docs(ORCH-021): post-deploy HEALTHY/NONE for ORCH-067

Закрывает P0/P1 ревью (attempt 2/3): документация = golden source.
- CHANGELOG.md: запись ORCH-067 в [Unreleased] (bump-дефолт, статус-строка
  карточки по модели ORCH-066, кликабельный номер задачи, новые флаги).
- CLAUDE.md: раздел «Нотификации / Telegram live-tracker» (ТЗ §5).
- .env.example: ORCH_TRACKER_MODE=bump (синхрон с новым дефолтом) +
  ORCH_TRACKER_LIVE_STATUS / _TTL_S / _TIMEOUT_S.

Refs: ORCH-067

Co-Authored-By: Claude Opus 4.7 <noreply@anthropic.com>

.env.example

@@ -12,11 +12,25 @@ ORCH_GITEA_WEBHOOK_SECRET=
 ORCH_CLAUDE_BIN=/usr/bin/claude
 ORCH_REPOS_DIR=/home/slin/repos
 ORCH_DB_PATH=/app/data/orchestrator.db
-# ORCH-042: live-tracker mode. edit (DEFAULT) -> the task card is edited in place
-# (editMessageText). bump -> on every update the old card is deleted and a fresh
-# one is sent silently to the BOTTOM of the chat (deleteMessage + sendMessage +
-# repoint). One card per task in both modes. Any value other than "bump" -> edit.
-ORCH_TRACKER_MODE=edit
+# ORCH-042/ORCH-067: live-tracker mode. bump (DEFAULT since ORCH-067) -> on every
+# update the old card is deleted and a fresh one is sent silently to the BOTTOM of
+# the chat (deleteMessage + sendMessage + repoint), so the current status is always
+# the last message in an active chat. edit -> the task card is edited in place
+# (editMessageText). One card per task in both modes. Any value other than "bump"
+# (incl. empty/garbage) -> edit.
+ORCH_TRACKER_MODE=bump
+# ORCH-067: best-effort live-overlay for the card status line. The offline core
+# (stage -> Plane status, In Review from the brd-clock) always works without network;
+# the overlay only fills in branches indistinguishable offline (Needs Input / Blocked /
+# Rejected / Cancelled / Deploying / Monitoring after Deploy) by reading the LIVE Plane
+# status with a short timeout + per-issue TTL cache. It NEVER blocks the pipeline and
+# NEVER raises.
+#   LIVE_STATUS         -> kill-switch (false -> offline core only).
+#   LIVE_STATUS_TTL_S   -> TTL (seconds) of the per-issue live-uuid cache (hot-path guard).
+#   LIVE_STATUS_TIMEOUT_S -> timeout (seconds) of a single live-GET on the render path.
+ORCH_TRACKER_LIVE_STATUS=true
+ORCH_TRACKER_LIVE_STATUS_TTL_S=60
+ORCH_TRACKER_LIVE_STATUS_TIMEOUT_S=3
 # ORCH-043: merge-gate (auto-rebase onto current origin/main + re-test + merge-lock)
 # on the deploy-staging -> deploy edge. Deterministic sub-gate (no LLM) that catches
 # the branch up to the CURRENT origin/main, re-tests it, and serialises merges so two

CLAUDE.md

@@ -41,6 +41,22 @@ created → analysis → architecture → development → review → testing →
 ## Статусная модель Plane (ORCH-066) — индикация ≠ управление
 Статусы Plane — это **слой B (индикация)**, отдельный от **слоя A (машина стадий)** `src/stages.py::STAGE_TRANSITIONS`. Plane показывает наблюдателю осмысленную картину (`Backlog → Todo → Analysis → Architecture → Development → Code-Review → Testing → Awaiting Deploy → Deploying → Monitoring after Deploy → Done` + человеческие гейты `In Review/Approved`, `Confirm Deploy`), но НИКОГДА не управляет конвейером. Маппинг и сеттеры — `src/plane_sync.py` (6 новых ключей: `to_analyse/analysis/code_review/awaiting_deploy/deploying/monitoring`), с project-relative alias-fallback: на частично сконфигурированном проекте новый ключ деградирует на базовый UUID ТОГО ЖЕ проекта (нулевая регрессия для enduro-trails). Детали — `docs/architecture/README.md`.
 
+## Нотификации / Telegram live-tracker (ORCH-042/066/067)
+Каждая задача = **одна карточка** в Telegram (`src/notifications.py`). Поведение карточки:
+- **Дефолт `tracker_mode` — `bump`** (ORCH-067; `edit` доступен через `ORCH_TRACKER_MODE=edit`).
+  `bump` на каждом обновлении удаляет старую карточку и шлёт свежую вниз чата (тихо), `edit`
+  редактирует на месте. Инвариант «одна карточка на задачу» — в обоих режимах.
+- **Статус-строка карточки** (`📍 <status_label>`) показывает текущий Plane-статус по модели
+  ORCH-066 (`plane_status_label`). Оффлайн-ядро (`stage → статус`, In Review из brd-clock)
+  работает всегда без сети; best-effort live-overlay (kill-switch `tracker_live_status`,
+  TTL-кэш, короткий таймаут) лишь дорисовывает ветки, неотличимые offline (Needs Input /
+  Blocked / Rejected / Cancelled / Deploying / Monitoring) и **никогда не блокирует конвейер**.
+- **Кликабельный номер задачи** (`plane_issue_link`) — `ORCH-NNN` в карточке И во всех
+  уведомлениях (`notify_*`, alert'ы стадий) рендерится как `<a href=…>` на issue в Plane;
+  fail-safe → просто `html.escape(номер)`, если ссылку построить нельзя. Никогда не падает.
+- Транспорт (`send_telegram`/`edit_telegram`/`delete_telegram`), `disable_notification`
+  (карточка тихая, пингуют только alert-хелперы), схема БД — не трогаются.
+
 ## Конвенции
 - Conventional Commits (`feat:`, `fix:`, `docs:`, `refactor:`, `test:`)
 - Ветки: `feature/ORCH-NNN-slug`, `fix/ORCH-NNN-slug`

docs/architecture/README.md

@@ -13,6 +13,7 @@
 - **Queue** (`src/queue_worker.py`, ORCH-1) — персистентная очередь задач (SQLite `jobs`), atomic claim, max_concurrency, ретраи, restart-safe.
 - **Job-reaper** (`src/job_reaper.py`, ORCH-065 — [adr-0011](adr/adr-0011-job-reaper-lease-reclaim.md)) — фоновый daemon-поток (каркас `reconciler`), стартует/останавливается в `main.lifespan` (после `reconciler.start()` / перед `worker.stop()`). Детектирует «мёртвый» `running`-job **без рестарта** процесса (Tier-1 мёртвый `jobs.pid` после `reaper_dead_ticks` тиков; Tier-2 `agent_runs.exit_code` записан, а job ещё `running`; Tier-3 backstop `reaper_max_running_s`) и приводит строку к корректному статусу через те же контракты (`_try_advance_stage`/`_finalize_job`, gate-driven; exit≠0/неизвестно → `attempts<max`→`queued`, иначе `failed`+Telegram). Атомарный reap-claim (guard `status='running'`) совместим со стартовым `requeue_running_jobs`. Тот же поток периодически делает проактивный реклейм stale/dead merge-lease (см. ниже). never-raise; kill-switch `ORCH_REAPER_ENABLED`; снимок в `GET /queue` (блок `reaper`).
 - **Reconciler** (`src/reconciler.py`, ORCH-053 — реализовано, [adr-0007](adr/adr-0007-reconciler.md)) — фоновый daemon-поток (паттерн `queue_worker`), стартует/останавливается в `main.lifespan` (после `worker.start()` / перед `worker.stop()`). Реконсилирует рассинхрон «источник истины ≠ стадия задачи» при потерянном webhook. F-1 gate-side (продвигает застрявшую стадию по локальной БД через штатный `advance_stage(..., finished_agent=None)`), F-2 plane-side (опрос Plane API → `handle_*` из `plane.py`), F-3 (БД-fallback `sha→branch` в `handle_ci_status`). Источник истины — гейт/Plane, не событие; идемпотентность (active-job guard + atomic-claim + grace); kill-switch `ORCH_RECONCILE_ENABLED`. `analysis` F-1 не трогает (человеческий гейт). F-1 также пропускает escalated (retry≥лимита) и Blocked/Needs-Input задачи (ORCH-060). Наблюдаемость — блок `reconcile` в `GET /queue`.
+- **Notifications / Live-tracker** (`src/notifications.py`, ORCH-042/ORCH-067) — ОДНА live-карточка на задачу (`update_task_tracker`), обновляется на каждом переходе. Режим `ORCH_TRACKER_MODE` (дефолт `bump` с ORCH-067: delete+silent send+repoint внизу чата; `edit` — правка на месте). Карточка несёт строку Plane-статуса `📍 …` (оффлайн-ядро `plane_status_label` + best-effort live-overlay `_live_plane_branch_override`, kill-switch `ORCH_TRACKER_LIVE_STATUS`) и кликабельный номер задачи (`plane_issue_link`/`link_for` → ссылка в Plane, fail-safe на сырой номер). Все алерты, упоминающие `work_item_id`, делают номер кликабельным. Контракт всего компонента — never raises; карточка всегда silent. Детали — [internals.md](internals.md) §7.
 - **Project Registry** (`src/projects.py`, ORCH-6) — Plane project id → repo + prefix; фильтрация вебхуков по проекту.
 - **Plane Sync** (`src/plane_sync.py`) — синхронизация статусов/комментариев в Plane. Резолв статусов проекта `get_project_states` (ORCH-10) кэширует `{logical_key→uuid}` per-project; **ORCH-068** добавляет в кэш-запись `{uuid→group}` (для терминал-исключения F-2) и **TTL** `ORCH_PLANE_STATES_TTL_S` (дефолт 300с; `0` → прежний lifetime-кэш) — устаревший набор статусов самозалечивается без рестарта процесса через существующий `reload_project_states()` (баг кэша после появления нового Plane-статуса). Форма возврата `get_project_states` неизменна (обратная совместимость).
 
@@ -121,6 +122,44 @@ sentinel-файлы (`<repos_dir>/.deploy-state-<repo>/<wi>/`), без мигр
 Детально — `docs/work-items/ORCH-059/06-adr/ADR-001-confirm-deploy-status.md`
 (уточняет/триггер Фазы B относительно adr-0007).
 
