Hermes Update + Sonnet 5 (2026-07-04 10:1x)

• Hermes: v0.17.0 (2026.6.19) → v0.18.0 (2026.7.1) via hermes update (was 940 commits behind). Now "Already up to date".
• Hermes default model switched: anthropic/claude-opus-4.8 → anthropic/claude-sonnet-5 (OpenRouter, 1M ctx). config.yaml is authoritative (not legacy config.json=gemini-2.5-flash). Rationale: Hermes = agentic workhorse (dozens of turns), Sonnet 5 saves 40-60%, final output still governed by Opus 4.8. Dr. Wael approved.
• Verified: config preserved after update, live one-shot tests pass (17×3=51, 128÷4=32, exit 0), OpenRouter serves claude-sonnet-5-20260630 via Bedrock.
• Backup pre-update: /data/.hermes/backups/pre_update_20260704_101149 (config.yaml/json/.env/auth.json), prior HEAD 65d45a00.
• Claude Code (server): 2.1.195 → 2.1.201 (matches laptop).
• Foresight engine FX fix: frankfurter.app (dead 301 + no KWD) → open.er-api.com (TRY+KWD+cross rate).
• Cron: Fable5 alert removed from availability check (Fable5 already added); now watches Mythos5 only.
• Xiaomi MiMo v2.5-pro: kept as side option (not added to chain, per Dr. Wael).

Canvas Arsenal deployed (10:54 الكويت)

• بديل Poppy.ai مجاني: https://canvas.drwaelalkishawi.com (basicauth admin + كلمة سر د.وائل، نفس wiki/files)
• /docker/canvas (compose+Traefik letsencrypt), container canvas-arsenal, port 8080, DNS A proxied created.
• Node/Express backend: golden-chain fallback (Opus4.8→GPT5.5→Gemini3.1Pro→Grok4.3), /api/chat /ingest/pdf /ingest/youtube /ingest/image(Gemini vision) /boards. Keys in /docker/canvas/.env (600).
• Frontend: vanilla infinite canvas (pan/zoom/cards/mindmap edges) + academic actions (summarize/highlight/slides/contributions/methodology/viva). Bilingual + signature.
• E2E Playwright ALL PASS (live Opus summary rendered, 0 console errors). Temp e2e basicauth user added+removed.

Canvas Export Buttons — DONE + VERIFIED (17:5x الكويت)

• أُضيف زرّا "🖼️ تصدير PNG" + "📄 تصدير PDF" لكانفاس الترسانة (canvas.drwaelalkishawi.com).
• التنفيذ: html2canvas 1.4.1 + jsPDF 2.5.1 (CDN). renderCanvasPNG يحسب bbox كل البطاقات، يعيد الـtransform مؤقتاً، يلتقط #world @scale2، يعيد الحالة. PNG=data URL anchor، PDF=blob+createObjectURL anchor.
• السبب الجذري لتوقفي السابق: زر PDF كان خارج viewport (فيض شريط الأدوات) → الضغط يفشل. الحل: نقل الأزرار للمجموعة اليسرى (بعد YouTube) + overflow-x:auto على #top.
• E2E Playwright حي (نفق SSH→socat bridge canvas_default، تخطّى basicauth بلا downtime): title صحيح، الزران موجودان، html2canvas=function، jspdf=object، canvasDims 840x502 (بكسل حقيقي)، pngDownload=✓.png، pdfDownload=✓.pdf، consoleErrors=[]. أُعيد بناء الحاوية 5 مرات حتى النجاح الكامل.
• درس: تراكب subnets على الـhost (M-068) يجعل tunnel لـcontainer IP يصيب حاوية خاطئة → استخدم socat bridge على host localhost. وأنفاق SSH المُخلّفة في الخلفية تترك أشباحاً → أدر دورة النفق داخل أمر واحد بمنفذ فريد.

