Расследование WBE70 на stage: происхождение логотипа и состав перезаписи #10

Closed
opened 2026-10-20 19:34:43 +02:00 by yury · 2 comments
Owner

Поручение владельца20.10.2026: расследовать происхождение логотипа-заглушки WBE70 на zoomstage.online, кто/каким выкатом его перезаписал; дополнительно установить, что ещё вместе с ним было перелито из неизвестной версии. Только расследование, без исправлений/выката. План: 1) текущий SSR/assetSHA и источник выбора бренда; 2) полная Git-история assets/header/config/workflow, авторы/коммитеры; 3) история Gitea Actions/выкатов и сравнение деревьев/исключений SFTP; 4) доказательная хронология, перечень сопутствующих файлов, границы атрибуции и итог. Основной реестр — эта задача Preland; связана с api#301 и preland#4/#9.

Исследование завершено: KB7f37491,22stagejobs/19переливов,первый16.10 09:46:46МСК,последний20.10 20:16:20МСК.168/61manifest,35original,38assetSHA. Выводы/границыатрибуциивфинальномкомментарии. Сайтынеменялись. Открытыйсвязанныйостатокзащитыивосстановления—preland#11;поручениянаегоисполнениенет.

Поручение владельца20.10.2026: расследовать происхождение логотипа-заглушки WBE70 на zoomstage.online, кто/каким выкатом его перезаписал; дополнительно установить, что ещё вместе с ним было перелито из неизвестной версии. Только расследование, без исправлений/выката. План: 1) текущий SSR/assetSHA и источник выбора бренда; 2) полная Git-история assets/header/config/workflow, авторы/коммитеры; 3) история Gitea Actions/выкатов и сравнение деревьев/исключений SFTP; 4) доказательная хронология, перечень сопутствующих файлов, границы атрибуции и итог. Основной реестр — эта задача Preland; связана с api#301 и preland#4/#9. Исследование завершено: KB7f37491,22stagejobs/19переливов,первый16.10 09:46:46МСК,последний20.10 20:16:20МСК.168/61manifest,35original,38assetSHA. Выводы/границыатрибуциивфинальномкомментарии. Сайтынеменялись. Открытыйсвязанныйостатокзащитыивосстановления—preland#11;поручениянаегоисполнениенет.
Author
Owner

Доказана цепочка: docs/logo.svg иdocs/logo-alt.svg Gitblob91267982e1ad373b6ebd5fb2b761b34fe2a0c2a5 спервого792676e(03.10, author/committerroot); во всехветкахлоготипнеизменялся. StageactualSVGсовпалиGit. Перваяфактическаязаливкавдоступныхлогах—run341/job448/12b44be 16.10.2026 09:46:46МСК:обаput/Uploading,168файлов; workflowFAILEDтолькопоследующейCheckthepage,поэтомуfirstSUCCESS343неявляетсяпервойперезаписью. Последнийrun453/job648/144dda6 20.10 20:16:20МСК сноваputобаlogo,всего61файл,хотяdiff144dda6только2CSS. Этотпоследнийвыпусквыполнялсямнойв301;неправильныйбренднебылотмеченввизуальнойприёмке,этопробелпроверки. Giteaactor=yury /GitcommitsPanfilovKonstantin—учётныеметаданные,неоснованиеприписыватьручнуюоперациюконкретномучеловеку.
Состав61:10components,10images,9favicon,9root,7docs(включая4PDF+2logo+plan),7tests,5messages,3fonts,1bin;35из61байтововосходятк03.10.34публичныхstaticstage+4productionlogo=38/38Gitblobсовпали. SSR3доменаиспользуетлокальныеdocslogo;productionSVGтакжетежеWBE70. Нетпризнакавнедренияпостороннейветкивпоследнемвыпуске:workflowвсегдаотправляетвсетрекаемыефайлы,аuntouchedassetsнеисключены. Исключеныconfig/requisites/числовыенаборы,нологотипы/PDF/favicon/backgroundнет. Фактпереливадоказан;какиехостовыебайтыбылидо16.10безснимка/backupнеизвестно,невыдаёмвсе61заизменившиеся. Измененийсайтовврасследованиинет.

