docs(ORCH-061): staging gate SUCCESS — REAL green, C9a/C9b infra-waived

Validated ORCH-061 infra-tolerance against live staging (8501): all REAL
checks pass, only sandbox-infra C9a/C9b fail and are waived → exit 0.

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

.env.example

@@ -71,3 +71,38 @@ ORCH_DEPLOY_PROD_TARGET_PORT=8500
 ORCH_DEPLOY_PROD_TARGET_IMAGE=orchestrator-orchestrator
 ORCH_DEPLOY_PROD_COMPOSE_PROFILE=
 ORCH_DEPLOY_PROD_PREV_IMAGE_FILE=.deploy-prev-image-prod
+
+# ORCH-058: staging-image provenance before the BUILD-ONCE prod retag (INV-FRESH).
+# Guarantees the staging image promoted to prod is the EXACT artefact rebuilt from the
+# validated commit — two layers, self-hosting only:
+#   A (liveness): QG sub-check `check_staging_image_fresh` on the deploy-staging->deploy
+#     edge rebuilds orchestrator-orchestrator-staging from the validated commit + recreates
+#     8501; FAIL -> rollback to development. (builds/recreate STAGING only, never prod.)
+#   B (safety):  the Dockerfile stamps `org.opencontainers.image.revision`; the prod hook
+#     fail-closes (exit 1) before `docker tag` if SOURCE_IMAGE's label != EXPECTED_REVISION.
+#   ENABLED -> single kill-switch for A+B as a WHOLE (never "B without A"); false -> legacy.
+#   REPOS   -> CSV of repos where the gate is REAL; empty -> only self-hosting (orchestrator).
+ORCH_IMAGE_FRESHNESS_ENABLED=true
+ORCH_IMAGE_FRESHNESS_REPOS=
+
+# ORCH-053: stuck-task reconciler (sweeper for lost webhooks). A background daemon
+# replays a missed stage transition through the SAME gates/handlers a webhook would,
+# fixing tasks that got stuck on a dropped event (502 on rebuild, no Plane/Gitea
+# retries, unresolved sha->branch).
+#   ENABLED            -> global kill-switch (self-hosting safety / staged rollout).
+#   PLANE_ENABLED      -> separate flag for the F-2 Plane-API poll (mute only F-2).
+#   INTERVAL_S         -> background sweep period (seconds).
+#   GRACE_DEFAULT_S    -> default "stuck" threshold on tasks.updated_at (seconds).
+#   GRACE_OVERRIDES_JSON -> per-stage thresholds, e.g. {"development":300}; bad JSON -> default.
+#   NOTIFY_UNBLOCK     -> send a Telegram message when a stuck task is unblocked.
+#   SKIP_BLOCKED_ENABLED -> ORCH-060 F-1 Guard 2: skip reconciling issues a human moved
+#                        to Blocked / Needs Input (per-candidate Plane state lookup).
+#                        false mutes ONLY the networked Guard 2; Guard 1 (escalated by
+#                        developer retries, local+deterministic) is always active.
+ORCH_RECONCILE_ENABLED=true
+ORCH_RECONCILE_PLANE_ENABLED=true
+ORCH_RECONCILE_INTERVAL_S=120
+ORCH_RECONCILE_GRACE_DEFAULT_S=600
+ORCH_RECONCILE_GRACE_OVERRIDES_JSON=
+ORCH_RECONCILE_NOTIFY_UNBLOCK=true
+ORCH_RECONCILE_SKIP_BLOCKED_ENABLED=true

CHANGELOG.md

@@ -5,7 +5,9 @@
 ## [Unreleased]
 
 ### Added
+- **Провенанс staging-образа перед BUILD-ONCE retag в прод (свежесть артефакта, INV-FRESH)** (ORCH-058): BUILD-ONCE retag (ORCH-036) промоутит staging-образ (`orchestrator-orchestrator-staging`) в прод **без rebuild**, полагаясь на «образ свеж и провалидирован» — гарантии не было: конвейер нигде не пересобирал staging-образ из провалидированного коммита, поэтому retag мог тихо промоутнуть УСТАРЕВШИЙ образ (инцидент LESSONS_ORCH-036 п.4 — зелёный деплой молча откатывал прод). Закрыто **двумя слоями (defense in depth), только для self-hosting**. Новый модуль `src/image_freshness.py` (контракт «never raise», по образцу `merge_gate`): `provenance_verdict` (чистая функция вердикта match/mismatch/fail-closed), `validated_revision` (`git rev-parse HEAD` в worktree валидированного коммита — единый якорь и для штампа A, и для `EXPECTED_REVISION` B), `image_revision` (OCI-лейбл `org.opencontainers.image.revision` через `docker image inspect`, `<no value>`/ошибка → пусто), `rebuild_staging_image` (ssh-хук `--build-staging`), `image_freshness_applies` (условность), `check_staging_image_fresh` (композитный QG). **Strategy A (liveness):** новый детерминированный QG-под-чек `check_staging_image_fresh` (зарегистрирован в `QG_CHECKS`, `src/qg/checks.py`) на ребре `deploy-staging → deploy` ПОСЛЕ merge-gate и ДО Phase A — пересобирает staging-образ из worktree валидированного коммита (хук `--build-staging`, `--build-arg GIT_SHA=<sha>`), пересоздаёт 8501 и прогоняет `staging_check.py --mode stub` против свежего 8501 (health + e2e, внутри staging-контейнера через `docker exec` — канон ORCH-048) → валидируем РОВНО тот артефакт (build + e2e), что промоутится в прод (AC-4); FAIL/не-ноль staging_check → откат на `development` (как merge-gate, кап `MAX_DEVELOPER_RETRIES`). `rebuild_staging_image` пробрасывает в хук **явный** staging-таргет (service/port/profile/container), исключая дрейф на прод 8500. Сборки/recreate/validate — **только staging (8501)**, прод (8500) не трогается. **Strategy B (safety):** `Dockerfile` штампует `LABEL org.opencontainers.image.revision=$GIT_SHA` (`ARG GIT_SHA`); `build_deploy_command` (`src/self_deploy.py`) пробрасывает `EXPECTED_REVISION`; хост-хук шагом 2b ПЕРЕД `docker tag` fail-closed сверяет лейбл `revision` у `SOURCE_IMAGE` с `EXPECTED_REVISION` — несовпадение / пустой лейбл / ошибка inspect → `exit 1` (FAILED → БАГ-8 откат), делает тихий промоут устаревшего образа структурно невозможным даже при проигравшей гонку/отключённой A. Хост-хук `scripts/orchestrator-deploy-hook.sh` расширен **обратно-совместимым** режимом `--build-staging` (пересборка+recreate staging, exit 0/1) и fail-closed guard'ом (активен только при заданном `EXPECTED_REVISION`). Единый kill-switch `ORCH_IMAGE_FRESHNESS_ENABLED` (true) включает A+B **как целое** (нет «B без A» = вечного fail-fast); область — `ORCH_IMAGE_FRESHNESS_REPOS` (CSV; пусто → только self-hosting `orchestrator`). Контракты НЕ менялись: `STAGE_TRANSITIONS` (под-гейт ребра, не стадия), exit-code-контракт хука (0/1/2), `map_exit_code_to_status`, `check_deploy_status`/`_parse_deploy_status`, БАГ-8, terminal-sync, merge-gate; схема БД — без миграций. ADR `docs/work-items/ORCH-058/06-adr/ADR-001-staging-image-provenance.md`, глобальный `docs/architecture/adr/adr-0008-staging-image-provenance.md`. Документация: `docs/architecture/README.md`, `docs/operations/DEPLOY_HOOK.md`, `docs/operations/STAGING.md`, `docs/operations/INFRA.md`, `.env.example`. Тесты: `tests/test_image_freshness.py`, `tests/test_deploy_hook_provenance.py`, `tests/test_deploy_build_once.py` (TC-06), `tests/test_deploy_hook_mapping.py` (TC-09), `tests/test_stage_engine.py::TestImageFreshnessGate`, `tests/test_qg_registry_snapshot.py`, `tests/test_config.py`.
 - **Исполняемый самодеплой стадии `deploy` (стадия дёргает хост-хук, manual-approve)** (ORCH-036): стадия `deploy` перестаёт быть «бумажной» — для self-hosting репозитория `orchestrator` `deploy_status: SUCCESS` означает ДОКАЗАННЫЙ health-ok реального рестарта прод-контейнера (8500), а не декларацию LLM. Критический путь self-restart детерминирован (без LLM), по образцу merge-gate ORCH-043, и разбит на три фазы (`src/stage_engine.py` + новый модуль `src/self_deploy.py`): **Фаза A** (вход в `deploy`) — вместо запуска прод-deployer'а при `deploy_require_manual_approve=true` задача переводится в approval-pending (`set_issue_in_review`) и ждёт ручного approve; restart-safe маркер `approve-requested`. **Фаза B** (человек ставит статус Plane → `Approved`; `advance_stage(deploy, finished_agent=None)`) — запускается **detached host-процесс** (`ssh + setsid` → `scripts/orchestrator-deploy-hook.sh`, чтобы рестарт 8500 пережил гибель контейнера; орк НЕ убивает себя из docker.sock) с build-once retag staging-образа (`SOURCE_IMAGE`), ставится детерминированный **finalizer-job**; маркер `initiated` — идемпотентность повторного Approved. **Фаза C** (`run_deploy_finalizer`, reserved-agent `deploy-finalizer`, claim'ится новым контейнером после рестарта) — читает sentinel `result` (exit-code хука, записан host-обёрткой), `not-ready` → defer (бюджет `deploy_finalize_max_attempts`, restart-safe по `task_content`), маппит `0→SUCCESS / 1|2|иное→FAILED` (чистая функция `map_exit_code_to_status`, unit-тест), пишет `14-deploy-log.md` и вызывает `advance_stage(deploy, finished_agent="deployer")` → существующие контракты: `SUCCESS → done` + release merge-lease, `FAILED → откат БАГ-8 на development` + `set_issue_blocked`. Уведомления Plane+Telegram на approve-request / initiate / success / rollback (BR-5, ни одного «молчаливого» деплоя). Хост-хук `scripts/orchestrator-deploy-hook.sh` расширен **обратно-совместимым** `SOURCE_IMAGE`: при заданном — `docker tag $SOURCE_IMAGE $TARGET_IMAGE` перед `up -d --no-build` (деплой РОВНО протестированного образа, без `docker build`); не задан → прежнее поведение; exit-code-контракт (0/1/2) и health-loop (10×6с, авто-rollback) не тронуты. Restart-safe состояние — sentinel-файлы (`<repos_dir>/.deploy-state-<repo>/<work_item_id>/`), без миграции БД. Условность как ORCH-35: реальный самодеплой только для `is_self_hosting_repo("orchestrator")`; прочие репо (enduro-trails) — прежний синхронный ssh-путь агентом. Контракты НЕ менялись: `STAGE_TRANSITIONS`, реестр `QG_CHECKS`, `check_deploy_status`/`_parse_deploy_status` (frontmatter-only), terminal-sync `deploy→done`, merge-gate (ORCH-43), БАГ-8. Флаг `DEPLOY_REQUIRE_MANUAL_APPROVE` остаётся `true` (полный авто — отдельная задача ORCH-54). Новые настройки: `ORCH_DEPLOY_REQUIRE_MANUAL_APPROVE` (true), `ORCH_DEPLOY_SSH_USER`, `ORCH_DEPLOY_SSH_HOST`, `ORCH_DEPLOY_HOOK_SCRIPT`, `ORCH_DEPLOY_PROD_SOURCE_IMAGE`, `ORCH_DEPLOY_PROD_TARGET_SERVICE/PORT/IMAGE`, `ORCH_DEPLOY_FINALIZE_DELAY_S`, `ORCH_DEPLOY_FINALIZE_MAX_ATTEMPTS`. ADR `docs/work-items/ORCH-036/06-adr/ADR-001-executable-self-deploy.md`, глобальный `docs/architecture/adr/adr-0007-executable-self-deploy.md`. Документация: `.openclaw/agents/deployer.md` (стадия `deploy` = вызов хука, запрет self-restart), `docs/operations/INFRA.md`, `docs/operations/DEPLOY_HOOK.md`. Тесты: `tests/test_deploy_hook_mapping.py`, `tests/test_deploy_approve.py`, `tests/test_deploy_routing.py`, `tests/test_deploy_rollback.py`, `tests/test_deploy_notifications.py`, `tests/test_deploy_build_once.py`, `tests/test_deploy_terminal_sync.py`, `tests/test_staging_precondition.py`, `tests/test_deploy_hook_rollback_sim.py`.
+- **Sweeper потерянных webhook (реконсиляция застрявших стадий)** (ORCH-053): фоновый daemon-поток `src/reconciler.py` (паттерн `queue_worker`), который устраняет тихое застревание задач, когда конвейер не двигается из-за потерянного события (502 на ребилде инстанса, отсутствие ретраев у Plane/Gitea, неразрезолвленный `sha→branch` — класс инцидента ORCH-044). Реконсилятор периодически (`reconcile_interval_s`) доигрывает пропущенный переход **через те же штатные гейты/обработчики**, что и webhook, не дублируя логику конвейера: **F-1 gate-side** (`reconcile_gate_once`) — для задач `stage≠done`, без активного job и `age(updated_at) ≥ grace_for_stage(stage)` делает read-only пред-оценку канонического QG стадии; зелёный → продвижение строго через неизменный `stage_engine.advance_stage(..., finished_agent=None)`; красный → тишина (спам нотификаций структурно невозможен — `advance_stage` на красном гейте не вызывается вовсе); `analysis` F-1 не трогает (человеческий гейт). **F-2 plane-side** (`reconcile_plane_once`) — опрос Plane API per-project (новый `plane_sync.list_issues_by_state`, курсорная пагинация, never-raise) и реплей In Progress / Approved / Rejected через существующие `webhooks.plane.handle_status_start` / `handle_verdict` (async-обработчики вызываются из sync-потока через `asyncio.run`). **F-3** — усиление `sha→branch` в `handle_ci_status`: при неразрезолвленном sha — БД-fallback по единственной development-задаче repo (`db.get_development_tasks_by_repo`; неоднозначность → не резолвим, ложного матча нет), `logger.debug`→`logger.info` для видимости потерянного CI-события. Анти-дубль на создании задачи (`db.create_task_atomic` под process-wide `threading.Lock`: SELECT-exists→INSERT, проигравший в гонке reconcile↔webhook не плодит второй task/branch/worktree/стартовый analyst-job). Старт/стоп в `main.lifespan` (после `worker.start()` / перед `worker.stop()`), restart-safe, never-raise на единицу работы. Наблюдаемость (F-4): при разблокировке — лог-строка `reconciler: <wi> <stage> разблокирована (потерян webhook)` + Telegram (`reconcile_notify_unblock`) и блок `reconcile` в `GET /queue`. Kill-switches: `ORCH_RECONCILE_ENABLED` (глобально), `ORCH_RECONCILE_PLANE_ENABLED` (гасит только F-2), `ORCH_RECONCILE_INTERVAL_S` (120), `ORCH_RECONCILE_GRACE_DEFAULT_S` (600), `ORCH_RECONCILE_GRACE_OVERRIDES_JSON` (per-stage), `ORCH_RECONCILE_NOTIFY_UNBLOCK` (true). Схема БД и реестры (`STAGE_TRANSITIONS`/`QG_CHECKS`) НЕ менялись. ADR `docs/work-items/ORCH-053/06-adr/ADR-001-stuck-task-reconciler.md`, глобальный `docs/architecture/adr/adr-0007-reconciler.md`. Тесты: `tests/test_reconciler.py`, `tests/test_reconciler_plane.py`, `tests/test_gitea_sha_resolve.py`, `tests/test_config.py`.
 - **Merge-gate: авто-rebase на текущий `origin/main` + повторный прогон тестов + сериализация мержей** (ORCH-043): детерминированный (без LLM) суб-гейт на ребре `deploy-staging → deploy`, выполняемый ПЕРЕД мержем PR деплоером. Закрывает класс гонок «две зелёные ветки в одном репо ломают `main`»: пайплайн валидирует ветку против того `main`, от которого она ответвилась, а не против `main` в момент мержа — между «ветка зелёная» и «ветка смержена» параллельная задача может сдвинуть `main` (семантический конфликт: git мержит без текстового конфликта, но совмещённый `main` красный). Для self-hosting репозитория `orchestrator` это означало бы красный `main` инструмента, обслуживающего ВСЕ проекты. Новый модуль `src/merge_gate.py` (контракт «never raise», все git-операции — в per-branch worktree, ORCH-2/S-4): `branch_is_behind_main` (`git merge-base --is-ancestor origin/main HEAD`), `auto_rebase_onto_main` (rebase + `git push --force-with-lease` ТОЛЬКО ветки задачи — `main` НИКОГДА не пушится; текстовый конфликт → `rebase --abort` + чистый worktree), `retest_branch` (`python -m pytest <target>` в догнанном worktree, бюджет `merge_retest_timeout_s`), файловый merge-lease (`acquire_merge_lease`/`release_merge_lease`, атомарный `O_CREAT|O_EXCL`, holder-aware release, реклейм протухшего/битого лиза — без изменения схемы БД). Новый quality-gate `check_branch_mergeable` (`src/qg/checks.py`, зарегистрирован в `QG_CHECKS`) композирует примитивы под лизом: kill-switch/вне-области → no-op pass; lock занят → `(False, "merge-lock busy")` (сигнал DEFER, не код-фолт); ветка свежая → pass (лиз ДЕРЖИТСЯ до мержа); отстала → rebase → конфликт = fail+release, чисто → retest → зелёный = pass (лиз держится) / красный|timeout = fail+release. Интеграция в `src/stage_engine.py` (суб-гейт на `deploy-staging`, БЕЗ новой стадии в `STAGE_TRANSITIONS`): pass → advance на `deploy`; «merge-lock busy» → DEFER (повторная постановка деплоера на `deploy-staging` с задержкой `available_at`, анти-дедлок при `max_concurrency=1`, restart-safe счётчик по `task_content`, лимит `merge_defer_max_attempts` → block+Telegram); конфликт/красный retest → ROLLBACK на `development` + ретрай developer-а (кап `MAX_DEVELOPER_RETRIES`, без бесконечного баунса). Лиз освобождается на `deploy→done`, на rollback и по webhook смерженного PR (`src/webhooks/gitea.py`). Новый параметр `enqueue_job(..., available_at_delay_s=...)` (`src/db.py`) — отложенная постановка без изменения схемы. Условность раскатки (зеркало ORCH-35): `merge_gate_repos` (CSV) или по умолчанию только self-hosting `orchestrator`; глобальный kill-switch `merge_gate_enabled`. Новые настройки `ORCH_MERGE_GATE_ENABLED` (true), `ORCH_MERGE_GATE_REPOS` (""), `ORCH_MERGE_RETEST_TIMEOUT_S` (600), `ORCH_MERGE_RETEST_TARGET` (tests/), `ORCH_MERGE_LOCK_TIMEOUT_S` (300), `ORCH_MERGE_DEFER_DELAY_S` (60), `ORCH_MERGE_DEFER_MAX_ATTEMPTS` (5). ADR `docs/work-items/ORCH-043/06-adr/ADR-001-merge-gate.md`, глобальный `docs/architecture/adr/adr-0006-merge-gate.md`. Тесты: `tests/test_merge_gate.py`, `tests/test_qg_merge_gate.py`, `tests/test_merge_gate_race.py`, `tests/test_stage_engine.py::TestMergeGate`, `tests/test_config.py`.
 - **Режим `bump` live-трекера Telegram** (ORCH-042): новый `ORCH_TRACKER_MODE` (`Settings.tracker_mode`, дефолт `edit`) выбирает поведение карточки задачи. `edit` (как было) — карточка редактируется на месте (`editMessageText`). `bump` — на каждом обновлении старое сообщение удаляется и карточка отправляется заново вниз чата (best-effort `delete_telegram(старый_id)` → `send_telegram(text, disable_notification=True)` → `set_tracker_message_id(new_id)`), чтобы актуальный статус всегда был последним в чате при активной переписке. Инвариант «одна карточка на задачу» сохранён в обоих режимах: за один вызов `update_task_tracker` шлётся ≤1 нового сообщения; `set_tracker_message_id` вызывается ТОЛЬКО при успешном send (транзиентный `None` не затирает указатель); результат delete НЕ блокирует отправку новой карточки (delete-fail у сообщения >48ч → всё равно шлём новое). Резолюция режима в `notifications` (case-insensitive, trim): всё, что ≠ `"bump"` (включая пустое/мусор) → `edit` → нулевая регрессия и оркестратор не падает на любом значении флага. Новый low-level helper `delete_telegram(message_id) -> bool` (контракт «never raises», маркеры `_DELETE_GONE_MARKERS`): `ok:true` или «уже нет / нельзя удалить» → `True`; неизвестный `ok:false`/5xx/исключение → `False`; нет кредов → `False` без HTTP. Сигнатуры `send_telegram`/`edit_telegram`/`update_task_tracker` и схема БД (`tasks.tracker_message_id`) не менялись. ADR `docs/work-items/ORCH-042/06-adr/ADR-001-tracker-bump-mode.md`. Тесты: `tests/test_tracker_bump.py`, `tests/test_config.py`.
 - **Дословный текст findings reviewer/tester встраивается в `task_desc` заворота** (ORCH-046): при откате на `development` строка `task_desc` (попадает в `.task-dev.md` developer-агента) теперь несёт суть претензий, а не только ссылку на файл — устраняет «испорченный телефон», из-за которого агент шёл «читать файл», терял ключевые P0/P1 / причину FAIL и заворачивался снова, выжигая `MAX_DEVELOPER_RETRIES` и токены. Новый defensive-модуль `src/review_parse.py` (контракт «never raise», как `src/frontmatter.py`): `extract_review_findings(path)` — дословные пункты P0/P1 из секции `## Findings` файла `12-review.md`; `extract_test_failures(path)` — релевантный фрагмент тела `13-test-report.md` (приоритет `## Вывод pytest` → FAIL-строки `## Результаты` → `## Итог`). Обе функции усекают результат до `MAX_FINDINGS_CHARS`/`MAX_FAILURES_CHARS` (≈2000) с маркером `…(truncated)`. Две rollback-ветки `src/stage_engine.py` (reviewer REQUEST_CHANGES, tester `check_tests_passed` FAIL) встраивают извлечённый текст и **сохраняют ссылку** на полный файл («Полный контекст»); при пустом/битом артефакте — graceful-фоллбэк на прежнюю ссылку-строку (никаких исключений в `advance_stage`). Tester-ветка дополнительно всегда включает `reason` гейта. Последовательность отката, `_developer_retry_count`, поля `AdvanceResult` и реестр `QG_CHECKS` не менялись. ADR `docs/work-items/ORCH-046/06-adr/ADR-001-embed-findings-in-task-desc.md`. Тесты: `tests/test_review_parse.py`, `tests/test_stage_engine.py::TestRollbackTaskDescEmbedding`.
@@ -27,6 +29,7 @@
 - Цепочка стадий: `... testing → deploy-staging → deploy → done` (была без `deploy-staging`).
 
 ### Fixed
+- **Reconciler (F-1) больше не разблокирует escalated / Blocked / Needs-Input задачи** (ORCH-060): sweeper потерянных webhook (ORCH-053) не отличал «застряла из-за потерянного события» от «исчерпала лимит developer-ретраев и ждёт человека» — если CI зелёный, а reviewer слал REQUEST_CHANGES до `MAX_DEVELOPER_RETRIES`, каждый тик F-1 видел зелёный `check_ci_green` и доигрывал `development → review` → reviewer снова REQUEST_CHANGES → откат (стадия не меняется, escalated в `gitea.py` лишь шлёт `notify_error`) → следующий тик снова разблокировал. Бесконечная петля (инцидент ET-013: 10 разблокировок за ночь, лишние запуски агентов/токены, спам в Telegram, паразитная нагрузка общего self-hosting-инстанса). В `Reconciler._reconcile_gate_task` (`src/reconciler.py`) ПОСЛЕ существующих гардов (`analysis` carve-out, нет гейта, активный job, grace) и ДО пред-оценки гейта добавлены два пред-гарда с ранним `return` (молчаливый skip — без `advance`, без инкремента `unblocked_total`, без нотификаций): **Guard 1 (escalated, детерминированный, без сети, проверяется первым)** — `developer_retry_count(task_id) >= MAX_DEVELOPER_RETRIES`; приватный `stage_engine._developer_retry_count` повышен до публичного `developer_retry_count` (единый источник истины по подсчёту ретраев `agent_runs`, приватное имя сохранено как алиас), граница берётся из `stage_engine.MAX_DEVELOPER_RETRIES` (не хардкод `3`). **Guard 2 (явный человеческий Plane-статус, Вариант A — без миграции БД)** — новый never-raise хелпер `plane_sync.fetch_issue_state(issue_id, project_id) -> str|None` (тот же endpoint/headers, что `fetch_issue_sequence_id`) + `Reconciler._is_blocked_or_needs_input(task)`: резолв проекта (`projects.get_project_by_repo`) → `get_project_states(pid)` → сверка текущего state issue с `blocked`/`needs_input`; любая ошибка/`None`/нерезолвленный проект → консервативный skip (`True`: не-разблокировать безопаснее). F-2 по существу не менялся: Blocked/Needs Input не входят в опрашиваемый набор `{in_progress, approved, rejected}` → не доигрываются (зафиксировано регресс-тестом). Новый под-флаг `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED` (true) гасит ТОЛЬКО сетевой Guard 2 (escape hatch при Plane-outage); Guard 1 всегда активен. Схема БД, `STAGE_TRANSITIONS`, `QG_CHECKS`, never-raise на единицу работы, `analysis` carve-out и kill-switch'и (`reconcile_enabled`/`reconcile_plane_enabled`) не менялись. ADR `docs/work-items/ORCH-060/06-adr/ADR-001-reconciler-skip-escalated.md`. Тесты: `tests/test_reconciler.py` (TC-01…TC-11 + регресс ORCH-053).
 - **Re-deploy после отката больше не зависает на `deploy`; `.env.example` дополнен** (ORCH-036, review-fix): sentinel-маркеры самодеплоя (`approve-requested`/`initiated`/`result`) ключуются по стабильному `work_item_id`, поэтому при FAILED-деплое и откате БАГ-8 (`deploy → development`) они оставались на диске — после фикса developer-ом и повторного захода задачи на `deploy` Фаза B по idempotency-guard видела STALE `initiated` и становилась no-op: detached-хук не перезапускался, finalizer не ставился, задача висела на `deploy` навсегда (нарушался retry-контракт стадии, AC-4/AC-10; устаревший `result` к тому же был бы перечитан новым finalizer'ом). Добавлен `self_deploy.clear_state(repo, work_item_id)` (never-raise, idempotent, рекурсивное удаление `<repos_dir>/.deploy-state-<repo>/<wi>/`), вызывается в ветке БАГ-8-отката `check_deploy_status` FAILED (`src/stage_engine.py`) и дополнительно в начале Фазы A (`_handle_self_deploy_phase_a`) — каждый новый прод-деплой-проход стартует с чистого состояния. Отдельно: канонический `.env.example` (CLAUDE.md правило №8, ТЗ §2.6) дополнен полным блоком новых дескрипторов `ORCH_SELF_DEPLOY_*` / `ORCH_DEPLOY_*` (плейсхолдеры, секреты не коммитятся) по образцу merge-gate ORCH-043. Контракты `STAGE_TRANSITIONS` / `QG_CHECKS` / `_parse_deploy_status` / БАГ-8 / merge-gate не тронуты. Тесты: `tests/test_deploy_rollback.py::test_tc11_re_deploy_after_rollback_not_wedged`, `tests/test_deploy_hook_mapping.py::test_clear_state_removes_all_markers_and_is_idempotent`.
 - **Контейнер и агенты бегут под uid хоста (1000:1000), не root** (ORCH-040): оба сервиса в `docker-compose.yml` (`orchestrator`, `orchestrator-staging`) получили `user: "1000:1000"` (slin) — устраняет корень проблемы, при которой Claude-CLI агенты, запускаемые через `subprocess.Popen` внутри root-контейнера, создавали все артефакты конвейера (git worktree `/repos/_wt/...`, коммиты в `docs/work-items/...`) с владельцем `root:root` на хосте, из-за чего `git pull`/`git reset` под slin падали с `insufficient permission for adding an object` и каждый деплой требовал ручного `chown`. Теперь файлы сразу `slin:slin`. Доступ к docker.sock сохранён через `group_add: ["999"]` (МИНА 1 — НЕ удалена). SSH-маунт приведён к единому HOME агента: target `/root/.ssh` → `/home/slin/.ssh` (`/home/slin/.orchestrator-ssh:/home/slin/.ssh:ro`), синхронно с `HOME=/home/slin`, который launcher форсит в env Popen и git_env — устранён скрытый рассинхрон SSH-маунта с форсимым HOME. `src/agents/launcher.py` и `Dockerfile` НЕ менялись (numeric uid работает без записи в `/etc/passwd`; `safe.directory '*'` уже покрывает git над bind-mount). Требует host-prerequisites Owner (P-1…P-4, вне кода): блокер P-1 — `chown -R 1000:1000 /home/slin/.claude` для доступа uid 1000 к claude creds (иначе preflight заворачивает конвейер); прод-рестарт self — только в окно тишины (общий инстанс с enduro-trails), страховка — staging-гейт (adr-0003). ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md`, глобальный `docs/architecture/adr/adr-0005-container-runs-as-host-uid.md`; INFRA.md обновлён (рантайм-uid, volumes/SSH target, host-prerequisites). Тесты: `tests/test_orch040_compose.py`.
 - **Staging-чек B6 читает реестр из окружения работающего staging-инстанса** (ORCH-048): блок B6 «Registry: sandbox present, prod ET/ORCH absent» в `scripts/staging_check.py` давал **ложный FAIL** (`prod-ET=YES(BAD!)`, `prod-ORCH=YES(BAD!)`) при фактически исправной изоляции — единственный чек suite, который не ходил к инстансу по HTTP, а импортировал `src.projects` локально через host-path хак `sys.path.insert(0, "/repos/orchestrator")` + `importlib.reload`, строя реестр из `ORCH_PROJECTS_JSON` **process-env запускающего процесса**. При фактическом запуске деплоером с хоста переменная не задана → дефолт `_DEFAULT_PROJECTS` (ET+ORCH) → ложный FAIL → лишний откат `deploy-staging → development`. Решение (вариант «в», ADR-001): host-path хак удалён; suite канонически запускается ВНУТРИ контейнера `orchestrator-staging` через `docker exec … python3 /repos/orchestrator/scripts/staging_check.py` (`scripts/` доступен только через bind-mount, `import src.projects` резолвится через `PYTHONPATH=/app` из кода контейнера, env — `.env.staging`) → B6 читает реестр именно работающего инстанса, без HTTP-bootstrap и «курицы-яйца». Логика вердикта вынесена в чистую `_evaluate_b6(known) -> (passed, detail)` (инвариант `passed ⟺ SANDBOX ∈ known ∧ PROD_ET ∉ known ∧ PROD_ORCH ∉ known`, формат detail сохранён) + `_known_project_ids_from_registry()` / `_run_b6()` с детерминированным FAIL при недоступности источника (не ложный PASS, не необработанное исключение). Синхронно обновлены `.openclaw/agents/deployer.md` (команда стадии через `docker exec`) и `docs/operations/STAGING_CHECK.md`. `src/projects.py`, `.env*` и прочие чеки A/B4/B5/C не тронуты; реестр `QG_CHECKS` и `check_staging_status` (ADR-0003) не менялись. ADR `docs/work-items/ORCH-048/06-adr/ADR-001-b6-registry-via-in-container-run.md`. Тесты: `tests/test_staging_check_b6.py`.

Dockerfile

@@ -1,8 +1,22 @@
 FROM python:3.12-slim
+# ORCH-058 (Strategy B): stamp the image with the git commit it was built from so
+# the deploy hook can fail-close if a stale staging image would be promoted to prod
+# (INV-FRESH). Passed at build time via `--build-arg GIT_SHA=<sha>` (the staging
+# rebuild in check_staging_image_fresh / the --build-staging hook mode supplies it).
+# Without the build-arg the label is empty -> the hook treats it as a mismatch
+# (fail-closed). The OCI-standard key is read by `docker image inspect`.
+ARG GIT_SHA=""
+LABEL org.opencontainers.image.revision=$GIT_SHA
 WORKDIR /app
 RUN apt-get update -qq && apt-get install -y -qq openssh-client git && rm -rf /var/lib/apt/lists/*
 # git operations run as root over bind-mounted /repos (may be owned by host uid) -> trust it.
 RUN git config --system --add safe.directory '*'
+# ORCH-58: compose runs the container as uid:gid 1000:1000 (ORCH-40), but the base
+# image has no passwd entry for uid 1000 -> ssh/whoami fail with
+# "No user exists for uid 1000" (rc=255), breaking the detached self-deploy ssh
+# launch (ORCH-36 Phase B). Create a real user 1000 with a home dir so getpwuid()
+# resolves and ssh can start.
+RUN groupadd -g 1000 app && useradd -u 1000 -g 1000 -m -d /home/slin -s /bin/bash slin
 COPY requirements.txt .
 RUN pip install --no-cache-dir -r requirements.txt
 COPY src/ ./src/

README.md

@@ -129,6 +129,13 @@ uvicorn src.main:app --reload --port 8500
 | `ORCH_TRANSIENT_MAX_ATTEMPTS` | Ретраи для 429/недоступности | `5` |
 | `ORCH_BREAKER_THRESHOLD` | transient подряд до открытия breaker | `3` |
 | `ORCH_BREAKER_PAUSE_SECONDS` | Пауза при открытом breaker | `300` |
+| `ORCH_RECONCILE_ENABLED` | Kill-switch sweeper потерянных webhook (ORCH-053) | `true` |
+| `ORCH_RECONCILE_PLANE_ENABLED` | Отдельный флаг F-2 (опрос Plane API) | `true` |
+| `ORCH_RECONCILE_INTERVAL_S` | Период фонового прохода reconciler, сек | `120` |
+| `ORCH_RECONCILE_GRACE_DEFAULT_S` | Порог «застряла» по `tasks.updated_at`, сек | `600` |
+| `ORCH_RECONCILE_GRACE_OVERRIDES_JSON` | Per-stage пороги, напр. `{"development":300}` | `""` |
+| `ORCH_RECONCILE_NOTIFY_UNBLOCK` | Telegram при разблокировке застрявшей задачи | `true` |
+| `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED` | F-1 Guard 2 (ORCH-060): пропуск задач в Plane-статусе Blocked / Needs Input; `false` глушит только сетевой Guard 2 (Guard 1 escalated всегда активен) | `true` |
 
 ## Очередь задач (ORCH-1 / F-2b)
 

docker-compose.yml

@@ -26,9 +26,15 @@ services:
     environment:
       - ORCH_REPOS_DIR=/repos
       - ORCH_HOST_REPOS_DIR=/home/slin/repos
+      # legacy enduro deployer (read via os.environ, keep as-is):
       - DEPLOY_SSH_USER=slin
       - DEPLOY_SSH_HOST=127.0.0.1
       - DEPLOY_HOOK_SCRIPT=/home/slin/bin/enduro-deploy-hook.sh
+      # ORCH-036 self-deploy (read via pydantic ORCH_ prefix; host-network -> 127.0.0.1, ssh key mounted):
+      - ORCH_DEPLOY_SSH_USER=slin
+      - ORCH_DEPLOY_SSH_HOST=127.0.0.1
+      - ORCH_DEPLOY_HOOK_SCRIPT=scripts/orchestrator-deploy-hook.sh
+      - ORCH_DEPLOY_HOST_REPO_PATH=/home/slin/repos/orchestrator
     group_add:
       - "999"
 

docs/architecture/README.md

@@ -11,6 +11,7 @@
 - **Quality Gates** (`src/qg/checks.py`) — проверки выхода со стадии, реестр `QG_CHECKS`.
 - **Agent Launcher** (`src/agents/launcher.py`) — запуск Claude CLI агентов в изолированном git worktree, мониторинг, auto-advance.
 - **Queue** (`src/queue_worker.py`, ORCH-1) — персистентная очередь задач (SQLite `jobs`), atomic claim, max_concurrency, ретраи, restart-safe.
+- **Reconciler** (`src/reconciler.py`, ORCH-053 — реализовано, [adr-0007](adr/adr-0007-reconciler.md)) — фоновый daemon-поток (паттерн `queue_worker`), стартует/останавливается в `main.lifespan` (после `worker.start()` / перед `worker.stop()`). Реконсилирует рассинхрон «источник истины ≠ стадия задачи» при потерянном webhook. F-1 gate-side (продвигает застрявшую стадию по локальной БД через штатный `advance_stage(..., finished_agent=None)`), F-2 plane-side (опрос Plane API → `handle_*` из `plane.py`), F-3 (БД-fallback `sha→branch` в `handle_ci_status`). Источник истины — гейт/Plane, не событие; идемпотентность (active-job guard + atomic-claim + grace); kill-switch `ORCH_RECONCILE_ENABLED`. `analysis` F-1 не трогает (человеческий гейт). F-1 также пропускает escalated (retry≥лимита) и Blocked/Needs-Input задачи (ORCH-060). Наблюдаемость — блок `reconcile` в `GET /queue`.
 - **Project Registry** (`src/projects.py`, ORCH-6) — Plane project id → repo + prefix; фильтрация вебхуков по проекту.
 - **Plane Sync** (`src/plane_sync.py`) — синхронизация статусов/комментариев в Plane.
 
@@ -34,7 +35,7 @@ created → analysis → architecture → development → review → testing →
 | deploy | — | `check_deploy_status` | 14-deploy-log.md (`deploy_status:`) |
 | done | — | — | — |
 
-**Реестр QG** (`QG_CHECKS`): check_analysis_approved, check_analysis_complete, check_architecture_done, check_ci_green, check_review_approved, check_tests_passed, check_reviewer_verdict, check_tests_local, check_deploy_status, check_staging_status, check_branch_mergeable (ORCH-043).
+**Реестр QG** (`QG_CHECKS`): check_analysis_approved, check_analysis_complete, check_architecture_done, check_ci_green, check_review_approved, check_tests_passed, check_reviewer_verdict, check_tests_local, check_deploy_status, check_staging_status, check_branch_mergeable (ORCH-043), check_staging_image_fresh (ORCH-058).
 
 **Канон гейтов:** машинные вердикты читаются ТОЛЬКО из YAML-frontmatter, никогда из прозы. Лог-файлы мержатся в `origin/main` отдельным PR; гейт читает из `origin/main`.
 
@@ -80,6 +81,69 @@ sentinel-файлы (`<repos_dir>/.deploy-state-<repo>/<wi>/`), без мигр
 Подробнее: [adr-0007](adr/adr-0007-executable-self-deploy.md), детально —
 `docs/work-items/ORCH-036/06-adr/ADR-001-executable-self-deploy.md`.
 
+### Свежесть артефакта BUILD-ONCE: провенанс staging-образа (ORCH-058 — реализовано)
+BUILD-ONCE retag (ORCH-36) промоутит `SOURCE_IMAGE=orchestrator-orchestrator-staging` в прод
+**без rebuild**, полагаясь на «staging-образ свеж и провалидирован». Этой гарантии нет:
+конвейер нигде не пересобирает staging-образ из провалидированного коммита → retag мог тихо
+промоутнуть УСТАРЕВШИЙ образ (инцидент LESSONS_ORCH-036 п.4 — зелёный деплой молча
+откатывал прод). ORCH-058 обеспечивает инвариант `INV-FRESH` **двумя слоями** (defense in
+depth), только для self-hosting:
+- **A — пересборка (liveness):** детерминированный QG-под-чек `check_staging_image_fresh` на
+  ребре `deploy-staging → deploy` ПОСЛЕ merge-gate и ДО Phase A пересобирает
+  `orchestrator-orchestrator-staging` из worktree валидированного коммита
+  (`--build-arg GIT_SHA=<sha>`, OCI-лейбл `org.opencontainers.image.revision`), пересоздаёт
+  8501 и прогоняет `staging_check` против свежего образа → валидируем и промоутим один
+  артефакт. FAIL → откат на `development` (как merge-gate). Сборки/recreate — ТОЛЬКО staging.
+- **B — fail-closed guard (safety):** хук шагом 2b ПЕРЕД `docker tag` сверяет лейбл `revision`
+  у `SOURCE_IMAGE` с `EXPECTED_REVISION` (пробрасывает `build_deploy_command`). Несовпадение
+  / пустой лейбл / пустой ожидаемый SHA / ошибка inspect → `exit 1` → FAILED (БАГ-8 откат),
+  прод не трогается. Делает тихий промоут устаревшего образа структурно невозможным даже при
+  отключённой/проигравшей гонку A.
+
+Якорь «провалидированного коммита» — `git rev-parse HEAD` worktree ПОСЛЕ merge-gate (один
+helper `validated_revision` питает и штамп A, и `EXPECTED_REVISION` B). Единый kill-switch
+`image_freshness_enabled` включает A+B **как целое** (нет «B без A» = вечного fail-fast);
+`image_freshness_repos` (пусто → self-hosting). `STAGE_TRANSITIONS`, exit-code хука (0/1/2),
+`check_deploy_status`, БАГ-8, merge-gate, схема БД — НЕ меняются (под-гейт ребра + лейбл
+образа, без миграций). Подробнее: [adr-0008](adr/adr-0008-staging-image-provenance.md),
+детально — `docs/work-items/ORCH-058/06-adr/ADR-001-staging-image-provenance.md`.
+
+### Reconciler: реконсиляция потерянных webhook (ORCH-053 — реализовано)
+Конвейер продвигается только входящими webhook; потерянное событие (502 на ребилде,
+нет ретраев у Plane/Gitea, неразрезолвленный `sha→branch`) → задача застревает молча
+(инцидент ORCH-044). Фоновый поток `reconciler` периодически (`reconcile_interval_s`)
+находит застрявшие задачи и доигрывает пропущенный переход **через те же штатные
+гейты/обработчики**, что и webhook:
+- **F-1 gate-side:** для задач со `stage∉{done}`, без активного job и
+  `age(updated_at) ≥ grace_for_stage(stage)` — read-only пред-оценка канонического QG;
+  зелёный → `stage_engine.advance_stage(..., finished_agent=None)`; красный →
+  тишина (спам нотификаций структурно невозможен). `analysis` не реконсилируется.
+  **Skip escalated / Blocked / Needs-Input (ORCH-060):** ДО оценки гейта F-1
+  пропускает (молча, без advance/нотификаций) задачи, которые ждут человека —
+  (1) исчерпавшие лимит developer-ретраев (`developer_retry_count(task_id) >=
+  MAX_DEVELOPER_RETRIES`, детерминированно, без сети — закрывает bounce-петлю
+  ET-013) и (2) в явном Plane-статусе **Blocked** / **Needs Input** (Вариант A —
+  запрос Plane API, без миграции БД; never-raise → консервативный skip). Гард
+  retry-count проверяется первым (дёшево, локальный SQL).
+- **F-2 plane-side:** опрос Plane API per-project → `handle_status_start` /
+  `handle_verdict` из `webhooks/plane.py` (логика не дублируется).
+- **F-3:** усиление `sha→branch` в `handle_ci_status` (БД-fallback по единственной
+  development-задаче repo; неоднозначность → не резолвим).
+- **F-4 observability:** при разблокировке — лог-строка `reconciler: <wi> <stage>
+  разблокирована (потерян webhook)` + Telegram (`reconcile_notify_unblock`); снимок
+  состояния в `GET /queue` (блок `reconcile`).
+
+Реализация: `src/reconciler.py` (daemon-поток по образцу `queue_worker`), стартует в
+`main.lifespan` **после** `worker.start()`, останавливается в `finally` **перед**
+`worker.stop()`.
+
+Инварианты: источник истины — гейт/Plane, не событие; идемпотентность (active-job
+guard + atomic-claim на создании под process-wide Lock + grace + `max_concurrency=1`);
+never-raise на единицу работы; тишина при синхронности; restart-safe; kill-switch
+`ORCH_RECONCILE_ENABLED` (+ `ORCH_RECONCILE_PLANE_ENABLED` гасит только F-2). Схема БД
+и реестры (`STAGE_TRANSITIONS`/`QG_CHECKS`) не меняются. Подробнее:
+[adr-0007](adr/adr-0007-reconciler.md), детально — `docs/work-items/ORCH-053/06-adr/ADR-001-stuck-task-reconciler.md`.
+
 ## Откаты
 - Reviewer REQUEST_CHANGES → откат на `development` + retry (`MAX_DEVELOPER_RETRIES = 3`).
 - Tester `check_tests_passed` FAIL → откат на `development` + retry.
@@ -123,7 +187,7 @@ sentinel-файлы (`<repos_dir>/.deploy-state-<repo>/<wi>/`), без мигр
 |--------|------|----------|
 | GET | `/health` | health check |
 | GET | `/status` | активные задачи (stage != done) |
-| GET | `/queue` | очередь: counts + max_concurrency + последние jobs |
+| GET | `/queue` | очередь: counts + max_concurrency + resilience + reconcile (ORCH-053) + последние jobs |
 | POST | `/webhook/plane` | Plane webhook |
 | POST | `/webhook/gitea` | Gitea webhook (push, PR, CI status) |
 
@@ -137,4 +201,4 @@ sentinel-файлы (`<repos_dir>/.deploy-state-<repo>/<wi>/`), без мигр
 Схема БД, потоки данных, resilience-слой, детали Dockerfile — [internals.md](internals.md).
 