Portal registration + Auto-Recovery — DONE + VERIFIED (20:1x الكويت)

• البورتال (drwaelalkishawi.com/portal.html): أُضيفت 3 بطاقات عبر add_to_portal.py (idempotent+backup):

- Canvas → 🎨 الإبداع (https://canvas.drwaelalkishawi.com، 401=محميّ سليم) - beam-check → 🏗️ الهندسة (https://apps.drwaelalkishawi.com/beam-check/، live 200) - exam-tools → ⚙️ الأدوات (https://apps.drwaelalkishawi.com/exam-tools/، live 200) - Playwright E2E حيّ على البورتال: العنوان صحيح، الثلاث بطاقات visible+href صحيح، 38 بطاقة إجمالاً، صفر موارد 4xx/5xx عند reload.

• أزرار PNG/PDF بكانفاس: منجزة+متحقّقة سابقاً (Playwright نزّل ملفين حقيقيين).
• الاسترداد التلقائي لحالة الشلل (incomplete-turn/M-048): بُني نظام حَدَثي:

- scripts/incomplete_turn_autorecover.sh (كشف surfaced-error + dedup بالـrunId + عدّاد تصعيد؛ يُنعش الجلسة الرئيسية عبر openclaw system event --mode now؛ بعد 3 محاولات متتالية <10د → تصعيد Telegram بدل حلقة). - scripts/daemons/autorecover_daemon.sh (يتابع اللوغ لحظياً tail -F، إنعاش خلال ثوانٍ) — مُدمج في daemons_keepalive ensure-list + شبكة احتياطية inline كل 5د. - مُثبَت حيّاً: حقن سطر شلل اصطناعي → daemon كشفه → autorecover أطلق system event rc=0. openclaw system event مُختبر ok:true.

• إصلاح سبام: حُذف cron 52827c31 (incomplete-turn-auto-recover-v2) — كان يحقن حدثاً في main كل 30s → فيضان رسائل heartbeat. الحل الحَدَثي يُغنِي عنه.

Hermes dashboard on portal (2026-07-04, subagent hermes-portal-deploy)

نشر لوحة Hermes Agent كخدمة ويب محمية على البورتال — إضافي بالكامل، صفر لمس لخدمة/route/gateway قائم، بلا restart للبوابة.

المعمارية النهائية:

• Hermes dashboard يعمل داخل حاوية openclaw على 127.0.0.1:9120 (hermes dashboard --host 127.0.0.1 --port 9120 --no-open --skip-build). ملاحظة: تصلّب Hermes (يونيو 2026) يقتل نفسه عند bind عام بلا auth provider → لذا loopback فقط + tunnel (نمط موصى به من Hermes نفسه).
• forwarder بايثوني شفاف scripts/daemons/hermes_forward.py (marker فريد HERMES_FWD_9121) يفتح 0.0.0.0:9121 → 127.0.0.1:9120 ليصل Traefik (host-net) للحاوية عبر IP الشبكة.
• ⚠️ IP حاوية openclaw الحقيقي = 172.16.1.6 (وليس 172.16.1.2؛ تلك go-proxy). أُثبت بـ docker network inspect openclaw-4x4t_default.
• Traefik file dynamic جديد /docker/traefik/dynamic/hermes.yml (hot-reload، بلا restart): router hermes.drwaelalkishawi.com (websecure + letsencrypt) → service http://172.16.1.6:9121، middlewares: hermes-auth (basicAuth admin، نفس هاش canvas/wiki) + hermes-host (يعيد كتابة Host: 127.0.0.1 وOrigin: http://127.0.0.1). serversTransport hermes-transport بـ maxIdleConnsPerHost: -1 لتعطيل keep-alive للخلفية (الـ forwarder الشفاف لا يخدم اتصال مُعاد الاستخدام → كان يسبّب 502 عشوائي على دفعة /api/).
• Hermes يفرض allowlist لـ Host وOrigin (دفاع DNS-rebinding) يقبل loopback فقط → لذا إعادة كتابة Host+Origin ضرورية (بدونها: 400 على HTTP و403 على WebSockets).
• DNS: Cloudflare A record hermes → 76.13.41.228 (proxied)، zone 5bd26d50…، record id 6b1c78bae7eb840a4bdb2e498902f28d.
• بطاقة البورتال: أُضيفت عبر add_to_portal.py تحت "⚙️ الأدوات" (idempotent) وظاهرة حيًّا على portal.html.
• الاستمرارية: كتلة keepalive في scripts/daemons/daemons_keepalive.sh (HTTP health-probe :9120 + PID-explicit kill، وحارس forwarder بـ marker فريد؛ لا pkill -f/لا hermes dashboard --stop — يطابق أمري نفسه ويقتل الشِل). اختُبر: قتل العمليتين ثم keepalive → استرجاع كامل (9120/9121=200).

