.x или ядро старше 5.5, и `500` с текстом причины, если ядро не приняло
+3.1-конфиг — в этом случае прежний конфиг возвращается из копии, а интерфейс
+поднимается обратно на 2.0.

-Сама панель и её API к домену не привязаны: работают по адресу того сервера,
-куда установлены, внешних сервисов не требуют.
 ## Управление

 ```bash
@@ -0,0 +1,67 @@
+# Admin — каркас админ-панели
+
+Самодостаточный шаблон админки: бэкенд с авторизацией и фронтенд-оболочка
+с системой вкладок. Предметной логики нет — это основа, поверх которой
+навешиваются свои роуты и вкладки.
+
+```
+admin/
+  backend/     Express: /login, /logout, JWT, rate-limit, отдача SPA
+    server.ts
+  frontend/    React 18 + Vite: логин, тема, drawer/сайдбар, реестр вкладок
+    src/App.tsx          оболочка
+    src/App.css          дизайн-система (Material 3, тёплая палитра)
+    src/tabs/            вкладки — см. src/tabs/README.md
+    src/components/      общие компоненты и иконки (+ карта ICONS)
+    src/lib/shared.ts    общие типы/утилиты + PageProps
+    src/lib/branding.ts  название и версия панели
+```
+
+## Запуск в деве
+
+Два терминала:
+
+```bash
+cd admin/backend  && npm install && ADMIN_PASS=admin npm start   # :8080
+cd admin/frontend && npm install && npm run dev                  # :5173
+```
+
+Открыть http://localhost:5173 — логин `admin` / `admin`.
+Vite проксирует `/api`, `/login`, `/logout` на бэкенд, поэтому фронт всегда
+ходит по относительным путям и порт нигде не зашит.
+
+## Прод
+
+```bash
+cd admin/frontend && npm run build     # → frontend/dist
+cd admin/backend  && npm start         # раздаёт dist и API с одного порта
+```
+
+## Переменные окружения (backend)
+
+| Переменная    | По умолчанию              | Смысл                                                        |
+|---------------|---------------------------|--------------------------------------------------------------|
+| `PORT`        | `8080`                    | Порт бэкенда                                                  |
+| `ADMIN_USER`  | `admin`                   | Логин в панель                                                |
+| `ADMIN_PASS`  | — (пусто ⇒ вход отключён) | Пароль; без него `/login` всегда отвечает 401                 |
+| `JWT_SECRET`  | случайный при старте      | Подпись токенов; без него сессии рвутся при рестарте процесса |
+| `STATIC_DIR`  | `../frontend/dist`        | Каталог со сборкой фронта                                     |
+
+## Авторизация
+
+`POST /login` (логин + пароль) → HS256 JWT на 24 часа, подписанный `JWT_SECRET`
+через встроенный `crypto` — без сторонних JWT-библиотек. Токен хранится в
+`localStorage` и уходит в заголовке `Authorization: Bearer`. `POST /logout`
+добавляет подпись токена в in-memory список отозванных — токен умирает сразу.
+Перебор пароля ограничен: 5 неудачных попыток с одного IP за 15 минут → 429.
+
+Всё под `/api` закрыто мидлварой `requireAuth` — свои роуты добавляй ниже
+строки `app.use("/api", requireAuth)` в `server.ts`, и они получают авторизацию
+даром. `GET /api/session` уже есть: фронт зовёт его при загрузке, чтобы понять,
+жив ли сохранённый токен.
+
+## Как добавить свой раздел
+
+1. Роут на бэкенде — в `server.ts` под `/api/…`.
+2. Вкладку на фронте — папка в `src/tabs/`, реестр подхватит её сам.
+   Подробности и формат `metadata.json` — в [src/tabs/README.md](frontend/src/tabs/README.md).
@@ -0,0 +1,19 @@
+{
+  "name": "admin-backend",
+  "version": "0.1.0",
+  "private": true,
+  "scripts": {
+    "start": "tsx server.ts",
+    "dev": "tsx watch server.ts",
+    "typecheck": "tsc --noEmit"
+  },
+  "dependencies": {
+    "express": "^4.19.0"
+  },
+  "devDependencies": {
+    "@types/express": "^4.17.0",
+    "@types/node": "^22.0.0",
+    "tsx": "^4.7.0",
+    "typescript": "^5.4.0"
+  }
+}
@@ -0,0 +1,131 @@
+// Copyright (c) 2026 Ivan Vasilev
+// This source code is licensed under the MIT license found in the
+// LICENSE file in the root directory of this source tree.
+// Бэкенд админ-панели: логин, JWT-сессия, отдача собранного SPA.
+// Никакой предметной логики здесь нет — это каркас, поверх которого
+// навешиваются свои роуты под /api (они автоматически за requireAuth).
+import express, { Request, Response, NextFunction } from "express";
+import path   from "path";
+import crypto from "crypto";
+
+const app  = express();
+const PORT = Number(process.env.PORT) || 8080;
+
+const ADMIN_USER = process.env.ADMIN_USER ?? "admin";
+const ADMIN_PASS = process.env.ADMIN_PASS ?? "";
+// Без заданного секрета токены живут только до рестарта процесса — для дева
+// это удобно, в проде JWT_SECRET обязателен (иначе сессии рвутся при рестарте).
+const JWT_SECRET = process.env.JWT_SECRET ?? crypto.randomBytes(32).toString("hex");
+
+// Каталог со сборкой фронта (vite build → frontend/dist).
+const STATIC_DIR = process.env.STATIC_DIR ?? path.join(__dirname, "..", "frontend", "dist");
+
+const TOKEN_TTL = 24 * 60 * 60; // сек
+
+// Отозванные токены (logout). In-memory: рестарт процесса и так рвёт сессии,
+// потому что при пустом JWT_SECRET секрет генерится заново.
+const revoked = new Set<string>();
+
+function tokenSig(token: string): string { return token.split(".")[2] ?? token; }
+
+function sign(user: string): string {
+    const h = Buffer.from('{"alg":"HS256","typ":"JWT"}').toString("base64url");
+    const p = Buffer.from(JSON.stringify({
+        sub: user,
+        exp: Math.floor(Date.now() / 1000) + TOKEN_TTL,
+    })).toString("base64url");
+    const s = crypto.createHmac("sha256", JWT_SECRET).update(`${h}.${p}`).digest("base64url");
+    return `${h}.${p}.${s}`;
+}
+
+interface Claims { sub?: string; exp: number; }
+
+function verify(token: string): Claims | null {
+    try {
+        if (revoked.has(tokenSig(token))) return null;
+        const [h, p, s] = token.split(".");
+        if (!h || !p || !s) return null;
+        const expected = crypto.createHmac("sha256", JWT_SECRET).update(`${h}.${p}`).digest();
+        const actual   = Buffer.from(s, "base64url");
+        if (actual.length !== expected.length) return null;
+        if (!crypto.timingSafeEqual(actual, expected)) return null;
+        const claims = JSON.parse(Buffer.from(p, "base64url").toString()) as Claims;
+        if (claims.exp <= Math.floor(Date.now() / 1000)) return null;
+        return claims;
+    } catch { return null; }
+}
+
+interface AuthRequest extends Request { claims?: Claims; }
+
+export function requireAuth(req: Request, res: Response, next: NextFunction) {
+    const auth  = (req.headers["authorization"] ?? "") as string;
+    const token = auth.startsWith("Bearer ") ? auth.slice(7) : "";
+    const claims = token ? verify(token) : null;
+    if (!claims) { res.status(401).json({ error: "Unauthorized" }); return; }
+    (req as AuthRequest).claims = claims;
+    next();
+}
+
+// Ограничение перебора пароля: 5 неудачных попыток на IP за 15 минут.
+const RATE_LIMIT  = 5;
+const RATE_WINDOW = 15 * 60 * 1000;
+
+interface RateEntry { count: number; resetAt: number; }
+const loginAttempts = new Map<string, RateEntry>();
+
+function checkRate(ip: string): { ok: boolean; retryAfter?: number } {
+    const now   = Date.now();
+    const entry = loginAttempts.get(ip);
+    if (!entry || entry.resetAt < now) {
+        loginAttempts.set(ip, { count: 1, resetAt: now + RATE_WINDOW });
+        return { ok: true };
+    }
+    if (entry.count >= RATE_LIMIT) {
+        return { ok: false, retryAfter: Math.ceil((entry.resetAt - now) / 1000) };
+    }
+    entry.count++;
+    return { ok: true };
+}
+
+app.use(express.json());
+
+app.post("/login", (req: Request, res: Response) => {
+    const ip = req.socket.remoteAddress ?? "unknown";
+    const { ok, retryAfter } = checkRate(ip);
+    if (!ok) {
+        res.status(429).json({ error: `Слишком много попыток. Повтори через ${retryAfter} сек.` }); return;
+    }
+    const { user, pass } = req.body as { user?: string; pass?: string };
+    if (!ADMIN_PASS || user !== ADMIN_USER || pass !== ADMIN_PASS) {
+        res.status(401).json({ error: "Неверный логин или пароль" }); return;
+    }
+    loginAttempts.delete(ip);
+    res.json({ token: sign(ADMIN_USER) });
+});
+
+app.post("/logout", requireAuth, (req: Request, res: Response) => {
+    const token = (req.headers["authorization"] as string).slice(7);
+    revoked.add(tokenSig(token));
+    res.json({ ok: true });
+});
+
+// Всё под /api закрыто JWT — свои роуты добавляй ниже этой строки.
+app.use("/api", requireAuth);
+
+// Проверка живости сессии: фронт зовёт его при загрузке, чтобы понять,
+// валиден ли сохранённый токен.
+app.get("/api/session", (req: Request, res: Response) => {
+    res.json({ user: (req as AuthRequest).claims?.sub ?? null });
+});
+
+// Статика SPA + fallback на index.html (роутинг на клиенте).
+app.use(express.static(STATIC_DIR));
+
+app.get("*", (_req: Request, res: Response) => {
+    res.sendFile(path.join(STATIC_DIR, "index.html"));
+});
+
+app.listen(PORT, () => {
+    if (!ADMIN_PASS) console.warn("admin: ADMIN_PASS не задан — вход отключён");
+    console.log(`admin: listening on :${PORT}`);
+});
@@ -0,0 +1,14 @@
+{
+  "compilerOptions": {
+    "target": "ES2020",
+    "lib": ["ES2020"],
+    "module": "CommonJS",
+    "moduleResolution": "node",
+    "strict": true,
+    "skipLibCheck": true,
+    "noEmit": true,
+    "esModuleInterop": true,
+    "resolveJsonModule": true
+  },
+  "include": ["server.ts"]
+}
@@ -0,0 +1,12 @@
+<!DOCTYPE html>
+<html lang="ru">
+  <head>
+    <meta charset="UTF-8" />
+    <meta name="viewport" content="width=device-width, initial-scale=1.0" />
+    <title>Admin</title>
+  </head>
+  <body>
+    <div id="root"></div>
+    <script type="module" src="/src/main.tsx"></script>
+  </body>
+</html>
@@ -0,0 +1,24 @@
+{
+  "name": "admin-frontend",
+  "version": "0.1.0",
+  "private": true,
+  "scripts": {
+    "dev": "vite",
+    "build": "vite build",
+    "preview": "vite preview",
+    "typecheck": "tsc --noEmit"
+  },
+  "dependencies": {
+    "axios": "^1.7.0",
+    "react": "^18.3.0",
+    "react-dom": "^18.3.0"
+  },
+  "devDependencies": {
+    "@types/node": "^22.0.0",
+    "@types/react": "^18.3.0",
+    "@types/react-dom": "^18.3.0",
+    "@vitejs/plugin-react": "^4.3.0",
+    "typescript": "^5.4.0",
+    "vite": "^5.4.0"
+  }
+}
@@ -0,0 +1,554 @@
+/*
+Copyright (c) 2026 Ivan Vasilev
+This source code is licensed under the MIT license found in the
+LICENSE file in the root directory of this source tree.