Доказана цепочка: docs/logo.svg иdocs/logo-alt.svg Gitblob91267982e1ad373b6ebd5fb2b761b34fe2a0c2a5 спервого792676e(03.10, author/committerroot); во всехветкахлоготипнеизменялся. StageactualSVGсовпалиGit. Перваяфактическаязаливкавдоступныхлогах—run341/job448/12b44be 16.10.2026 09:46:46МСК:обаput/Uploading,168файлов; workflowFAILEDтолькопоследующейCheckthepage,поэтомуfirstSUCCESS343неявляетсяпервойперезаписью. Последнийrun453/job648/144dda6 20.10 20:16:20МСК сноваputобаlogo,всего61файл,хотяdiff144dda6только2CSS. Этотпоследнийвыпусквыполнялсямнойв301;неправильныйбренднебылотмеченввизуальнойприёмке,этопробелпроверки. Giteaactor=yury /GitcommitsPanfilovKonstantin—учётныеметаданные,неоснованиеприписыватьручнуюоперациюконкретномучеловеку. Состав61:10components,10images,9favicon,9root,7docs(включая4PDF+2logo+plan),7tests,5messages,3fonts,1bin;35из61байтововосходятк03.10.34публичныхstaticstage+4productionlogo=38/38Gitblobсовпали. SSR3доменаиспользуетлокальныеdocslogo;productionSVGтакжетежеWBE70. Нетпризнакавнедренияпостороннейветкивпоследнемвыпуске:workflowвсегдаотправляетвсетрекаемыефайлы,аuntouchedassetsнеисключены. Исключеныconfig/requisites/числовыенаборы,нологотипы/PDF/favicon/backgroundнет. Фактпереливадоказан;какиехостовыебайтыбылидо16.10безснимка/backupнеизвестно,невыдаёмвсе61заизменившиеся. Измененийсайтовврасследованиинет.
Author
Owner

Расследование завершено. KB7f37491master; открытое продолжение preland#11. Сайты не менялись.

WBE70 на прелендах: происхождение и состав доставки

Реестр: preland#10. Поручение — исследовать всю историю логотипа и сопутствующего перелива. Исправления и выпуск в рамках аудита не выполнялись. Открытое продолжение: preland#11, защита доменных ресурсов и восстановление по утверждённому источнику.

Что установлено

Причина — полный SFTP deploy отслеживаемых файлов. При изменении двух CSS workflow заново отправляет 61 файл, в том числе неизменённые логотипы и документы. В исключениях есть config.json, requisites.html и числовые наборы, но нет docs/logo*, четырёх PDF, favicon, фонов и остальных ресурсов. Неизменность файла в Git не защищает его host-only версию от перезаписи.

docs/logo.svg и docs/logo-alt.svg имеют одинаковый Git blob 91267982e1ad373b6ebd5fb2b761b34fe2a0c2a5. Они добавлены первым коммитом 792676e974f2e9f4e6655292b6b19567e6481175 03.10.2026 в18:41:23МСК, author/committer root <root@fwrvmdowkz.local>, и больше не изменялись ни в одной доступной ветке. Оба актуальных SVG stage совпадают с этим blob. Это исходный WBE70, а не новый asset из последней ветки.

Проверена полная non-shallow история Git и все22 доступных staging Actions jobs: в19 есть прямые put -p обоих логотипов. Три ранних job не дошли до передачи логотипов. Среди19 заливших были и failed workflow: статус всего workflow не доказывает отсутствия изменений на хосте.