كلمة سر basicauth الموحّدة في /docker/_secrets/auth_creds.txt (admin) — لم تُكشف في أي رد.

التحقق النهائي (فعلي): 1. داخل الحاوية: 127.0.0.1:9120=200، :9121=200. 2. الدومين: no-auth=401، with-auth=200 (TLS صحيح، HTTP/2 عبر Cloudflare). 3. Playwright E2E (chromium /usr/bin/chromium --no-sandbox، httpCredentials): navStatus=200، title="Hermes Agent - Dashboard"، root mounted، pageErrors=0، requestFailures=0، WebSockets تتصل (0 أخطاء WS بعد إصلاح Origin). المتبقي الوحيد: /api/auth/me=401 وهو سلوك Hermes أصيل (مُثبت مطابق على loopback مباشر 127.0.0.1:9120) = فحص حالة تسجيل الدخول في وضع loopback، غير مؤثر على الوظائف. 4. البطاقة ظاهرة على portal.html.

فخّ موثّق: hermes dashboard --stop/--status يطابق cmdline الشِل الحاوي على السلسلة "hermes dashboard" فيرسل SIGTERM للـ exec نفسه — سبّب إجهاض عدة أوامر. الحل: قتل بـ PID دقيق فقط، لا استخدام --stop إطلاقًا.

Cloudflare Access on Hermes — DONE + VERIFIED (21:0x الكويت)

• طبقة Zero Trust فوق hermes.drwaelalkishawi.com (بموافقة د. وائل).
• Account: 1cd608e574c1e6a45c82a49232980126 · team domain: wayrk76.cloudflareaccess.com
• Access App "Hermes Dashboard" (id f27b34b6-2ef7-492f-bcb1-9fa3ecf3ff82) + Policy "Only Dr. Wael" (id 1cd78b8d-7f72-44c4-8ab6-0224f7af7bfd) allow emails: wayrk76@gmail.com, eng_waelanan@hotmail.com, wanan@kcpc.com.kw.
• IdP: onetimepin (OTP بالبريد) — مُهيّأ مسبقاً.
• تحقّق حيّ: curl hermes. → 302 إلى wayrk76.cloudflareaccess.com/cdn-cgi/access/login (auth_status=NONE للغير مُصادَق).
• الطبقات: (1) CF Access هوية (بريد د. وائل + OTP) → (2) Traefik basicauth → (3) Hermes Host/Origin hardening. حتى لو تسرّبت basicauth، لا وصول بلا بريد د. وائل + OTP.
• API عبر CLOUDFLARE_API_TOKEN (account-scoped Access:Edit). لم يُكشف أي توكن.