+
+Дизайн-система панели: тёплая кремовая база + прохладный фиолетовый акцент
+в ролях Material 3. Здесь только общий язык (палитра, кнопки, поля, чипы,
+таблица, модалка, снэкбар) — стили конкретной вкладки живут в её папке
+(tabs/<name>/<name>.css) и импортятся её же компонентом.
+*/
+*, *::before, *::after { box-sizing: border-box; margin: 0; padding: 0; }
+html, body, #root { height: 100%; }
+
+:root {
+    --primary:              #6a45b8;
+    --on-primary:           #ffffff;
+    --primary-container:    #ebddff;
+    --on-primary-container: #5a2da8;
+
+    --surface:              #faf6f0;
+    --surface-bright:       #fdfaf6;
+    --surface-container:    #f0e8dd;
+    --surface-hi:           #ece2d3;
+    --on-surface:           #3a2e22;
+
+    --outline:              #d8cdbe;
+    --outline-variant:      #ece2d3;
+
+    --success-bg:   #c0dd97; --success-text: #2c4d0a; --success-dot: #639922;
+    --neutral-bg:   #e4dac9; --neutral-text: #7a6a55; --neutral-dot:  #a99a85;
+    --error-bg:     #ffdad6; --error-text:   #410002; --error-dot:    #ba1a1a;
+
+    --danger-border: #e6c4bc;
+    --danger-text:   #b34a3a;
+
+    /* приглушённый «бровый» лейбл — заголовки таблицы, неактивная навигация */
+    --label: #5a4a3a;
+
+    /* state layers / тени — зависят от темы */
+    --state-primary: rgba(106, 69, 184, .10);
+    --state-row:     rgba(106, 69, 184, .035);
+    --state-neutral: rgba(58, 46, 34, .08);
+    --scrim:         rgba(58, 46, 34, .45);
+    --shadow:        rgba(58, 46, 34, .15);
+
+    --font:  system-ui, -apple-system, 'Inter', sans-serif;
+    --mono:  'JetBrains Mono', 'Fira Code', ui-monospace, monospace;
+
+    --r-pill:  100px;
+    --r-card:  24px;
+    --r-table: 16px;
+    --r-logo:  9px;
+}
+
+:root[data-theme="dark"] {
+    --primary:              #cbb3ff;
+    --on-primary:           #381b6c;
+    --primary-container:    #52389e;
+    --on-primary-container: #ebddff;
+
+    --surface:              #1a1611;
+    --surface-bright:       #2b251d;
+    --surface-container:    #251f18;
+    --surface-hi:           #302820;
+    --on-surface:           #ede2d4;
+
+    --outline:              #4d4334;
+    --outline-variant:      #342c20;
+
+    --success-bg:   #2d4413; --success-text: #c8e3a0; --success-dot: #8fc24f;
+    --neutral-bg:   #34291c; --neutral-text: #d0c0a4; --neutral-dot:  #b0a085;
+    --error-bg:     #5c1414; --error-text:   #ffb4ab; --error-dot:    #ff5449;
+
+    --danger-border: #6e4540;
+    --danger-text:   #ffb4ab;
+
+    --label: #b6a994;
+
+    --state-primary: rgba(203, 179, 255, .14);
+    --state-row:     rgba(203, 179, 255, .05);
+    --state-neutral: rgba(237, 226, 212, .08);
+    --scrim:         rgba(0, 0, 0, .55);
+    --shadow:        rgba(0, 0, 0, .45);
+}
+
+body {
+    font-family: var(--font);
+    font-size: 14px;
+    font-weight: 400;
+    color: var(--on-surface);
+    background: var(--surface);
+    -webkit-font-smoothing: antialiased;
+    transition: background 0.2s ease, color 0.2s ease;
+}
+
+.app { min-height: 100vh; display: flex; flex-direction: column; position: relative; }
+
+.logo-name { font-size: 17px; font-weight: 500; color: var(--on-surface); }
+
+.login-screen {
+    flex: 1;
+    display: flex;
+    align-items: center;
+    justify-content: center;
+    background: var(--surface);
+}
+.login-card {
+    width: 352px;
+    background: var(--surface-bright);
+    border-radius: var(--r-card);
+    border: 1px solid var(--outline-variant);
+    padding: 36px 32px 32px;
+    display: flex;
+    flex-direction: column;
+    gap: 12px;
+}
+.login-sub {
+    font-size: 14px;
+    color: var(--neutral-text);
+    margin-bottom: 4px;
+}
+.login-error {
+    font-size: 13px;
+    color: var(--danger-text);
+    text-align: center;
+}
+
+.field {
+    height: 44px;
+    padding: 0 16px;
+    border: 1.5px solid var(--outline);
+    border-radius: var(--r-pill);
+    background: var(--surface-bright);
+    font-family: var(--font);
+    font-size: 14px;
+    color: var(--on-surface);
+    outline: none;
+    transition: border-color 0.15s;
+    width: 100%;
+}
+.field:focus        { border-color: var(--primary); }
+.field::placeholder { color: var(--neutral-dot); }
+
+.btn {
+    display: inline-flex;
+    align-items: center;
+    justify-content: center;
+    gap: 6px;
+    height: 44px;
+    padding: 0 20px;
+    border-radius: var(--r-pill);
+    border: none;
+    font-family: var(--font);
+    font-size: 14px;
+    font-weight: 500;
+    cursor: pointer;
+    white-space: nowrap;
+    transition: opacity 0.12s, background 0.12s;
+    flex-shrink: 0;
+}
+.btn:hover  { opacity: 0.88; }
+.btn:active { opacity: 0.74; }
+
+.btn--primary { background: var(--primary); color: var(--on-primary); }
+.btn--tonal   { background: var(--primary-container); color: var(--on-primary-container); border: none; }
+.btn--outline {
+    background: transparent;
+    border: 1.5px solid var(--outline);
+    color: var(--primary);
+}
+.btn--danger {
+    background: transparent;
+    border: 1.5px solid var(--danger-border);
+    color: var(--danger-text);
+}
+.btn--full { width: 100%; }
+.btn--sq   { width: 44px; padding: 0; flex-shrink: 0; }
+
+/* icon-only circular button */
+.btn-icon {
+    width: 30px; height: 30px;
+    border-radius: 50%;
+    border: none;
+    background: transparent;
+    cursor: pointer;
+    display: inline-flex;
+    align-items: center;
+    justify-content: center;
+    color: var(--primary);
+    transition: background 0.12s;
+    flex-shrink: 0;
+}
+.btn-icon:hover          { background: var(--state-primary); }
+.btn-icon--danger        { color: var(--danger-text); }
+.btn-icon--danger:hover  { background: rgba(179,74,58,.10); }
+.btn-icon--neutral       { color: var(--neutral-text); }
+.btn-icon--neutral:hover { background: var(--state-neutral); }
+
+.theme-toggle {
+    position: fixed;
+    top: 16px;
+    right: 16px;
+    z-index: 250;
+    width: 40px;
+    height: 40px;
+    border-radius: 50%;
+    border: 1.5px solid var(--outline);
+    background: var(--surface-bright);
+    color: var(--on-surface);
+    display: inline-flex;
+    align-items: center;
+    justify-content: center;
+    cursor: pointer;
+    -webkit-tap-highlight-color: transparent;
+    transition: background 0.12s, border-color 0.12s, color 0.12s;
+}
+.theme-toggle:hover { border-color: var(--primary); color: var(--primary); }
+
+.top-bar {
+    display: none;
+    align-items: center;
+    gap: 4px;
+    height: 56px;
+    padding: 0 8px 0 4px;
+    background: var(--surface);
+    flex-shrink: 0;
+    z-index: 10;
+}
+.hamburger-btn {
+    width: 48px; height: 48px;
+    border: none;
+    background: transparent;
+    border-radius: 50%;
+    display: flex;
+    align-items: center;
+    justify-content: center;
+    cursor: pointer;
+    color: var(--on-surface);
+    flex-shrink: 0;
+    -webkit-tap-highlight-color: transparent;
+}
+.hamburger-btn:active { background: var(--state-neutral); }
+.top-bar-title {
+    font-size: 20px;
+    font-weight: 500;
+    color: var(--on-surface);
+}
+
+.drawer-scrim {
+    display: none;
+    position: fixed;
+    inset: 0;
+    background: var(--scrim);
+    z-index: 300;
+    opacity: 0;
+    pointer-events: none;
+    transition: opacity 0.27s cubic-bezier(0.2, 0, 0, 1);
+}
+.drawer-scrim--visible {
+    opacity: 1;
+    pointer-events: auto;
+}
+
+.layout {
+    flex: 1;
+    display: flex;
+    min-height: 100vh;
+}
+
+.sidebar {
+    width: 240px;
+    flex-shrink: 0;
+    background: var(--surface-container);
+    display: flex;
+    flex-direction: column;
+    padding: 24px 12px;
+    gap: 0;
+}
+.sidebar-logo {
+    padding: 0 8px 20px;
+    display: flex;
+    flex-direction: column;
+    gap: 2px;
+}
+.sidebar-version {
+    font-size: 11px;
+    color: var(--neutral-dot);
+    margin-top: 2px;
+}
+.drawer-divider {
+    border: none;
+    border-top: 0.5px solid var(--outline);
+    margin: 0 -12px 8px;
+}
+
+.nav-item {
+    display: flex;
+    align-items: center;
+    gap: 10px;
+    padding: 10px 12px;
+    border-radius: var(--r-pill);
+    font-size: 14px;
+    font-weight: 400;
+    color: var(--label);
+    cursor: default;
+    user-select: none;
+}
+.nav-item--active {
+    background: var(--primary-container);
+    color: var(--on-primary-container);
+    font-weight: 500;
+}
+
+.sidebar-spacer { flex: 1; }
+
+.chip {
+    display: inline-flex;
+    align-items: center;
+    gap: 6px;
+    padding: 4px 10px;
+    border-radius: var(--r-pill);
+    font-size: 12px;
+    white-space: nowrap;
+}
+.chip-dot {
+    width: 6px; height: 6px;
+    border-radius: 50%;
+    flex-shrink: 0;
+}
+.chip--online  { background: var(--success-bg); color: var(--success-text); }
+.chip--online  .chip-dot { background: var(--success-dot); }
+.chip--offline { background: var(--neutral-bg); color: var(--neutral-text); }
+.chip--offline .chip-dot { background: var(--neutral-dot); }
+
+.main {
+    flex: 1;
+    padding: 32px 36px;
+    display: flex;
+    flex-direction: column;
+    gap: 20px;
+    overflow: auto;
+    min-width: 0;
+}
+.page-title {
+    font-size: 20px;
+    font-weight: 500;
+    color: var(--on-surface);
+}
+
+/* Заглушка на месте контента — когда вкладок ещё нет */
+.placeholder {
+    color: var(--neutral-text);
+    font-size: 14px;
+}
+.placeholder code {
+    font-family: var(--mono);
+    font-size: 13px;
+    background: var(--surface-container);
+    padding: 2px 6px;
+    border-radius: 6px;
+}
+
+/* Тултип без задержки: нативный title браузер показывает через ~500 мс */
+.tip-wrap {
+    position: relative;
+    display: inline-flex;
+}