 ---
-*Актуально на 2026-06-06. Обновлять при изменении src/stages.py, src/qg/checks.py, src/main.py. ORCH-043: merge-gate — design (см. adr-0006), реализация в ветке feature/ORCH-043. ORCH-036: исполняемый самодеплой стадии `deploy` — design (см. adr-0007), реализация в ветке feature/ORCH-036.*
+*Актуально на 2026-06-07. Обновлять при изменении src/stages.py, src/qg/checks.py, src/main.py. Статусы доработок: ORCH-036 (исполняемый самодеплой `deploy`, adr-0007) — реализовано; ORCH-043 (merge-gate, adr-0006) — design, ветка feature/ORCH-043; ORCH-053 (reconciler, adr-0007, src/reconciler.py) — реализовано; ORCH-060 (F-1 skip escalated/Blocked/Needs-Input, `docs/work-items/ORCH-060/06-adr/ADR-001`) — реализовано в ветке feature/ORCH-060 (Guard 1 `developer_retry_count>=MAX_DEVELOPER_RETRIES` + Guard 2 `plane_sync.fetch_issue_state` Blocked/Needs-Input, флаг `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED`); ORCH-058 (провенанс staging-образа: check_staging_image_fresh + staging_check свежего образа + хук-guard, adr-0008) — реализовано в ветке feature/ORCH-058 (обновлять также при изменении src/image_freshness.py, scripts/orchestrator-deploy-hook.sh, Dockerfile).*

docs/architecture/adr/README.md

@@ -11,6 +11,7 @@ Per-work-item решения живут в `docs/work-items/<id>/06-adr/ADR-NNN-
 | adr-0004 | Поллинг с ретраем в check_ci_green (фикс CI-race) | accepted | 2026-06-05 | ORCH-045 |
 | adr-0005 | Контейнеры бегут под uid:gid хоста (1000:1000) | accepted | 2026-06-06 | ORCH-040 |
 | adr-0006 | Merge-gate (догон main + re-test + сериализация слияний) | proposed | 2026-06-06 | ORCH-043 |
+| adr-0007 | Reconciler застрявших стадий (sweeper потерянных webhook) | accepted | 2026-06-06 | ORCH-053 |
 
 ## Формат
 **Контекст → Решение → Альтернативы → Последствия → Связи.** Статус: proposed / accepted / superseded.

docs/architecture/adr/adr-0007-reconciler.md

@@ -0,0 +1,77 @@
+# adr-0007: Reconciler застрявших стадий (sweeper потерянных webhook)
+
+- **Статус:** accepted (реализовано в `src/reconciler.py`)
+- **Дата:** 2026-06-06
+- **Задача:** ORCH-053
+- **Детальный ADR:** `docs/work-items/ORCH-053/06-adr/ADR-001-stuck-task-reconciler.md`
+
+## Контекст
+Конвейер продвигается **только** входящими webhook (Plane status / Gitea CI/PR).
+Потерянное событие (502 на ребилде, отсутствие ретраев у Plane/Gitea,
+неразрезолвленный `sha→branch`) → источник истины изменился, а стадия задачи —
+нет; задача застревает молча (инцидент ORCH-044). Существующий resilience
+(`requeue_running_jobs`, orphan-recovery, events de-dup ORCH-5, `ci_poll`
+ORCH-045) работает на уровне jobs/agent_runs и **не реконсилирует**
+рассинхрон «источник истины ≠ стадия задачи».
+
+## Решение
+Фоновый daemon-поток `src/reconciler.py` (паттерн `queue_worker`, module-singleton,
+`threading.Event`), стартует в `main.lifespan` после `worker.start()`, стоп в
+`finally` перед `worker.stop()`. Две взаимодополняющие ветки на каждом тике
+(`reconcile_interval_s`, дефолт 120с):
+
+- **F-1 gate-side** (локальная БД): для каждой `task` где `stage∉{done}`, **нет**
+  активного job, `age(updated_at) ≥ grace_for_stage(stage)` — read-only пред-оценка
+  канонического QG стадии; если зелёный → продвижение **штатным**
+  `stage_engine.advance_stage(..., finished_agent=None)` (тот же путь, что у Plane
+  Approved-webhook). Красный → **тишина** (нет advance, нет нотификаций — спам
+  структурно невозможен). `analysis` F-1 **не** реконсилирует (человеческий гейт →
+  отдан F-2).
+- **F-2 plane-side** (опрос Plane API per-project через `list_issues_by_state`):
+  `In Progress`+нет задачи → `handle_status_start`; `Approved`+не сдвинута →
+  `handle_verdict(approved=True)`; `Rejected`+не откатана →
+  `handle_verdict(approved=False)`. Обработчики `webhooks/plane.py`
+  **переиспользуются** (async → `asyncio.run` из sync-потока), логика не дублируется.
+- **F-3:** усиление `sha→branch` в `handle_ci_status` (БД-fallback по
+  `repo`+`stage='development'`, видимость на INFO) — defense-in-depth.
+
+**Инварианты:** источник истины — гейт/Plane, не событие; продвижение только через
+`advance_stage`; идемпотентность (active-job guard + atomic-claim на создании +
+grace + `max_concurrency=1`); never-raise на единицу работы; тишина при
+синхронности; restart-safe; kill-switch.
+
+## Альтернативы
+- **Флаг подавления нотификаций в `advance_stage`** — отклонён: меняет общий
+  критический путь. Вместо этого «не вызывать advance_stage на красном гейте».
+- **UNIQUE-индекс `tasks.plane_id`** для анти-дубля — отклонён как primary: риск
+  падения миграции на проде; выбран process-wide `threading.Lock` (single-process
+  топология). Индекс — задокументированное будущее упрочнение для multi-process.
+- **Отдельная стадия/QG реконсиляции** — вне объёма; нарушает «источник истины —
+  существующий гейт».
+- **Реконсиляция analysis по локальным артефактам** — отклонена: автопродвижение
+  неодобренного человеком BRD.
+
+## Последствия
+- Потерянный webhook ≠ молча застрявшая задача; ручной heartbeat-watchdog не нужен;
+  резервная сетка к ORCH-51 (буфер недоставленных) и ORCH-36 (deploy).
+- Плата: фоновый поток + опрос Plane API (митигируется интервалом/фильтром/
+  per-project); двойная оценка гейта на зелёной задаче; анти-дубль опирается на
+  single-process-допущение (как и очередь ORCH-1).
+- Self-hosting: `reconcile_enabled` — обязательный kill-switch; поэтапный раскат
+  (`reconcile_plane_enabled` гасит только F-2); reconciler не рестартит/не роняет
+  прод-контейнер. БД-схема и реестры (`STAGE_TRANSITIONS`/`QG_CHECKS`) не меняются.
+
+## Уточнения
+- **ORCH-060** (`docs/work-items/ORCH-060/06-adr/ADR-001-reconciler-skip-escalated.md`):
+  F-1 (`_reconcile_gate_task`) приобретает два пред-гарда ДО оценки гейта —
+  пропускает escalated (`developer_retry_count ≥ MAX_DEVELOPER_RETRIES`,
+  детерминированно) и Blocked/Needs-Input (Вариант A, Plane API, без миграции)
+  задачи. Инварианты adr-0007 сохранены (схема/реестры не меняются, never-raise,
+  тишина при пропуске).
+
+## Связи
+adr-0002 (очередь / `available_at`, single-process-singleton), adr-0003 (условный
+гейт — образец условности/флагов раската), adr-0006 (merge-gate как под-гейт ребра
+внутри `advance_stage`), adr-0001 (реестр проектов для F-2 per-project), ORCH-5
+(events de-dup — защита от дублей; reconciler — обратная защита от потерь),
+ORCH-045 (`ci_poll`).

docs/architecture/adr/adr-0008-staging-image-provenance.md

@@ -0,0 +1,77 @@
+# ADR-0008: Провенанс staging-образа перед BUILD-ONCE retag в прод (ORCH-058)
+
+## Статус
+Accepted (design) — реализация в ветке `feature/ORCH-058-self-deploy-retag-staging`.
+Метка: `arch:major-change`.
+
+> Примечание о нумерации: в `adr/` исторически два файла `adr-0007-*`
+> (`executable-self-deploy`, `reconciler`) — пред-существующая коллизия. Этот ADR берёт
+> следующий свободный номер **0008**; коллизию 0007 не трогаем (вне объёма ORCH-058).
+
+## Контекст
+
+ORCH-36 (`adr-0007-executable-self-deploy`) сделал стадию `deploy` исполняемой для
+self-hosting: Phase B запускает host-хук, который шагом **2b** (BUILD-ONCE) делает
+`docker tag $SOURCE_IMAGE → $TARGET_IMAGE` **без rebuild** — «прод = ровно тот артефакт,
+что прошёл staging». Предпосылка: staging-образ свеж и собран из провалидированного кода.
+
+**Этой гарантии нет.** Конвейер нигде не пересобирает `orchestrator-orchestrator-staging`
+из провалидированного коммита; `deploy-staging` лишь гоняет `staging_check.py` против уже
+работающего 8501. Инцидент (LESSONS_ORCH-036 п.4): staging-образ не пересобрали → проверка
+прошла против старого кода → retag промоутнул СТАРЫЙ образ → прод **молча** откатился на
+2-дневный код. Зелёный гейт = ложный позитив. Самый опасный из 4 багов: не падает, а тихо
+откатывает инструмент, обслуживающий все проекты.
+
+## Решение
+
+Гарантировать `INV-FRESH`: в прод промоутится только образ, собранный из коммита,
+провалидированного `deploy-staging` для данной задачи; иначе fail-fast (`FAILED` → откат на
+`development`, БАГ-8), прод не трогается. Достигается **двумя взаимодополняющими слоями**
+(defense in depth), только для self-hosting (условность как ORCH-35/36/43):
+
+- **A — пересборка (liveness).** На ребре `deploy-staging → deploy`, ПОСЛЕ merge-gate и ДО
+  Phase A, детерминированный QG-под-чек `check_staging_image_fresh` пересобирает
+  `orchestrator-orchestrator-staging` из worktree валидированного коммита
+  (`--build-arg GIT_SHA=<sha>`, лейбл `org.opencontainers.image.revision`), пересоздаёт 8501
+  и прогоняет `staging_check`. FAIL → откат на `development`. Так валидируемый и промоутимый
+  артефакт — один и тот же; гарантирует наличие зелёного пути (нет вечного fail-fast).
+- **B — fail-closed guard (safety).** Хук шагом 2b ПЕРЕД `docker tag` сверяет лейбл
+  `revision` образа `SOURCE_IMAGE` с `EXPECTED_REVISION` (пробрасывает `build_deploy_command`).
+  Несовпадение / пустой лейбл / пустой ожидаемый SHA / ошибка inspect → `exit 1` → FAILED.
+  Делает тихий промоут устаревшего образа структурно невозможным даже при отключённой/
+  проигравшей гонку A.
+
+**Якорь провалидированного коммита** — `git rev-parse HEAD` в worktree ПОСЛЕ merge-gate
+(post-rebase tree, который ре-тестирован и сольётся в `main`). Один helper
+`validated_revision(repo, branch)` питает и штамп сборки (A), и `EXPECTED_REVISION` (B).
+
+**Условность и kill-switch:** единый `image_freshness_enabled` (вкл/выкл A+B как целое,
+чтобы не было «B без A» = вечный fail-fast), `image_freshness_repos` (CSV; пусто →
+self-hosting). Все настройки с префиксом `ORCH_`.
+
+### Что НЕ меняется
+`STAGE_TRANSITIONS` (набор стадий — под-гейт ребра, не стадия), exit-code хука (0/1/2),
+`map_exit_code_to_status`, `check_deploy_status`/`_parse_deploy_status`, БАГ-8, terminal-sync,
+merge-gate, Phase A/B/C. Схема БД — без миграций (провенанс в лейбле образа, не в БД).
+
+### Что добавляется (сквозное)
+- QG `check_staging_image_fresh` в реестре `QG_CHECKS` (+ snapshot-тест), wired через
+  `_handle_image_freshness` в `stage_engine` (рядом с merge-gate).
+- Режим хука `--build-staging` (build из worktree + recreate 8501; STAGING-safe дефолты).
+- OCI-лейбл `org.opencontainers.image.revision` в `Dockerfile` (`ARG GIT_SHA`).
+- Helpers `validated_revision` / `rebuild_staging_image` в `self_deploy.py` (never-raise).
+
+## Последствия
+
+- Класс «тихого регресса прод» закрыт структурно (B); валидный деплой всегда доходит до
+  зелёного (A) — устранён ручной bootstrap-разрыв пересборки staging.
+- Латентность ребра растёт (build + recreate + повторный staging_check); `staging_check`
+  гоняется дважды (soft pre-check агента + авторитетный код) — плата за «валидируем =
+  промоутим».
+- Все сборки/recreate — ТОЛЬКО staging (8501); прод (8500) не трогается; `main` не пушится.
+  Новая под-компонента → `arch:major-change`.
+
+## Связанные ADR
+`adr-0007-executable-self-deploy` (BUILD-ONCE, Phase A/B/C), `adr-0006-merge-gate` (образец
+edge-под-гейта), `adr-0003-staging-gate` (условность self-hosting), `adr-0005`
+(run-as-host-uid). Детальный per-work-item: `docs/work-items/ORCH-058/06-adr/ADR-001-staging-image-provenance.md`.

docs/history/LESSONS_ORCH-036-053.md

@@ -0,0 +1,120 @@
+# Lessons Learned — 2026-06-06 (вечер): ORCH-36 + ORCH-53 → прод (эпик ORCH-54)
+
+## Итог
+Закрыты две задачи эпика ORCH-54 (автономное внедрение): **ORCH-36** (исполняемый
+самодеплой стадии `deploy`) и **ORCH-53** (sweeper/reconciler потерянных webhook).
+Обе прошли конвейер через рабочий merge-gate (ORCH-43), но финальный мерж+деплой
+потребовал **ручного разрыва bootstrap-цикла** — задача, добавляющая автодеплой, сама
+не может задеплоить себя через старую логику. Reconciler доказал себя **в первую секунду
+после старта** — разблокировал две реально застрявшие задачи (ORCH-036 и ET-013).
+
+Эпик ORCH-54: **4 из 6 в проде** (ORCH-40 права, ORCH-43 merge-gate, ORCH-36 деплой,
+ORCH-53 reconciler). Осталось: ORCH-51 (окно/HA), обкатка полностью автономного деплоя.
+
+---
+
+## 1. 🔴 Bootstrap-парадокс самодеплоя (ORCH-36)
+
+### Симптом
+ORCH-36 застряла в петле `deploy → development`:
+```
+QG check_deploy_status — failed: Deploy log not found (14-deploy-log.md)
+→ deployer verdict FAILED, rolled back deploy → development
+```
+deployer запускался (exit 0), но **не писал** `14-deploy-log.md` → гейт FAILED → откат →
+снова deployer → бесконечный цикл (jobs 140→142→143...).
+
+### Корень
+Классический bootstrap самохостинга: **новая deploy-логика лежит в ветке, старая работает
+в проде**. ORCH-36 учит deployer писать лог по результату РЕАЛЬНОГО деплоя (через хост-хук),
+но прод-deployer работает по СТАРОМУ промпту, который для self-репо реального деплоя не делает
+и SUCCESS-лог не пишет. Нет лога → FAILED → откат.
+
+### Урок
+**Self-репо не может задеплоить сам себя через старую логику.** Нужен разовый ручной разрыв
+цикла: домержить + задеплоить руками ОДИН раз, дальше конвейер катит своей же новой логикой.
+Тот же паттерн был у ORCH-40/43. Это структурное свойство любой задачи, меняющей
+deploy/merge-механику самого оркестратора — закладывать ручной bootstrap-шаг в план.
+
+---
+
+## 2. 🔴 Merge-конфликт при последовательном ручном мерже двух задач
+
+### Симптом
+PR #56 (ORCH-53) смержен первым — чисто. PR #55 (ORCH-36) сразу после → **CONFLICT 409**:
+`.env.example`, `CHANGELOG.md`, `docs/architecture/README.md`, `docs/operations/INFRA.md`,
+**`src/config.py`**.
+
+### Корень
+После мержа PR #56 `main` ушёл вперёд → PR #55 валидировался против СТАРОГО main (точки
+ответвления), а мержится в НОВЫЙ. Это ровно класс «main ушёл вперёд», который чинит
+merge-gate (ORCH-43) — но при РУЧНОМ мерже через Gitea API merge-gate не участвует.
+
+### Решение
+- **merge main→ветку, НЕ rebase.** Rebase 9 коммитов = 9 потенциальных конфликт-разборов;
+  один merge-коммит = ОДИН разбор. Быстрее и безопаснее для большого набора коммитов.
+- Конфликт в `src/config.py` был чисто **аддитивный**: ветка ORCH-36 добавляла блок
+  `self_deploy_*` настроек, main (ORCH-53) — блок `reconcile_*`. Нужны **ОБА** блока →
+  склеить, убрав только git-маркеры (`<<<<<<<`/`=======`/`>>>>>>>`). Обязательно после —
+  `python3 -c 'import ast; ast.parse(...)'` для проверки синтаксиса.
+- docs/.env/CHANGELOG конфликты — тоже аддитивные (обе стороны добавляют строки) → union.
+
+### Грабли
+⚠️ `grep -rE '^(<<<<<<<|=======|>>>>>>>)'` по `docs/work-items/*/13-test-report.md` даёт
+**ЛОЖНЫЕ срабатывания** — там `=======` это markdown-разделители таблиц/секций, не
+git-конфликты. Проверять реальные конфликтные файлы поимённо, не доверять глобальному grep.
+
+---
+
+## 3. Review-гейт поймал 2 реальных P1 ДО прода (ORCH-36)
+
+reviewer завернул первую версию (`verdict: REQUEST_CHANGES`), конвейер сам откатил
+dev→review→fix→APPROVED. Два P1:
+1. **sentinel-маркеры self-deploy (`initiated`/`result`/`approve-requested`) не чистились на
+   rollback** → при возврате задачи человек ставит Approved, а устаревший маркер ломает фазу B.
+2. **нет `.env.example` для новых флагов** + процедуры «approve→деплой» в `INFRA.md`.
+
+Урок: merge-gate + review отрабатывают как задумано — брак не уходит в прод автономно.
+Это и есть ценность эпика: система фильтрует сама.
+
+---
+
+## 4. 🔥 Reconciler доказал себя мгновенно (ORCH-53)
+
+В первую секунду после рестарта прода (21:24 UTC):
+```
+reconciler: ORCH-036 development разблокирована (потерян webhook)
+reconciler: ET-013 development разблокирована (потерян webhook)
+```
+Sweeper нашёл и разблокировал ДВЕ реально застрявшие задачи — включая саму ORCH-036 из
+bootstrap-петли, и старое зависание ET-013 (enduro-trails). Ручной heartbeat-watchdog,
+который раньше держал Стрим, **больше не нужен** — система чинит застревания сама.
+
+---
+
+## 5. Операционные мелочи (закрепить)
+
+- **Заголовки ORCH-задач ≤80 символов.** QG-0 (`check title length`) заворачивает старт
+  конвейера, если длиннее. ORCH-53 был 83 символа → завернул на старте → подрезали до 71.
+- **Developer-таймаут 1800с (30 мин) мал для мясных задач.** 1-й заход developer'а ORCH-36
+  (деплой-хук + Telegram-кнопка + callback) упёрся в лимит → SIGKILL (exit -9). Спас
+  resilience-ретрай (ORCH-1b): attempt 2, наработки в worktree между попытками сохранились.
+  Если упирается систематически — поднять `agent_timeout_seconds` (override per-agent) или
+  дробить задачу.
+- **Время хоста ≠ UTC.** Файлы worktree датируются по мск (+3), БД/системное — UTC. Не баг,
+  но путает сверки `etime`/`updated_at`/`finished_at`. Сверять по одному источнику.
+- **Gitea merge auth:** заголовок строго `Authorization: token <ORCH_GITEA_TOKEN>` (формат
+  `token `, буквально). НЕ маскировать токен плейсхолдером `***` → иначе 401.
+  POST `/repos/admin/orchestrator/pulls/{N}/merge`, body `{"Do":"merge"}`.
+- **approve прод-деплоя 8500 = Telegram-кнопка** (решение Owner), флаг
+  `DEPLOY_REQUIRE_MANUAL_APPROVE=true` по дефолту.
+- **max_concurrency=1 оставлен сознательно** (решение Owner): одна БД/очередь на все
+  проекты, последовательное выполнение надёжнее. НЕ поднимать без явного запроса.
+
+---
+
+## Состояние прода после деплоя (21:24 UTC, main `1ff8d85`)
+- `src/self_deploy.py` — в проде (исполняемый деплой, 3 фазы A/B/C)
+- `src/reconciler.py` — в проде (фоновый sweeper, уже разблокировал 2 задачи)
+- uid 1000, health `{"status":"ok"}`, preflight True (Claude Code 2.1.142)
+- Деплой-скрипт с авто-rollback: исходник в workspace `temp/deploy_36_53.sh`

docs/history/LESSONS_ORCH-036-selfdeploy.md

@@ -0,0 +1,78 @@
+# Lessons Learned — 2026-06-07 (утро): ORCH-36 self-deploy bootstrap — каскад неготовности инфры
+
+## Итог
+ORCH-36 (исполняемый самодеплой стадии `deploy`) **замкнулась в проде** — конвейер
+впервые задеплоил сам себя по полному циклу Phase A→B→C (approve → детачед ssh-хук →
+finalizer). Но путь до Done вскрыл **четыре слоя неготовности инфраструктуры**, каждый из
+которых требовал ручного bootstrap-разрыва: задача про автодеплой не может задеплоить
+сама себя, пока её же механизм + инфра не в проде.
+
+Эпик ORCH-54: **4/6 в проде** (ORCH-40 права, ORCH-43 merge-gate, ORCH-36 самодеплой,
+ORCH-53 reconciler). Конвейер автономен: мержит → катит в прод → чинит застрявшее.
+
+---
+
+## Каскад из 4 инфра-багов (все вскрылись только при РЕАЛЬНОМ деплое)
+
+### 1. 🔴 uid 1000 без записи в `/etc/passwd` → ssh/whoami падают
+**Симптом:** `self-deploy initiate failed: ssh launch failed (rc=255): No user exists for
+uid 1000`. **Корень:** регрессия ORCH-40 — compose запускает контейнер под `1000:1000`,
+но базовый образ `python:3.12-slim` не имеет passwd-записи для 1000. SSH-клиент (и
+`whoami`, `getpwuid()`) отказываются стартовать без валидного юзера.
+**Фикс:** в `Dockerfile` — `groupadd -g 1000 app && useradd -u 1000 -g 1000 -m -d
+/home/slin -s /bin/bash slin`. Rebuild + recreate. Коммит `64e031a`.
+**Урок:** при переводе контейнера на non-root uid (ORCH-40) ОБЯЗАТЕЛЬНО создавать passwd-
+запись в образе, иначе ssh/git/любой инструмент с getpwuid() ломается. Проверять
+`docker exec <c> whoami` после смены uid.
+
+### 2. 🔴 env-префикс: `DEPLOY_*` vs `ORCH_DEPLOY_*` (pydantic не видит)
+**Симптом:** `ssh: Could not resolve hostname : No address associated with hostname` —
+host пустой, хотя в compose `DEPLOY_SSH_HOST=127.0.0.1` задан. **Корень:** `Settings`
+имеет `env_prefix = "ORCH_"` → читает ТОЛЬКО `ORCH_DEPLOY_SSH_HOST`. Старые
+`DEPLOY_*` (без префикса) предназначались легаси enduro-деплоеру (читает через
+`os.environ` напрямую) и pydantic их игнорирует → дефолт `host=""`. Доп: `DEPLOY_HOOK_SCRIPT`
+указывал на `enduro-deploy-hook.sh`, не на orchestrator-хук.
+**Фикс:** в `docker-compose.yml` добавлены `ORCH_DEPLOY_SSH_USER/HOST`,
+`ORCH_DEPLOY_HOOK_SCRIPT=scripts/orchestrator-deploy-hook.sh`,
+`ORCH_DEPLOY_HOST_REPO_PATH` (легаси `DEPLOY_*` оставлены для enduro). Коммит `115519e`.
+**Урок:** все настройки, читаемые через pydantic Settings, ДОЛЖНЫ иметь префикс `ORCH_`.
+Проверять резолв: `docker exec <c> python3 -c 'from src.config import settings; print(settings.deploy_ssh_host)'`.
+
+### 3. 🔴 `/var/log/orchestrator` принадлежит root → хук падает на tee
+**Симптом:** `tee: /var/log/orchestrator/deploy-hook.log: Permission denied`, хук exit 1.
+**Корень:** лог-директория `root:root`, а хук бежит под `slin`. **Фикс:** `chown -R
+slin:slin /var/log/orchestrator` на хосте.
+**Урок:** все пути, в которые пишет хост-хук (логи, sentinel, prev-image), должны быть
+writable юзером, под которым ssh-сессия. Заложить создание/chown в provisioning хоста.
+
+### 4. 🔴🔴 BUILD-ONCE retag берёт УСТАРЕВШИЙ staging-образ → катит регресс (ВАЖНО)
+**Симптом:** деплой «зелёный» (result=0, health ok), но прод откатился на код 2-дневной
+давности — пропал `deploy-finalizer` (`Unknown agent: deploy-finalizer`), задача не
+закрылась. **Корень:** хук делает `BUILD-ONCE: retag orchestrator-orchestrator-staging →
+orchestrator-orchestrator` (без rebuild, by design ORCH-36 BR-6). Дизайн предполагал
+«staging-образ = свежий, провалидированный». В РЕАЛЬНОСТИ `orchestrator-orchestrator-staging`
+никто не пересобрал из нового main → retag катил в прод СТАРЫЙ образ → бесконечная петля:
+каждый Phase B возвращал прод в прошлое, finalizer (новый код) исчезал, Phase C не мог
+закрыть задачу.
+**Фикс (ручной разрыв):** пересобрать `orchestrator-orchestrator-staging` из актуального
+main ПЕРЕД retag → тогда хук катит свежий код. После этого Phase C отработал: result=0 →
+SUCCESS → `deploy → done`.
+**Урок / ТЕХДОЛГ:** retag-стратегия BUILD-ONCE предполагает гарантию свежести staging-
+образа, которой НЕТ. Нужна отдельная задача: либо staging-деплой пересобирает образ из
+текущего main перед валидацией, либо deploy-хук проверяет, что staging-образ собран из
+HEAD main (по labels/sha), иначе fail-fast. Сейчас «зелёный» деплой может молча катить
+регресс. **Это самый опасный из четырёх — он не падает, а тихо откатывает прод.**
+
+---
+
+## Сквозной урок: bootstrap самохостинга
+Любая задача, меняющая deploy/merge-механику САМОГО оркестратора, упирается в парадокс:
+её механизм не работает, пока не в проде, а в прод его можно влить только старым
+механизмом. Каждый слой (код → права → env → образ) вскрывается ТОЛЬКО при первом
+реальном прогоне. Закладывать в план таких задач **ручной bootstrap-чеклист** и гонять
+**реальный** деплой в staging-петле до мержа, а не только бумажные гейты.
+
+## Прод после (main `115519e`+, образ 2026-06-07 09:47)
+- self_deploy.py + reconciler.py в проде, finalizer зарегистрирован (grep=5)
+- uid 1000 = slin (passwd ok), ssh slin@127.0.0.1 работает, /var/log/orchestrator writable
+- ORCH-36 task 43 → done, Plane → Done

docs/operations/DEPLOY_HOOK.md

@@ -9,6 +9,7 @@
 1. **Захват текущего образа** — до рестарта записывает ID образа работающего контейнера в `$PREV_IMAGE_FILE` (best-effort, не падает если сервис не запущен).
 2. **git pull** — обновляет код репозитория.
 2b. **Build-once retag** (ORCH-036, BR-6) — если задан `$SOURCE_IMAGE`, хук ретегает его на `$TARGET_IMAGE` (`docker tag $SOURCE_IMAGE $TARGET_IMAGE`) и поднимает контейнер на этом образе через `up -d --no-build`. Это деплой РОВНО того образа, что прошёл staging, **без `docker build`**. Если `$SOURCE_IMAGE` не задан (дефолт) — шаг пропускается (обратная совместимость).
+   - **Fail-closed провенанс-guard** (ORCH-058, Strategy B) — ПЕРЕД `docker tag`, если задан `$EXPECTED_REVISION`, хук сверяет OCI-лейбл `org.opencontainers.image.revision` у `$SOURCE_IMAGE` с `$EXPECTED_REVISION`. Несовпадение / пустой лейбл (`<no value>`) / ошибка inspect → лог + `exit 1` (FAILED → авто-rollback), **прод не трогается**. Не задан `$EXPECTED_REVISION` (дефолт) → проверка пропускается (обратная совместимость для не-self репозиториев).
 3. **Рестарт контейнера** — `docker compose --profile $COMPOSE_PROFILE up -d --no-build $TARGET_SERVICE`.
 4. **Health-цикл** — 10 попыток × 6с = до 60с. Критерий: HTTP 200 + тело содержит `"status":"ok"`.
    - **Успех** → `exit 0`, лог "Deploy SUCCESS".
@@ -17,6 +18,17 @@
    - Если восстановился → `exit 1` (деплой провалился, откат успешен).
    - Если и откат не помог → `exit 2` (критично).
 
+### Режим `--build-staging` (ORCH-058, Strategy A)
+
+Пересобирает **staging-образ** из провалидированного коммита и пересоздаёт 8501, чтобы артефакт, который мы валидируем, был РОВНО тем, что позже build-once ретегается в прод (инвариант `INV-FRESH`). Собирает/пересоздаёт **только staging (8501)** — никогда прод (8500).
+
+1. `docker build --build-arg GIT_SHA=$GIT_SHA -t $TARGET_IMAGE $BUILD_CONTEXT` — пересборка из host-worktree валидированного коммита; `GIT_SHA` штампуется в OCI-лейбл `org.opencontainers.image.revision`.
+2. `docker compose [--profile $COMPOSE_PROFILE] up -d --no-build $TARGET_SERVICE` — пересоздание staging на свежем образе.
+3. Health-цикл 10×6с. Провал сборки/health → `exit 1`.
+4. **`staging_check` против СВЕЖЕГО образа** (Strategy A, шаг 3 — ADR-001, AC-4) — после health хук запускает `docker exec $STAGING_CONTAINER python3 $STAGING_CHECK_PATH --base-url http://localhost:$TARGET_PORT --mode $STAGING_CHECK_MODE` (дефолт `--mode stub`, без LLM-трат). Запуск **внутри** staging-контейнера канонический (ORCH-048): suite читает реестр из собственного env контейнера, а `staging_check.py` берётся из bind-mount (`/repos/orchestrator/scripts/...`, не из образа). Это ровно тот артефакт, что позже build-once ретегается в прод → валидируем то, что промоутим (AC-4). PASS → `exit 0`; любой не-ноль (FAIL чека или safety-abort `ORCH_STAGING≠true`) → `exit 1`.
+
+Запускается оркестратором на ребре `deploy-staging → deploy` (QG-под-чек `check_staging_image_fresh` → `rebuild_staging_image` пробрасывает явный staging-таргет, см. `INFRA.md`). Тот же контракт кодов выхода (0 = здоров **и** staging_check PASS).
+
 ### Режим `--rollback`
 
 Вручную откатывает сервис на предыдущий образ из `$PREV_IMAGE_FILE`.
@@ -31,6 +43,12 @@
 | `COMPOSE_PROFILE`| `staging`                         | Docker compose profile (пусто = без профиля) |
 | `PREV_IMAGE_FILE`| `$REPO/.deploy-prev-image-staging`| Файл для сохранения предыдущего образа        |
 | `SOURCE_IMAGE`   | _(unset)_                         | Build-once (ORCH-036): провалидированный образ для retag на `$TARGET_IMAGE` перед рестартом (без rebuild). Не задан → шаг пропущен. |
+| `EXPECTED_REVISION` | _(unset)_                      | Build-once (ORCH-058, Strategy B): ожидаемый git-SHA `$SOURCE_IMAGE` (лейбл `org.opencontainers.image.revision`). Задан → fail-closed guard перед `docker tag`. Не задан → проверка пропущена. |
+| `GIT_SHA`        | _(unset)_                         | `--build-staging` (ORCH-058, Strategy A): коммит, штампуемый в OCI-лейбл `revision` при пересборке staging-образа. |
+| `BUILD_CONTEXT`  | `$REPO`                           | `--build-staging`: docker build context (host-worktree валидированного коммита). |
+| `STAGING_CONTAINER` | `$TARGET_SERVICE` (`orchestrator-staging`) | `--build-staging` (ORCH-058): контейнер, внутри которого `docker exec` запускает `staging_check`. |
+| `STAGING_CHECK_PATH` | `/repos/orchestrator/scripts/staging_check.py` | `--build-staging` (ORCH-058): путь к `staging_check.py` внутри контейнера (bind-mount, не образ). |
+| `STAGING_CHECK_MODE` | `stub`                        | `--build-staging` (ORCH-058): режим `staging_check` (`stub` — быстро, без LLM; `full-real` — дожидается аналитика). |
 | `LOG`            | `/var/log/orchestrator/deploy-hook.log` | Лог-файл (fallback: `$REPO/deploy-hook.log`) |
 
 > ⚠️ **Дефолт — всегда STAGING**. Прод активируется только явным переопределением env.

docs/operations/INFRA.md

@@ -83,6 +83,15 @@ ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и гл
 | `ORCH_DEPLOY_HOOK_SCRIPT` / `_HOST_REPO_PATH` | путь к хук-скрипту (отн. репо) и чекаут orchestrator на хосте |
 | `ORCH_DEPLOY_PROD_SOURCE_IMAGE` | staging-образ для build-once retag на прод-тег (без rebuild) |
 | `ORCH_DEPLOY_PROD_TARGET_SERVICE` / `_TARGET_PORT` / `_TARGET_IMAGE` / `_COMPOSE_PROFILE` / `_PREV_IMAGE_FILE` | прод-цель хука + снапшот для авто-rollback |
+| `ORCH_IMAGE_FRESHNESS_ENABLED` | ORCH-058 единый kill-switch провенанса staging-образа (A+B как целое); дефолт `true`, false → legacy build-once без проверки свежести |
+| `ORCH_IMAGE_FRESHNESS_REPOS` | CSV репозиториев с реальным гейтом свежести; пусто → только self-hosting `orchestrator` |
+| `ORCH_RECONCILE_ENABLED` | kill-switch sweeper потерянных webhook (ORCH-053); дефолт `true`. **При инциденте/раскатке** — `false` глушит весь фоновый reconciler |
+| `ORCH_RECONCILE_PLANE_ENABLED` | отдельный флаг F-2 (опрос Plane API); `false` гасит только plane-ветку, F-1 продолжает работать; дефолт `true` |
+| `ORCH_RECONCILE_INTERVAL_S` | период фонового прохода reconciler, сек; дефолт `120` |
+| `ORCH_RECONCILE_GRACE_DEFAULT_S` | порог «застряла» по `tasks.updated_at`, сек; дефолт `600` |
+| `ORCH_RECONCILE_GRACE_OVERRIDES_JSON` | per-stage пороги, напр. `{"development":300}`; невалидный JSON → дефолт |
+| `ORCH_RECONCILE_NOTIFY_UNBLOCK` | слать Telegram при разблокировке застрявшей задачи; дефолт `true` |
+| `DEPLOY_SSH_USER` / `_HOST` / `DEPLOY_HOOK_SCRIPT` | параметры деплой-хука |
 
 **Секреты — только в `.env` / `.env.staging` на хосте, в гит НЕ коммитятся.** Канон — `.env.example`, `.env.staging.example`.
 
@@ -124,6 +133,7 @@ ADR `docs/work-items/ORCH-040/06-adr/ADR-001-run-agents-as-host-uid.md` и гл
 
 **Страховки:**
 - Стадия `deploy-staging` (порт 8501) — обязательный гейт перед прод-деплоем орка. Прод-деплой недостижим, пока staging-гейт не зелёный (см. `STAGING.md`, ORCH-35). Гейт условный: реален только для self-hosting (repo=orchestrator), для остальных проектов — no-op.
+- **Свежесть staging-образа (ORCH-058):** на ребре `deploy-staging → deploy` (ПОСЛЕ merge-gate, ДО Phase A) QG-под-чек `check_staging_image_fresh` пересобирает staging-образ из валидированного коммита и пересоздаёт 8501 (Strategy A), а хук перед build-once retag fail-closed сверяет OCI-лейбл `revision` с `EXPECTED_REVISION` (Strategy B). Гарантирует: в прод промоутится РОВНО провалидированный артефакт (инцидент LESSONS_ORCH-036 п.4 — тихий промоут устаревшего образа). Сборки/recreate — ТОЛЬКО staging (8501); FAIL → откат на `development`. Условный: реален только для self-hosting.
 
 **Правила для агентов при задачах ORCH:**
 1. НЕ перезапускать / не ронять прод-контейнер `orchestrator` в рамках задачи.