Hermes bypass closed (CF-IP-only origin) — 21:0x

• كشف حيّ: CF Access كان قابلاً للتجاوز — وصول مباشر لـ76.13.41.228 + Host header = 401 basicauth فقط (يتخطى Access).
• الإصلاح: Traefik ipAllowList middleware "hermes-cfonly" (22 نطاق Cloudflare) كأول middleware على راوتر hermes. الوصول المباشر الآن = 403.
• درس (M-substring): استبدال نصّي بنمط " middlewares:" (2 مسافات) تطابق داخل سطر الراوتر (6 مسافات) فأفسد YAML → Traefik رفض الملف وأبقى القديم. الإصلاح: استعادة .bak + مراسٍ فريدة (- hermes-auth\n- hermes-host للراوتر، hermes-auth:\nbasicAuth: للتعريف).
• الطبقات النهائية: (1) CF-IP-only origin 403 لغير CF → (2) CF Access هوية د.وائل+OTP → (3) basicauth → (4) Hermes Host/Origin hardening. CF proxy يخفي IP + WAF + DDoS.
• TODO مقترح: cron لتحديث نطاقات CF دورياً (تتغير نادراً) · خيار الذروة: cloudflared tunnel (صفر منفذ مكشوف).

🔒 مهمتان أمنيتان على بنية المضيف (76.13.41.228) — 2026-07-04 ~21:35

المهمة أ — basicauth الموحّد على الخدمات الحسّاسة المكشوفة ✅ مُنجزة

الـhash الموحّد نفسه (admin) المستخدم في wiki/canvas/hermes. كل الخدمات كانت HTTP 200 مكشوفة قبل التعديل.

• invest.drwaelalkishawi.com (لوحة مالية) → basicauth عبر compose labels (invest-auth). تحقّق: no-auth=401 / with-auth=200 ✅
• ask.drwaelalkishawi.com (RAG على ذاكرة/wiki خاصة) → basicauth عبر ask-proxy compose labels (ask-auth). تحقّق: 401/200 ✅

- ⚠️ panel يستدعي ask داخليًّا عبر /px/ask → أضفت proxy_set_header Authorization "Basic <admin>" في panel/default.conf فبقيت التكاملة تعمل (px/ask=200 مع مصادقة panel).

• code.drwaelalkishawi.com → اكتشاف: ليست code-server ولا فيها طرفية سيرفر. هي صفحة ثابتة "ساحة الكود" تشغّل Python في المتصفح عبر Pyodide/WASM (لا backend، لا وصول للسيرفر، /healthz=404). غير حسّاسة تقنيًّا، لكن طبّقت basicauth الموحّد (code-auth) لأنها كانت مكشوفة بلا مصادقة وتحت نطاقه — دفاع بلا ضرر. تحقّق: 401/200 ✅. (لو رغب د. وائل بجعلها عامة تُزال بسطر واحد.)
• panel.drwaelalkishawi.com ("ترسانة د. وائل") → قرار: حسّاسة لأنها تتحكّم (proxy /hook/→arsenal-hooks :8910 يشغّل rebuild/CI/capability + /px/ask RAG خاص). طبّقت basicauth الموحّد (panel-auth). تحقّق: 401/200 ✅
• backups لكل ملف: .bak-secauth-20260704182822. النشر: docker compose up -d لكل خدمة. لا restart للبوابة، لا مساس بخدمات أخرى.

المهمة ب — نفق Cloudflare لـHermes ⛔ متعذّرة تقنيًّا (Hermes بقي محصَّنًا يعمل)

• cloudflared v2026.6.0 موجود (host binary تحت /docker/openclaw-4x4t/data/.local/bin/). داخل حاوية openclaw 3 quick-tunnels (n8n :5678 + :8899 + :8903) بلا cert/named.
• المانع: CLOUDFLARE_API_TOKEN يملك Tunnel Read فقط (list ينجح) لكن POST create يرجع 10000 Authentication error — ينقصه Cloudflare Tunnel:Edit. لا Global API Key ولا email ولا cert.pem لعمل cloudflared tunnel login (يحتاج متصفح). النفق المُسمّى (اللازم لـCNAME باسم مضيف مخصّص) غير قابل للإنشاء بالمفاتيح المتاحة.
• تحقّقت أن Hermes سليم على وضعه المُحصَّن الحالي (لم ألمسه): عبر Cloudflare = 302 (CF Access يعترض)، مباشرةً للأصل من IP غير-CF = 403 (hermes-cfonly ipAllowList). router Traefik + hermes.yml باقيان كما هما.
• المطلوب لإتمامها لاحقًا: توكن Cloudflare فيه صلاحية Account · Cloudflare Tunnel · Edit (+ Zone·DNS·Edit موجود) — عندها يُنشأ hermes-tunnel + config ingress→172.16.1.6:9121 (httpHostHeader 127.0.0.1؛ ثبت أن Origin غير مُلزَم) + CNAME hermes→<id>.cfargotunnel.com، ثم إزالة router Traefik.