+.tip-wrap::after {
+    content: attr(data-tip);
+    position: absolute;
+    bottom: calc(100% + 7px);
+    left: 50%;
+    transform: translateX(-50%);
+    background: var(--on-surface);
+    color: var(--surface-bright);
+    font-size: 12px;
+    white-space: nowrap;
+    padding: 5px 12px;
+    border-radius: var(--r-pill);
+    pointer-events: none;
+    opacity: 0;
+    transition: opacity 0.12s;
+}
+.tip-wrap:hover::after { opacity: 1; }
+
+.toolbar {
+    display: flex;
+    align-items: center;
+    gap: 10px;
+    flex-wrap: wrap;
+}
+.toolbar .field {
+    width: 224px;
+    height: 44px;
+    flex-shrink: 0;
+}
+/* На десктопе кнопки участвуют в flex toolbar'а напрямую */
+.toolbar-btns { display: contents; }
+
+.table-card {
+    background: var(--surface-bright);
+    border-radius: var(--r-table);
+    border: 1px solid var(--outline-variant);
+    overflow: hidden;
+}
+table {
+    width: 100%;
+    border-collapse: collapse;
+}
+thead th {
+    background: var(--surface-container);
+    color: var(--label);
+    font-weight: 500;
+    font-size: 13px;
+    text-align: left;
+    padding: 11px 14px;
+}
+thead th:first-child { padding-left: 20px; }
+thead th:last-child  { padding-right: 20px; }
+
+tbody tr { border-top: 0.5px solid var(--outline-variant); }
+tbody tr:hover { background: var(--state-row); }
+
+tbody td {
+    padding: 11px 14px;
+    font-size: 13px;
+    color: var(--on-surface);
+    vertical-align: middle;
+}
+tbody td:first-child { padding-left: 20px; }
+tbody td:last-child  { padding-right: 20px; }
+
+.td-num  { font-size: 12px; color: var(--neutral-dot); width: 32px; }
+.td-mono { font-family: var(--mono); font-size: 12px; }
+.td-actions { width: 96px; }
+
+.actions { display: flex; align-items: center; gap: 2px; }
+
+.empty {
+    text-align: center;
+    color: var(--neutral-text);
+    padding: 48px 0 !important;
+    font-size: 14px;
+}
+
+/* Модалка — общий каркас (backdrop + карточка). Содержимое даёт вкладка. */
+@keyframes backdrop-in {
+    from { opacity: 0; }
+    to   { opacity: 1; }
+}
+@keyframes card-in {
+    from { opacity: 0; transform: scale(.92) translateY(12px); }
+    to   { opacity: 1; transform: scale(1)   translateY(0); }
+}
+
+.modal-backdrop {
+    position: fixed; inset: 0;
+    background: var(--scrim);
+    display: flex; align-items: center; justify-content: center;
+    z-index: 300;
+    animation: backdrop-in 0.18s ease;
+}
+.modal-card {
+    background: var(--surface-bright);
+    border-radius: var(--r-card);
+    border: 1px solid var(--outline-variant);
+    padding: 28px 28px 24px;
+    display: flex; flex-direction: column; align-items: center; gap: 14px;
+    width: 320px;
+    animation: card-in 0.22s cubic-bezier(.34,1.26,.64,1);
+}
+.modal-title   { font-size: 16px; font-weight: 500; color: var(--on-surface); }
+.modal-hint    { font-size: 12px; color: var(--neutral-text); text-align: center; }
+.modal-actions { display: flex; gap: 8px; width: 100%; }
+.modal-actions .btn { flex: 1; }
+
+.snack {
+    position: fixed;
+    bottom: 28px;
+    left: 50%;
+    transform: translateX(-50%);
+    background: var(--on-surface);
+    color: var(--surface-bright);
+    font-size: 13px;
+    padding: 10px 22px;
+    border-radius: var(--r-pill);
+    z-index: 500;
+    white-space: nowrap;
+    pointer-events: none;
+    box-shadow: 0 4px 16px var(--shadow);
+}
+
+@media (max-width: 640px) {
+    /* Top bar */
+    .top-bar     { display: flex; }
+    .page-title  { display: none; }
+
+    /* Drawer scrim */
+    .drawer-scrim { display: block; }
+
+    /* Запретить горизонтальный скролл страницы */
+    body, .app { overflow-x: hidden; }
+
+    /* Sidebar → модальный drawer */
+    .layout {
+        min-height: 0; /* flex: 1 на .app справится сам */
+        overflow: visible;
+    }
+    /* main — не скролл-контейнер, пусть скроллит body */
+    .main { overflow: visible; }
+
+    .sidebar {
+        position: fixed;
+        top: 0; left: 0;
+        height: 100%;
+        width: 280px;
+        z-index: 400;
+        border-radius: 0 var(--r-card) var(--r-card) 0;
+        transform: translateX(-100%);
+        transition: transform 0.27s cubic-bezier(0.2, 0, 0, 1);
+        box-shadow: 4px 0 24px var(--shadow);
+        padding-top: 36px;
+    }
+    .sidebar--open { transform: translateX(0); }
+
+    /* Main: одна колонка, поля 16px */
+    .main {
+        padding: 16px;
+        gap: 12px;
+    }
+
+    /* Toolbar → вертикально */
+    .toolbar {
+        flex-direction: column;
+        align-items: stretch;
+        gap: 8px;
+    }
+    .toolbar .field { width: 100%; }
+    .toolbar-btns {
+        display: flex;
+        gap: 8px;
+    }
+    .toolbar-btns .btn { flex: 1; }
+
+    /* Таблицы на мобильном заменяются карточками — их даёт сама вкладка */
+    .table-card { display: none; }
+
+    /* Модалка — по ширине экрана */
+    .modal-card {
+        width: calc(100vw - 32px);
+        max-width: 360px;
+        padding: 24px 20px 20px;
+    }
+}
@@ -0,0 +1,211 @@
+// Copyright (c) 2026 Ivan Vasilev
+// This source code is licensed under the MIT license found in the
+// LICENSE file in the root directory of this source tree.
+import { useState, useEffect, useRef, useCallback } from 'react';
+import axios from 'axios';
+import './App.css';
+import { TOKEN_KEY, THEME_KEY } from './lib/shared';
+import { APP_NAME, APP_VERSION } from './lib/branding';
+import { IcoMenu, IcoLogout, IcoSun, IcoMoon } from './components/icons';
+import { TABS } from './tabs';
+
+// Оболочка приложения: логин, тема, drawer/сайдбар, общая сессия (token,
+// снэкбар) и переключение вкладок. Контент каждой вкладки приходит из реестра
+// TABS — App про конкретные вкладки ничего не знает.
+export default function App() {
+    const [token, setToken]           = useState(() => localStorage.getItem(TOKEN_KEY) ?? '');
+    const [loginUser, setLoginUser]   = useState('');
+    const [loginPass, setLoginPass]   = useState('');
+    const [loginError, setLoginError] = useState('');
+    const [msg, setMsg]               = useState('');
+    const [drawerOpen, setDrawerOpen] = useState(false);
+    const [activeTab, setActiveTab]   = useState(() => TABS[0]?.id ?? '');
+    const [theme, setTheme]           = useState<'light' | 'dark'>(() =>
+        localStorage.getItem(THEME_KEY) === 'dark' ? 'dark' : 'light');
+    const touchStartX                 = useRef(0);
+    const touchCurrentX               = useRef(0);
+
+    const showMsg = useCallback((text: string) => {
+        setMsg(text);
+        setTimeout(() => setMsg(''), 3000);
+    }, []);
+
+    // Проверяет, жив ли токен. Данные конкретных вкладок грузят сами вкладки.
+    const startSession = useCallback(async (tok: string) => {
+        await axios.get('/api/session', { headers: { Authorization: `Bearer ${tok}` } });
+    }, []);
+
+    const login = useCallback(async () => {
+        try {
+            const { data: auth } = await axios.post('/login', { user: loginUser, pass: loginPass });
+            const tok = auth.token as string;
+            await startSession(tok);
+            localStorage.setItem(TOKEN_KEY, tok);
+            setLoginError('');
+            setToken(tok);
+        } catch (e) {
+            if (axios.isAxiosError(e) && e.response?.status === 401) {
+                showMsg('Неверный логин или пароль');
+            } else if (axios.isAxiosError(e) && e.response?.status === 429) {
+                showMsg(e.response.data?.error ?? 'Слишком много попыток');
+            } else {
+                setLoginError('Сервер недоступен');
+            }
+        }
+    }, [loginUser, loginPass, startSession, showMsg]);
+
+    const logout = useCallback(async () => {
+        try {
+            await axios.post('/logout', null, { headers: { Authorization: `Bearer ${token}` } });
+        } catch { /* токен уже мог истечь */ }
+        localStorage.removeItem(TOKEN_KEY);
+        setToken('');
+        setDrawerOpen(false);
+    }, [token]);
+
+    const handleTouchStart = useCallback((e: React.TouchEvent) => {
+        touchStartX.current   = e.touches[0].clientX;
+        touchCurrentX.current = e.touches[0].clientX;
+    }, []);
+    const handleTouchMove = useCallback((e: React.TouchEvent) => {
+        touchCurrentX.current = e.touches[0].clientX;
+    }, []);
+    const handleTouchEnd = useCallback(() => {
+        if (touchStartX.current - touchCurrentX.current > 40) setDrawerOpen(false);
+    }, []);
+
+    // Восстановить сессию из сохранённого токена
+    useEffect(() => {
+        const saved = localStorage.getItem(TOKEN_KEY);
+        if (saved) {
+            startSession(saved).catch(() => {
+                localStorage.removeItem(TOKEN_KEY);
+                setToken('');
+            });
+        }
+    }, [startSession]);
+
+    // Применять и сохранять тему
+    useEffect(() => {
+        document.documentElement.setAttribute('data-theme', theme);
+        localStorage.setItem(THEME_KEY, theme);
+    }, [theme]);
+
+    // Блокировать прокрутку фона когда drawer открыт
+    useEffect(() => {
+        document.body.style.overflow = drawerOpen ? 'hidden' : '';
+        return () => { document.body.style.overflow = ''; };
+    }, [drawerOpen]);
+
+    // Закрывать drawer по Escape
+    useEffect(() => {
+        if (!drawerOpen) return;
+        const h = (e: KeyboardEvent) => { if (e.key === 'Escape') setDrawerOpen(false); };
+        document.addEventListener('keydown', h);
+        return () => document.removeEventListener('keydown', h);
+    }, [drawerOpen]);
+
+    // Вкладок может не быть вовсе — тогда вместо контента показываем заглушку.