docs/operations/STAGING.md

@@ -75,6 +75,27 @@ completely invisible to commands that do not pass `--profile staging`.
 docker logs -f orchestrator-staging
 ```
 
+## Staging-образ как источник прод-артефакта (ORCH-058)
+
+Прод-деплой орка — **build-once**: хук ретегает провалидированный staging-образ
+(`orchestrator-orchestrator-staging`) на прод-тег **без rebuild** (ORCH-036). Чтобы
+в прод не попал устаревший образ (инцидент LESSONS_ORCH-036 п.4), ORCH-058 гарантирует
+свежесть staging-образа **двумя слоями** (только self-hosting):
+
+- **A — пересборка staging (liveness):** на ребре `deploy-staging → deploy` (ПОСЛЕ
+  merge-gate, ДО Phase A) QG-под-чек `check_staging_image_fresh` через хук
+  `--build-staging` пересобирает staging-образ из worktree валидированного коммита
+  (`--build-arg GIT_SHA=<sha>`, OCI-лейбл `org.opencontainers.image.revision`) и
+  пересоздаёт 8501. Так валидируем РОВНО тот артефакт, что промоутится в прод.
+  FAIL → откат на `development`. Сборки/recreate — **только staging (8501)**.
+- **B — fail-closed guard (safety):** прод-хук перед `docker tag` сверяет лейбл
+  `revision` у `SOURCE_IMAGE` с `EXPECTED_REVISION` (пробрасывает оркестратор);
+  несовпадение / пустой лейбл / ошибка inspect → `exit 1`, прод не трогается.
+
+Kill-switch `ORCH_IMAGE_FRESHNESS_ENABLED` включает A+B **как целое**; область —
+`ORCH_IMAGE_FRESHNESS_REPOS` (пусто → только `orchestrator`). Детали — `DEPLOY_HOOK.md`,
+`docs/work-items/ORCH-058/06-adr/ADR-001-staging-image-provenance.md`.
+
 ## Roadmap
 
 | Task | Description |

docs/work-items/ORCH-036/15-staging-log.md

@@ -1,6 +1,6 @@
 ---
 staging_status: SUCCESS
-timestamp: 2026-06-06T21:06:37Z
+timestamp: 2026-06-06T21:47:48Z
 base_url: http://localhost:8501
 ---
 

docs/work-items/ORCH-053/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: Sweeper потерянных webhook: реконсиляция застрявших стадий (stuck-task)
+
+Work Item ID: ORCH-053
+
+## Description
+
+TBD

docs/work-items/ORCH-053/01-brd.md

@@ -0,0 +1,128 @@
+# BRD — ORCH-053: Sweeper потерянных webhook (реконсиляция застрявших стадий)
+
+Work Item ID: ORCH-053
+Стадия: analysis → (architecture)
+Тип: надёжность конвейера (проектирование + реализация). Self-hosting (ORCH).
+
+## 1. Проблема (бизнес-контекст)
+
+Продвижение задач между стадиями конвейера завязано **исключительно** на входящие
+webhook-события:
+- **Plane** (`work_item.updated` → статус In Progress / Approved / Rejected) — единственный
+  триггер старта задачи, advance и rollback (`src/webhooks/plane.py`).
+- **Gitea** (CI-status `success`/`failure`, push, PR reviewed/merged) — триггер
+  development→review, architecture→development, review→testing, deploy→done
+  (`src/webhooks/gitea.py`).
+
+Если входящее событие **потеряно** (502 на падающем/ребилдящемся инстансе, Plane/Gitea
+не повторяют доставку, сетевой сбой, sha→branch не разрезолвился, вебхук был временно
+выключен) — статус в источнике истины (Plane / зелёный CI) уже изменился, **а задача в
+оркестраторе не сдвинулась**. Задача висит молча, без какого-либо механизма восстановления.
+
+**Живой инцидент (ORCH-044, 06.06):** dev-агент отработал (exit 0, CI позеленел), но
+Gitea webhook о CI-success не продвинул задачу (не дошёл / не сматчился sha→branch).
+Задача висела бы на `development` молча навсегда — спасли только ручным дёрганьем гейта
+`check_ci_green`. Это **системная дыра**, а не разовый сбой; сейчас её ловит ручной
+heartbeat-watchdog Стрима (костыль).
+
+### Что уже есть и почему недостаточно
+| Механизм | Что покрывает | Почему не закрывает дыру |
+|----------|---------------|--------------------------|
+| `requeue_running_jobs()` (startup) | зависшие **jobs** при рестарте | про jobs, не про застрявший **stage-переход** |
+| orphan-recovery (`main.py`) | `agent_runs` без `finished_at` | job-уровень, не stage |
+| ORCH-5 events de-dup (`delivery_id`) | защита от **дублей** webhook | обратной защиты от **потери** нет |
+| ORCH-045 `ci_poll` в `check_ci_green` | поллит CI 12×10с | только **если гейт уже вызван** webhook'ом; не пришёл webhook → гейт не вызывается |
+
+Общий принцип всех существующих механизмов — restart-safe resilience на уровне jobs.
+**Нет ни одного механизма, реконсилирующего рассинхрон «источник истины ≠ стадия задачи».**
+
+## 2. Цель
+
+Задача **не должна застревать молча** из-за потерянного входящего события. Ввести
+фоновый периодический **sweeper / reconciler**, который сам находит «зависшие» задачи
+и доигрывает пропущенный переход — через **те же штатные гейты и обработчики**, что и
+webhook (никакой параллельной логики продвижения). Убрать необходимость в ручном
+heartbeat-watchdog.
+
+## 3. Заинтересованные стороны
+- **Owner / Стрим (Слава)** — перестаёт ловить зависания вручную.
+- **Все проекты на инстансе** (enduro-trails + orchestrator) — конвейер не встаёт молча.
+- **Self-hosting (ORCH)** — особенно при ребилде прода (ORCH-51): вебхуки, прилетевшие
+  на падающий инстанс, подбираются реконсиляцией после старта.
+
+## 4. Объём (Scope)
+
+В объёме — **две взаимодополняющие ветки реконсиляции** (обе обязательны):
+
+### F-1. Gate-side sweeper (реконсиляция застрявшей стадии по локальной БД)
+Периодический проход по таблице `tasks`: найти задачи, у которых
+(а) `stage != done`, (б) нет активных job'ов в очереди, (в) с момента `updated_at`
+прошло больше **per-stage порога** → пере-проверить QG текущей стадии и, если passed —
+продвинуть **штатным путём** (`stage_engine.advance_stage(..., finished_agent=None)`,
+тот же путь, что использует webhook). Закрывает потерю Gitea CI/PR-вебхуков (ORCH-044).
+
+### F-2. Plane-side reconciler (реконсиляция потерянного Plane status-webhook)
+Периодический опрос Plane API по проектам реестра (`projects.py`): issues в статусах,
+требующих действия (In Progress / Approved / Rejected). Сверить с локальной `tasks` и
+доиграть **через существующие обработчики `webhooks/plane.py`**:
+- **In Progress + нет задачи в БД** → создать+запустить (`handle_status_start`/`start_pipeline`);
+- **Approved + стадия не сдвинута** → advance (`handle_verdict(approved=True)`);
+- **Rejected + не откатана** → rollback (`handle_verdict(approved=False)`).
+
+### F-3. Усиление sha→branch резолва в Gitea-вебхуке
+В `handle_ci_status` добавить надёжный fallback (поиск task по БД), чтобы исходный
+webhook реже терялся из-за неразрезолвленного branch. Sweeper работает от задачи
+(repo+branch известны из БД) и обходит эту хрупкость по определению.
+
+### F-4. Наблюдаемость
+Лог (и опц. Telegram) каждый раз, когда sweeper **разблокировал** застрявшую задачу —
+чтобы видеть частоту срабатывания дыры (метрика потерянных webhook). Опц. вывод
+счётчика в `/queue` или `/reconcile`. Не спамить, когда всё синхронно.
+
+### Вне объёма
+- Буфер недоставленных webhook (это ORCH-51; sweeper — резервная сетка к нему).
+- Изменение состава стадий/гейтов (`STAGE_TRANSITIONS`, `QG_CHECKS`).
+- Изменение логики самих гейтов и обработчиков (только переиспользование).
+- Новый исполняемый деплой (ORCH-36).
+
+## 5. Ключевые требования (бизнес-уровень)
+
+1. **Источник истины — гейт/Plane, а не событие.** Sweeper дёргает ровно те же функции
+   продвижения, что и webhook. Параллельной логики продвижения быть не должно.
+2. **Идемпотентность (критично).** Задержавшийся или дублированный webhook + sweeper
+   НЕ создают двойную задачу / двойной запуск / двойной advance. Тот же guard, что у
+   webhook: нет активного job + стадия совпадает + atomic claim как в `queue_worker`.
+3. **Безопасность активной работы.** Sweeper НЕ трогает задачи с активными
+   (`queued`/`running`) job'ами — они легитимно в работе, не потеряны.
+4. **Per-stage grace.** Разные стадии имеют разное нормальное время (analysis ~8–15 мин
+   vs deploy). Порог застревания настраивается, чтобы не дёргать гейт у задачи, где агент
+   законно работает.
+5. **Restart-safe.** Sweeper — фоновый поток, стартует с приложением, переживает рестарт
+   (как `queue_worker`). Без потери состояния.
+6. **Self-hosting safety.** Sweeper не должен ронять/рестартить прод-контейнер; kill-switch
+   в конфиге для поэтапного раската и аварийного отключения.
+7. **Без шума.** Когда всё синхронно — никаких действий и нотификаций.
+8. **Документация = golden source.** README/architecture, ADR, CHANGELOG обновляются в
+   том же PR.
+
+## 6. Эффект
+- Потерянный webhook больше не = молча застрявшая задача.
+- Ручной heartbeat-watchdog Стрима больше не нужен для ловли зависаний (AC-5 в эпике).
+- Резервная сетка к ORCH-51 при ребилде прода.
+
+## 7. Связи
+- **Дополняет ORCH-51** (потеря webhook при рестарте — буфер; sweeper — реконсиляция).
+- **Дополняет ORCH-36** (если deploy-webhook потеряется — sweeper добьёт deploy→done).
+- **ORCH-1b** — та же философия resilience: транзиентный сбой не убивает задачу.
+- Эпик: звено **ORCH-54** (автономное внедрение). Параллельна ORCH-36 (разные файлы),
+  но `max_concurrency=1` → встанет в очередь.
+
+## 8. Риски (кратко; подробно — 10-tech-risks архитектора)
+- **Гонка sweeper ↔ живой webhook** → двойной запуск. Митигируется atomic claim +
+  active-job guard + grace-период (не конкурировать с задержавшимся webhook).
+- **Spam нотификаций** при персистентно красном гейте на каждом тике. Митигируется:
+  действие/нотификация только на изменении состояния (advance), не на каждый тик.
+- **Нагрузка на Plane API** при опросе каждые N сек. Митигируется интервалом + фильтром
+  по статусам + per-project.
+- **Self-hosting:** sweeper правит инструмент, обслуживающий и другие проекты. Kill-switch
+  обязателен.

docs/work-items/ORCH-053/02-trz.md

@@ -0,0 +1,170 @@
+# ТЗ — ORCH-053: Sweeper потерянных webhook (реконсиляция застрявших стадий)
+
+Work Item ID: ORCH-053
+Базовая ветка: `feature/ORCH-053-sweeper-webhook-stuck-task`
+
+> Это ТЗ фиксирует **конкретные изменения кода/конфига/доки**. Архитектурные развилки
+> (потокобезопасность, точная схема дампинга нотификаций, способ вызова async-обработчиков
+> из sync-потока) фиксирует архитектор в `06-adr/`. Если ТЗ окажется негодным — возврат в
+> Анализ (не комментировать задним числом).
+
+## 0. Живая разведка ПЕРЕД реализацией (обязательна)
+Перед кодом разработчик обязан вживую проверить (как сейчас webhook продвигает стадию):
+- `src/webhooks/gitea.py::handle_ci_status` (success-ветка ~стр.199–217) и `handle_pr`;
+- `src/webhooks/plane.py::handle_issue_updated / handle_status_start / handle_verdict / start_pipeline`;
+- `src/stage_engine.py::advance_stage` (унифицированный путь, `finished_agent=None` = webhook-путь);
+- `src/queue_worker.py` (образец фонового daemon-потока + `threading.Event` + atomic claim);
+- `src/db.py::has_active_job_for_task / claim_next_job / update_task_stage` (`updated_at`).
+
+## 1. Задействованные модули `src/`
+
+| Модуль | Изменение |
+|--------|-----------|
+| `src/reconciler.py` | **НОВЫЙ.** Фоновый sweeper/reconciler (класс + module-singleton, паттерн `queue_worker`). Обе ветки F-1 (gate-side) и F-2 (plane-side). |
+| `src/config.py` | Новые настройки `reconcile_*` (интервал, kill-switch, per-stage grace, plane-poll flag). |
+| `src/main.py` | Старт/стоп reconciler в `lifespan` (после `worker.start()` / перед `worker.stop()`). |
+| `src/stage_engine.py` | Тонкий хелпер `advance_if_gate_passed(...)` (или `reconcile_advance`) — обёртка над `advance_stage(..., finished_agent=None)`, **подавляющая повторный спам нотификаций** при провале гейта (продвижение — переиспользуется как есть). |
+| `src/plane_sync.py` | НОВЫЙ хелпер `list_issues_by_state(project_id, state_uuids) -> list[dict]` (GET issues с пагинацией, фильтр по state). Используется F-2. |
+| `src/webhooks/gitea.py` | F-3: усилить sha→branch резолв в `handle_ci_status` (fallback на БД-поиск task), логировать неразрезолв на уровне INFO (видимость). |
+| `src/webhooks/plane.py` | F-2 переиспользует `handle_issue_updated` / `handle_status_start` / `handle_verdict` **без дублирования** логики (возможно, лёгкий рефактор для вызова из reconciler). |
+| `src/main.py` (API) | F-4 (опц.): расширить `/queue` блоком reconcile-метрик или добавить `GET /reconcile`. |
+
+## 2. F-1 — Gate-side sweeper (реконсиляция по локальной БД)
+
+### Алгоритм одного прохода (`reconcile_gate_once()`)
+```
+для каждой task где stage NOT IN ('done',) :
+    если has_active_job_for_task(task.id):           continue   # в работе — не трогаем
+    если get_qg_for_stage(task.stage) is None:       continue   # created/done — нет гейта
+    grace = grace_for_stage(task.stage)
+    если age(task.updated_at) < grace:               continue   # ещё не «застряла»
+    # источник истины — гейт; путь продвижения — штатный
+    advance_if_gate_passed(task.id, task.stage, task.repo, task.work_item_id, task.branch)
+```
+- **Продвижение** идёт через `stage_engine.advance_stage(task_id, stage, repo, work_item_id,
+  branch, finished_agent=None)` — это **тот же** путь, которым пользуется Plane Approved-webhook
+  (`webhooks/plane._try_advance_stage`). Никакой параллельной логики advance.
+- Для `development` → `advance_stage` прогонит `check_ci_green`; passed → `review` + enqueue
+  `reviewer`. Для `review` → `check_reviewer_verdict` (канонический гейт стадии из
+  `STAGE_TRANSITIONS`, читает `verdict:` из `12-review.md`). Для `testing` → `check_tests_passed`.
+  Для `deploy` → `check_deploy_status`. Для `deploy-staging` → `check_staging_status`
+  (+ merge-gate sub-gate отрабатывает внутри `advance_stage` как обычно).
+- **Стадия `analysis`** (gQG `check_analysis_approved`): это **человеческий** гейт. В
+  `advance_stage` при `finished_agent=None` он трактуется как `approved-via-status` и
+  продвинет задачу — чего при потере именно **Approved**-webhka мы и хотим **только** если
+  Plane реально в статусе Approved. Поэтому **F-1 НЕ реконсилирует `analysis`** (advance
+  для analysis отдаётся F-2, которая сверяется с реальным статусом Plane). Архитектор
+  фиксирует это решение в ADR (защита от ложного продвижения неодобренного BRD).
+
+### Подавление спама нотификаций (`advance_if_gate_passed`)
+- Если гейт **passed** → `advance_stage` продвигает и шлёт штатные нотификации advance.
+- Если гейт **failed** → НЕ повторять `notify_qg_failure`/`plane_notify_qg` на каждом тике.
+  Хелпер вызывает `advance_stage` так, чтобы при провале была **тишина** (лог `INFO`/`DEBUG`),
+  либо реализует продвижение, минуя ветку нотификации провала. Точную форму (флаг в
+  `advance_stage` vs отдельный путь оценки гейта) выбирает архитектор; контракт:
+  **на застрявшей-но-красной задаче sweeper не спамит**.
+
+### Защита от гонки
+- `has_active_job_for_task` + `update_task_stage` обновляет `updated_at` → следующий тик
+  увидит свежий `updated_at` и не сработает повторно.
+- Если в момент тика прилетел живой webhook и поставил job — sweeper увидит активный job и
+  пропустит задачу.
+- `max_concurrency=1`: новый enqueued job встанет в общую очередь (без двойного запуска).
+
+## 3. F-2 — Plane-side reconciler (опрос Plane API)
+
+### Алгоритм одного прохода (`reconcile_plane_once()`)
+```
+для каждого проекта p в projects.PROJECTS:
+    states = get_project_states(p.plane_project_id)
+    for issue in list_issues_by_state(p.plane_project_id,
+                                      [states['in_progress'], states['approved'], states['rejected']]):
+        task = get_task_by_plane_id(issue.id)
+        new_state = issue.state
+        # идемпотентность: пропускаем, если есть активный job (живой webhook вот-вот придёт/в работе)
+        если task and has_active_job_for_task(task.id):  continue
+        # доигрываем потерянный переход ЧЕРЕЗ существующие обработчики plane.py
+        if new_state == in_progress and task is None:        -> handle_status_start(issue_data, p.plane_project_id)
+        elif new_state == approved and task and stage не сдвинут:  -> handle_verdict(issue_data, ..., approved=True)
+        elif new_state == rejected and task and не откатана:       -> handle_verdict(issue_data, ..., approved=False)
+        else: continue   # всё синхронно — тишина
+```
+- **Переиспользовать** `handle_issue_updated`/`handle_status_start`/`handle_verdict` из
+  `webhooks/plane.py`. Они `async` → reconciler (sync-поток) вызывает их через
+  `asyncio.run(...)` либо собственный event loop. Способ — на усмотрение архитектора;
+  **дублировать логику запрещено**.
+- `issue_data` собирается в форму, ожидаемую обработчиками (`{"id", "state": {"id":...},
+  "project", "name", "description_stripped"}`). Недостающие поля (name/description)
+  обработчики сами дотягивают через `fetch_issue_fields` (как сейчас для status-only вебхука).
+- **Grace для F-2:** не реагировать на issue, чей статус сменился совсем недавно (вебхук мог
+  просто задержаться). Источник «давности» — поле времени из Plane (`updated_at`) и/или
+  локальный grace по `tasks.updated_at`. Архитектор фиксирует точный критерий «потерян, а не
+  задержан».
+- **Идемпотентность создания (In Progress без задачи):** `start_pipeline` уже защищён
+  (`handle_status_start` создаёт только если `get_task_by_plane_id` пуст). Гонка sweeper↔webhook
+  на создании: оба пройдут проверку «нет задачи» одновременно → возможен дубль. Требование:
+  использовать тот же claim-механизм / уникальность (как `ensure_unique_work_item_id` +
+  проверка существования под защитой). Архитектор обязан описать atomic-claim на создании в ADR.
+
+### `list_issues_by_state` (новый в `plane_sync.py`)
+- `GET {PLANE_BASE}/workspaces/{WORKSPACE}/projects/{pid}/issues/` с фильтром по state
+  (через query-параметр Plane, либо постфильтрация результата по `issue.state`).
+- Пагинация (`results` + cursor/next) — обойти все страницы.
+- Never-raise: при ошибке API/сети → `[]` + лог `warning` (Plane outage деградирует мягко,
+  не роняет тик).
+
+## 4. F-3 — Усиление sha→branch резолва (`webhooks/gitea.py::handle_ci_status`)
+- Текущая цепочка: `branches[0].name` → `git branch -r --contains <sha>`. Добавить
+  fallback **на БД**: если branch не определён, найти task по `repo` среди активных
+  (`stage='development'`) и, при однозначности, использовать её branch; иначе — оставить
+  неразрезолвленным.
+- Заменить `logger.debug("could not determine branch...")` на `logger.info(...)` (видимость
+  потери). Sweeper (F-1) всё равно подберёт такую задачу — это defense-in-depth, не критпуть.
+- **Не менять** success/failure-семантику гейта.
+
+## 5. Конфигурация (`src/config.py`, env-prefix `ORCH_`)
+
+| Поле | Дефолт | Назначение |
+|------|--------|-----------|
+| `reconcile_enabled` | `True` | глобальный kill-switch sweeper'а (self-hosting safety, поэтапный раскат). |
+| `reconcile_interval_s` | `120` | период фонового прохода (сек). |
+| `reconcile_plane_enabled` | `True` | отдельный флаг для F-2 (опрос Plane API), чтобы можно было гасить только plane-ветку. |
+| `reconcile_grace_default_s` | `600` | дефолтный порог «застревания» по `tasks.updated_at`. |
+| `reconcile_grace_overrides_json` | `""` | JSON-объект per-stage порогов, напр. `{"analysis": 1800, "development": 300, "deploy": 900}`. Невалидный JSON → дефолт (как `agent_timeout_overrides_json`). |
+| `reconcile_notify_unblock` | `True` | слать Telegram при разблокировке (F-4). |
+
+`grace_for_stage(stage)` = override из JSON, иначе `reconcile_grace_default_s`.
+
+## 6. БД
+- **Изменения схемы НЕ требуются** (предпочтительно, по образцу merge-gate ORCH-043).
+  Стуковость определяется по существующим `tasks.updated_at`, `tasks.stage` и таблице `jobs`
+  (`has_active_job_for_task`). `update_task_stage` уже обновляет `updated_at`.
+- Если архитектор сочтёт необходимым анти-дребезг (`tasks.last_reconcile_at`) — допускается
+  идемпотентная миграция через `_ensure_column` (как остальные ALTER в `db.py`). По умолчанию
+  — **без новых колонок**.
+
+## 7. API (опционально, F-4)
+- Расширить `GET /queue` блоком `"reconcile": {...}` (enabled, interval, last_run_ts,
+  unblocked_total, last_unblocked) — по образцу `worker.status()`.
+- ИЛИ добавить `GET /reconcile` с теми же метриками. Выбор — архитектор. Не обязательно для
+  прохождения AC, но крайне желательно для наблюдаемости.
+
+## 8. Новые QG checks
+- **Нет.** Sweeper переиспускает существующие гейты из `QG_CHECKS` через `advance_stage`.
+  Реестр `QG_CHECKS` и `STAGE_TRANSITIONS` не меняются.
+
+## 9. Артефакты pipeline / документация (обязательно в ЭТОМ PR)
+- `docs/architecture/README.md` — раздел про reconciler (компонент + место в resilience-слое).
+- `docs/work-items/ORCH-053/06-adr/ADR-001-*.md` — архитектурное решение (потоки, гонки,
+  async-вызов обработчиков, подавление спама, grace-критерий, atomic-claim на создании).
+- `CHANGELOG.md` — запись `feat: ORCH-053 stuck-task reconciler`.
+- При желании архитектора — global ADR в `docs/architecture/adr/` (сквозной resilience).
+- `docs/operations/INFRA.md` — упомянуть kill-switch `ORCH_RECONCILE_ENABLED` (self-hosting).
+
+## 10. Нефункциональные требования
+- **Never-raise в тике:** исключение в обработке одной задачи/issue не должно ронять весь
+  проход (изолировать try/except на единицу работы, как `queue_worker._drain_once`).
+- **Идемпотентность** — см. §2/§3.
+- **Restart-safe** — daemon-поток + `threading.Event`, чистый `stop()` в `lifespan.finally`.
+- **Тишина при синхронности** — нет действий → нет логов уровня INFO/нотификаций.
+- **Тесты** — см. `04-test-plan.yaml` (моки Plane/Gitea API и QG, без реальной сети).

docs/work-items/ORCH-053/03-acceptance-criteria.md

@@ -0,0 +1,116 @@
+# Acceptance Criteria — ORCH-053
+
+Work Item ID: ORCH-053
+Формат: каждый критерий имеет явное условие PASS/FAIL. Критерий считается выполненным,
+только если соответствующие тесты из `04-test-plan.yaml` зелёные.
+
+## AC-1 — Реконсиляция застрявшей стадии (gate-side, F-1)
+- **Дано:** task на стадии `development`, без активных job'ов, `updated_at` старше grace,
+  гейт `check_ci_green` для её branch — зелёный (CI прошёл, но webhook потерян, как ORCH-044).
+- **Когда:** срабатывает фоновый проход `reconcile_gate_once()`.
+- **PASS:** задача продвинута `development → review`, заenqueuen `reviewer` (через
+  `advance_stage(..., finished_agent=None)`), `tasks.updated_at` обновлён.
+- **FAIL:** задача осталась на `development`, либо продвижение пошло параллельной логикой
+  (не через `advance_stage`).
+
+## AC-2 — Источник истины — гейт, не событие
+- **PASS:** продвижение в F-1 выполняется исключительно вызовом
+  `stage_engine.advance_stage(...)`; в `reconciler.py` НЕТ собственного
+  `update_task_stage`+`enqueue_job` для advance стадии (только переиспользование).
+- **FAIL:** в reconciler продублирована логика advance/rollback.
+
+## AC-3 — Идемпотентность: sweeper не трогает задачи с активным job
+- **Дано:** task с `queued` или `running` job (`has_active_job_for_task == True`).
+- **PASS:** sweeper пропускает задачу — ни advance, ни enqueue, ни нотификации.
+- **FAIL:** sweeper дёргает гейт / создаёт второй job для такой задачи.
+
+## AC-4 — Идемпотентность: задержавшийся/дублированный webhook + sweeper не двоят
+- **Дано:** issue в Plane = In Progress, задержавшийся Plane-webhook ещё не обработан.
+- **Когда:** F-2 реконсилирует И затем (или одновременно) приходит реальный webhook.
+- **PASS:** создаётся **ровно одна** задача (один task row, один branch/worktree, один
+  стартовый analyst-job). Повторный путь видит существующую задачу/активный job и не двоит.
+- **FAIL:** созданы две задачи / два стартовых job / два worktree на один `plane_id`.
+
+## AC-5 — Per-stage grace соблюдается
+- **Дано:** task на стадии, чей `updated_at` свежее grace этой стадии (агент легитимно
+  работает, напр. analysis 8 мин при grace 1800с).
+- **PASS:** sweeper НЕ трогает задачу (не дёргает гейт).
+- **PASS (граница):** как только `age(updated_at) >= grace_for_stage(stage)` и нет активного
+  job — задача становится кандидатом.
+- **FAIL:** sweeper дёргает гейт у задачи в пределах grace.
+
+## AC-6 — Plane In Progress без задачи → запуск (F-2)
+- **Дано:** issue в Plane = In Progress (статус сменён руками, webhook потерян), в `tasks`
+  задачи нет, прошёл grace.
+- **PASS:** sweeper вызывает `handle_status_start`/`start_pipeline` → задача создана,
+  заenqueuen analyst — как если бы пришёл webhook.
+- **FAIL:** задача не создана; либо создана дублирующей логикой, минуя `handle_status_start`.
+
+## AC-7 — Plane Approved без advance → advance (F-2)
+- **Дано:** issue = Approved, task существует и стадия НЕ сдвинута, нет активного job, прошёл grace.
+- **PASS:** sweeper вызывает `handle_verdict(approved=True)` → штатный advance.
+- **FAIL:** нет advance, либо advance вне `handle_verdict`/`advance_stage`.
+
+## AC-8 — Plane Rejected без rollback → rollback (F-2)
+- **Дано:** issue = Rejected, task существует и не откатана, нет активного job, прошёл grace.
+- **PASS:** sweeper вызывает `handle_verdict(approved=False)` → штатный rollback на предыдущую стадию.
+- **FAIL:** нет rollback, либо rollback вне штатного пути.
+
+## AC-9 — Нет спама нотификаций на красном гейте
+- **Дано:** застрявшая задача, у которой гейт стабильно **красный** (напр. CI failure),
+  нет активного job, прошёл grace.
+- **Когда:** sweeper проходит несколько тиков подряд.
+- **PASS:** `notify_qg_failure`/Telegram НЕ вызывается на каждом тике (≤1 раз / без
+  повторов); задача не продвигается.
+- **FAIL:** на каждом тике летит нотификация о провале гейта.
+
+## AC-10 — Тишина при синхронности
+- **Дано:** все задачи синхронны (нет застрявших; статусы Plane совпадают с локальными).
+- **PASS:** проход не выполняет действий, не пишет INFO-логов о разблокировке, не шлёт нотификаций.
+- **FAIL:** sweeper генерирует шум/действия при полностью синхронном состоянии.
+
+## AC-11 — Restart-safe фоновый поток
+- **PASS:** reconciler стартует в `main.lifespan` (daemon-поток), корректно
+  останавливается (`stop()`), переживает рестарт сервиса без потери (нет состояния в памяти,
+  критичного для корректности; всё перечитывается из БД/Plane).
+- **FAIL:** reconciler не стартует автоматически, висит при shutdown, или дублирует действия
+  после рестарта.
+
+## AC-12 — Наблюдаемость разблокировки (F-4)
+- **Дано:** sweeper разблокировал застрявшую задачу.
+- **PASS:** в лог пишется явная строка вида
+  `reconciler: <work_item_id> <stage> разблокирована (потерян webhook)`;
+  при `reconcile_notify_unblock=True` — Telegram-уведомление.
+- **FAIL:** разблокировка происходит молча (невозможно измерить частоту дыры).
+
+## AC-13 — Kill-switch
+- **Дано:** `reconcile_enabled=False` (env `ORCH_RECONCILE_ENABLED=false`).
+- **PASS:** фоновый поток reconciler не выполняет проходов (или не стартует); система
+  работает как до ORCH-053. `reconcile_plane_enabled=False` гасит только F-2, F-1 работает.
+- **FAIL:** sweeper активен при выключенном флаге.
+
+## AC-14 — Усиленный sha→branch резолв (F-3)
+- **Дано:** Gitea CI-status webhook без `branches` и со `sha`, не разрезолвившимся
+  через `git branch -r --contains`.
+- **PASS:** добавленный БД-fallback однозначно находит task (по repo + активной
+  development-стадии) и продвигает; неоднозначность логируется на уровне INFO; существующая
+  success/failure-семантика гейта не изменена.
+- **FAIL:** регресс существующего резолва, либо ложный матч при неоднозначности.
+
+## AC-15 — Never-raise в тике
+- **Дано:** обработка одной задачи/issue кидает исключение (битые данные, ошибка API).
+- **PASS:** исключение изолировано, проход продолжает остальные задачи; поток не падает.
+- **FAIL:** одно исключение роняет весь проход / поток reconciler.
+
+## AC-16 — F-1 не продвигает analysis по локальному состоянию
+- **Дано:** task на `analysis`, артефакты на диске присутствуют, но Plane НЕ в статусе
+  Approved (BRD не одобрен человеком), нет активного job, прошёл grace.
+- **PASS:** F-1 (gate-side) НЕ продвигает analysis→architecture (advance стадии analysis
+  отдан F-2, которая сверяется с реальным статусом Plane Approved).
+- **FAIL:** sweeper автопродвинул неодобренный BRD.
+
+## AC-17 — Документация обновлена (golden source)
+- **PASS:** в PR обновлены `docs/architecture/README.md`, заведён
+  `docs/work-items/ORCH-053/06-adr/ADR-001-*.md`, обновлён `CHANGELOG.md`, упомянут
+  kill-switch в `docs/operations/INFRA.md`.
+- **FAIL:** код изменён, документация — нет (Reviewer обязан вернуть REQUEST_CHANGES).

docs/work-items/ORCH-053/04-test-plan.yaml

@@ -0,0 +1,200 @@
+work_item: ORCH-053
+description: >
+  Тесты sweeper/reconciler потерянных webhook. Вся сеть (Plane API, Gitea API, QG)
+  мокируется (monkeypatch), как в существующих tests/. Telegram заглушён autouse-фикстурой
+  conftest. Используется временная SQLite БД (ORCH_DB_PATH / фикстура setup_db по образцу
+  test_webhooks.py / test_queue.py). Реальные агенты/CLI не запускаются.
+
+tests:
+  # ---- F-1: gate-side sweeper -------------------------------------------------
+  - id: TC-01
+    type: unit
+    description: >
+      reconcile_gate_once продвигает застрявшую development-задачу: нет активных job,
+      updated_at старше grace, check_ci_green замокан в (True, "CI green") →
+      advance_stage вызван, стадия стала review, заenqueuen reviewer.
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: >
+      Источник истины — гейт: reconciler НЕ содержит собственного update_task_stage/
+      enqueue_job для advance — продвижение идёт строго через stage_engine.advance_stage
+      (проверка через мок/spy advance_stage, вызван с finished_agent=None).
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: >
+      Задача с активным job (has_active_job_for_task=True) пропускается: гейт не дёргается,
+      advance_stage не вызывается, нотификаций нет.
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: >
+      Per-stage grace: задача с updated_at свежее grace своей стадии не трогается;
+      ровно на границе age>=grace и без активного job — становится кандидатом.
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: >
+      grace_for_stage читает reconcile_grace_overrides_json (per-stage), при отсутствии
+      ключа — reconcile_grace_default_s; невалидный JSON → дефолт, не падает.
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: >
+      Нет спама: при стабильно красном гейте (check_ci_green=(False,...)) несколько проходов
+      подряд НЕ вызывают notify_qg_failure повторно на каждом тике; задача не продвигается.
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: >
+      Тишина при синхронности: когда все задачи done / имеют активный job / в пределах grace —
+      проход не вызывает advance_stage и не пишет INFO-логов о разблокировке.
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: >
+      AC-16: задача на analysis с артефактами на диске, но Plane НЕ Approved — F-1
+      (reconcile_gate_once) НЕ продвигает analysis→architecture.
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: >
+      Never-raise: если обработка одной задачи кидает исключение (advance_stage замокан на
+      raise), проход ловит его и продолжает обрабатывать остальные задачи; поток не падает.
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-10
+    type: unit
+    description: >
+      Kill-switch: при reconcile_enabled=False reconcile_gate_once/plane_once не выполняют
+      действий (no-op); при reconcile_plane_enabled=False гасится только F-2.
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  # ---- F-2: plane-side reconciler --------------------------------------------
+  - id: TC-11
+    type: unit
+    description: >
+      In Progress без задачи: list_issues_by_state возвращает issue в In Progress, в БД задачи
+      нет → reconcile_plane_once вызывает handle_status_start (мок) ровно один раз с корректным
+      issue_data (id/state/project).
+    module: tests/test_reconciler_plane.py
+    expected: PASS
+
+  - id: TC-12
+    type: unit
+    description: >
+      Approved без advance: issue=Approved, task существует, нет активного job → вызван
+      handle_verdict(approved=True) (мок) один раз.
+    module: tests/test_reconciler_plane.py
+    expected: PASS
+
+  - id: TC-13
+    type: unit
+    description: >
+      Rejected без rollback: issue=Rejected, task существует, нет активного job → вызван
+      handle_verdict(approved=False) (мок) один раз.
+    module: tests/test_reconciler_plane.py
+    expected: PASS
+
+  - id: TC-14
+    type: unit
+    description: >
+      Идемпотентность F-2: issue в требующем-действия статусе, но у task есть активный job →
+      handle_status_start/handle_verdict НЕ вызываются (живой webhook в работе).
+    module: tests/test_reconciler_plane.py
+    expected: PASS
+
+  - id: TC-15
+    type: integration
+    description: >
+      AC-4 анти-дубль на создании: одновременная реконсиляция + обработка реального In Progress
+      webhook для одного plane_id создают ровно ОДИН task row и один стартовый analyst-job
+      (реальная временная БД, мок Gitea/Plane сетевых вызовов).
+    module: tests/test_reconciler_plane.py
+    expected: PASS
+
+  - id: TC-16
+    type: unit
+    description: >
+      list_issues_by_state never-raise: при ошибке Plane API (httpx бросает / non-2xx) →
+      возвращает [], тик не падает; при успехе — обходит пагинацию и фильтрует по state.
+    module: tests/test_reconciler_plane.py
+    expected: PASS
+
+  - id: TC-17
+    type: unit
+    description: >
+      F-2 опрашивает все проекты реестра projects.PROJECTS и резолвит state-uuid через
+      get_project_states per-project (enduro + orchestrator), не хардкодит uuid.
+    module: tests/test_reconciler_plane.py
+    expected: PASS
+
+  # ---- F-3: sha→branch резолв -------------------------------------------------
+  - id: TC-18
+    type: unit
+    description: >
+      handle_ci_status: при отсутствии branches и неразрезолвленном sha срабатывает БД-fallback
+      и однозначно находит единственную development-задачу repo; продвижение идёт штатно.
+    module: tests/test_gitea_sha_resolve.py
+    expected: PASS
+
+  - id: TC-19
+    type: unit
+    description: >
+      handle_ci_status: при неоднозначности (несколько development-задач repo) БД-fallback не
+      делает ложный матч (branch остаётся неразрезолвленным, лог INFO), success/failure-семантика
+      гейта не изменена.
+    module: tests/test_gitea_sha_resolve.py
+    expected: PASS
+
+  # ---- F-4 / интеграция фонового потока --------------------------------------
+  - id: TC-20
+    type: unit
+    description: >
+      Наблюдаемость: при разблокировке reconciler пишет явную лог-строку с work_item_id и
+      stage; при reconcile_notify_unblock=True вызывается send_telegram (замокан).
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-21
+    type: integration
+    description: >
+      Restart-safe поток: Reconciler.start() поднимает daemon-поток, stop() завершает его
+      в пределах таймаута; повторный start идемпотентен (не плодит второй поток).
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-22
+    type: unit
+    description: >
+      Конфиг: новые поля reconcile_* присутствуют в Settings с заявленными дефолтами и
+      читаются из env с префиксом ORCH_ (по образцу tests/test_config.py).
+    module: tests/test_config.py
+    expected: PASS
+
+  - id: TC-23
+    type: unit
+    description: >
+      Регресс реестров: STAGE_TRANSITIONS и QG_CHECKS не изменены ORCH-053
+      (snapshot-тест проходит как раньше).
+    module: tests/test_qg_registry_snapshot.py
+    expected: PASS

docs/work-items/ORCH-053/06-adr/ADR-001-stuck-task-reconciler.md

@@ -0,0 +1,221 @@
+# ADR-001: Sweeper/reconciler потерянных webhook (реконсиляция застрявших стадий)
+
+- **Статус:** Proposed
+- **Дата:** 2026-06-06
+- **Задача:** ORCH-053
+- **Сквозной ADR:** `docs/architecture/adr/adr-0007-reconciler.md`
+- **Связи:** adr-0001 (реестр проектов), adr-0002 (очередь / `available_at`),
+  adr-0003 (условный staging-гейт — образец условности), adr-0006 (merge-gate как
+  под-гейт ребра), ORCH-5 (events de-dup), ORCH-045 (`ci_poll`).
+
+## Контекст
+
+Продвижение задач по конвейеру завязано **исключительно** на входящие webhook
+(Plane status / Gitea CI/PR). Потерянное событие (502 на ребилдящемся инстансе,
+Plane/Gitea не ретраят, `sha→branch` не разрезолвился) → источник истины (Plane /
+зелёный CI) изменился, а задача в оркестраторе застряла молча (живой инцидент
+ORCH-044). Ни один существующий механизм resilience (`requeue_running_jobs`,
+orphan-recovery, events de-dup, `ci_poll`) не реконсилирует рассинхрон
+**«источник истины ≠ стадия задачи»** — все они работают на уровне jobs/agent_runs,
+а не stage-перехода.
+
+ТЗ (`02-trz.md`) фиксирует объём; данный ADR фиксирует архитектурные развилки,
+явно отданные архитектору: (1) потокобезопасность и подавление спама нотификаций,
+(2) способ вызова `async`-обработчиков `plane.py` из sync-потока, (3) atomic-claim
+на создании задачи (анти-дубль), (4) критерий «потерян, а не задержан» (grace),
+(5) отсутствие изменений схемы БД.
+
+## Решение
+
+### 1. Компонент: `src/reconciler.py` — фоновый daemon-поток
+
+Новый модуль по образцу `queue_worker.py`: класс `Reconciler` + module-singleton
+`reconciler`. Plain `threading.Thread(daemon=True)` + `threading.Event` для
+остановки. Стартует в `main.lifespan` **после** `worker.start()`, останавливается в
+`finally` **перед** `worker.stop()`. Цикл:
+
+```
+while not stop:
+    try:
+        if settings.reconcile_enabled:
+            reconcile_gate_once()                       # F-1
+            if settings.reconcile_plane_enabled:
+                reconcile_plane_once()                  # F-2
+    except Exception: log.error(...)                    # outer never-raise
+    stop.wait(settings.reconcile_interval_s)
+```
+
+`start()` идемпотентен (как `QueueWorker.start`: если поток жив — no-op), что
+покрывает AC-11 (повторный start не плодит второй поток). Никакого критичного
+состояния в памяти — всё перечитывается из БД/Plane на каждом тике; метрики
+наблюдаемости (`last_run_ts`, `unblocked_total`) — best-effort, теряются при
+рестарте (AC-11 это явно допускает).
+
+### 2. Источник истины — гейт, не событие. Продвижение строго через `advance_stage`
+
+F-1 НЕ дублирует логику advance. Вводится тонкий хелпер в `stage_engine.py`:
+
+```python
+def advance_if_gate_passed(task_id, stage, repo, work_item_id, branch) -> AdvanceResult | None
+```
+
+Алгоритм:
+1. `stage == "analysis"` → немедленный возврат `None` (см. §6, AC-16).
+2. `qg = get_qg_for_stage(stage)`; если `None` (created/done) → возврат `None`.
+3. **Read-only пред-оценка гейта** тем же диспетчером, что использует webhook-путь:
+   `passed, reason = _run_qg(qg, repo, work_item_id, branch)`.
+4. **passed** → вызвать `advance_stage(task_id, stage, repo, work_item_id, branch,
+   finished_agent=None)` — это **тот же** путь, которым продвигает Plane
+   Approved-webhook (`webhooks/plane._try_advance_stage`). Он повторно прогонит
+   гейт (гейты идемпотентны/read-only), продвинет стадию, отправит **штатные**
+   advance-нотификации и поставит следующего агента.
+5. **not passed** → **тишина**: `logger.debug(...)`, возврат `None`. Никаких
+   `notify_qg_failure` / `plane_notify_qg`.
+
+Это даёт оба контракта одновременно:
+- **AC-2 / TC-02:** в `reconciler.py` нет собственного `update_task_stage` +
+  `enqueue_job` для advance — продвижение исключительно через `advance_stage(...,
+  finished_agent=None)`.
+- **AC-9 / TC-06:** на застрявшей-но-красной задаче `advance_stage` **не
+  вызывается вовсе**, поэтому ветка нотификации провала (`agent is None` →
+  `notify_qg_failure`+`plane_notify_qg`, `stage_engine.py:228-230`) не
+  срабатывает ни на одном тике. Спам структурно невозможен.
+
+**Подавление спама = «не вызывать advance_stage на красном гейте»**, а не флаг
+внутри `advance_stage`. Это сохраняет унифицированный критический путь
+(`advance_stage`) **без изменений** — минимальный blast-radius для self-hosting.
+
+> **Цена (осознанная):** на «зелёной» задаче гейт оценивается дважды (пред-оценка
+> в хелпере + повтор внутри `advance_stage`). Гейты — чистые read-only проверки
+> (`check_ci_green`, `check_*_status` из `12/13/14/15`), на реально-застрявшей-но-
+> готовой задаче (целевой кейс ORCH-044) возвращаются быстро (CI уже зелёный →
+> `ci_poll` отдаёт результат на первой итерации). Двойная оценка приемлема ради
+> неизменности `advance_stage`.
+
+#### Отклонённая альтернатива: флаг `suppress_qg_failure_notify` в `advance_stage`
+Однократная оценка гейта, но изменяет сигнатуру и поведение общего
+критического пути (риск для self-hosting, обслуживающего все проекты). Отклонено
+в пользу неизменности `advance_stage` (Option A выше).
+
+### 3. F-2: вызов `async`-обработчиков `plane.py` из sync-потока
+
+Reconciler — sync daemon-поток; `handle_status_start` / `handle_verdict` —
+`async`. Решение: вызывать через **`asyncio.run(coro)`** на каждую единицу работы
+внутри per-issue `try/except`. `asyncio.run` создаёт свежий event loop на вызов,
+что необходимо, т.к. `handle_verdict → _try_advance_stage` использует
+`asyncio.to_thread` (требует running loop). Логику **не дублировать** —
+переиспользуются ровно `handle_status_start` / `handle_verdict` /
+`list_issues_by_state`.
+
+`issue_data` собирается в форму, ожидаемую обработчиками (`{"id", "state":{"id":..},
+"project", "name", "description_stripped"}`); недостающие name/description
+обработчики сами дотянут через `fetch_issue_fields` (как для status-only webhook).
+
+### 4. Идемпотентность создания (анти-дубль, AC-4) — atomic-claim в БД
+
+Гонка: F-2 видит `In Progress` + нет задачи; одновременно реальный webhook тоже
+видит `In Progress` + нет задачи → оба проходят `get_task_by_plane_id() is None`
+→ два `start_pipeline` → два task-row / branch / worktree / стартовых analyst-job
+(events de-dup тут НЕ помогает: reconciler — не webhook-доставка).
+
+Решение: **atomic-claim создания, защищённый process-wide `threading.Lock`**.
+Новый хелпер `db.create_task_atomic(plane_id, ...)` выполняет
+`SELECT-exists → INSERT` под module-level `Lock`, возвращая `(row, created: bool)`:
+только победитель (`created=True`) продолжает branch/docs/analyst; проигравший
+видит существующую задачу и выходит. `start_pipeline` рефакторится так, чтобы
+**первым** DB-действием был этот claim; reconciler идёт тем же путём через
+`handle_status_start` → `start_pipeline`.
+
+**Обоснование выбора Lock, а не UNIQUE-индекса:**
+- Прод — **один процесс** uvicorn на одну БД (staging/prod изолированы своими БД);
+  webhook исполняется в asyncio-треде uvicorn, reconciler — в своём треде того же
+  процесса → `threading.Lock` покрывает обе стороны гонки.
+- **Без миграции схемы** (соответствует §6 ТЗ и образцу merge-gate ORCH-043).
+  `CREATE UNIQUE INDEX` на `tasks.plane_id` рискует упасть на проде, если там уже
+  существуют дубли `plane_id` (исторические) — а проверить это вживую нельзя.
+- Дешёвый fast-path `get_task_by_plane_id` сохраняется до claim.
+
+> **Граница применимости:** гарантия верна для single-process деплоя (текущая
+> топология). Многопроцессный запуск (`uvicorn --workers N`) потребовал бы
+> DB-native UNIQUE-индекса — задокументировано как будущее упрочнение в
+> `08-data-requirements.md`. Очередь (`queue_worker`) уже опирается на ту же
+> single-process-singleton модель, так что допущение не новое.
+
+### 5. Анти-гонка с живым webhook (AC-3) — active-job guard + grace
+
+- **Active-job guard:** `has_active_job_for_task(task.id) == True` → задача
+  легитимно в работе или живой webhook только что поставил job → **skip** (ни
+  пред-оценки гейта, ни advance, ни нотификаций). И в F-1, и в F-2.
+- **Самозатухание повторов:** `advance_stage → update_task_stage` обновляет
+  `tasks.updated_at` → следующий тик увидит свежий `updated_at` и не сработает
+  повторно (grace).
+- `max_concurrency=1`: новый enqueued job встаёт в общую очередь — двойного
+  запуска нет (atomic `claim_next_job`).
+
+### 6. F-1 НЕ реконсилирует `analysis` (AC-16)
+
+Гейт `check_analysis_approved` — **человеческий**. В `advance_stage` при
+`finished_agent=None` он трактуется как `approved-via-status` и продвинул бы
+задачу. Но при потере именно **Approved**-webhka продвигать analysis допустимо
+**только** если Plane реально в статусе Approved — этого локальная БД не знает.
+Поэтому advance стадии `analysis` отдан **F-2** (сверяется с реальным статусом
+Plane). `advance_if_gate_passed` для `stage == "analysis"` — ранний возврат
+`None`. Защита от автопродвижения неодобренного человеком BRD.
+
+### 7. Grace: критерий «потерян, а не задержан»
+
+- **F-1:** кандидат, если `has_active_job_for_task == False` **и**
+  `age(tasks.updated_at) >= grace_for_stage(stage)`.
+  `grace_for_stage(stage)` = per-stage override из `reconcile_grace_overrides_json`,
+  иначе `reconcile_grace_default_s`. Невалидный JSON → дефолт (паттерн
+  `agent_timeout_overrides_json`, never-raise).
+- **F-2:** источник «давности» — поле `updated_at` **issue из Plane** (когда статус
+  реально сменился). Реагировать только если `age(issue.updated_at) >=
+  reconcile_grace_default_s` — отсекает просто задержавшийся webhook. Для
+  существующей задачи дополнительно требуется отсутствие активного job.
+
+### 8. F-3: усиление `sha→branch` в `handle_ci_status`
+
+При неразрезолвленном branch (нет `branches`, `git branch -r --contains` пуст) —
+fallback на БД: найти task'и repo со `stage='development'`; при **однозначности**
+(ровно одна) использовать её branch; при неоднозначности — оставить
+неразрезолвленным + `logger.info`. `logger.debug → logger.info` для видимости.
+Success/failure-семантика гейта не меняется. Defense-in-depth: F-1 всё равно
+подберёт такую задачу.
+
+### 9. БД и реестры — без изменений
+
+- Схема **не меняется** (§6 ТЗ). Стуковость — по `tasks.updated_at`/`tasks.stage`
+  + `has_active_job_for_task`. Анти-дребезг колонкой `last_reconcile_at` **не
+  нужен**: на красном гейте действий/нотификаций нет вовсе (§2), а после advance
+  `updated_at` обновляется → повтор невозможен.
+- `STAGE_TRANSITIONS` и `QG_CHECKS` **не меняются** (AC / TC-23). Новых QG нет.
+
+### 10. Наблюдаемость (F-4)
+
+- При **разблокировке** (произошёл advance) — явная лог-строка
+  `reconciler: <work_item_id> <stage> разблокирована (потерян webhook)`; при
+  `reconcile_notify_unblock=True` — `send_telegram(...)`. Только на изменении
+  состояния, не на каждый тик (AC-12, не конфликтует с AC-9/AC-10).
+- `/queue` расширяется блоком `"reconcile": {enabled, plane_enabled, interval,
+  last_run_ts, unblocked_total, last_unblocked}` по образцу `worker.status()`.
+
+## Альтернативы (сводно)
+- **Флаг подавления нотификаций в `advance_stage`** — отклонён (§2): изменяет общий
+  критический путь.
+- **UNIQUE-индекс на `tasks.plane_id`** — отклонён как primary (§4): риск падения
+  миграции на проде; задокументирован как будущее упрочнение для multi-process.
+- **Отдельная стадия/QG для реконсиляции** — вне объёма; нарушило бы «источник
+  истины — существующий гейт».
+- **Реконсиляция analysis по локальным артефактам** — отклонена (§6): риск
+  автопродвижения неодобренного BRD.
+
+## Последствия
+- Потерянный webhook больше не = молча застрявшая задача; ручной heartbeat-watchdog
+  Стрима не нужен; резервная сетка к ORCH-51/ORCH-36.
+- Плата: фоновый поток + периодический опрос Plane API (нагрузка — митигируется
+  интервалом + фильтром по статусам + per-project); двойная оценка гейта на зелёной
+  задаче; анти-дубль на создании опирается на single-process-допущение.
+- Self-hosting: kill-switch `reconcile_enabled` обязателен; reconciler не
+  рестартит/не роняет прод-контейнер; раскат поэтапный (флаги).
+- Сквозной resilience-механизм → сопровождается global `adr-0007`.

docs/work-items/ORCH-053/07-infra-requirements.md

@@ -0,0 +1,45 @@
+# 07 — Требования к инфраструктуре — ORCH-053
+
+Work Item ID: ORCH-053
+
+## Топология
+**Без изменений.** Новых контейнеров/портов/сервисов нет. Reconciler — фоновый
+daemon-поток **внутри** существующего процесса orchestrator (как `queue_worker`).
+Стартует/останавливается в `main.lifespan`. Деплой ORCH-053 — строго через
+staging-гейт (8501) перед прод-деплоем (self-hosting, см. `docs/operations/INFRA.md`).
+
+## Новые переменные окружения (`.env` / `.env.staging` на хосте, префикс `ORCH_`)
+
+| Env | Поле `Settings` | Дефолт | Назначение |
+|-----|-----------------|--------|-----------|
+| `ORCH_RECONCILE_ENABLED` | `reconcile_enabled` | `true` | **Kill-switch** всего sweeper'а (self-hosting safety, поэтапный раскат, аварийное отключение). |
+| `ORCH_RECONCILE_INTERVAL_S` | `reconcile_interval_s` | `120` | Период фонового прохода (сек). |
+| `ORCH_RECONCILE_PLANE_ENABLED` | `reconcile_plane_enabled` | `true` | Отдельный флаг F-2 (опрос Plane API); `false` гасит только plane-ветку, F-1 работает. |
+| `ORCH_RECONCILE_GRACE_DEFAULT_S` | `reconcile_grace_default_s` | `600` | Дефолтный порог «застревания» по `tasks.updated_at` / `issue.updated_at`. |
+| `ORCH_RECONCILE_GRACE_OVERRIDES_JSON` | `reconcile_grace_overrides_json` | `""` | Per-stage пороги, напр. `{"analysis":1800,"development":300,"deploy":900}`. Невалидный JSON → дефолт (never-raise). |
+| `ORCH_RECONCILE_NOTIFY_UNBLOCK` | `reconcile_notify_unblock` | `true` | Telegram при разблокировке (F-4). |
+
+Секреты не добавляются. `.env.example` (канон) обновляется в PR реализации.
+
+## Нагрузка / сеть
+- **Plane API (F-2):** GET issues per-project каждые `reconcile_interval_s`, с
+  фильтром по статусам (In Progress / Approved / Rejected) и пагинацией. Митигация
+  нагрузки — интервал (120с), фильтр, per-project, never-raise (Plane outage →
+  `[]`, тик не падает). `get_project_states` уже кэширует state-uuid per-project.
+- **Gitea API (F-1):** только косвенно — внутри переоценки гейтов (`check_ci_green`
+  и т.п.), которые и так вызываются webhook-путём. Дополнительных постоянных
+  вызовов reconciler не вносит сверх момента реальной разблокировки.
+- **CPU/RAM:** один спящий daemon-поток; всплеск только при наличии застрявших
+  задач.
+
+## Self-hosting
+- Reconciler **не** рестартит/не роняет прод-контейнер `orchestrator` (8500),
+  обслуживающий все проекты с общей БД.
+- `docs/operations/INFRA.md` дополняется упоминанием kill-switch
+  `ORCH_RECONCILE_ENABLED` (выполняется в PR реализации, §9 ТЗ).
+- Раскат: при первом деплое допустимо стартовать с `ORCH_RECONCILE_PLANE_ENABLED=false`
+  (только F-1, минимальный риск), затем включить F-2.
+
+## Конфиги/деплой
+Дополнительных томов, портов, healthcheck'ов, изменений `docker-compose`/Dockerfile
+**не требуется**.

docs/work-items/ORCH-053/08-data-requirements.md

@@ -0,0 +1,38 @@
+# 08 — Требования к данным / схеме БД — ORCH-053
+
+Work Item ID: ORCH-053
+
+## Изменения схемы: НЕТ
+
+Реконсиляция строится исключительно на существующих структурах (по образцу
+merge-gate ORCH-043 — «без новых колонок»):
+
+| Структура | Использование reconciler |
+|-----------|--------------------------|
+| `tasks.stage` | Кандидаты F-1: `stage NOT IN ('done')`; `created`/`analysis` отфильтровываются (нет QG / человеческий гейт). |
+| `tasks.updated_at` | Критерий «застряла»: `age(updated_at) ≥ grace_for_stage(stage)`. `update_task_stage` уже штампует `updated_at` → самозатухание повторов. |