Hermes → Cloudflare Tunnel (2026-07-04, subagent hermes-tunnel-migration)

النتيجة: مُهيّأ جزئياً — محجوب عند خطوة DNS (توكن لا يملك Zone·DNS·Edit فعّالاً). Hermes يعمل 100% على مساره الأصلي (A + Traefik) — لم يُمَس.

ما تم (متحقّق حيًّا):

• ✅ forwarder وصول من المضيف + من الحاوية: curl -H 'Host:127.0.0.1' http://172.16.1.6:9121/ → 200.
• ✅ أُنشئ نفق Cloudflare-managed: name=hermes-tunnel id=52e99306-b99c-41dc-8dd7-7ff040d126a6 (config_src=cloudflare).
• ✅ ingress مضبوط: hostname=hermes.drwaelalkishawi.com → service=http://172.16.1.6:9121 + originRequest.httpHostHeader=127.0.0.1 ثم http_status:404.
• ✅ توكن التشغيل جُلب وحُفظ (600) في /data/.openclaw/workspace/.hermes_tunnel_token.
• ✅ cloudflared يعمل داخل حاوية openclaw: cloudflared tunnel --no-autoupdate run --token <..> — 4 اتصالات مسجّلة، status=healthy. log: /data/.openclaw/workspace/hermes-tunnel.log.

المحجوب (السبب الدقيق):

• ❌ CLOUDFLARE_API_TOKEN يرجّع 403 code 10000 "Authentication error" على GET/PUT /zones/{zone}/dns_records (مؤكّد 3 محاولات). زيارة /zones/{zone} (read) + كل Tunnel APIs تنجح. أي: صلاحية Zone·DNS·Edit غير فعّالة على هذا الـzone.
• لذلك لم أغيّر DNS (ما زال A proxied → 76.13.41.228) ولم ألمس Traefik route (/docker/traefik/dynamic/hermes.yml).
• ⚠️ cloudflared الحالي يعمل لكنه غير مضاف لـkeepalive بعد (أجّلت تعديل daemons_keepalive.sh لأن الهجرة لم تكتمل) → سيموت عند إعادة تشغيل الحاوية. غير ضارّ لأن DNS لا يشير للنفق.

للإكمال (بعد منح التوكن Zone·DNS·Edit فعّالاً):

1. تأكّد النفق healthy (أعد تشغيل cloudflared إن مات: TUNNEL_TOKEN=$(cat .hermes_tunnel_token) nohup setsid /data/.local/bin/cloudflared tunnel --no-autoupdate run --token "$(cat .hermes_tunnel_token)" >hermes-tunnel.log 2>&1 &). 2. احذف سجل A لـhermes وأنشئ CNAME hermes → 52e99306-b99c-41dc-8dd7-7ff040d126a6.cfargotunnel.com (proxied=true). 3. تحقّق via Cloudflare = 302 Access + الأصل لم يعد يخدم، ثم أضِف cloudflared لـkeepalive (nohup setsid + pgrep بنمط فريد cloudflared tunnel --no-autoupdate run + 9>&-)، ثم mv hermes.yml hermes.yml.disabled-<ts>.

تحقّق نهائي حالي:

• via Cloudflare: curl https://hermes.drwaelalkishawi.com/ → 302 (Access يعترض، المسار الأصلي يخدم) ✅
• tunnel status = healthy (جاهز، لكن بلا DNS إليه).