+#### Merge-в-main + пост-деплой верификация как условие `done` (ORCH-071 — фикс фантомного merge)
+**Фантомный merge** (CRITICAL, постмортем `docs/history/LESSONS_2026-06-08_phantom-merge.md`):
+на self-hosting пути `deploy` агент `deployer` НЕ запускается, а фактический merge PR в `main`
+исторически делал ТОЛЬКО он → детерминированный путь
+(`_handle_self_deploy_phase_b → initiate_deploy → run_deploy_finalizer`) **не содержал шага
+merge-в-main вообще**. Detached host-деплой лишь retag'ал образ + рестартил 8500; `done`
+достигался по `deploy_status: SUCCESS` без верификации `main`. Зелёный деплой (образ из рабочей
+ветки) маскировал отсутствие merge → следующая задача срезала ветку от устаревшего `main` и
+теряла код предшественника (накопительно потеряны ORCH-022/059/066/068). ORCH-071 вводит
+**детерминированный merge-актор + пост-merge верификацию** как **под-гейт ребра `deploy → done`**
+(симметрично edge-под-гейтам `deploy-staging → deploy`), только для self-hosting:
+- **Врезка `_handle_merge_verify` в `advance_stage`** (`current_stage=="deploy"` и
+  `next_stage=="done"`, ПОСЛЕ зелёного `check_deploy_status`, ДО `update_task_stage`). Гейтит
+  **ВСЕ** пути к `done` единообразно (`run_deploy_finalizer` Phase C, reconciler F-1, job-reaper —
+  все идут через `advance_stage`), закрывая дыру обхода merge.
+- **Merge в Phase C (после рестарта), НЕ в Phase B** — finalizer restart-surviving (claim воркером
+  нового контейнера, re-drive reaper'ом), merge физически строго ПОСЛЕ рестарта прода → рестарт его
+  не убивает (G3 «шаг, переживающий рестарт»; постмортем-урок №3).
+- **Merge-актор `merge_gate.merge_pr`** — `pr_already_merged` (no-op повтор, ORCH-065) → иначе
+  Gitea `POST /repos/{owner}/{repo}/pulls/{index}/merge`. Никогда push/force-push в `main`.
+- **Верификатор `merge_gate.verify_merged_to_main`** — `PR.merged==true` ИЛИ
+  `git merge-base --is-ancestor <validated_sha> origin/main` (`validated_revision` — тот же якорь,
+  что у ORCH-058). never-raise → `False`.
+- **Не подтверждено → alert «deploy succeeded but not merged» (Telegram+Plane) + HOLD**
+  (`set_issue_blocked`, задача НЕ `done`, БЕЗ авто-отката на `development` — not-merged есть
+  инфра-дефект, реакция ALERT-only как ORCH-021 self-hosting). Подтверждено → штатный `deploy →
+  done` + `merged_to_main: true` во frontmatter `14-deploy-log.md` (`deploy_status:` нетронут).
+- **Условность как ORCH-35/43/58:** `merge_verify_enabled` (kill-switch, дефолт `true`) +
+  `merge_verify_repos` (пусто → только self-hosting); non-self — no-op, merge остаётся за `deployer`.
+  never-raise; идемпотентность (`pr_already_merged`, INV-5); ручной approve сохранён (`Confirm Deploy`).
+- **Инварианты:** `STAGE_TRANSITIONS`, `check_deploy_status`/`_parse_deploy_status`, реестр
+  `QG_CHECKS` (под-гейт — врезка в `advance_stage`, НЕ новый зарегистрированный QG), схема БД,
+  БАГ-8, terminal-sync, merge-gate, image-freshness, exit-коды хука — **без изменений**.
+  Диагностика фантома — runbook `docs/operations/PHANTOM_MERGE_RUNBOOK.md` (4 проверки постмортема).
+
+Подробнее: [adr-0013](adr/adr-0013-merge-verify-gate.md), детально —
+`docs/work-items/ORCH-071/06-adr/ADR-001-merge-verify-gate.md`.
+
 ### Post-deploy наблюдение прода + реакция на деградацию (ORCH-021 — реализовано)
 Конвейер заканчивался на `deploy → done` и **забывал про прод**: «успех» = health-check
 в момент рестарта (~60с). Класс «зелёный деплой, красный прод» (прецедент ET-8 —

docs/architecture/adr/adr-0013-merge-verify-gate.md

@@ -0,0 +1,63 @@
+# adr-0013: Merge-в-main + пост-деплой верификация как условие `done` (фикс фантомного merge)
+
+- **Статус:** accepted
+- **Дата:** 2026-06-08
+- **Задача:** ORCH-071 (CRITICAL bug)
+- **Детальный ADR:** `docs/work-items/ORCH-071/06-adr/ADR-001-merge-verify-gate.md`
+- **Постмортем:** `docs/history/LESSONS_2026-06-08_phantom-merge.md`
+
+## Контекст
+Для self-hosting репо `orchestrator` стадия `deploy` идёт детерминированным путём
+(`_handle_self_deploy_phase_b → initiate_deploy → run_deploy_finalizer`), а LLM-агент
+`deployer` НЕ запускается. Фактический merge PR в `main` исторически делал **только**
+агент `deployer` → на self-hosting пути **нет шага merge-в-main вообще**. Detached
+host-деплой лишь retag'ает образ + рестартит 8500; `done` достигается по
+`deploy_status: SUCCESS` без верификации `main`. «Зелёный» деплой (образ из рабочей
+ветки) маскирует отсутствие merge → следующая задача срезает ветку от устаревшего `main`
+и теряет код предшественника. Накопительно потеряны ORCH-022/059/066/068. Вторичный
+фактор: Phase B рестартит прод → merge внутри живого процесса гонялся бы с рестартом
+(урок №3).
+
+## Решение
+Детерминированный **merge-актор + пост-merge верификация** как **под-гейт ребра
+`deploy → done`**, врезанный в единственную функцию перехода `advance_stage` (симметрично
+edge-под-гейтам security/merge-gate/image-freshness). `STAGE_TRANSITIONS`,
+`check_deploy_status`/`_parse_deploy_status`, реестр `QG_CHECKS`, схема БД — **не меняются**.
+
+- **Врезка `_handle_merge_verify` в `advance_stage`** (`current_stage=="deploy"` и
+  `next_stage=="done"`, ПОСЛЕ зелёного `check_deploy_status`, ДО `update_task_stage`).
+  Гейтит **ВСЕ** пути к `done` единообразно: `run_deploy_finalizer` (Phase C), reconciler
+  F-1, job-reaper — все идут через `advance_stage`. Закрывает дыру: reconciler F-1 иначе
+  протолкнул бы `done` в обход merge.
+- **Merge в Phase C (после рестарта), НЕ в Phase B.** Phase C finalizer —
+  restart-surviving (reserved-job `deploy-finalizer`, claim воркером нового контейнера,
+  re-drive reaper'ом). Merge физически строго ПОСЛЕ рестарта → рестарт его не убивает
+  (G3 вторым вариантом — «шаг, переживающий рестарт»).
+- **Merge-актор `merge_gate.merge_pr`** — `pr_already_merged` (no-op повтор, ORCH-065) →
+  иначе Gitea `POST /repos/{owner}/{repo}/pulls/{index}/merge`. Никогда push/force-push в
+  `main`. never-raise.
+- **Верификатор `merge_gate.verify_merged_to_main`** — `PR.merged==true` ИЛИ
+  `git merge-base --is-ancestor <validated_sha> origin/main`. never-raise → `False`
+  («не подтверждено»).
+- **Не подтверждено → alert «deploy succeeded but not merged» (Telegram+Plane) + HOLD**
+  (`set_issue_blocked`, задача НЕ `done`, БЕЗ авто-отката на `development` — not-merged
+  есть инфра-дефект, реакция ALERT-only как ORCH-021 self-hosting). Подтверждено →
+  штатный `deploy → done` (терминал-sync / post-deploy monitor как сегодня) +
+  `merged_to_main: true` во frontmatter `14-deploy-log.md` (наблюдаемость, `deploy_status:`
+  нетронут).
+- **Идемпотентность (INV-5):** `pr_already_merged` перед merge; verify зелёный для
+  уже-слитого PR; повтор без дубль-merge/ложного отката.
+- **Условность (как ORCH-35/43/58):** `merge_verify_enabled` (kill-switch, дефолт `true`) +
+  `merge_verify_repos` (пусто → только self-hosting). Non-self репо — no-op, merge остаётся
+  за агентом `deployer`.
+
+## Инварианты
+never-raise на verify/merge (ошибка → alert, не падение конвейера); не рестартить/не ронять
+прод 8500; ручной approve прод-деплоя сохранён (`Confirm Deploy`, ORCH-059); только PR-merge
+API Gitea; restart-safe (sentinel + jobs, без миграции БД).
+
+## Последствия
+Невозможно «`done` + прод задеплоен, а PR `open`». Минусы: при недоступной Gitea verify
+консервативно `False` → возможен ложный HOLD+alert (снимается повтором; fail-closed для
+`done` приоритетен); HOLD требует ручного вмешательства. Диагностика фантома — runbook
+`docs/operations/PHANTOM_MERGE_RUNBOOK.md` (G4).

docs/architecture/internals.md

@@ -111,12 +111,12 @@ claude.exe --print  --system-prompt  --allowedTools Read,Write,Edit,Bash
 
 Вместо ~15 отдельных сообщений на задачу оркестратор держит **ОДНУ** live-карточку на задачу (`update_task_tracker`), которая обновляется на каждом переходе стадии. Текст рендерится статически из БД (`render_task_tracker`: стадии, токены, стоимость, BRD-подтверждение, итоги). Карточка всегда тихая (`disable_notification=True`); отдельные пинги шлют только `notify_approve_requested` / `notify_error`. `message_id` хранится в `tasks.tracker_message_id`; helpers `get_tracker_message_id` / `set_tracker_message_id`. Контракт всего компонента — **never raises**.
 
-**Режимы (ORCH-042, `ORCH_TRACKER_MODE` → `Settings.tracker_mode`).** Резолвится в `update_task_tracker` (case-insensitive, trim); всё, что ≠ `"bump"` (включая пустое/мусор/None), трактуется как `edit` → нулевая регрессия и безопасный фолбэк. Инвариант «одна карточка на задачу» сохраняется в обоих режимах.
+**Режимы (ORCH-042, `ORCH_TRACKER_MODE` → `Settings.tracker_mode`; дефолт переключён `edit → bump` в ORCH-067).** Резолвится в `update_task_tracker` (case-insensitive, trim); всё, что ≠ `"bump"` (включая пустое/мусор/None), трактуется как `edit` → безопасный фолбэк. Инвариант «одна карточка на задачу» сохраняется в обоих режимах.
 
 | Режим | Поведение при обновлении |
 |-------|--------------------------|
-| `edit` (дефолт) | первый вызов → `send_telegram` (тихо) + сохранение `message_id`; далее → `edit_telegram` на сохранённый id. Новое сообщение шлётся ТОЛЬКО при `EDIT_GONE` (удалено/старше 48ч/невалидный id). `EDIT_NOT_MODIFIED` / `EDIT_FAILED` → нового сообщения нет (анти-дубль). |
-| `bump` | карточка пересоздаётся внизу чата: best-effort `delete_telegram(старый_id)` → `send_telegram(text, disable_notification=True)` → `set_tracker_message_id(new_id)` **только** при успешном send (`new_mid is not None`). За один вызов — не более одного нового сообщения. |
+| `bump` (дефолт, ORCH-067) | карточка пересоздаётся внизу чата: best-effort `delete_telegram(старый_id)` → `send_telegram(text, disable_notification=True)` → `set_tracker_message_id(new_id)` **только** при успешном send (`new_mid is not None`). За один вызов — не более одного нового сообщения. Живая карточка всегда «догоняет» переписку. |
+| `edit` | первый вызов → `send_telegram` (тихо) + сохранение `message_id`; далее → `edit_telegram` на сохранённый id. Новое сообщение шлётся ТОЛЬКО при `EDIT_GONE` (удалено/старше 48ч/невалидный id). `EDIT_NOT_MODIFIED` / `EDIT_FAILED` → нового сообщения нет (анти-дубль). |
 
 **`delete_telegram(message_id) -> bool`** (low-level, never raises). Семантика возврата — «исчезло ли старое сообщение»:
 - `ok:true` → `True`;
@@ -128,6 +128,12 @@ claude.exe --print  --system-prompt  --allowedTools Read,Write,Edit,Bash
 
 **Текст карточки (оба режима, ORCH-042):** метка `Подтверждение BRD` (была «Ревью БРД»); после прохождения approve-gate строка BRD начинается с ✅ (ветка ожидания сохраняет ⏸️/⏳); русские display-labels стадий (`Анализ / Архитектура / Разработка / Код ревью / Тестирование / Внедрение`); финальная строка `📦 Внедрено` (было `deployed`). Меняются только отображаемые строки — ключи стадий и имена агентов (завязаны на `_STAGE_ACTIVE_AGENT`, `last_done`, БД) не трогаются.
 
