# План v2 — поправка аудита по факту кода (вердикт остаётся NO-GO)

## Цель

Внести верифицированную поправку в отчёт и трекер: E9/E18/E20/SSRF подтверждены
закрытыми по коду и переводятся в «закрыто фактом / остаток». **Итоговый вердикт
аудита ОСТАЁТСЯ NO-GO** — закрытие этих пунктов НЕ снимает реальные блокеры
(F-P1 ретеншен телефонов, pg_anonymizer не установлен, прод-`.env` APP_DEBUG/APP_ENV).
Правки только в `docs/`; код/схема/git не затрагиваются.

```skills-json
[]
```

```steps-json
[
  {"op":"Edit","object":"docs/security/2026-06-17-go-live-security-report.md","ref":"V3"},
  {"op":"Edit","object":"docs/security/2026-06-17-open-items.md","ref":"V3"}
]
```

```verified-context-json
[
  {"id":"vc1","kind":"EXTRACTED","ref":"app/routes/web.php","anchor":"Go-live: auth:sanctum"},
  {"id":"vc2","kind":"EXTRACTED","ref":"docs/superpowers/specs/2026-06-17-audit-verify-correction-spec.md","anchor":"поправка аудита по факту кода"}
]
```

## Переговоры

### Круг 1

Две аддитивные правки `docs/`: в отчёт — блок-поправка с верифицированными фактами
(E9/E18 закрыты `auth:sanctum`, `/api/admin/*` за `saas-admin` fail-closed, SSRF за
`WebhookUrlGuard`); в трекере строки B3/B4/B5 → «закрыто фактом / остаток».
Продуктовый код, схема, миграции, git не затрагиваются; коммита нет; навыки не нужны.

### Круг 2

Forward-рекомендация: поправка обязана сохранить вердикт NO-GO и не выдавать
закрытые пункты за нерешённые.

### Круг 3 (учёт замечания наставника круга 17)

Замечание принято и зафиксировано явно как условие обоих шагов:

- **Шаг 1 (отчёт):** блок-поправка прямо пишет «ВЕРДИКТ ОСТАЁТСЯ NO-GO» и
  перечисляет, что остаются открытыми F-P1 / pg_anonymizer / прод-`.env`; закрытие
  E9/E18/E20/SSRF влияет только на список угроз, НЕ на итог.
- **Шаг 2 (трекер):** строки B3/B4/B5 помечаются «закрыто фактом / остаток» с
  явной припиской, что блокеры B1 (F-P1), B2 (pg_anonymizer), B6 (прод-`.env`)
  не сняты и вердикт NO-GO в силе.

Ни один шаг не меняет вердикт на GO; общий статус блокеров сохраняется.