+| `tasks.repo`, `tasks.branch`, `tasks.work_item_id`, `tasks.plane_id` | Аргументы `advance_stage` / резолв задачи. |
+| `jobs` (`has_active_job_for_task`) | Active-job guard (AC-3): задача с `queued`/`running` job не трогается. |
+
+## Анти-дребезг (`last_reconcile_at`): НЕ вводится
+На красном гейте reconciler не делает ни advance, ни нотификаций (см. ADR-001 §2),
+поэтому спама нет структурно; после успешного advance обновляется `updated_at` →
+повтор невозможен. Дополнительная колонка для дебаунса не нужна.
+
+## Идемпотентность создания (анти-дубль, AC-4)
+Гонка reconciler↔webhook на создании задачи закрывается **process-wide
+`threading.Lock`** вокруг `SELECT-exists → INSERT` (новый хелпер
+`db.create_task_atomic`), **без** изменения схемы. Гарантия верна для текущей
+**single-process** топологии (один uvicorn на одну БД; staging/prod изолированы) —
+тот же допущение, что у очереди `queue_worker` (ORCH-1).
+
+### Будущее упрочнение (вне объёма ORCH-053)
+Для multi-process деплоя (`uvicorn --workers N`) потребуется DB-native гарантия:
+частичный UNIQUE-индекс `CREATE UNIQUE INDEX ... ON tasks(plane_id) WHERE plane_id
+IS NOT NULL` (паттерн `idx_events_delivery`) + `INSERT OR IGNORE` claim. Не вводим
+сейчас: миграция может упасть на проде при наличии исторических дублей `plane_id`
+(проверить вживую нельзя); требует отдельной задачи с аудитом данных.
+
+## Миграции
+Не требуются. Если в будущем понадобится колонка — только идемпотентный
+`_ensure_column` (как все ALTER в `src/db.py`), безопасный на живой прод-БД.

docs/work-items/ORCH-053/10-tech-risks.md

@@ -0,0 +1,27 @@
+# 10 — Технические риски — ORCH-053
+
+Work Item ID: ORCH-053
+Severity: 🔴 high / 🟡 medium / 🟢 low
+
+| # | Риск | Sev | Митигация (где зафиксировано) |
+|---|------|-----|-------------------------------|
+| R-1 | **Гонка reconciler↔живой webhook → двойная задача** (оба видят «нет задачи» на `In Progress`). | 🔴 | Atomic-claim `db.create_task_atomic` под process-wide `threading.Lock` (ADR-001 §4, 08-data). AC-4 / TC-15. |
+| R-2 | **Двойной запуск агента** на стадии (reconciler дёргает гейт у задачи в работе). | 🔴 | `has_active_job_for_task` guard + `max_concurrency=1` + atomic `claim_next_job`; `update_task_stage` обновляет `updated_at` (ADR-001 §5). AC-3 / TC-03. |
+| R-3 | **Спам нотификаций** на стабильно красном гейте каждый тик. | 🔴 | «Не вызывать `advance_stage` на красном» → ветка `notify_qg_failure` не достигается (ADR-001 §2). AC-9 / TC-06. |
+| R-4 | **Автопродвижение неодобренного BRD** (F-1 продвинул `analysis` без Approved в Plane). | 🔴 | F-1 не реконсилирует `analysis`; advance стадии — только F-2 по реальному статусу Plane (ADR-001 §6). AC-16 / TC-08. |
+| R-5 | **Дублирование логики advance/rollback** в reconciler (расхождение с webhook-путём со временем). | 🟡 | Продвижение строго через `advance_stage(..., finished_agent=None)`; F-2 — через `handle_*` из `plane.py`; своего `update_task_stage`/`enqueue_job` для advance нет (ADR-001 §2-3). AC-2 / TC-02. |
+| R-6 | **Падение тика из-за одной битой задачи/issue** (битые данные, ошибка API). | 🟡 | Per-task / per-issue `try/except` + outer `try/except` в `_run` (паттерн `_drain_once`). AC-15 / TC-09. `list_issues_by_state` never-raise → `[]`. TC-16. |
+| R-7 | **Нагрузка/недоступность Plane API** при опросе каждые N сек. | 🟡 | Интервал 120с + фильтр по статусам + per-project + кэш `get_project_states`; never-raise → мягкая деградация (ADR-001 §3, 07-infra). |
+| R-8 | **`asyncio.run` из sync-потока** (event loop конфликты, зависание). | 🟡 | Свежий loop на единицу работы; внутри per-issue try/except; нет вложенного running loop (reconciler — не async). ADR-001 §3. |
+| R-9 | **Self-hosting: reconciler меняет инструмент всех проектов** / нежелательное срабатывание на проде. | 🔴 | Kill-switch `reconcile_enabled`; раздельный `reconcile_plane_enabled`; деплой через staging-гейт; не рестартит прод. ADR-001 §1, 07-infra. AC-13 / TC-10. |
+| R-10 | **Двойная оценка гейта** на зелёной задаче (пред-оценка + повтор в `advance_stage`); долгий `ci_poll` держит тик. | 🟢 | Гейты идемпотентны/read-only; на целевом кейсе (CI уже зелёный) возвращаются быстро; reconciler — отдельный daemon-поток. Осознанная цена за неизменность `advance_stage` (ADR-001 §2). |
+| R-11 | **Ложный `sha→branch` матч** в F-3 при неоднозначности. | 🟡 | БД-fallback срабатывает только при ровно одной `development`-задаче repo; иначе — неразрезолвлено + INFO; success/failure-семантика гейта не тронута (ADR-001 §8). AC-14 / TC-18, TC-19. |
+| R-12 | **Регресс реестров** (`STAGE_TRANSITIONS`/`QG_CHECKS`) или схемы. | 🟡 | Реестры/схема не меняются; snapshot-тест (ADR-001 §9). AC / TC-23. |
+| R-13 | **Дубль на стадии deploy-staging↔merge-gate** (reconciler триггерит advance, конкурируя с merge-lease). | 🟢 | F-1 продвигает только через `advance_stage`, который штатно прогоняет merge-gate (defer/rollback владеет исходом); active-job guard + `updated_at` — без гонки на тике (ADR-001 §2). |
+| R-14 | **Multi-process деплой ломает анти-дубль** (Lock — внутрипроцессный). | 🟢 | Текущая топология single-process (как очередь ORCH-1); ограничение задокументировано, DB UNIQUE-индекс — будущее упрочнение (08-data). |
+
+## Сводно
+Самые острые (🔴) — анти-дубль на создании (R-1), двойной запуск (R-2), спам (R-3),
+автопродвижение analysis (R-4), self-hosting (R-9) — закрыты явными механизмами с
+покрытием в `04-test-plan.yaml`. Остаточные допущения: single-process топология
+(R-14) и осознанная двойная оценка гейта (R-10).

docs/work-items/ORCH-053/12-review.md

@@ -0,0 +1,88 @@
+---
+type: review
+work_item_id: ORCH-053
+verdict: APPROVED
+version: 1
+---
+
+# Review ORCH-053 — Sweeper потерянных webhook (реконсиляция застрявших стадий)
+
+## Summary
+PR реализует фоновый reconciler застрявших стадий ровно в объёме ТЗ (`02-trz.md`) и
+ADR (`06-adr/ADR-001`, глобальный `adr-0007`). Все 17 acceptance-criteria покрыты
+кодом и тестами; полный прогон `pytest` — **563 passed**. Реализация строго следует
+ключевым инвариантам: продвижение только через неизменный `advance_stage(...,
+finished_agent=None)`, никакой дублирующей advance/rollback-логики в `reconciler.py`,
+структурная невозможность спама нотификаций, never-raise на единицу работы,
+restart-safe daemon-поток, kill-switch'и. Схема БД и реестры `STAGE_TRANSITIONS` /
+`QG_CHECKS` не тронуты. Документация обновлена в этом же PR. Рекомендация: **APPROVED**.
+
+## Соответствие ТЗ
+- `src/reconciler.py` (НОВЫЙ): F-1 `reconcile_gate_once` + F-2 `reconcile_plane_once`, класс
+  `Reconciler` + module-singleton по образцу `queue_worker`. ✓
+- `src/config.py`: все 6 `reconcile_*` настроек с дефолтами по таблице §5. ✓
+- `src/main.py`: старт после `worker.start()`, стоп перед `worker.stop()`, блок `reconcile`
+  в `GET /queue`. ✓
+- `src/stage_engine.py`: тонкий `advance_if_gate_passed` — read-only пред-оценка гейта,
+  advance только через `advance_stage`, на красном гейте `advance_stage` не вызывается
+  вовсе (подавление спама без изменения общего критпути). ✓
+- `src/plane_sync.py`: `list_issues_by_state` с курсорной пагинацией и never-raise → `[]`. ✓
+- `src/webhooks/gitea.py`: F-3 БД-fallback `sha→branch` (`_resolve_branch_via_db`),
+  однозначность обязательна, `debug→info`. ✓
+- `src/webhooks/plane.py` + `src/db.py`: F-2 переиспользует `handle_status_start` /
+  `handle_verdict` без дублирования; анти-дубль `create_task_atomic` под process-wide Lock,
+  `start_pipeline` рефакторен на atomic-claim первым DB-действием. ✓
+- Схема БД и реестры не менялись (§6/§8 ТЗ). ✓
+
+## Соответствие ADR
+- §2 (источник истины — гейт; продвижение только через `advance_stage`): соблюдено —
+  в `reconciler.py` нет собственного `update_task_stage`/`enqueue_job` для advance (AC-2).
+- §3 (async-обработчики из sync-потока через `asyncio.run`): реализовано в `_dispatch`.
+- §4 (atomic-claim под `threading.Lock`, без миграции): `db.create_task_atomic`.
+- §6 (F-1 не трогает `analysis`): ранний возврат в `advance_if_gate_passed` и в
+  `_reconcile_gate_task` (AC-16).
+- §7 (grace «потерян, а не задержан»): F-1 по `tasks.updated_at` (SQL `age_s`), F-2 по
+  `issue.updated_at` (`_age_seconds_iso`).
+- Нарушений глобальных ADR нет; `adr-0007` заведён и внесён в `docs/architecture/adr/README.md`.
+
+## Качество кода
+- Контракт never-raise выдержан на всех уровнях: outer loop, per-task, per-project, per-issue,
+  `_parse_grace_overrides`, `list_issues_by_state`, `_resolve_branch_via_db`, телеграм-нотификация.
+- Идемпотентность: active-job guard в F-1 и F-2; самозатухание через обновление `updated_at`
+  после advance; `max_concurrency=1`. Подтверждено анализом — F-2 на approved/rejected всегда
+  меняет состояние (analysis approved-via-status всегда проходит; rollback всегда срабатывает),
+  поэтому петли спама нотификаций структурно не возникает.
+- Защита от ложного матча в F-3 (только при единственной development-задаче repo).
+- Docstrings содержательные на всех публичных функциях; тесты не тривиальные (мапятся на
+  TC-01…TC-21 из `04-test-plan.yaml`).
+
+## Документация
+Обновлена в этом же PR (AC-17 выполнен):
+- `docs/architecture/README.md` — компонент Reconciler, раздел resilience, строка в таблице API
+  (`/queue` … + reconcile), footer-пометка. ✓
+- `docs/work-items/ORCH-053/06-adr/ADR-001-stuck-task-reconciler.md` — заведён. ✓
+- `docs/architecture/adr/adr-0007-reconciler.md` + строка в `adr/README.md`. ✓
+- `CHANGELOG.md` — запись в `[Unreleased]/Added`. ✓
+- `docs/operations/INFRA.md` — kill-switch'и и env-карта (self-hosting). ✓
+- `README.md` и `.env.example` — env-таблица `ORCH_RECONCILE_*`. ✓
+
+## Findings
+
+### P0 — Blocker
+- Нет.
+
+### P1 — Must fix
+- Нет.
+
+### P2 — Should fix
+- Нет.
+
+### P3 — Nice-to-have
+- Несоответствие статуса ADR: `06-adr/ADR-001` помечен `Статус: Proposed`, тогда как
+  `docs/architecture/adr/README.md` указывает `adr-0007` как `accepted`. Косметика —
+  привести к одному значению при следующем касании.
+- `get_project_states(pid)` теоретически может вернуть словарь без ключей
+  `approved`/`rejected` при частичном резолве состояний проекта → `KeyError` в
+  `_reconcile_plane_project`. Сейчас изолировано per-project `try/except` (never-raise
+  держится, эффект — пропуск F-2 для проекта). Можно усилить `.get(...)`-доступом ради
+  явности; не блокер.

docs/work-items/ORCH-053/13-test-report.md

@@ -0,0 +1,74 @@
+---
+type: test-report
+work_item_id: ORCH-053
+result: PASS
+---
+
+# Test Report — ORCH-053 (Sweeper потерянных webhook / reconciler)
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3 (plugins: anyio-4.13.0, asyncio-0.23.8; asyncio mode=AUTO)
+- Ветка: `feature/ORCH-053-sweeper-webhook-stuck-task`
+- Дата: 2026-06-06
+- Review verdict: APPROVED (`12-review.md`)
+
+## Команда прогона
+`python -m pytest tests/ -v --tb=short` → **563 passed, 1 warning, 12.09s**
+(warning — известный PydanticDeprecatedSince20 в `src/config.py`, не связан с ORCH-053).
+
+## Результаты по тест-плану (`04-test-plan.yaml`)
+
+| TC ID | Описание | Тест | Результат |
+|-------|----------|------|-----------|
+| TC-01 | F-1: продвижение застрявшей development-задачи | test_reconciler::test_tc01_advances_stuck_development_task | PASS |
+| TC-02 | Источник истины — гейт, advance только через advance_stage(finished_agent=None) | test_reconciler::test_tc02_advances_via_advance_stage_finished_agent_none | PASS |
+| TC-03 | Активный job → задача пропускается | test_reconciler::test_tc03_active_job_skipped | PASS |
+| TC-04 | Per-stage grace, граница age>=grace | test_reconciler::test_tc04_grace_boundary | PASS |
+| TC-05 | grace_for_stage: overrides + невалидный JSON → дефолт | test_reconciler::test_tc05_grace_for_stage_overrides / _invalid_json_falls_back | PASS |
+| TC-06 | Нет спама нотификаций на красном гейте | test_reconciler::test_tc06_red_gate_no_spam | PASS |
+| TC-07 | Тишина при синхронности | test_reconciler::test_tc07_silence_when_in_sync | PASS |
+| TC-08 | AC-16: F-1 не продвигает analysis | test_reconciler::test_tc08_analysis_not_advanced_by_f1 | PASS |
+| TC-09 | Never-raise изолирует сбой одной задачи | test_reconciler::test_tc09_never_raise_isolates_failure | PASS |
+| TC-10 | Kill-switch (reconcile_enabled / reconcile_plane_enabled) | test_reconciler::test_tc10_kill_switch_disables_gate / _plane_switch_mutes_only_f2 | PASS |
+| TC-11 | F-2: In Progress без задачи → handle_status_start | test_reconciler_plane::test_tc11_in_progress_without_task_starts_pipeline | PASS |
+| TC-12 | F-2: Approved → handle_verdict(approved=True) | test_reconciler_plane::test_tc12_approved_replays_verdict | PASS |
+| TC-13 | F-2: Rejected → handle_verdict(approved=False) | test_reconciler_plane::test_tc13_rejected_replays_verdict | PASS |
+| TC-14 | Идемпотентность F-2: активный job / в пределах grace | test_reconciler_plane::test_tc14_active_job_skips / test_tc14b_within_grace_skipped | PASS |
+| TC-15 | AC-4 анти-дубль на создании (create_task_atomic) | test_reconciler_plane::test_tc15_create_task_atomic_no_duplicate | PASS |
+| TC-16 | list_issues_by_state never-raise + пагинация/фильтр | test_reconciler_plane::test_tc16_list_issues_never_raises_on_error / _paginates_and_filters | PASS |
+| TC-17 | F-2 опрашивает все проекты, резолвит state per-project | test_reconciler_plane::test_tc17_polls_all_projects_resolves_states_per_project | PASS |
+| TC-18 | F-3: sha→branch БД-fallback однозначный матч | test_gitea_sha_resolve::test_tc18_db_fallback_unique_match_advances | PASS |
+| TC-19 | F-3: неоднозначность → нет ложного матча | test_gitea_sha_resolve::test_tc19_db_fallback_ambiguous_no_match | PASS |
+| TC-20 | F-4: лог-строка разблокировки + Telegram (вкл/выкл) | test_reconciler::test_tc20_unblock_logs_and_notifies / _no_telegram_when_disabled | PASS |
+| TC-21 | Restart-safe daemon-поток: start/stop/идемпотентный start | test_reconciler::test_tc21_daemon_thread_lifecycle | PASS |
+| TC-22 | Конфиг reconcile_* дефолты + env ORCH_ | test_config::test_reconcile_settings_defaults / _env_override | PASS |
+| TC-23 | Регресс реестров STAGE_TRANSITIONS / QG_CHECKS не изменены | test_qg_registry_snapshot::test_tc20_qg_registry_unchanged / _qg_callables_unchanged / _stage_transitions_unchanged | PASS |
+
+Все 23 TC покрыты тестами и зелёные (целевые файлы: 36 passed).
+
+## Smoke test API (прод-контейнер 8500, только read-only GET, без касания состояния)
+- `GET /health` → 200 `{"status":"ok","service":"orchestrator"}`
+- `GET /status` → 200 (active_tasks отдаётся; видна задача id=44 ORCH-053 на стадии testing)
+- `GET /queue` → 200 (counts/max_concurrency/resilience отдаются)
+- Блок `reconcile` в `/queue` на проде ОТСУТСТВУЕТ — ожидаемо: прод работает на старом коде,
+  ORCH-053 ещё не задеплоен. В коде ветки блок реализован (`src/main.py:131` —
+  `"reconcile": reconciler.status()`). Появится после deploy-staging/deploy.
+
+## Покрытие Acceptance Criteria (`03-acceptance-criteria.md`)
+AC-1…AC-16 — покрыты соответствующими TC (см. таблицу) и зелёные.
+AC-17 (документация — golden source) — подтверждён на стадии review (APPROVED, секция
+«Документация»): README.md архитектуры, ADR-001, adr-0007, CHANGELOG.md, INFRA.md обновлены.
+
+## Вывод pytest (хвост)
+```
+======================= 563 passed, 1 warning in 12.09s ========================
+```
+Целевые файлы ORCH-053:
+```
+======================== 36 passed, 1 warning in 1.20s =========================
+```
+
+## Итог
+**PASS** — полный регресс зелёный (563 passed), все 23 TC из тест-плана выполнены,
+acceptance-criteria покрыты, smoke прод-API здоров. Задача готова к стадии `deploy-staging`.

docs/work-items/ORCH-058/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: Self-deploy: retag берёт устаревший staging-образ (риск тихого регресса)
+
+Work Item ID: ORCH-058
+
+## Description
+
+TBD

docs/work-items/ORCH-058/01-brd.md

@@ -0,0 +1,87 @@
+# BRD — ORCH-058: Self-deploy retag берёт устаревший staging-образ (риск тихого регресса)
+
+Work Item ID: ORCH-058
+Тип: bug / техдолг инфраструктуры self-deploy
+Источник: `docs/history/LESSONS_ORCH-036-selfdeploy.md` п.4 (самый опасный из 4 багов bootstrap ORCH-36)
+
+## 1. Контекст
+
+ORCH-36 сделал стадию `deploy` исполняемой для self-hosting репозитория `orchestrator`:
+- Phase B (`src/self_deploy.py::build_deploy_command`) запускает детачед host-хук
+  `scripts/orchestrator-deploy-hook.sh` с параметром `SOURCE_IMAGE=orchestrator-orchestrator-staging`.
+- Хук (шаг **2b**, BUILD-ONCE, ORCH-36 BR-6) делает `docker tag $SOURCE_IMAGE → $TARGET_IMAGE`
+  **без `docker build`** — «прод получает ровно тот артефакт, что прошёл staging».
+
+Дизайн-предпосылка BUILD-ONCE: **staging-образ свеж и провалидирован**. На практике этой
+гарантии НЕТ.
+
+## 2. Проблема (корень)
+
+Конвейер **нигде не пересобирает** образ `orchestrator-orchestrator-staging` из текущего
+кода (HEAD `main` / провалидированной ветки):
+- Стадия `deploy-staging` запускает только `scripts/staging_check.py` (e2e-проверка)
+  против **уже работающего** контейнера `orchestrator-staging` (8501) — что бы в нём ни
+  крутилось. Сборка staging-образа — ручная операция (STAGING.md / ORCH-34), вне конвейера.
+- Между «образ собран» и «retag в прод» нет провенанс-связи с провалидированным коммитом.
+
+Следствие (инцидент ORCH-36): staging-образ не пересобрали из нового `main` →
+`staging_check` прошёл против СТАРОГО кода → BUILD-ONCE retag промоутнул СТАРЫЙ образ в прод.
+Деплой «зелёный» (`result=0`, health ok), но прод молча откатился на код 2-дневной давности:
+пропал `deploy-finalizer` → задача не закрылась → бесконечная петля Phase B.
+
+## 3. Почему это критично
+
+> Это **самый опасный** из четырёх багов self-deploy: он **не падает**, а **тихо откатывает
+> прод**. Зелёный гейт = ложный позитив. Орк обслуживает все проекты (enduro-trails) из одного
+> прод-инстанса → тихий регресс инструмента = групповой инцидент для всех проектов.
+
+Текущая защита (staging-гейт, merge-gate, health-check хука) НЕ ловит этот класс: все они
+зелёные, потому что проверяют не тот артефакт, что уезжает в прод.
+
+## 4. Бизнес-цель
+
+Гарантировать инвариант: **в прод никогда не промоутится образ, не собранный из
+провалидированного для данной задачи коммита; при невозможности это доказать — деплой
+fail-fast (вердикт FAILED → откат на development), а не «тихо зелёный»**.
+
+## 5. Объём (scope)
+
+В объёме:
+- Привязка артефакта (staging-образ → прод-retag) к провалидированному коммиту.
+- Fail-fast при рассинхроне образа и кода (никаких тихих промоутов устаревшего).
+- Условность как ORCH-35/36/43: реально только для `orchestrator`; прочие репо — no-op /
+  прежнее поведение.
+- Контракт never-raise и fail-closed (на сомнении — не деплоить).
+
+Вне объёма:
+- Полный авто-approve прод-деплоя (ORCH-54).
+- Изменение exit-code-контракта хука (0/1/2) и реестров `STAGE_TRANSITIONS` / `QG_CHECKS` как
+  набора стадий.
+- Миграции схемы БД.
+- Деплой/рестарт **прод**-контейнера `orchestrator` (8500) в рамках задачи.
+
+## 6. Бизнес-требования (BR)
+
+- **BR-1.** Образ, который BUILD-ONCE retag промоутит в прод, ДОЛЖЕН соответствовать коду,
+  провалидированному стадией `deploy-staging` для данной задачи (тот же git-коммит).
+- **BR-2.** Если соответствие НЕ доказуемо (staging-образ собран не из провалидированного
+  коммита, либо провенанс невозможно прочесть) — деплой ОБЯЗАН fail-fast: вердикт `FAILED`,
+  штатный откат на `development` (контракт БАГ-8), без рестарта прода.
+- **BR-3.** `staging_check.py` (e2e-валидация) ДОЛЖЕН прогоняться против артефакта,
+  соответствующего тому же провалидированному коммиту, что уедет в прод (нельзя валидировать
+  один образ, а катить другой).
+- **BR-4.** Поведение условно: реально для `orchestrator`; для прочих репозиториев — no-op /
+  без регрессий прежнего синхронного деплоя.
+- **BR-5.** Выбранное решение НЕ должно приводить к вечной блокировке деплоя (если механизм
+  свежести отсутствует — нужен путь, который доводит до зелёного, а не fail-fast'ит навсегда).
+- **BR-6.** Контракт never-raise: сбой проверки свежести/провенанса не должен валить
+  stage_engine; на любом сомнении — fail-closed (трактуем как несоответствие).
+- **BR-7.** Документация-голден-сорс: INFRA / DEPLOY_HOOK / STAGING / architecture README +
+  CHANGELOG обновляются в том же PR; решение оформляется ADR.
+
+## 7. Связанные материалы
+
+- `docs/history/LESSONS_ORCH-036-selfdeploy.md` (п.4 — корень)
+- `docs/architecture/adr/adr-0007-executable-self-deploy.md`, `docs/work-items/ORCH-036/06-adr/ADR-001-executable-self-deploy.md`
+- `src/self_deploy.py`, `scripts/orchestrator-deploy-hook.sh`, `src/config.py`
+- `docs/operations/STAGING.md`, `docs/operations/DEPLOY_HOOK.md`, `docs/operations/INFRA.md`

docs/work-items/ORCH-058/02-trz.md

@@ -0,0 +1,126 @@
+# ТЗ — ORCH-058: провенанс staging-образа перед BUILD-ONCE retag в прод
+
+Work Item ID: ORCH-058
+
+> Примечание: ТЗ фиксирует ТРЕБУЕМЫЕ изменения и точки в коде. **Выбор стратегии**
+> (пересборка из HEAD `main` ПЕРЕД валидацией vs. fail-fast по провенансу образа, либо их
+> комбинация) — решение **архитектора** (ADR в `06-adr/`). Ниже перечислены точки
+> касания для обеих стратегий; архитектор выбирает и при необходимости сужает.
+
+## 1. Инвариант, который нужно обеспечить
+
+`INV-FRESH`: образ, передаваемый хуку как `SOURCE_IMAGE` для BUILD-ONCE retag в прод,
+собран из ТОГО ЖЕ git-коммита, что прошёл `deploy-staging` для этой задачи. Если это
+недоказуемо — деплой fail-fast (`deploy_status: FAILED` → откат на `development`, БАГ-8),
+прод не трогается.
+
+Якорь «провалидированного коммита» (architect фиксирует точно в ADR): SHA HEAD ветки задачи
+после merge-gate rebase на `origin/main` (то, что валидировал `deploy-staging` + merge-gate).
+
+## 2. Текущее поведение (что чинить)
+
+| Место | Сейчас | Проблема |
+|---|---|---|
+| `scripts/orchestrator-deploy-hook.sh` шаг 2b | `docker tag $SOURCE_IMAGE → $TARGET_IMAGE` без проверки происхождения образа | промоутит любой образ под именем `orchestrator-orchestrator-staging`, даже устаревший |
+| Стадия `deploy-staging` (`.openclaw/agents/deployer.md` + `staging_check.py`) | гоняет e2e против уже запущенного 8501, не пересобирая образ | валидирует не тот артефакт, что уедет в прод |
+| `src/self_deploy.py::build_deploy_command` | передаёт `SOURCE_IMAGE`, `TARGET_*`, `COMPOSE_PROFILE`, `PREV_IMAGE_FILE`; провенанс/SHA не передаёт | хук не знает, какой коммит ожидать |
+| `Dockerfile` | без OCI-лейбла `revision`/git-SHA | у образа нет машиночитаемого происхождения для проверки |
+
+## 3. Задействованные модули `src/` и файлы
+
+- `src/self_deploy.py` — основной (provenance-helpers + проброс ожидаемого SHA в команду хука).
+- `src/config.py` — новые настройки (`ORCH_`-префикс обязателен, урок ORCH-36 п.2).
+- `scripts/orchestrator-deploy-hook.sh` — fail-fast по провенансу и/или пересборка перед retag.
+- `Dockerfile` — лейбл происхождения образа (для стратегии «провенанс по labels/sha»).
+- `src/qg/checks.py` — опц. новый детерминированный под-чек свежести (если стратегия «гейт»).
+- `src/stage_engine.py` — опц. точка вызова под-чека на ребре `deploy-staging → deploy`
+  (рядом с merge-gate, строки ~262–288). **Реестр `STAGE_TRANSITIONS` не меняется.**
+- `.openclaw/agents/deployer.md` — шаги стадии `deploy-staging` (если выбран rebuild-перед-валидацией).
+- `docker-compose.yml` — опц. build-args/labels для staging-сервиса (если стратегия rebuild).
+
+## 4. Требуемые изменения — стратегия A (пересборка из HEAD main перед валидацией)
+
+A1. Перед прогоном `staging_check.py` стадия `deploy-staging` для `orchestrator` пересобирает
+    образ `orchestrator-orchestrator-staging` из провалидированного коммита (worktree ветки
+    после merge-gate rebase) и пересоздаёт контейнер 8501 на свежем образе.
+A2. `staging_check.py` гоняется против свежего контейнера; на `SUCCESS` ровно ЭТОТ образ
+    становится `SOURCE_IMAGE` для прод-retag (loop closed).
+A3. Детерминированно (без LLM в критическом пути): сборку/recreate выполняет код стадии или
+    host-хук в staging-режиме, не агент-деплойер «руками».
+A4. Безопасность: операция трогает ТОЛЬКО staging (8501), НИКОГДА прод (8500).
+
+## 5. Требуемые изменения — стратегия B (fail-fast по провенансу образа)
+
+B1. `Dockerfile`: добавить лейбл происхождения, напр.
+    `LABEL org.opencontainers.image.revision=$GIT_SHA` через `ARG GIT_SHA` (build-arg).
+B2. Сборка staging-образа (ручная или из стратегии A) проставляет `GIT_SHA` = коммит сборки.
+B3. `src/self_deploy.py::build_deploy_command`: вычислить ожидаемый SHA провалидированного
+    коммита и пробросить в команду хука новым env (напр. `EXPECTED_REVISION=<sha>`).
+    Новый pure-helper, напр. `expected_revision(repo, branch) -> str` (never-raise).
+B4. `scripts/orchestrator-deploy-hook.sh` шаг 2b: ПЕРЕД `docker tag` прочитать лейбл
+    `$SOURCE_IMAGE` (`docker image inspect --format '{{ index .Config.Labels "org.opencontainers.image.revision" }}'`)
+    и сравнить с `$EXPECTED_REVISION`. Несовпадение / пустой лейбл / пустой ожидаемый SHA →
+    `log` + `exit 1` (fail-fast). Поведение обратносовместимо: при незаданном
+    `EXPECTED_REVISION` — текущее поведение (без проверки), чтобы не сломать не-self репо.
+B5. exit 1 хука уже маппится `map_exit_code_to_status → FAILED` (контракт не меняется),
+    Phase C пишет `14-deploy-log.md` `deploy_status: FAILED` → откат на `development` (БАГ-8).
+
+## 6. Требуемые изменения — опц. под-гейт (если архитектор выберет gate-side для B)
+
+- Новый детерминированный (без LLM) под-чек, напр. `check_staging_image_fresh`, по образцу
+  `check_branch_mergeable` (ORCH-043): pure verdict-logic + условность (`self_deploy_applies`
+  / `is_self_hosting_repo`), never-raise, для прочих репо → `(True, "N/A")`.
+- Вызов на ребре `deploy-staging → deploy` ПЕРЕД Phase A (рядом с merge-gate, `stage_engine`
+  ~268–288). FAIL → откат на `development` (как merge-gate). Реестр стадий неизменен —
+  это под-гейт ребра, не новая стадия.
+- Если выбран чисто хуковый fail-fast (раздел 5) — под-гейт не нужен.
+
+## 7. Изменения API
+
+Нет. Эндпоинты (`/health`, `/status`, `/queue`, `/webhook/*`) не меняются. Опц.: в снимок
+`GET /queue` можно добавить диагностическое поле о свежести образа — НЕ обязательно.
+
+## 8. Изменения схемы БД
+
+Нет. Состояние deploy — sentinel-файлы (`.deploy-state-<repo>/<wi>/`, ORCH-36). Миграции
+запрещены (как ORCH-36/43/53).
+
+## 9. Конфигурация (`src/config.py`, ВСЕ с префиксом `ORCH_`)
+
+Кандидаты (architect финализирует имена и дефолты):
+- `image_freshness_enabled: bool = True` — kill-switch проверки (поэтапный раскат).
+- `image_freshness_repos: str = ""` — CSV; пусто → только self-hosting (как `self_deploy_repos`).
+- (для стратегии B) проброс `EXPECTED_REVISION` строится в `build_deploy_command`, отдельной
+  настройки может не требоваться.
+- (для стратегии A) при необходимости — имя/тег staging-образа уже есть
+  (`deploy_prod_source_image`).
+
+Урок ORCH-36 п.2: любая настройка, читаемая pydantic Settings, ОБЯЗАНА иметь префикс `ORCH_`.
+
+## 10. Новые QG checks (если применимо)
+
+- Опц. `check_staging_image_fresh` (см. §6) — добавить в реестр `QG_CHECKS` и в
+  snapshot-тест реестра (`tests/test_qg_registry_snapshot.py`). Только если выбран gate-side.
+
+## 11. Артефакты pipeline (создать/обновить В ТОМ ЖЕ PR)
+
+- `06-adr/ADR-001-<slug>.md` — выбор стратегии (A / B / A+B), якорь «провалидированного
+  коммита», точки fail-fast, условность, never-raise, отсутствие deadlock (BR-5).
+- `docs/operations/DEPLOY_HOOK.md` — описание провенанс-проверки / пересборки и новых env.
+- `docs/operations/STAGING.md` — как и когда пересобирается staging-образ в конвейере.
+- `docs/operations/INFRA.md` — обновить топологию/риск self-deploy (закрыт п.4 каскада).
+- `docs/architecture/README.md` — секция ORCH-36/58 (свежесть артефакта в BUILD-ONCE).
+- `CHANGELOG.md` — запись ORCH-058.
+- При выборе стратегии A: bootstrap-чеклист (урок ORCH-36 «сквозной»: реальный staging-прогон
+  до мержа).
+
+## 12. Инварианты / ограничения (self-hosting safety)
+
+- Никогда не рестартовать/ронять прод 8500 в рамках задачи (CLAUDE.md). Любая сборка/recreate —
+  только staging 8501.
+- Никогда не пушить/форс-пушить `main` (как merge-gate).
+- Контракты НЕ меняются: exit-code хука (0/1/2), `map_exit_code_to_status`,
+  `check_deploy_status`/`_parse_deploy_status`, БАГ-8 rollback, terminal-sync, merge-gate.
+- Fail-closed: на любом сомнении (нет лейбла, нет ожидаемого SHA, ошибка inspect) —
+  трактовать как несоответствие → FAILED, никогда не промоутить «на авось».
+- never-raise: helpers и под-чек не должны пробрасывать исключение в stage_engine.

docs/work-items/ORCH-058/03-acceptance-criteria.md

@@ -0,0 +1,71 @@
+# Критерии приёмки — ORCH-058
+
+Work Item ID: ORCH-058
+
+Критерии сформулированы вокруг инварианта `INV-FRESH` и **не зависят** от выбранной
+архитектором стратегии (A — пересборка, B — fail-fast по провенансу, A+B). Каждый — с
+чётким условием PASS/FAIL.
+
+## AC-1 — Соответствие артефакта коду (центральный инвариант)
+- PASS: образ, который BUILD-ONCE retag промоутит в прод (`SOURCE_IMAGE`), доказуемо собран
+  из коммита, провалидированного стадией `deploy-staging` для этой задачи.
+- FAIL: в прод может уехать образ, собранный не из провалидированного коммита.
+
+## AC-2 — Fail-fast при рассинхроне (никаких тихих зелёных)
+- PASS: если staging-образ собран НЕ из провалидированного коммита (или провенанс нечитаем),
+  деплой завершается `deploy_status: FAILED` и откатом на `development` (БАГ-8); прод НЕ
+  рестартуется на устаревший образ.
+- FAIL: при рассинхроне деплой завершается `SUCCESS` / «зелёным», прод тихо откатывается.
+
+## AC-3 — Fail-closed на сомнении
+- PASS: при отсутствии лейбла происхождения, пустом ожидаемом SHA, ошибке `docker image
+  inspect` или любой неоднозначности — трактуется как несоответствие → FAILED (никогда не
+  промоутится «на авось»).
+- FAIL: сомнительный/непроверяемый случай трактуется как «свежий» и промоутится.
+
+## AC-4 — Валидация и промоут — один и тот же артефакт
+- PASS: `staging_check.py` прогоняется против образа/контейнера, соответствующего тому же
+  провалидированному коммиту, который затем уезжает в прод.
+- FAIL: валидируется один образ, а в прод retag'ается другой.
+
+## AC-5 — Условность (self-hosting only)
+- PASS: проверка/пересборка реальна только для `orchestrator` (и репо из `image_freshness_repos`,
+  если задан); для прочих репо — no-op, синхронный деплой не-self репо без регрессий.
+- FAIL: логика срабатывает для не-self репозиториев или ломает их деплой.
+
+## AC-6 — Никакого deadlock деплоя (BR-5)
+- PASS: при штатном прогоне (staging-образ корректно отражает провалидированный коммит)
+  деплой доходит до `SUCCESS` и `deploy → done`; механизм свежести не блокирует валидный
+  деплой навсегда.
+- FAIL: валидный деплой вечно fail-fast'ится / задача зависает на `deploy`.
+
+## AC-7 — Контракты не изменены
+- PASS: `STAGE_TRANSITIONS` (набор стадий), exit-code-контракт хука (0/1/2),
+  `map_exit_code_to_status`, `check_deploy_status`/`_parse_deploy_status`, БАГ-8 rollback,
+  terminal-sync, merge-gate — без изменений; схема БД без миграций.
+- FAIL: затронут любой из перечисленных контрактов или добавлена миграция БД.
+
+## AC-8 — never-raise
+- PASS: сбой проверки свежести/провенанса (битый образ, ssh/docker error, отсутствующий
+  worktree) не пробрасывает исключение в `stage_engine`; возвращается безопасный вердикт.
+- FAIL: исключение из новой логики всплывает и валит обработку стадии.
+
+## AC-9 — Self-hosting safety
+- PASS: новая логика НЕ рестартует/не роняет прод-контейнер `orchestrator` (8500) и не
+  пушит/форс-пушит `main`; любые сборки/recreate — только staging (8501).
+- FAIL: нарушено любое из ограничений выше.
+
+## AC-10 — Конфигурация и kill-switch
+- PASS: новые настройки имеют префикс `ORCH_`; есть kill-switch (напр. `image_freshness_enabled`)
+  для поэтапного раската; при выключенном флаге — прежнее поведение.
+- FAIL: настройка без `ORCH_`-префикса (не читается pydantic) или нет способа отключить.
+
+## AC-11 — Документация (golden source)
+- PASS: в том же PR обновлены DEPLOY_HOOK.md, STAGING.md, INFRA.md, architecture/README.md,
+  CHANGELOG.md и заведён ADR `06-adr/ADR-001-*`.
+- FAIL: функционал изменён, документация/ADR не обновлены (→ reviewer REQUEST_CHANGES).
+
+## AC-12 — Тесты зелёные
+- PASS: `pytest tests/ -q` зелёный, включая новые тесты из `04-test-plan.yaml` и
+  snapshot-тест реестра QG (если добавлен под-чек).
+- FAIL: любой тест из плана красный или регрессия существующих.

docs/work-items/ORCH-058/04-test-plan.yaml

@@ -0,0 +1,124 @@
+work_item: ORCH-058
+description: >
+  Провенанс staging-образа перед BUILD-ONCE retag в прод. Тесты покрывают инвариант
+  INV-FRESH: соответствие промоутируемого образа провалидированному коммиту, fail-fast
+  и fail-closed при рассинхроне, условность self-hosting, never-raise, неизменность
+  контрактов. Часть кейсов помечена strategy-зависимыми (A=пересборка, B=fail-fast по
+  провенансу) — финальный набор подтверждает архитектор в ADR; пишутся тесты для
+  выбранной стратегии.
+tests:
+  - id: TC-01
+    type: unit
+    description: >
+      Pure provenance-verdict: SHA образа == ожидаемый SHA -> свежий (PASS).
+      Совпадающие revision дают вердикт "соответствует".
+    module: tests/test_image_freshness.py
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: >
+      Pure provenance-verdict: SHA образа != ожидаемый SHA -> НЕ свежий ->
+      вердикт несоответствия (вход для fail-fast).
+    module: tests/test_image_freshness.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: >
+      Fail-closed: пустой/отсутствующий лейбл образа ИЛИ пустой ожидаемый SHA ->
+      трактуется как несоответствие (никогда не "свежий по умолчанию").
+    module: tests/test_image_freshness.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: >
+      never-raise: provenance-helper при docker/ssh/inspect ошибке или отсутствующем
+      worktree возвращает безопасный вердикт (несоответствие), не пробрасывает исключение.
+    module: tests/test_image_freshness.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: >
+      Условность: для не-self репозитория проверка свежести = no-op (True/"N/A");
+      для orchestrator (или репо из image_freshness_repos) — реальна.
+    module: tests/test_image_freshness.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: >
+      [Стратегия B] build_deploy_command пробрасывает EXPECTED_REVISION=<sha>
+      в remote-команду хука рядом с SOURCE_IMAGE; формат env корректен (shlex-quote).
+    module: tests/test_deploy_build_once.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: >
+      [Стратегия B] Хук содержит ветку fail-fast: при заданном EXPECTED_REVISION и
+      несовпадении revision лейбла SOURCE_IMAGE -> exit 1 ПЕРЕД docker tag; при пустом
+      EXPECTED_REVISION -> обратносовместимое поведение (без проверки). Статическая
+      проверка текста scripts/orchestrator-deploy-hook.sh (паттерн test_deploy_build_once).
+    module: tests/test_deploy_hook_provenance.py
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: >
+      [Стратегия B] Dockerfile объявляет ARG GIT_SHA и LABEL
+      org.opencontainers.image.revision=$GIT_SHA (статическая проверка текста Dockerfile).
+    module: tests/test_deploy_hook_provenance.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: >
+      Маппинг контракта: exit 1 хука (fail-fast по провенансу) ->
+      map_exit_code_to_status == "FAILED" (контракт ORCH-36 не изменён).
+    module: tests/test_deploy_hook_mapping.py
+    expected: PASS
+
+  - id: TC-10
+    type: integration
+    description: >
+      Stale-образ -> fail-fast end-to-end: на ребре deploy-staging->deploy при
+      несоответствии образа Phase B/хук дают FAILED -> advance_stage откатывает на
+      development (БАГ-8), прод не "зелёный". Прод-рестарт замокан.
+    module: tests/test_stage_engine.py
+    expected: PASS
+
+  - id: TC-11
+    type: integration
+    description: >
+      Свежий образ -> happy path: соответствие revision -> деплой доходит до SUCCESS и
+      deploy->done; механизм свежести не блокирует валидный деплой (anti-deadlock, AC-6).
+      Host-процесс/хук замокан.
+    module: tests/test_stage_engine.py
+    expected: PASS
+
+  - id: TC-12
+    type: unit
+    description: >
+      [Если выбран gate-side] check_staging_image_fresh зарегистрирован в QG_CHECKS;
+      snapshot-тест реестра обновлён и зелёный.
+    module: tests/test_qg_registry_snapshot.py
+    expected: PASS
+
+  - id: TC-13
+    type: unit
+    description: >
+      Конфигурация: новые настройки (image_freshness_enabled / image_freshness_repos)
+      читаются с префиксом ORCH_ и имеют дефолты; kill-switch off -> прежнее поведение.
+    module: tests/test_config.py
+    expected: PASS
+
+  - id: TC-14
+    type: unit
+    description: >
+      Регрессия контрактов: STAGE_TRANSITIONS (набор стадий) и exit-code-контракт хука
+      (0/1/2) не изменены существующими правками.
+    module: tests/test_stages.py
+    expected: PASS

docs/work-items/ORCH-058/06-adr/ADR-001-staging-image-provenance.md

@@ -0,0 +1,209 @@
+# ADR-001 (ORCH-058): Провенанс staging-образа перед BUILD-ONCE retag в прод
+
+## Статус
+Accepted (design) — реализация в ветке `feature/ORCH-058-self-deploy-retag-staging`.
+Метка: `arch:major-change` (новая deploy-safety модель + новый QG + новый режим хука).
+
+## Контекст
+
+ORCH-36 сделал стадию `deploy` исполняемой для self-hosting (`orchestrator`): Phase B
+(`self_deploy.build_deploy_command`) запускает детачед host-хук, который шагом **2b**
+(BUILD-ONCE) делает `docker tag $SOURCE_IMAGE → $TARGET_IMAGE` **без `docker build`** —
+«прод получает ровно тот артефакт, что прошёл staging».
+
+Дизайн-предпосылка BUILD-ONCE: **staging-образ свеж и собран из провалидированного кода**.
+На практике этой гарантии НЕТ (BRD §2):
+
+- Стадия `deploy-staging` запускает только `scripts/staging_check.py` против **уже
+  работающего** контейнера 8501 — что бы в нём ни крутилось. Пересборка staging-образа —
+  ручная операция (STAGING.md / ORCH-34), вне конвейера.
+- Между «образ собран» и «retag в прод» нет провенанс-связи с провалидированным коммитом.
+
+Инцидент (LESSONS_ORCH-036 п.4 — **самый опасный** из 4 багов bootstrap): staging-образ
+не пересобрали из нового `main` → `staging_check` прошёл против СТАРОГО кода → BUILD-ONCE
+retag промоутнул СТАРЫЙ образ в прод. Деплой «зелёный» (`result=0`, health ok), но прод
+**молча откатился** на код 2-дневной давности. Орк обслуживает все проекты из одного
+прод-инстанса → тихий регресс инструмента = групповой инцидент.
+
+Текущая защита (staging-гейт, merge-gate, health-check хука) этот класс НЕ ловит: все
+гейты зелёные, потому что проверяют **не тот артефакт**, что уезжает в прод.
+
+## Инвариант, который нужно обеспечить
+
+`INV-FRESH` (ТЗ §1): образ, передаваемый хуку как `SOURCE_IMAGE` для BUILD-ONCE retag в
+прод, собран из ТОГО ЖЕ git-коммита, что прошёл `deploy-staging` для этой задачи. Если
+это недоказуемо — деплой fail-fast (`deploy_status: FAILED` → откат на `development`,
+БАГ-8), прод не трогается.
+
+### Якорь «провалидированного коммита»
+
+**SHA = `git rev-parse HEAD` в worktree ветки задачи ПОСЛЕ merge-gate** (т.е. после
+возможного `auto_rebase_onto_main` + `push --force-with-lease`). Это ровно тот tree,
+который merge-gate ре-тестировал зелёным и который сольётся в `main`. Один helper
+`validated_revision(repo, branch)` (never-raise) вычисляет SHA и служит ЕДИНСТВЕННЫМ
+источником и для штампа сборки (Стратегия A), и для ожидаемого ревижна (Стратегия B) —
+два потребителя одного якоря не могут разойтись.
+
+## Решение: A + B (defense in depth)
+
+Ни одна стратегия по отдельности не закрывает задачу:
+
+- **B в одиночку** (fail-fast по провенансу) делает тихий промоут структурно невозможным,
+  НО если staging-образ устарел — fail-fast'ит **навсегда** (нет пути к зелёному без
+  ручной пересборки) → нарушает BR-5 / AC-6 (deadlock), воспроизводит ровно тот
+  bootstrap-разрыв, который мы устраняем.
+- **A в одиночку** (пересборка из провалидированного коммита) закрывает петлю «валидируем =
+  промоутим», НО не имеет утверждения В МОМЕНТ retag: гонка/отключение/сбой пересборки
+  снова даст тихий промоут.
+
+Поэтому берём **обе**, как взаимодополняющие слои:
+
+### Стратегия A — пересборка staging-образа из провалидированного коммита (liveness, AC-4/AC-6)
+
+Для self-hosting на ребре `deploy-staging → deploy`, **после merge-gate** (когда
+валидированный HEAD финализирован) и **до Phase A**, детерминированный код:
+
+1. Вычисляет `sha = validated_revision(repo, branch)`.
+2. Пересобирает `orchestrator-orchestrator-staging` из **worktree ветки** (build-context =
+   валидированный tree) с `--build-arg GIT_SHA=<sha>` и пересоздаёт контейнер 8501 на
+   свежем образе (`--no-build`).
+3. Прогоняет `staging_check.py --mode stub` против свежего 8501.
+
+Результат: ровно ЭТОТ образ (с лейблом `revision=<sha>`) становится `SOURCE_IMAGE` для
+прод-retag → петля замкнута, валидируем и промоутим один артефакт (AC-4). Пересборка/
+recreate трогают **ТОЛЬКО staging (8501)**, НИКОГДА прод (8500) (AC-9).
+
+Исполнение — через host (ssh, синхронно): docker CLI / compose доступны на ХОСТЕ, не в
+контейнере (Dockerfile ставит только `openssh-client git`; staging_check уже гоняется
+`docker exec`-ом на хосте). Новый режим хука `--build-staging` (см. ниже) выполняет сборку
+и recreate. Синхронный ssh достаточен — рестарт staging не убивает прод-worker (в отличие
+от Phase B, где нужен detached + finalizer).
+
+Реализуется как **детерминированный QG-под-чек `check_staging_image_fresh`** (по образцу
+`check_branch_mergeable`, ORCH-043): pure-условность + never-raise; для прочих репо →
+`(True, "N/A")`. Регистрируется в `QG_CHECKS` и в `tests/test_qg_registry_snapshot.py`.
+Вызов — на ребре через `_handle_image_freshness(...)` в `stage_engine` (рядом с
+`_handle_merge_gate`, ПОСЛЕ него, ДО Phase A). FAIL → откат на `development` + release
+merge-lease (как merge-gate). **`STAGE_TRANSITIONS` (набор стадий) НЕ меняется** — это
+под-гейт ребра.
+
+### Стратегия B — fail-closed провенанс-guard в хуке (safety, AC-1/AC-2/AC-3)
+
+1. **`Dockerfile`**: `ARG GIT_SHA` + `LABEL org.opencontainers.image.revision=$GIT_SHA`.
+   Без build-arg лейбл пустой → fail-closed на стороне B (см. ниже).
+2. **`build_deploy_command`**: вычисляет `EXPECTED_REVISION = validated_revision(repo,
+   branch)` и пробрасывает в env команды хука.
+3. **`orchestrator-deploy-hook.sh` шаг 2b** — ПЕРЕД `docker tag`:
+   - читает лейбл `SOURCE_IMAGE`:
+     `docker image inspect --format '{{ index .Config.Labels "org.opencontainers.image.revision" }}' "$SOURCE_IMAGE"`;
+   - сравнивает с `$EXPECTED_REVISION`;
+   - несовпадение / пустой лейбл / пустой `EXPECTED_REVISION` / ошибка inspect →
+     `log` + `exit 1` (**fail-closed**, никогда не промоутить «на авось»).
+   - **Обратная совместимость:** при НЕзаданном `EXPECTED_REVISION` — текущее поведение
+     (проверка пропускается), чтобы не сломать не-self репо и legacy-вызовы.
+4. `exit 1` уже маппится `map_exit_code_to_status → FAILED` (контракт не меняется), Phase C
+   пишет `deploy_status: FAILED` → откат на `development` (БАГ-8). Прод не рестартуется на
+   устаревший образ — guard срабатывает ДО `docker tag`/restart.
+
+### Новый режим хука `--build-staging` (для Стратегии A)
+
+`orchestrator-deploy-hook.sh --build-staging` (env: `GIT_SHA`, `BUILD_CONTEXT` = host-путь
+worktree, `TARGET_IMAGE=orchestrator-orchestrator-staging`, `TARGET_SERVICE`,
+`COMPOSE_PROFILE=staging`, `TARGET_PORT=8501`):
+`docker build --build-arg GIT_SHA=<sha> -t <TARGET_IMAGE> <BUILD_CONTEXT>` →
+`docker compose --profile staging up -d --no-build orchestrator-staging` → health 8501.
+Тот же exit-code-контракт (0=ok). Дефолты режима — STAGING-safe (как у `--deploy`).
+
+Host-путь build-context выводится из container-пути worktree заменой
+`repos_dir → host_repos_dir` (как `host_state_dir` в `self_deploy.py`); требуется
+производный helper host-worktree-пути (или новая настройка `ORCH_HOST_WORKTREES_DIR`).
+
+## Конфигурация (`src/config.py`, все с префиксом `ORCH_` — урок ORCH-36 п.2)
+
+- `image_freshness_enabled: bool = True` — **единый** kill-switch ВСЕЙ фичи (A и B вместе).
+  `False` → ни пересборки, ни проброса `EXPECTED_REVISION` → поведение ровно как ORCH-36
+  (BUILD-ONCE без guard). A и B включаются/выключаются **как одно целое**, чтобы не было
+  опасной полу-конфигурации «B без A» (вечный fail-fast).
+- `image_freshness_repos: str = ""` — CSV; пусто → только self-hosting (как
+  `self_deploy_repos` / `merge_gate_repos`).
+
+> **Инвариант конфигурации (AC-6):** B активен ТОЛЬКО когда активен A. По умолчанию
+> (`image_freshness_enabled=True`) валидный деплой всегда доходит до зелёного (A пересобирает
+> → лейбл == EXPECTED → B пропускает). Полное выключение → legacy ORCH-36 поведение.
+
+## Порядок на ребре `deploy-staging → deploy` (self-hosting)
+
+1. `check_staging_status` (существующий) — первичный staging-вердикт агента (smoke,
+   что staging-инфра жива).
+2. merge-gate `check_branch_mergeable` (существующий) — финализирует валидированный HEAD
+   (rebase если позади, ре-тест зелёный, lease HELD). DEFER на busy-lock → возврат без
+   пересборки.
+3. **`check_staging_image_fresh` (НОВЫЙ, Стратегия A)** — пересборка из валидированного
+   HEAD + recreate 8501 + `staging_check`. FAIL → откат на `development` + release lease.
+4. Phase A (существующий) → запрос approve.
+5. Phase B (human Approved) → `build_deploy_command` с `EXPECTED_REVISION` → хук-guard (B)
+   → BUILD-ONCE retag только при совпадении → restart прод → Phase C finalizer.
+
+> Двойной прогон `staging_check` (агент на стадии + код на шаге 3) — **намеренный**: первый
+> валидирует УЖЕ работающий (потенциально устаревший) 8501 как soft pre-check; авторитетный
+> — шаг 3 против СВЕЖЕГО образа, который и уедет в прод. `--mode stub` быстр и без LLM-трат.
+
+## Контракты, которые НЕ меняются (AC-7)
+
+`STAGE_TRANSITIONS` (набор стадий), exit-code-контракт хука (0/1/2),
+`map_exit_code_to_status`, `check_deploy_status` / `_parse_deploy_status` (frontmatter-only),
+БАГ-8 rollback, terminal-sync `deploy → done`, merge-gate (ORCH-43), Phase A/B/C ORCH-36.
+**Схема БД — без миграций** (состояние свежести не персистится в БД; провенанс живёт в
+лейбле образа). Добавление `check_staging_image_fresh` в `QG_CHECKS` — ожидаемое расширение
+реестра (ТЗ §10), не входит в замороженный список AC-7.
+
+## Last-line-of-defence / fail-closed (AC-2/AC-3)
+
+Даже если A отключена/проиграла гонку/сбойнула — **B (хук-guard) делает тихий промоут
+устаревшего образа структурно невозможным**: рассинхрон лейбла и `EXPECTED_REVISION` →
+`exit 1` ДО retag → FAILED → откат. На любом сомнении (нет лейбла, пустой ожидаемый SHA,
+ошибка inspect) — трактуется как несоответствие. Прод никогда не трогается «на авось».
+
+## never-raise (AC-8)
+
+`validated_revision`, `rebuild_staging_image`, `check_staging_image_fresh`,
+`build_deploy_command` (проброс EXPECTED) — все защищены try/except, любая ошибка → безопасный
+вердикт (для A-под-чека: `(False, reason)` с release lease; пустой `EXPECTED_REVISION` на
+сомнении → B fail-closed). Исключение никогда не всплывает в `stage_engine`.
+
+## Последствия
+
+**Плюсы**
+- Класс «тихого регресса прод» закрыт структурно (B), а валидный деплой всегда доходит до
+  зелёного (A) — bootstrap-разрыв «ручная пересборка staging» устранён.
+- Валидируем и промоутим один и тот же артефакт (AC-4); провенанс машиночитаем (лейбл).
+- Единый kill-switch, поэтапный раскат, условность только для self-hosting — без регрессий
+  для не-self репо.
+
+**Минусы / ограничения**
+- Латентность ребра растёт: +`docker build` staging + recreate 8501 + повторный
+  `staging_check` перед Phase A. Приемлемо (выполняется в monitor-треде, как merge-gate
+  re-test; bounded timeouts).
+- `staging_check` гоняется дважды (soft pre-check агента + авторитетный код) — осознанная
+  плата за AC-4. Возможная будущая оптимизация: облегчить шаг 3 до health+revision-smoke,
+  если merge-gate re-test признать достаточным для кода.
+- Требуется host-доступ к `docker build`/`compose` под slin (как для `--deploy`) и writable
+  build-context (worktree) — заложено инфра-требованиями (07).
+- Новая под-компонента (QG `check_staging_image_fresh` + режим хука `--build-staging`) →
+  `arch:major-change`.
+
+## Альтернативы (отклонены)
+
+- **Только B.** Deadlock без авто-пересборки (BR-5/AC-6). ❌
+- **Только A.** Нет утверждения в момент retag → гонка/отключение снова даёт тихий промоут
+  (AC-2/AC-3). ❌
+- **Rebuild в хуке на Phase B (прод-сторона).** Уничтожает BUILD-ONCE (прод-rebuild) и
+  промоутит образ, который staging-e2e никогда не валидировал. ❌
+- **Rebuild напрямую из контейнера через docker.sock.** В образе нет docker CLI/compose;
+  staging-операции и так host-side (ssh). ❌
+
+## Связанные ADR
+Глобальный: `docs/architecture/adr/adr-0008-staging-image-provenance.md`.
+`adr-0007-executable-self-deploy` (ORCH-36, BUILD-ONCE), `adr-0006-merge-gate` (ORCH-43,
+образец edge-под-гейта), `adr-0003-staging-gate` (ORCH-35, условность), `adr-0005`
+(run-as-host-uid).

docs/work-items/ORCH-058/07-infra-requirements.md

@@ -0,0 +1,71 @@
+# Инфра-требования — ORCH-058
+
+Work Item ID: ORCH-058
+
+Топология не меняется (тот же сервер mva154, те же контейнеры 8500/8501, общая БД). Меняется
+**что делает self-deploy на ребре `deploy-staging → deploy`** для self-hosting. Полная
+топология/риски — `docs/operations/INFRA.md` (обновить в том же PR).
+
+## IR-1. Host-сборка staging-образа (Стратегия A)
+
+Шаг свежести пересобирает `orchestrator-orchestrator-staging` на ХОСТЕ (docker CLI/compose
+есть на хосте, НЕ в контейнере — образ ставит только `openssh-client git`). Требуется:
+
+- Рабочий ssh `slin@127.0.0.1` (уже есть, ORCH-36 / LESSONS п.1–2: passwd-запись uid 1000,
+  ключ смонтирован, `ORCH_DEPLOY_*` префиксы).
+- На хосте под `slin` доступны `docker build` и `docker compose --profile staging`
+  (recreate 8501). Группа docker (`group_add: "999"` / host-доступ к `docker.sock`) — уже
+  настроено.
+- **Build-context = host-путь worktree** валидированной ветки
+  (`/home/slin/repos/_wt/<repo>/<branch-slug>`), читаемый под `slin`. Worktree уже
+  создаётся launcher'ом/merge-gate под slin (ADR-0005 run-as-host-uid) — права ок.
+- Лог-директория хука writable под slin (`/var/log/orchestrator`, LESSONS п.3) — уже.
+
+## IR-2. Вывод host-пути worktree
+
+В контейнере worktree виден как `ORCH_WORKTREES_DIR=/repos/_wt/...`; на хосте — как
+`/home/slin/repos/_wt/...`. Маппинг = замена `repos_dir → host_repos_dir` (как
+`self_deploy.host_state_dir`). Реализация: производный helper host-worktree-пути, либо новая
+настройка `ORCH_HOST_WORKTREES_DIR` (дефолт `/home/slin/repos/_wt`). Без неё — деривация из
+`host_repos_dir`.
+
+## IR-3. OCI-лейбл происхождения (Стратегия B)
+
+`Dockerfile`: `ARG GIT_SHA` + `LABEL org.opencontainers.image.revision=$GIT_SHA`. Сборки БЕЗ
+build-arg (ручные/legacy) дают пустой лейбл → B fail-closed (это by design, не регрессия:
