# План — доведение аудита + трекер открытых вопросов

## Цель

Перезапустить статику gitleaks и Ward правильными командами, проверить готовность
ZAP (Java), обновить отчёт реальными результатами и записать новый файл-трекер
открытых вопросов. Цель — `main`, локальный контур; продуктовый код, схема БД и
git не затрагиваются; правки только в `docs/`.

```skills-json
[]
```

```steps-json
[
  {"op":"Bash","object":"./bin/gitleaks.exe detect --source . --log-opts \"--all\"","ref":"A1"},
  {"op":"Bash","object":"./bin/ward.exe scan app/","ref":"A1"},
  {"op":"Bash","object":"java -version","ref":"A2"},
  {"op":"Edit","object":"docs/security/2026-06-17-go-live-security-report.md","ref":"A3"},
  {"op":"Write","object":"docs/security/2026-06-17-open-items.md","ref":"A4"}
]
```

```verified-context-json
[
  {"id":"vc1","kind":"EXTRACTED","ref":"docs/security/2026-06-17-go-live-security-report.md","anchor":"SECURITY GO-LIVE REPORT"},
  {"id":"vc2","kind":"EXTRACTED","ref":"docs/superpowers/specs/2026-06-17-audit-finish-spec.md","anchor":"трекер открытых вопросов"}
]
```

## Переговоры

### Круг 1

Шаги read-only по коду + две записи в `docs/`:
- gitleaks (история на секреты) и Ward (`scan app/` — позиционно, исправлен
  устаревший флаг `--path`) — локальное чтение, ничего не правят и не шлют наружу.
- `java -version` — безобидная проверка наличия Java для оценки готовности ZAP.
- Edit отчёта — обновление существующего документа `docs/security/` реальными
  результатами; Write трекера — новый документ `docs/security/`.
Продуктовый код, схема, миграции, git не затрагиваются; коммита нет, поэтому
verify/criterion-гейты не активируются. Навыки не нужны (skills-json пуст).
Semgrep и ZAP требуют доустановки (install/Java), которая под стеной floor-опасна
— в этот план не закладывается, фиксируется как открытый пункт в трекере и отчёте.