+    const tab = TABS.find(t => t.id === activeTab) ?? TABS[0] ?? null;
+
+    return (
+        <div className="app">
+            <button
+                className="theme-toggle"
+                aria-label={theme === 'dark' ? 'Светлая тема' : 'Тёмная тема'}
+                onClick={() => setTheme(t => (t === 'dark' ? 'light' : 'dark'))}
+            >
+                {theme === 'dark' ? <IcoSun /> : <IcoMoon />}
+            </button>
+
+            {!token ? (
+                <div className="login-screen">
+                    <div className="login-card">
+                        <span className="logo-name">{APP_NAME}</span>
+                        <p className="login-sub">Войдите, чтобы продолжить</p>
+                        <input
+                            className="field"
+                            placeholder="Логин"
+                            value={loginUser}
+                            onChange={e => setLoginUser(e.target.value)}
+                            autoFocus
+                        />
+                        <input
+                            className="field"
+                            type="password"
+                            placeholder="Пароль"
+                            value={loginPass}
+                            onChange={e => setLoginPass(e.target.value)}
+                            onKeyDown={e => e.key === 'Enter' && login()}
+                        />
+                        <button className="btn btn--primary btn--full" onClick={login}>
+                            Войти
+                        </button>
+                        {loginError && <p className="login-error">{loginError}</p>}
+                    </div>
+                </div>
+            ) : (
+                <>
+                    {/* Top bar — видим только на мобильном */}
+                    <header className="top-bar">
+                        <button
+                            className="hamburger-btn"
+                            aria-label="Открыть меню"
+                            onClick={() => setDrawerOpen(true)}
+                        >
+                            <IcoMenu />
+                        </button>
+                        <span className="top-bar-title">{tab?.label ?? APP_NAME}</span>
+                    </header>
+
+                    {/* Затемнение под drawer */}
+                    <div
+                        className={`drawer-scrim${drawerOpen ? ' drawer-scrim--visible' : ''}`}
+                        onClick={() => setDrawerOpen(false)}
+                    />
+
+                    <div className="layout">
+                        <aside
+                            className={`sidebar${drawerOpen ? ' sidebar--open' : ''}`}
+                            onTouchStart={handleTouchStart}
+                            onTouchMove={handleTouchMove}
+                            onTouchEnd={handleTouchEnd}
+                        >
+                            <div className="sidebar-logo">
+                                <span className="logo-name">{APP_NAME}</span>
+                                <span className="sidebar-version">{APP_VERSION}</span>
+                            </div>
+                            <hr className="drawer-divider" />
+                            {TABS.map(t => (
+                                <div
+                                    key={t.id}
+                                    className={`nav-item${t.id === tab?.id ? ' nav-item--active' : ''}`}
+                                    onClick={() => { setActiveTab(t.id); setDrawerOpen(false); }}
+                                >
+                                    <t.Icon /> {t.label}
+                                </div>
+                            ))}
+
+                            <div className="sidebar-spacer" />
+
+                            <button className="btn btn--danger" onClick={logout}>
+                                <IcoLogout /> Выйти
+                            </button>
+                        </aside>
+
+                        <main className="main">
+                            <h2 className="page-title">{tab?.label ?? APP_NAME}</h2>
+                            {tab
+                                ? <tab.Page token={token} showMsg={showMsg} />
+                                : <p className="placeholder">
+                                      Вкладок пока нет — добавь папку в <code>src/tabs/</code>
+                                  </p>}
+                        </main>
+                    </div>
+                </>
+            )}
+
+            {msg && <div className="snack">{msg}</div>}
+        </div>
+    );
+}
@@ -0,0 +1,90 @@
+// Copyright (c) 2026 Ivan Vasilev
+// This source code is licensed under the MIT license found in the
+// LICENSE file in the root directory of this source tree.
+// Иконки интерфейса (inline SVG, currentColor). Добавляя вкладку — добавь сюда
+// её иконку и зарегистрируй имя в ICONS (его указывают в tabs/<name>/metadata.json).
+
+export const IcoMenu = () => (
+    <svg width="20" height="20" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2" strokeLinecap="round">
+        <line x1="3" y1="6" x2="21" y2="6"/>
+        <line x1="3" y1="12" x2="21" y2="12"/>
+        <line x1="3" y1="18" x2="21" y2="18"/>
+    </svg>
+);
+export const IcoUsers = () => (
+    <svg width="16" height="16" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2">
+        <path d="M17 21v-2a4 4 0 0 0-4-4H5a4 4 0 0 0-4 4v2"/>
+        <circle cx="9" cy="7" r="4"/>
+        <path d="M23 21v-2a4 4 0 0 0-3-3.87"/><path d="M16 3.13a4 4 0 0 1 0 7.75"/>
+    </svg>
+);
+export const IcoKey = () => (
+    <svg width="16" height="16" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2" strokeLinecap="round" strokeLinejoin="round">
+        <circle cx="7.5" cy="15.5" r="4.5"/>
+        <path d="M10.7 12.3 21 2"/><path d="M16 7l3 3"/><path d="M18 5l2 2"/>
+    </svg>
+);
+export const IcoSettings = () => (
+    <svg width="16" height="16" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2" strokeLinecap="round" strokeLinejoin="round">
+        <circle cx="12" cy="12" r="3"/>
+        <path d="M19.4 15a1.65 1.65 0 0 0 .33 1.82l.06.06a2 2 0 1 1-2.83 2.83l-.06-.06a1.65 1.65 0 0 0-1.82-.33 1.65 1.65 0 0 0-1 1.51V21a2 2 0 0 1-4 0v-.09a1.65 1.65 0 0 0-1.08-1.51 1.65 1.65 0 0 0-1.82.33l-.06.06a2 2 0 1 1-2.83-2.83l.06-.06a1.65 1.65 0 0 0 .33-1.82 1.65 1.65 0 0 0-1.51-1H3a2 2 0 0 1 0-4h.09A1.65 1.65 0 0 0 4.6 9a1.65 1.65 0 0 0-.33-1.82l-.06-.06a2 2 0 1 1 2.83-2.83l.06.06a1.65 1.65 0 0 0 1.82.33H9a1.65 1.65 0 0 0 1-1.51V3a2 2 0 0 1 4 0v.09a1.65 1.65 0 0 0 1 1.51 1.65 1.65 0 0 0 1.82-.33l.06-.06a2 2 0 1 1 2.83 2.83l-.06.06a1.65 1.65 0 0 0-.33 1.82V9a1.65 1.65 0 0 0 1.51 1H21a2 2 0 0 1 0 4h-.09a1.65 1.65 0 0 0-1.51 1z"/>
+    </svg>
+);
+export const IcoPlus = () => (
+    <svg width="14" height="14" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2.5">
+        <line x1="12" y1="5" x2="12" y2="19"/><line x1="5" y1="12" x2="19" y2="12"/>
+    </svg>
+);
+export const IcoRefresh = () => (
+    <svg width="14" height="14" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2">
+        <polyline points="23 4 23 10 17 10"/>
+        <path d="M20.49 15a9 9 0 1 1-2.12-9.36L23 10"/>
+    </svg>
+);
+export const IcoTrash = () => (
+    <svg width="15" height="15" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2">
+        <polyline points="3 6 5 6 21 6"/>
+        <path d="M19 6l-1 14a2 2 0 0 1-2 2H8a2 2 0 0 1-2-2L5 6"/>
+        <path d="M10 11v6M14 11v6M9 6V4h6v2"/>
+    </svg>
+);
+export const IcoLogout = () => (
+    <svg width="15" height="15" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2">
+        <path d="M9 21H5a2 2 0 0 1-2-2V5a2 2 0 0 1 2-2h4"/>
+        <polyline points="16 17 21 12 16 7"/>
+        <line x1="21" y1="12" x2="9" y2="12"/>
+    </svg>
+);
+export const IcoGlobe = () => (
+    <svg width="14" height="14" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2" strokeLinecap="round" strokeLinejoin="round">
+        <circle cx="12" cy="12" r="10"/>
+        <line x1="2" y1="12" x2="22" y2="12"/>
+        <path d="M12 2a15.3 15.3 0 0 1 4 10 15.3 15.3 0 0 1-4 10 15.3 15.3 0 0 1-4-10 15.3 15.3 0 0 1 4-10z"/>
+    </svg>
+);
+export const IcoCopy = () => (
+    <svg width="14" height="14" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2" strokeLinecap="round" strokeLinejoin="round">
+        <rect x="9" y="9" width="13" height="13" rx="2"/>
+        <path d="M5 15H4a2 2 0 0 1-2-2V4a2 2 0 0 1 2-2h9a2 2 0 0 1 2 2v1"/>
+    </svg>
+);
+export const IcoSun = () => (
+    <svg width="18" height="18" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2" strokeLinecap="round" strokeLinejoin="round">
+        <circle cx="12" cy="12" r="4"/>
+        <path d="M12 2v2M12 20v2M4.93 4.93l1.41 1.41M17.66 17.66l1.41 1.41M2 12h2M20 12h2M4.93 19.07l1.41-1.41M17.66 6.34l1.41-1.41"/>
+    </svg>
+);
+export const IcoMoon = () => (
+    <svg width="18" height="18" viewBox="0 0 24 24" fill="none" stroke="currentColor" strokeWidth="2" strokeLinecap="round" strokeLinejoin="round">
+        <path d="M21 12.79A9 9 0 1 1 11.21 3 7 7 0 0 0 21 12.79z"/>
+    </svg>
+);
+
+// Карта «имя → иконка» для вкладок: metadata.json хранит имя строкой, реестр
+// (tabs/index.ts) резолвит его сюда. Новой вкладке — добавь сюда её иконку.
+export const ICONS: Record<string, () => JSX.Element> = {
+    users:    IcoUsers,
+    key:      IcoKey,
+    settings: IcoSettings,
+    globe:    IcoGlobe,
+};
@@ -0,0 +1,7 @@
+// Copyright (c) 2026 Ivan Vasilev
+// This source code is licensed under the MIT license found in the
+// LICENSE file in the root directory of this source tree.
+// Название и версия панели — показываются в шапке сайдбара и на экране логина.
+// Единственное место, где зашито «имя продукта»: под свой проект правится тут.
+export const APP_NAME    = 'Admin';
+export const APP_VERSION = 'Alpha 0.1.0';
@@ -0,0 +1,62 @@
+// Copyright (c) 2026 Ivan Vasilev
+// This source code is licensed under the MIT license found in the
+// LICENSE file in the root directory of this source tree.
+// Общие типы, константы и утилиты для всех вкладок панели.
+import axios from 'axios';
+
+// Пропсы, которые оболочка передаёт каждой вкладке. Всё остальное (свои данные,
+// свой стейт) вкладка берёт сама.
+export interface PageProps {
+    token:   string;
+    showMsg: (text: string) => void;
+}
+
+export const TOKEN_KEY = 'admin_token';
+export const THEME_KEY = 'admin_theme';
+
+export async function apiFetch(method: string, path: string, token: string, body?: object): Promise<any> {
+    const r = await axios({ method, url: path, headers: { Authorization: `Bearer ${token}` }, data: body });
+    return r.data;
+}
+
+export function downloadFile(filename: string, text: string) {
+    const url = URL.createObjectURL(new Blob([text], { type: 'text/plain;charset=utf-8' }));
+    const a   = document.createElement('a');
+    a.href    = url;
+    a.download = filename;
+    document.body.appendChild(a);
+    a.click();
+    a.remove();
+    URL.revokeObjectURL(url);
+}
+
+export async function copyText(text: string) {
+    if (navigator.clipboard) {
+        await navigator.clipboard.writeText(text);
+    } else {
+        const ta = document.createElement('textarea');
+        ta.value = text;
+        ta.style.cssText = 'position:fixed;opacity:0';
+        document.body.appendChild(ta);
+        ta.select();
+        document.execCommand('copy');
+        document.body.removeChild(ta);
+    }
+}
+
+export function bytes(n: number | undefined): string {
+    if (!n) return '—';
+    if (n < 1024)          return n + ' B';
+    if (n < 1_048_576)     return (n / 1024).toFixed(1) + ' KB';
+    if (n < 1_073_741_824) return (n / 1_048_576).toFixed(1) + ' MB';
+    return (n / 1_073_741_824).toFixed(2) + ' GB';
+}
+
+// unix-секунды → «5 мин» / «3 ч» (без суффикса «назад» — его добавляет вызывающий)
+export function timeAgo(ts: number | undefined): string {
+    if (!ts) return '—';
+    const sec = Math.floor(Date.now() / 1000) - ts;
+    if (sec < 60)   return sec + ' сек';
+    if (sec < 3600) return Math.floor(sec / 60) + ' мин';
+    return Math.floor(sec / 3600) + ' ч';
+}
@@ -0,0 +1,12 @@
+// Copyright (c) 2026 Ivan Vasilev
+// This source code is licensed under the MIT license found in the
+// LICENSE file in the root directory of this source tree.
+import { StrictMode } from 'react';
+import { createRoot } from 'react-dom/client';
+import App from './App';
+
+createRoot(document.getElementById('root')!).render(
+    <StrictMode>
+        <App />
+    </StrictMode>
+);
@@ -0,0 +1,34 @@
+# Вкладки
+
+Вкладок пока нет — каркас работает и с пустой папкой (оболочка покажет заглушку).
+
+## Как добавить вкладку
+
+Создай папку `src/tabs/<name>/` с тремя файлами — реестр (`tabs/index.ts`)
+подхватит её сам, править его **не нужно**.