+прод-retag без доказуемого провенанса должен падать). Любой существующий способ сборки прод/
+staging-образа (CI, ручной) при включённой фиче ОБЯЗАН передавать `--build-arg GIT_SHA=<sha>`,
+иначе деплой задачи fail-fast'нется на guard. Шаг A это делает автоматически.
+
+## IR-4. ssh-режим хука `--build-staging`
+
+Новый режим `orchestrator-deploy-hook.sh --build-staging` запускается синхронно (рестарт
+staging безопасен, detached/finalizer не нужны — в отличие от Phase B прод). Дефолты режима —
+STAGING-safe (`TARGET_PORT=8501`, `--profile staging`). Прод (8500) этим режимом НЕ
+затрагивается.
+
+## IR-5. Конфигурация (env, префикс `ORCH_`)
+
+- `ORCH_IMAGE_FRESHNESS_ENABLED` (дефолт true) — единый kill-switch A+B.
+- `ORCH_IMAGE_FRESHNESS_REPOS` (дефолт пусто → self-hosting).
+- (опц.) `ORCH_HOST_WORKTREES_DIR` (дефолт `/home/slin/repos/_wt`).
+
+`EXPECTED_REVISION` для хука строится в `build_deploy_command` — отдельной настройки не
+требует. `deploy_prod_source_image` (= `orchestrator-orchestrator-staging`) переиспользуется.
+
+## IR-6. Безопасность self-hosting (инварианты)
+
+- Любые `docker build` / `compose up` / recreate — ТОЛЬКО staging (8501); прод (8500) не
+  рестартуется в рамках шага свежести.
+- `main` не пушится; force-only — `--force-with-lease` на ветку задачи (merge-gate, без
+  изменений). Шаг A не пушит ничего (только локальный `docker build`).
+- B-guard срабатывает ДО `docker tag`/restart — прод не трогается на сомнении.
+
+## IR-7. Bootstrap-чеклист (урок ORCH-36 «сквозной»)
+
+Перед мержем ORCH-058 — **реальный** прогон в staging-петле (не только бумажные гейты):
+сборка staging из worktree с GIT_SHA → лейбл присутствует
+(`docker image inspect ... revision`) → recreate 8501 → `staging_check` зелёный →
+`build_deploy_command` отдаёт непустой `EXPECTED_REVISION` → хук-guard пропускает при
+совпадении и `exit 1` при подмене `SOURCE_IMAGE` на устаревший. Зафиксировать в bootstrap-
+заметке (как LESSONS_ORCH-036).

docs/work-items/ORCH-058/10-tech-risks.md

@@ -0,0 +1,16 @@
+# Технические риски — ORCH-058
+
+Work Item ID: ORCH-058
+
+| ID | Риск | Вероятность / Влияние | Митигация |
+|----|------|----------------------|-----------|
+| R-1 | **Полу-конфигурация «B без A»** → вечный fail-fast деплоя (B падает, никто не пересобирает) | Низк. / Высок. (deadlock, BR-5) | Единый kill-switch `image_freshness_enabled` включает/выключает A и B **как целое**; раздельных флагов A/B нет. Дефолт — оба включены. AC-6. |
+| R-2 | **Рассинхрон якоря**: merge-gate делает rebase ПОСЛЕ того, как агент прогнал staging_check → HEAD изменился | Сред. / Сред. | Якорь берётся ПОСЛЕ merge-gate; шаг A пересобирает из post-rebase HEAD; авторитетный staging_check — против свежего образа. Pre-check агента — soft. |
+| R-3 | **Гонка**: между пересборкой A и Phase B human-approve worktree HEAD сместился | Низк. / Высок. | B сверяет лейбл образа с `EXPECTED_REVISION`=validated_revision на момент Phase B; рассинхрон → fail-closed `exit 1`, прод не трогается. AC-2/AC-3. |
+| R-4 | **Пустой лейбл** (ручная/legacy/CI-сборка без `--build-arg GIT_SHA`) | Сред. / Высок. | Fail-closed: пустой лейбл → несоответствие → `exit 1`. By design. Шаг A всегда передаёт GIT_SHA. IR-3 фиксирует требование к любым сборкам. |
+| R-5 | **Латентность ребра**: +docker build staging +recreate +повторный staging_check перед approve | Высок. / Низк. | Bounded timeouts; выполняется в monitor-треде (как merge-gate re-test). `staging_check --mode stub` без LLM-трат. Приемлемо. |
+| R-6 | **Сборка/recreate случайно затронет прод (8500)** | Низк. / Критич. | Режим хука `--build-staging` со STAGING-safe дефолтами (8501, `--profile staging`); код шага A никогда не передаёт прод-параметры. AC-9. Тест-инвариант: цель != прод. |
+| R-7 | **docker build на хосте падает** (нет места, недоступен daemon, битый worktree) | Низк. / Сред. | never-raise: `check_staging_image_fresh` → `(False, reason)` + release lease → откат на `development` (не зависание, не тихий промоут). AC-8. |
+| R-8 | **Двойной staging_check** воспринят как баг/лишняя трата | Сред. / Низк. | Документировано как намеренное (soft pre-check агента vs авторитетный код против промоутимого образа). Будущая оптимизация — облегчить шаг A. |
+| R-9 | **Самохостинг-bootstrap**: фича не действует, пока сама не в проде (старый прод-образ без лейбла) | Высок. (однократно) / Сред. | Bootstrap-чеклист (IR-7): первый реальный staging-прогон + ручной разрыв; B обратносовместим (без `EXPECTED_REVISION` — старое поведение), раскат поэтапный через флаг. |
+| R-10 | **Деградация не-self репо** | Низк. / Высок. | Условность (`image_freshness_repos` пусто → только orchestrator); для прочих — `(True, "N/A")` + хук без `EXPECTED_REVISION` = прежний путь. AC-5. |

docs/work-items/ORCH-058/15-staging-log.md

@@ -0,0 +1,131 @@
+---
+staging_status: FAILED
+timestamp: 2026-06-07T11:01:00Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log — ORCH-058
+
+Staging test suite ran against the live staging environment and **FAILED** (exit code `1`,
+**8/10 checks PASS**). Block C (E2E) checks C9a and C9b failed.
+
+Per the staging-gate contract this is the machine verdict `FAILED` (it reflects the real suite
+exit code, never an LLM declaration). Smoke (A1–A3) and access (B4–B6) all passed, **including
+B6 registry isolation** — so this is NOT a B6/ORCH-048 false-FAIL.
+
+> ⚠️ **CORRECTED ROOT CAUSE — read before acting on this rollback.** The previous revision of
+> this log blamed `handle_status_start` / a regression in the validated artifact. **That was
+> wrong**, which is why the dev↔staging cycle kept repeating. Direct inspection inside the
+> running staging instance proves the production code is **correct** and the failure is a bug in
+> the **test harness `scripts/staging_check.py`**. Do NOT touch `src/webhooks/plane.py` /
+> `handle_status_start` / any ORCH-058 image-freshness code. **Fix `scripts/staging_check.py`.**
+
+## Execution
+- Canonical `docker exec` into `orchestrator-staging` (ORCH-048, ADR-001), invoked via the
+  Docker Engine API over the mounted unix socket (the `docker` CLI binary is absent in the
+  agent runtime image; the Engine-API exec is the exact equivalent of
+  `docker exec orchestrator-staging python3 /repos/orchestrator/scripts/staging_check.py
+  --base-url http://localhost:8501 --mode stub`).
+- Script: `/repos/orchestrator/scripts/staging_check.py` (bind-mount, served from the host repo,
+  NOT baked into the image — so a harness fix takes effect on the next run without a rebuild).
+- Mode: `stub`
+- Exit code: `1`
+- Result: **8/10 checks PASS** (FAIL: C9a, C9b)
+- Staging image under test: `orchestrator-orchestrator-staging`, OCI label
+  `org.opencontainers.image.revision=094b5e2f960f696216f8661ff9c27b0d4706f219` (= the **merge
+  commit of ORCH-058 into `main`**, PR #57; ancestor of branch HEAD `60e5596e`). Container
+  recreated 2026-06-07T10:13:36Z. So the artifact under test genuinely contains the validated
+  ORCH-058 code.
+
+## Decisive root cause (proven, actionable)
+Block C creates a SANDBOX Plane issue (C7 ✓), then POSTs a signed `/webhook/plane` payload to
+start the pipeline (C8 ✓ — HTTP 200 `{"status":"accepted"}`). The staging instance logged for
+the test issue `427cb94e-…`:
+
+```
+2026-06-07 10:59:04 [INFO] orchestrator.webhooks.plane: issue 427cb94e-cedd-4def-ba5d-21c555a82477
+                            updated to state b873d9eb..., no pipeline action
+```
+
+`handle_issue_updated` (src/webhooks/plane.py) starts the pipeline **only** when the webhook's
+new state equals the **incoming project's** `in_progress` state, resolved per-project from the
+Plane API by `get_project_states(project_id)` (ORCH-10). The webhook the harness sends carries
+state `b873d9eb-993c-48cd-97ac-99a9b1623967`.
+
+**The mismatch (queried live inside the staging container):**
+
+| | UUID |
+|---|---|
+| `staging_check.py` `IN_PROGRESS_STATE_ID` (hardcoded) | `b873d9eb-993c-48cd-97ac-99a9b1623967` |
+| `get_project_states(SANDBOX)["in_progress"]` (real) | `84a76f65-75f8-4022-9554-379dad38523c` |
+| `_DEFAULT_STATES["in_progress"]` (enduro-trails fallback) | `b873d9eb-993c-48cd-97ac-99a9b1623967` |
+
+The hardcoded `b873d9eb…` is the **enduro-trails** In Progress UUID (the `_DEFAULT_STATES`
+fallback), **not** SANDBOX's. SANDBOX's actual In Progress is `84a76f65…`. So the handler
+**correctly** classifies the enduro-state webhook as `no pipeline action` for a SANDBOX issue →
+no `tasks` row, no Gitea branch (C9a FAIL after 60s), no analyst job enqueued (C9b FAIL).
+Cleanup confirmed `no task row found` and `no branch to delete`.
+
+**Why it intermittently "passed 10/10" before (09:31):** `get_project_states` falls back to
+`_DEFAULT_STATES` (= `b873d9eb…`) whenever the Plane states API call fails / returns no
+recognisable states. On runs where that fallback fired, the hardcoded harness state accidentally
+matched and the pipeline started. On this run the SANDBOX states API call succeeded at startup
+(`GET …/projects/8c5a3025-…/states/ → 200 OK`), so SANDBOX resolved to its real `84a76f65…` and
+the accidental match disappeared. The green runs were the bug; the red runs are correct handler
+behaviour exposing a harness that hardcodes the wrong project's state.
+
+## Required fix (for the development rollback) — in `scripts/staging_check.py` ONLY
+Make the E2E harness send SANDBOX's **actual** `in_progress` state instead of a hardcoded enduro
+UUID. Resolve it dynamically the same way the app does — e.g. `GET
+/workspaces/<slug>/projects/<SANDBOX_PROJECT_ID>/states/`, pick the state whose `name` is
+`"In Progress"` (group `"started"`), and use its `id` in `_make_webhook_payload`. (The harness
+already calls the Plane API for B4/B6, so credentials/URL are available.) Do **not** rely on the
+`_DEFAULT_STATES` fallback coincidence. No production-code change is warranted; ORCH-058's
+image-provenance feature is unaffected by this and is functioning.
+
+## Test output
+
+```
+============================================================
+  ORCH-33 Staging Check Suite
+  base_url : http://localhost:8501
+  mode     : stub
+  utc_time : 2026-06-07T10:59:02.392888+00:00
+============================================================
+
+[Block A] SMOKE
+  ✓ PASS  A1 GET /health → 200 status=ok  [HTTP 200, body={'status': 'ok', 'service': 'orchestrator'}]
+  ✓ PASS  A2 GET /queue → 200 with counts/max_concurrency/resilience  [HTTP 200, keys=['counts', 'max_concurrency', 'poll_interval', 'resilience', 'reconcile', 'recent']]
+  ✓ PASS  A3 ORCH_STAGING=true (not prod)  [ORCH_STAGING=true]
+
+[Block B] ACCESS
+  ✓ PASS  B4 Plane: sandbox project accessible  [HTTP 200, found 5 project(s), sandbox=YES]
+  ✓ PASS  B5 Gitea: orchestrator-sandbox accessible, push=true  [HTTP 200, permissions={'admin': True, 'push': True, 'pull': True}]
+  ✓ PASS  B6 Registry: sandbox present, prod ET/ORCH absent  [sandbox=YES, prod-ET=NO(good), prod-ORCH=NO(good)]
+
+[Block C] E2E  (mode=stub)
+  ·      C7: Creating issue in SANDBOX project...
+  ✓ PASS  C7 Create issue in Plane SANDBOX  [HTTP 201, issue_id=427cb94e-cedd-4def-ba5d-21c555a82477]
+  ·      C8: Triggering pipeline via POST /webhook/plane ...
+  ·        Using HMAC signature (secret len=40)
+  ✓ PASS  C8 Trigger pipeline via /webhook/plane  [HTTP 200, resp={'status': 'accepted'}]
+  ·      C9a: Polling for branch in orchestrator-sandbox (up to 60s)...
+  ·        waiting... (waiting for branch)  [×20]
+  ✗ FAIL  C9a Branch appears in orchestrator-sandbox  [branch=not found]
+  ·      C9b: Checking staging job queue for analyst job (up to 30s)...
+  ·        (Plane comment check skipped: bot-tokens not added to SANDBOX project)
+  ·        waiting... (waiting for analyst job in queue)  [×15]
+  ✗ FAIL  C9b Analyst job enqueued in staging queue
+
+[CLEANUP]
+  ·      CLEANUP: no branch to delete
+  ✓ PASS  CLEANUP: deleted Plane issue 427cb94e-cedd-4def-ba5d-21c555a82477 (HTTP 204)
+  ·      CLEANUP DB: no task row found for plane_id=427cb94e-cedd-4def-ba5d-21c555a82477
+  ·      CLEANUP DB dedup: no such table: events_dedup
+
+============================================================
+  RESULT: 8/10 checks PASS
+============================================================
+```
+
+EXIT_CODE=1

docs/work-items/ORCH-060/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: Reconciler не должен трогать escalated / max-retries задачи
+
+Work Item ID: ORCH-060
+
+## Description
+
+TBD

docs/work-items/ORCH-060/01-brd.md

@@ -0,0 +1,90 @@
+# BRD: Reconciler не должен трогать escalated / max-retries задачи
+
+Work Item ID: ORCH-060
+Стадия: analysis → architecture
+Связано: ORCH-053 (reconciler), ORCH-046 (retry-счётчик), ORCH-047 (BLOCKED-вердикт)
+
+## 1. Контекст и проблема
+
+ORCH-053 ввёл фоновый reconciler (`src/reconciler.py`) — sweeper, доигрывающий
+пропущенные webhook-переходы. Слой F-1 (`reconcile_gate_once` →
+`_reconcile_gate_task`) для каждой не-терминальной задачи (`stage != 'done'`) без
+активного job и старше grace делает read-only пред-оценку канонического QG; если
+гейт зелёный → `advance_if_gate_passed` → `advance_stage(..., finished_agent=None)`.
+
+**Дефект.** Задача, исчерпавшая лимит developer-ретраев
+(`_developer_retry_count(task_id) >= MAX_DEVELOPER_RETRIES = 3`), **escalated** —
+но эскалация в обработчиках Gitea (`src/webhooks/gitea.py:280` для CI-failure,
+`:371` для review REQUEST_CHANGES) выполняет ТОЛЬКО `notify_error(...)`:
+
+- стадия НЕ меняется (остаётся `development`);
+- терминального маркера в БД нет (нет `blocked`-флага в таблице `tasks`);
+- активного job нет.
+
+Для reconciler такая задача неотличима от «застрявшей из-за потерянного webhook».
+Если CI к этому моменту зелёный (типичный кейс: разработчик починил CI, но reviewer
+продолжал слать REQUEST_CHANGES → ушли в лимит), F-1 каждые `reconcile_interval_s`
+(120 с) видит зелёный `check_ci_green` и **разблокирует** задачу `development → review`.
+Reviewer снова REQUEST_CHANGES → откат на `development` → снова эскалация (стадия
+не меняется). Следующий тик — снова разблокировка. Бесконечный цикл.
+
+**Реальный инцидент (наблюдение 06–07.06.2026).** ET-013 разблокирована
+reconciler'ом **10 раз за ночь**, в итоге всё равно escalated — бесполезный поллинг
+каждые 2 минуты, лишние запуски агентов (токены, деньги), шум в Telegram
+(`reconcile_notify_unblock`), нагрузка на конвейер общего инстанса (self-hosting:
+один инстанс обслуживает ORCH + enduro-trails).
+
+Симметричный риск: задача, которую человек/агент явно перевёл в Plane-статус
+**Blocked** или **Needs Input** (ручной гейт), не должна автоматически
+разблокироваться reconciler'ом до вмешательства человека.
+
+## 2. Бизнес-цель
+
+Reconciler (F-1) обязан **пропускать** (не трогать) задачи, которые:
+1. исчерпали лимит developer-ретраев (`_developer_retry_count >= MAX_DEVELOPER_RETRIES`), и/или
+2. находятся в явном «человеческом»/терминальном Plane-статусе **Blocked** / **Needs Input**.
+
+Такие задачи ждут ручного вмешательства; автоматический sweeper их игнорирует.
+
+## 3. Заинтересованные стороны
+
+- **Owner проекта** — прекращение «фантомной» активности и шума по escalated-задачам.
+- **Другие проекты на инстансе (enduro-trails)** — снижение паразитной нагрузки общей очереди.
+- **Агенты-разработчики оркестратора** — корректная семантика терминального состояния.
+
+## 4. Объём (Scope)
+
+### Входит
+- Гард в F-1 (`_reconcile_gate_task` / `advance_if_gate_passed`), который ДО
+  оценки гейта и вызова `advance_stage` пропускает escalated-задачи
+  (retry-count >= лимит) — детерминированно, без сети.
+- Гард, пропускающий задачи в Plane-статусе Blocked / Needs Input.
+- Тесты (unit) на оба условия + регресс happy-path и отсутствия спама/нотификаций.
+- Обновление документации: `docs/architecture/README.md` (описание F-1),
+  per-work-item ADR, `CHANGELOG.md`.
+
+### Не входит
+- Изменение порога `MAX_DEVELOPER_RETRIES` или логики самой эскалации в `gitea.py`.
+- Изменение F-2 plane-side по существу (F-2 уже реагирует только на
+  in_progress/approved/rejected, то есть Blocked/Needs Input им не доигрываются —
+  достаточно регресс-теста, фиксирующего это поведение).
+- Реестры `STAGE_TRANSITIONS` / `QG_CHECKS`, схема прочих стадий.
+
+## 5. Допущения и ограничения
+
+- **Инвариант reconciler (ORCH-053):** схема БД и реестры не меняются. Решение
+  должно либо обойтись без миграции, либо архитектор обязан явно обосновать
+  необходимость нового столбца как терминального маркера.
+- **Never-raise:** гард не должен ломать тик; любая ошибка вычисления условия →
+  безопасный фоллбэк (не трогать задачу — консервативно).
+- **self-hosting:** нельзя ронять/рестартить прод-контейнер; изменение — чисто
+  логика sweeper'а, деплой через staging (8501) по канону.
+- Источник истины по retry — `agent_runs` (как у `_developer_retry_count`).
+
+## 6. Критерий успеха (бизнес)
+
+После выката на конкретной escalated-задаче (как ET-013): за ночь — **0**
+строк `reconciler: <wi> ... разблокирована`, **0** повторных запусков агентов,
+**0** Telegram-нотификаций разблокировки; задача спокойно ждёт человека в
+`development`/Blocked. При этом штатные «честно застрявшие» задачи
+(retry < лимита, не Blocked) reconciler по-прежнему доигрывает.

docs/work-items/ORCH-060/02-trz.md

@@ -0,0 +1,113 @@
+# ТЗ: Reconciler пропускает escalated / max-retries / blocked-needs-input задачи
+
+Work Item ID: ORCH-060
+Стадия: analysis → architecture (архитектор фиксирует механику в ADR)
+
+## 1. Задействованные модули `src/`
+
+| Модуль | Роль в задаче |
+|--------|---------------|
+| `src/reconciler.py` | **Основное изменение.** F-1: `Reconciler._reconcile_gate_task` — добавить пред-проверки (escalated / blocked / needs-input) ДО `advance_if_gate_passed`. |
+| `src/stage_engine.py` | Источник `MAX_DEVELOPER_RETRIES` (=3) и `_developer_retry_count(task_id)`. Кандидат на промоут приватного хелпера в переиспользуемый (решает архитектор). |
+| `src/db.py` | Чтение состояния задачи (`get_active_tasks_for_reconcile` уже отдаёт строки `tasks`); возможный новый read-helper для retry-count, если решено не импортировать приватный из stage_engine. |
+| `src/plane_sync.py` | Маппинг Plane-статусов (`PLANE_STATES`, `get_project_states`): `blocked`, `needs_input`. Источник для проверки «человеческого» статуса, если архитектор выберет проверку через Plane API. |
+| `src/webhooks/gitea.py` | НЕ меняется (только справочно: точки эскалации `:280`, `:371`). |
+
+## 2. Требуемое поведение (контракт F-1)
+
+`Reconciler._reconcile_gate_task(task)` ДО вызова `advance_if_gate_passed(...)`
+обязан вернуться (пропустить задачу, ничего не делая, не инкрементируя
+`unblocked_total`, не слать нотификации), если выполнено ЛЮБОЕ из условий:
+
+1. **Escalated по ретраям (обязательно, детерминированно, без сети):**
+   `developer_retry_count(task_id) >= MAX_DEVELOPER_RETRIES`.
+   - `MAX_DEVELOPER_RETRIES` импортируется из `stage_engine` (НЕ хардкодить число).
+   - Источник счётчика — тот же запрос, что в `_developer_retry_count`:
+     `SELECT COUNT(*) FROM agent_runs WHERE task_id=? AND agent='developer'`.
+
+2. **Явный человеческий/терминальный Plane-статус:** issue в состоянии
+   **Blocked** или **Needs Input**.
+
+Порядок: проверки добавляются в `_reconcile_gate_task` ПОСЛЕ существующих гардов
+(`stage=='analysis'` carve-out, `get_qg_for_stage is None`, `has_active_job_for_task`,
+grace) и ДО `advance_if_gate_passed`. Условие (1) — дешёвое (локальный SQL) —
+проверять раньше условия (2), если (2) требует сети.
+
+## 3. Механика проверки blocked/needs-input (выбор — за архитектором, ADR)
+
+В таблице `tasks` НЕТ столбца статуса (`stage` всегда `development` у escalated).
+Архитектор выбирает и обосновывает один из вариантов; требования к каждому:
+
+- **Вариант A — проверка через Plane API (без миграции, предпочтительно по
+  инварианту ORCH-053 «схема не меняется»):** для кандидата F-1 запросить текущее
+  состояние issue (per-project `get_project_states` → сверка с `blocked`/`needs_input`).
+  Допустимо, т.к. F-1 уже делает сетевой вызов в гейте (`check_ci_green`), а
+  кандидатов после grace+no-active-job немного. Обязателен never-raise: ошибка
+  запроса → консервативно НЕ трогать задачу (skip), либо явно обоснованный фоллбэк.
+- **Вариант B — локальный терминальный маркер в БД:** идемпотентная миграция
+  (`tasks.blocked`/`tasks.reconcile_skip`), выставляется в точках `set_issue_blocked`/
+  `set_issue_needs_input` и в точках эскалации `gitea.py`. Требует обоснования
+  нарушения инварианта «схема reconciler не меняется» и затрагивает больше точек.
+
+> Рекомендация аналитика: условие (1) полностью закрывает зафиксированный инцидент
+> (ET-013 = escalated = max retries) детерминированно и без сети — оно
+> обязательно к реализации. Условие (2) — защита от автоперекрытия ручного гейта;
+> минимально-инвазивный путь — Вариант A. Архитектор вправе ограничить (2)
+> Вариантом A либо обосновать B.
+
+## 4. Изменения API
+
+Нет. Эндпоинты не добавляются и не меняются. Снимок `GET /queue` (блок `reconcile`)
+по содержимому не меняется; опционально архитектор может добавить best-effort
+счётчик `skipped_escalated` (необязательно, вне scope AC).
+
+## 5. Изменения схемы БД
+
+По умолчанию — **нет** (Вариант A). При выборе Варианта B — идемпотентная
+ALTER-миграция через `_ensure_column` (как остальные в `db.init_db`),
+restart-safe, безопасная на живой прод-БД; обязательна явная мотивация в ADR.
+
+## 6. Требования к QG checks
+
+Нет новых QG. Реестр `QG_CHECKS` и `STAGE_TRANSITIONS` не меняются. Гард —
+ВНЕ гейта: он решает, ЗАПУСКАТЬ ли пред-оценку гейта вообще, а не меняет вердикт
+гейта.
+
+## 7. Инварианты, которые нельзя нарушить
+
+- **Never-raise** на единицу работы (per-task `try/except` в `reconcile_gate_once`
+  сохраняется; новая логика не должна бросать наружу).
+- **Тишина при пропуске:** пропущенная задача не инкрементирует `unblocked_total`,
+  не пишет лог `разблокирована`, не шлёт Telegram.
+- **Регресс F-1 happy-path:** задача с retry < лимита и не-Blocked/Needs-Input при
+  зелёном гейте по-прежнему доигрывается (`advance_stage` вызывается).
+- **F-2** по существу не меняется: Blocked/Needs Input не входят в
+  {in_progress, approved, rejected} → не доигрываются (зафиксировать регресс-тестом).
+- `analysis` carve-out F-1 сохраняется.
+- Kill-switch'и (`reconcile_enabled`, `reconcile_plane_enabled`) работают как прежде.
+
+## 8. Артефакты pipeline, которые должны быть созданы/обновлены
+
+- `docs/work-items/ORCH-060/06-adr/ADR-001-*.md` — решение по механике (2) (A vs B).
+- `docs/architecture/README.md` — дополнить описание F-1 («skip escalated /
+  blocked / needs-input»).
+- `CHANGELOG.md` — запись `fix(reconciler): ...`.
+- Тесты — `tests/test_reconciler.py` (расширение).
+- Обновить footer `docs/architecture/README.md` (статус ORCH-060).
+
+## 9. Точки изменения кода (конкретно)
+
+1. `src/reconciler.py`, `_reconcile_gate_task`: после grace-проверки и до
+   `advance_if_gate_passed` вставить:
+   ```python
+   # ORCH-060: escalated tasks (max developer retries reached) are terminal —
+   # they wait for a human, not the sweeper. Skip deterministically (no network).
+   if developer_retry_count(task_id) >= MAX_DEVELOPER_RETRIES:
+       return
+   # ORCH-060: respect an explicit human gate (Blocked / Needs Input).
+   if self._is_blocked_or_needs_input(task):  # mechanism per ADR (Variant A/B)
+       return
+   ```
+2. `src/reconciler.py`: импорт `MAX_DEVELOPER_RETRIES` (и retry-count хелпера) из
+   `stage_engine` (или новый read-helper в `db.py`).
+3. Хелпер проверки Plane-статуса (`_is_blocked_or_needs_input`) — never-raise.

docs/work-items/ORCH-060/03-acceptance-criteria.md

@@ -0,0 +1,124 @@
+# Критерии приёмки: ORCH-060
+
+Work Item ID: ORCH-060
+
+Формат: каждый критерий — Дано / Когда / Тогда, с однозначным PASS/FAIL.
+
+---
+
+## AC-1 — Escalated-задача (retry == лимит) не разблокируется (главный кейс ET-013)
+
+- **Дано:** задача на `stage='development'`, без активного job, `age >= grace`,
+  `check_ci_green` зелёный; в `agent_runs` ровно `MAX_DEVELOPER_RETRIES` (=3)
+  записей `agent='developer'`.
+- **Когда:** выполняется `Reconciler.reconcile_gate_once()`.
+- **Тогда:** стадия остаётся `development`; `advance_stage`/`advance_if_gate_passed`
+  не приводит к смене стадии; `unblocked_total == 0`; новый developer/reviewer job
+  не создаётся.
+- **PASS:** стадия не изменилась И `unblocked_total == 0` И нет новых job.
+- **FAIL:** стадия стала `review` / появился новый job / `unblocked_total > 0`.
+
+## AC-2 — Граница: retry > лимита тоже пропускается
+
+- **Дано:** то же, но developer-записей `> MAX_DEVELOPER_RETRIES` (например 4–5).
+- **Когда:** `reconcile_gate_once()`.
+- **Тогда:** задача пропущена (как AC-1).
+- **PASS / FAIL:** как AC-1.
+
+## AC-3 — Регресс happy-path: retry < лимита по-прежнему доигрывается
+
+- **Дано:** `development`, без активного job, `age >= grace`, `check_ci_green`
+  зелёный; developer-записей `< MAX_DEVELOPER_RETRIES` (например 0, 1 или 2).
+- **Когда:** `reconcile_gate_once()`.
+- **Тогда:** задача доигрывается `development → review`; `unblocked_total == 1`;
+  enqueue следующего агента происходит как раньше.
+- **PASS:** стадия стала `review` И `unblocked_total == 1`.
+- **FAIL:** задача пропущена / стадия не изменилась.
+
+## AC-4 — Граница ровно на лимите (==3) → skip, на (лимит−1) → advance
+
+- **Дано:** две задачи-близнеца, идентичные кроме числа developer-записей:
+  одна с `MAX_DEVELOPER_RETRIES`, другая с `MAX_DEVELOPER_RETRIES − 1`.
+- **Когда:** `reconcile_gate_once()`.
+- **Тогда:** первая пропущена (skip), вторая доиграна (advance).
+- **PASS:** ровно одна из двух доиграна (та, что `−1`).
+- **FAIL:** обе доиграны / обе пропущены / доиграна задача на лимите.
+
+## AC-5 — Plane-статус Blocked → пропуск
+
+- **Дано:** задача-кандидат F-1 (stage не-терминальный, без активного job,
+  `age >= grace`, гейт зелёный), у которой текущий Plane-статус issue = **Blocked**;
+  retry < лимита (чтобы изолировать именно этот гард).
+- **Когда:** `reconcile_gate_once()`.
+- **Тогда:** задача пропущена; стадия не меняется; `unblocked_total == 0`.
+- **PASS:** стадия не изменилась И `unblocked_total == 0`.
+- **FAIL:** задача доиграна.
+
+## AC-6 — Plane-статус Needs Input → пропуск
+
+- **Дано:** как AC-5, но Plane-статус = **Needs Input**.
+- **Когда:** `reconcile_gate_once()`.
+- **Тогда:** задача пропущена (как AC-5).
+- **PASS / FAIL:** как AC-5.
+
+## AC-7 — Тишина при пропуске (no spam)
+
+- **Дано:** escalated-задача (как AC-1).
+- **Когда:** `reconcile_gate_once()` (один или несколько тиков).
+- **Тогда:** НЕ вызывается `_note_unblock`; нет лог-строки `... разблокирована`;
+  нет `send_telegram`; нет `notify_qg_failure` (пропуск — раньше оценки гейта).
+- **PASS:** ни одна из перечисленных нотификаций не вызвана.
+- **FAIL:** вызвана любая нотификация.
+
+## AC-8 — Никакого сетевого вызова гейта на escalated-задаче
+
+- **Дано:** escalated-задача (как AC-1) с замоканным `check_ci_green`.
+- **Когда:** `reconcile_gate_once()`.
+- **Тогда:** `check_ci_green` (через `advance_if_gate_passed`/`_run_qg`) НЕ
+  вызывается для этой задачи — пропуск происходит раньше.
+- **PASS:** мок гейта не вызван.
+- **FAIL:** мок гейта вызван.
+
+## AC-9 — F-2 не доигрывает Blocked/Needs Input (регресс)
+
+- **Дано:** issue в Plane-статусе Blocked или Needs Input (не входит в
+  {in_progress, approved, rejected}).
+- **Когда:** `reconcile_plane_once()`.
+- **Тогда:** ни `handle_status_start`, ни `handle_verdict` не вызываются для
+  этого issue; `unblocked_total == 0`.
+- **PASS:** обработчики не вызваны.
+- **FAIL:** вызван любой обработчик.
+
+## AC-10 — Never-raise: ошибка проверки статуса не ломает тик
+
+- **Дано:** проверка blocked/needs-input (Plane API в Варианте A) бросает
+  исключение для одной задачи; в выборке есть ещё одна валидная задача.
+- **Когда:** `reconcile_gate_once()`.
+- **Тогда:** тик не падает; сбойная задача консервативно НЕ трогается (skip);
+  остальные обрабатываются.
+- **PASS:** исключение изолировано, остальные задачи обработаны.
+- **FAIL:** исключение всплыло из `reconcile_gate_once`.
+
+## AC-11 — Лимит не хардкодится
+
+- **Дано:** код F-1-гарда.
+- **Тогда:** используется `stage_engine.MAX_DEVELOPER_RETRIES`, а не литерал `3`.
+- **PASS:** граница берётся из константы.
+- **FAIL:** в reconciler.py появился магический `3`.
+
+## AC-12 — Документация обновлена (golden source)
+
+- **Дано:** PR задачи.
+- **Тогда:** обновлены `docs/architecture/README.md` (описание F-1 с новым skip),
+  `CHANGELOG.md`, создан `06-adr/ADR-001-*.md`.
+- **PASS:** все три артефакта обновлены/созданы в этом же PR.
+- **FAIL:** любой отсутствует (reviewer → REQUEST_CHANGES).
+
+## AC-13 — Регресс существующих тестов reconciler
+
+- **Дано:** существующий `tests/test_reconciler.py` (ORCH-053).
+- **Когда:** `pytest tests/test_reconciler.py -q`.
+- **Тогда:** все прежние тесты зелёные (поведение happy-path/analysis/kill-switch
+  не сломано).
+- **PASS:** 0 регрессий.
+- **FAIL:** любой ранее зелёный тест упал.

docs/work-items/ORCH-060/04-test-plan.yaml

@@ -0,0 +1,82 @@
+work_item: ORCH-060
+description: >
+  Reconciler F-1 пропускает escalated (retry >= MAX_DEVELOPER_RETRIES) и
+  явно-blocked / needs-input задачи; happy-path и no-spam сохранены.
+  Конвенции test-фикстур — как в существующем tests/test_reconciler.py
+  (изолированная sqlite-БД, моки Plane/Telegram/gate). Хелпер _make_task
+  вставляет задачу; developer-ретраи моделируются вставкой N строк в agent_runs
+  (agent='developer'); зелёный CI — через _green_ci(monkeypatch).
+
+tests:
+  - id: TC-01
+    type: unit
+    description: "AC-1: escalated dev-задача (ровно MAX_DEVELOPER_RETRIES developer-ранов) при зелёном CI НЕ разблокируется — стадия остаётся development, unblocked_total==0, новых job нет"
+    module: tests/test_reconciler.py
+    setup: "_make_task('development', age_s=grace+60); insert MAX_DEVELOPER_RETRIES rows agent_runs(agent='developer'); _green_ci()"
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: "AC-2: developer-ранов > MAX_DEVELOPER_RETRIES (4–5) → также skip"
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: "AC-3 (регресс happy-path): developer-ранов < MAX (0/1/2) при зелёном CI → задача доигрывается development->review, unblocked_total==1"
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "AC-4: граница — задача с ровно MAX пропущена, задача с MAX-1 доиграна (ровно одна advance)"
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-05
+    type: unit
+    description: "AC-5: задача в Plane-статусе Blocked (retry<лимита) пропущена — стадия не меняется, unblocked_total==0 (мок проверки статуса возвращает Blocked)"
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: "AC-6: задача в Plane-статусе Needs Input (retry<лимита) пропущена"
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: "AC-7 (no spam): на escalated-задаче не вызваны _note_unblock / send_telegram / notify_qg_failure; нет лог-строки 'разблокирована'"
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: "AC-8: на escalated-задаче мок check_ci_green НЕ вызван (skip раньше пред-оценки гейта)"
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: "AC-9 (регресс F-2): issue в Blocked/Needs Input не передаётся ни в handle_status_start, ни в handle_verdict при reconcile_plane_once; unblocked_total==0"
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-10
+    type: unit
+    description: "AC-10 (never-raise): проверка blocked/needs-input бросает исключение на одной задаче → тик не падает, сбойная skip, валидная соседняя обработана"
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-11
+    type: unit
+    description: "AC-11: граница берётся из stage_engine.MAX_DEVELOPER_RETRIES — тест с monkeypatch значения константы меняет точку отсечения (нет хардкода 3)"
+    module: tests/test_reconciler.py
+    expected: PASS
+
+  - id: TC-12
+    type: integration
+    description: "AC-13 (регресс): полный прогон tests/test_reconciler.py (ORCH-053 кейсы) — все прежние тесты зелёные"
+    module: tests/test_reconciler.py
+    expected: PASS

docs/work-items/ORCH-060/06-adr/ADR-001-reconciler-skip-escalated.md

@@ -0,0 +1,161 @@
+# ADR-001: Reconciler (F-1) пропускает escalated / Blocked / Needs-Input задачи
+
+- **Статус:** Accepted
+- **Дата:** 2026-06-07
+- **Задача:** ORCH-060
+- **Стадия:** architecture
+- **Связано:** adr-0007 (reconciler, ORCH-053) — уточняет контракт F-1;
+  ORCH-046 (retry-счётчик), ORCH-047 (BLOCKED-вердикт)
+
+## Контекст
+
+ORCH-053 ввёл F-1 (`Reconciler._reconcile_gate_task`): для каждой не-терминальной
+задачи без активного job и старше grace делается read-only пред-оценка
+канонического QG; зелёный → `advance_if_gate_passed` →
+`advance_stage(..., finished_agent=None)`.
+
+**Дефект (инцидент ET-013, 06–07.06.2026).** Задача, исчерпавшая лимит
+developer-ретраев (`_developer_retry_count(task_id) >= MAX_DEVELOPER_RETRIES = 3`),
+**escalated** в обработчиках `gitea.py` (`:280` CI-failure, `:371` review
+REQUEST_CHANGES) выполняет ТОЛЬКО `notify_error(...)`:
+
+- стадия НЕ меняется (остаётся `development`);
+- терминального маркера в БД нет (нет столбца статуса в `tasks`);
+- активного job нет.
+
+Для F-1 такая задача **неотличима** от «застрявшей из-за потерянного webhook».
+Если CI зелёный (типовой кейс: dev починил CI, но reviewer слал REQUEST_CHANGES
+до лимита), каждые `reconcile_interval_s` (120с) F-1 видит зелёный `check_ci_green`
+и разблокирует `development → review` → reviewer снова REQUEST_CHANGES → откат →
+снова эскалация (стадия не меняется) → следующий тик снова разблокирует.
+**Бесконечный цикл:** ET-013 разблокирована 10 раз за ночь, лишние запуски агентов
+(токены/деньги), спам в Telegram, паразитная нагрузка общего self-hosting-инстанса.
+
+Симметричный риск: задачу, которую человек явно перевёл в Plane-статус **Blocked**
+/ **Needs Input** (ручной гейт), sweeper не должен авторазблокировать до
+вмешательства человека.
+
+## Решение
+
+В `_reconcile_gate_task` ПОСЛЕ существующих гардов (`stage=='analysis'` carve-out,
+`get_qg_for_stage is None`, `has_active_job_for_task`, grace) и ДО
+`advance_if_gate_passed` добавляются два пред-гарда. Любой срабатывает → ранний
+`return`: задача пропущена, гейт НЕ оценивается, `unblocked_total` не растёт,
+нотификаций нет.
+
+### Гард 1 — escalated по ретраям (детерминированный, без сети) — **обязателен**
+
+```python
+# ORCH-060: escalated tasks (max developer retries reached) are terminal —
+# they wait for a human, not the sweeper. Deterministic, no network.
+if developer_retry_count(task_id) >= MAX_DEVELOPER_RETRIES:
+    return
+```
+
+- Источник истины по retry — `agent_runs` (как у `_developer_retry_count`):
+  `SELECT COUNT(*) FROM agent_runs WHERE task_id=? AND agent='developer'`.
+- `MAX_DEVELOPER_RETRIES` импортируется из `stage_engine` — **не хардкодить `3`**
+  (AC-11).
+- Граница `>=` (на лимите — skip, на `лимит−1` — advance; AC-4).
+
+**Промоут хелпера.** `stage_engine._developer_retry_count` повышается до публичного
+`developer_retry_count` (приватное имя сохраняется как алиас для существующих
+внутренних call-sites). Reconciler импортирует
+`MAX_DEVELOPER_RETRIES, developer_retry_count` из `stage_engine`. SQL **не
+дублируется** в `db.py` — единый источник истины по подсчёту ретраев.
+
+### Гард 2 — явный человеческий Plane-статус (Blocked / Needs Input) — **Вариант A**
+
+```python
+# ORCH-060: respect an explicit human gate (Blocked / Needs Input).
+if self._is_blocked_or_needs_input(task):
+    return
+```
+
+Механика — **Вариант A (запрос Plane API, без миграции схемы):**
+
+1. Новый never-raise хелпер `plane_sync.fetch_issue_state(issue_id, project_id)
+   -> str | None` — GET issue-detail (тот же endpoint/headers, что
+   `fetch_issue_sequence_id` / `fetch_issue_fields`), возвращает uuid текущего
+   `state`; любая ошибка/отсутствие поля → `None`.
+2. `Reconciler._is_blocked_or_needs_input(task)`:
+   - `repo → ProjectConfig` через `projects.get_project_by_repo(task['repo'])`;
+   - `pid = proj.plane_project_id`; `states = get_project_states(pid)` (кэш per-project);
+   - `cur = fetch_issue_state(task['plane_id' | 'plane_issue_id'], pid)`;
+   - вернуть `cur in {states['blocked'], states['needs_input']}`.
+   - **Never-raise → консервативный фоллбэк:** любая ошибка/`None`/нерезолвленный
+     проект → трактуем как «возможно заблокировано» → возвращаем `True` (skip).
+     Не-разблокировать безопаснее, чем разблокировать (AC-10).
+
+**Порядок гардов:** Гард 1 (локальный SQL, дёшево) — ПЕРВЫМ; Гард 2 (сеть) —
+вторым. Для зафиксированного инцидента (ET-013 = escalated) Гард 1 закрывает кейс
+**без единого сетевого вызова**.
+
+### Что НЕ меняется (инварианты ORCH-053)
+
+- Схема БД — **без миграции** (Вариант A). `STAGE_TRANSITIONS` / `QG_CHECKS` —
+  без изменений. Гард — ВНЕ гейта: решает, ЗАПУСКАТЬ ли пред-оценку, а не меняет
+  вердикт.
+- Never-raise на единицу работы (`reconcile_gate_once` per-task `try/except`
+  сохраняется; новая логика не бросает наружу).
+- `analysis` carve-out, kill-switch'и (`reconcile_enabled`,
+  `reconcile_plane_enabled`) — как прежде.
+- F-2 по существу не меняется: Blocked/Needs Input не входят в
+  `{in_progress, approved, rejected}` → не доигрываются (фиксируется
+  регресс-тестом AC-9).
+
+### Опционально (вне scope AC, рекомендации)
+
+- Под-флаг `reconcile_skip_blocked_enabled` (default `true`) для независимого
+  отключения только Гарда 2 (сетевого), по аналогии с `reconcile_plane_enabled`.
+  Гард 1 (локальный, безопасный) — всегда активен.
+- Best-effort счётчик `skipped_escalated` в снимке `GET /queue` (наблюдаемость).
+
+## Альтернативы
+
+- **Вариант B — локальный терминальный маркер в БД** (`tasks.blocked` /
+  `tasks.reconcile_skip`, идемпотентный ALTER, выставляется в `set_issue_blocked`
+  / `set_issue_needs_input` и точках эскалации `gitea.py`). **Отклонён как
+  primary:**
+  - нарушает инвариант ORCH-053 «схема reconciler не меняется» (миграция на живой
+    прод-БД = self-hosting-риск);
+  - затрагивает больше точек записи (4+: две эскалации gitea + два set_issue_*) —
+    выше риск рассинхрона маркера и факта;
+  - для зафиксированного инцидента **не нужен**: Гард 1 (retry-count) закрывает
+    ET-013 детерминированно и без сети.
+  Вариант B остаётся задокументированным будущим упрочнением, если Plane-coupling
+  Гарда 2 окажется болезненным (см. Последствия).
+- **Подавление в самом `advance_stage` / новый терминальный вердикт гейта** —
+  отклонён: меняет общий критический путь; ORCH-053 уже постановил «не вызывать
+  advance на красном», тот же принцип «не вызывать advance на escalated».
+- **Гард только по retry (без Гарда 2)** — недостаточно: не покрывает ручной
+  Blocked при retry<лимита; AC-5/AC-6 требуют пропуск.
+
+## Последствия
+
+- **Плюсы:** ET-013-петля устранена детерминированно; 0 фантомных разблокировок,
+  0 лишних запусков агентов, 0 спама по escalated-задачам; ручной Blocked/Needs
+  Input уважается; без миграции БД и без изменения реестров → минимальный
+  self-hosting-риск; единый источник истины по retry (промоут хелпера).
+- **Минусы / плата:**
+  - Гард 2 вводит **per-candidate сетевой вызов** Plane на тике. Митигировано:
+    кандидатов после grace+no-active-job немного; `get_project_states` кэшируется;
+    Гард 1 отсекает escalated до сети.
+  - **Plane-coupling F-1:** при недоступности Plane Гард 2 фоллбэкает в skip →
+    F-1 во время Plane-outage не доигрывает кандидатов с retry<лимита (консерва-
+    тивно «не навреди»). Приемлемо: outage редок/транзиентен; escalated-кейс
+    (Гард 1) от Plane не зависит и продолжает работать; альтернатива
+    (proceed-on-error) рискует вернуть bounce при реальном Blocked. Под-флаг
+    `reconcile_skip_blocked_enabled` даёт ручной обход на время инцидента.
+- **Self-hosting:** изменение — чистая логика sweeper'а; прод-контейнер не
+  рестартится/не роняется; деплой через staging (8501) по канону.
+
+## Связи
+
+- **adr-0007 (reconciler, ORCH-053)** — данный ADR уточняет контракт F-1
+  (`_reconcile_gate_task` приобретает два пред-гарда; инварианты сохранены).
+- **adr-0003 (условный staging-гейт)** — образец never-raise + флага раската
+  (Гард 2 / `reconcile_skip_blocked_enabled`).
+- **adr-0001 (реестр проектов)** — `get_project_by_repo` → `plane_project_id`
+  для резолва per-project статусов (Вариант A).
+- ORCH-046 (retry-счётчик `agent_runs`), ORCH-047 (BLOCKED-вердикт).

docs/work-items/ORCH-060/10-tech-risks.md

@@ -0,0 +1,20 @@
+# Технические риски: ORCH-060
+
+Work Item ID: ORCH-060
+Стадия: architecture
+
+| # | Риск | Вероятность | Влияние | Митигация |
+|---|------|-------------|---------|-----------|
+| R-1 | **Plane-coupling F-1.** Гард 2 (Вариант A) делает сетевой вызов на тике; при недоступности Plane все кандидаты с retry<лимита фоллбэкают в skip → F-1 временно не доигрывает. | Низкая (outage редок) | Среднее | Консервативный фоллбэк («не навреди»); escalated-кейс закрыт Гардом 1 без сети; под-флаг `reconcile_skip_blocked_enabled` для ручного обхода; `get_project_states` кэшируется. |
+| R-2 | **Стоимость поллинга.** Per-candidate GET issue-detail каждые 120с при большом числе stuck-задач. | Низкая | Низкое | Кандидатов после grace+no-active-job мало; Гард 1 (локальный SQL) отсекает escalated до сети; вызов только для переживших Гард 1. |
+| R-3 | **Промоут хелпера ломает call-sites.** `_developer_retry_count → developer_retry_count`. | Низкая | Среднее | Сохранить приватный алиас `_developer_retry_count = developer_retry_count`; grep всех вызовов перед мержем; покрыто существующими тестами stage_engine. |
+| R-4 | **Неверный фоллбэк-знак Гарда 2.** Если ошибку трактовать как «не заблокировано» → возврат ET-013-bounce при реальном Blocked. | Средняя (ошибка реализации) | Высокое | ADR явно фиксирует: ошибка/None/нерезолвленный проект → `True` (skip); AC-10 проверяет never-raise+skip. |
+| R-5 | **Резолв plane-issue-id из task.** В `tasks` два поля (`plane_id` / `plane_issue_id`); неверный выбор → пустой запрос. | Низкая | Низкое | Использовать тот же приоритет, что `get_task_by_plane_id` (оба поля); пустой id → фоллбэк skip. |
+| R-6 | **Регресс happy-path.** Слишком широкий гард пропустит честно-застрявшие задачи (retry<лимита, не Blocked). | Низкая | Высокое | AC-3/AC-4 (граница ровно на лимите); регресс существующих тестов AC-13. |
+| R-7 | **Self-hosting деплой.** Изменение работающего в проде sweeper'а. | Низкая | Высокое | Чистая логика, без миграции/рестарт-контрактов; обязательный прогон через staging (8501) перед прод-деплоем; kill-switch `reconcile_enabled`. |
+
+## Вывод
+Все риски — низкие/средние по вероятности и митигируемы в рамках выбранной
+архитектуры (Вариант A, без миграции). Критичен корректный знак never-raise
+фоллбэка Гарда 2 (R-4) — выделен в AC-10. Схема БД и реестры не меняются →
+self-hosting-риск минимален.

docs/work-items/ORCH-060/12-review.md

@@ -0,0 +1,63 @@
+---
+type: review
+work_item_id: ORCH-060
+verdict: APPROVED
+version: 1
+---
+
+# Review ORCH-060
+
+## Summary
+Reviewer-проверка PR `feature/ORCH-060-reconciler-escalated-max-retri` (commit `4db8276`,
+`fix(reconciler): skip escalated / Blocked / Needs-Input tasks in F-1`).
+
+Задача — устранить инцидент ET-013 (бесконечная разблокировка escalated-задачи F-1-реконсайлером).
+Реализованы два пред-гарда в `Reconciler._reconcile_gate_task` строго ПОСЛЕ существующих гардов
+(`analysis` carve-out → нет гейта → активный job → grace) и ДО `advance_if_gate_passed`:
+- **Guard 1** (детерминированный, без сети, проверяется первым): `developer_retry_count(task_id) >= MAX_DEVELOPER_RETRIES`;
+- **Guard 2** (Вариант A — Plane API, never-raise → консервативный skip): `_is_blocked_or_needs_input(task)`.
+
+Реализация **полностью соответствует** ТЗ (`02-trz.md`), критериям приёмки (`03-acceptance-criteria.md`)
+и ADR-001. Все 13 AC покрыты тестами (TC-01…TC-11 + sub-flag + F-2-регресс). `pytest tests/ -q` —
+**644 passed, 0 регрессий**; `tests/test_reconciler.py` — 27 passed.
+
+## Соответствие ТЗ / ADR
+- **Guard 1** — точка вставки, граница `>=`, источник счётчика (`agent_runs`) совпадают с ТЗ §9 и ADR §«Гард 1». ✓
+- Промоут `stage_engine._developer_retry_count` → публичный `developer_retry_count`, приватный алиас сохранён, все 4 внутренних call-site (`stage_engine.py:565/613/874/950`) работают через алиас — единый источник истины, SQL не дублируется. ✓
+- `MAX_DEVELOPER_RETRIES` импортируется из `stage_engine`, **хардкода `3` в `reconciler.py` нет** (grep подтверждает). ✓ (AC-11)
+- **Guard 2 — Вариант A** без миграции БД: новый never-raise `plane_sync.fetch_issue_state` (тот же endpoint/headers, что `fetch_issue_sequence_id`), консервативный фоллбэк (`True`→skip) при любой ошибке/`None`/нерезолвленном проекте. Соответствует ADR §«Гард 2» и обоснованию выбора A над B. ✓
+- Под-флаг `reconcile_skip_blocked_enabled` (default `true`) гасит ТОЛЬКО сетевой Guard 2; Guard 1 всегда активен. ✓
+- Инварианты ORCH-053 сохранены: схема БД / `STAGE_TRANSITIONS` / `QG_CHECKS` не тронуты; never-raise на единицу работы (`reconcile_gate_once` per-task `try/except` + `_is_blocked_or_needs_input` внутренний `try/except`); тишина при пропуске (ранний `return` до `advance`, без `unblocked_total++`/лога/Telegram); `analysis` carve-out и kill-switch'и не изменены. ✓
+- API не изменён (`GET /queue` без изменений по содержимому) — соответствует ТЗ §4. ✓
+
+## Качество кода
+- Docstrings на новых публичных/значимых функциях (`fetch_issue_state`, `developer_retry_count`, `_is_blocked_or_needs_input`) — содержательные, объясняют контракт never-raise и мотивацию. ✓
+- Обработка Plane-формата `state` (bare uuid и `{"id": ...}`-вложение) — defensive. ✓
+- Тесты содержательные (не тривиальные): граница ровно на лимите (TC-04), изоляция исключения с проверкой соседа (TC-10), отсутствие сетевого вызова гейта на escalated (TC-08), регресс F-2 (TC-09). ✓
+- Self-hosting: чистая логика sweeper'а, прод-контейнер не рестартится/не роняется. ✓
+
+## Findings
+
+### P0 — Blocker
+- нет
+
+### P1 — Must fix
+- нет
+
+### P2 — Should fix
+- нет
+
+> Замечание (P3 / информационно, не блокирует): Guard 2 делает per-candidate сетевой вызов Plane
+> для ВСЕХ репо (включая не-self-hosting), а не только для `orchestrator`. Это осознанное решение
+> Варианта A, явно зафиксировано в ADR §«Последствия» (митигировано: кандидатов после grace мало,
+> `get_project_states` кэшируется, Guard 1 отсекает escalated до сети). Соответствует ADR — не finding.
+
+## Документация
+Обновлено в этом же PR (AC-12 — PASS):
+- `docs/work-items/ORCH-060/06-adr/ADR-001-reconciler-skip-escalated.md` — создан, Accepted, полное обоснование A vs B. ✓
+- `docs/architecture/README.md` — описание F-1 дополнено skip escalated/Blocked/Needs-Input; footer ORCH-060 переведён в статус «реализовано» с деталями. ✓
+- `CHANGELOG.md` — запись в `### Fixed` (`fix(reconciler): ...`). ✓
+- `README.md` — таблица env дополнена `ORCH_RECONCILE_SKIP_BLOCKED_ENABLED`. ✓
+- `.env.example` — канонический ключ + дескриптор добавлены (правило CLAUDE.md №8). ✓
+
+Документация = golden source: код и доку обновлены синхронно. Нарушений нет.

docs/work-items/ORCH-060/13-test-report.md

@@ -0,0 +1,72 @@
+---
+type: test-report
+work_item_id: ORCH-060
+result: PASS
+---
+
+# Test Report — ORCH-060
+
+Reconciler F-1 пропускает escalated (retry ≥ MAX_DEVELOPER_RETRIES) и явно
+Blocked / Needs-Input задачи; happy-path и no-spam сохранены.
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3 (plugins: anyio-4.13.0, asyncio-0.23.8)
+- Ветка: `feature/ORCH-060-reconciler-escalated-max-retri` @ `55e5e96`
+  (фикс: `4db8276 fix(reconciler): skip escalated / Blocked / Needs-Input tasks in F-1`)
+- Дата: 2026-06-07
+- Review verdict: APPROVED (`12-review.md`)
+
+## Smoke test API (прод 8500, read-only)
+> `curl` отсутствует в окружении тестера — проверка выполнена через `python urllib`.
+> Прод-контейнер НЕ перезапускался / не ронялся (self-hosting, CLAUDE.md §⚠️).
+
+| Endpoint | HTTP | Ответ |
+|----------|------|-------|
+| `GET /health` | 200 | `{"status":"ok","service":"orchestrator"}` |
+| `GET /status` | 200 | активные задачи отданы (в т.ч. ORCH-060 stage=testing) |
+| `GET /queue`  | 200 | counts/resilience/reconcile-блок отданы |
+
+## Результаты (test-plan 04-test-plan.yaml → AC)
+
+| TC ID | AC | Описание | Тест | Результат |
+|-------|-----|----------|------|-----------|
+| TC-01 | AC-1 | escalated == MAX_DEVELOPER_RETRIES при зелёном CI → skip | `test_tc060_01_escalated_at_limit_skipped` | PASS |
+| TC-02 | AC-2 | dev-ранов > MAX → skip | `test_tc060_02_over_limit_skipped` | PASS |
+| TC-03 | AC-3 | регресс happy-path: retry < MAX → advance dev→review | `test_tc060_03_under_limit_still_advances` | PASS |
+| TC-04 | AC-4 | граница: ровно MAX skip, MAX−1 advance (ровно одна) | `test_tc060_04_boundary_exactly_one_advances` | PASS |
+| TC-05 | AC-5 | Plane-статус Blocked → skip | `test_tc060_05_blocked_skipped` | PASS |
+| TC-06 | AC-6 | Plane-статус Needs Input → skip | `test_tc060_06_needs_input_skipped` | PASS |
+| TC-07 | AC-7 | no spam на escalated (нет _note_unblock/telegram/qg-fail) | `test_tc060_07_escalated_no_spam` | PASS |
+| TC-08 | AC-8 | escalated → мок check_ci_green НЕ вызван (skip раньше гейта) | `test_tc060_08_no_gate_call_on_escalated` | PASS |
+| TC-09 | AC-9 | регресс F-2: Blocked/Needs Input не доигрывается | `test_tc060_09_f2_does_not_replay_blocked` | PASS |
+| TC-10 | AC-10 | never-raise: ошибка guard2 изолирована, сосед обработан | `test_tc060_10_guard2_never_raise` | PASS |
+| TC-11 | AC-11 | граница из stage_engine.MAX_DEVELOPER_RETRIES (нет хардкода 3) | `test_tc060_11_limit_from_constant` | PASS |
+| —     | —   | под-флаг `reconcile_skip_blocked_enabled` гасит только guard2 | `test_tc060_subflag_disables_only_guard2` | PASS |
+| TC-12 | AC-13 | регресс: полный прогон test_reconciler.py (ORCH-053 кейсы) | `tests/test_reconciler.py` (27 passed) | PASS |
+| —     | AC-12 | документация (README/ADR/CHANGELOG) — проверено reviewer'ом | — | PASS |
+
+## Вывод pytest
+
+Полный регресс:
+```
+$ python -m pytest tests/ -q
+........................................................................ [ 11%]
+... (644 dots) ...
+....................................................................     [100%]
+644 passed, 1 warning in 15.65s
+```
+
+Целевой модуль:
+```
+$ python -m pytest tests/test_reconciler.py -v
+...
+27 passed, 1 warning in 1.23s
+```
+(1 warning — PydanticDeprecatedSince20 в `src/config.py:4`, не связано с ORCH-060,
+существующий технический долг.)
+
+## Итог
+**PASS** — все 13 критериев приёмки покрыты и зелёные, полный регресс 644/644,
+целевой модуль 27/27, smoke API 3/3. Регрессий нет. Задача готова к стадии
+deploy-staging.

docs/work-items/ORCH-060/15-staging-log.md

@@ -0,0 +1,80 @@
+---
+staging_status: FAILED
+timestamp: 2026-06-07T11:57:34Z
+base_url: http://localhost:8501
+mode: stub
+result: 8/10
+work_item: ORCH-060
+---
+
+# Staging Gate Log
+
+Staging test suite **FAILED** (exit code 1, 8/10 checks PASS).
+