+**Строка Plane-статуса и кликабельный номер (ORCH-067, слой B — индикация).** Под заголовком карточка несёт строку `📍 <Plane-статус>` по модели ORCH-066. Источник — двухслойный, контракт **never raises**:
+- **Оффлайн-ядро** `plane_status_label(task_row)` — чистая функция БЕЗ сети: `stage → статус` (`created→To Analyse`, `analysis→Analysis`, `architecture→Architecture`, `development→Development`, `review→Code-Review`, `testing→Testing`, `deploy→⏸️ Awaiting Deploy`, `done→Done`) + `⏸️ In Review` из brd-часов (`brd_review_started_at` задан, `…_ended_at` пуст). Неизвестная/битая стадия → безопасный дефолт `To Analyse`.
+- **Live-overlay** `_live_plane_branch_override` — best-effort: дорисовывает ветви-статусы, неразличимые оффлайн (Needs Input / Blocked / Rejected / Cancelled / Deploying / Monitoring after Deploy), чтением живого Plane-статуса (`fetch_issue_state` с коротким `tracker_live_status_timeout_s`, TTL-кэш `tracker_live_status_ttl_s`, kill-switch `tracker_live_status`). Любой сбой / выключенный флаг / нехватка данных → оффлайн-метка; `⏸️ In Review` (авторитет brd-часов) overlay не консультирует. Анти-false-positive: `deploying/monitoring`, алиасящие базовый UUID на проекте без выделенного статуса (enduro), не вызывают override.
+
+**Кликабельный номер задачи (ORCH-067).** Номер в заголовке карточки И во всех уведомлениях орка, где упоминается `work_item_id`, — HTML-ссылка на issue в Plane через общий `plane_issue_link` / `link_for` (URL строит `_plane_issue_url` с loopback/workspace/project-гардами, переиспользуя резолв ORCH-017). Fail-safe: при нехватке любого из (web-base/не-loopback, workspace, project_id, plane_issue_id) → `html.escape(work_item_id)` без `<a>`; динамические части экранируются, `<a>`-разметка валидна под `parse_mode=HTML`. Алерты `stage_engine`/`launcher`/`security_gate`/`reconciler` переведены на `link_for` (резолвит `repo`+`plane_issue_id` из БД по `task_id` или `work_item_id`).
+
 ## Database Schema
 
 ```sql

docs/operations/PHANTOM_MERGE_RUNBOOK.md

@@ -0,0 +1,125 @@
+# Runbook — диагностика «фантомного merge» (ORCH-071)
+
+> **Когда применять.** Задача дошла до `done` (или прод задеплоен «зелёным»), но есть
+> подозрение, что её ветка **не влита в `main`** — следующая задача срежет ветку от
+> устаревшего `main` и потеряет код предшественника (постмортем
+> `docs/history/LESSONS_2026-06-08_phantom-merge.md`). Этот runbook даёт 4 проверки
+> для **однозначной локализации** фантома.
+
+С ORCH-071 такой исход блокируется автоматически: под-гейт `deploy → done`
+(`stage_engine._handle_merge_verify`) сначала **детерминированно вливает PR**
+(`merge_gate.merge_pr`, Gitea PR-merge API), затем **верифицирует merge**
+(`merge_gate.verify_merged_to_main`) и НЕ пускает задачу в `done`, пока merge не
+подтверждён (alert + HOLD). Этот runbook — для ручной перепроверки/инцидентов
+(в т.ч. при выключенном kill-switch `ORCH_MERGE_VERIFY_ENABLED=false`).
+
+Подставьте значения:
+
+```bash
+OWNER=admin                       # settings.gitea_owner
+REPO=orchestrator                 # репозиторий
+BRANCH=feature/ORCH-071-slug      # ветка задачи
+GITEA=http://localhost:3000       # settings.gitea_url
+TOKEN=<gitea_token>               # settings.gitea_token
+FILE=src/stage_engine.py          # любой файл, гарантированно изменённый задачей
+```
+
+---
+
+## Проверка 1 — Gitea API: список PR + флаги `merged`
+
+Показывает, считает ли сам Gitea PR влитым.
+
+```bash
+curl -s -H "Authorization: token $TOKEN" \
+  "$GITEA/api/v1/repos/$OWNER/$REPO/pulls?state=all" \
+  | python3 -c 'import sys,json; \
+[print(p["number"], p["state"], "merged="+str(p.get("merged")), p["head"]["ref"]) \
+ for p in json.load(sys.stdin)]'
+```
+
+* **Фантом НЕ подтверждён (всё хорошо):** строка ветки `$BRANCH` имеет `merged=True`.
+* **Фантом подтверждён (по этому критерию):** PR ветки `state=open` / `merged=False`
+  (или PR отсутствует), при том что задача в `done` / прод задеплоен.
+
+---
+
+## Проверка 2 — md5 прод-файлов vs `git show origin/main:<file>`
+
+Сверяет содержимое файла на проде с тем, что лежит в `origin/main`.
+
+```bash
+# в прод-контейнере (или через docker exec orchestrator):
+md5sum "/app/$FILE"
+
+# содержимое того же файла из origin/main (на хосте, в клоне репо):
+git -C /home/slin/repos/$REPO fetch origin main -q
+git -C /home/slin/repos/$REPO show "origin/main:$FILE" | md5sum
+```
+
+* **Совпало:** прод соответствует `main` (фантома нет ИЛИ задача не меняла этот файл —
+  возьмите файл из проверки 3/diff'а ветки).
+* **Разошлось:** прод собран из ветки, а `main` его не получил → косвенный признак фантома.
+
+---
+
+## Проверка 3 — `git merge-base` ветки vs `main`
+
+Главный детерминированный критерий: является ли HEAD ветки предком `origin/main`.
+
+```bash
+git -C /home/slin/repos/$REPO fetch origin -q
+SHA=$(git -C /home/slin/repos/$REPO rev-parse "origin/$BRANCH")
+git -C /home/slin/repos/$REPO merge-base --is-ancestor "$SHA" origin/main \
+  && echo "MERGED: ветка влита в main" \
+  || echo "NOT MERGED: ветка НЕ предок origin/main (ФАНТОМ)"
+```
+
+Это ровно та проверка, что выполняет `merge_gate.verify_merged_to_main` (rc=0 → влито).
+
+* **`MERGED`:** фантома нет.
+* **`NOT MERGED`:** фантом подтверждён — `main` не содержит коммитов задачи.
+
+---
+
+## Проверка 4 — таймлайн деплой-логов
+
+Восстанавливает порядок событий: был ли merge до/после деплоя, и был ли он вообще.
+
+```bash
+# Вердикт деплоя + новое поле merge-верификации (ORCH-071):
+git -C /home/slin/repos/$REPO show "origin/$BRANCH:docs/work-items/<WI>/14-deploy-log.md" \
+  | sed -n '1,12p'   # frontmatter: deploy_status:, merged_to_main:
+
+# Наблюдаемость под-гейта в живом сервисе:
+curl -s "$GITEA_HEALTH/queue" | python3 -c \
+  'import sys,json; print(json.load(sys.stdin)["merge_verify"])'
+# -> {"enabled":..., "merge_verified_total":..., "not_merged_alerts_total":..., "last_alert_wi":...}
+
+# Журнал хоста по деплою (sentinel-каталог задачи):
+ls -la /home/slin/repos/.deploy-state-$REPO/<WI>/
+cat   /home/slin/repos/.deploy-state-$REPO/<WI>/hook.log
+```
+
+* `deploy_status: SUCCESS` + `merged_to_main: false` → деплой прошёл, merge — нет
+  (это и есть класс ORCH-071; задача должна быть удержана на `deploy`, не `done`).
+* `not_merged_alerts_total` растёт / `last_alert_wi == <WI>` → под-гейт уже поднял alert.
+
+---
+
+## Критерий «фантом подтверждён»
+
+Фантомный merge считается **подтверждённым**, если выполняется ХОТЯ БЫ ОДНО из:
+
+1. Проверка 1: PR ветки `state=open` / `merged=False` (или PR нет), а задача в `done`.
+2. Проверка 3: `merge-base --is-ancestor` вернул **NOT MERGED** (HEAD ветки не предок `origin/main`).
+3. Проверка 4: `14-deploy-log.md` имеет `deploy_status: SUCCESS` при `merged_to_main: false`.
+
+Проверка 2 — вспомогательная (зависит от того, менял ли файл задачей), используется
+для подтверждения проверок 1/3.
+
+### Что делать при подтверждённом фантоме
+
+1. **Влить PR вручную** через Gitea (PR-merge API / UI) — НИКОГДА не `git push`/`--force` в `main` (INV-4).
+2. Повторить approve задачи (re-drive) — под-гейт переоценит: merge подтвердится → задача уйдёт в `done`.
+3. Если фантом случился при выключенном kill-switch — включить `ORCH_MERGE_VERIFY_ENABLED=true`.

docs/work-items/ORCH-067/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: [высокий] Telegram tracker: bump + статусы Plane + кликабельный номер задачи
+
+Work Item ID: ORCH-067
+
+## Description
+
+TBD

docs/work-items/ORCH-067/01-brd.md

@@ -0,0 +1,158 @@
+# BRD — ORCH-067: Telegram tracker (bump + статусы Plane + кликабельный номер задачи)
+
+Work Item: **ORCH-067**
+Тип: **Багфикс + enhancement**
+Приоритет: высокий
+Компонент: Telegram live-tracker и уведомления оркестратора (`src/notifications.py`)
+Расширяет: открытый баг seq=55 («bump не сработал, регресс ORCH-042»)
+
+---
+
+## 1. Бизнес-контекст и проблема
+
+Оркестратор ведёт по одной «живой карточке» (live-tracker) на каждую задачу в Telegram
+(`src/notifications.py`). Карточка тихо обновляется на каждом переходе стадии, а отдельными
+пингами шлются только события, требующие внимания владельца (approve-gate, деплой-фейл,
+падение агента, ошибка задачи).
+
+Сейчас есть четыре боли:
+
+1. **bump не работает в проде.** Диагностика оператора: код режима `bump` в
+   `update_task_tracker` корректен (delete старого → sendMessage вниз → repoint
+   `tracker_message_id`), НО в проде `tracker_mode="edit"` (дефолт `src/config.py:408`),
+   а `ORCH_TRACKER_MODE=bump` не выставлен. Карточка обновляется edit-in-place и остаётся
+   «вверху» ленты, тонет под новыми сообщениями — наблюдатель не видит актуального
+   состояния без скролла.
+
+2. **Карточка показывает внутренние названия стадий, а не Plane-статусы.** После ввода
+   осмысленной статусной модели Plane (ORCH-066) карточка по-прежнему рендерит внутренние
+   ярлыки стадий (Анализ/Архитектура/…), а текущий статус задачи в терминах, понятных
+   наблюдателю в Plane (To Analyse → Analysis → In Review → … → Done), в шапке карточки
+   не отражён. Особенно теряется состояние **ожидания согласования BRD** = Plane-статус
+   `In Review`: сейчас это лишь строка «✅/⏸️ Подтверждение BRD … ⏳», не выраженная как
+   полноценный статус.
+
+3. **Номер задачи в карточке некликабелен.** `ORCH-066` в карточке — обычный текст;
+   чтобы открыть задачу в Plane, наблюдателю приходится искать её вручную.
+
+4. **Номер задачи некликабелен и во всех остальных уведомлениях орка** (approve-requested,
+   QG-fail, deploy SUCCESS/FAIL, Needs Input, прод-деплой и т. п.) — везде, где упоминается
+   `work_item_id`, это просто текст.
+
+## 2. Цель
+
+Сделать live-tracker и уведомления орка наблюдаемыми «из коробки»:
+- bump работает по умолчанию (карточка падает вниз свежим сообщением при каждом обновлении,
+  ровно одна карточка на задачу, без спама и дублей);
+- карточка явно показывает текущий Plane-статус по модели ORCH-066, включая человеческие
+  гейты (`⏸️ In Review` — согласование BRD, `⏸️ Awaiting Deploy` — ожидание Confirm Deploy,
+  `❓ Needs Input` — нужны уточнения);