+
+```
+src/tabs/reports/
+  metadata.json    { "id": "reports", "label": "Отчёты", "icon": "settings", "order": 1 }
+  index.tsx        export default function ReportsPage({ token, showMsg }: PageProps) { … }
+  reports.css      стили только этой вкладки (импортит сам index.tsx)
+```
+
+**metadata.json**
+
+| поле    | тип    | обяз. | смысл                                              |
+|---------|--------|-------|----------------------------------------------------|
+| `id`    | string | да    | ключ активной вкладки, должен быть уникальным       |
+| `label` | string | да    | подпись в меню и заголовок раздела                  |
+| `icon`  | string | да    | имя из `ICONS` в `src/components/icons.tsx`         |
+| `order` | number | нет   | порядок в меню по возрастанию (без него — 0)        |
+
+Манифест валидируется в рантайме: опечатка или незарегистрированная иконка
+падают с внятной ошибкой при сборке `TABS`, а не «тихо» в UI.
+
+**index.tsx** — дефолтный экспорт компонента `ComponentType<PageProps>`,
+где `PageProps = { token, showMsg }` (`src/lib/shared.ts`). Данные вкладка
+грузит сама: `apiFetch('GET', '/api/…', token)`.
+
+Новую иконку сначала добавь в `src/components/icons.tsx` и зарегистрируй
+в карте `ICONS` — на её имя и ссылается `metadata.json`.
@@ -0,0 +1,81 @@
+// Copyright (c) 2026 Ivan Vasilev
+// This source code is licensed under the MIT license found in the
+// LICENSE file in the root directory of this source tree.
+// Автообнаружение вкладок. Каждая вкладка — самодостаточная папка tabs/<name>/:
+//   index.tsx      — компонент + логика
+//   <name>.css     — стили вкладки (импортит сам компонент)
+//   metadata.json  — { id, label, icon, order? } (манифест: описание + порядок)
+// Реестр сам находит все папки через import.meta.glob и собирает «живые» части
+// (Page-компонент, Icon по имени из ICONS) к метадате. Добавить вкладку = просто
+// создать папку с index.tsx и metadata.json — этот файл трогать НЕ нужно.
+//   metadata.json НЕ проверяется компилятором (это JSON), поэтому содержимое
+//   валидируется здесь в рантайме — кривой/неполный манифест падает с внятной
+//   ошибкой при сборке TABS, а не «тихо» в UI.
+import type { ComponentType } from 'react';
+import type { PageProps } from '../lib/shared';
+import { ICONS } from '../components/icons';
+
+// Сериализуемая часть из metadata.json.
+export interface TabMeta {
+    id:     string;
+    label:  string;
+    icon:   string;     // имя иконки → ICONS
+    order?: number;     // порядок в меню (по возрастанию; без него — 0)
+}
+
+// Собранная вкладка: метадата + резолвнутые Icon и Page.
+export interface TabDef extends TabMeta {
+    Icon: () => JSX.Element;
+    Page: ComponentType<PageProps>;
+}
+
+const metas = import.meta.glob<{ default: unknown }>('./*/metadata.json', { eager: true });
+const pages = import.meta.glob<{ default: ComponentType<PageProps> }>('./*/index.tsx', { eager: true });
+
+// './users/metadata.json' → 'users'
+const folderOf = (path: string) => path.split('/')[1];
+
+// Валидация сырого metadata.json → типизированный TabMeta (или внятная ошибка).
+function toMeta(name: string, raw: unknown): TabMeta {
+    const m = (raw ?? {}) as Record<string, unknown>;
+    const str = (key: string): string => {
+        const v = m[key];
+        if (typeof v !== 'string' || v.trim() === '') {
+            throw new Error(`tabs/${name}/metadata.json: поле "${key}" должно быть непустой строкой`);
+        }
+        return v;
+    };
+    if (m.order !== undefined && typeof m.order !== 'number') {
+        throw new Error(`tabs/${name}/metadata.json: "order" должно быть числом`);
+    }
+    return {
+        id:    str('id'),
+        label: str('label'),
+        icon:  str('icon'),
+        order: m.order as number | undefined,
+    };
+}
+
+// Вкладок может не быть вовсе (чистый каркас) — тогда TABS пустой, и оболочка
+// показывает заглушку вместо контента.
+export const TABS: TabDef[] = Object.entries(metas)
+    .map(([path, mod]) => {
+        const name = folderOf(path);
+        const meta = toMeta(name, mod.default);
+        const page = pages[`./${name}/index.tsx`]?.default;
+        if (!page) {
+            throw new Error(`tabs/${name}: нет index.tsx рядом с metadata.json`);
+        }
+        if (!ICONS[meta.icon]) {
+            throw new Error(`tabs/${name}: иконка "${meta.icon}" не зарегистрирована в ICONS (components/icons.tsx)`);
+        }
+        return { ...meta, Icon: ICONS[meta.icon], Page: page };
+    })
+    .sort((a, b) => (a.order ?? 0) - (b.order ?? 0));
+
+// id вкладок используются как ключ активной вкладки — дубли ломают переключение.
+const ids = TABS.map(t => t.id);
+const dup = ids.find((id, i) => ids.indexOf(id) !== i);
+if (dup) {
+    throw new Error(`tabs: дублирующийся id "${dup}" — id вкладок должны быть уникальны`);
+}
@@ -0,0 +1,4 @@
+// Copyright (c) 2026 Ivan Vasilev
+// This source code is licensed under the MIT license found in the
+// LICENSE file in the root directory of this source tree.
+/// <reference types="vite/client" />
@@ -0,0 +1,15 @@
+{
+  "compilerOptions": {
+    "target": "ES2020",
+    "lib": ["ES2020", "DOM", "DOM.Iterable"],
+    "module": "ESNext",
+    "moduleResolution": "bundler",
+    "jsx": "react-jsx",
+    "strict": true,
+    "skipLibCheck": true,
+    "noEmit": true,
+    "esModuleInterop": true,
+    "resolveJsonModule": true
+  },
+  "include": ["src", "vite.config.ts"]
+}
@@ -0,0 +1,18 @@
+// Copyright (c) 2026 Ivan Vasilev
+// This source code is licensed under the MIT license found in the
+// LICENSE file in the root directory of this source tree.
+import { defineConfig } from 'vite';
+import react from '@vitejs/plugin-react';
+
+// В деве Vite (:5173) проксирует запросы на бэкенд (:8080) — фронт всегда
+// ходит по относительным путям, порт нигде не зашит.
+export default defineConfig({
+    plugins: [react()],
+    server: {
+        proxy: {
+            '/api':    'http://localhost:8080',
+            '/login':  'http://localhost:8080',
+            '/logout': 'http://localhost:8080',
+        },
+    },
+});
@@ -1,6 +1,6 @@
 {
  "name": "awg-control",
-  "version": "0.2.0",
+  "version": "0.2.2",
  "description": "",
  "main": "dist/index.js",
  "scripts": {
@@ -1,6 +1,6 @@
 {
  "name": "awg-ui",
-  "version": "0.2.0",
+  "version": "0.2.2",
  "private": true,
  "scripts": {
    "dev": "vite",
@@ -12,14 +12,14 @@
  },
  "dependencies": {
    "axios": "^1.7.0",
-    "jsonwebtoken": "^9.0.0",
+    "better-sqlite3": "^12.10.0",
    "qrcode": "^1.5.0",
    "react": "^18.3.0",
    "react-dom": "^18.3.0"
  },
  "devDependencies": {
    "concurrently": "^9.0.0",
-    "@types/jsonwebtoken": "^9.0.0",
+    "@types/better-sqlite3": "^7.6.13",
    "@types/qrcode": "^1.5.0",
    "@types/express": "^4.17.0",
    "@types/node": "^22.0.0",
@@ -6,6 +6,7 @@ import path     from "path";
 import fs       from "fs";
 import crypto   from "crypto";
 import axios    from "axios";
+import Database from "better-sqlite3";

 const app  = express();
 const PORT = Number(process.env.PORT) || 8080;
@@ -50,6 +51,46 @@ function mintInternalToken(): string {

 const revoked = new Set<string>();

+// ── Ключи внешнего API (/api/v1) ───────────────────────────────────────────
+// Живут в собственной БД awg-ui: awg-ctrl про них ничего не знает. Открытое
+// значение ключа не хранится — только SHA-256 и префикс для показа в панели.
+interface ApiKeyRow {
+    id: number; label: string; key_hash: string; prefix: string;
+    server_id: number; created_at: number; last_used: number | null;
+}
+
+const UI_DB_FILE = process.env.UI_DB_FILE || path.join(__dirname, "ui.db");
+const uidb = new Database(UI_DB_FILE);
+uidb.pragma("journal_mode = WAL");
+uidb.exec(`
+    CREATE TABLE IF NOT EXISTS api_keys (
+        id         INTEGER PRIMARY KEY AUTOINCREMENT,
+        label      TEXT    NOT NULL,
+        key_hash   TEXT    NOT NULL UNIQUE,
+        prefix     TEXT    NOT NULL,
+        server_id  INTEGER NOT NULL DEFAULT 0,
+        created_at INTEGER NOT NULL,
+        last_used  INTEGER
+    )
+`);
+
+const keyStmts = {
+    list:   uidb.prepare("SELECT id, label, prefix, server_id, created_at, last_used FROM api_keys ORDER BY id"),
+    insert: uidb.prepare("INSERT INTO api_keys (label, key_hash, prefix, server_id, created_at) VALUES (?, ?, ?, ?, ?)"),
+    delete: uidb.prepare<[number]>("DELETE FROM api_keys WHERE id = ?"),
+    byHash: uidb.prepare<[string]>("SELECT * FROM api_keys WHERE key_hash = ?"),
+    touch:  uidb.prepare<[number, number]>("UPDATE api_keys SET last_used = ? WHERE id = ?"),
+};
+
+function hashKey(key: string): string {
+    return crypto.createHash("sha256").update(key).digest("hex");
+}
+
+function genApiKey(): { key: string; hash: string; prefix: string } {
+    const key = "awgk_" + crypto.randomBytes(24).toString("base64url");
+    return { key, hash: hashKey(key), prefix: key.slice(0, 13) + "…" };
+}
+
 function tokenSig(token: string): string { return token.split(".")[2] ?? token; }

 function sign(): string {
@@ -128,6 +169,31 @@ app.get("/ui/brand", (_req: Request, res: Response) => {
    res.json({ brand: BRAND, channel: CHANNEL, version: VERSION });
 });

+// Управление ключами внешнего API — роуты самой awg-ui, в awg-ctrl не идут.
+app.get("/ui/apikeys", requireAuth, (_req: Request, res: Response) => {
+    res.json({ keys: keyStmts.list.all() });
+});
+
+app.post("/ui/apikeys", requireAuth, (req: Request, res: Response) => {
+    const { label, server_id } = req.body as { label?: string; server_id?: number };
+    if (!label || !/^[\w \-]{1,40}$/.test(label)) {
+        res.status(400).json({ error: "Метка: буквы, цифры, пробел, _ и -, до 40 символов" }); return;
+    }
+    // TODO multi-server: server_id пока всегда 0 (текущий сервер). Когда появится
+    // список серверов — валидировать его против реального реестра серверов.
+    const { key, hash, prefix } = genApiKey();
+    const info = keyStmts.insert.run(label, hash, prefix, Number(server_id) || 0, Math.floor(Date.now() / 1000));
+    // Открытое значение отдаётся один раз — дальше в БД только хэш.