+Canonical run (ORCH-048, ADR-001) — executed INSIDE the `orchestrator-staging`
+container against the live staging instance:
+
+```
+python3 /repos/orchestrator/scripts/staging_check.py --base-url http://localhost:8501 --mode stub
+```
+
+## Failing checks
+
+- **C9a — Branch appears in `orchestrator-sandbox`** → FAIL (`branch=not found`).
+  After triggering the pipeline via `POST /webhook/plane`, no feature branch was
+  created in the sandbox repo within the 60s poll window.
+- **C9b — Analyst job enqueued in staging queue** → FAIL. No analyst job appeared
+  in the staging job queue within the 30s window.
+
+Both failures are in the E2E block (Block C): the webhook was accepted
+(C8 → HTTP 200 `{'status': 'accepted'}`) and the Plane issue was created (C7 →
+HTTP 201), but the pipeline did not materialise a branch or enqueue the analyst
+job — the staging instance did not actually process the triggered task end-to-end.
+
+## Passing checks (8/10)
+
+- Block A (SMOKE): A1 /health 200, A2 /queue shape, A3 ORCH_STAGING=true.
+- Block B (ACCESS): B4 Plane sandbox reachable, B5 Gitea sandbox push=true,
+  B6 registry isolation (sandbox present, prod ET/ORCH absent — confirms the
+  canonical in-container run; B6 would false-FAIL from the host).
+
+## Verdict
+
+Machine verdict is authoritative: exit code 1 → `staging_status: FAILED`.
+Per the conditional staging gate (ORCH-35), a FAILED staging gate for the
+self-hosting repo rolls the task back to `development`.
+
+## Raw output
+
+```
+============================================================
+  ORCH-33 Staging Check Suite
+  base_url : http://localhost:8501
+  mode     : stub
+  utc_time : 2026-06-07T11:55:50.247315+00:00
+============================================================
+
+[Block A] SMOKE
+  ✓ PASS  A1 GET /health → 200 status=ok  [HTTP 200, body={'status': 'ok', 'service': 'orchestrator'}]
+  ✓ PASS  A2 GET /queue → 200 with counts/max_concurrency/resilience  [HTTP 200, keys=['counts', 'max_concurrency', 'poll_interval', 'resilience', 'reconcile', 'recent']]
+  ✓ PASS  A3 ORCH_STAGING=true (not prod)  [ORCH_STAGING=true]
+
+[Block B] ACCESS
+  ✓ PASS  B4 Plane: sandbox project accessible  [HTTP 200, found 5 project(s), sandbox=YES]
+  ✓ PASS  B5 Gitea: orchestrator-sandbox accessible, push=true  [HTTP 200, permissions={'admin': True, 'push': True, 'pull': True}]
+  ✓ PASS  B6 Registry: sandbox present, prod ET/ORCH absent  [sandbox=YES, prod-ET=NO(good), prod-ORCH=NO(good)]
+
+[Block C] E2E  (mode=stub)
+  C7 Create issue in Plane SANDBOX  [HTTP 201, issue_id=a05995d1-4e3c-44f7-af6f-8bd28fa6367d]
+  C8 Trigger pipeline via /webhook/plane  [HTTP 200, resp={'status': 'accepted'}]
+  ✗ FAIL  C9a Branch appears in orchestrator-sandbox  [branch=not found]
+  ✗ FAIL  C9b Analyst job enqueued in staging queue
+
+[CLEANUP]
+  ✓ PASS  CLEANUP: deleted Plane issue a05995d1-4e3c-44f7-af6f-8bd28fa6367d (HTTP 204)
+
+============================================================
+  RESULT: 8/10 checks PASS
+============================================================
+__EXIT_CODE__=1
+```

docs/work-items/ORCH-061/15-staging-log.md

@@ -0,0 +1,68 @@
+---
+staging_status: SUCCESS
+timestamp: 2026-06-07T13:27:06+00:00
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log — ORCH-061
+
+Staging test suite completed against the live `orchestrator-staging` stand (8501).
+**Verdict: SUCCESS (exit 0)** — all REAL pipeline checks green; the two known
+sandbox-infra checks (C9a/C9b) were FAILED-but-**waived** by the ORCH-061
+infra-tolerance logic. This is exactly the behaviour this work item ships.
+
+## Observability — INFRA-WAIVED
+
+```
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+```
+
+## Result breakdown
+
+```
+RESULT: 8/10 checks PASS
+  REAL failed         : none
+  SANDBOX_INFRA failed: ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue']
+  tolerance: staging_infra_tolerance_enabled=True
+```
+
+| Check | Category | Result |
+|-------|----------|--------|
+| A1 GET /health → 200 status=ok | REAL | PASS |
+| A2 GET /queue → 200 counts/max_concurrency/resilience | REAL | PASS |
+| A3 ORCH_STAGING=true (not prod) | REAL | PASS |
+| B4 Plane: sandbox project accessible | REAL | PASS |
+| B5 Gitea: orchestrator-sandbox accessible, push=true | REAL | PASS |
+| B6 Registry: sandbox present, prod ET/ORCH absent | REAL | PASS |
+| C7 Create issue in Plane SANDBOX | REAL | PASS |
+| C8 Trigger pipeline via /webhook/plane | REAL | PASS |
+| C9a Branch appears in orchestrator-sandbox | SANDBOX_INFRA | FAIL (waived) |
+| C9b Analyst job enqueued in staging queue | SANDBOX_INFRA | FAIL (waived) |
+
+C9a/C9b fail because the SANDBOX bot accounts are not yet members of the Plane
+sandbox project, so steps 6+ of the pipeline are unreachable **in the sandbox** —
+an infrastructure limitation, not a pipeline regression (see
+`docs/operations/STAGING_CHECK.md`). All REAL checks (incl. C7/C8) are green, so
+the waiver applies and the gate advances.
+
+## Run note (self-hosting bootstrap)
+
+The canonical bind-mounted script path (`/repos/orchestrator/scripts/staging_check.py`)
+and the running `orchestrator-staging` image both predate ORCH-061 (no
+`src/staging_verdict.py`, tolerance flag absent), because ORCH-061 modifies the
+staging gate itself. To produce a faithful verdict for the **validated commit**,
+the gate was executed from the validated worktree inside the staging container:
+
+```
+docker exec orchestrator-staging \
+  env PYTHONPATH=<worktree>:/app \
+  python3 <worktree>/scripts/staging_check.py \
+  --base-url http://localhost:8501 --mode stub
+```
+
+`PYTHONPATH=<worktree>:/app` keeps B6's registry read sourced from the running
+staging instance's own env (sandbox-only registry — ORCH-048/ADR-001), while
+loading the shipped `staging_verdict` logic and `staging_infra_tolerance_enabled`
+config. This exercises the live staging endpoints AND the exact verdict logic
+being shipped. EXEC EXIT CODE: 0.

scripts/orchestrator-deploy-hook.sh

@@ -13,11 +13,25 @@
 #                      When set, the prevalidated (staging) image is retagged onto
 #                      TARGET_IMAGE instead of rebuilding — guarantees prod runs the
 #                      exact artefact that passed staging (no `docker build`).
+#   EXPECTED_REVISION- expected git SHA of SOURCE_IMAGE (default: unset; ORCH-58)
+#                      Strategy B fail-closed provenance guard: when set, the
+#                      SOURCE_IMAGE's org.opencontainers.image.revision label MUST
+#                      equal this value before the BUILD-ONCE retag, else exit 1
+#                      (a stale image is never promoted). Unset -> no check (legacy).
+#   GIT_SHA          - build-arg for --build-staging (default: unset; ORCH-58)
+#   BUILD_CONTEXT    - docker build context dir      (default: $REPO; --build-staging)
+#   STAGING_CONTAINER- container to docker-exec staging_check in (--build-staging;
+#                      default: $TARGET_SERVICE → orchestrator-staging; ORCH-58)
+#   STAGING_CHECK_PATH- staging_check.py path inside that container (--build-staging;
+#                      default: /repos/orchestrator/scripts/staging_check.py; ORCH-58)
+#   STAGING_CHECK_MODE- staging_check mode stub|full-real (--build-staging;
+#                      default: stub — fast, no LLM spend; ORCH-58)
 #   LOG              - log file path                (default: /var/log/orchestrator/deploy-hook.log)
 #
 # Usage:
-#   ./orchestrator-deploy-hook.sh [--deploy]    # normal deploy (default)
-#   ./orchestrator-deploy-hook.sh --rollback    # manual rollback
+#   ./orchestrator-deploy-hook.sh [--deploy]        # normal deploy (default)
+#   ./orchestrator-deploy-hook.sh --rollback        # manual rollback
+#   ./orchestrator-deploy-hook.sh --build-staging   # ORCH-58: rebuild staging image (8501)
 
 set -euo pipefail
 
@@ -32,6 +46,11 @@ PREV_IMAGE_FILE="${PREV_IMAGE_FILE:-$REPO/.deploy-prev-image-staging}"
 # Build-once (ORCH-36): optional prevalidated source image to retag onto
 # TARGET_IMAGE. Unset -> backward-compatible (no retag), exit-code contract intact.
 SOURCE_IMAGE="${SOURCE_IMAGE:-}"
+# Provenance guard (ORCH-58, Strategy B): expected git SHA of SOURCE_IMAGE. Unset
+# -> backward-compatible (no provenance check), exit-code contract intact.
+EXPECTED_REVISION="${EXPECTED_REVISION:-}"
+# The OCI-standard label key the Dockerfile stamps with the build commit.
+REVISION_LABEL="org.opencontainers.image.revision"
 
 # ---- Log setup -------------------------------------------------------------
 LOG_DIR=/var/log/orchestrator
@@ -129,6 +148,57 @@ if [[ "${1:-}" == "--rollback" ]]; then
     fi
 fi
 
+# ============================================================================
+# --build-staging mode (ORCH-58, Strategy A): rebuild the STAGING image from the
+# VALIDATED commit, recreate 8501, and run the AUTHORITATIVE staging_check against
+# the fresh image, so the artefact we validate is the exact one later BUILD-ONCE
+# retagged to prod (INV-FRESH, AC-4). Builds/recreates STAGING ONLY (8501) — never
+# prod (8500). Same exit-code contract (0 = healthy + staging_check PASS).
+#   GIT_SHA       - commit stamped into the image revision label (build-arg).
+#   BUILD_CONTEXT - docker build context (host worktree of the validated commit).
+# Steps: (1) docker build → (2) recreate 8501 → (3a) health-check →
+#        (3b) staging_check.py --mode stub against the fresh 8501 (ADR-001 step 3).
+# ============================================================================
+if [[ "${1:-}" == "--build-staging" ]]; then
+    BUILD_CONTEXT="${BUILD_CONTEXT:-$REPO}"
+    GIT_SHA="${GIT_SHA:-}"
+    log "BUILD-STAGING: rebuilding $TARGET_IMAGE from $BUILD_CONTEXT (GIT_SHA=$GIT_SHA, port=$TARGET_PORT)"
+    if ! docker build --build-arg GIT_SHA="$GIT_SHA" -t "$TARGET_IMAGE" "$BUILD_CONTEXT" >> "$LOG" 2>&1; then
+        log "BUILD-STAGING: docker build failed - aborting (exit 1)"
+        exit 1
+    fi
+    log "BUILD-STAGING: recreating $TARGET_SERVICE (profile=$COMPOSE_PROFILE) on the fresh image"
+    if [[ -n "$COMPOSE_PROFILE" ]]; then
+        docker compose --profile "$COMPOSE_PROFILE" up -d --no-build "$TARGET_SERVICE" >> "$LOG" 2>&1
+    else
+        docker compose up -d --no-build "$TARGET_SERVICE" >> "$LOG" 2>&1
+    fi
+    log "BUILD-STAGING: running health-check on port $TARGET_PORT (10x6s)"
+    if ! health_check 10 6 "build-staging-health"; then
+        log "BUILD-STAGING: health FAILED after rebuild (exit 1)"
+        exit 1
+    fi
+    log "BUILD-STAGING: $TARGET_SERVICE healthy on fresh image"
+    # (3b) ORCH-58 (Strategy A, step 3 — ADR-001): authoritative e2e validation of
+    # the FRESH image. Run staging_check.py against the just-rebuilt 8501 INSIDE the
+    # staging container (ORCH-048 canonical: it reads its OWN staging registry env, so
+    # B6 is correct; the script lives at /repos/... via bind-mount, not in /app). This
+    # is the same artefact later BUILD-ONCE retagged to prod, so we validate exactly
+    # what we promote (AC-4). Any non-zero (FAIL or ORCH_STAGING safety-abort) -> exit 1
+    # -> freshness gate FAIL -> rollback to development. Same exit-code contract.
+    STAGING_CONTAINER="${STAGING_CONTAINER:-$TARGET_SERVICE}"
+    STAGING_CHECK_PATH="${STAGING_CHECK_PATH:-/repos/orchestrator/scripts/staging_check.py}"
+    STAGING_CHECK_MODE="${STAGING_CHECK_MODE:-stub}"
+    log "BUILD-STAGING: running staging_check (--mode $STAGING_CHECK_MODE) against fresh http://localhost:$TARGET_PORT inside $STAGING_CONTAINER"
+    if docker exec "$STAGING_CONTAINER" python3 "$STAGING_CHECK_PATH" \
+            --base-url "http://localhost:$TARGET_PORT" --mode "$STAGING_CHECK_MODE" >> "$LOG" 2>&1; then
+        log "BUILD-STAGING: staging_check PASS on fresh image (exit 0)"
+        exit 0
+    fi
+    log "BUILD-STAGING: staging_check FAILED on fresh image - artefact not promotable (exit 1)"
+    exit 1
+fi
+
 # ============================================================================
 # NORMAL DEPLOY mode (--deploy or no argument)
 # ============================================================================
@@ -156,6 +226,20 @@ git pull origin main >> "$LOG" 2>&1
 #     Backward compatible: skipped when SOURCE_IMAGE is unset.
 if [[ -n "$SOURCE_IMAGE" ]]; then
     if docker image inspect "$SOURCE_IMAGE" >/dev/null 2>&1; then
+        # ORCH-58 (Strategy B): fail-closed provenance guard BEFORE docker tag.
+        # When EXPECTED_REVISION is set, SOURCE_IMAGE's git-commit label MUST match,
+        # else exit 1 (FAILED -> БАГ-8 rollback); prod is NEVER touched. Empty label
+        # / inspect error / mismatch all fail-close. Unset EXPECTED_REVISION -> no
+        # check (backward-compatible for non-self repos / legacy calls).
+        if [[ -n "$EXPECTED_REVISION" ]]; then
+            IMG_REV=$(docker image inspect --format "{{ index .Config.Labels \"$REVISION_LABEL\" }}" "$SOURCE_IMAGE" 2>/dev/null || true)
+            if [[ "$IMG_REV" == "<no value>" ]]; then IMG_REV=""; fi
+            if [[ -z "$IMG_REV" || "$IMG_REV" != "$EXPECTED_REVISION" ]]; then
+                log "PROVENANCE: SOURCE_IMAGE revision '$IMG_REV' != expected '$EXPECTED_REVISION' (fail-closed) - aborting (exit 1)"
+                exit 1
+            fi
+            log "PROVENANCE: SOURCE_IMAGE revision matches expected ($EXPECTED_REVISION) - retag allowed"
+        fi
         log "BUILD-ONCE: retagging $SOURCE_IMAGE -> $TARGET_IMAGE (no rebuild)"
         docker tag "$SOURCE_IMAGE" "$TARGET_IMAGE" >> "$LOG" 2>&1
     else

src/config.py

@@ -196,6 +196,59 @@ class Settings(BaseSettings):
     deploy_prod_compose_profile: str = ""
     deploy_prod_prev_image_file: str = ".deploy-prev-image-prod"
 
+    # ORCH-058: staging-image provenance before the BUILD-ONCE retag to prod.
+    # Closes the INV-FRESH gap (ADR-001): the BUILD-ONCE retag (ORCH-36) promotes
+    # the staging image to prod WITHOUT a rebuild, assuming the staging image is
+    # fresh — a guarantee the pipeline never had (a stale image could be silently
+    # promoted, LESSONS_ORCH-036 §4). Two complementary layers, self-hosting only:
+    #   A (liveness): the QG sub-check check_staging_image_fresh rebuilds the
+    #     staging image from the VALIDATED commit (worktree HEAD after merge-gate)
+    #     and recreates 8501 on the deploy-staging -> deploy edge, so we validate
+    #     and promote ONE artefact.
+    #   B (safety): build_deploy_command passes EXPECTED_REVISION and the hook
+    #     fail-closes (exit 1) if SOURCE_IMAGE's revision label != EXPECTED_REVISION
+    #     before `docker tag`, making a silent stale promote structurally impossible.
+    #
+    #   image_freshness_enabled -> SINGLE kill-switch for the WHOLE feature (A + B
+    #                              together; never "B without A" = a deadlock). False
+    #                              -> legacy ORCH-36 behaviour (BUILD-ONCE, no guard,
+    #                              no EXPECTED_REVISION). Env ORCH_IMAGE_FRESHNESS_ENABLED.
+    #   image_freshness_repos   -> CSV of repos where the feature is REAL; empty ->
+    #                              only the self-hosting repo (orchestrator). Mirrors
+    #                              self_deploy_repos / merge_gate_repos.
+    image_freshness_enabled: bool = True
+    image_freshness_repos: str = ""
+
+    # ORCH-053: stuck-task reconciler (sweeper for lost webhooks). A background
+    # daemon thread reconciles the "source of truth (gate / Plane) != task stage"
+    # drift left behind by a dropped webhook (502 on rebuild, no Plane/Gitea
+    # retries, unresolved sha->branch). See docs/architecture/adr/adr-0007-reconciler.md.
+    #   reconcile_enabled            -> global kill-switch (self-hosting safety,
+    #                                   staged rollout, env ORCH_RECONCILE_ENABLED).
+    #   reconcile_interval_s         -> background sweep period (seconds).
+    #   reconcile_plane_enabled      -> separate flag for the F-2 Plane-API poll so
+    #                                   only the plane branch can be muted.
+    #   reconcile_grace_default_s    -> default "stuck" threshold on tasks.updated_at.
+    #   reconcile_grace_overrides_json -> JSON object of per-stage thresholds, e.g.
+    #                                   {"analysis": 1800, "development": 300}. Invalid
+    #                                   JSON -> default (mirrors agent_timeout_overrides_json).
+    #   reconcile_notify_unblock     -> send a Telegram message when a stuck task is
+    #                                   unblocked (F-4 observability).
+    #   reconcile_skip_blocked_enabled -> ORCH-060 Guard 2: skip F-1 reconciliation of
+    #                                   issues a human moved to Blocked / Needs Input
+    #                                   (per-candidate Plane state lookup). Disabling it
+    #                                   mutes ONLY the networked Guard 2; Guard 1
+    #                                   (escalated-by-retries, local + deterministic) is
+    #                                   always active. Manual escape hatch during a Plane
+    #                                   outage.
+    reconcile_enabled: bool = True
+    reconcile_interval_s: int = 120
+    reconcile_plane_enabled: bool = True
+    reconcile_grace_default_s: int = 600
+    reconcile_grace_overrides_json: str = ""
+    reconcile_notify_unblock: bool = True
+    reconcile_skip_blocked_enabled: bool = True
+
     # Telegram notifications
     telegram_bot_token: str = ""
     telegram_chat_id: str = ""

src/db.py

@@ -1,6 +1,15 @@
 import sqlite3
+import threading
 from .config import settings
 
+# ORCH-053 (F-2 anti-dup): process-wide lock guarding the SELECT-exists -> INSERT
+# task-creation claim. The prod topology is a single uvicorn process per DB
+# (staging/prod isolated), with the webhook running in uvicorn's asyncio thread
+# and the reconciler in its own thread of the SAME process -> a threading.Lock
+# covers both sides of the create race without a schema migration. See
+# docs/work-items/ORCH-053/06-adr/ADR-001-stuck-task-reconciler.md §4.
+_CREATE_TASK_LOCK = threading.Lock()
+
 
 def get_db() -> sqlite3.Connection:
     conn = sqlite3.connect(settings.db_path)
@@ -145,6 +154,90 @@ def get_task_by_repo_branch(repo: str, branch: str) -> dict | None:
     return None
 
 
+def get_active_tasks_for_reconcile() -> list[dict]:
+    """ORCH-053 (F-1): tasks eligible for the gate-side sweeper.
+
+    Returns every task whose stage is not terminal ('done'), each augmented with
+    ``age_s`` = seconds since ``tasks.updated_at`` (computed in SQL against UTC
+    'now', matching how ``update_task_stage`` stamps ``updated_at``). The
+    reconciler applies the per-stage grace and active-job guard on top.
+    """
+    conn = get_db()
+    try:
+        rows = conn.execute(
+            "SELECT *, "
+            "CAST(strftime('%s','now') - strftime('%s', updated_at) AS INTEGER) AS age_s "
+            "FROM tasks WHERE stage != 'done'"
+        ).fetchall()
+    finally:
+        conn.close()
+    return [dict(r) for r in rows]
+
+
+def get_development_tasks_by_repo(repo: str) -> list[dict]:
+    """ORCH-053 (F-3): tasks of a repo currently on the 'development' stage.
+
+    Used as the sha->branch DB fallback in handle_ci_status: a CI-status webhook
+    whose branch could not be resolved (no branches[], empty
+    ``git branch -r --contains``) is matched to the unique development task of
+    the repo (ambiguity -> caller leaves it unresolved).
+    """
+    conn = get_db()
+    try:
+        rows = conn.execute(
+            "SELECT * FROM tasks WHERE repo = ? AND stage = 'development'", (repo,)
+        ).fetchall()
+    finally:
+        conn.close()
+    return [dict(r) for r in rows]
+
+
+def create_task_atomic(
+    plane_id: str,
+    work_item_id: str,
+    repo: str,
+    branch: str,
+    stage: str,
+    title: str,
+) -> tuple[dict, bool]:
+    """ORCH-053 (AC-4): atomically claim creation of a task for a plane_id.
+
+    Performs SELECT-exists -> INSERT under the process-wide ``_CREATE_TASK_LOCK``
+    so a race between the live Plane webhook and the F-2 reconciler (both seeing
+    "no task yet" for the same plane_id) cannot create two task rows / branches /
+    worktrees / starter analyst jobs.
+
+    Returns ``(row, created)``:
+      * ``created=True``  -> THIS caller inserted the row and owns the follow-up
+        work (branch / docs / analyst enqueue);
+      * ``created=False`` -> a task for this plane_id already existed (the other
+        racer won); ``row`` is the existing task and the caller must NOT duplicate
+        the follow-up work.
+    """
+    with _CREATE_TASK_LOCK:
+        conn = get_db()
+        try:
+            existing = conn.execute(
+                "SELECT * FROM tasks WHERE plane_id = ? OR plane_issue_id = ?",
+                (plane_id, plane_id),
+            ).fetchone()
+            if existing:
+                return dict(existing), False
+            cur = conn.execute(
+                "INSERT INTO tasks "
+                "(plane_id, work_item_id, repo, branch, stage, plane_issue_id, title) "
+                "VALUES (?, ?, ?, ?, ?, ?, ?)",
+                (plane_id, work_item_id, repo, branch, stage, plane_id, title),
+            )
+            conn.commit()
+            row = conn.execute(
+                "SELECT * FROM tasks WHERE id = ?", (cur.lastrowid,)
+            ).fetchone()
+            return dict(row), True
+        finally:
+            conn.close()
+
+
 def update_task_stage(task_id: int, stage: str):
     """Update task stage and timestamp."""
     conn = get_db()

src/image_freshness.py

@@ -0,0 +1,333 @@
+"""Staging-image provenance for the BUILD-ONCE retag to prod (ORCH-058).
+
+ORCH-36 made the ``deploy`` stage promote the staging image to prod by a plain
+``docker tag`` (BUILD-ONCE, no rebuild), assuming "the staging image is fresh and
+built from the validated code". That guarantee never existed: nothing in the
+pipeline rebuilt the staging image from the validated commit, so a STALE image
+could be silently promoted — the most dangerous bootstrap bug of LESSONS_ORCH-036
+(§4): a green deploy that quietly rolled prod back to 2-day-old code.
+
+This module provides the deterministic (no-LLM) primitives that enforce the
+``INV-FRESH`` invariant (ADR-001), as **two complementary layers** wired only for
+self-hosting:
+
+  * **A — liveness:** :func:`check_staging_image_fresh` is a QG sub-check on the
+    ``deploy-staging -> deploy`` edge (composed by ``stage_engine`` AFTER the
+    merge-gate, BEFORE Phase A). It rebuilds ``orchestrator-orchestrator-staging``
+    from the VALIDATED commit (worktree HEAD after the merge-gate rebase), recreates
+    the 8501 container, and runs ``staging_check.py --mode stub`` against that fresh
+    8501 (ADR-001 step 3), so we validate exactly the ONE artefact later retagged to
+    prod (AC-4). FAIL -> rollback to ``development`` (mirrors the merge-gate).
+  * **B — safety:** :func:`expected_revision` feeds the validated SHA to
+    ``self_deploy.build_deploy_command`` as ``EXPECTED_REVISION``; the host hook
+    fail-closes (``exit 1``) before ``docker tag`` if the SOURCE_IMAGE revision
+    label does not match. :func:`provenance_verdict` is the PURE verdict logic
+    that mirrors the hook's comparison (unit-tested in isolation).
+
+Both layers share ONE anchor — :func:`validated_revision` — so the build stamp (A)
+and the expected revision (B) can never diverge.
+
+This module is a **leaf**: it imports only ``config`` / ``git_worktree`` and lazily
+``qg.checks.is_self_hosting_repo``; it never imports ``stage_engine`` /
+``self_deploy``. Every public helper honours a strict **never-raise** contract and
+is **fail-closed** on any doubt (missing label, empty SHA, docker/ssh/inspect
+error) -> treated as a mismatch, never promoted "on faith".
+"""
+
+import logging
+import os
+import shlex
+import subprocess
+
+from .config import settings
+
+logger = logging.getLogger("orchestrator.image_freshness")
+
+# The OCI-standard label key carrying the build commit (Dockerfile stamps it).
+REVISION_LABEL = "org.opencontainers.image.revision"
+
+# Bounded timeouts so a hung git/docker/ssh never wedges the monitor-thread.
+_GIT_TIMEOUT = 30
+_INSPECT_TIMEOUT = 30
+# The remote rebuild (docker build + compose recreate + health + staging_check) is
+# the slow path; keep it generous but bounded (mirrors the merge-gate re-test order).
+_REBUILD_TIMEOUT = 1200
+
+# Explicit STAGING target for the --build-staging rebuild (Strategy A). These mirror
+# the hook's staging-safe defaults but are passed EXPLICITLY so a future change to the
+# hook defaults can never silently retarget the self-rebuild at prod (8500) — the whole
+# path builds/recreates STAGING ONLY (AC-9, review P2). Never the prod 8500 target.
+_STAGING_SERVICE = "orchestrator-staging"
+_STAGING_PORT = 8501
+_STAGING_COMPOSE_PROFILE = "staging"
+
+
+# ---------------------------------------------------------------------------
+# Conditionality (mirrors self_deploy_applies / _merge_gate_applies)
+# ---------------------------------------------------------------------------
+def image_freshness_applies(repo: str) -> bool:
+    """Whether the staging-image provenance feature (A + B) is REAL for this repo.
+
+    Mirrors the ORCH-35 / ORCH-43 / ORCH-36 conditional rollout:
+      * ``image_freshness_enabled=False`` -> always False (single kill-switch for
+        the WHOLE feature; legacy ORCH-36 BUILD-ONCE behaviour for everyone).
+      * ``image_freshness_repos`` (CSV) non-empty -> real only for listed repos.
+      * empty CSV -> real ONLY for the self-hosting repo (``orchestrator``).
+    Never raises.
+    """
+    try:
+        if not settings.image_freshness_enabled:
+            return False
+        raw = (settings.image_freshness_repos or "").strip()
+        if raw:
+            allowed = {r.strip().lower() for r in raw.split(",") if r.strip()}
+            return (repo or "").strip().lower() in allowed
+        # Lazy import keeps this module a leaf (avoids importing qg at module load).
+        from .qg.checks import is_self_hosting_repo
+        return is_self_hosting_repo(repo)
+    except Exception as e:  # noqa: BLE001 - never-raise contract
+        logger.warning("image_freshness_applies error for %s: %s", repo, e)
+        return False
+
+
+# ---------------------------------------------------------------------------
+# The validated-commit anchor (single source for both A and B)
+# ---------------------------------------------------------------------------
+def validated_revision(repo: str, branch: str) -> str:
+    """Return the SHA of the VALIDATED commit = ``git rev-parse HEAD`` in the task
+    worktree AFTER the merge-gate (post auto-rebase + push --force-with-lease).
+
+    This is exactly the tree the merge-gate re-tested green and that merges into
+    ``main``. It is the SINGLE anchor that feeds both the staging rebuild stamp (A)
+    and the expected revision passed to the hook (B), so the two layers cannot
+    disagree about "what commit prod must run".
+
+    Fail-closed / never-raise (AC-3 / AC-8): a missing worktree or any git/OS error
+    returns ``""`` (an empty SHA, which downstream treats as a provenance mismatch),
+    never a propagated exception.
+    """
+    from .git_worktree import get_worktree_path
+
+    try:
+        wt = get_worktree_path(repo, branch)
+    except Exception as e:  # noqa: BLE001 - never-raise contract
+        logger.warning("validated_revision: worktree error for %s/%s: %s", repo, branch, e)
+        return ""
+    if not os.path.isdir(wt):
+        logger.warning("validated_revision: no worktree at %s for %s/%s", wt, repo, branch)
+        return ""
+    try:
+        r = subprocess.run(
+            ["git", "-C", wt, "rev-parse", "HEAD"],
+            capture_output=True, text=True, timeout=_GIT_TIMEOUT,
+        )
+    except (subprocess.SubprocessError, OSError) as e:
+        logger.warning("validated_revision: git error for %s/%s: %s", repo, branch, e)
+        return ""
+    if r.returncode != 0:
+        logger.warning(
+            "validated_revision: rev-parse rc=%s for %s/%s", r.returncode, repo, branch
+        )
+        return ""
+    return (r.stdout or "").strip()
+
+
+def expected_revision(repo: str, branch: str) -> str:
+    """The revision the hook must require (Strategy B), or ``""`` when the feature
+    is inactive for this repo.
+
+    Returns :func:`validated_revision` ONLY when :func:`image_freshness_applies`
+    (so non-self / disabled callers get ``""`` -> the hook keeps its backward-
+    compatible "no provenance check" behaviour, no EXPECTED_REVISION env). The
+    config invariant (ADR-001) is that B is active iff A is active — both gated by
+    the SAME flag — so there is never a "B without A" deadlock. Never raises.
+    """
+    try:
+        if not image_freshness_applies(repo):
+            return ""
+        return validated_revision(repo, branch)
+    except Exception as e:  # noqa: BLE001 - never-raise contract
+        logger.warning("expected_revision error for %s/%s: %s", repo, branch, e)
+        return ""
+
+
+# ---------------------------------------------------------------------------
+# Pure provenance verdict (mirrors the hook's bash comparison — Strategy B)
+# ---------------------------------------------------------------------------
+def provenance_verdict(expected_sha: str, image_sha: str) -> tuple[bool, str]:
+    """Pure, deterministic provenance verdict (no I/O) — the Python mirror of the
+    hook's fail-closed comparison (Strategy B), unit-testable in isolation.
+
+    Contract (AC-1 / AC-2 / AC-3, fail-closed):
+      * both non-empty AND equal       -> ``(True,  "provenance match: <sha12>")``.
+      * expected empty / image empty   -> ``(False, "...")`` — fail-closed: a
+        missing expected SHA or an unlabelled image is NEVER treated as fresh.
+      * both non-empty but different   -> ``(False, "provenance mismatch ...")``.
+    """
+    exp = (expected_sha or "").strip()
+    img = (image_sha or "").strip()
+    if not exp:
+        return False, "provenance fail-closed: empty expected revision"
+    if not img:
+        return False, "provenance fail-closed: image has no revision label"
+    if exp == img:
+        return True, f"provenance match: {exp[:12]}"
+    return False, f"provenance mismatch: image {img[:12]} != expected {exp[:12]}"
+
+
+def image_revision(image: str, ssh_target: str | None = None) -> str:
+    """Read an image's ``org.opencontainers.image.revision`` label via
+    ``docker image inspect``. Returns ``""`` on any error or when the label is
+    absent (fail-closed -> downstream treats it as a mismatch).
+
+    ``docker`` lives on the HOST (the container ships only ``openssh-client git``),
+    so when ``ssh_target`` is given the inspect runs over ssh; otherwise it runs
+    locally (covers host-side callers and tests). Never raises (AC-8).
+    """
+    fmt = '{{ index .Config.Labels "%s" }}' % REVISION_LABEL
+    local_cmd = ["docker", "image", "inspect", "--format", fmt, image]
+    if ssh_target:
+        remote = "docker image inspect --format " + shlex.quote(fmt) + " " + shlex.quote(image)
+        cmd = ["ssh", "-o", "StrictHostKeyChecking=no", ssh_target, remote]
+    else:
+        cmd = local_cmd
+    try:
+        r = subprocess.run(cmd, capture_output=True, text=True, timeout=_INSPECT_TIMEOUT)
+    except (subprocess.SubprocessError, OSError) as e:
+        logger.warning("image_revision: inspect error for %s: %s", image, e)
+        return ""
+    if r.returncode != 0:
+        logger.warning("image_revision: inspect rc=%s for %s", r.returncode, image)
+        return ""
+    out = (r.stdout or "").strip()
+    # `docker inspect` prints "<no value>" for a missing label key.
+    if out in ("", "<no value>"):
+        return ""
+    return out
+
+
+# ---------------------------------------------------------------------------
+# Staging rebuild from the validated commit (Strategy A) — host-side via the hook
+# ---------------------------------------------------------------------------
+def _ssh_target() -> str | None:
+    """ssh ``user@host`` for the host rebuild, or None when no host is configured
+    (tests / non-self contexts that mock this away)."""
+    host = (settings.deploy_ssh_host or "").strip()
+    if not host:
+        return None
+    user = (settings.deploy_ssh_user or "").strip()
+    return f"{user}@{host}" if user else host
+
+
+def _host_worktree_path(repo: str, branch: str) -> str:
+    """The task worktree path AS SEEN FROM THE HOST (docker build context).
+
+    The container path uses ``settings.worktrees_dir`` (under ``repos_dir``); the
+    host sees the same files under ``host_repos_dir``. Derive the host path by
+    swapping the mount prefix (mirrors ``self_deploy.host_state_dir``).
+    """
+    from .git_worktree import get_worktree_path
+
+    container_wt = get_worktree_path(repo, branch)
+    repos_dir = settings.repos_dir.rstrip("/")
+    host_repos_dir = settings.host_repos_dir.rstrip("/")
+    if container_wt.startswith(repos_dir):
+        return host_repos_dir + container_wt[len(repos_dir):]
+    return container_wt
+
+
+def rebuild_staging_image(repo: str, branch: str, sha: str) -> tuple[bool, str]:
+    """Rebuild the staging image from the VALIDATED commit and recreate 8501
+    (Strategy A) by invoking the host hook in ``--build-staging`` mode over ssh.
+
+    The hook (``orchestrator-deploy-hook.sh --build-staging``) runs, on the host:
+      ``docker build --build-arg GIT_SHA=<sha> -t <staging-image> <host-worktree>``
+      -> ``docker compose --profile staging up -d --no-build orchestrator-staging``
+      -> health-check 8501
+      -> ``staging_check.py --mode stub`` against the FRESH 8501 (ADR-001 step 3,
+         AC-4: validate exactly the artefact later retagged to prod).
+    Same exit-code contract (0 = ok). This trades prod for staging ONLY (8501),
+    NEVER prod (8500) (AC-9): all build/recreate/validate targets are the staging
+    service — passed EXPLICITLY below, not left to hook defaults (review P2).
+
+    Synchronous ssh is fine here (unlike Phase B): recreating staging does not kill
+    the prod worker running this code. Bounded by ``_REBUILD_TIMEOUT``.
+
+    Returns ``(True, msg)`` on a healthy rebuild, else ``(False, reason)``.
+    Never raises (AC-8).
+    """
+    target = _ssh_target()
+    if not target:
+        return False, "no ssh host configured for staging rebuild"
+    host_ctx = _host_worktree_path(repo, branch)
+    # Pass the STAGING target explicitly (service/port/profile/container), so the
+    # rebuild + recreate + staging_check can never drift onto the prod 8500 service
+    # even if the hook's defaults change (AC-9, review P2). STAGING_CONTAINER is the
+    # container staging_check is docker-exec'd inside (step 3b).
+    env_assignments = (
+        f"GIT_SHA={shlex.quote(sha)} "
+        f"BUILD_CONTEXT={shlex.quote(host_ctx)} "
+        f"TARGET_IMAGE={shlex.quote(settings.deploy_prod_source_image)} "
+        f"TARGET_SERVICE={shlex.quote(_STAGING_SERVICE)} "
+        f"TARGET_PORT={shlex.quote(str(_STAGING_PORT))} "
+        f"COMPOSE_PROFILE={shlex.quote(_STAGING_COMPOSE_PROFILE)} "
+        f"STAGING_CONTAINER={shlex.quote(_STAGING_SERVICE)}"
+    )
+    inner = (
+        f"cd {shlex.quote(settings.deploy_host_repo_path)} && "
+        f"{env_assignments} "
+        f"bash {shlex.quote(settings.deploy_hook_script)} --build-staging"
+    )
+    cmd = ["ssh", "-o", "StrictHostKeyChecking=no", target, inner]
+    try:
+        r = subprocess.run(cmd, capture_output=True, text=True, timeout=_REBUILD_TIMEOUT)
+    except subprocess.TimeoutExpired:
+        return False, f"staging rebuild timeout after {_REBUILD_TIMEOUT}s"
+    except (subprocess.SubprocessError, OSError) as e:
+        return False, f"staging rebuild ssh error: {e}"
+    if r.returncode != 0:
+        detail = ((r.stderr or "") + (r.stdout or "")).strip()[-200:]
+        return False, f"staging rebuild failed (rc={r.returncode}): {detail}"
+    logger.info("rebuild_staging_image: %s/%s rebuilt from %s and healthy", repo, branch, sha[:12])
+    return True, f"staging rebuilt from {sha[:12]} and healthy"
+
+
+# ---------------------------------------------------------------------------
+# QG sub-check: check_staging_image_fresh (Strategy A liveness, AC-4/AC-6)
+# ---------------------------------------------------------------------------
+def check_staging_image_fresh(repo: str, work_item_id: str, branch: str) -> tuple[bool, str]:
+    """ORCH-058 freshness sub-gate on the ``deploy-staging -> deploy`` edge.
+
+    Deterministic, no LLM. Mirrors ``check_branch_mergeable`` (ORCH-043):
+      1. Conditionality: ``image_freshness_enabled=False`` -> ``(True, "...disabled")``;
+         a repo the feature is not real for -> ``(True, "image-freshness N/A for <repo>")``.
+      2. Anchor: ``sha = validated_revision(repo, branch)``. Empty -> fail-closed
+         ``(False, ...)`` (AC-3): we never rebuild/promote without a known commit.
+      3. Rebuild the staging image from that commit, recreate 8501, and run
+         ``staging_check.py --mode stub`` against the fresh 8501 (host hook). PASS ->
+         ``(True, ...)``: the artefact we just validated (build + e2e) is the exact
+         one that will be retagged to prod (AC-4, loop closed). FAIL -> ``(False, ...)``
+         -> the engine rolls back to ``development`` (AC-2).
+
+    Never-raise (AC-8): any internal error -> ``(False, "<reason>")``; an exception
+    never escapes into ``advance_stage``. Returns ``(True, "N/A")`` for non-self
+    repos so the deploy edge is unchanged for them (AC-5).
+    """
+    try:
+        if not settings.image_freshness_enabled:
+            return True, "image-freshness disabled"
+        if not image_freshness_applies(repo):
+            return True, f"image-freshness N/A for {repo}"
+
+        sha = validated_revision(repo, branch)
+        if not sha:
+            # Fail-closed: without the validated commit we cannot prove freshness.
+            return False, "cannot resolve validated revision (fail-closed)"
+
+        ok, reason = rebuild_staging_image(repo, branch, sha)
+        if not ok:
+            return False, f"staging rebuild failed: {reason}"
+        return True, f"staging image fresh ({sha[:12]})"
+    except Exception as e:  # noqa: BLE001 - never-raise contract
+        logger.error("check_staging_image_fresh error for %s/%s: %s", repo, branch, e)
+        return False, f"image-freshness error: {e}"

src/main.py

@@ -80,11 +80,19 @@ async def lifespan(app: FastAPI):
     from .queue_worker import worker
     worker.start()
 
+    # ORCH-053: start the stuck-task reconciler AFTER the worker so its active-job
+    # guard sees a fully-initialised queue. Kill-switch: ORCH_RECONCILE_ENABLED.
+    from .reconciler import reconciler
+    reconciler.start()
+
     try:
         yield
     finally:
-        # Graceful shutdown of the worker (running agents keep going; their jobs
-        # are requeued on next start via queue-recovery if the process dies).
+        # Graceful shutdown order mirrors startup in reverse: stop the reconciler
+        # first (it must not enqueue new work while the worker is winding down),
+        # then the worker. Running agents keep going; their jobs are requeued on
+        # next start via queue-recovery if the process dies.
+        reconciler.stop()
         worker.stop()
 
 
@@ -114,10 +122,12 @@ async def queue():
     """ORCH-1: job-queue observability — status counts + recent jobs."""
     from .db import job_status_counts, recent_jobs
     from .queue_worker import worker
+    from .reconciler import reconciler
     return {
         "counts": job_status_counts(),
         "max_concurrency": worker.max_concurrency,
         "poll_interval": worker.poll_interval,
         "resilience": worker.status(),
+        "reconcile": reconciler.status(),
         "recent": recent_jobs(10),
     }

src/plane_sync.py

@@ -278,6 +278,33 @@ def fetch_issue_sequence_id(issue_id: str, project_id: str) -> int | None:
         return None
 
 
+def fetch_issue_state(issue_id: str, project_id: str) -> str | None:
+    """ORCH-060 (F-1 Guard 2): GET the Plane issue and return its current state uuid.
+
+    Used by the reconciler to honour an explicit human gate: an issue a person
+    moved to **Blocked** / **Needs Input** must not be auto-unblocked by the
+    sweeper. Reuses the exact GET issue-detail endpoint / shared token already
+    used by ``fetch_issue_sequence_id`` / ``fetch_issue_fields``.
+
+    Plane returns ``state`` as a bare uuid string; older shapes may nest it as a
+    ``{"id": ...}`` dict — both are handled.
+
+    Returns None on network error, non-2xx, or a missing field — never raises, so
+    the caller can apply its conservative fallback (treat as "possibly blocked").
+    """
+    url = f"{PLANE_BASE}/workspaces/{WORKSPACE}/projects/{project_id}/issues/{issue_id}/"
+    try:
+        resp = httpx.get(url, headers=PLANE_HEADERS, timeout=10)
+        resp.raise_for_status()
+        state = resp.json().get("state")
+        if isinstance(state, dict):
+            state = state.get("id")
+        return str(state) if state else None
+    except Exception as e:
+        logger.warning(f"fetch_issue_state failed for {issue_id}: {e}")
+        return None
+
+
 import re as _re
 
 
@@ -356,6 +383,62 @@ def fetch_issue_fields(issue_id: str, project_id: str) -> tuple[str, str]:
         return "", ""
 
 
+def list_issues_by_state(project_id: str, state_uuids: list[str]) -> list[dict]:
+    """ORCH-053 (F-2): list a project's issues whose state is in ``state_uuids``.
+
+    GETs ``/workspaces/{ws}/projects/{pid}/issues/`` and walks ALL pages
+    (Plane's cursor pagination: ``results`` + ``next_cursor`` /
+    ``next_page_results``), keeping only issues whose state uuid is one of the
+    requested ones. The filter is applied client-side on ``issue.state`` (a dict
+    ``{id,...}`` or a bare uuid string) so it works regardless of whether Plane's
+    query-param state filter is honoured.
+
+    Never raises: on any network / API / shape error it logs a warning and
+    returns ``[]`` so a Plane outage degrades the F-2 tick softly instead of
+    crashing it.
+    """
+    if not project_id or not state_uuids:
+        return []
+    wanted = set(state_uuids)
+    out: list[dict] = []
+    url = f"{PLANE_BASE}/workspaces/{WORKSPACE}/projects/{project_id}/issues/"
+    try:
+        cursor = None
+        pages = 0
+        while True:
+            params: dict = {"per_page": 100}
+            if cursor:
+                params["cursor"] = cursor
+            resp = httpx.get(url, headers=PLANE_HEADERS, params=params, timeout=10)
+            resp.raise_for_status()
+            body = resp.json()
+            if isinstance(body, dict):
+                items = body.get("results", [])
+            else:
+                items = body if isinstance(body, list) else []
+            for issue in items:
+                state = issue.get("state")
+                sid = state.get("id") if isinstance(state, dict) else state
+                if sid in wanted:
+                    out.append(issue)
+            # Pagination: continue only while Plane reports more pages.
+            pages += 1
+            if not isinstance(body, dict):
+                break
+            has_more = bool(body.get("next_page_results"))
+            next_cursor = body.get("next_cursor")
+            if not has_more or not next_cursor or pages >= 100:
+                break
+            cursor = next_cursor
+        return out
+    except Exception as e:
+        logger.warning(
+            f"list_issues_by_state: API failed for project {project_id[:8]}..., "
+            f"returning []. Error: {e}"
+        )
+        return []
+
+
 def find_issue_id(work_item_id: str, project_id: str = None) -> str | None:
     """Find Plane issue UUID by work_item_id (e.g. 'ET-002')."""
     project_id = _resolve_project_id(work_item_id, project_id)

src/qg/checks.py

@@ -702,6 +702,20 @@ def check_branch_mergeable(repo: str, work_item_id: str, branch: str) -> tuple[b
         return False, f"merge-gate error: {e}"
 
 
+def _check_staging_image_fresh(repo: str, work_item_id: str, branch: str) -> tuple[bool, str]:
+    """ORCH-058 freshness sub-gate (Strategy A) on the deploy-staging -> deploy edge.
+
+    Thin registry wrapper that delegates to ``image_freshness.check_staging_image_fresh``
+    (rebuild the staging image from the validated commit + recreate 8501). The real
+    logic lives in ``src/image_freshness.py`` (leaf module, never-raise, fail-closed);
+    importing it lazily here avoids an import cycle (image_freshness imports
+    is_self_hosting_repo from this module). For non-self repos it returns
+    ``(True, "N/A")`` so the deploy edge is unchanged for them (AC-5).
+    """
+    from ..image_freshness import check_staging_image_fresh
+    return check_staging_image_fresh(repo, work_item_id, branch)
+
+
 # Registry for dynamic lookup by name
 QG_CHECKS = {
     "check_analysis_approved": check_analysis_approved,
@@ -715,4 +729,5 @@ QG_CHECKS = {
     "check_deploy_status": check_deploy_status,
     "check_staging_status": check_staging_status,
     "check_branch_mergeable": check_branch_mergeable,
+    "check_staging_image_fresh": _check_staging_image_fresh,
 }

src/reconciler.py

@@ -0,0 +1,387 @@
+"""ORCH-053: stuck-task reconciler (sweeper for lost webhooks).
+
+The pipeline advances ONLY on incoming webhooks (Plane status / Gitea CI/PR). A
+dropped event (502 on a rebuilding instance, no Plane/Gitea retries, an
+unresolved ``sha->branch``) leaves the source of truth (the gate / the Plane
+status) changed while the task stays put — a silently stuck task (incident
+ORCH-044). None of the existing resilience layers (``requeue_running_jobs``,
+orphan-recovery, events de-dup, ``ci_poll``) reconcile this
+"source-of-truth != task-stage" drift; they all work at the jobs/agent_runs
+level, not the stage transition.
+
+This module is a background daemon thread (modelled on ``queue_worker``) that
+periodically replays the missed transition through the SAME standard gates /
+handlers a webhook would use:
+
+  * **F-1 gate-side** (``reconcile_gate_once``): for each task with
+    ``stage != 'done'``, no active job and ``age(updated_at) >=
+    grace_for_stage(stage)``, do a read-only pre-evaluation of the stage's
+    canonical quality gate; green -> advance through the unchanged
+    ``stage_engine.advance_stage(..., finished_agent=None)``; red -> silence
+    (no advance, no notification). ``analysis`` is NOT reconciled here (human
+    gate; owned by F-2). **ORCH-060:** before the gate is even evaluated, F-1
+    skips (silently) tasks that are waiting for a human — Guard 1: escalated by
+    developer retries (``developer_retry_count >= MAX_DEVELOPER_RETRIES``,
+    deterministic, local; closes the ET-013 bounce loop) checked first, then
+    Guard 2: an explicit Plane ``Blocked`` / ``Needs Input`` state (Variant A —
+    networked, never-raise -> conservative skip).
+
+  * **F-2 plane-side** (``reconcile_plane_once``): poll the Plane API per
+    project (``list_issues_by_state``) and replay In Progress / Approved /
+    Rejected through ``webhooks.plane.handle_status_start`` /
+    ``handle_verdict`` (no logic duplicated).
+
+Invariants: source of truth is the gate / Plane (not the event); advance only
+via ``advance_stage``; idempotency (active-job guard + atomic create-claim +
+grace + ``max_concurrency=1``); never-raise per unit of work; silence when in
+sync; restart-safe; kill-switch ``ORCH_RECONCILE_ENABLED``
+(+ ``ORCH_RECONCILE_PLANE_ENABLED`` mutes only F-2). The DB schema and the
+registries (``STAGE_TRANSITIONS`` / ``QG_CHECKS``) are unchanged.
+
+See docs/work-items/ORCH-053/06-adr/ADR-001-stuck-task-reconciler.md and the
+cross-cutting docs/architecture/adr/adr-0007-reconciler.md.
+"""
+
+import asyncio
+import json
+import logging
+import threading
+from datetime import datetime, timezone
+
+from .config import settings
+from .db import (
+    get_active_tasks_for_reconcile,
+    get_task_by_plane_id,
+    has_active_job_for_task,
+)
+from .stage_engine import (
+    advance_if_gate_passed,
+    developer_retry_count,
+    MAX_DEVELOPER_RETRIES,
+)
+from .stages import get_qg_for_stage
+from .plane_sync import fetch_issue_state, get_project_states, list_issues_by_state
+from .webhooks.plane import handle_status_start, handle_verdict
+from .notifications import send_telegram
+from . import projects
+
+logger = logging.getLogger("orchestrator.reconciler")
+
+
+def _parse_grace_overrides(raw: str) -> dict[str, int]:
+    """Parse ``reconcile_grace_overrides_json`` into {stage: seconds}.
+
+    Invalid / non-object JSON -> {} (caller falls back to the default grace),
+    mirroring the never-raise contract of ``agent_timeout_overrides_json``.
+    """
+    if not raw or not raw.strip():
+        return {}
+    try:
+        data = json.loads(raw)
+    except (ValueError, TypeError) as e:
+        logger.warning(f"reconcile_grace_overrides_json is not valid JSON, ignoring: {e}")
+        return {}
+    if not isinstance(data, dict):
+        logger.warning("reconcile_grace_overrides_json must be a JSON object, ignoring")
+        return {}
+    out: dict[str, int] = {}
+    for k, v in data.items():
+        try:
+            out[str(k)] = int(v)
+        except (ValueError, TypeError):
+            logger.warning(f"reconcile_grace_overrides_json[{k}] is not an int, ignoring")
+    return out
+
+
+def grace_for_stage(stage: str) -> int:
+    """Per-stage "stuck" threshold (seconds): override from JSON, else default."""
+    overrides = _parse_grace_overrides(settings.reconcile_grace_overrides_json)
+    return overrides.get(stage, settings.reconcile_grace_default_s)
+
+
+def _age_seconds_iso(ts: str) -> float | None:
+    """Age in seconds of a Plane ISO-8601 timestamp (e.g. issue.updated_at).
+
+    Returns None when the value is missing / unparseable (caller decides the
+    fallback). Handles a trailing 'Z' and treats naive timestamps as UTC.
+    """
+    if not ts:
+        return None
+    try:
+        text = ts.strip()
+        if text.endswith("Z"):
+            text = text[:-1] + "+00:00"
+        dt = datetime.fromisoformat(text)
+        if dt.tzinfo is None:
+            dt = dt.replace(tzinfo=timezone.utc)
+        return (datetime.now(timezone.utc) - dt).total_seconds()
+    except Exception:
+        return None
+
+
+class Reconciler:
+    """Background daemon that reconciles webhook-induced stage drift.
+
+    Modelled on ``QueueWorker``: a plain ``threading.Thread(daemon=True)`` +