+- номер задачи кликабелен в карточке и во всех Telegram-уведомлениях орка и ведёт на
+  страницу задачи в Plane.
+
+## 3. Заинтересованные стороны
+
+- **Owner (Слава)** — основной потребитель карточки и уведомлений; источник 4 требований.
+- **Агенты конвейера** — косвенно (карточка отражает их прогресс; поведение агентов не меняется).
+- **Другие проекты (enduro-trails)** — общий инстанс/БД; изменения не должны вызывать регресс.
+
+## 4. Объём работ (scope)
+
+### 4.1. Требование 1 — bump по умолчанию
+- Режим `bump` должен быть поведением по умолчанию: при каждом обновлении карточка
+  удаляется и пересоздаётся внизу ленты, одна карточка на задачу, тихо
+  (`disable_notification`), без дублей.
+- Инвариант «одна карточка на задачу» сохраняется в обоих режимах (`edit` остаётся как
+  опция через env).
+- Транзиентный фейл `send` не должен обнулять `tracker_message_id` и плодить дубли
+  (инвариант уже заложен в коде — сохранить).
+
+### 4.2. Требование 2 — статусы карточки как в Plane (модель ORCH-066)
+- В шапке/верхней части карточки явно отображается **текущий Plane-статус** задачи по
+  модели ORCH-066.
+- Полный маппинг состояний (имена — финальные из модели ORCH-066):
+  ```
+  To Analyse → Analysis → In Review (⏸️ ожидание согласования BRD) → Architecture →
+  Development → Code-Review → Testing → Awaiting Deploy (⏸️ ожидание Confirm Deploy) →
+  Deploying → Monitoring after Deploy → Done
+  ```
+  Ветки: `Needs Input` (аналитик задал вопросы), `Blocked`, `Rejected`, `Cancelled`.
+- Человеческие гейты отражаются как ПОЛНОЦЕННЫЕ статусы с паузой:
+  - согласование BRD → «⏸️ In Review — ожидание согласования BRD»;
+  - ожидание прод-деплоя → «⏸️ Awaiting Deploy — ожидание Confirm Deploy»;
+  - вопросы аналитика → «❓ Needs Input — нужны уточнения».
+- Существующая семантика строки «Подтверждение BRD» сохраняется (время ожидания/«твоё
+  время»), но статус карточки при этом явно показывает In Review (approve-pending).
+
+### 4.3. Требование 3 — кликабельный номер задачи в карточке
+- `work_item_id` (напр. `ORCH-066`) в карточке — гиперссылка на страницу задачи Plane:
+  `https://<PLANE_WEB_BASE>/<workspace_slug>/projects/<project_id>/issues/<issue_id>/`.
+- Источники частей URL:
+  - `PLANE_WEB_BASE` — из конфигурации (env, поле `plane_web_url` / `ORCH_PLANE_WEB_URL`;
+    значение прод — `plane.mva154.duckdns.org`); fail-safe: не задан → номер без ссылки;
+  - `workspace_slug` — `plane_workspace_slug` (уже есть в settings, прод — `ag_proj`);
+  - `project_id` — резолвится per-task по репозиторию задачи (ORCH / Sandbox);
+  - `issue_id` (UUID) — из БД: колонка `tasks.plane_issue_id`.
+- Рендер через `<a href="...">ORCH-NNN</a>` (`parse_mode=HTML` уже включён);
+  HTML в title/тексте экранируется, чтобы не сломать разметку.
+
+### 4.4. Требование 4 — кликабельный номер во ВСЕХ уведомлениях орка
+- Единый хелпер (напр. `plane_issue_link(work_item_id, plane_issue_id, project_id) -> html`)
+  строит кликабельный номер с fail-safe; применяется во всех точках `send_telegram`/
+  `notify_*`, где упоминается `work_item_id` (approve-requested, QG-fail, deploy
+  SUCCESS/FAIL, Needs Input, прод-деплой, alert'ы launcher/merge_gate/job_reaper/
+  security_gate/reconciler/main).
+
+## 5. Вне объёма (out of scope)
+
+- Транспорт `send_telegram` / `edit_telegram` / `delete_telegram` (parse_mode HTML уже есть) — не трогать.
+- Инвариант «одна карточка на задачу» — не нарушать (не плодить дубли).
+- Логика `disable_notification` (карточка тихая; пингуют только alert-хелперы) — не трогать.
+- `STAGE_TRANSITIONS`, Quality Gates, схема БД — НЕ менять.
+- Изменение поведения агентов/конвейера.
+
+## 6. Зависимости
+
+- Маппинг статусов (требование 2) опирается на статусную модель ORCH-066. ORCH-066 уже в
+  конвейере на стадии deploy. Эту задачу делать ПОСЛЕ прода ORCH-066, чтобы имена статусов
+  совпали. Если ORCH-066 ещё не в проде на момент разработки — использовать согласованные
+  финальные имена из модели: To Analyse, Analysis, Code-Review, Awaiting Deploy, Deploying,
+  Monitoring after Deploy, In Review, Needs Input, Blocked, Cancelled, Done.
+- Конфигурация `plane_web_url` / `plane_workspace_slug` уже существует в `src/config.py`
+  (ORCH-017); реестр проектов `src/projects.py` (`get_project_by_repo().plane_project_id`)
+  уже даёт per-task project_id.
+
+## 7. Fail-safe (обязательно)
+
+- Нет `PLANE_WEB_BASE` / нет `plane_issue_id` / нет `project_id` / loopback-база →
+  показывать номер БЕЗ ссылки, **не падать**.
+- HTML-экранирование пользовательского текста (title и пр.) во всех сообщениях с
+  `parse_mode=HTML`.
+- Bump: транзиентный фейл `send` не обнуляет `tracker_message_id` и не плодит дубли.
+- Любая ошибка построения статуса/ссылки никогда не должна ронять рендер карточки или
+  отправку уведомления (degrade gracefully).
+
+## 8. Критерии успеха (Definition of Done)
+
+- Bump работает из коробки: карточка падает вниз при обновлении, одна на задачу.
+- Карточка показывает Plane-статус новой модели, включая `⏸️ In Review` (согласование BRD),
+  `⏸️ Awaiting Deploy`, `❓ Needs Input`.
+- Номер задачи кликабелен в карточке И во всех уведомлениях орка (ведёт на страницу Plane).
+- Fail-safe покрыт тестами (нет URL/plane_id/project → без ссылки, не падает;
+  HTML-экранирование).
+- `pytest tests/ -q` зелёный.
+- Документация обновлена в том же PR: `CLAUDE.md` (раздел нотификаций/tracker),
+  `CHANGELOG.md`, ADR per-work-item.
+
+## 9. Риски
+
+- **Регресс enduro-trails.** Смена дефолта `tracker_mode` на bump меняет поведение для всех
+  проектов. Митигация: bump уже реализован и протестирован концептуально; инвариант «одна
+  карточка» сохранён; env-переключатель `edit` остаётся.
+- **Поломка HTML-разметки** при неэкранированном title → сообщение не доставится. Митигация:
+  обязательное `html.escape` + тесты.
+- **Источник «истинного» Plane-статуса** для веток, не выводимых из `tasks.stage`
+  (Needs Input/Blocked/Rejected/Cancelled, Deploying/Monitoring), при запрете на изменение
+  схемы БД — архитектурное решение (ADR), с обязательным fail-safe (без сети не падать).
+- **Self-hosting.** Орк правит сам себя; обязательна страховка через staging (8501) перед
+  прод-деплоем; прод-контейнер не ронять в рамках задачи.

docs/work-items/ORCH-067/02-trz.md

@@ -0,0 +1,205 @@
+# ТЗ — ORCH-067: Telegram tracker (bump + статусы Plane + кликабельный номер задачи)
+
+Work Item: **ORCH-067**
+Документ описывает КОНКРЕТНЫЕ изменения кода/конфигурации/тестов и документации.
+Архитектурные развилки помечены `[ARCH]` — решение принимает архитектор (ADR), здесь
+зафиксированы только требования и ограничения к ним.
+
+---
+
+## 0. Задействованные модули `src/`
+
+| Модуль | Роль в задаче |
+|---|---|
+| `src/config.py` | Дефолт `tracker_mode`; поле `plane_web_url`/`plane_workspace_slug` (уже есть). |
+| `src/notifications.py` | Основные изменения: bump-дефолт, статус-строка карточки, хелпер ссылки, применение хелпера в `notify_*`. |
+| `src/plane_sync.py` | Источник имён статусов/маппинга ORCH-066 (`_PLANE_NAME_TO_KEY`, `_STAGE_TO_STATE_KEY`); при необходимости reverse-map UUID→имя `[ARCH]`. |
+| `src/projects.py` | `get_project_by_repo(repo).plane_project_id` — per-task project_id для ссылки. |
+| `src/db.py` | Чтение `tasks.plane_issue_id`, `tasks.repo` (без изменений схемы). |
+| `src/stage_engine.py`, `src/agents/launcher.py`, `src/merge_gate.py`, `src/job_reaper.py`, `src/security_gate.py`, `src/reconciler.py`, `src/main.py` | Точки `send_telegram`, где есть `work_item_id` — применить хелпер ссылки (требование 4). |
+
+Изменения API (HTTP endpoints) — **нет**. Изменения схемы БД — **нет**. Новые QG checks — **нет**.
+
+---
+
+## 1. Требование 1 — bump по умолчанию
+
+### 1.1. Изменение
+- `src/config.py` (~стр. 408): сменить дефолт
+  `tracker_mode: str = "edit"` → `tracker_mode: str = "bump"`.
+- Обновить docstring-комментарий рядом (ORCH-042): отметить, что **дефолт теперь `bump`**,
+  `edit` остаётся доступен через `ORCH_TRACKER_MODE=edit`.
+
+### 1.2. Без изменений (сохранить инвариант)
+- Логика `update_task_tracker` (`src/notifications.py`, ветка `if mode == "bump"`):
+  `delete_telegram(old)` best-effort → `send_telegram(text, disable_notification=True)` →
+  `set_tracker_message_id` ТОЛЬКО при `new_mid is not None`. Не менять.
+- `send_telegram`/`edit_telegram`/`delete_telegram` — не трогать.
+
+### 1.3. Прод-аспект
+- Для прод-инстанса орка можно дополнительно выставить `ORCH_TRACKER_MODE=bump` в `.env`
+  на хосте (как страховку), но код должен работать «из коробки» и без env. Канон env —
+  `.env.example` (обновить, если там фигурирует tracker_mode).
+
+---
+
+## 2. Требование 2 — статус-строка карточки по модели ORCH-066
+
+### 2.1. Новый чистый хелпер маппинга
+Добавить в `src/notifications.py` функцию, возвращающую отображаемый Plane-статус для
+карточки на основе доступных данных задачи. Сигнатура (ориентир):
+```python
+def plane_status_label(task_row) -> str:
+    """Вернуть строку текущего Plane-статуса для шапки карточки (с emoji).
+    Никогда не падает: на неизвестном входе -> разумный дефолт по stage."""
+```
+Хелпер обязан быть чистым/детерминированным от входных данных и **никогда не бросать**
+исключения (любая ошибка → дефолт по `stage`, рендер карточки не ломается).
+
+### 2.2. Маппинг внутреннее состояние → Plane-статус (обязательные строки)
+Имена статусов — финальные из модели ORCH-066 (см. `_PLANE_NAME_TO_KEY` в `plane_sync.py`).
+
+| Источник (данные задачи в БД) | Plane-статус (отображение в карточке) |
+|---|---|
+| `stage == "created"` | `To Analyse` |
+| `stage == "analysis"`, BRD-clock не запущен | `Analysis` |
+| `stage == "analysis"`, `brd_review_started_at` есть, `brd_review_ended_at` пуст | `⏸️ In Review — ожидание согласования BRD` |
+| `stage == "architecture"` | `Architecture` |
+| `stage == "development"` | `Development` |
+| `stage == "review"` | `Code-Review` |
+| `stage == "testing"` | `Testing` |
+| `stage == "deploy"` (ожидание Confirm Deploy) | `⏸️ Awaiting Deploy — ожидание Confirm Deploy` |
+| `stage == "done"` | `Done` |
+