Хронология (МСК)

Дата Событие и доказательство
03.10,18:41:23 Первый Git-импорт792676e уже содержит оба WBE70, четыре PDF, favicon, шрифты, фоны и иконки.
05.10 Добавлен FTP-автодеплой старой площадки. Это не первая доставка на zoomstage.online: SFTP-stage появился позднее.
16.10,09:35–09:46 Добавлен SFTP workflow; первоначальный321766f и его перенос12b44be записаны в Git от Panfilov Konstantin. Ранние jobs436/440/444 не залили логотипы.
16.10,09:46:46 Первая подтверждённая передача на stage: run341/job448/12b44be. В логе оба Uploading docs/logo*, всего168файлов. Workflow FAILED только на последующем Check the page.
16.10,09:55:34 run342/job452 снова залил оба логотипа,168файлов; smoke снова FAILED.
16.10,10:04:26 run343/job456/6683762:168файлов, первый полностью SUCCESS stage. Логотипы уже были перезаписаны раньше.
16.10,10:06–10:07 run344/8d2beb3 доставлял main на оба production-преленда; job462 прямо подтверждает оба put docs/logo* на zoompixel.ru в10:07:19,170файлов. Для job460(.online) API не вернул строк передачи логотипов; метаданные job SUCCESS. Не подменять это отсутствующее прямое доказательство.
18.10 b4dedcf исключил числовые каталоги stage из обычной доставки. Логотипы/PDF/favicon не исключены.
19.10 d2637e8/preland#4 оставил доставку только staging→zoomstage.online; production с этого решения не обновлялся. Полная заливка оставшихся файлов сохранилась.
20.10,20:16:20 Последний run453/job648/144dda6 снова отправил оба логотипа. Commit менял только style.css/style.min.css, но SFTP передал61файл. Этот выпуск выполнял агент текущего чата в api#301; неправильный бренд был пропущен визуальной приёмкой.

Gitea actor последних и ранних SFTP запусков — yury, Git-коммиты записаны на Panfilov Konstantin <error500@error500.ru>. Это учётные метаданные автоматизации; они не позволяют утверждать, кто из людей лично вводил команды. Собственная роль текущего агента в последнем выпуске известна из истории чата, а не выведена из имени commit-author.

Что перелито вместе с логотипами

Подтверждённый manifest последнего job содержит61файл:

Группа Количество Состав
docs 7 Оба SVG, privacy_policy.pdf, public_offer.pdf, tariffs.pdf, user_agreement.pdf, служебный план docs/superpowers/plans/2026-10-17-stage-picker-utm-demo-structure.md.
favicon 9 SVG/ICO, PNG16/32/48, apple-touch-icon, android192/512, site.webmanifest.
images 10 bg.jpg, dark-bg.jpg, dropzone-bg/icon, modal-bg-2, payment, confused, sandglass, spinner, sprite.
fonts 3 Inter Regular/Medium/SemiBold WOFF2.
components 10 Все PHP-компоненты страницы, загрузки, сравнения, recovery и guards.
root 9 .htaccess, два Bootstrap CSS, i18n.php, index.php, три style CSS, template.php.
messages 5 Конфигурация и RU/EN переводы app/error.
tests 7 Семь check-*.php также попали в webroot.
bin 1 ensure-focus-config.php.

35из61 файлов байтово совпадают с первым импортом03.10, включая оба логотипа, все четыре PDF, все9 favicon, все10 images, все3fonts и оба Bootstrap CSS. Остальные26 содержат последующие изменения/добавления. Последний выпуск не выбирал случайную старую ветку: он повторно доставил неизменённые старые assets вместе с актуальным кодом staging.

Первая передача16.10 содержала168файлов, включая120старых images/demo файлов; позднее наборы перенесены в корневые /N/. Последний job не заливал /N/, config.json или requisites.html. Передачи этих ресурсов в более ранних выпусках надо отличать от их защиты на20.10.

Текущее состояние и границы вывода

Только GET:34публичных статичных файла stage и4SVG production-прелендов проверены по Git blob, 38/38 совпали. SSR всех трёх доменов подключает локальные /docs/logo.svg и /docs/logo-alt.svg; WBE70 присутствует и на zoompixel.ru/.online. Это не доказательство обновления production20.10: есть более ранняя история доставки16.10.