+    ``threading.Event`` for a clean stop. No correctness-critical state is held
+    in memory — every tick re-reads the DB / Plane; the observability counters
+    (``last_run_ts`` / ``unblocked_total`` / ``last_unblocked``) are best-effort
+    and may reset on restart (AC-11 allows this).
+    """
+
+    def __init__(self, interval_s: float | None = None):
+        self.interval_s = (
+            interval_s if interval_s is not None else settings.reconcile_interval_s
+        )
+        self._stop = threading.Event()
+        self._thread: threading.Thread | None = None
+        # Best-effort observability (F-4).
+        self.last_run_ts: float | None = None
+        self.unblocked_total: int = 0
+        self.last_unblocked: str | None = None
+
+    # -- F-1: gate-side ----------------------------------------------------
+    def reconcile_gate_once(self) -> None:
+        """One F-1 pass over all non-terminal tasks (per-task never-raise)."""
+        if not settings.reconcile_enabled:
+            return
+        for task in get_active_tasks_for_reconcile():
+            try:
+                self._reconcile_gate_task(task)
+            except Exception as e:  # noqa: BLE001 - isolate one task's failure
+                logger.error(
+                    f"reconciler F-1: task {task.get('id')} "
+                    f"(stage={task.get('stage')}) failed: {e}"
+                )
+
+    def _reconcile_gate_task(self, task: dict) -> None:
+        task_id = task["id"]
+        stage = task["stage"]
+        # AC-16: analysis is a human gate -> owned by F-2, never F-1.
+        if stage == "analysis":
+            return
+        # created / done have no gate to evaluate.
+        if get_qg_for_stage(stage) is None:
+            return
+        # AC-3: a queued/running job means the task is legitimately in flight (or
+        # a live webhook just enqueued one) -> do not touch it.
+        if has_active_job_for_task(task_id):
+            return
+        # AC-5: respect the per-stage grace ("stuck", not just busy).
+        age_s = task.get("age_s") or 0
+        if age_s < grace_for_stage(stage):
+            return
+        # ORCH-060 Guard 1: escalated tasks (developer retries reached the cap) are
+        # terminal — they wait for a human, not the sweeper. Without this, a task
+        # whose CI is green but whose reviewer kept sending REQUEST_CHANGES until the
+        # cap would be re-unblocked every tick (incident ET-013, infinite bounce).
+        # Deterministic, local SQL, no network — and checked FIRST (cheapest).
+        if developer_retry_count(task_id) >= MAX_DEVELOPER_RETRIES:
+            return
+        # ORCH-060 Guard 2: respect an explicit human gate (Blocked / Needs Input).
+        # Networked; runs after Guard 1 so escalated tasks never hit Plane.
+        if self._is_blocked_or_needs_input(task):
+            return
+        result = advance_if_gate_passed(
+            task_id,
+            stage,
+            task["repo"],
+            task.get("work_item_id") or "",
+            task.get("branch") or "",
+        )
+        if result is not None and getattr(result, "advanced", False):
+            self._note_unblock(task.get("work_item_id") or str(task_id), stage)
+
+    def _is_blocked_or_needs_input(self, task: dict) -> bool:
+        """ORCH-060 Guard 2: is this issue in an explicit human Plane gate?
+
+        Variant A (no schema migration): resolve the task's Plane project, fetch
+        the issue's current state uuid and compare against the project's
+        ``blocked`` / ``needs_input`` states. ``tasks`` has no status column, so
+        the live Plane state is the source of truth.
+
+        **Never-raise, conservative fallback.** Any error / unresolved project /
+        missing state -> return ``True`` (treat as "possibly blocked" -> skip):
+        NOT unblocking a task is always safe, whereas wrongly unblocking a
+        human-gated task re-introduces the bounce we are trying to kill. The
+        sub-flag ``reconcile_skip_blocked_enabled`` disables ONLY this networked
+        guard (escape hatch for a Plane outage); Guard 1 stays active.
+        """
+        if not settings.reconcile_skip_blocked_enabled:
+            return False
+        try:
+            proj = projects.get_project_by_repo(task.get("repo") or "")
+            if proj is None:
+                return True  # cannot resolve the project -> conservative skip
+            pid = proj.plane_project_id
+            states = get_project_states(pid)
+            issue_id = task.get("plane_id") or task.get("plane_issue_id") or ""
+            cur = fetch_issue_state(issue_id, pid)
+            if cur is None:
+                return True  # Plane unreachable / no state -> conservative skip
+            return cur in {states.get("blocked"), states.get("needs_input")}
+        except Exception as e:  # noqa: BLE001 - never break the tick
+            logger.warning(
+                f"reconciler Guard 2: blocked-check failed for task "
+                f"{task.get('id')}, skipping conservatively: {e}"
+            )
+            return True
+
+    # -- F-2: plane-side ---------------------------------------------------
+    def reconcile_plane_once(self) -> None:
+        """One F-2 pass: poll Plane per project and replay missed transitions."""
+        if not settings.reconcile_enabled or not settings.reconcile_plane_enabled:
+            return
+        for proj in projects.PROJECTS:
+            try:
+                self._reconcile_plane_project(proj)
+            except Exception as e:  # noqa: BLE001 - isolate one project's failure
+                logger.error(f"reconciler F-2: project {proj.repo} failed: {e}")
+
+    def _reconcile_plane_project(self, proj) -> None:
+        pid = proj.plane_project_id
+        # Resolve the actionable state uuids per-project (never hardcode).
+        states = get_project_states(pid)
+        in_progress = states["in_progress"]
+        approved = states["approved"]
+        rejected = states["rejected"]
+        issues = list_issues_by_state(pid, [in_progress, approved, rejected])
+        for issue in issues:
+            try:
+                self._reconcile_plane_issue(
+                    issue, pid, in_progress, approved, rejected
+                )
+            except Exception as e:  # noqa: BLE001 - isolate one issue's failure
+                logger.error(
+                    f"reconciler F-2: issue {issue.get('id')} failed: {e}"
+                )
+
+    def _reconcile_plane_issue(
+        self, issue: dict, project_id: str,
+        in_progress: str, approved: str, rejected: str,
+    ) -> None:
+        issue_id = str(issue.get("id") or "")
+        if not issue_id:
+            return
+        state = issue.get("state")
+        new_state = state.get("id") if isinstance(state, dict) else state
+
+        # Grace ("lost, not merely delayed"): use the issue's own updated_at age.
+        # A missing/unparseable timestamp is treated as old enough (the active-job
+        # guard + atomic create-claim still prevent doubling).
+        age = _age_seconds_iso(issue.get("updated_at") or "")
+        if age is not None and age < settings.reconcile_grace_default_s:
+            return
+
+        task = get_task_by_plane_id(issue_id)
+        # AC-3/AC-4: a live webhook is in flight for this task -> skip.
+        if task is not None and has_active_job_for_task(task["id"]):
+            return
+
+        # issue_data in the shape the plane handlers expect; missing name /
+        # description are pulled by the handlers themselves (fetch_issue_fields).
+        issue_data = {
+            "id": issue_id,
+            "state": {"id": new_state},
+            "project": project_id,
+            "name": issue.get("name", ""),
+            "description_stripped": issue.get("description_stripped", ""),
+        }
+
+        if new_state == in_progress and task is None:
+            # In Progress without a task -> start the pipeline (lost start webhook).
+            self._dispatch(handle_status_start, issue_data, project_id)
+            self._note_unblock(issue_id, "analysis")
+        elif new_state == approved and task is not None:
+            # Approved but the stage never advanced -> replay the verdict.
+            self._dispatch(handle_verdict, issue_data, project_id, approved=True)
+            self._note_unblock(task.get("work_item_id") or issue_id, task["stage"])
+        elif new_state == rejected and task is not None:
+            # Rejected but never rolled back -> replay the verdict.
+            self._dispatch(handle_verdict, issue_data, project_id, approved=False)
+            self._note_unblock(task.get("work_item_id") or issue_id, task["stage"])
+        # else: everything is in sync -> silence (AC-10).
+
+    @staticmethod
+    def _dispatch(coro_fn, *args, **kwargs) -> None:
+        """Run an async plane handler from this sync thread.
+
+        ``asyncio.run`` spins a fresh event loop per call, which is required
+        because ``handle_verdict -> _try_advance_stage`` uses
+        ``asyncio.to_thread`` (needs a running loop). The handlers are
+        REUSED verbatim — no pipeline logic is duplicated here.
+        """
+        asyncio.run(coro_fn(*args, **kwargs))
+
+    # -- observability (F-4) ----------------------------------------------
+    def _note_unblock(self, work_item_id: str, stage: str) -> None:
+        """Record + announce that a stuck task was unblocked (AC-12).
+
+        Fires only on an actual state change (an advance / replayed transition),
+        never per idle tick, so it does not conflict with AC-9 / AC-10.
+        """
+        self.unblocked_total += 1
+        self.last_unblocked = work_item_id
+        logger.info(
+            f"reconciler: {work_item_id} {stage} разблокирована (потерян webhook)"
+        )
+        if settings.reconcile_notify_unblock:
+            try:
+                send_telegram(
+                    f"\U0001f527 reconciler: {work_item_id} {stage} "
+                    f"разблокирована (потерян webhook)"
+                )
+            except Exception as e:  # noqa: BLE001 - never break the tick
+                logger.warning(f"reconciler: unblock telegram failed: {e}")
+
+    # -- loop / lifecycle --------------------------------------------------
+    def _tick(self) -> None:
+        if settings.reconcile_enabled:
+            self.reconcile_gate_once()                 # F-1
+            if settings.reconcile_plane_enabled:
+                self.reconcile_plane_once()            # F-2
+        self.last_run_ts = datetime.now(timezone.utc).timestamp()
+
+    def _run(self) -> None:
+        logger.info(
+            f"Reconciler started (interval={self.interval_s}s, "
+            f"enabled={settings.reconcile_enabled}, "
+            f"plane_enabled={settings.reconcile_plane_enabled})"
+        )
+        while not self._stop.is_set():
+            try:
+                self._tick()
+            except Exception as e:  # noqa: BLE001 - outer never-raise
+                logger.error(f"Reconciler loop error: {e}")
+            self._stop.wait(self.interval_s)
+        logger.info("Reconciler stopped")
+
+    def start(self) -> None:
+        """Start the daemon thread (idempotent: a live thread is a no-op)."""
+        if self._thread and self._thread.is_alive():
+            return
+        self._stop.clear()
+        self._thread = threading.Thread(
+            target=self._run, name="reconciler", daemon=True
+        )
+        self._thread.start()
+
+    def stop(self, timeout: float = 5.0) -> None:
+        self._stop.set()
+        if self._thread:
+            self._thread.join(timeout=timeout)
+
+    def status(self) -> dict:
+        """Reconcile snapshot for /queue observability."""
+        return {
+            "enabled": settings.reconcile_enabled,
+            "plane_enabled": settings.reconcile_plane_enabled,
+            "interval": self.interval_s,
+            "last_run_ts": self.last_run_ts,
+            "unblocked_total": self.unblocked_total,
+            "last_unblocked": self.last_unblocked,
+        }
+
+
+# Module-level singleton used by the FastAPI lifespan.
+reconciler = Reconciler()

src/self_deploy.py

@@ -230,7 +230,17 @@ def build_deploy_command(repo: str, work_item_id: str | None, branch: str) -> li
     Build-once (BR-6): ``SOURCE_IMAGE=<staging-image>`` makes the hook retag the
     staging-validated image to the prod tag instead of rebuilding (no ``docker
     build``). The exit-code contract of the hook is untouched.
+
+    Provenance guard (ORCH-058, Strategy B): when the image-freshness feature is
+    active for this repo, the VALIDATED commit SHA is passed as
+    ``EXPECTED_REVISION=<sha>`` so the hook fail-closes (``exit 1``) before
+    ``docker tag`` if SOURCE_IMAGE's revision label does not match — a stale image
+    can never be silently promoted. When inactive (non-self / kill-switch off)
+    ``expected_revision`` returns ``""`` and the env is omitted, keeping the hook's
+    backward-compatible "no provenance check" behaviour (AC-5 / AC-7).
     """
+    from . import image_freshness
+
     host_dir = host_state_dir(repo, work_item_id)
     result_sentinel = os.path.join(host_dir, RESULT)
     hook_log = os.path.join(host_dir, "hook.log")
@@ -243,6 +253,9 @@ def build_deploy_command(repo: str, work_item_id: str | None, branch: str) -> li
         f"COMPOSE_PROFILE={shlex.quote(settings.deploy_prod_compose_profile)} "
         f"PREV_IMAGE_FILE={shlex.quote(settings.deploy_prod_prev_image_file)}"
     )
+    expected_rev = image_freshness.expected_revision(repo, branch)
+    if expected_rev:
+        env_assignments += f" EXPECTED_REVISION={shlex.quote(expected_rev)}"
     inner = (
         f"cd {shlex.quote(settings.deploy_host_repo_path)} && "
         f"{env_assignments} "

src/stage_engine.py

@@ -142,8 +142,14 @@ def _check_review_approved_by_branch(check_fn, repo: str, work_item_id: str, bra
         return False, f"Error finding PR: {e}"
 
 
-def _developer_retry_count(task_id: int) -> int:
-    """How many developer runs have already happened for this task."""
+def developer_retry_count(task_id: int) -> int:
+    """How many developer runs have already happened for this task.
+
+    Single source of truth for the developer-retry count: the rollback path
+    (REQUEST_CHANGES / test-fail / merge-gate) and the ORCH-060 reconciler guard
+    both read the cap from here, so the SQL is never duplicated. ``task`` is
+    considered *escalated* once this reaches ``MAX_DEVELOPER_RETRIES``.
+    """
     conn = get_db()
     n = conn.execute(
         "SELECT COUNT(*) FROM agent_runs WHERE task_id=? AND agent='developer'",
@@ -153,6 +159,10 @@ def _developer_retry_count(task_id: int) -> int:
     return n
 
 
+# Backward-compat private alias — existing internal call sites keep working.
+_developer_retry_count = developer_retry_count
+
+
 def advance_stage(
     task_id: int,
     current_stage: str,
@@ -271,6 +281,17 @@ def advance_stage(
             ):
                 return result
 
+            # --- ORCH-058 freshness sub-gate (deploy-staging -> deploy edge) ---
+            # AFTER the merge-gate finalised the validated HEAD and BEFORE Phase A.
+            # Rebuilds the staging image from that validated commit + recreates 8501
+            # so the artefact we validate is the exact one promoted to prod (AC-4).
+            # FAIL -> rollback to development (mirrors the merge-gate). Like the
+            # merge-gate it owns the outcome on intervention.
+            if _handle_image_freshness(
+                task_id, current_stage, repo, work_item_id, branch, agent, result
+            ):
+                return result
+
         # --- ORCH-036 Phase A: request approve before the prod deploy ---------
         # On the deploy-staging -> deploy edge, AFTER a green check_staging_status
         # and the merge-gate, the self-hosting repo does NOT auto-launch a prod
@@ -353,6 +374,75 @@ def advance_stage(
         return result
 
 
+def advance_if_gate_passed(
+    task_id: int,
+    current_stage: str,
+    repo: str,
+    work_item_id: str,
+    branch: str,
+) -> AdvanceResult | None:
+    """ORCH-053 (F-1): reconcile a stuck stage by advancing it ONLY if its
+    quality gate is already green — without spamming failure notifications.
+
+    This is the thin wrapper the reconciler uses so that:
+
+      * The source of truth stays the GATE, and the advance path stays the
+        UNCHANGED unified ``advance_stage(..., finished_agent=None)`` (the same
+        path the Plane Approved-webhook uses). The reconciler never duplicates
+        ``update_task_stage`` / ``enqueue_job`` (AC-2).
+
+      * On a stable-RED gate the sweeper is structurally silent: we do a cheap
+        read-only pre-evaluation of the gate and, if it fails, return ``None``
+        WITHOUT ever calling ``advance_stage`` — so the QG-failure notification
+        branch inside ``advance_stage`` (``agent is None`` ->
+        ``notify_qg_failure`` + ``plane_notify_qg``) cannot fire on any tick
+        (AC-9). Spam is impossible by construction.
+
+    ``analysis`` is intentionally NOT reconciled here: its gate
+    (``check_analysis_approved``) is a HUMAN gate; with ``finished_agent=None``
+    ``advance_stage`` would treat it as approved-via-status and could advance an
+    unapproved BRD. The analysis advance is owned by the Plane-side reconciler
+    (F-2), which checks the real Plane status (AC-16).
+
+    Returns the ``AdvanceResult`` from ``advance_stage`` when the gate passed,
+    or ``None`` when the stage is not eligible / the gate is red / on any error
+    (never raises — the caller isolates per-task failures).
+    """
+    try:
+        # AC-16: F-1 never reconciles the human analysis gate.
+        if current_stage == "analysis":
+            return None
+
+        qg_name = get_qg_for_stage(current_stage)
+        if not qg_name:
+            # created / done -> no gate to evaluate.
+            return None
+
+        # Read-only pre-evaluation with the SAME dispatcher the webhook path uses.
+        passed, reason = _run_qg(qg_name, repo, work_item_id, branch)
+        if not passed:
+            # Stable-red -> stay silent (no advance_stage call -> no QG-failure
+            # notification on this or any later tick).
+            logger.debug(
+                f"reconciler: task {task_id} gate '{qg_name}' still red "
+                f"({reason}); leaving on '{current_stage}'"
+            )
+            return None
+
+        # Gate is green: advance via the unchanged unified path. It re-runs the
+        # (idempotent, read-only) gate, advances the stage, sends the STANDARD
+        # advance notifications and enqueues the next agent.
+        return advance_stage(
+            task_id, current_stage, repo, work_item_id, branch, finished_agent=None
+        )
+    except Exception as e:  # noqa: BLE001 - never-raise per ORCH-053 NFR
+        logger.error(
+            f"advance_if_gate_passed failed for task_id={task_id} "
+            f"stage={current_stage}: {e}"
+        )
+        return None
+
+
 def _build_analyst_ready_comment(
     repo: str, work_item_id: str, branch: str, task_id: int | None = None
 ) -> str:
@@ -809,6 +899,83 @@ def _handle_merge_gate_rollback(
     )
 
 
+# ---------------------------------------------------------------------------
+# ORCH-058: staging-image freshness sub-gate on the deploy-staging -> deploy edge
+# ---------------------------------------------------------------------------
+def _handle_image_freshness(
+    task_id, current_stage, repo, work_item_id, branch, agent, result: AdvanceResult
+) -> bool:
+    """Run check_staging_image_fresh on the deploy-staging -> deploy edge (ORCH-058).
+
+    Runs AFTER the merge-gate (validated HEAD finalised) and BEFORE Phase A. The
+    sub-check rebuilds the staging image from the validated commit + recreates 8501;
+    a green result means the artefact we validate is the exact one that will be
+    BUILD-ONCE retagged to prod (AC-4).
+
+    Returns True if the gate INTERVENED (the caller must return without advancing):
+      * FAIL (stale / rebuild error / fail-closed) -> ROLLBACK to development
+        (+ developer retry, capped by MAX_DEVELOPER_RETRIES) and RELEASE the merge
+        lease (the merge-gate held it on its PASS). Mirrors the merge-gate rollback.
+    Returns False when the gate PASSED (fresh, or N/A for a non-self repo) so
+    advance_stage proceeds to Phase A. On a PASS the merge lease stays HELD until
+    the actual merge (released on PR-merged webhook / deploy->done / rollback).
+    """
+    passed, reason = _run_qg("check_staging_image_fresh", repo, work_item_id, branch)
+    if passed:
+        logger.info(f"Task {task_id}: image-freshness passed ({reason})")
+        return False
+
+    result.qg_name = "check_staging_image_fresh"
+    result.qg_passed = False
+    result.qg_reason = reason
+
+    update_task_stage(task_id, "development")
+    notify_stage_change(task_id, current_stage, "development")
+    plane_notify_stage(work_item_id, current_stage, "development")
+    result.rolled_back_to = "development"
+    set_issue_in_progress(work_item_id)
+    # The merge-gate held the lease on its PASS; freshness failed before the merge,
+    # so release it (holder-aware no-op if a different task already owns it).
+    try:
+        merge_gate.release_merge_lease(repo, branch)
+    except Exception as e:  # noqa: BLE001 - defensive
+        logger.warning(f"Task {task_id}: merge-lease release on image-freshness fail failed: {e}")
+    notify_qg_failure(task_id, current_stage, "check_staging_image_fresh", reason)
+    plane_add_comment(
+        work_item_id,
+        f"❌ Staging-образ не свеж ({reason}). Откат на development. "
+        f"Developer нужен для фикса.",
+        author="deployer",
+    )
+    retry_count = _developer_retry_count(task_id)
+    if retry_count < MAX_DEVELOPER_RETRIES:
+        task_desc = (
+            f"Work item: {work_item_id}\nRepo: {repo}\nBranch: {branch}\n"
+            f"Stage: development\nNote: Staging image freshness failed "
+            f"(attempt {retry_count + 1}/{MAX_DEVELOPER_RETRIES}). "
+            f"Причина: {reason}."
+        )
+        new_job = enqueue_job("developer", repo, task_desc, task_id=task_id)
+        result.enqueued_agent = "developer"
+        result.enqueued_job_id = new_job
+        logger.info(
+            f"Task {task_id}: image-freshness FAILED, enqueued developer (job_id={new_job})"
+        )
+    else:
+        set_issue_blocked(work_item_id)
+        send_telegram(
+            f"\U0001f6a8 {work_item_id}: Staging image freshness still failing after "
+            f"{MAX_DEVELOPER_RETRIES} developer retries ({reason}). "
+            f"Manual intervention needed."
+        )
+        result.alerted = True
+    logger.error(
+        f"Task {task_id}: image-freshness FAILED, rolled back deploy-staging -> "
+        f"development ({reason})"
+    )
+    return True
+
+
 # ---------------------------------------------------------------------------
 # ORCH-036: executable self-deploy (Phase A/B/C)
 # ---------------------------------------------------------------------------

src/webhooks/gitea.py

@@ -144,6 +144,36 @@ async def handle_push(payload: dict):
             logger.info(f"Task {task_id}: source push detected on '{branch}', waiting for CI")
 
 
+def _resolve_branch_via_db(repo_name: str) -> str:
+    """ORCH-053 (F-3): resolve a CI-status SHA to a branch via the tasks DB.
+
+    Returns the branch of the SINGLE development-stage task for ``repo_name``.
+    If there are zero or several such tasks the match is ambiguous -> return ""
+    (the caller leaves the branch unresolved; never a false match). Logged at
+    INFO for visibility. Never raises.
+    """
+    try:
+        from ..db import get_development_tasks_by_repo
+        devs = get_development_tasks_by_repo(repo_name)
+    except Exception as e:  # noqa: BLE001 - defensive, never break the webhook
+        logger.info(f"CI status: sha->branch DB fallback errored for {repo_name}: {e}")
+        return ""
+    if len(devs) == 1:
+        branch = devs[0].get("branch") or ""
+        if branch:
+            logger.info(
+                f"CI status: sha->branch resolved via DB fallback to '{branch}' "
+                f"(unique development task in {repo_name})"
+            )
+        return branch
+    if len(devs) > 1:
+        logger.info(
+            f"CI status: sha->branch DB fallback ambiguous "
+            f"({len(devs)} development tasks in {repo_name}), leaving unresolved"
+        )
+    return ""
+
+
 async def handle_ci_status(payload: dict):
     """
     CI status update:
@@ -178,7 +208,15 @@ async def handle_ci_status(payload: dict):
         except Exception:
             pass
         if not branch:
-            logger.debug(f"CI status event: could not determine branch for sha={sha}")
+            # ORCH-053 (F-3): DB fallback — when the SHA cannot be resolved to a
+            # branch (lost on a 502 rebuild, etc.), match it to the UNIQUE
+            # development-stage task of this repo. Ambiguity (more than one) is
+            # left unresolved to avoid a false match; the F-1 sweeper still picks
+            # such a task up later (defense-in-depth, not the critical path).
+            branch = _resolve_branch_via_db(repo_name)
+        if not branch:
+            # logger.info (was debug) so a lost CI event is VISIBLE in the logs.
+            logger.info(f"CI status event: could not determine branch for sha={sha}")
             return
 
     repo_name = payload.get("repository", {}).get("name", settings.default_repo)

src/webhooks/plane.py

@@ -17,6 +17,7 @@ from ..db import (
     update_task_stage,
     enqueue_job,
     insert_event_dedup,
+    create_task_atomic,
 )
 from ._dedup import plane_delivery_id
 from ..stages import get_next_stage, get_agent_for_stage, get_qg_for_stage, get_previous_stage
@@ -496,15 +497,21 @@ async def start_pipeline(data: dict, project_id: str = ""):
             f"branch collision for {repo}; disambiguated to unique branch {branch}"
         )
 
-    # Insert task into DB
-    conn = get_db()
-    conn.execute(
-        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, plane_issue_id, title) "
-        "VALUES (?, ?, ?, ?, ?, ?, ?)",
-        (plane_id, work_item_id, repo, branch, "analysis", plane_id, name),
+    # Insert task into DB — ORCH-053 (AC-4): atomic anti-dup claim under a
+    # process-wide lock. If the F-2 reconciler and this live webhook race on the
+    # same plane_id, exactly one wins (created=True); the loser sees the existing
+    # task and returns WITHOUT creating a second branch / worktree / analyst job.
+    task_row, created = create_task_atomic(
+        plane_id, work_item_id, repo, branch, "analysis", name
     )
-    conn.commit()
-    conn.close()
+    if not created:
+        logger.info(
+            f"start_pipeline: task for plane_id={plane_id} already exists "
+            f"(id={task_row['id']}, work_item_id={task_row.get('work_item_id')}), "
+            f"skipping duplicate creation"
+        )
+        return
+    task_id = task_row["id"]
 
     # Create branch in Gitea
     try:
@@ -523,20 +530,17 @@ async def start_pipeline(data: dict, project_id: str = ""):
 
     logger.info(f"Task created: {work_item_id} ({name}), branch={branch}, stage=analysis")
 
-    # Launch analyst agent
+    # Launch analyst agent (task_id from the atomic create above).
     try:
-        task_row = get_db().execute("SELECT id FROM tasks WHERE work_item_id=?", (work_item_id,)).fetchone()
-        if task_row:
-            task_id = task_row[0]
-            task_desc = (
-                f"Work item: {work_item_id}\nRepo: {repo}\nBranch: {branch}\n"
-                f"Stage: analysis\nTitle: {name}\n\nDescription:\n{description}"
-            )
-            job_id = enqueue_job("analyst", repo, task_desc, task_id=task_id)
-            logger.info(f"Task {task_id}: enqueued analyst (job_id={job_id})")
-            # Post start comment to Plane
-            from ..plane_sync import add_comment as _add_comment
-            _add_comment(work_item_id, "\U0001f50d Analyst \u0437\u0430\u043f\u0443\u0449\u0435\u043d. BRD/\u0422\u0417/AC/TestPlan \u0432 \u0440\u0430\u0431\u043e\u0442\u0435 (\u043e\u0436\u0438\u0434\u0430\u0439\u0442\u0435 8-15 \u043c\u0438\u043d).", author="analyst")
+        task_desc = (
+            f"Work item: {work_item_id}\nRepo: {repo}\nBranch: {branch}\n"
+            f"Stage: analysis\nTitle: {name}\n\nDescription:\n{description}"
+        )
+        job_id = enqueue_job("analyst", repo, task_desc, task_id=task_id)
+        logger.info(f"Task {task_id}: enqueued analyst (job_id={job_id})")
+        # Post start comment to Plane
+        from ..plane_sync import add_comment as _add_comment
+        _add_comment(work_item_id, "\U0001f50d Analyst \u0437\u0430\u043f\u0443\u0449\u0435\u043d. BRD/\u0422\u0417/AC/TestPlan \u0432 \u0440\u0430\u0431\u043e\u0442\u0435 (\u043e\u0436\u0438\u0434\u0430\u0439\u0442\u0435 8-15 \u043c\u0438\u043d).", author="analyst")
     except Exception as e:
         logger.error(f"Failed to launch analyst for {work_item_id}: {e}")
 

tests/conftest.py

@@ -37,6 +37,10 @@ def _no_telegram(monkeypatch):
     monkeypatch.setattr("src.webhooks.plane.send_telegram", _noop, raising=False)
     monkeypatch.setattr("src.agents.launcher.send_telegram", _noop, raising=False)
     monkeypatch.setattr("src.queue_worker.send_telegram", _noop, raising=False)
+    # ORCH-053: the reconciler binds send_telegram as a MODULE-LEVEL name
+    # (from .notifications import send_telegram), so the source patch alone would
+    # not intercept its unblock notification — patch it here too.
+    monkeypatch.setattr("src.reconciler.send_telegram", _noop, raising=False)
     yield
 
 

tests/test_config.py

@@ -72,3 +72,73 @@ def test_merge_gate_settings_env_override(monkeypatch):
     assert s.merge_lock_timeout_s == 90
     assert s.merge_defer_delay_s == 5
     assert s.merge_defer_max_attempts == 9
+
+
+# ---------------------------------------------------------------------------
+# ORCH-053 / TC-22: reconcile_* settings defaults + env override.
+# ---------------------------------------------------------------------------
+_RECONCILE_ENV = (
+    "ORCH_RECONCILE_ENABLED",
+    "ORCH_RECONCILE_INTERVAL_S",
+    "ORCH_RECONCILE_PLANE_ENABLED",
+    "ORCH_RECONCILE_GRACE_DEFAULT_S",
+    "ORCH_RECONCILE_GRACE_OVERRIDES_JSON",
+    "ORCH_RECONCILE_NOTIFY_UNBLOCK",
+)
+
+
+def test_reconcile_settings_defaults(monkeypatch):
+    """TC-22 / AC-13: documented defaults when no env is set."""
+    for name in _RECONCILE_ENV:
+        monkeypatch.delenv(name, raising=False)
+    s = Settings()
+    assert s.reconcile_enabled is True
+    assert s.reconcile_interval_s == 120
+    assert s.reconcile_plane_enabled is True
+    assert s.reconcile_grace_default_s == 600
+    assert s.reconcile_grace_overrides_json == ""
+    assert s.reconcile_notify_unblock is True
+
+
+def test_reconcile_settings_env_override(monkeypatch):
+    """TC-22 / AC-13: each field is read from its ORCH_* env var."""
+    monkeypatch.setenv("ORCH_RECONCILE_ENABLED", "false")
+    monkeypatch.setenv("ORCH_RECONCILE_INTERVAL_S", "300")
+    monkeypatch.setenv("ORCH_RECONCILE_PLANE_ENABLED", "false")
+    monkeypatch.setenv("ORCH_RECONCILE_GRACE_DEFAULT_S", "900")
+    monkeypatch.setenv("ORCH_RECONCILE_GRACE_OVERRIDES_JSON", '{"development": 300}')
+    monkeypatch.setenv("ORCH_RECONCILE_NOTIFY_UNBLOCK", "false")
+    s = Settings()
+    assert s.reconcile_enabled is False
+    assert s.reconcile_interval_s == 300
+    assert s.reconcile_plane_enabled is False
+    assert s.reconcile_grace_default_s == 900
+    assert s.reconcile_grace_overrides_json == '{"development": 300}'
+    assert s.reconcile_notify_unblock is False
+
+
+# ---------------------------------------------------------------------------
+# ORCH-058 / TC-13: image-freshness settings defaults + env override.
+# ---------------------------------------------------------------------------
+_FRESH_ENV = (
+    "ORCH_IMAGE_FRESHNESS_ENABLED",
+    "ORCH_IMAGE_FRESHNESS_REPOS",
+)
+
+
+def test_image_freshness_settings_defaults(monkeypatch):
+    """TC-13 / AC-9: kill-switch ON by default, empty CSV (self-hosting only)."""
+    for name in _FRESH_ENV:
+        monkeypatch.delenv(name, raising=False)
+    s = Settings()
+    assert s.image_freshness_enabled is True
+    assert s.image_freshness_repos == ""
+
+
+def test_image_freshness_settings_env_override(monkeypatch):
+    """TC-13 / AC-9: each field is read from its ORCH_* env var."""
+    monkeypatch.setenv("ORCH_IMAGE_FRESHNESS_ENABLED", "false")
+    monkeypatch.setenv("ORCH_IMAGE_FRESHNESS_REPOS", "orchestrator,enduro-trails")
+    s = Settings()
+    assert s.image_freshness_enabled is False
+    assert s.image_freshness_repos == "orchestrator,enduro-trails"

tests/test_deploy_approve.py

@@ -101,7 +101,8 @@ def test_tc05_no_approve_does_not_call_prod_hook(monkeypatch):
         stage_engine, "QG_CHECKS",
         {**stage_engine.QG_CHECKS,
          "check_staging_status": _pass,
-         "check_branch_mergeable": _pass},
+         "check_branch_mergeable": _pass,
+         "check_staging_image_fresh": _pass},
     )
     # Spy: the deploy launcher must never run on the staging->deploy edge.
     initiate = MagicMock()

tests/test_deploy_build_once.py

@@ -39,9 +39,56 @@ def test_tc14_hook_retag_branch_present():
     assert 'SOURCE_IMAGE="${SOURCE_IMAGE:-}"' in text
     # Build-once retag branch present; the hook never runs `docker build`.
     assert 'docker tag "$SOURCE_IMAGE" "$TARGET_IMAGE"' in text
-    # No EXECUTABLE `docker build` line (comments mentioning it are fine).
+    # No EXECUTABLE `docker build` line on the PROD path (comments are fine).
+    # ORCH-058: the only build allowed is the staging-freshness rebuild,
+    # which is explicitly tagged with `--build-arg GIT_SHA` (Strategy A).
+    # Executable lines only: drop comments and `log "..."` strings that merely
+    # mention "docker build" in human-readable diagnostics.
     exec_lines = [
         ln.strip() for ln in text.splitlines()
-        if ln.strip() and not ln.strip().startswith("#")
+        if ln.strip()
+        and not ln.strip().startswith("#")
+        and not ln.strip().startswith("log ")
     ]
-    assert not any("docker build" in ln for ln in exec_lines)
+    for ln in exec_lines:
+        if "docker build" in ln:
+            assert "--build-arg GIT_SHA" in ln, (
+                f"unexpected docker build on prod retag path: {ln}"
+            )
+
+
+# ---------------------------------------------------------------------------
+# ORCH-058 TC-06: build_deploy_command threads EXPECTED_REVISION (Strategy B)
+# ---------------------------------------------------------------------------
+def test_tc06_deploy_command_passes_expected_revision(monkeypatch):
+    """When image-freshness is active, the prod hook receives EXPECTED_REVISION."""
+    from src import image_freshness
+    monkeypatch.setattr(self_deploy.settings, "deploy_ssh_user", "slin")
+    monkeypatch.setattr(self_deploy.settings, "deploy_ssh_host", "mva154")
+    monkeypatch.setattr(
+        self_deploy.settings, "deploy_prod_source_image", "orchestrator-orchestrator-staging"
+    )
+    monkeypatch.setattr(
+        image_freshness, "expected_revision", lambda repo, branch: "abc123def456"
+    )
+
+    cmd = self_deploy.build_deploy_command("orchestrator", "ORCH-058", "feature/ORCH-058-x")
+    remote = cmd[-1]
+
+    assert "EXPECTED_REVISION=abc123def456" in remote
+
+
+def test_tc06_no_expected_revision_when_inactive(monkeypatch):
+    """When image-freshness resolves to no SHA, EXPECTED_REVISION is omitted."""
+    from src import image_freshness
+    monkeypatch.setattr(self_deploy.settings, "deploy_ssh_user", "slin")
+    monkeypatch.setattr(self_deploy.settings, "deploy_ssh_host", "mva154")
+    monkeypatch.setattr(
+        self_deploy.settings, "deploy_prod_source_image", "orchestrator-orchestrator-staging"
+    )
+    monkeypatch.setattr(image_freshness, "expected_revision", lambda repo, branch: "")
+
+    cmd = self_deploy.build_deploy_command("orchestrator", "ORCH-058", "feature/ORCH-058-x")
+    remote = cmd[-1]
+
+    assert "EXPECTED_REVISION=" not in remote

tests/test_deploy_hook_mapping.py

@@ -27,6 +27,12 @@ def test_tc03_exit2_rollback_also_failed_maps_to_failed():
     assert map_exit_code_to_status(2) == "FAILED"
 
 
+def test_tc09_provenance_fail_closed_exit1_maps_to_failed():
+    """ORCH-058 TC-09: the Strategy-B hook fail-close uses `exit 1`; that must map
+    to FAILED so the existing БАГ-8 rollback path triggers (prod never left stale)."""
+    assert map_exit_code_to_status(1) == "FAILED"
+
+
 def test_other_exit_codes_map_to_failed():
     for code in (3, 127, 255, -1):
         assert map_exit_code_to_status(code) == "FAILED"

tests/test_deploy_hook_provenance.py

@@ -0,0 +1,159 @@
+"""ORCH-058 TC-07/08: static + caller-contract guarantees of the provenance plumbing.
+
+These assert the *shape* of the deploy artefacts that can't be unit-tested by
+running them (they shell out to docker/ssh on the host):
+
+  * TC-07 — the deploy hook fail-closes BEFORE `docker tag` when the staging
+            image's git-revision label != EXPECTED_REVISION (exit 1), and the
+            new `--build-staging` rebuild mode (a) stamps GIT_SHA into the image,
+            (b) uses $BUILD_CONTEXT as the build context, (c) recreates 8501 +
+            health-checks, (d) runs staging_check against the FRESH image
+            (Strategy A step 3, AC-4), and (e) never recomputes GIT_SHA from $REPO.
+  * TC-08 — the Dockerfile declares `ARG GIT_SHA` and stamps it into the
+            `org.opencontainers.image.revision` OCI label (the anchor B reads).
+  * TC-09 — the caller↔hook contract: `rebuild_staging_image` invokes the hook
+            in `--build-staging` mode with BUILD_CONTEXT=<host-worktree>,
+            GIT_SHA=<validated sha>, and an EXPLICIT staging target (never prod).
+"""
+
+import pathlib
+
+_ROOT = pathlib.Path(__file__).resolve().parents[1]
+_HOOK = _ROOT / "scripts" / "orchestrator-deploy-hook.sh"
+_DOCKERFILE = _ROOT / "Dockerfile"
+
+
+# ---------------------------------------------------------------------------
+# TC-07: hook fail-closed provenance guard + --build-staging rebuild mode
+# ---------------------------------------------------------------------------
+def test_tc07_hook_has_fail_closed_provenance_guard():
+    text = _HOOK.read_text(encoding="utf-8")
+    # The label key the hook inspects must be the OCI revision label.
+    assert 'REVISION_LABEL="org.opencontainers.image.revision"' in text
+    # EXPECTED_REVISION is read (default unset -> backward compatible).
+    assert 'EXPECTED_REVISION="${EXPECTED_REVISION:-}"' in text
+    # The guard must inspect the source image's label and normalise <no value>.
+    assert "docker image inspect --format" in text
+    assert '"<no value>"' in text
+    # Fail-closed: empty OR mismatch -> abort with exit 1.
+    assert '-z "$IMG_REV" || "$IMG_REV" != "$EXPECTED_REVISION"' in text
+
+
+def test_tc07_provenance_guard_precedes_docker_tag():
+    """The fail-closed `exit 1` must sit BEFORE the `docker tag` retag line."""
+    text = _HOOK.read_text(encoding="utf-8")
+    guard = text.index("$EXPECTED_REVISION")
+    retag = text.index('docker tag "$SOURCE_IMAGE" "$TARGET_IMAGE"')
+    assert guard < retag, "provenance guard must run before the prod retag"
+
+
+def test_tc07_build_staging_mode_stamps_git_sha():
+    text = _HOOK.read_text(encoding="utf-8")
+    # The new Strategy-A rebuild mode exists and is keyed on --build-staging.
+    assert '"${1:-}" == "--build-staging"' in text
+    # It rebuilds the staging image stamping the validated commit as a build-arg.
+    assert 'docker build --build-arg GIT_SHA="$GIT_SHA"' in text
+
+
+def test_tc07_build_staging_uses_build_context_and_recreates_8501():
+    """The rebuild must use $BUILD_CONTEXT as the docker build context and recreate
+    the staging service with a health-check (not a bare build)."""
+    text = _HOOK.read_text(encoding="utf-8")
+    # $BUILD_CONTEXT is the build context of the rebuild (validated worktree).
+    assert 'docker build --build-arg GIT_SHA="$GIT_SHA" -t "$TARGET_IMAGE" "$BUILD_CONTEXT"' in text
+    # Recreate the staging service on the fresh image (no-build) + health-check.
+    assert 'up -d --no-build "$TARGET_SERVICE"' in text
+    assert 'health_check 10 6 "build-staging-health"' in text
+
+
+def test_tc07_build_staging_does_not_recompute_git_sha_from_repo():
+    """Regression guard (root cause of the silent-stale-promote class): the
+    --build-staging mode must NOT derive GIT_SHA itself from the prod $REPO clone —
+    it must consume the GIT_SHA passed in by the caller (the validated commit)."""
+    text = _HOOK.read_text(encoding="utf-8")
+    # Anchor on the actual block guard (not the header comment mentions).
+    after = text[text.index('"${1:-}" == "--build-staging"'):]
+    assert 'GIT_SHA="${GIT_SHA:-}"' in after
+    assert "git rev-parse" not in after, "GIT_SHA must come from the caller, not the prod clone"
+
+
+def test_tc07_build_staging_runs_staging_check_against_fresh_image():
+    """Strategy A step 3 (ADR-001, AC-4): after recreate+health, the FRESH image is
+    validated by staging_check.py (not health-only). This is the P1 the reviewer
+    flagged: validate exactly the artefact later retagged to prod."""
+    text = _HOOK.read_text(encoding="utf-8")
+    # Anchor on the actual block guard (not the header comment mentions).
+    after = text[text.index('"${1:-}" == "--build-staging"'):]
+    # staging_check is invoked, inside the staging container, --mode stub by default.
+    assert "staging_check.py" in after
+    assert 'docker exec "$STAGING_CONTAINER"' in after
+    assert '--mode "$STAGING_CHECK_MODE"' in after
+    assert 'STAGING_CHECK_MODE="${STAGING_CHECK_MODE:-stub}"' in after
+    # The staging_check run must come AFTER the health-check (health gates readiness).
+    assert after.index('health_check 10 6 "build-staging-health"') < after.index("staging_check.py")
+
+
+# ---------------------------------------------------------------------------
+# TC-08: Dockerfile stamps the OCI revision label from a build-arg
+# ---------------------------------------------------------------------------
+def test_tc08_dockerfile_stamps_revision_label():
+    text = _DOCKERFILE.read_text(encoding="utf-8")
+    assert "ARG GIT_SHA" in text
+    assert "LABEL org.opencontainers.image.revision=$GIT_SHA" in text
+
+
+# ---------------------------------------------------------------------------
+# TC-09: caller↔hook contract — rebuild_staging_image builds the right command
+# ---------------------------------------------------------------------------
+def test_tc09_rebuild_staging_image_passes_validated_context_and_staging_target(monkeypatch):
+    """`rebuild_staging_image` must invoke the hook `--build-staging` over ssh with
+    BUILD_CONTEXT=<host-worktree>, GIT_SHA=<validated sha>, and an EXPLICIT staging
+    target (service/port/profile/container) — never the prod 8500 target. The absence
+    of this contract test is what hid the earlier P0s (review P2)."""
+    import src.image_freshness as imgf
+
+    captured = {}
+
+    class _FakeCompleted:
+        returncode = 0
+        stdout = ""
+        stderr = ""
+
+    def _fake_run(cmd, *a, **kw):
+        captured["cmd"] = cmd
+        return _FakeCompleted()
+
+    monkeypatch.setattr(imgf, "_ssh_target", lambda: "slin@host")
+    monkeypatch.setattr(imgf, "_host_worktree_path",
+                        lambda repo, branch: "/home/slin/repos/_wt/orchestrator/feature_X")
+    monkeypatch.setattr(imgf.subprocess, "run", _fake_run)
+
+    ok, msg = imgf.rebuild_staging_image("orchestrator", "feature/ORCH-058", "abc123def456")
+    assert ok, msg
+
+    cmd = captured["cmd"]
+    assert cmd[0] == "ssh"
+    inner = cmd[-1]  # the remote shell command string
+    # Validated commit + validated worktree as build context.
+    assert "GIT_SHA=abc123def456" in inner
+    assert "BUILD_CONTEXT=/home/slin/repos/_wt/orchestrator/feature_X" in inner
+    # Explicit STAGING target — never the prod 8500 service/port.
+    assert "TARGET_SERVICE=orchestrator-staging" in inner
+    assert "TARGET_PORT=8501" in inner
+    assert "COMPOSE_PROFILE=staging" in inner
+    assert "STAGING_CONTAINER=orchestrator-staging" in inner
+    assert "orchestrator-orchestrator-staging" in inner  # staging TARGET_IMAGE
+    assert "--build-staging" in inner
+    # Hard safety: the prod service/port must NOT leak into the staging rebuild.
+    assert "TARGET_PORT=8500" not in inner
+    assert "TARGET_SERVICE=orchestrator " not in inner
+
+
+def test_tc09_rebuild_staging_image_no_ssh_host_fails_closed(monkeypatch):
+    """No ssh host configured -> never-raise, fail-closed (False), no command run."""
+    import src.image_freshness as imgf
+
+    monkeypatch.setattr(imgf, "_ssh_target", lambda: None)
+    ok, reason = imgf.rebuild_staging_image("orchestrator", "feature/ORCH-058", "abc123")
+    assert ok is False
+    assert "ssh host" in reason

tests/test_gitea_sha_resolve.py

@@ -0,0 +1,119 @@
+"""ORCH-053 (F-3): sha->branch resolution hardening in handle_ci_status.
+
+When a CI-status webhook carries no ``branches[]`` and the SHA cannot be
+resolved to a feature branch via ``git branch -r --contains`` (lost on a 502
+rebuild, shallow clone, etc.), handle_ci_status now falls back to the tasks DB
+and matches the UNIQUE development-stage task of the repo. Ambiguity (more than
+one development task) is deliberately left unresolved so it can never make a
+false match.
+
+The git subprocess and the network QG / Plane / Telegram side effects are mocked
+so the handler runs offline against a real isolated sqlite DB.
+"""
+
+import asyncio
+import os
+import tempfile
+from types import SimpleNamespace
+
+import pytest
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orchestrator_gitea_sha.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+from unittest.mock import MagicMock  # noqa: E402
+
+import src.db as _db  # noqa: E402
+from src.db import init_db, get_db  # noqa: E402
+from src.webhooks import gitea as gitea_mod  # noqa: E402
+
+
+@pytest.fixture(autouse=True)
+def fresh_db(monkeypatch):
+    monkeypatch.setattr(_db.settings, "db_path", _test_db)
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+    init_db()
+    yield
+
+
+@pytest.fixture(autouse=True)
+def silence_and_stub_git(monkeypatch):
+    # git branch -r --contains <sha> resolves to nothing (forces the DB fallback).
+    monkeypatch.setattr(
+        gitea_mod.subprocess, "run",
+        lambda *a, **k: SimpleNamespace(stdout="", returncode=0),
+    )
+    # Mute the network side effects bound module-level in gitea.
+    for name in ("notify_stage_change", "notify_qg_failure", "notify_error",
+                 "plane_notify_stage"):
+        monkeypatch.setattr(gitea_mod, name, MagicMock(), raising=False)
+
+
+def _make_dev_task(branch, wi, repo="enduro-trails"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage) "
+        "VALUES (?, ?, ?, ?, 'development')",
+        (f"plane-{wi}", wi, repo, branch),
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return tid
+
+
+def _stage_of(task_id):
+    conn = get_db()
+    row = conn.execute("SELECT stage FROM tasks WHERE id = ?", (task_id,)).fetchone()
+    conn.close()
+    return row["stage"]
+
+
+def _ci_payload(sha="deadbeef", repo="enduro-trails", state="success"):
+    return {
+        "state": state,
+        "sha": sha,
+        "branches": [],  # no branch in the event -> forces resolution
+        "repository": {"name": repo},
+    }
+
+
+# ---------------------------------------------------------------------------
+# TC-18: unique development task -> DB fallback resolves the branch, advances.
+# ---------------------------------------------------------------------------
+def test_tc18_db_fallback_unique_match_advances(monkeypatch):
+    ci = MagicMock(return_value=(True, "CI green"))
+    monkeypatch.setattr(gitea_mod, "check_ci_green", ci)
+
+    tid = _make_dev_task("feature/ET-050-x", "ET-050")
+
+    asyncio.run(gitea_mod.handle_ci_status(_ci_payload()))
+
+    assert _stage_of(tid) == "review"
+    ci.assert_called_once()
+    # The fallback resolved to the unique dev task's branch.
+    assert ci.call_args.args[1] == "feature/ET-050-x"
+
+
+# ---------------------------------------------------------------------------
+# TC-19: several development tasks -> ambiguous -> no false match, no advance.
+# ---------------------------------------------------------------------------
+def test_tc19_db_fallback_ambiguous_no_match(monkeypatch, caplog):
+    ci = MagicMock(return_value=(True, "CI green"))
+    monkeypatch.setattr(gitea_mod, "check_ci_green", ci)
+
+    t1 = _make_dev_task("feature/ET-051-a", "ET-051")
+    t2 = _make_dev_task("feature/ET-052-b", "ET-052")
+
+    with caplog.at_level("INFO", logger="orchestrator.webhooks.gitea"):
+        asyncio.run(gitea_mod.handle_ci_status(_ci_payload()))
+
+    # Ambiguity -> branch unresolved -> handler returns before touching the gate.
+    assert _stage_of(t1) == "development"
+    assert _stage_of(t2) == "development"
+    ci.assert_not_called()
+    assert "could not determine branch" in caplog.text

tests/test_image_freshness.py

@@ -0,0 +1,171 @@
+"""ORCH-058 TC-01..05: staging-image provenance helpers (src/image_freshness.py).
+
+Covers the INV-FRESH building blocks in isolation:
+  * TC-01/02/03 — the PURE provenance verdict (match / mismatch / fail-closed).
+  * TC-04       — never-raise: docker/ssh/git errors -> safe verdict, no exception.
+  * TC-05       — conditionality: non-self repo = no-op (N/A); self repo = real.
+"""
+
+import os
+import subprocess
+
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+
+from src import image_freshness as imf  # noqa: E402
+
+
+# ---------------------------------------------------------------------------
+# TC-01: matching revisions -> fresh (PASS)
+# ---------------------------------------------------------------------------
+def test_tc01_matching_revisions_are_fresh():
+    ok, reason = imf.provenance_verdict("abc123def456", "abc123def456")
+    assert ok is True
+    assert "match" in reason.lower()
+
+
+# ---------------------------------------------------------------------------
+# TC-02: differing revisions -> NOT fresh (input for fail-fast)
+# ---------------------------------------------------------------------------