+Ветки (Needs Input / Blocked / Rejected / Cancelled / Deploying / Monitoring after Deploy):
+- `❓ Needs Input — нужны уточнения` — состояние «аналитик задал вопросы»;
+- `Blocked`, `Rejected`, `Cancelled`, `Deploying`, `Monitoring after Deploy`.
+
+`[ARCH]` **Источник сигнала для веток, не выводимых из `tasks.stage`** (Needs Input,
+Blocked, Rejected, Cancelled, Deploying, Monitoring after Deploy):
+- запрещено менять схему БД (нельзя добавлять колонку-флаг);
+- варианты для архитектора: (а) best-effort чтение живого Plane-статуса
+  (`fetch_issue_state` + reverse-map UUID→имя через `get_project_states`/
+  `_PLANE_NAME_TO_KEY`) с обязательным fail-safe (нет сети/ответа → деградация на
+  stage-маппинг, без задержки, блокирующей конвейер); (б) только stage-выводимые статусы,
+  а ветки — по уже имеющимся сигналам (например, In Review через brd-clock).
+- ОБЯЗАТЕЛЬНО к покрытию (DoD): `⏸️ In Review`, `⏸️ Awaiting Deploy`, `❓ Needs Input`.
+  In Review полностью выводится из brd-clock (см. таблицу) и должен работать без сети.
+
+### 2.3. Встраивание в `render_task_tracker`
+- В `render_task_tracker` (`src/notifications.py`) добавить в шапку/верх карточки отдельную
+  СТРОКУ статуса (под заголовком `🛠️ ORCH-NNN · <title>` / над разделителем `bar`),
+  напр.: `📍 <status_label>`.
+- Существующие строки по стадиям (`✅ done` / `🔄 active`), строка «Подтверждение BRD»,
+  тоталы токенов/стоимости, done-строка с PR/⏱️ — СОХРАНИТЬ (семантику не ломать).
+- Семантика строки «Подтверждение BRD» (⏸️+⏳ при ожидании, ✅ при пройденном гейте)
+  сохраняется; новая статус-строка дублирует её смысл в терминах Plane-статуса.
+
+---
+
+## 3. Требование 3 + 4 — кликабельный номер задачи
+
+### 3.1. Единый хелпер
+Добавить в `src/notifications.py`:
+```python
+def plane_issue_link(work_item_id, plane_issue_id=None, project_id=None, repo=None) -> str:
+    """Вернуть HTML с кликабельным номером задачи (<a href=...>ORCH-NNN</a>),
+    либо просто html.escape(work_item_id), если ссылку построить нельзя.
+    Никогда не падает."""
+```
+Поведение:
+- База URL: `settings.plane_web_url` → fallback `settings.plane_api_url`; loopback-база
+  (`localhost`/`127.0.0.1`/…) трактуется как «нет web URL» (переиспользовать
+  `_is_loopback_base`).
+- `workspace_slug`: `settings.plane_workspace_slug`.
+- `project_id`: явный аргумент → иначе резолв по `repo` через
+  `get_project_by_repo(repo).plane_project_id`.
+- `issue_id`: `plane_issue_id` (UUID из `tasks.plane_issue_id`).
+- URL-шаблон: `{web_base}/{workspace}/projects/{project_id}/issues/{issue_id}/`.
+- Текст ссылки = `html.escape(work_item_id)`; `href` = `html.escape(url, quote=True)`.
+- **Fail-safe:** если не хватает любого из (`web_base` валидный/не loopback, `workspace`,
+  `project_id`, `plane_issue_id`) → вернуть `html.escape(work_item_id)` (номер без ссылки).
+- Логика построения URL уже существует в `_build_plane_issue_link` (ORCH-017) — допустимо
+  переиспользовать/обобщить её, разнеся «текст-ссылки = номер» и «текст-ссылки = `✅ Задача
+  в Plane`», чтобы не дублировать резолв проекта и loopback-guard.
+
+### 3.2. Применение в карточке (требование 3)
+- В `render_task_tracker` заголовок строится из `work_item_id`. Заменить
+  `html.escape(work_item_id)` в обоих вариантах заголовка (done / not-done) на
+  `plane_issue_link(work_item_id, plane_issue_id, repo=repo)` — номер становится
+  кликабельным.
+- Для этого `render_task_tracker` должен дополнительно выбрать из БД `repo` и
+  `plane_issue_id` (расширить существующий `SELECT` по `tasks`). Схему НЕ менять — колонки
+  уже есть.
+- `title` уже экранируется (`html.escape(title)`) — сохранить.
+
+### 3.3. Применение во всех уведомлениях (требование 4)
+Во всех точках `send_telegram`/`notify_*`, где в тексте есть `work_item_id`, заменить
+«сырой» номер на `plane_issue_link(...)`. Перечень точек (из `src`):
+- `src/notifications.py`: `notify_approve_requested`, `notify_error`
+  (и любые будущие notify_* с work_item_id);
+- `src/stage_engine.py`: все `send_telegram(...)` с `work_item_id`
+  (≈ строки 613, 672, 719, 776, 820, 916, 971, 1057, 1134, 1192, 1228, 1257, 1355, 1367,
+  1425, 1447, 1601 — проверить каждую: применять ТОЛЬКО где упоминается номер задачи);
+- `src/agents/launcher.py`: deploy-failed alert (≈685–686), agent-failed alert (≈698–699),
+  alert ≈821–822;
+- `src/merge_gate.py` (≈431–432);
+- `src/job_reaper.py` (≈395–396);
+- `src/security_gate.py` (≈673–674);
+- `src/reconciler.py` (≈449);
+- `src/main.py` (≈45–47).
+
+`[ARCH]` Способ доступа к `plane_issue_id`/`project_id` в каждой точке (часто там уже есть
+`work_item_id`, но не обязательно `plane_issue_id`): хелпер должен уметь резолвить
+недостающее по `repo`/БД, оставаясь fail-safe. Допустимо добавить тонкую обёртку, которая по
+`work_item_id`/`task_id` достаёт `repo`+`plane_issue_id` из БД и зовёт `plane_issue_link`
+(аналогично существующему `_get_task_link_fields`). Везде, где данных нет — деградация на
+просто номер, без падения.
+
+### 3.4. HTML-экранирование
+- `parse_mode=HTML` уже стоит в `send_telegram`/`edit_telegram`. Любой пользовательский
+  текст (title, описания, причины QG-fail, сообщения об ошибках), попадающий в сообщение с
+  ссылками, должен экранироваться `html.escape`, чтобы не сломать `<a>`-разметку.
+
+---
+
+## 4. Конфигурация
+
+- `plane_web_url` (env `ORCH_PLANE_WEB_URL`) — уже существует (`src/config.py`), значение
+  прод — `plane.mva154.duckdns.org` (схему `https://` учесть при сборке URL).
+  Дополнительных полей конфигурации не требуется.
+- `tracker_mode` — сменить дефолт на `bump` (раздел 1).
+- Обновить `.env.example`, если в нём фигурируют `ORCH_TRACKER_MODE` / `ORCH_PLANE_WEB_URL`
+  (канон секретов/настроек — `.env.example`, не коммитить реальные секреты).
+
+---
+
+## 5. Артефакты pipeline, которые должны быть созданы/обновлены
+
+- `docs/work-items/ORCH-067/06-adr/ADR-NNN-*.md` — архитектурное решение (минимум: источник
+  «истинного» Plane-статуса для веток при запрете изменения схемы БД; дефолт bump; единый
+  хелпер ссылки).
+- `CLAUDE.md` — раздел про нотификации/tracker (дефолт bump; статус-строка карточки;
+  кликабельный номер в карточке и уведомлениях).
+- `CHANGELOG.md` — запись ORCH-067.
+- `docs/architecture/README.md` — при необходимости синхронизировать описание tracker'а.
+
+---
+
+## 6. Ограничения (что НЕ трогать)
+
+- Транспорт `send_telegram`/`edit_telegram`/`delete_telegram`.
+- Инвариант «одна карточка на задачу».
+- Логику `disable_notification` (карточка тихая; пингуют только alert-хелперы).
+- `STAGE_TRANSITIONS`, Quality Gates, схему БД.
+- Поведение агентов/конвейера.
+
+---
+
+## 7. Замечания по самохостингу
+
+Орк правит сам себя в проде (общий инстанс/БД с enduro-trails):
+- НЕ перезапускать прод-контейнер `orchestrator` в рамках задачи.
+- Обязательная страховка через `deploy-staging` (8501) до прод-деплоя.
+- Смена дефолта `tracker_mode` затрагивает ВСЕ проекты — проверить отсутствие регресса для
+  enduro-trails (тесты + staging-наблюдение карточки).

docs/work-items/ORCH-067/03-acceptance-criteria.md

@@ -0,0 +1,129 @@
+# Acceptance Criteria — ORCH-067
+
+Work Item: **ORCH-067**
+Каждый критерий формулирует чёткое условие PASS/FAIL. Привязка к тестам — в `04-test-plan.yaml`.
+
+---
+
+## Группа A — Bump по умолчанию (Требование 1)
+
+### AC-1 — дефолт tracker_mode = bump
+- **PASS:** `Settings().tracker_mode == "bump"` без выставленного env `ORCH_TRACKER_MODE`.
+- **FAIL:** дефолт остался `"edit"` или иное.
+
+### AC-2 — bump-поведение: одна карточка падает вниз
+- **PASS:** при втором (и последующем) вызове `update_task_tracker` для задачи с уже
+  сохранённым `tracker_message_id` вызывается `delete_telegram(old_id)` (best-effort),
+  затем `send_telegram(...)` с `disable_notification=True`, затем `set_tracker_message_id`
+  на новый id. В чате остаётся ровно одна карточка на задачу.
+- **FAIL:** карточка редактируется на месте при дефолте; либо появляются дубли; либо новая
+  карточка отправляется со звуком (`disable_notification` не True).
+
+### AC-3 — bump fail-safe: транзиентный фейл send не обнуляет указатель
+- **PASS:** если `send_telegram` вернул `None` (нет креды/транзиентный фейл),
+  `tracker_message_id` НЕ перезаписывается в `None` и дубликат в рамках вызова не создаётся.
+- **FAIL:** указатель обнулён или создан второй card-месседж в одном вызове.
+
+### AC-4 — режим edit остаётся доступен через env
+- **PASS:** при `ORCH_TRACKER_MODE=edit` поведение прежнее (editMessageText, fallback на
+  новый месседж только при EDIT_GONE).
+- **FAIL:** edit-режим сломан/недоступен.
+
+---
+
+## Группа B — Статус-строка карточки по модели ORCH-066 (Требование 2)
+
+### AC-5 — статус-строка присутствует в карточке
+- **PASS:** `render_task_tracker(task_id)` содержит явную строку текущего Plane-статуса
+  (напр. `📍 <status>`) в шапке/верхней части карточки.
+- **FAIL:** статус-строки нет.
+
+### AC-6 — корректный маппинг stage → Plane-статус
+- **PASS:** для всех stage-выводимых состояний строка статуса соответствует таблице ТЗ §2.2:
+  `created→To Analyse`, `analysis→Analysis`, `architecture→Architecture`,
+  `development→Development`, `review→Code-Review`, `testing→Testing`,
+  `deploy→Awaiting Deploy`, `done→Done`.
+- **FAIL:** хотя бы один stage маппится на неверное имя/внутренний ярлык.
+
+### AC-7 — In Review (ожидание согласования BRD) как полноценный статус
+- **PASS:** при `stage == "analysis"`, `brd_review_started_at` задан и
+  `brd_review_ended_at` пуст — статус-строка явно отражает `⏸️ In Review` с пометкой
+  «ожидание согласования BRD»; при этом существующая строка «Подтверждение BRD …» с ⏸️/⏳
+  сохранена. Работает без сетевых вызовов.
+- **FAIL:** In Review теряется/не показан как статус, либо строка «Подтверждение BRD» исчезла.
+
+### AC-8 — Awaiting Deploy и Needs Input отражены
+- **PASS:** состояние ожидания Confirm Deploy показывается как
+  `⏸️ Awaiting Deploy — ожидание Confirm Deploy`; состояние вопросов аналитика — как
+  `❓ Needs Input — нужны уточнения`.
+- **FAIL:** любое из этих состояний не отражено в статус-строке.
+