للرجوع/التنظيف الكامل إن رُفضت الهجرة:

• أوقف cloudflared: pkill -f 'cloudflared tunnel --no-autoupdate run' (نمط فريد لا يطابق أوامر أخرى).
• احذف النفق: DELETE /accounts/1cd608e574c1e6a45c82a49232980126/cfd_tunnel/52e99306-...
• احذف .hermes_tunnel_token. (لا شيء آخر تغيّر: DNS + Traefik أصليان.)

Hermes → Cloudflare Tunnel — COMPLETE + VERIFIED (22:1x الكويت)

• ترقية Hermes لصفر منفذ مكشوف. tunnel id=52e99306-b99c-41dc-8dd7-7ff040d126a6 (Cloudflare-managed ingress).
• ingress: hermes.drwaelalkishawi.com → http://172.16.1.6:9121 (forwarder) + httpHostHeader:127.0.0.1.
• الموصّل: scripts/daemons/hermes_tunnel_run.sh (TUNNEL_TOKEN من .hermes_tunnel_token 600، بلا رمز في argv). محروس في daemons_keepalive (كشف بنمط "--loglevel info run"). يعمل في حاوية openclaw.
• DNS: A(→76.13.41.228) حُذف، CNAME hermes→<tid>.cfargotunnel.com (proxied) عبر CLOUDFLARE_ZONE_TOKEN (توكن Gnrl لا يملك DNS:Edit — استُخدم ZONE token).
• Traefik route عُطّل: /docker/traefik/dynamic/hermes.yml → .disabled-20260704191508 (backup للرجوع).
• CF Access (app f27b34b6) باقٍ = طبقة الهوية (بريد د.وائل+OTP). basicauth سقط من المسار (النفق يتخطى Traefik) لكن CF Access أقوى منه.
• تحقّق مقطعي حيّ: via CF=302 Access · forwarder=200 (من حاوية الموصّل) · tunnel=healthy 4 conns · direct origin=404 (لم يعد يخدم).
• وصولي المحلي لـHermes للمهام: عبر hermes CLI / 127.0.0.1:9120 — مستقل عن النفق العام، غير متأثر.
• رجوع سريع لو لزم: أعد A record + mv hermes.yml.disabled back.

CF-only ipAllowList على الخدمات المحميّة (subagent — 22:5x GMT+3)

أُغلقت ثغرة الوصول المباشر بالـIP على الخدمات المحميّة بـbasicauth بإضافة middleware مشترك cf-only (ipAllowList = 22 نطاق Cloudflare فقط) كأول middleware في سلسلة كل راوتر.

الملف الجديد: /docker/traefik/dynamic/cf-only.yml (YAML مُتحقّق، 22 نطاق CF v4+v6).

7 خدمات CF-proxied طُبّق عليها cf-only@file (عبر docker labels + recreate): wiki · canvas · grafana · sync · invest · ask · panel

جدول التحقق (via-CF / direct) قبل→بعد: | خدمة | via-CF قبل | via-CF بعد | direct قبل | direct بعد | |---|---|---|---|---| | wiki | 401 | 401 | 401 | 403 | | canvas | 401 | 401 | 401 | 403 | | grafana | 401 | 401 | 401 | 403 | | sync | 401 | 401 | 401 | 403 | | invest | 401 | 401 | 401 | 403 | | ask | 401 | 401 | 401 | 403 | | panel | 401 | 401 | 401 | 403 |

→ دخول د. وائل عبر Cloudflare سليم (401 basicauth)، والتجاوز المباشر للأصل أُغلق (403).

استُثنيت خدمتان — DNS-only (grey cloud، تحسم إلى الأصل 76.13.41.228 مباشرة، لا تمرّ عبر Cloudflare):

• code — لو طُبّق cf-only لانكسر (كل حركته مباشرة، ستُحجب بالكامل). بقي 401/401 سليم.
• cost — نفس السبب (مُختبَر: طبّقته تجريبياً فصار via-CF=403 = مكسور، فأرجعته فوراً → 401/401).