+    res.status(201).json({ id: info.lastInsertRowid, label, prefix, key });
+});
+
+app.delete("/ui/apikeys/:id", requireAuth, (req: Request, res: Response) => {
+    const id = Number(req.params.id);
+    if (!Number.isInteger(id)) { res.status(400).json({ error: "Неверный id" }); return; }
+    keyStmts.delete.run(id);
+    res.json({ success: true, id });
+});
+
 async function proxy(req: Request, res: Response) {
    try {
        const r = await axios({
@@ -143,6 +209,22 @@ async function proxy(req: Request, res: Response) {
    }
 }

+// TODO multi-server: ключ привязан к server_id (пока всегда 0 = текущий
+// сервер). Когда серверов станет несколько — маршрутизировать ctrl() на нужный
+// awg-ctrl по (req as ExtRequest).apiKey.server_id.
+
+interface ExtRequest extends Request { apiKey?: ApiKeyRow; }
+
+function requireApiKey(req: Request, res: Response, next: NextFunction) {
+    const key = (req.headers["x-api-key"] as string) ?? "";
+    if (!key.startsWith("awgk_")) { res.status(401).json({ error: "API key required" }); return; }
+    const row = keyStmts.byHash.get(hashKey(key)) as ApiKeyRow | undefined;
+    if (!row) { res.status(401).json({ error: "Invalid API key" }); return; }
+    keyStmts.touch.run(Math.floor(Date.now() / 1000), row.id);
+    (req as ExtRequest).apiKey = row;
+    next();
+}
+
 async function ctrl(method: string, urlPath: string, body?: unknown) {
    return axios({
        method,
@@ -153,6 +235,50 @@ async function ctrl(method: string, urlPath: string, body?: unknown) {
    });
 }

+// Внешний контракт: наружу отдаём только name/ip/gen/vpn_key — psk_key и pub_key
+// остаются внутри. gen — поколение AmneziaWG, на параметрах которого выдан ключ.
+interface ExtUser { name: string; ip: string; vpn_key: string; key_gen: string }
+
+const ext = express.Router();
+ext.use(requireApiKey);
+
+// Express 4 не ловит отказы async-обработчиков: незакрытый reject (awg-ctrl не
+// отвечает, внутренний ключ не загружен) уронил бы весь процесс панели. Ответ
+// тот же, что у proxy() в такой ситуации.
+type Handler = (req: Request, res: Response) => Promise<void>;
+const wrap = (fn: Handler) => (req: Request, res: Response) => {
+    fn(req, res).catch(() => { res.status(502).json({ error: "awg-ctrl недоступен" }); });
+};
+
+ext.post("/users", wrap(async (req, res) => {
+    const { name } = (req.body ?? {}) as { name?: string };
+    const r = await ctrl("POST", "/api/users", { name });
+    if (r.status >= 400) { res.status(r.status).json(r.data); return; }
+    const u = r.data as ExtUser;
+    res.status(201).json({ name: u.name, ip: u.ip, gen: u.key_gen, vpn_key: u.vpn_key });
+}));
+
+ext.get("/users", wrap(async (_req, res) => {
+    const r = await ctrl("GET", "/api/users/stats");
+    res.status(r.status).json(r.data);
+}));
+
+ext.get("/users/:name", wrap(async (req, res) => {
+    const r = await ctrl("POST", `/api/users/${encodeURIComponent(req.params.name)}`);
+    if (r.status >= 400) { res.status(r.status).json(r.data); return; }
+    const u = r.data as ExtUser;
+    res.json({ name: u.name, ip: u.ip, gen: u.key_gen, vpn_key: u.vpn_key });
+}));
+
+ext.delete("/users/:name", wrap(async (req, res) => {
+    const r = await ctrl("DELETE", `/api/users/${encodeURIComponent(req.params.name)}`);
+    res.status(r.status).json(r.data);
+}));
+
+// ВАЖНО: /api/v1 монтируется ДО JWT-прокси на /api — иначе прокси перехватит
+// его и потребует JWT вместо ключа.
+app.use("/api/v1", ext);
+
 app.use(["/api", "/health", "/awg"], requireAuth, proxy);

 app.use(express.static(path.join(__dirname, "dist")));
@@ -26,6 +26,16 @@ export interface ServerInfo {
 }
 // На проводе (users.key_gen, /health gen) поколение — '2', человеку показываем '2.0'.
 export const genLabel = (g: AwgGen): string => (g === '3.1' ? 'AWG 3.1' : 'AWG 2.0');
+// Ключ внешнего API в списке вкладки: открытого значения тут нет — только
+// префикс, сервер хранит лишь хэш.
+export interface ApiKey {
+    id:         number;
+    label:      string;
+    prefix:     string;
+    server_id:  number;
+    created_at: number;
+    last_used:  number | null;
+}

 export interface PageProps {
    token:   string;
@@ -0,0 +1,77 @@
+/*
+Copyright (c) 2026 Ivan Vasilev
+This source code is licensed under the MIT license found in the
+LICENSE file in the root directory of this source tree.
+*/
+/* Стили вкладки «API-ключи». Общая дизайн-система — в App.css. */
+
+/* Открытый API-ключ (показывается один раз при создании) */
+.apikey-value {
+    font-family: var(--mono);
+    font-size: 13px;
+    color: var(--on-surface);
+    background: var(--surface-container);
+    border: 1px solid var(--outline-variant);
+    border-radius: 12px;
+    padding: 12px 14px;
+    width: 100%;
+    word-break: break-all;
+    user-select: all;
+}
+
+.apikey-cards-list { display: none; flex-direction: column; gap: 12px; }
+
+.apikey-count { font-size: 12px; color: var(--neutral-text); }
+.apikey-empty {
+    font-size: 14px;
+    color: var(--neutral-text);
+    text-align: center;
+    padding: 48px 0;
+}
+.apikey-card {
+    background: var(--surface-bright);
+    border: 1px solid var(--outline-variant);
+    border-radius: var(--r-card);
+    padding: 16px;
+    display: flex;
+    flex-direction: column;
+    gap: 12px;
+}
+.apikey-card-header {
+    display: flex;
+    align-items: center;
+    justify-content: space-between;
+    gap: 8px;
+}
+.apikey-card-title {
+    display: flex;
+    align-items: baseline;
+    gap: 8px;
+    min-width: 0;
+}
+.apikey-card-num   { font-size: 12px; color: var(--neutral-dot); flex-shrink: 0; }
+.apikey-card-label {
+    font-size: 16px;
+    font-weight: 500;
+    color: var(--on-surface);
+    overflow: hidden;
+    text-overflow: ellipsis;
+    white-space: nowrap;
+}
+.apikey-card-prefix {
+    font-family: var(--mono);
+    font-size: 13px;
+    color: var(--neutral-text);
+    word-break: break-all;
+}
+.apikey-card-meta {
+    display: flex;
+    justify-content: space-between;
+    gap: 8px;
+    font-size: 12px;
+    color: var(--neutral-text);
+}
+
+@media (max-width: 640px) {
+    .apikey-cards-list { display: flex; }
+}
@@ -0,0 +1,148 @@
+// Copyright (c) 2026 Ivan Vasilev
+// This source code is licensed under the MIT license found in the
+// LICENSE file in the root directory of this source tree.
+import { useState, useEffect, useCallback } from 'react';
+import { apiFetch, copyText, timeAgo, type ApiKey, type PageProps } from '../../lib/shared';
+import { IcoPlus, IcoTrash, IcoCopy } from '../../components/icons';
+import './apikeys.css';
+
+// Вкладка «API-ключи»: ключи внешнего API (/api/v1). Открытый ключ показывается
+// один раз при создании (в БД хранится только хэш). Сервер-бар сверху рендерит App.
+//   TODO multi-server: сейчас сервер один (server_id = 0). Когда появится список
+//   серверов — ключ будет привязываться к выбранному в сервер-баре.
+export default function ApiKeysPage({ token, showMsg }: PageProps) {
+    const [keys, setKeys]       = useState<ApiKey[]>([]);
+    const [label, setLabel]     = useState('');
+    const [created, setCreated] = useState<{ label: string; key: string } | null>(null);
+
+    const load = useCallback(async () => {
+        try {
+            const data = await apiFetch('GET', '/ui/apikeys', token);
+            setKeys(data.keys ?? []);
+        } catch {
+            showMsg('Ошибка загрузки ключей');
+        }
+    }, [token, showMsg]);
+
+    const createKey = useCallback(async () => {
+        if (!label.trim()) return;
+        const r = await apiFetch('POST', '/ui/apikeys', token, { label: label.trim(), server_id: 0 });
+        if (r.error) { showMsg(r.error); return; }
+        setLabel('');
+        setCreated({ label: r.label, key: r.key });
+        await load();
+    }, [label, token, load, showMsg]);
+
+    const deleteKey = useCallback(async (id: number, lbl: string) => {
+        if (!confirm('Удалить ключ «' + lbl + '»? Клиенты с ним потеряют доступ.')) return;
+        await apiFetch('DELETE', '/ui/apikeys/' + id, token);
+        showMsg('Ключ удалён: ' + lbl);
+        await load();
+    }, [token, load, showMsg]);
+
+    useEffect(() => { if (token) load(); }, [token, load]);
+
+    return (
+        <>
+            {/* Сервер-бар сверху рендерит App; к выбранному в нём серверу и привязывается ключ.
+                TODO multi-server: server_id берётся из выбранной карточки (пока 0). */}
+            <div className="toolbar">
+                <input
+                    className="field"
+                    placeholder="Метка ключа (напр. ci-bot)"
+                    value={label}
+                    onChange={e => setLabel(e.target.value)}
+                    onKeyDown={e => e.key === 'Enter' && createKey()}
+                />
+                <div className="toolbar-btns">
+                    <button className="btn btn--primary" onClick={createKey}>
+                        <IcoPlus /> Создать ключ
+                    </button>
+                </div>
+            </div>
+
+            <div className="table-card">
+                <table>
+                    <thead>
+                        <tr>
+                            <th>#</th>
+                            <th>Метка</th>
+                            <th>Ключ</th>
+                            <th>Создан</th>
+                            <th>Последний раз</th>
+                            <th></th>
+                        </tr>
+                    </thead>
+                    <tbody>
+                        {keys.length === 0 ? (
+                            <tr><td colSpan={6} className="empty">Нет ключей</td></tr>
+                        ) : keys.map((k, i) => (
+                            <tr key={k.id}>
+                                <td className="td-num">{i + 1}</td>
+                                <td>{k.label}</td>
+                                <td className="td-mono">{k.prefix}</td>
+                                <td>{new Date(k.created_at * 1000).toLocaleDateString()}</td>
+                                <td>{k.last_used ? timeAgo(k.last_used) + ' назад' : 'никогда'}</td>
+                                <td className="td-actions">
+                                    <div className="actions">
+                                        <button
+                                            className="btn-icon btn-icon--danger"
+                                            title="Удалить ключ"
+                                            onClick={() => deleteKey(k.id, k.label)}
+                                        ><IcoTrash /></button>
+                                    </div>
+                                </td>
+                            </tr>
+                        ))}
+                    </tbody>
+                </table>
+            </div>
+
+            {/* Мобильный вид: таблица скрыта (.table-card), ключи — карточками */}
+            <div className="apikey-cards-list">
+                <p className="apikey-count">{keys.length} ключей</p>
+                {keys.length === 0 ? (
+                    <p className="apikey-empty">Нет ключей</p>
+                ) : keys.map((k, i) => (
+                    <div className="apikey-card" key={k.id}>
+                        <div className="apikey-card-header">
+                            <div className="apikey-card-title">
+                                <span className="apikey-card-num">#{i + 1}</span>
+                                <span className="apikey-card-label">{k.label}</span>
+                            </div>
+                            <button
+                                className="btn btn--danger btn--sq"
+                                aria-label="Удалить ключ"
+                                onClick={() => deleteKey(k.id, k.label)}
+                            ><IcoTrash /></button>
+                        </div>
+                        <code className="apikey-card-prefix">{k.prefix}</code>
+                        <div className="apikey-card-meta">
+                            <span>Создан {new Date(k.created_at * 1000).toLocaleDateString()}</span>
+                            <span>{k.last_used ? timeAgo(k.last_used) + ' назад' : 'не использован'}</span>
+                        </div>
+                    </div>
+                ))}
+            </div>
+
+            {created && (
+                <div className="qr-backdrop" onClick={() => setCreated(null)}>
+                    <div className="qr-card" onClick={e => e.stopPropagation()}>
+                        <p className="qr-name">Ключ «{created.label}» создан</p>
+                        <p className="qr-hint">
+                            Скопируй ключ сейчас — он показывается один раз и больше не будет доступен.