+### AC-9 — рендер карточки никогда не падает
+- **PASS:** при любой ошибке построения статуса (битые данные, недоступный источник)
+  `render_task_tracker` возвращает корректную карточку (деградация на stage-маппинг или
+  fallback-строку), исключение наружу не выходит.
+- **FAIL:** `render_task_tracker` бросает исключение.
+
+---
+
+## Группа C — Кликабельный номер в карточке (Требование 3)
+
+### AC-10 — номер задачи в карточке — гиперссылка
+- **PASS:** при наличии `plane_web_url` (не loopback), `plane_workspace_slug`, `project_id`
+  (резолв по repo) и `plane_issue_id` карточка содержит
+  `<a href="https://<base>/<ws>/projects/<pid>/issues/<issue_id>/">ORCH-NNN</a>`.
+- **FAIL:** номер выводится сырым текстом при наличии всех данных, либо URL собран неверно.
+
+### AC-11 — fail-safe ссылки в карточке
+- **PASS:** при отсутствии любого из (web_base/не-loopback, workspace, project_id,
+  plane_issue_id) карточка показывает номер БЕЗ ссылки (`html.escape(work_item_id)`) и не
+  падает.
+- **FAIL:** падение, пустая ссылка `<a href="">`, либо битый `<a>` тег.
+
+---
+
+## Группа D — Кликабельный номер во всех уведомлениях (Требование 4)
+
+### AC-12 — единый хелпер ссылки
+- **PASS:** существует `plane_issue_link(...)`, возвращающий HTML-ссылку при достаточных
+  данных и `html.escape(work_item_id)` при недостаточных; никогда не бросает.
+- **FAIL:** хелпера нет, либо он падает на неполных данных.
+
+### AC-13 — хелпер применён во всех уведомлениях с work_item_id
+- **PASS:** во всех точках `send_telegram`/`notify_*` из ТЗ §3.3, где упоминается
+  `work_item_id` (`notify_approve_requested`, `notify_error`, alert'ы stage_engine,
+  launcher, merge_gate, job_reaper, security_gate, reconciler, main), номер задачи
+  кликабелен (при наличии данных) и ведёт на ту же страницу Plane.
+- **FAIL:** хотя бы одна такая точка выводит номер сырым текстом при наличии данных.
+
+### AC-14 — HTML-экранирование пользовательского текста
+- **PASS:** title/причины/сообщения с потенциальным HTML (`<`, `>`, `&`) экранируются
+  `html.escape`; разметка `<a>` остаётся валидной; сообщение проходит `parse_mode=HTML`.
+- **FAIL:** неэкранированный текст ломает разметку (тест с title, содержащим `<b>`/`&`,
+  обнаруживает поломку).
+
+---
+
+## Группа E — Нерегресс и качество
+
+### AC-15 — инварианты транспорта/нотификаций сохранены
+- **PASS:** `send_telegram`/`edit_telegram`/`delete_telegram` не изменены по сигнатуре/
+  семантике; карточка тихая (`disable_notification=True`); инвариант «одна карточка на
+  задачу» соблюдён; `STAGE_TRANSITIONS`/QG/схема БД не тронуты.
+- **FAIL:** изменён транспорт, карточка пингует, появились дубли, тронута схема БД/QG.
+
+### AC-16 — нет регресса для enduro-trails
+- **PASS:** существующие тесты нотификаций (`test_notify_approve_links.py`,
+  `test_notify_done_regression.py` и др.) проходят; поведение карточки для не-ORCH проектов
+  без новых Plane-статусов деградирует корректно (alias-fallback, без ссылки при нехватке
+  данных).
+- **FAIL:** падение существующих тестов или сломанная карточка для enduro.
+
+### AC-17 — весь набор тестов зелёный
+- **PASS:** `pytest tests/ -q` зелёный.
+- **FAIL:** любой упавший тест.
+
+### AC-18 — документация обновлена в том же PR
+- **PASS:** обновлены `CLAUDE.md` (раздел нотификаций/tracker), `CHANGELOG.md`,
+  создан ADR per-work-item.
+- **FAIL:** функционал изменён, документация — нет (reviewer → REQUEST_CHANGES).

docs/work-items/ORCH-067/04-test-plan.yaml

@@ -0,0 +1,181 @@
+work_item: ORCH-067
+description: >
+  План тестов для ORCH-067 (Telegram tracker: bump по умолчанию, статус-строка
+  карточки по модели Plane ORCH-066, кликабельный номер задачи в карточке и во
+  всех уведомлениях орка). Сеть изолируется: send_telegram/edit_telegram/
+  delete_telegram подменяются рекордерами (как в tests/conftest.py и
+  tests/test_notify_approve_links.py); БД — временный SQLite, сидируемый фикстурой.
+
+tests:
+  # --- Группа A: bump по умолчанию (AC-1..AC-4) ---
+  - id: TC-01
+    type: unit
+    description: "Дефолт Settings().tracker_mode == 'bump' без env ORCH_TRACKER_MODE"
+    module: tests/test_tracker_bump_default.py
+    asserts: "AC-1"
+    expected: PASS
+
+  - id: TC-02
+    type: unit
+    description: >
+      bump-поведение: при повторном update_task_tracker с сохранённым
+      tracker_message_id вызывается delete_telegram(old) -> send_telegram(...,
+      disable_notification=True) -> set_tracker_message_id(new). Одна карточка.
+    module: tests/test_tracker_bump_default.py
+    asserts: "AC-2"
+    expected: PASS
+
+  - id: TC-03
+    type: unit
+    description: >
+      bump fail-safe: send_telegram вернул None (нет креды/транзиент) ->
+      tracker_message_id не обнуляется, дубликат в вызове не создаётся.
+    module: tests/test_tracker_bump_default.py
+    asserts: "AC-3"
+    expected: PASS
+
+  - id: TC-04
+    type: unit
+    description: "ORCH_TRACKER_MODE=edit -> прежнее edit-поведение (editMessageText)"
+    module: tests/test_tracker_bump_default.py
+    asserts: "AC-4"
+    expected: PASS
+
+  # --- Группа B: статус-строка карточки (AC-5..AC-9) ---
+  - id: TC-05
+    type: unit
+    description: "render_task_tracker содержит явную строку текущего Plane-статуса"
+    module: tests/test_tracker_status_line.py
+    asserts: "AC-5"
+    expected: PASS
+
+  - id: TC-06
+    type: unit
+    description: >
+      Маппинг stage -> Plane-статус по таблице ТЗ §2.2: created->To Analyse,
+      analysis->Analysis, architecture->Architecture, development->Development,
+      review->Code-Review, testing->Testing, deploy->Awaiting Deploy, done->Done
+      (параметризованный тест по всем stage).
+    module: tests/test_tracker_status_line.py
+    asserts: "AC-6"
+    expected: PASS
+
+  - id: TC-07
+    type: unit
+    description: >
+      analysis + brd_review_started_at задан + brd_review_ended_at пуст ->
+      статус '⏸️ In Review' (ожидание согласования BRD); строка 'Подтверждение
+      BRD' с ⏸️/⏳ сохранена; без сетевых вызовов.
+    module: tests/test_tracker_status_line.py
+    asserts: "AC-7"
+    expected: PASS
+
+  - id: TC-08
+    type: unit
+    description: >
+      Awaiting Deploy ('ожидание Confirm Deploy') и Needs Input ('нужны
+      уточнения') корректно отражаются в статус-строке.
+    module: tests/test_tracker_status_line.py
+    asserts: "AC-8"
+    expected: PASS
+
+  - id: TC-09
+    type: unit
+    description: >
+      render_task_tracker не падает при битых/недоступных данных статуса
+      (деградация на stage-маппинг/fallback, исключение не наружу).
+    module: tests/test_tracker_status_line.py
+    asserts: "AC-9, AC-16"
+    expected: PASS
+
+  # --- Группа C: кликабельный номер в карточке (AC-10..AC-11) ---
+  - id: TC-10
+    type: unit
+    description: >
+      При полных данных (plane_web_url не loopback, workspace, project_id по repo,
+      plane_issue_id) карточка содержит <a href=".../issues/<id>/">ORCH-NNN</a>
+      с корректным URL.
+    module: tests/test_tracker_issue_link.py
+    asserts: "AC-10"
+    expected: PASS
+
+  - id: TC-11
+    type: unit
+    description: >
+      Fail-safe ссылки в карточке: при отсутствии любого из (web_base/не-loopback,
+      workspace, project_id, plane_issue_id) номер выводится html.escape без <a>,
+      рендер не падает. Параметризовать по каждому отсутствующему полю.
+    module: tests/test_tracker_issue_link.py
+    asserts: "AC-11"
+    expected: PASS
+
+  # --- Группа D: единый хелпер и уведомления (AC-12..AC-14) ---
+  - id: TC-12
+    type: unit
+    description: >
+      plane_issue_link(...) возвращает HTML-ссылку при достаточных данных и
+      html.escape(work_item_id) при недостаточных; никогда не бросает (в т.ч. на
+      None-аргументах и loopback-базе).
+    module: tests/test_plane_issue_link.py
+    asserts: "AC-12"
+    expected: PASS
+
+  - id: TC-13
+    type: unit
+    description: >
+      notify_approve_requested: номер задачи кликабелен (ведёт на страницу Plane),
+      сохранён call-to-action 'Approved', ровно одно notifying-сообщение.
+    module: tests/test_notify_issue_links.py
+    asserts: "AC-13"
+    expected: PASS
+
+  - id: TC-14
+    type: unit
+    description: >
+      notify_error: номер задачи кликабелен при наличии данных, деградирует на
+      сырой номер без падения при их отсутствии.
+    module: tests/test_notify_issue_links.py
+    asserts: "AC-13, AC-12"
+    expected: PASS
+
+  - id: TC-15
+    type: integration
+    description: >
+      Точки send_telegram в stage_engine/launcher/merge_gate/job_reaper/
+      security_gate/reconciler/main, где есть work_item_id, используют
+      plane_issue_link (или эквивалент) — номер кликабелен. Проверка рекордером
+      send_telegram на представительных alert-путях (deploy fail, agent fail,
+      QG fail, прод-деплой).
+    module: tests/test_notify_issue_links.py
+    asserts: "AC-13"
+    expected: PASS
+
+  - id: TC-16
+    type: unit
+    description: >
+      HTML-экранирование: title с '<b>'/'&'/'>' экранируется, <a>-разметка
+      остаётся валидной, сообщение не ломается под parse_mode=HTML (карточка и
+      уведомления).
+    module: tests/test_tracker_issue_link.py
+    asserts: "AC-14"
+    expected: PASS
+
+  # --- Группа E: нерегресс (AC-15..AC-18) ---
+  - id: TC-17
+    type: integration
+    description: >
+      Инварианты: карточка отправляется с disable_notification=True; одна карточка
+      на задачу; транспорт send/edit/delete не изменён по семантике.
+    module: tests/test_tracker_bump_default.py
+    asserts: "AC-15"
+    expected: PASS
+
+  - id: TC-18
+    type: integration
+    description: >
+      Нерегресс существующих тестов нотификаций (test_notify_approve_links.py,
+      test_notify_done_regression.py) и корректная деградация карточки для
+      enduro-trails без новых Plane-статусов.
+    module: tests/test_notify_done_regression.py
+    asserts: "AC-16, AC-17"
+    expected: PASS

docs/work-items/ORCH-067/06-adr/ADR-001-tracker-plane-status-and-link.md

@@ -0,0 +1,224 @@
