diff --git a/docs/iso-proverka.md b/docs/iso-proverka.md
new file mode 100644
index 0000000..da27300
--- /dev/null
+++ b/docs/iso-proverka.md
@@ -0,0 +1,49 @@
+# Проверка образа установки (ISO) на виртуальной машине
+
+Образ собирается `deploy/iso/build-iso.sh` и выкладывается в канал `iso` на
+lic.zetit.ru. Ниже — что проверено статически и что нужно проверить на живой ВМ.
+
+## Что уже проверено без запуска
+
+На образе `bj-debian13-2026.09.16-beta1.iso` (18.09.2026):
+
+- контрольная сумма совпадает с подписанным манифестом канала `iso`;
+- образ гибридный: `El Torito` + `MBR isohybrid` + `GPT`, то есть грузится и с
+  флешки, и как ISO, и в BIOS, и в UEFI;
+- загрузочные образы на месте: BIOS — `/isolinux/isolinux.bin`,
+  UEFI — `/boot/grub/efi.img`;
+- в обеих ветках меню наш пункт стоит первым и выбран по умолчанию:
+  - UEFI — `/boot/grub/grub.cfg`, `menuentry «Установить Bridge&Join …»`;
+  - BIOS — `/isolinux/txt.cfg`, `default bj`;
+- оба пункта передают `auto=true priority=high preseed/file=/cdrom/preseed/bj.cfg`
+  и русскую локаль;
+- `preseed/bj.cfg` на месте, в нём `late_command` ставит `bj-installer`,
+  `bj-firstboot` и включает `bj-firstboot.service`;
+- файлы `bj/bj-installer`, `bj/bj-firstboot`, `bj/bj-firstboot.service` лежат на образе.
+
+Проверить загрузку на самом сервере bj (astramost) нельзя: он сам работает
+внутри ВМ без вложенной виртуализации, эмуляция шла бы часами.
+
+## Что проверить на виртуальной машине
+
+Параметры ВМ: 2 ядра, 4 ГБ памяти, диск 40 ГБ, сеть с выходом в интернет
+(установщик Debian тянет пакеты с deb.debian.org), загрузка — UEFI, потом
+отдельно BIOS.
+
+1. **Меню.** Сразу после загрузки — пункт «Установить Bridge&Join …», выбран по
+   умолчанию, отсчёт 10 секунд. Русский язык уже выбран.
+2. **Вопросы установщика.** Должны спросить только: пароль root, пароль
+   администратора ОС (`bjadmin`), диск и подтверждение стирания. Всё остальное —
+   без вопросов.
+3. **Установка.** Разметка «весь диск, ext4», пакеты `standard + ssh-server`
+   плюс postgresql, java, pcscd, curl. По окончании — перезагрузка, диск с
+   образом извлекается сам.
+4. **Первый запуск.** На экране сервера служба `bj-firstboot` должна спросить
+   ключ продукта: ключ → проверка на lic.zetit.ru → установка bj из канала
+   лицензии → адрес веб-интерфейса.
+5. **После установки.** `systemctl status bj-server bj-keymedia`,
+   открыть `http://<адрес>:8080/` — страница первого запуска с кодом.
+
+Если на шаге 2 установщик задаёт лишние вопросы — значит, в `preseed/bj.cfg` не
+хватает ответа: имя вопроса видно в журнале `/var/log/installer/syslog` на
+установленной системе.