+                        </p>
+                        <code className="apikey-value">{created.key}</code>
+                        <div className="qr-actions">
+                            <button className="btn btn--primary" onClick={async () => {
+                                await copyText(created.key);
+                                showMsg('Ключ скопирован');
+                            }}><IcoCopy /> Скопировать</button>
+                            <button className="btn btn--tonal" onClick={() => setCreated(null)}>Закрыть</button>
+                        </div>
+                    </div>
+                </div>
+            )}
+        </>
+    );
+}
@@ -0,0 +1,6 @@
+{
+  "id": "apikeys",
+  "label": "API-ключи",
+  "icon": "key",
+  "order": 2
+}
@@ -1,6 +1,6 @@
 {
  "name": "awg-cli",
-  "version": "0.2.0",
+  "version": "0.2.2",
  "private": true,
  "dependencies": {
    "tsx": "^4.7.0",
@@ -90,6 +90,9 @@ const SERVICES = {
            UI_USER:      process.env.UI_USER         ?? "admin",
            UI_PASS:      process.env.UI_PASS         ?? "",
            JWT_SECRET:   process.env.JWT_SECRET      ?? "",
+            // ui.db (ключи внешнего API) в каталоге данных AWG (вне PROJECT) —
+            // переживает переустановку.
+            UI_DB_FILE:   process.env.UI_DB_FILE      ?? "/etc/amnezia/amneziawg/ui.db",
        },
        pidFile: "/tmp/awg-ui.pid",
        logFile: path.join(LOGS, "awg-ui.log"),
@@ -22,7 +22,7 @@ trap 'rc=$?; echo -e "\n  ${RED}✗ НЕОЖИДАННАЯ ОШИБКА${NC}  с
 # ⚠️ Дублирует .env из репозитория: установщик собирает URL релиза и печатает
 # баннер ДО того, как архив с .env скачан, поэтому взять их оттуда не может.
 # При бампе версии правь оба места.
-VERSION="0.2.0"
+VERSION="0.2.2"
 CHANNEL="${CHANNEL:-Beta}"

 # Откуда брать архив и как называется продукт — задаётся окружением, в коде
@@ -48,6 +48,7 @@ PRIV_KEY_FILE="$AMNEZIA_DIR/server_private.key"
 PUB_KEY_FILE="$AWG_DIR/server_public.key"
 AWG_CONF="$AWG_DIR/awg1.conf"
 DB_FILE="$AWG_DIR/users.db"
+UI_DB_FILE="$AWG_DIR/ui.db"   # своя БД awg-ui (API-ключи); вне PROJECT — переживает переустановку
 # Внутренняя авторизация awg-ui → awg-ctrl (Ed25519): приватный → awg-ui, публичный → awg-ctrl.
 INTERNAL_AUTH_PRIV="$AWG_DIR/internal_auth_private.key"
 INTERNAL_AUTH_PUB="$AWG_DIR/internal_auth_public.key"
@@ -71,13 +72,51 @@ echo -e "${BLD}Проверка совместимости:${NC}"

 KERNEL=$(uname -r)
 VIRT=$(systemd-detect-virt 2>/dev/null || echo "unknown")
-echo "    Ядро: $KERNEL · виртуализация: $VIRT · $(lsb_release -ds 2>/dev/null || echo unknown)"

-# Считаем все три пункта, НЕ падая на первом, — чтобы показать полный чеклист
+# Семейство дистрибутива решает, как ставить AmneziaWG:
+#   ubuntu — add-apt-repository ppa:amnezia/ppa, заголовки linux-headers-generic;
+#   debian — ни software-properties-common (в Debian 13 его нет), ни
+#            linux-headers-generic там не существует: PPA подключаем вручную
+#            (ключ + signed-by), заголовки — только под текущее ядро.
+# Производные (Mint, Pop!_OS, Kali…) определяются через ID_LIKE.
+OS_ID=""; OS_LIKE=""; OS_CODENAME=""; OS_NAME=""
+if [[ -r /etc/os-release ]]; then
+    OS_ID=$(. /etc/os-release; echo "${ID:-}")
+    OS_LIKE=$(. /etc/os-release; echo "${ID_LIKE:-}")
+    OS_CODENAME=$(. /etc/os-release; echo "${VERSION_CODENAME:-}")
+    OS_NAME=$(. /etc/os-release; echo "${PRETTY_NAME:-}")
+fi
+if [[ "$OS_ID" == "ubuntu" || " $OS_LIKE " == *" ubuntu "* ]]; then
+    OS_FAMILY="ubuntu"
+elif [[ "$OS_ID" == "debian" || " $OS_LIKE " == *" debian "* ]]; then
+    OS_FAMILY="debian"
+else
+    OS_FAMILY=""
+fi
+# Вариант ядра без версии: 6.12.85+deb13-cloud-amd64 → cloud-amd64,
+# 6.1.0-18-cloud-amd64 → cloud-amd64. Нужен для мета-пакетов Debian
+# (linux-image-<вариант> / linux-headers-<вариант>).
+KFLAVOUR=$(sed -E 's/^[0-9][^-]*-([0-9]+-)?//' <<< "$KERNEL")
+# Что советовать, если заголовков под текущее ядро нет.
+if [[ "$OS_FAMILY" == "debian" ]]; then
+    HDR_FIX="apt-get update && apt-get install -y linux-image-$KFLAVOUR linux-headers-$KFLAVOUR && reboot"
+else
+    HDR_FIX="apt-get install -y linux-generic && reboot"
+fi
+
+echo "    Ядро: $KERNEL · виртуализация: $VIRT · ${OS_NAME:-$(lsb_release -ds 2>/dev/null || echo unknown)}"
+
+# Считаем все пункты, НЕ падая на первом, — чтобы показать полный чеклист
 # со статусом по каждому. Если хоть один не прошёл — печатаем причины и выходим
 # с кодом 0 (чистый выход, без вида «упало с ошибкой»).
-VIRT_OK=1; HDR_OK=1; NET_OK=1
-VIRT_WHY=""; HDR_WHY=""; NET_WHY=""
+OS_OK=1; VIRT_OK=1; HDR_OK=1; NET_OK=1
+OS_WHY=""; VIRT_WHY=""; HDR_WHY=""; NET_WHY=""
+
+# 0) Дистрибутив: установщик умеет только apt-семейство Ubuntu/Debian.
+if [[ -z "$OS_FAMILY" ]]; then
+    OS_OK=0
+    OS_WHY="дистрибутив '${OS_NAME:-${OS_ID:-неизвестно}}' не поддерживается — нужен Ubuntu или Debian"
+fi

 # 1) Виртуализация: kernel-модуль нельзя загрузить там, где ядро общее с хостом.
 case "$VIRT" in
@@ -97,7 +136,7 @@ elif echo "$HDR_POLICY" | grep -q 'Candidate: [^(]'; then
    :
 elif echo "$HDR_POLICY" | grep -q 'Candidate: (none)'; then
    HDR_OK=0
-    HDR_WHY="нет заголовков под ядро $KERNEL в apt (кастомное ядро провайдера). Решение: apt-get install -y linux-generic && reboot, затем запусти install.sh заново в generic-ядре"
+    HDR_WHY="нет заголовков под ядро $KERNEL в apt. Решение: $HDR_FIX, затем запусти install.sh заново"
 fi

 # 3) Доступ в интернет: нужен для архива, Node и пакетов AWG. Без -f: любой
@@ -116,13 +155,15 @@ done

 # Чеклист: ✓ — пройдено, ✗ — нет.
 mark() { [[ "$1" == 1 ]] && echo -e "  ${GRN}✓${NC}  $2" || echo -e "  ${RED}✗${NC}  $2"; }
+mark "$OS_OK"   "Дистрибутив"
 mark "$VIRT_OK" "Виртуализация"
 mark "$HDR_OK"  "Заголовки ядра"
 mark "$NET_OK"  "Доступ в интернет"

-if [[ "$VIRT_OK" == 0 || "$HDR_OK" == 0 || "$NET_OK" == 0 ]]; then
+if [[ "$OS_OK" == 0 || "$VIRT_OK" == 0 || "$HDR_OK" == 0 || "$NET_OK" == 0 ]]; then
    echo
    warn "Установка невозможна — не пройдены проверки:"
+    [[ "$OS_OK"   == 0 ]] && echo -e "    ${RED}•${NC} $OS_WHY"
    [[ "$VIRT_OK" == 0 ]] && echo -e "    ${RED}•${NC} $VIRT_WHY"
    [[ "$HDR_OK"  == 0 ]] && echo -e "    ${RED}•${NC} $HDR_WHY"
    [[ "$NET_OK"  == 0 ]] && echo -e "    ${RED}•${NC} $NET_WHY"
@@ -460,30 +501,89 @@ start_logging
 # секции «Проверка совместимости»; $KERNEL задан там же.
 step "1/7  AmneziaWG"

+# Debian: add-apt-repository нет (software-properties-common из Debian 13 убран),
+# а PPA под Debian-релизы не собирается — подключаем его вручную на Ubuntu-серию
+# с glibc не новее дебиановской. Модуль приезжает DKMS-исходниками и от серии
+# не зависит; серия важна только для бинарника amneziawg-tools.
+#   AMNEZIA_PPA_SUITE — задать серию вручную (focal/jammy/noble).
+AMNEZIA_PPA_URL="https://ppa.launchpadcontent.net/amnezia/ppa/ubuntu"
+AMNEZIA_PPA_FPR="75C9DD72C799870E310542E24166F2C257290828"   # Launchpad PPA for Iurii Egorov
+AMNEZIA_KEYRING="/etc/apt/keyrings/amnezia-ppa.gpg"
+add_amnezia_ppa_debian() {
+    local suite="${AMNEZIA_PPA_SUITE:-}"
+    if [[ -z "$suite" ]]; then
+        case "$OS_CODENAME" in
+            bullseye) suite="focal" ;;
+            bookworm) suite="jammy" ;;
+            trixie)   suite="noble" ;;
+            *)        suite="noble"
+                      warn "Debian '${OS_CODENAME:-неизвестно}' не сопоставлен с серией PPA — берём noble (задать вручную: AMNEZIA_PPA_SUITE=…)" ;;
+        esac
+    fi
+    echo "  → подключение PPA amnezia (Debian ${OS_CODENAME:-?} → серия $suite)"
+
+    # Ключ берём по полному отпечатку и сверяем отпечаток после загрузки —
+    # apt-key в Debian 12+ уже нет, а доверять ответу keyserver вслепую нельзя.