+# ADR-001: Источник Plane-статуса для live-карточки и кликабельный номер задачи
+
+- **Статус:** Proposed
+- **Дата:** 2026-06-08
+- **Задача:** ORCH-067
+- **Слой:** B (индикация), НЕ слой A (машина стадий) — см. CLAUDE.md / ORCH-066
+- **Связи:** ORCH-066 (статусная модель Plane, `_PLANE_NAME_TO_KEY` / `_STAGE_TO_STATE_KEY`),
+  ORCH-042 (live-tracker, режимы `edit`/`bump`), ORCH-017 (`_build_plane_issue_link`,
+  `plane_web_url`/`plane_workspace_slug`, loopback-guard), ORCH-059 (Confirm Deploy),
+  ORCH-060 (`fetch_issue_state`), ORCH-010 (`get_project_states` per-project + кэш),
+  adr-0001 (реестр проектов), adr-0010 (post-deploy monitor).
+
+## Контекст
+
+ТЗ ORCH-067 (`02-trz.md`) фиксирует объём изменений; данный ADR закрывает развилки,
+явно отданные архитектору метками `[ARCH]`:
+
+1. **Источник «истинного» Plane-статуса для веток, не выводимых из `tasks.stage`**
+   (Needs Input, Blocked, Rejected, Cancelled, Deploying, Monitoring after Deploy),
+   при **запрете менять схему БД** (нельзя добавить колонку-флаг). TZ §2.2 предлагает
+   два варианта: (а) best-effort чтение живого Plane-статуса с fail-safe;
+   (б) только stage-выводимые статусы.
+2. **Способ доступа к `plane_issue_id`/`project_id`** в каждой точке `send_telegram`,
+   где есть только `work_item_id` (требование 4), оставаясь fail-safe.
+3. Смена дефолта `tracker_mode` (`edit` → `bump`) для общего инстанса.
+
+### Ключевая находка анализа (определяет развилку 1)
+
+Когда аналитик задаёт вопросы, `stage_engine.start_pipeline` при наличии
+`01-questions.md` вызывает `set_issue_needs_input(work_item_id)` (Plane → Needs Input),
+но **DB-стадия остаётся `analysis`**, а BRD-часы (`brd_review_started_at`) **не
+запускаются** (они стартуют позже, в `notify_approve_requested`, когда BRD готов).
+Следовательно состояния **`Analysis` (аналитик работает)** и **`❓ Needs Input`
+(аналитик ждёт ответа)** **неразличимы** по offline-данным БД (`stage` + brd-clock).
+Единственный авторитетный источник этого различия — **живой Plane-статус**, который
+оркестратор сам выставил через `set_issue_needs_input`.
+
+То же касается `Deploying` / `Monitoring after Deploy`: на стадии `deploy`/`done`
+конкретная фаза self-deploy видна только в Plane (ORCH-059/ORCH-066), не в `tasks.stage`.
+
+Вывод: чисто-offline вариант (б) **не покрывает обязательный по DoD `❓ Needs Input`**
+(AC-8). Нужен гибрид.
+
+## Решение
+
+### Р-1. Гибрид: offline-first ядро + best-effort live-overlay
+
+Статус карточки строится в два слоя; **offline-ядро авторитетно и всегда работает без
+сети**, live-overlay лишь дорисовывает ветки, неотличимые offline.
+
+**Слой 1 — чистая offline-функция `plane_status_label(task_row) -> str`** в
+`src/notifications.py`. Детерминированная, **никогда не бросает**, **никогда не ходит в
+сеть**. Маппинг (имена статусов — финальные из ORCH-066 `_PLANE_NAME_TO_KEY`):
+
+| Источник (DB) | Метка карточки |
+|---|---|
+| `stage == "created"` | `To Analyse` |
+| `stage == "analysis"`, brd-clock не запущен | `Analysis` |
+| `stage == "analysis"`, `brd_review_started_at` есть, `brd_review_ended_at` пуст | `⏸️ In Review — ожидание согласования BRD` |
+| `stage == "architecture"` | `Architecture` |
+| `stage == "development"` | `Development` |
+| `stage == "review"` | `Code-Review` |
+| `stage == "testing"` | `Testing` |
+| `stage == "deploy"` | `⏸️ Awaiting Deploy — ожидание Confirm Deploy` |
+| `stage == "done"` | `Done` |
+| неизвестный/битый `stage` | дефолт: `html`-безопасная строка по `stage` (или `To Analyse`) |
+
+Этого слоя достаточно для **`⏸️ In Review`** и **`⏸️ Awaiting Deploy`** — оба
+обязательны по DoD и **работают без сети** (AC-7, AC-8). `In Review` выводится
+исключительно из brd-clock.
+
+**Слой 2 — best-effort live-overlay** `_live_plane_branch_override(repo, plane_issue_id,
+base_label) -> str` для веток, неразличимых offline: **Needs Input, Blocked, Rejected,
+Cancelled, Deploying, Monitoring after Deploy**. Алгоритм:
+
+1. Резолв `project_id` по `repo` (`get_project_by_repo(repo).plane_project_id`).
+2. `live_uuid = fetch_issue_state(plane_issue_id, project_id)` (ORCH-060) — **с коротким
+   таймаутом** (см. Р-4), не дефолтным 10s.
+3. Сопоставление `live_uuid` с **конкретными** UUID веток из
+   `get_project_states(project_id)` (кэш ORCH-010): `needs_input`, `blocked`,
+   `cancelled`, `rejected`, `deploying`, `monitoring`.
+4. Override применяется **только** если `live_uuid` совпал с одним из этих ключей.
+   Иначе возвращается `base_label` (offline-метка).
+
+**Прецеденс (порядок приоритета):**
+1. Если offline-ядро дало **`⏸️ In Review`** (brd-clock) — overlay **не вызывается**:
+   brd-clock авторитетнее возможно-устаревшего Plane-чтения для In Review.
+2. Иначе `base_label` = offline-метка, затем применяется overlay (если включён и удался).
+
+**Анти-false-positive на enduro (важно):** на enduro-trails ключи `deploying`/
+`monitoring` алиасят UUID `in_progress`/`done` (`_STATE_ALIAS_FALLBACK`), поэтому прямое
+сравнение UUID дало бы ложный `Deploying` для любой `in_progress`-задачи. Поэтому для
+`deploying`/`monitoring` override применяется **только если** их UUID в
+`get_project_states` **отличается** от UUID базового ключа (т.е. проект реально завёл
+отдельный статус — это ORCH, не enduro). Ключи `needs_input/blocked/cancelled/rejected`
+имеют отдельные UUID и на enduro, и на ORCH (`_DEFAULT_STATES`), поэтому различимы всегда.
+
+### Р-2. Fail-safe и невлияние на конвейер (overlay)
+
+- `_live_plane_branch_override` обёрнут в `try/except` и **никогда не бросает**; любая
+  ошибка/таймаут/нет сети/нет данных → возвращается `base_label`. Это удовлетворяет
+  «без сети не падать» и AC-9 (рендер карточки никогда не падает).
+- Нет `plane_issue_id` / нет `project_id` / нет креды → overlay не вызывается, метка =
+  offline-ядро.
+- **Kill-switch:** новый флаг конфигурации `tracker_live_status: bool = True`
+  (env `ORCH_TRACKER_LIVE_STATUS`). При `False` overlay полностью отключён (никаких
+  сетевых чтений в рендере) — карточка деградирует на offline-ядро. Это аварийный
+  тумблер и страховка от регресса для не-ORCH проектов. **Дефолт `True`**, иначе
+  обязательный по DoD `Needs Input` не отобразится из коробки.
+
+### Р-3. Кэш live-статуса (защита hot-path)
+
+`render_task_tracker` вызывается на КАЖДОМ обновлении трекера (старт/финиш агента,
+переход стадии), а в режиме `bump` — с delete+send каждый раз. Чтобы серия быстрых
+перерисовок не била по Plane:
+
+- Добавить **TTL-кэш per-issue** для `live_uuid` (ключ — `plane_issue_id`, TTL
+  `tracker_live_status_ttl_s: int = 60`). По образцу `_STATES_CACHE` в `plane_sync.py`.
+- На промахе кэша — один `fetch_issue_state` с коротким таймаутом; результат кладётся в
+  кэш. На любой ошибке кэш не портится, возвращается offline-метка.
+
+Это ограничивает сетевую нагрузку overlay ~одним GET в `TTL` на задачу.
+
+### Р-4. Короткий таймаут live-чтения в рендере
+
+`fetch_issue_state` (ORCH-060) хардкодит `timeout=10`. Для пути рендера это слишком
+долго (рендер синхронный, в линии переходов общего конвейера). Решение: добавить в
+`fetch_issue_state` **необязательный параметр `timeout`** (дефолт прежний `10` —
+обратная совместимость для reconciler), а overlay вызывает его с
+`settings.tracker_live_status_timeout_s` (дефолт **3** с). Поведение/сигнатуры
+существующих вызовов не меняются.
+
+### Р-5. Единый хелпер кликабельного номера `plane_issue_link`
+
+Добавить в `src/notifications.py`:
+
+```python
+def plane_issue_link(work_item_id, plane_issue_id=None, project_id=None, repo=None) -> str:
+    """HTML с кликабельным номером (<a href=...>ORCH-NNN</a>) или html.escape(work_item_id).
+    Никогда не падает."""
+```
+
+- Переиспользовать логику и guard'ы `_build_plane_issue_link` (ORCH-017), **разнеся**
+  «текст ссылки = номер задачи» и «текст ссылки = `✅ Задача в Plane`», чтобы не
+  дублировать резолв проекта и loopback-guard. Рекомендуется выделить приватный
+  `_plane_issue_url(repo, plane_issue_id, project_id) -> str | None` (сборка URL +
+  loopback/workspace/project guard), который зовут оба: `plane_issue_link` (текст =
+  номер) и `_build_plane_issue_link` (текст = «✅ Задача в Plane»).
+- База URL: `plane_web_url` → fallback `plane_api_url`; loopback → «нет web URL»
+  (`_is_loopback_base`).
+- `project_id`: явный аргумент → иначе резолв по `repo`.
+- URL: `{web_base}/{workspace}/projects/{project_id}/issues/{plane_issue_id}/`.
+- Текст = `html.escape(work_item_id)`; `href` = `html.escape(url, quote=True)`.
+- **Fail-safe:** не хватает любого из (web_base/не-loopback, workspace, project_id,
+  plane_issue_id) → вернуть `html.escape(work_item_id)` (номер без ссылки). Никогда не
+  бросает (AC-11, AC-12).
+
+### Р-6. Доступ к `plane_issue_id`/`project_id` в точках уведомлений (требование 4)
+
+В большинстве точек `send_telegram` доступен только `work_item_id`. Решение —
+тонкая fail-safe обёртка по образцу `_get_task_link_fields`:
+
+```python
+def link_for(work_item_id, task_id=None) -> str:
+    """По work_item_id (или task_id) достать repo+plane_issue_id из БД и вернуть
+    plane_issue_link(...). На любой нехватке данных -> html.escape(work_item_id)."""
+```
+
+- Если у точки есть `task_id` — читать `(repo, plane_issue_id)` напрямую из `tasks` по
+  `id`. Если только `work_item_id` — `SELECT repo, plane_issue_id FROM tasks WHERE
+  work_item_id=? ORDER BY id DESC LIMIT 1` (как в `_resolve_project_id`).
+- Везде, где данных нет — деградация на `html.escape(work_item_id)`, без падения.
+- Применить во всех точках из TZ §3.3 (`notify_approve_requested`, `notify_error`,
+  `stage_engine`, `launcher`, `merge_gate`, `job_reaper`, `security_gate`, `reconciler`,
+  `main`) — **только там, где упоминается номер задачи**.
+
+### Р-7. `tracker_mode` дефолт → `bump`
+
+`src/config.py`: `tracker_mode: str = "edit"` → `"bump"`. Инвариант «одна карточка на
+задачу» сохранён в обоих режимах (код `update_task_tracker` не меняется по сути).
+`edit` остаётся доступен через `ORCH_TRACKER_MODE=edit`. Транзиентный фейл `send` не
+обнуляет `tracker_message_id` (инвариант уже в коде — сохранить).