⚠️ code و cost يحتاجان تفعيل Proxy (orange cloud) في Cloudflare أولاً قبل أن يستفيدا من cf-only. تنبيه لد. وائل.

لم يُلمس: Hermes (على نفق، بلا route نشط — فقط .bak/.disabled) · بوابة openclaw (لا restart) · Traefik (لم يُعد تشغيله، Up 9 days، صفر أخطاء بالـlog، أعاد تحميل dynamic تلقائياً).

code+cost proxy+cf-only + recovery snapshot (subagent, 20:27 GMT+3)

مهمتان ختاميتان على بنية د. وائل — منفّذتان ومتحقّقتان حيًّا. (لم يُلمس sync-db/Hermes/openclaw gateway).

المهمة 1: code + cost → CF proxy برتقالي ثم cf-only@file

DNS records (zone 5bd26d5033258405b3b3e47143d0a0d8):

• code.drwaelalkishawi.com id=450192524e63a4fa17177e066a283f44 → proxied=true ✅
• cost.drwaelalkishawi.com id=b61f823285e6f8dbb00587e2e2cf22ff → proxied=true ✅

Traefik routers = docker labels:

• /docker/code/docker-compose.yml (router code, certresolver letsencrypt, port 80) → middleware: cf-only@file,code-auth
• /docker/cost-proxy/docker-compose.yml (router cost, certresolver cfdns, port 80) → middleware: cf-only@file,cost-auth
• backups: docker-compose.yml.bak-20260704202708 (كلاهما)
• recreate: docker compose up -d (code + cost-proxy) — لا مساس بأي حاوية أخرى.

جدول التحقق (قبل → بعد): | host | via-CF قبل | direct قبل | via-CF بعد | direct بعد | |------|-----------|-----------|-----------|-----------| | code | 401 | 401 (مكشوف) | 401 ✅ | 403 ✅ (أُغلق) | | cost | 401 | 401 (مكشوف) | 401 ✅ | 403 ✅ (أُغلق) | النتيجة: دخول د. وائل عبر Cloudflare سليم (401 basicauth)؛ تجاوز الأصل المباشر أُغلق (403). شهادات الأصل متوافقة — لا كسر.

المهمة 2: recovery snapshot

bash scripts/full_recovery_snapshot.sh → result=OK

• archive: recovery-20260704-202739.tar.zst (3.0G / 3121910506 bytes)
• sha256: 4ca4feb54baf5f1c4ae0d953bac984fb8af00c46d1a084ce29b460ccc731c609
• R2: r2:kiloclaw/recovery-points/20260704-202739/ + latest/ — ✅ VERIFIED sizes match

🔴 RED LINE — صلاحية التنظيف (د. وائل 2026-07-04 23:34 — إلزامي دائم)

• التنظيف الآلي المسموح = حصريًّا: OS cache + temporary files التي صفر أثر على أي شيء (pip/npm/uv cache، apt archives، /tmp عابر، pycache، logs قديمة عابرة). = ما يفعله storage_cleanup.sh فقط.
• ❌ ممنوع منعًا باتًا بلا إذن صريح: أي شيء له علاقة — من قريب أو بعيد — بالترسانة أو الخدمات أو السيرفر: Docker (images/build-cache/containers/volumes)، أدلة المشاريع، android-build/linuxbrew/tools، أي artifact/config/data.
• القاعدة: عند ضغط قرص، أُشغّل storage_cleanup.sh فقط + أُبلّغ د. وائل بالمستهلكين وأنتظر قراره. لا حذف/prune شيء يخص خدماتنا بلا إذنه.
• السابقة: شغّلتُ docker builder prune (حرّر 2.4GB build cache) بلا إذن — تجاوز صلاحية. لا ضرر وظيفي (build cache يُعاد توليده) لكنه خرق مبدأ. لن يتكرر.