+    local tmp gh fprs=""
+    tmp=$(mktemp); gh=$(mktemp -d)
+    if curl -fsSL --connect-timeout 15 \
+            "https://keyserver.ubuntu.com/pks/lookup?op=get&options=mr&search=0x${AMNEZIA_PPA_FPR}" \
+            | gpg --dearmor > "$tmp" 2>/dev/null; then
+        fprs=$(GNUPGHOME="$gh" gpg --batch --show-keys --with-colons "$tmp" 2>/dev/null || true)
+    fi
+    if ! grep -q "^fpr:::::::::${AMNEZIA_PPA_FPR}:" <<< "$fprs"; then
+        rm -rf "$tmp" "$gh"
+        fail "Не удалось получить ключ PPA amnezia ($AMNEZIA_PPA_FPR) с keyserver.ubuntu.com"
+    fi
+    install -d -m 0755 /etc/apt/keyrings
+    install -m 0644 "$tmp" "$AMNEZIA_KEYRING"
+    rm -rf "$tmp" "$gh"
+
+    echo "deb [signed-by=$AMNEZIA_KEYRING] $AMNEZIA_PPA_URL $suite main" \
+        > /etc/apt/sources.list.d/amnezia-ppa.list
+    ok "PPA amnezia подключён: $suite, ключ $AMNEZIA_KEYRING"
+}
+
 if command -v awg &>/dev/null && command -v awg-quick &>/dev/null && modinfo amneziawg &>/dev/null; then
    ok "AWG уже установлен (модуль amneziawg: $(modinfo -F version amneziawg 2>/dev/null || echo present))"
 else
    echo "  → apt-get update"
    apt-get update || fail "apt-get update упал — проверь /etc/apt/sources.list*"

-    echo "  → установка зависимостей сборки + заголовков ядра"
+    # iptables — в обоих списках: его зовёт PostUp в awg1.conf, а в Debian 13
+    # (nftables по умолчанию) он в минимальной системе не установлен.
+    if [[ "$OS_FAMILY" == "debian" ]]; then
+        DEPS=(gnupg ca-certificates curl dkms build-essential iptables)
+    else
+        DEPS=(software-properties-common python3-launchpadlib gnupg2 dkms build-essential iptables)
+    fi
+    echo "  → установка зависимостей сборки"
    DEBIAN_FRONTEND=noninteractive NEEDRESTART_MODE=a \
-    apt-get install -y \
-        software-properties-common \
-        python3-launchpadlib \
-        gnupg2 \
-        dkms \
-        build-essential \
-        "linux-headers-$KERNEL" \
-        linux-headers-generic \
-        || fail "Не удалось установить зависимости или заголовки ядра"
+        apt-get install -y "${DEPS[@]}" \
+        || fail "Не удалось установить зависимости сборки: ${DEPS[*]}"
+
+    # Заголовки — отдельным шагом: их нехватка — самая частая причина сбоя, и на
+    # неё нужен точный совет, а не общее «не удалось установить». Ошибку apt
+    # здесь не валим: решает наличие /lib/modules/$KERNEL/build ниже.
+    HDR_PKGS=("linux-headers-$KERNEL")
+    [[ "$OS_FAMILY" == "ubuntu" ]] && HDR_PKGS+=(linux-headers-generic)
+    echo "  → установка заголовков ядра: ${HDR_PKGS[*]}"
+    DEBIAN_FRONTEND=noninteractive NEEDRESTART_MODE=a \
+        apt-get install -y "${HDR_PKGS[@]}" \
+        || warn "apt не смог поставить ${HDR_PKGS[*]}"

    if [[ ! -d "/lib/modules/$KERNEL/build" ]]; then
        warn "Нет /lib/modules/$KERNEL/build — заголовки под текущее ядро отсутствуют."
-
-        warn "Часто бывает на кастомном ядре провайдера. Решение:"
-        warn "    apt-get install -y linux-generic && reboot"
-        warn "и после загрузки в generic-ядро запусти install.sh заново."
+        if [[ "$OS_FAMILY" == "debian" ]]; then
+            # Debian держит в архиве только последнюю сборку ядра: если сервер
+            # давно не перезагружали, пакета под запущенное ядро там уже нет.
+            warn "Debian хранит в архиве только свежую сборку ядра — запущенное $KERNEL"
+            warn "уже устарело. Поставь актуальное ядро вместе с заголовками:"
+        else
+            warn "Часто бывает на кастомном ядре провайдера. Решение:"
+        fi
+        warn "    $HDR_FIX"
+        warn "и после перезагрузки запусти install.sh заново."
        fail "Отсутствуют заголовки ядра $KERNEL — DKMS не соберёт модуль"
    fi
    ok "Заголовки ядра на месте: /lib/modules/$KERNEL/build"
@@ -495,6 +595,8 @@ else
    # apt-get install кэш apt бывает в переходном состоянии и отдаёт пустоту.
    if grep -rqs 'amnezia/ppa' /etc/apt/sources.list /etc/apt/sources.list.d/ 2>/dev/null; then
        ok "Репозиторий amnezia уже настроен — add-apt-repository пропущен"
+    elif [[ "$OS_FAMILY" == "debian" ]]; then
+        add_amnezia_ppa_debian
    else
        echo "  → add-apt-repository ppa:amnezia/ppa"
        add-apt-repository -y ppa:amnezia/ppa \
@@ -658,6 +760,15 @@ else
        mv "$DB_FILE" "$DB_BAK"
        warn "Старая база пользователей сохранена: $DB_BAK"
    fi
+    # ui.db (API-ключи awg-ui) — тоже в бэкап, чтобы awg-ui создал чистую БД.
+    if [[ -f "$UI_DB_FILE" ]]; then
+        UI_DB_BAK="${UI_DB_FILE}.bak-$(date +%Y%m%d-%H%M%S)"
+        mv "$UI_DB_FILE" "$UI_DB_BAK"
+        # WAL-сайдкары удаляем — к новой БД они неприменимы.
+        rm -f "${UI_DB_FILE}-wal" "${UI_DB_FILE}-shm"
+        warn "Старая база API-ключей сохранена: $UI_DB_BAK"
+    fi
+
    PRIV_KEY=$(umask 077 && awg genkey)
    PUB_KEY=$(printf '%s' "$PRIV_KEY" | awg pubkey)

@@ -678,12 +789,16 @@ fi
 chmod 600 "$INTERNAL_AUTH_PRIV" "$INTERNAL_AUTH_PUB"
 ok "Ключи внутренней авторизации awg-ui ↔ awg-ctrl"

-grep -qxF 'net.ipv4.ip_forward=1' /etc/sysctl.conf \
-    || echo 'net.ipv4.ip_forward=1' >> /etc/sysctl.conf
-grep -qxF 'net.ipv6.conf.all.forwarding=1' /etc/sysctl.conf \
-    || echo 'net.ipv6.conf.all.forwarding=1' >> /etc/sysctl.conf
-sysctl -qp
-ok "IP forwarding включён"
+# Свой файл в /etc/sysctl.d, а не /etc/sysctl.conf: в Debian 13 systemd-sysctl
+# /etc/sysctl.conf при загрузке больше не читает — forwarding включился бы
+# только до первой перезагрузки, и клиенты остались бы без интернета.
+SYSCTL_FILE="/etc/sysctl.d/99-awg-control.conf"
+cat > "$SYSCTL_FILE" <<'SYSCTL'
+net.ipv4.ip_forward=1
+net.ipv6.conf.all.forwarding=1
+SYSCTL
+sysctl -q -p "$SYSCTL_FILE"
+ok "IP forwarding включён ($SYSCTL_FILE)"

 # Параметры AmneziaWG 3.1. Значения-диапазоны взяты из дефолтов клиента
 # AmneziaVPN (protocolConstants.h), чтобы сервер и клиент не расходились.
Author	SHA1	Message	Date
maenekoandClaude Opus 5	fd87884bde	Bump to Beta 0.2.2 ci / check (push) Successful in 7m1s Details release / release (push) Successful in 3m40s Details Covers all six places the version is written down: .env, the copy install.sh keeps because it prints its banner and builds the release URL before the archive with .env exists, the three package.json files, and the /ui/brand example in the README. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-10 17:51:19 +03:00
maenekoandClaude Opus 5	4971a90e41	Support Debian in the installer install.sh only knew Ubuntu. On Debian 13 the dependency step died on software-properties-common, which trixie no longer ships, and on linux-headers-generic, which Debian never had — so add-apt-repository and the Ubuntu headers meta package are both off the table there. The distro family now comes from /etc/os-release (derivatives via ID_LIKE) and shows up as its own line in the compatibility checklist. On Debian the amnezia PPA is wired by hand: the key is fetched from keyserver.ubuntu.com by its full fingerprint and checked after download, then a signed-by source is written on the Ubuntu series whose glibc is not newer than the Debian release's (bullseye→focal, bookworm→jammy, trixie→noble; AMNEZIA_PPA_SUITE overrides). Headers are installed as a separate step so a missing package gets precise advice instead of a generic failure. Debian's archive keeps only the latest kernel build, so a server that hasn't rebooted in a while has no headers for its running kernel; the hint names linux-image/linux-headers for the kernel's own flavour (cloud-amd64 and so on) plus a reboot. iptables joins the dependencies — PostUp calls it, and a minimal Debian 13 on nftables doesn't have it. IP forwarding moves to its own file in /etc/sysctl.d: Debian 13 no longer reads /etc/sysctl.conf at boot, so the old line would have held only until the first reboot. Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>	2026-09-10 17:51:19 +03:00
maeneko	a358504e2a	Bump to Beta 0.2.1 release / release (push) Successful in 3m31s Details ci / check (push) Successful in 6m8s Details Covers all six places the version is written down: .env, the copy install.sh keeps because it prints its banner and builds the release URL before the archive with .env exists, the three package.json files, and the /ui/brand example in the README.	2026-09-10 00:24:18 +03:00
maeneko	66ae59e1d0	Add the admin panel scaffold A self-contained template: an Express backend with login, JWT, rate limiting and SPA serving, and a React 18 + Vite shell with the same tab registry and warm Material 3 design system the panel uses. No domain logic — routes and tabs are meant to be hung off it. node_modules and the frontend build stay out through the existing ignores.	2026-09-10 00:24:18 +03:00
maeneko	a11cfc88de	Bring back the external API keys Commit `0dbb13f` removed the whole feature: the apikeys tab, the /ui/apikeys routes, requireApiKey, the /api/v1 router, the ApiKey type, the better-sqlite3 dependency and UI_DB_FILE in the CLI and the installer. Only the untracked awg-ui/API.md survived, so the README went on to claim there was no key-based API at all. Restores all of it: ui.db with the api_keys table, awgk_ key generation storing only the SHA-256 and a display prefix, the JWT-guarded CRUD, and the /api/v1 router mounted before the JWT proxy on /api so the key auth is not swallowed. The tab comes back as its own folder and the registry picks it up on its own. UI_DB_FILE points at /etc/amnezia/amneziawg/ui.db, outside the install tree, so reinstalling keeps the keys; a fresh install moves the old one aside with its WAL sidecars. better-sqlite3 takes the slot of jsonwebtoken, which arrived with the MA7 integration and has been unused since `068cab4` removed it. One defect is not reproduced: the /api/v1 handlers called ctrl() without a try/catch, and Express 4 does not catch async rejections, so a single request with awg-ctrl down killed the panel process. They now answer 502 like proxy() already did. The API contract is documented in the README rather than linked: .gitignore excludes every markdown but README.md, so awg-ui/API.md is not in the repo and the link would break on a clone. Checked against a running server: login, key create/list/delete, 400 on a bad label, 401 without a JWT, "API key required" rather than "Unauthorized" on /api/v1, "Invalid API key" for a deleted key, last_used updating, and all three /api/v1 routes returning 502 with the process still alive.	2026-09-10 00:24:18 +03:00
maeneko	44c032b376	Document the panel API in the README The public /api/v1 surface and its docs went away with the API keys, leaving nothing written down about what the panel exposes — even though every route it uses is reachable over HTTP with a login token. Replaces the install-source section with an API chapter: the JWT flow and its 401/429 cases, the unauthenticated /ui/brand, health and interface status, the user routes including why fetching a key is a POST, reissue, and the 2.0 to 3.1 upgrade with its 409 and 500 cases. What is left of the install-source notes is one line pointing at the comments in install.sh and .env. Shapes and status codes are taken from the handlers rather than from memory, and the auth behaviour was checked against a running server.	2026-08-29 03:45:27 +03:00