# Кабинет клиента: безопасность, связь без публичного адреса, покрытие данных

Отчёт на 17.09.2026. Всё перечисленное выкачено на astramost и влито в `main` (коммит 2a7442c).

## 1. Как кабинет подключается к ядру

Настройки → «Личный кабинет» → «Кабинет клиента на своём сервере»:

1. создать ключ доступа (на странице он показан замаскированным, целиком попадает только в архив);
2. выбрать способ связи;
3. скачать архив, распаковать на сервере кабинета, выполнить `sudo ./install.sh`;
4. опубликовать через nginx с сертификатом (пример в README архива).

Инструкция с шагами — «Инструкции» → «Личный кабинет» (`/admin/help/lk`).

Два способа связи:

| Способ | Когда | Что нужно |
|---|---|---|
| Кабинет обращается к ядру (`BJ_MODE=direct`) | у ядра есть адрес, доступный серверу кабинета | адрес ядра в настройках, только https |
| Ядро подключается к кабинету (`BJ_MODE=agent`) | у ядра нет адреса в интернете | адрес кабинета в настройках ядра; входящих портов не нужно |

Во втором способе кабинет копит запросы клиентов, ядро само дозванивается до кабинета по его
доменному имени (4 параллельных подключения), выполняет запрос тем же обработчиком `/api/lk/*`
и возвращает ответ. Канал в обе стороны закрыт ключом модуля; ядро выполняет только пути
`/api/lk/…`. Состояние канала видно в настройках: подключено ли, время последнего обмена,
число обслуженных запросов.

## 2. Проверка безопасности

Аудит нашёл 5 критичных, 12 важных и 9 мелких замечаний. Исправлено:

**Критичные**
- перебор пароля без ограничений → лимит по адресу посетителя (10) и по логину (8) на 15 минут,
  одинаковая задержка ответа; проверено вживую: блокировка на 8-й попытке;
- живой токен сотрудника лежал в куке, читаемой скриптами → все куки `HttpOnly`;
- CSRF отсутствовал, `/impersonate` срабатывал по ссылке → токен на всех формах, вход сотрудника
  в кабинет клиента только POST, `SameSite=Strict`;
- куки без `Secure` → ставится всегда, кроме обращения на localhost;
- сессии и паспортные данные клиентов лежали на диске ядра открытым текстом → в файле теперь
  отпечаток токена (sha256) и ссылка на учётную запись, персональных данных нет.

**Важные**
- выход гасит все сессии, включая сохранённую сессию сотрудника; возврат из кабинета клиента
  гасит сессию просмотра в ядре;
- карточка клиента читается из БД на каждый запрос: блокировка и снятие прав действуют сразу;
- абсолютный срок сессии 24 ч (скользящий — 12 ч), привязка к браузеру; привязка к сети —
  настройкой, по умолчанию выключена (мобильных клиентов иначе выбрасывает);
- вход сотрудника в кабинет клиента пишется в `lk.audit` и поднимает оповещение;
- заголовки CSP / X-Frame-Options / nosniff / Referrer-Policy / HSTS, запрет кэширования страниц;
- таймауты сервера кабинета, ограничение тела запроса 1 МБ, перехват паники;
- предупреждение в журнале, если адрес ядра задан по открытому http;
- ключ модуля и токен сессии: при отказе источника случайных чисел — ошибка, а не суррогат;
- ключ на странице настроек замаскирован.

**Мелкие**
- одинаковое время ответа для несуществующего логина (защита от перечисления логинов);
- пароль от 10 символов, буквы + цифра или знак;
- сообщения и ошибки больше не едут в адресе страницы (не попадают в журнал nginx);
- шрифты вшиты в программу: страница не обращается ни к одному стороннему сайту;
- экранирование `% _ [` в выборках по номеру договора;
- `/health` без ключа отдаёт только `{"ok":true}`.

Заодно найдена и исправлена ошибка: текст «неверный логин или пароль» клиенту не показывался
вовсе (шаблон ждал поле `Error`, обработчик передавал `Flash`).

**Осталось осознанно**
- боевой ключ лежит внутри скачиваемого архива — иначе установка не одной командой. В README и
  на странице настроек стоит предупреждение удалить архив после установки. Вариант на будущее —
  одноразовый код привязки вместо ключа;
- список клиентов у сотрудника ищется через `GET /clients?search=…` — ФИО попадает в журнал
  nginx сервера кабинета. Лечится настройкой nginx (не писать query) либо переводом поиска на POST;
- файл сессий переписывается целиком при входе/выходе — при тысячах одновременных сессий стоит
  перейти на отложенную запись.

**Что уже было сделано правильно:** bcrypt, выборка данных строго по договору из серверной сессии
(подменой запроса чужие данные не получить), право сотрудника проверяется в ядре, сравнение ключа
за постоянное время, параметризованный SQL, `html/template` без небезопасных вставок, поручения
сверяются с фактическим остатком, кабинет ничего не хранит на диске.