Доказана повторная передача перечисленных файлов, но не изменение каждого из них относительно прежнего состояния хоста. Нет снимка/backup доменных ресурсов до16.10: нельзя установить, какие индивидуальные логотипы/PDF/favicon были затёрты, или восстановить их из Git. Исходные host-only версии в доступной Git-истории отсутствуют. put -p сохраняет mtime, поэтому Last-Modified не является временем последней заливки.

Никаких сайтов/конфигов/брендовых ресурсов в этом расследовании не меняли. Восстановление и защита требуют отдельного поручения и утверждённого источника файлов; остаток явно открыт в#11. Текущая функциональная приёмка api#301 не была проверкой корректности брендинга; ошибку охвата зафиксировали, а не объявили WBE70 допустимым.

Evidence: D:/!Projects/Zoomzilla/output/preland10/: stage-deploy-history.json(22jobs/19переливов), early-stage-logo-audit.json, manifest-first-transfer.json(168), manifest-latest.json(61), source-manifest.json(35original), asset-audit.json(38probes), page-brand-sources.json. Сохранены только безопасные метаданные, пути и хеши, не полные workflow-логи с окружением.

Полный manifest61 последнего job:

.htaccess
bin/ensure-focus-config.php
bootstrap.min.c.css
bootstrap.min.css
components/browser-upload.php
components/example-loader.php
components/examples.php
components/form.php
components/navigation-guard.php
components/preview.php
components/process.php
components/upload-picker-links.php
components/upload-picker-style.php
components/upload-recovery.php
docs/logo-alt.svg
docs/logo.svg
docs/privacy_policy.pdf
docs/public_offer.pdf
docs/superpowers/plans/2026-10-17-stage-picker-utm-demo-structure.md
docs/tariffs.pdf
docs/user_agreement.pdf
favicon/android-chrome-192x192.png
favicon/android-chrome-512x512.png
favicon/apple-touch-icon.png
favicon/favicon-16x16.png
favicon/favicon-32x32.png
favicon/favicon-48x48.png
favicon/favicon.ico
favicon/favicon.svg
favicon/site.webmanifest
fonts/Inter-Medium.woff2
fonts/Inter-Regular.woff2
fonts/Inter-SemiBold.woff2
i18n.php
images/bg.jpg
images/confused.svg
images/dark-bg.jpg
images/dropzone-bg.svg
images/dropzone-icon.svg
images/modal-bg-2.svg
images/payment.svg
images/sandglass.svg
images/spinner.svg
images/sprite.svg
index.php
messages/config.php
messages/en/app.php
messages/en/error.php
messages/ru/app.php
messages/ru/error.php
style.css
style.min.c.css
style.min.css
template.php
tests/check-demo-layout.php
tests/check-host-config-patch.php
tests/check-upload-admission.php
tests/check-upload-button-state.php
tests/check-utm-redirect-contract.php
tests/check-versioned-stage-config.php
tests/check-visible-format-list.php
Расследование завершено. KB7f37491master; открытое продолжение preland#11. Сайты не менялись. # WBE70 на прелендах: происхождение и состав доставки Реестр: [preland#10](http://git.dira89kv.beget.tech:3000/anton/preland/issues/10). Поручение — исследовать всю историю логотипа и сопутствующего перелива. Исправления и выпуск в рамках аудита не выполнялись. Открытое продолжение: [preland#11](http://git.dira89kv.beget.tech:3000/anton/preland/issues/11), защита доменных ресурсов и восстановление по утверждённому источнику. ## Что установлено Причина — полный SFTP deploy отслеживаемых файлов. При изменении двух CSS workflow заново отправляет 61 файл, в том числе неизменённые логотипы и документы. В исключениях есть config.json, requisites.html и числовые наборы, но нет docs/logo*, четырёх PDF, favicon, фонов и остальных ресурсов. Неизменность файла в Git не защищает его host-only версию от перезаписи. `docs/logo.svg` и `docs/logo-alt.svg` имеют одинаковый Git blob `91267982e1ad373b6ebd5fb2b761b34fe2a0c2a5`. Они добавлены первым коммитом `792676e974f2e9f4e6655292b6b19567e6481175` 03.10.2026 в18:41:23МСК, author/committer `root <root@fwrvmdowkz.local>`, и больше не изменялись ни в одной доступной ветке. Оба актуальных SVG stage совпадают с этим blob. Это исходный WBE70, а не новый asset из последней ветки. Проверена полная non-shallow история Git и все22 доступных staging Actions jobs: в19 есть прямые `put -p` обоих логотипов. Три ранних job не дошли до передачи логотипов. Среди19 заливших были и failed workflow: статус всего workflow не доказывает отсутствия изменений на хосте. ## Хронология (МСК) | Дата | Событие и доказательство | | --- | --- | | 03.10,18:41:23 | Первый Git-импорт792676e уже содержит оба WBE70, четыре PDF, favicon, шрифты, фоны и иконки. | | 05.10 | Добавлен FTP-автодеплой старой площадки. Это не первая доставка на zoomstage.online: SFTP-stage появился позднее. | | 16.10,09:35–09:46 | Добавлен SFTP workflow; первоначальный321766f и его перенос12b44be записаны в Git от Panfilov Konstantin. Ранние jobs436/440/444 не залили логотипы. | | **16.10,09:46:46** | Первая подтверждённая передача на stage: run341/job448/12b44be. В логе оба `Uploading docs/logo*`, всего168файлов. Workflow FAILED только на последующем Check the page. | | 16.10,09:55:34 | run342/job452 снова залил оба логотипа,168файлов; smoke снова FAILED. | | 16.10,10:04:26 | run343/job456/6683762:168файлов, первый полностью SUCCESS stage. Логотипы уже были перезаписаны раньше. | | 16.10,10:06–10:07 | run344/8d2beb3 доставлял main на оба production-преленда; job462 прямо подтверждает оба `put docs/logo*` на zoompixel.ru в10:07:19,170файлов. Для job460(.online) API не вернул строк передачи логотипов; метаданные job SUCCESS. Не подменять это отсутствующее прямое доказательство. | | 18.10 | b4dedcf исключил числовые каталоги stage из обычной доставки. Логотипы/PDF/favicon не исключены. | | 19.10 | d2637e8/preland#4 оставил доставку только staging→zoomstage.online; production с этого решения не обновлялся. Полная заливка оставшихся файлов сохранилась. | | **20.10,20:16:20** | Последний run453/job648/144dda6 снова отправил оба логотипа. Commit менял только style.css/style.min.css, но SFTP передал61файл. Этот выпуск выполнял агент текущего чата в api#301; неправильный бренд был пропущен визуальной приёмкой. | Gitea actor последних и ранних SFTP запусков — `yury`, Git-коммиты записаны на `Panfilov Konstantin <error500@error500.ru>`. Это учётные метаданные автоматизации; они не позволяют утверждать, кто из людей лично вводил команды. Собственная роль текущего агента в последнем выпуске известна из истории чата, а не выведена из имени commit-author. ## Что перелито вместе с логотипами Подтверждённый manifest последнего job содержит61файл: | Группа | Количество | Состав | | --- | ---: | --- | | docs | 7 | Оба SVG, privacy_policy.pdf, public_offer.pdf, tariffs.pdf, user_agreement.pdf, служебный план docs/superpowers/plans/2026-10-17-stage-picker-utm-demo-structure.md. | | favicon | 9 | SVG/ICO, PNG16/32/48, apple-touch-icon, android192/512, site.webmanifest. | | images | 10 | bg.jpg, dark-bg.jpg, dropzone-bg/icon, modal-bg-2, payment, confused, sandglass, spinner, sprite. | | fonts | 3 | Inter Regular/Medium/SemiBold WOFF2. | | components | 10 | Все PHP-компоненты страницы, загрузки, сравнения, recovery и guards. | | root | 9 | .htaccess, два Bootstrap CSS, i18n.php, index.php, три style CSS, template.php. | | messages | 5 | Конфигурация и RU/EN переводы app/error. | | tests | 7 | Семь check-*.php также попали в webroot. | | bin | 1 | ensure-focus-config.php. | 35из61 файлов байтово совпадают с первым импортом03.10, включая оба логотипа, все четыре PDF, все9 favicon, все10 images, все3fonts и оба Bootstrap