تصحيح سياسة snapshot + android-build (د. وائل 2026-07-04 23:44)

• العدول عن «نسختين محليًّا»: د. وائل وافق على توصيتي → صفر نسخ محلية، الكل على R2 فقط. أُزيلت كتلة keep-local من full_recovery_snapshot.sh؛ الأرشيف يبقى في STAGE ويُحذف بـtrap cleanup EXIT (لا شيء محلي).
• android-build (6GB): يبقى — لا يُمَسّ. د. وائل يحتاجه لتطبيقات Android APK القادمة.
• R2: تبقى كل النسخ (لا حذف بلا إذن؛ التنظيف الشهري 30-يوم القائم يبقى كما هو).

Full Server Backup (A-Z) weekly Wed — 2026-07-04

• Goal: Full DR backup of the host server (all /docker services + compose + .env + secrets + Traefik acme.json + all named-volume data) → R2, restore-on-crash. READ ONLY; zero modify/delete/stop; no local temp (streamed); disk-safe (host was 83%).
• Script: scripts/full_server_backup.sh (runs from openclaw container, SSH read-only to host root@76.13.41.228, streams tar | pigz over SSH → rclone rcat to r2:kiloclaw/server-full-backup/<TS>/). Uploads MANIFEST.txt + RESTORE.md (piped, no temp). Verifies size >1GiB. Logs to logs/.
• Includes: /docker (43 services: couchdb, n8n-proxy, RAG/ask, entertainment-hub catalog.db+EPG, wiki, invest, files/filebrowser, canvas, grafana, landing/panel, cost-proxy, push, hermes/twin, seclab, traefik dynamic+_secrets, jellyfin/kavita/audiobookshelf/navidrome configs, openclaw-4x4t/data workspace) + /var/lib/docker/volumes (traefik letsencrypt/acme.json, prometheus TSDB, grafana DB, wazuh, 9router, files config/db).
• Excludes (regenerable only): node_modules, .venv/venv, .git, __pycache__, .pyc, /.cache, linuxbrew, android-build, android-sdk, sdks, entertainment-hub logocache+subs_cache. (Docker images rebuilt via compose.)
• First run OK: TS=20260705-000525 → server-20260705-000525.tar.gz = 52.65 GiB (56,535,740,724 bytes), tar=0/rclone=0, ~45 min (I/O-bound). Zero local tar.gz; host disk unchanged 83%/34G free. Crash-consistent for live DBs (noted in RESTORE.md) — acceptable for DR.
• Cron: cc8a985b-1bd8-44c3-8d30-1024efe925cc "Full Server Backup (A-Z) → R2 (weekly Wed)" — 0 4 3 Asia/Kuwait, isolated, model haiku-4-5, timeout 5400s, announce → telegram:195448437 (M-033 safe: single text, numeric chatId). Next: Wed 2026-07-08 04:00.
• Continuity guard: added §61 to scripts/verify_agreements.sh (checks cron enabled + expr 0 4 * 3 + script executable) → PASS.

Full Server Backup — سياسة الاحتفاظ «آخر نسختين» (د. وائل 2026-07-05 00:07)

• أُضيفت لـscripts/full_server_backup.sh: بعد نجاح كل نسخة، تُبقى أحدث نسختين على R2 (r2:kiloclaw/server-full-backup/) وتُحذف الأقدم (rclone purge). KEEP=2. مُختبر منطقيًّا (4→يبقى 2). syntax سليم.
• أول نسخة كاملة جرت الآن: 20260705-000525 = 52.65 GiB (متحقّق). النسخة الوحيدة حاليًّا (لا حذف بعد).
• الجدول: cron cc8a985b أسبوعيًّا الأربعاء 04:00 الكويت. عند الوصول لـ3 نسخ، تُحذف الأقدم تلقائيًّا.