### Тесты

| Набор | Что проверяет | Результат |
|---|---|---|
| `go test ./...` | весь проект | проходит |
| `go test -race ./modules/lk ./internal/lkgateway` | гонки в очереди режима ожидания и сессиях | проходит |
| `lksecurity_test.go` | файл сессий без токена и ПДн, права 0600, привязка к устройству, абсолютный срок, только просмотр у сотрудника, API без ключа/с чужим ключом/без сессии, перебор, пароли, LIKE | 6 из 6 |
| `lkagent_test.go` | настоящий кабинет + настоящий цикл ядра; чужой путь через канал не выполняется | 2 из 2 |
| `modules/lk` | CSRF, заголовки, запрет GET `/impersonate`, режим ожидания, страницы | проходит |
| `scripts/lk-sec-smoke.sh` | работающий кабинет снаружи: заголовки, куки, страницы без входа, формы без токена, обход каталога, большое тело, поддельные куки | 34 из 34 |
| живые (`-tags live`, только чтение) | история, цены, карточка бумаги, сверка с DEPO, покрытие данных | проходит |

Запуск проверки снаружи: `scripts/lk-sec-smoke.sh https://адрес-кабинета`.

## 3. Какие данные кабинет показывает сейчас

Выборка — 60 реальных договоров, операции и доходы за 2 года:

| Раздел | Источник | Данные есть |
|---|---|---|
| Портфель (остатки) | DEPO `OD_RESTS` | 60 из 60 клиентов, 143 позиции |
| Оценка по рынку | экспорт QUIK `Securities`+`Params` | 77 из 143 позиций (54 %) |
| Операции по счёту депо | DEPO `U_OP_INV_*` | 58 из 60, 1278 строк |
| Доходы и налог | DEPO `U_OP_INF_INCOME`, `OD_NDFL` | 26 из 60, 350 строк |
| Корпоративные действия | DEPO `U_CA_ACTS` | 2 из 60 |
| Готовые выписки | DEPO `U_OP_INF_EXTRACT` | 10 из 60, 29 документов |

Почему оценено только 54 % позиций — это не ошибка запроса:
- 31 позиция — иностранные бумаги (ISIN US/XS/GB/GG), на Мосбирже не торгуются;
- 35 позиций — внебиржевые выпуски классов `FONT_OUT` / `FONT_OUT2` (в основном бумаги группы
  Гарант-Инвест), рыночной цены у них нет.

Предложение: для облигаций без рыночной цены показывать оценку по номиналу с пометкой «по номиналу»,
для иностранных — строку без оценки с пояснением. Решение о способе оценки — за депозитарием.

## 4. Что показывают кабинеты брокеров и что из этого нам уже доступно

В экспорте QUIK лежат данные, которые кабинет пока не использует. Код клиента QUIK сопоставляется
с договором напрямую: `BR746` ↔ `БР-746`, `BRIIS514` ↔ ИИС, суффикс `OUT` — внебиржевой раздел.

| Что обычно есть у брокеров | Есть ли у нас данные | Источник | Оценка работы |
|---|---|---|---|
| Денежные средства по валютам | **да**: рубли у 998 клиентов, юани у 18, золото у 6 | `MoneyLimits` | малая |
| Средняя цена покупки, прибыль/убыток по позиции | **да**: заполнено у 2439 из 2528 позиций (96 %) | `DepoLimits.AwgPositionPrice` | малая |
| Стоимость портфеля одной цифрой | **да**: у 1104 клиентов | `Portfolio.PortfolioValue` | малая |
| Структура портфеля (акции/облигации/фонды, валюты, эмитенты) | **да**, считается из уже загруженного | позиции + цены + CFI | малая |
| Календарь выплат (купоны, оферты, погашения по своим бумагам) | **да** | DEPO `OD_COUPONS`, `OD_OFFERS` | малая |
| Сделки за день | **да**: 1692 сделки, 87 клиентов | `Trades` | малая |
| Активные заявки | **да**: 1323 заявки, 94 клиента | `Orders` | малая |
| История сделок за период | **частично**: в экспорте только текущий день | `Trades` + накопление, как сделано для НПР | средняя |
| График стоимости портфеля во времени | **нет истории**: нужно начать копить ежедневный срез | новая таблица срезов | средняя |
| Маржинальные показатели (НПР1/НПР2, УДС, плечо) | **да** | `Portfolio`, схема `npr` | малая |
| Признак ИИС, статус квалифицированного инвестора | **да** | префикс договора, DEPO `IS_QUAL` | малая |
| Налоги: удержанный НДФЛ | **уже показываем** | DEPO `OD_NDFL` | — |
| Справки и отчёты | **уже показываем** + заявка на документ | DEPO, `lk.doc_requests` | — |
| Доходность в процентах годовых | **нет**: нужны вводы/выводы денег за период | SPECTRE или накопление | большая |
| Ввод/вывод денег, пополнение | нет — это операции брокера, не депозитария | — | вне модуля |
| Торговля из кабинета | нет — для этого есть QUIK | — | вне модуля |

Рекомендуемый порядок: деньги → средняя цена и прибыль/убыток → структура портфеля →
календарь выплат → сделки за день. Всё это — малые работы на уже включённых пакетах экспорта.
Для денег и сделок нужно решение: показывать ли брокерские данные в кабинете депозитария
(технически готово, вопрос в продукте и в том, какие клиенты это должны видеть).

## 5. На что посмотреть завтра

- настройки → «Личный кабинет»: новый блок связи, замаскированный ключ, кнопка архива;
- кабинет `http://…:8099`: вход (теперь с сообщением об ошибке), «Документы», блок
  корпоративных действий на «Доходах»;
- после выкатки все клиентские сессии сброшены (сменился формат хранения) — войти заново;
- пароли короче 10 символов завести больше нельзя; существующие учётные записи продолжают работать;
- в корне репозитория лежит старый `s.html` (сохранённая страница настроек от 14.08) — в коммит
  не включён; в таких страницах бывают ключи, файл стоит удалить.