+def test_tc02_differing_revisions_are_not_fresh():
+    ok, reason = imf.provenance_verdict("aaaaaaaaaaaa", "bbbbbbbbbbbb")
+    assert ok is False
+    assert "mismatch" in reason.lower()
+
+
+# ---------------------------------------------------------------------------
+# TC-03: fail-closed — empty label OR empty expected -> never "fresh by default"
+# ---------------------------------------------------------------------------
+def test_tc03_empty_image_label_fails_closed():
+    ok, reason = imf.provenance_verdict("abc123", "")
+    assert ok is False
+    assert "fail-closed" in reason.lower()
+
+
+def test_tc03_empty_expected_revision_fails_closed():
+    ok, reason = imf.provenance_verdict("", "abc123")
+    assert ok is False
+    assert "fail-closed" in reason.lower()
+
+
+def test_tc03_both_empty_fails_closed():
+    ok, _ = imf.provenance_verdict("", "")
+    assert ok is False
+
+
+# ---------------------------------------------------------------------------
+# TC-04: never-raise on docker/ssh/inspect/git errors -> safe verdict
+# ---------------------------------------------------------------------------
+def test_tc04_image_revision_inspect_error_returns_empty(monkeypatch):
+    def _boom(*a, **k):
+        raise OSError("docker not found")
+    monkeypatch.setattr(imf.subprocess, "run", _boom)
+    # Never raises; fail-closed empty -> downstream provenance mismatch.
+    assert imf.image_revision("orchestrator-orchestrator-staging") == ""
+
+
+def test_tc04_image_revision_nonzero_rc_returns_empty(monkeypatch):
+    monkeypatch.setattr(
+        imf.subprocess, "run",
+        lambda *a, **k: subprocess.CompletedProcess(a, 1, stdout="", stderr="no such image"),
+    )
+    assert imf.image_revision("missing-image") == ""
+
+
+def test_tc04_image_revision_no_value_label_returns_empty(monkeypatch):
+    # `docker inspect` prints "<no value>" when the label key is absent.
+    monkeypatch.setattr(
+        imf.subprocess, "run",
+        lambda *a, **k: subprocess.CompletedProcess(a, 0, stdout="<no value>\n", stderr=""),
+    )
+    assert imf.image_revision("unlabelled-image") == ""
+
+
+def test_tc04_validated_revision_missing_worktree_returns_empty(monkeypatch, tmp_path):
+    # No worktree on disk -> fail-closed empty SHA, never raises.
+    monkeypatch.setattr(imf.settings, "worktrees_dir", str(tmp_path / "nope"))
+    monkeypatch.setattr(imf.settings, "repos_dir", str(tmp_path / "nope"))
+    assert imf.validated_revision("orchestrator", "feature/ORCH-058-x") == ""
+
+
+def test_tc04_check_staging_image_fresh_never_raises(monkeypatch):
+    # Self repo + enabled, but rebuild blows up -> caught -> safe (False) verdict.
+    monkeypatch.setattr(imf.settings, "image_freshness_enabled", True)
+    monkeypatch.setattr(imf.settings, "image_freshness_repos", "")
+    monkeypatch.setattr(imf, "validated_revision", lambda r, b: "deadbeef")
+
+    def _boom(*a, **k):
+        raise RuntimeError("ssh exploded")
+    monkeypatch.setattr(imf, "rebuild_staging_image", _boom)
+    ok, reason = imf.check_staging_image_fresh("orchestrator", "ORCH-058", "feature/ORCH-058-x")
+    assert ok is False
+    assert "error" in reason.lower()
+
+
+# ---------------------------------------------------------------------------
+# TC-05: conditionality (self-hosting only)
+# ---------------------------------------------------------------------------
+def test_tc05_applies_only_to_self_hosting_by_default(monkeypatch):
+    monkeypatch.setattr(imf.settings, "image_freshness_enabled", True)
+    monkeypatch.setattr(imf.settings, "image_freshness_repos", "")
+    assert imf.image_freshness_applies("orchestrator") is True
+    assert imf.image_freshness_applies("enduro-trails") is False
+
+
+def test_tc05_applies_respects_repos_csv(monkeypatch):
+    monkeypatch.setattr(imf.settings, "image_freshness_enabled", True)
+    monkeypatch.setattr(imf.settings, "image_freshness_repos", "enduro-trails")
+    assert imf.image_freshness_applies("enduro-trails") is True
+    # CSV is authoritative: orchestrator not listed -> not real.
+    assert imf.image_freshness_applies("orchestrator") is False
+
+
+def test_tc05_kill_switch_disables_for_everyone(monkeypatch):
+    monkeypatch.setattr(imf.settings, "image_freshness_enabled", False)
+    monkeypatch.setattr(imf.settings, "image_freshness_repos", "")
+    assert imf.image_freshness_applies("orchestrator") is False
+
+
+def test_tc05_check_is_noop_for_non_self_repo(monkeypatch):
+    monkeypatch.setattr(imf.settings, "image_freshness_enabled", True)
+    monkeypatch.setattr(imf.settings, "image_freshness_repos", "")
+    ok, reason = imf.check_staging_image_fresh("enduro-trails", "ET-001", "feature/ET-001-x")
+    assert ok is True
+    assert "N/A" in reason
+
+
+def test_tc05_check_disabled_is_pass(monkeypatch):
+    monkeypatch.setattr(imf.settings, "image_freshness_enabled", False)
+    ok, reason = imf.check_staging_image_fresh("orchestrator", "ORCH-058", "feature/ORCH-058-x")
+    assert ok is True
+    assert "disabled" in reason.lower()
+
+
+def test_tc05_check_real_for_self_repo_rebuilds(monkeypatch):
+    # Self repo + enabled: validated commit resolved + rebuild OK -> fresh PASS.
+    monkeypatch.setattr(imf.settings, "image_freshness_enabled", True)
+    monkeypatch.setattr(imf.settings, "image_freshness_repos", "")
+    monkeypatch.setattr(imf, "validated_revision", lambda r, b: "abc123def456")
+    monkeypatch.setattr(imf, "rebuild_staging_image", lambda r, b, s: (True, "healthy"))
+    ok, reason = imf.check_staging_image_fresh("orchestrator", "ORCH-058", "feature/ORCH-058-x")
+    assert ok is True
+    assert "abc123def456"[:12] in reason
+
+
+def test_tc05_check_fail_closed_when_no_validated_revision(monkeypatch):
+    monkeypatch.setattr(imf.settings, "image_freshness_enabled", True)
+    monkeypatch.setattr(imf.settings, "image_freshness_repos", "")
+    monkeypatch.setattr(imf, "validated_revision", lambda r, b: "")
+    ok, reason = imf.check_staging_image_fresh("orchestrator", "ORCH-058", "feature/ORCH-058-x")
+    assert ok is False
+    assert "fail-closed" in reason.lower()
+
+
+def test_tc05_check_fails_when_rebuild_fails(monkeypatch):
+    monkeypatch.setattr(imf.settings, "image_freshness_enabled", True)
+    monkeypatch.setattr(imf.settings, "image_freshness_repos", "")
+    monkeypatch.setattr(imf, "validated_revision", lambda r, b: "abc123def456")
+    monkeypatch.setattr(imf, "rebuild_staging_image", lambda r, b, s: (False, "build error"))
+    ok, reason = imf.check_staging_image_fresh("orchestrator", "ORCH-058", "feature/ORCH-058-x")
+    assert ok is False
+    assert "rebuild failed" in reason.lower()

tests/test_qg_registry_snapshot.py

@@ -29,6 +29,7 @@ _EXPECTED_QGS = {
     "check_deploy_status",
     "check_staging_status",
     "check_branch_mergeable",  # ORCH-043 merge-gate (deploy-staging -> deploy edge)
+    "check_staging_image_fresh",  # ORCH-058 image-freshness sub-gate (same edge)
 }
 
 

tests/test_reconciler.py

@@ -0,0 +1,682 @@
+"""ORCH-053: tests for the gate-side stuck-task reconciler (F-1) + lifecycle.
+
+These cover the F-1 sweeper (``Reconciler.reconcile_gate_once``), the per-stage
+grace / config (``grace_for_stage``), the no-spam guarantee, the analysis carve-
+out (AC-16), never-raise isolation, the kill-switch, the unblock observability
+(AC-12 / F-4) and the restart-safe daemon thread (AC-11).
+
+Everything that touches the network (the quality gate, Plane sync, Telegram) is
+mocked at the src.stage_engine / src.reconciler level so the reconciler runs
+against a real isolated sqlite DB (same convention as test_stage_engine.py).
+"""
+
+import os
+import tempfile
+
+import pytest
+
+# Isolated test DB (set BEFORE importing src.* so settings picks it up).
+_test_db = os.path.join(tempfile.gettempdir(), "test_orchestrator_reconciler.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+from unittest.mock import MagicMock  # noqa: E402
+
+import src.db as _db  # noqa: E402
+from src.db import init_db, get_db, enqueue_job  # noqa: E402
+from src import stage_engine  # noqa: E402
+from src import reconciler as reconciler_mod  # noqa: E402
+from src.reconciler import Reconciler, grace_for_stage  # noqa: E402
+
+
+# ---------------------------------------------------------------------------
+# Fixtures
+# ---------------------------------------------------------------------------
+@pytest.fixture(autouse=True)
+def fresh_db(monkeypatch):
+    """Fresh isolated DB per test."""
+    monkeypatch.setattr(_db.settings, "db_path", _test_db)
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+    init_db()
+    yield
+
+
+@pytest.fixture(autouse=True)
+def silence_side_effects(monkeypatch):
+    """No-op every Plane/Telegram/notification side effect in the engine so the
+    real advance_stage runs deterministically and offline."""
+    for name in (
+        "notify_stage_change",
+        "notify_qg_failure",
+        "notify_approve_requested",
+        "notify_error",
+        "send_telegram",
+        "plane_notify_stage",
+        "plane_notify_qg",
+        "plane_add_comment",
+        "set_issue_in_review",
+        "set_issue_needs_input",
+        "set_issue_in_progress",
+        "set_issue_blocked",
+        "set_issue_done",
+    ):
+        monkeypatch.setattr(stage_engine, name, MagicMock(), raising=False)
+
+
+def _make_task(stage, *, repo="enduro-trails", branch="feature/ET-001-x",
+               wi="ET-001", age_s=None):
+    """Insert a task; if age_s is given, backdate updated_at by that many secs."""
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage) "
+        "VALUES (?, ?, ?, ?, ?)",
+        (f"plane-{wi}", wi, repo, branch, stage),
+    )
+    task_id = cur.lastrowid
+    if age_s is not None:
+        conn.execute(
+            "UPDATE tasks SET updated_at = datetime('now', ?) WHERE id = ?",
+            (f"-{int(age_s)} seconds", task_id),
+        )
+    conn.commit()
+    conn.close()
+    return task_id
+
+
+def _stage_of(task_id):
+    conn = get_db()
+    row = conn.execute("SELECT stage FROM tasks WHERE id = ?", (task_id,)).fetchone()
+    conn.close()
+    return row["stage"]
+
+
+def _jobs_for(task_id, agent=None):
+    conn = get_db()
+    if agent:
+        rows = conn.execute(
+            "SELECT * FROM jobs WHERE task_id = ? AND agent = ?", (task_id, agent)
+        ).fetchall()
+    else:
+        rows = conn.execute(
+            "SELECT * FROM jobs WHERE task_id = ?", (task_id,)
+        ).fetchall()
+    conn.close()
+    return [dict(r) for r in rows]
+
+
+def _green_ci(monkeypatch, value=(True, "CI green")):
+    """Patch the check_ci_green entry in QG_CHECKS; return the mock."""
+    m = MagicMock(return_value=value)
+    monkeypatch.setitem(stage_engine.QG_CHECKS, "check_ci_green", m)
+    return m
+
+
+# --- ORCH-060 fixtures / helpers -------------------------------------------
+# State uuids the default "not blocked" fixture maps Blocked / Needs Input to.
+_BLOCKED_UUID = "blocked-state-uuid"
+_NEEDS_INPUT_UUID = "needs-input-state-uuid"
+
+
+@pytest.fixture(autouse=True)
+def plane_state_not_blocked(monkeypatch):
+    """ORCH-060 Guard 2 boundary: by default Plane says the issue is NOT in a
+    human gate, so the F-1 happy path runs deterministically offline (no real
+    httpx call). Tests that exercise Guard 2 override ``fetch_issue_state`` to
+    return ``_BLOCKED_UUID`` / ``_NEEDS_INPUT_UUID`` (or raise)."""
+    monkeypatch.setattr(
+        reconciler_mod, "fetch_issue_state",
+        MagicMock(return_value="some-non-gated-state"),
+    )
+    monkeypatch.setattr(
+        reconciler_mod, "get_project_states",
+        MagicMock(return_value={
+            "blocked": _BLOCKED_UUID,
+            "needs_input": _NEEDS_INPUT_UUID,
+        }),
+    )
+    monkeypatch.setattr(
+        reconciler_mod.projects, "get_project_by_repo",
+        MagicMock(return_value=MagicMock(plane_project_id="proj-test")),
+    )
+
+
+def _add_dev_runs(task_id, n, agent="developer"):
+    """Model N developer retries by inserting N agent_runs rows (ORCH-060)."""
+    conn = get_db()
+    for _ in range(n):
+        conn.execute(
+            "INSERT INTO agent_runs (task_id, agent) VALUES (?, ?)",
+            (task_id, agent),
+        )
+    conn.commit()
+    conn.close()
+
+
+# ---------------------------------------------------------------------------
+# TC-01: happy path — stuck development task is advanced to review
+# ---------------------------------------------------------------------------
+def test_tc01_advances_stuck_development_task(monkeypatch):
+    _green_ci(monkeypatch)
+    task_id = _make_task("development", age_s=3600)  # well past grace
+
+    Reconciler().reconcile_gate_once()
+
+    assert _stage_of(task_id) == "review"
+    reviewer_jobs = _jobs_for(task_id, "reviewer")
+    assert len(reviewer_jobs) == 1
+
+
+# ---------------------------------------------------------------------------
+# TC-02: source of truth is the gate — advance goes through advance_stage
+#        with finished_agent=None (no own update_task_stage/enqueue_job).
+# ---------------------------------------------------------------------------
+def test_tc02_advances_via_advance_stage_finished_agent_none(monkeypatch):
+    _green_ci(monkeypatch)
+    spy = MagicMock(wraps=stage_engine.advance_stage)
+    # advance_if_gate_passed resolves advance_stage as a module global.
+    monkeypatch.setattr(stage_engine, "advance_stage", spy)
+
+    task_id = _make_task("development", age_s=3600)
+    Reconciler().reconcile_gate_once()
+
+    assert spy.call_count == 1
+    # finished_agent must be None (the webhook path).
+    _args, kwargs = spy.call_args
+    assert kwargs.get("finished_agent", "MISSING") is None
+    assert spy.call_args.args[0] == task_id
+
+
+# ---------------------------------------------------------------------------
+# TC-03: task with an active job is skipped — gate not evaluated, no advance.
+# ---------------------------------------------------------------------------
+def test_tc03_active_job_skipped(monkeypatch):
+    ci = _green_ci(monkeypatch)
+    spy = MagicMock(wraps=stage_engine.advance_stage)
+    monkeypatch.setattr(stage_engine, "advance_stage", spy)
+
+    task_id = _make_task("development", age_s=3600)
+    enqueue_job("reviewer", "enduro-trails", task_id=task_id)  # active (queued)
+
+    Reconciler().reconcile_gate_once()
+
+    assert _stage_of(task_id) == "development"
+    ci.assert_not_called()
+    spy.assert_not_called()
+
+
+# ---------------------------------------------------------------------------
+# TC-04: per-stage grace — fresh task untouched, at-threshold task eligible.
+# ---------------------------------------------------------------------------
+def test_tc04_grace_boundary(monkeypatch):
+    monkeypatch.setattr(reconciler_mod.settings, "reconcile_grace_default_s", 600)
+    _green_ci(monkeypatch)
+
+    fresh = _make_task("development", branch="feature/ET-002-fresh",
+                       wi="ET-002", age_s=10)        # < grace -> untouched
+    stuck = _make_task("development", branch="feature/ET-003-stuck",
+                       wi="ET-003", age_s=3600)       # >= grace -> advanced
+
+    Reconciler().reconcile_gate_once()
+
+    assert _stage_of(fresh) == "development"
+    assert _stage_of(stuck) == "review"
+
+
+# ---------------------------------------------------------------------------
+# TC-05: grace_for_stage reads overrides JSON; bad JSON -> default, no crash.
+# ---------------------------------------------------------------------------
+def test_tc05_grace_for_stage_overrides(monkeypatch):
+    monkeypatch.setattr(reconciler_mod.settings, "reconcile_grace_default_s", 600)
+    monkeypatch.setattr(
+        reconciler_mod.settings,
+        "reconcile_grace_overrides_json",
+        '{"development": 30, "review": 7200}',
+    )
+    assert grace_for_stage("development") == 30
+    assert grace_for_stage("review") == 7200
+    # missing key -> default
+    assert grace_for_stage("testing") == 600
+
+
+def test_tc05_grace_for_stage_invalid_json_falls_back(monkeypatch):
+    monkeypatch.setattr(reconciler_mod.settings, "reconcile_grace_default_s", 600)
+    monkeypatch.setattr(
+        reconciler_mod.settings, "reconcile_grace_overrides_json", "{not valid json"
+    )
+    # Must not raise, must fall back to the default.
+    assert grace_for_stage("development") == 600
+
+
+# ---------------------------------------------------------------------------
+# TC-06: no spam — a stable-red gate never advances and never notifies, even
+#        across many ticks.
+# ---------------------------------------------------------------------------
+def test_tc06_red_gate_no_spam(monkeypatch):
+    _green_ci(monkeypatch, value=(False, "CI red"))
+    task_id = _make_task("development", age_s=3600)
+
+    rec = Reconciler()
+    for _ in range(5):
+        rec.reconcile_gate_once()
+
+    assert _stage_of(task_id) == "development"
+    # The QG-failure notification branch inside advance_stage must never fire,
+    # because advance_if_gate_passed returns None on a red gate (no advance call).
+    stage_engine.notify_qg_failure.assert_not_called()
+    stage_engine.plane_notify_qg.assert_not_called()
+    assert rec.unblocked_total == 0
+
+
+# ---------------------------------------------------------------------------
+# TC-07: silence when in sync — done / busy / within-grace tasks => no advance.
+# ---------------------------------------------------------------------------
+def test_tc07_silence_when_in_sync(monkeypatch):
+    _green_ci(monkeypatch)
+    spy = MagicMock(wraps=stage_engine.advance_stage)
+    monkeypatch.setattr(stage_engine, "advance_stage", spy)
+
+    _make_task("done", branch="feature/ET-010-done", wi="ET-010", age_s=3600)
+    fresh = _make_task("development", branch="feature/ET-011-fresh",
+                       wi="ET-011", age_s=5)
+    busy = _make_task("development", branch="feature/ET-012-busy",
+                      wi="ET-012", age_s=3600)
+    enqueue_job("reviewer", "enduro-trails", task_id=busy)
+
+    rec = Reconciler()
+    rec.reconcile_gate_once()
+
+    spy.assert_not_called()
+    assert rec.unblocked_total == 0
+    assert _stage_of(fresh) == "development"
+
+
+# ---------------------------------------------------------------------------
+# TC-08 (AC-16): F-1 never advances the human analysis gate.
+# ---------------------------------------------------------------------------
+def test_tc08_analysis_not_advanced_by_f1(monkeypatch):
+    # Even if the analysis gate would "pass", F-1 must not touch analysis.
+    monkeypatch.setitem(
+        stage_engine.QG_CHECKS, "check_analysis_approved",
+        MagicMock(return_value=(True, "approved")),
+    )
+    spy = MagicMock(wraps=stage_engine.advance_stage)
+    monkeypatch.setattr(stage_engine, "advance_stage", spy)
+
+    task_id = _make_task("analysis", age_s=3600)
+    Reconciler().reconcile_gate_once()
+
+    assert _stage_of(task_id) == "analysis"
+    spy.assert_not_called()
+
+
+# ---------------------------------------------------------------------------
+# TC-09: never-raise — one task blowing up does not stop the others.
+# ---------------------------------------------------------------------------
+def test_tc09_never_raise_isolates_failure(monkeypatch):
+    calls = []
+
+    def boom(task_id, stage, repo, wi, branch):
+        calls.append(task_id)
+        raise RuntimeError("boom")
+
+    monkeypatch.setattr(reconciler_mod, "advance_if_gate_passed", boom)
+
+    t1 = _make_task("development", branch="feature/ET-020-a", wi="ET-020", age_s=3600)
+    t2 = _make_task("development", branch="feature/ET-021-b", wi="ET-021", age_s=3600)
+
+    # Must not raise despite both tasks raising inside advance_if_gate_passed.
+    Reconciler().reconcile_gate_once()
+
+    assert set(calls) == {t1, t2}  # both attempted
+
+
+# ---------------------------------------------------------------------------
+# TC-10: kill-switches.
+# ---------------------------------------------------------------------------
+def test_tc10_kill_switch_disables_gate(monkeypatch):
+    monkeypatch.setattr(reconciler_mod.settings, "reconcile_enabled", False)
+    spy = MagicMock(wraps=stage_engine.advance_stage)
+    monkeypatch.setattr(stage_engine, "advance_stage", spy)
+    _green_ci(monkeypatch)
+
+    task_id = _make_task("development", age_s=3600)
+    Reconciler().reconcile_gate_once()
+
+    assert _stage_of(task_id) == "development"
+    spy.assert_not_called()
+
+
+def test_tc10_plane_switch_mutes_only_f2(monkeypatch):
+    monkeypatch.setattr(reconciler_mod.settings, "reconcile_enabled", True)
+    monkeypatch.setattr(reconciler_mod.settings, "reconcile_plane_enabled", False)
+
+    plane_pass = MagicMock()
+    monkeypatch.setattr(reconciler_mod.Reconciler, "_reconcile_plane_project", plane_pass)
+    # F-2 muted -> reconcile_plane_once is a no-op.
+    Reconciler().reconcile_plane_once()
+    plane_pass.assert_not_called()
+
+    # F-1 still runs.
+    _green_ci(monkeypatch)
+    task_id = _make_task("development", age_s=3600)
+    Reconciler().reconcile_gate_once()
+    assert _stage_of(task_id) == "review"
+
+
+# ---------------------------------------------------------------------------
+# TC-20: observability — explicit unblock log line + telegram (AC-12 / F-4).
+# ---------------------------------------------------------------------------
+def test_tc20_unblock_logs_and_notifies(monkeypatch, caplog):
+    _green_ci(monkeypatch)
+    monkeypatch.setattr(reconciler_mod.settings, "reconcile_notify_unblock", True)
+    tg = MagicMock()
+    monkeypatch.setattr(reconciler_mod, "send_telegram", tg)
+
+    _make_task("development", wi="ET-042", age_s=3600)
+
+    rec = Reconciler()
+    with caplog.at_level("INFO", logger="orchestrator.reconciler"):
+        rec.reconcile_gate_once()
+
+    # Exact AC-12 contract string.
+    assert "reconciler: ET-042 development разблокирована (потерян webhook)" in caplog.text
+    assert rec.unblocked_total == 1
+    assert rec.last_unblocked == "ET-042"
+    tg.assert_called_once()
+
+
+def test_tc20_no_telegram_when_disabled(monkeypatch):
+    _green_ci(monkeypatch)
+    monkeypatch.setattr(reconciler_mod.settings, "reconcile_notify_unblock", False)
+    tg = MagicMock()
+    monkeypatch.setattr(reconciler_mod, "send_telegram", tg)
+
+    _make_task("development", wi="ET-043", age_s=3600)
+    Reconciler().reconcile_gate_once()
+
+    tg.assert_not_called()
+
+
+# ---------------------------------------------------------------------------
+# TC-21: restart-safe daemon thread — start/stop/idempotent start.
+# ---------------------------------------------------------------------------
+def test_tc21_daemon_thread_lifecycle(monkeypatch):
+    # Avoid any real work in the loop: disable both branches, big interval.
+    monkeypatch.setattr(reconciler_mod.settings, "reconcile_enabled", False)
+    rec = Reconciler(interval_s=60)
+
+    rec.start()
+    assert rec._thread is not None and rec._thread.is_alive()
+    first_thread = rec._thread
+
+    # Idempotent: a second start does not spawn a new thread.
+    rec.start()
+    assert rec._thread is first_thread
+
+    rec.stop(timeout=5.0)
+    assert not first_thread.is_alive()
+
+
+# ===========================================================================
+# ORCH-060: F-1 skips escalated (max developer retries) / Blocked / Needs Input
+# ===========================================================================
+
+# ---------------------------------------------------------------------------
+# TC-01 (AC-1): escalated dev task (exactly MAX_DEVELOPER_RETRIES dev runs) at a
+#               green gate is NOT unblocked — stays development, no job, count 0.
+# ---------------------------------------------------------------------------
+def test_tc060_01_escalated_at_limit_skipped(monkeypatch):
+    _green_ci(monkeypatch)
+    task_id = _make_task("development", age_s=3600)
+    _add_dev_runs(task_id, stage_engine.MAX_DEVELOPER_RETRIES)
+
+    rec = Reconciler()
+    rec.reconcile_gate_once()
+
+    assert _stage_of(task_id) == "development"
+    assert rec.unblocked_total == 0
+    assert _jobs_for(task_id, "reviewer") == []
+
+
+# ---------------------------------------------------------------------------
+# TC-02 (AC-2): more dev runs than the cap (4–5) -> also skipped (>= boundary).
+# ---------------------------------------------------------------------------
+def test_tc060_02_over_limit_skipped(monkeypatch):
+    _green_ci(monkeypatch)
+    task_id = _make_task("development", age_s=3600)
+    _add_dev_runs(task_id, stage_engine.MAX_DEVELOPER_RETRIES + 2)
+
+    rec = Reconciler()
+    rec.reconcile_gate_once()
+
+    assert _stage_of(task_id) == "development"
+    assert rec.unblocked_total == 0
+
+
+# ---------------------------------------------------------------------------
+# TC-03 (AC-3): regression — retry < cap (here 2) still advances to review.
+# ---------------------------------------------------------------------------
+def test_tc060_03_under_limit_still_advances(monkeypatch):
+    _green_ci(monkeypatch)
+    task_id = _make_task("development", age_s=3600)
+    _add_dev_runs(task_id, stage_engine.MAX_DEVELOPER_RETRIES - 1)
+
+    rec = Reconciler()
+    rec.reconcile_gate_once()
+
+    assert _stage_of(task_id) == "review"
+    assert rec.unblocked_total == 1
+
+
+# ---------------------------------------------------------------------------
+# TC-04 (AC-4): twins — one at the cap (skip), one at cap-1 (advance). Exactly
+#               one advances.
+# ---------------------------------------------------------------------------
+def test_tc060_04_boundary_exactly_one_advances(monkeypatch):
+    _green_ci(monkeypatch)
+    at_limit = _make_task("development", branch="feature/ET-200-a",
+                          wi="ET-200", age_s=3600)
+    below = _make_task("development", branch="feature/ET-201-b",
+                       wi="ET-201", age_s=3600)
+    _add_dev_runs(at_limit, stage_engine.MAX_DEVELOPER_RETRIES)
+    _add_dev_runs(below, stage_engine.MAX_DEVELOPER_RETRIES - 1)
+
+    rec = Reconciler()
+    rec.reconcile_gate_once()
+
+    assert _stage_of(at_limit) == "development"   # skipped
+    assert _stage_of(below) == "review"           # advanced
+    assert rec.unblocked_total == 1
+
+
+# ---------------------------------------------------------------------------
+# TC-05 (AC-5): explicit Plane Blocked (retry < cap) -> skipped.
+# ---------------------------------------------------------------------------
+def test_tc060_05_blocked_skipped(monkeypatch):
+    _green_ci(monkeypatch)
+    monkeypatch.setattr(
+        reconciler_mod, "fetch_issue_state",
+        MagicMock(return_value=_BLOCKED_UUID),
+    )
+    task_id = _make_task("development", age_s=3600)
+
+    rec = Reconciler()
+    rec.reconcile_gate_once()
+
+    assert _stage_of(task_id) == "development"
+    assert rec.unblocked_total == 0
+
+
+# ---------------------------------------------------------------------------
+# TC-06 (AC-6): explicit Plane Needs Input (retry < cap) -> skipped.
+# ---------------------------------------------------------------------------
+def test_tc060_06_needs_input_skipped(monkeypatch):
+    _green_ci(monkeypatch)
+    monkeypatch.setattr(
+        reconciler_mod, "fetch_issue_state",
+        MagicMock(return_value=_NEEDS_INPUT_UUID),
+    )
+    task_id = _make_task("development", age_s=3600)
+
+    rec = Reconciler()
+    rec.reconcile_gate_once()
+
+    assert _stage_of(task_id) == "development"
+    assert rec.unblocked_total == 0
+
+
+# ---------------------------------------------------------------------------
+# TC-07 (AC-7): no spam — escalated task triggers no unblock log / telegram /
+#               QG-failure notification, across several ticks.
+# ---------------------------------------------------------------------------
+def test_tc060_07_escalated_no_spam(monkeypatch, caplog):
+    _green_ci(monkeypatch)
+    monkeypatch.setattr(reconciler_mod.settings, "reconcile_notify_unblock", True)
+    tg = MagicMock()
+    monkeypatch.setattr(reconciler_mod, "send_telegram", tg)
+
+    task_id = _make_task("development", wi="ET-210", age_s=3600)
+    _add_dev_runs(task_id, stage_engine.MAX_DEVELOPER_RETRIES)
+
+    rec = Reconciler()
+    with caplog.at_level("INFO", logger="orchestrator.reconciler"):
+        for _ in range(3):
+            rec.reconcile_gate_once()
+
+    assert "разблокирована" not in caplog.text
+    tg.assert_not_called()
+    stage_engine.notify_qg_failure.assert_not_called()
+    assert rec.unblocked_total == 0
+
+
+# ---------------------------------------------------------------------------
+# TC-08 (AC-8): the gate (check_ci_green) is NOT even evaluated for an escalated
+#               task — Guard 1 skips before the pre-evaluation.
+# ---------------------------------------------------------------------------
+def test_tc060_08_no_gate_call_on_escalated(monkeypatch):
+    ci = _green_ci(monkeypatch)
+    task_id = _make_task("development", age_s=3600)
+    _add_dev_runs(task_id, stage_engine.MAX_DEVELOPER_RETRIES)
+
+    Reconciler().reconcile_gate_once()
+
+    ci.assert_not_called()
+
+
+# ---------------------------------------------------------------------------
+# TC-09 (AC-9): F-2 never replays Blocked / Needs Input — those states are not
+#               in the polled set, so the handlers are never invoked.
+# ---------------------------------------------------------------------------
+def test_tc060_09_f2_does_not_replay_blocked(monkeypatch):
+    states = {
+        "in_progress": "IP", "approved": "AP", "rejected": "RJ",
+        "blocked": "BL", "needs_input": "NI",
+    }
+    monkeypatch.setattr(
+        reconciler_mod, "get_project_states", MagicMock(return_value=states)
+    )
+    captured = {}
+
+    def fake_list(pid, state_uuids):
+        captured["states"] = list(state_uuids)
+        # Plane filters client-side to the requested states, so a Blocked /
+        # Needs Input issue is structurally excluded from the result.
+        return []
+
+    monkeypatch.setattr(reconciler_mod, "list_issues_by_state", fake_list)
+    hss = MagicMock()
+    hv = MagicMock()
+    monkeypatch.setattr(reconciler_mod, "handle_status_start", hss)
+    monkeypatch.setattr(reconciler_mod, "handle_verdict", hv)
+    monkeypatch.setattr(
+        reconciler_mod.projects, "PROJECTS",
+        [MagicMock(repo="enduro-trails", plane_project_id="P")],
+    )
+
+    rec = Reconciler()
+    rec.reconcile_plane_once()
+
+    assert "BL" not in captured["states"]
+    assert "NI" not in captured["states"]
+    hss.assert_not_called()
+    hv.assert_not_called()
+    assert rec.unblocked_total == 0
+
+
+# ---------------------------------------------------------------------------
+# TC-10 (AC-10): never-raise — a Guard 2 lookup that raises for one task is
+#               isolated (that task is conservatively skipped); a neighbour
+#               still advances and the tick does not blow up.
+# ---------------------------------------------------------------------------
+def test_tc060_10_guard2_never_raise(monkeypatch):
+    _green_ci(monkeypatch)
+    bad = _make_task("development", branch="feature/ET-220-bad",
+                     wi="ET-220", age_s=3600)
+    ok = _make_task("development", branch="feature/ET-221-ok",
+                    wi="ET-221", age_s=3600)
+
+    def flaky(issue_id, project_id):
+        if issue_id == "plane-ET-220":
+            raise RuntimeError("plane boom")
+        return "some-non-gated-state"
+
+    monkeypatch.setattr(
+        reconciler_mod, "fetch_issue_state", MagicMock(side_effect=flaky)
+    )
+
+    rec = Reconciler()
+    rec.reconcile_gate_once()  # must not raise
+
+    assert _stage_of(bad) == "development"   # conservative skip
+    assert _stage_of(ok) == "review"         # neighbour advanced
+    assert rec.unblocked_total == 1
+
+
+# ---------------------------------------------------------------------------
+# TC-11 (AC-11): the cutoff comes from MAX_DEVELOPER_RETRIES, not a literal 3.
+#               Patching the constant to 2 makes a 2-run task escalate (it would
+#               have advanced under a hardcoded 3).
+# ---------------------------------------------------------------------------
+def test_tc060_11_limit_from_constant(monkeypatch):
+    _green_ci(monkeypatch)
+    monkeypatch.setattr(reconciler_mod, "MAX_DEVELOPER_RETRIES", 2)
+    task_id = _make_task("development", age_s=3600)
+    _add_dev_runs(task_id, 2)  # == patched cap -> skip
+
+    rec = Reconciler()
+    rec.reconcile_gate_once()
+
+    assert _stage_of(task_id) == "development"
+    assert rec.unblocked_total == 0
+
+
+# ---------------------------------------------------------------------------
+# AC-10 extra: the sub-flag reconcile_skip_blocked_enabled=False mutes ONLY
+#              Guard 2 (a Blocked task would then be reconciled), while Guard 1
+#              (escalated) stays active.
+# ---------------------------------------------------------------------------
+def test_tc060_subflag_disables_only_guard2(monkeypatch):
+    _green_ci(monkeypatch)
+    monkeypatch.setattr(
+        reconciler_mod.settings, "reconcile_skip_blocked_enabled", False
+    )
+    monkeypatch.setattr(
+        reconciler_mod, "fetch_issue_state",
+        MagicMock(return_value=_BLOCKED_UUID),
+    )
+    # Guard 2 disabled -> a Blocked task with retry < cap advances again.
+    blocked = _make_task("development", branch="feature/ET-230-a",
+                         wi="ET-230", age_s=3600)
+    # Guard 1 stays active regardless of the sub-flag.
+    escalated = _make_task("development", branch="feature/ET-231-b",
+                           wi="ET-231", age_s=3600)
+    _add_dev_runs(escalated, stage_engine.MAX_DEVELOPER_RETRIES)
+
+    rec = Reconciler()
+    rec.reconcile_gate_once()
+
+    assert _stage_of(blocked) == "review"          # Guard 2 muted
+    assert _stage_of(escalated) == "development"   # Guard 1 still skips

tests/test_reconciler_plane.py

@@ -0,0 +1,297 @@
+"""ORCH-053: tests for the Plane-side reconciler (F-2) + sha-resolve helpers.
+
+F-2 polls the Plane API per project (``list_issues_by_state``) and REPLAYS a
+missed In Progress / Approved / Rejected transition through the EXISTING
+``webhooks.plane.handle_status_start`` / ``handle_verdict`` handlers — it never
+duplicates pipeline logic. These tests mock those handlers (AsyncMock) and the
+Plane API helpers, and verify the dispatch / idempotency / multi-project rules.
+
+TC-15 is the AC-4 anti-dup integration test for ``create_task_atomic`` against a
+real isolated sqlite DB under concurrency.
+TC-16 exercises ``plane_sync.list_issues_by_state`` directly (pagination + the
+never-raise contract).
+"""
+
+import os
+import tempfile
+import threading
+from types import SimpleNamespace
+
+import pytest
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orchestrator_reconciler_plane.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+from unittest.mock import AsyncMock, MagicMock  # noqa: E402
+
+import src.db as _db  # noqa: E402
+from src.db import init_db, get_db, enqueue_job, create_task_atomic  # noqa: E402
+from src import reconciler as reconciler_mod  # noqa: E402
+from src import plane_sync  # noqa: E402
+from src.reconciler import Reconciler  # noqa: E402
+
+_IN_PROGRESS = "uuid-in-progress"
+_APPROVED = "uuid-approved"
+_REJECTED = "uuid-rejected"
+_OLD_TS = "2020-01-01T00:00:00Z"  # well past any grace
+
+
+@pytest.fixture(autouse=True)
+def fresh_db(monkeypatch):
+    monkeypatch.setattr(_db.settings, "db_path", _test_db)
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+    init_db()
+    yield
+
+
+@pytest.fixture
+def single_project(monkeypatch):
+    """Restrict F-2 to a single fake project and stub its state resolution."""
+    proj = SimpleNamespace(
+        plane_project_id="proj-1", repo="enduro-trails", work_item_prefix="ET",
+    )
+    monkeypatch.setattr(reconciler_mod.projects, "PROJECTS", [proj])
+    monkeypatch.setattr(
+        reconciler_mod, "get_project_states",
+        lambda pid: {
+            "in_progress": _IN_PROGRESS,
+            "approved": _APPROVED,
+            "rejected": _REJECTED,
+        },
+    )
+    return proj
+
+
+def _make_task(plane_id, stage="review", repo="enduro-trails",
+               branch="feature/ET-001-x", wi="ET-001"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, plane_issue_id) "
+        "VALUES (?, ?, ?, ?, ?, ?)",
+        (plane_id, wi, repo, branch, stage, plane_id),
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return tid
+
+
+def _patch_handlers(monkeypatch):
+    start = AsyncMock()
+    verdict = AsyncMock()
+    monkeypatch.setattr(reconciler_mod, "handle_status_start", start)
+    monkeypatch.setattr(reconciler_mod, "handle_verdict", verdict)
+    return start, verdict
+
+
+def _patch_issues(monkeypatch, issues):
+    monkeypatch.setattr(
+        reconciler_mod, "list_issues_by_state", lambda pid, states: list(issues)
+    )
+
+
+# ---------------------------------------------------------------------------
+# TC-11: In Progress without a task -> handle_status_start once.
+# ---------------------------------------------------------------------------
+def test_tc11_in_progress_without_task_starts_pipeline(monkeypatch, single_project):
+    start, verdict = _patch_handlers(monkeypatch)
+    _patch_issues(monkeypatch, [
+        {"id": "iss-1", "state": {"id": _IN_PROGRESS}, "updated_at": _OLD_TS,
+         "name": "Some issue"},
+    ])
+
+    Reconciler().reconcile_plane_once()
+
+    assert start.call_count == 1
+    issue_data, project_id = start.call_args.args
+    assert issue_data["id"] == "iss-1"
+    assert issue_data["state"]["id"] == _IN_PROGRESS
+    assert project_id == "proj-1"
+    verdict.assert_not_called()
+
+
+# ---------------------------------------------------------------------------
+# TC-12: Approved with an existing task, no active job -> handle_verdict(True).
+# ---------------------------------------------------------------------------
+def test_tc12_approved_replays_verdict(monkeypatch, single_project):
+    start, verdict = _patch_handlers(monkeypatch)
+    _make_task("iss-2", stage="review")
+    _patch_issues(monkeypatch, [
+        {"id": "iss-2", "state": {"id": _APPROVED}, "updated_at": _OLD_TS},
+    ])
+
+    Reconciler().reconcile_plane_once()
+
+    assert verdict.call_count == 1
+    assert verdict.call_args.kwargs.get("approved") is True
+    start.assert_not_called()
+
+
+# ---------------------------------------------------------------------------
+# TC-13: Rejected with an existing task -> handle_verdict(False).
+# ---------------------------------------------------------------------------
+def test_tc13_rejected_replays_verdict(monkeypatch, single_project):
+    start, verdict = _patch_handlers(monkeypatch)
+    _make_task("iss-3", stage="review")
+    _patch_issues(monkeypatch, [
+        {"id": "iss-3", "state": {"id": _REJECTED}, "updated_at": _OLD_TS},
+    ])
+
+    Reconciler().reconcile_plane_once()
+
+    assert verdict.call_count == 1
+    assert verdict.call_args.kwargs.get("approved") is False
+    start.assert_not_called()
+
+
+# ---------------------------------------------------------------------------
+# TC-14: idempotency — an active job means a live webhook is in flight -> skip.
+# ---------------------------------------------------------------------------
+def test_tc14_active_job_skips(monkeypatch, single_project):
+    start, verdict = _patch_handlers(monkeypatch)
+    tid = _make_task("iss-4", stage="review")
+    enqueue_job("reviewer", "enduro-trails", task_id=tid)  # active
+    _patch_issues(monkeypatch, [
+        {"id": "iss-4", "state": {"id": _APPROVED}, "updated_at": _OLD_TS},
+    ])
+
+    Reconciler().reconcile_plane_once()
+
+    start.assert_not_called()
+    verdict.assert_not_called()
+
+
+# ---------------------------------------------------------------------------
+# TC-14b: within-grace issue is left alone (lost, not merely delayed).
+# ---------------------------------------------------------------------------
+def test_tc14b_within_grace_skipped(monkeypatch, single_project):
+    from datetime import datetime, timezone
+    start, verdict = _patch_handlers(monkeypatch)
+    _make_task("iss-5", stage="review")
+    fresh_ts = datetime.now(timezone.utc).isoformat()
+    _patch_issues(monkeypatch, [
+        {"id": "iss-5", "state": {"id": _APPROVED}, "updated_at": fresh_ts},
+    ])
+
+    Reconciler().reconcile_plane_once()
+
+    start.assert_not_called()
+    verdict.assert_not_called()
+
+
+# ---------------------------------------------------------------------------
+# TC-15 (AC-4): atomic anti-dup — concurrent create_task_atomic for one
+#               plane_id yields exactly ONE row and ONE created=True.
+# ---------------------------------------------------------------------------
+def test_tc15_create_task_atomic_no_duplicate():
+    results = []
+    barrier = threading.Barrier(8)
+
+    def worker():
+        barrier.wait()  # maximise the race
+        row, created = create_task_atomic(
+            "plane-dup", "ET-099", "enduro-trails",
+            "feature/ET-099-x", "analysis", "Dup race",
+        )
+        results.append((row["id"], created))
+
+    threads = [threading.Thread(target=worker) for _ in range(8)]
+    for t in threads:
+        t.start()
+    for t in threads:
+        t.join()
+
+    created_flags = [c for _, c in results]
+    assert created_flags.count(True) == 1   # exactly one winner
+    assert created_flags.count(False) == 7  # the rest see the existing row
+
+    conn = get_db()
+    n = conn.execute(
+        "SELECT COUNT(*) FROM tasks WHERE plane_id = 'plane-dup'"
+    ).fetchone()[0]
+    conn.close()
+    assert n == 1  # only one task row ever created
+
+    # All callers see the same row id (the single task).
+    assert len({rid for rid, _ in results}) == 1
+
+
+# ---------------------------------------------------------------------------
+# TC-16: list_issues_by_state — never-raise on API error, filter+paginate on OK.
+# ---------------------------------------------------------------------------
+def test_tc16_list_issues_never_raises_on_error(monkeypatch):
+    def boom(*a, **k):
+        raise RuntimeError("plane down")
+
+    monkeypatch.setattr(plane_sync.httpx, "get", boom)
+    out = plane_sync.list_issues_by_state("proj-1", [_APPROVED])
+    assert out == []
+
+
+def test_tc16_list_issues_paginates_and_filters(monkeypatch):
+    page1 = {
+        "results": [
+            {"id": "a", "state": {"id": _APPROVED}},
+            {"id": "b", "state": {"id": "other"}},
+        ],
+        "next_page_results": True,
+        "next_cursor": "cur2",
+    }
+    page2 = {
+        "results": [
+            {"id": "c", "state": _APPROVED},          # bare-uuid state shape
+            {"id": "d", "state": {"id": _REJECTED}},
+        ],
+        "next_page_results": False,
+        "next_cursor": None,
+    }
+    pages = iter([page1, page2])
+
+    def fake_get(url, headers=None, params=None, timeout=None):
+        resp = MagicMock()
+        resp.json.return_value = next(pages)
+        resp.raise_for_status.return_value = None
+        return resp
+
+    monkeypatch.setattr(plane_sync.httpx, "get", fake_get)
+
+    out = plane_sync.list_issues_by_state("proj-1", [_APPROVED, _REJECTED])
+    ids = {i["id"] for i in out}
+    assert ids == {"a", "c", "d"}  # 'b' filtered out (state 'other')
+
+
+# ---------------------------------------------------------------------------
+# TC-17: F-2 polls EVERY registry project and resolves states per-project.
+# ---------------------------------------------------------------------------
+def test_tc17_polls_all_projects_resolves_states_per_project(monkeypatch):
+    _patch_handlers(monkeypatch)
+    from src import projects as projects_mod
+    projects_mod.reload_projects()
+    expected_ids = {p.plane_project_id for p in projects_mod.PROJECTS}
+    assert len(expected_ids) >= 2  # enduro + orchestrator in the default registry
+
+    states_calls = []
+    issues_calls = []
+
+    def fake_states(pid):
+        states_calls.append(pid)
+        return {"in_progress": _IN_PROGRESS, "approved": _APPROVED, "rejected": _REJECTED}
+
+    def fake_issues(pid, states):
+        issues_calls.append((pid, tuple(states)))
+        return []
+
+    monkeypatch.setattr(reconciler_mod, "get_project_states", fake_states)
+    monkeypatch.setattr(reconciler_mod, "list_issues_by_state", fake_issues)
+
+    Reconciler().reconcile_plane_once()
+
+    assert set(states_calls) == expected_ids
+    assert {pid for pid, _ in issues_calls} == expected_ids
+    # state uuids are resolved per-project (not hardcoded): each call carries them.
+    for _pid, states in issues_calls:
+        assert set(states) == {_IN_PROGRESS, _APPROVED, _REJECTED}

tests/test_stage_engine.py

@@ -832,7 +832,8 @@ class TestMergeGate:
             stage_engine, "QG_CHECKS",
             {**stage_engine.QG_CHECKS,
              "check_staging_status": _pass,
-             "check_branch_mergeable": _pass},
+             "check_branch_mergeable": _pass,
+             "check_staging_image_fresh": _pass},
         )
         task_id = _make_task("deploy-staging", repo="orchestrator", wi="ORCH-043",
                              branch="feature/ORCH-043-x")
@@ -992,6 +993,114 @@ class TestMergeGate:
         assert _stage(task_id) == "deploy"
 
 
+class TestImageFreshnessGate:
+    """ORCH-058 TC-10/11: the image-freshness sub-gate on the deploy-staging ->
+    deploy edge. It runs AFTER staging-status + merge-gate, BEFORE Phase A."""
+
+    def _jobs_full(self):
+        conn = get_db()
+        rows = conn.execute(
+            "SELECT agent, task_content FROM jobs ORDER BY id"
+        ).fetchall()
+        conn.close()
+        return [dict(r) for r in rows]
+
+    def test_tc10_stale_image_fails_fast_and_rolls_back(self, monkeypatch):
+        """TC-10 / AC-1/AC-4: staging status + merge-gate green but the staging
+        image is STALE -> fail-fast: rollback to development, developer re-queued,
+        prod NEVER reached (no advance to deploy)."""
+        monkeypatch.setattr(stage_engine.settings, "deploy_require_manual_approve", False)
+        monkeypatch.setattr(
+            stage_engine, "QG_CHECKS",
+            {**stage_engine.QG_CHECKS,
+             "check_staging_status": _pass,
+             "check_branch_mergeable": _pass,
+             "check_staging_image_fresh": _fail(
+                 "staging rebuild failed: health FAILED")},
+        )
+        task_id = _make_task("deploy-staging", repo="orchestrator", wi="ORCH-058",
+                             branch="feature/ORCH-058-x")
+        res = advance_stage(
+            task_id, "deploy-staging", "orchestrator", "ORCH-058",
+            "feature/ORCH-058-x", finished_agent="deployer",
+        )
+        assert res.advanced is False
+        assert res.rolled_back_to == "development"
+        assert _stage(task_id) == "development"   # never reached deploy
+        jobs = self._jobs_full()
+        assert len(jobs) == 1
+        assert jobs[0]["agent"] == "developer"
+        # The rollback task_desc carries the freshness reason for the developer.
+        assert "staging rebuild failed" in jobs[0]["task_content"]
+
+    def test_tc10_stale_rollback_respects_max_retries(self, monkeypatch):
+        """AC-1: image-freshness rollback is capped by MAX_DEVELOPER_RETRIES —
+        4th attempt -> block + alert, no new developer job."""
+        monkeypatch.setattr(stage_engine.settings, "deploy_require_manual_approve", False)
+        monkeypatch.setattr(
+            stage_engine, "QG_CHECKS",
+            {**stage_engine.QG_CHECKS,
+             "check_staging_status": _pass,
+             "check_branch_mergeable": _pass,
+             "check_staging_image_fresh": _fail("provenance mismatch")},
+        )
+        task_id = _make_task("deploy-staging", repo="orchestrator", wi="ORCH-058",
+                             branch="feature/ORCH-058-x")
+        _add_developer_runs(task_id, 3)  # already at the cap
+        res = advance_stage(
+            task_id, "deploy-staging", "orchestrator", "ORCH-058",
+            "feature/ORCH-058-x", finished_agent="deployer",
+        )
+        assert res.rolled_back_to == "development"
+        assert stage_engine.set_issue_blocked.called
+        assert stage_engine.send_telegram.called
+        assert _jobs() == []   # no developer job past the cap
+
+    def test_tc11_fresh_image_advances_to_deploy(self, monkeypatch):
+        """TC-11 / AC-1/AC-4: all three sub-checks green -> advance to deploy,
+        deployer enqueued, NO rollback (happy path)."""
+        monkeypatch.setattr(stage_engine.settings, "deploy_require_manual_approve", False)
+        monkeypatch.setattr(
+            stage_engine, "QG_CHECKS",
+            {**stage_engine.QG_CHECKS,
+             "check_staging_status": _pass,
+             "check_branch_mergeable": _pass,
+             "check_staging_image_fresh": _pass},
+        )
+        task_id = _make_task("deploy-staging", repo="orchestrator", wi="ORCH-058",
+                             branch="feature/ORCH-058-x")
+        res = advance_stage(
+            task_id, "deploy-staging", "orchestrator", "ORCH-058",
+            "feature/ORCH-058-x", finished_agent="deployer",
+        )
+        assert res.advanced is True
+        assert res.to_stage == "deploy"
+        assert _stage(task_id) == "deploy"
+        assert res.rolled_back_to is None
+        jobs = _jobs()
+        assert len(jobs) == 1
+        assert jobs[0]["agent"] == "deployer"
+
+    def test_tc11_non_self_repo_skips_freshness_gate(self, monkeypatch):
+        """Regression: for a non-self repo the REAL freshness gate is a no-op
+        (N/A), so deploy-staging -> deploy advances exactly as before ORCH-058."""
+        monkeypatch.setattr(stage_engine.settings, "deploy_require_manual_approve", False)
+        monkeypatch.setattr(
+            stage_engine, "QG_CHECKS",
+            {**stage_engine.QG_CHECKS,
+             "check_staging_status": _pass,
+             "check_branch_mergeable": _pass},
+        )  # check_staging_image_fresh left REAL -> N/A for enduro-trails
+        task_id = _make_task("deploy-staging", repo="enduro-trails", wi="ET-099",
+                             branch="feature/ET-099-x")
+        res = advance_stage(
+            task_id, "deploy-staging", "enduro-trails", "ET-099",
+            "feature/ET-099-x", finished_agent="deployer",
+        )
+        assert res.advanced is True
+        assert _stage(task_id) == "deploy"
+
+
 class TestDelegation:
     def test_launcher_calls_engine(self):
         from src.agents.launcher import AgentLauncher