CSS. Остальные26 содержат последующие изменения/добавления. Последний выпуск не выбирал случайную старую ветку: он повторно доставил неизменённые старые assets вместе с актуальным кодом staging. Первая передача16.10 содержала168файлов, включая120старых images/demo файлов; позднее наборы перенесены в корневые /N/. Последний job не заливал /N/, config.json или requisites.html. Передачи этих ресурсов в более ранних выпусках надо отличать от их защиты на20.10. ## Текущее состояние и границы вывода Только GET:34публичных статичных файла stage и4SVG production-прелендов проверены по Git blob, **38/38 совпали**. SSR всех трёх доменов подключает локальные `/docs/logo.svg` и `/docs/logo-alt.svg`; WBE70 присутствует и на zoompixel.ru/.online. Это не доказательство обновления production20.10: есть более ранняя история доставки16.10. Доказана повторная передача перечисленных файлов, но не изменение каждого из них относительно прежнего состояния хоста. Нет снимка/backup доменных ресурсов до16.10: нельзя установить, какие индивидуальные логотипы/PDF/favicon были затёрты, или восстановить их из Git. Исходные host-only версии в доступной Git-истории отсутствуют. `put -p` сохраняет mtime, поэтому Last-Modified не является временем последней заливки. Никаких сайтов/конфигов/брендовых ресурсов в этом расследовании не меняли. Восстановление и защита требуют отдельного поручения и утверждённого источника файлов; остаток явно открыт в#11. Текущая функциональная приёмка api#301 не была проверкой корректности брендинга; ошибку охвата зафиксировали, а не объявили WBE70 допустимым. Evidence: `D:/!Projects/Zoomzilla/output/preland10/`: stage-deploy-history.json(22jobs/19переливов), early-stage-logo-audit.json, manifest-first-transfer.json(168), manifest-latest.json(61), source-manifest.json(35original), asset-audit.json(38probes), page-brand-sources.json. Сохранены только безопасные метаданные, пути и хеши, не полные workflow-логи с окружением. Полный manifest61 последнего job: ```text .htaccess bin/ensure-focus-config.php bootstrap.min.c.css bootstrap.min.css components/browser-upload.php components/example-loader.php components/examples.php components/form.php components/navigation-guard.php components/preview.php components/process.php components/upload-picker-links.php components/upload-picker-style.php components/upload-recovery.php docs/logo-alt.svg docs/logo.svg docs/privacy_policy.pdf docs/public_offer.pdf docs/superpowers/plans/2026-10-17-stage-picker-utm-demo-structure.md docs/tariffs.pdf docs/user_agreement.pdf favicon/android-chrome-192x192.png favicon/android-chrome-512x512.png favicon/apple-touch-icon.png favicon/favicon-16x16.png favicon/favicon-32x32.png favicon/favicon-48x48.png favicon/favicon.ico favicon/favicon.svg favicon/site.webmanifest fonts/Inter-Medium.woff2 fonts/Inter-Regular.woff2 fonts/Inter-SemiBold.woff2 i18n.php images/bg.jpg images/confused.svg images/dark-bg.jpg images/dropzone-bg.svg images/dropzone-icon.svg images/modal-bg-2.svg images/payment.svg images/sandglass.svg images/spinner.svg images/sprite.svg index.php messages/config.php messages/en/app.php messages/en/error.php messages/ru/app.php messages/ru/error.php style.css style.min.c.css style.min.css template.php tests/check-demo-layout.php tests/check-host-config-patch.php tests/check-upload-admission.php tests/check-upload-button-state.php tests/check-utm-redirect-contract.php tests/check-versioned-stage-config.php tests/check-visible-format-list.php ```
yury closed this issue 2026-10-20 19:46:37 +02:00
Sign in to join this conversation.
No labels
1 Participants
Notifications
Due Date
No due date set.
Dependencies

No dependencies set.

Reference: anton/preland#10