+
+### Р-8. Чего НЕ делаем (границы)
+
+- НЕ менять схему БД, `STAGE_TRANSITIONS`, Quality Gates, транспорт
+  `send_telegram`/`edit_telegram`/`delete_telegram`, `disable_notification`-семантику.
+- НЕ менять поведение агентов/конвейера. Слой B (индикация) не управляет слоем A.
+- НЕ добавлять блокирующих сетевых ожиданий в линию переходов сверх одного короткого
+  best-effort GET с кэшем (Р-3/Р-4).
+- НЕ создавать глобальный (сквозной) ADR: изменение локально для `notifications.py` +
+  один config-дефолт, не вводит новую стадию/QG/компонент. Достаточно per-work-item ADR.
+
+## Последствия
+
+**Плюсы**
+- Обязательные по DoD `⏸️ In Review`, `⏸️ Awaiting Deploy` работают **без сети**
+  (детерминированно, тестируемо offline — AC-6/AC-7).
+- `❓ Needs Input` (и Blocked/Rejected/Cancelled/Deploying/Monitoring) отражаются через
+  авторитетный источник — живой Plane-статус, который иначе невосстановим из БД.
+- Единый хелпер ссылки убирает дублирование резолва проекта/loopback-guard (ORCH-017).
+- Kill-switch + кэш + короткий таймаут ограничивают риск для общего инстанса.
+
+**Минусы / ограничения**
+- Overlay добавляет ≤1 короткий GET (3 с таймаут) на задачу в `TTL=60s` в путь рендера.
+  Митигировано кэшем, таймаутом и kill-switch.
+- При недоступном Plane ветки `Needs Input`/`Blocked`/… деградируют на offline-метку
+  (`Analysis`/stage). Это осознанный, безопасный компромисс (рендер важнее точности
+  ветки; конвейер не блокируется).
+- На частично сконфигурированном проекте без отдельных статусов `Deploying`/`Monitoring`
+  эти ветки не показываются (alias-guard) — корректная деградация, не баг.
+
+**Риски** — см. `10-tech-risks.md`.
+
+## Альтернативы (отклонены)
+
+- **Только offline (вариант б TZ).** Отклонён: не отличает `Needs Input` от `Analysis`
+  → не покрывает обязательный AC-8.
+- **Чтение `01-questions.md` из worktree как offline-сигнал Needs Input.** Отклонён:
+  хрупко (резолв пути worktree из `notifications.py`, файл может пережить ответ,
+  гонки) — менее надёжно, чем авторитетный Plane-статус.
+- **Добавить DB-колонку-флаг для ветки.** Запрещено TZ (без изменения схемы).
+- **Асинхронный фон/демон для подтяжки статуса.** Избыточно для слоя индикации; кэш +
+  короткий таймаут дешевле и проще, без нового компонента.

docs/work-items/ORCH-067/07-infra-requirements.md

@@ -0,0 +1,46 @@
+# Инфраструктурные требования — ORCH-067
+
+Топология не меняется (никаких новых контейнеров/портов/сервисов). Изменения —
+**только конфигурация/env** и обязательный staging-гейт (self-hosting).
+
+## 1. Изменения конфигурации (`src/config.py`)
+
+| Поле | env | Старое | Новое | Назначение |
+|---|---|---|---|---|
+| `tracker_mode` | `ORCH_TRACKER_MODE` | `"edit"` | `"bump"` (дефолт) | Карточка падает вниз ленты при обновлении (ADR-001 Р-7). `edit` доступен через env. |
+| `tracker_live_status` | `ORCH_TRACKER_LIVE_STATUS` | — (нет) | `True` (дефолт) | Kill-switch live-overlay Plane-статуса (ADR-001 Р-2). `0/false` → только offline-метки, без сетевых чтений в рендере. |
+| `tracker_live_status_ttl_s` | `ORCH_TRACKER_LIVE_STATUS_TTL_S` | — | `60` | TTL per-issue кэша live-статуса (ADR-001 Р-3). |
+| `tracker_live_status_timeout_s` | `ORCH_TRACKER_LIVE_STATUS_TIMEOUT_S` | — | `3` | Короткий таймаут live-чтения в рендере (ADR-001 Р-4). |
+
+Уже существующие (не менять, использовать): `plane_web_url`
+(`ORCH_PLANE_WEB_URL`, прод — `https://plane.mva154.duckdns.org`),
+`plane_workspace_slug` (прод — `ag_proj`), `plane_api_url`.
+
+## 2. `.env` / `.env.example`
+
+- Обновить `.env.example`: добавить `ORCH_TRACKER_MODE`, `ORCH_PLANE_WEB_URL`,
+  `ORCH_TRACKER_LIVE_STATUS*` с дефолтами и комментариями (канон настроек —
+  `.env.example`, реальные секреты не коммитить).
+- На прод-хосте допустимо явно выставить `ORCH_TRACKER_MODE=bump` как страховку, но код
+  обязан работать «из коробки» и без env.
+- `ORCH_PLANE_WEB_URL` должен быть задан на проде (иначе номер задачи деградирует на
+  текст без ссылки — fail-safe, не падение).
+
+## 3. Self-hosting (обязательно)
+
+- **НЕ перезапускать / не ронять** прод-контейнер `orchestrator` (8500) в рамках задачи —
+  общий инстанс/БД с enduro-trails.
+- Обязательная страховка через `deploy-staging` (8501, изолированная БД) **до** прод-деплоя.
+  На staging проверить:
+  - режим `bump`: одна карточка на задачу, падает вниз, тихо (без звука), без дублей;
+  - статус-строка: `⏸️ In Review`, `⏸️ Awaiting Deploy`, `❓ Needs Input` отображаются;
+  - кликабельный номер ведёт на страницу Plane;
+  - **нет регресса для enduro-trails** (карточка без новых статусов деградирует корректно).
+- Прод-деплой орка — только переводом задачи на стадии `deploy` в статус
+  **«Confirm Deploy»** (ORCH-059), не `Approved`.
+
+## 4. Сетевые требования
+
+- Live-overlay требует доступности Plane API (`plane_api_url`) из контейнера — он уже
+  есть (используется plane_sync). Недоступность Plane → graceful degrade на offline-метку,
+  конвейер не блокируется (короткий таймаут + kill-switch).

docs/work-items/ORCH-067/08-data-requirements.md

@@ -0,0 +1,35 @@
+# Требования к данным — ORCH-067
+
+## Изменения схемы БД: НЕТ
+
+`STAGE_TRANSITIONS`, таблицы и колонки `tasks`/`agent_runs` **не меняются**. Это жёсткое
+ограничение TZ §6 и предпосылка ADR-001 (запрет колонки-флага для веток статуса).
+
+## Читаемые колонки `tasks` (существующие)
+
+| Колонка | Использование в ORCH-067 |
+|---|---|
+| `id` | Ключ задачи. |
+| `work_item_id` | Текст номера (`ORCH-NNN`) + ключ резолва в `link_for`. |
+| `title` | Заголовок карточки (`html.escape`). |
+| `stage` | Offline-маппинг Plane-статуса (ADR-001 Р-1, слой 1). |
+| `brd_review_started_at`, `brd_review_ended_at` | Различение `Analysis` ↔ `⏸️ In Review` (offline, без сети). |
+| `repo` | Резолв `project_id` (`get_project_by_repo`) для ссылки и live-overlay. |
+| `plane_issue_id` (UUID) | `issue_id` в URL Plane + аргумент `fetch_issue_state` (live-overlay). |
+| `created_at`, `updated_at` | Тоталы времени в done-строке (без изменений). |
+
+`render_task_tracker` **расширяет существующий `SELECT`** по `tasks`, добавляя `repo` и
+`plane_issue_id` к уже выбираемым полям. Схему это не трогает — колонки уже есть.
+
+## Кэш в памяти (не БД)
+
+Per-issue TTL-кэш live-статуса (ключ `plane_issue_id`, TTL
+`tracker_live_status_ttl_s=60`, ADR-001 Р-3) — **in-memory**, по образцу `_STATES_CACHE`
+в `plane_sync.py`. Не персистится, переживание рестарта не требуется (best-effort
+индикация). Очистка при рестарте — допустима.
+
+## Источник имён статусов
+
+Имена и логические ключи статусов берутся из существующих структур `src/plane_sync.py`
+(`_PLANE_NAME_TO_KEY`, `get_project_states`, `_DEFAULT_STATES`), вводимых ORCH-066.
+Новых статусов/ключей ORCH-067 **не добавляет**.

docs/work-items/ORCH-067/10-tech-risks.md

@@ -0,0 +1,21 @@
+# Технические риски — ORCH-067
+
+| # | Риск | Вероятность / Влияние | Митигация (ADR-001) | Остаточный риск |
+|---|---|---|---|---|
+| R-1 | **Регресс enduro-trails** при смене дефолта `tracker_mode` → `bump` (другое поведение карточки для всех проектов). | Сред / Сред | Инвариант «одна карточка на задачу» сохранён; `edit` доступен через env; проверка на staging + тесты нерегресса (AC-16). | Низкий |
+| R-2 | **Поломка HTML-разметки** неэкранированным `title`/причиной → сообщение с `parse_mode=HTML` не доставится. | Сред / Сред | Обязательный `html.escape` для всего пользовательского текста; `href` через `html.escape(url, quote=True)`; тест с `<b>`/`&` (AC-14). | Низкий |
+| R-3 | **Latency в hot-path конвейера**: live-overlay добавляет сетевой GET в синхронный рендер, вызываемый на каждом переходе/в bump. | Сред / Сред | Короткий таймаут 3 с (Р-4) + per-issue TTL-кэш 60 с (Р-3) + kill-switch `ORCH_TRACKER_LIVE_STATUS=0` (Р-2). ≤1 GET на задачу за TTL. | Низкий |
+| R-4 | **Рендер карточки падает** на битых данных/недоступном Plane. | Низк / Выс | `plane_status_label` чистая и never-raise; overlay в `try/except` → degrade на offline-метку; `render_task_tracker` уже never-raise (AC-9). | Очень низкий |
+| R-5 | **Ложный `Deploying`/`Monitoring` на enduro** (их UUID алиасит `in_progress`/`done`). | Сред / Низк | Override этих веток только если UUID статуса ≠ UUID базового ключа в `get_project_states` (Р-1, anti-false-positive). | Очень низкий |
+| R-6 | **Устаревший Plane-статус из кэша** показывает неактуальную ветку (например, `Needs Input` после ответа). | Сред / Низк | TTL 60 с самозаживает; offline-ядро авторитетно для In Review (brd-clock не оверрайдится). Индикация, не управление — расхождение косметическое. | Низкий |
+| R-7 | **Транзиентный фейл `send` плодит дубли / обнуляет указатель** в bump. | Низк / Сред | Инвариант уже в коде (`set_tracker_message_id` только при `new_mid is not None`); не менять; тест AC-3. | Низкий |
+| R-8 | **Self-hosting**: деплой орка ломает общий инстанс (enduro + ORCH, общая БД/очередь). | Низк / Выс | Обязательный staging-гейт (8501) до прода; прод-контейнер не ронять в задаче; прод-деплой только через «Confirm Deploy». | Низкий |
+| R-9 | **Пропущенная точка** уведомления с сырым номером (требование 4 — много call-sites). | Сред / Низк | Единый `link_for`/`plane_issue_link`; чек-лист точек из TZ §3.3; reviewer проверяет покрытие (AC-13). | Низкий |
+| R-10 | **Рассинхрон имён статусов** с ORCH-066, если та не в проде на момент разработки. | Низк / Низк | Имена берутся из `_PLANE_NAME_TO_KEY` (golden source); делать после прода ORCH-066 (BRD §6). | Низкий |
+
+## Сводно
+
+Все остаточные риски — низкие/очень низкие после митигаций. Главные защитные контуры:
+(1) offline-ядро статуса не требует сети и детерминировано; (2) live-overlay полностью
+best-effort с таймаутом+кэшем+kill-switch; (3) обязательный staging-гейт перед прод-деплоем
+общего инстанса (self-hosting).

docs/work-items/ORCH-067/12-review.md

@@ -0,0 +1,78 @@
+---
+type: review
+work_item_id: ORCH-067
+verdict: APPROVED
+version: 2
+---
+
+# Review ORCH-067
+
+## Summary
+
+Повторное ревью после фикса документации (коммит `7a88f39`). Реализация полностью
+соответствует ТЗ (`02-trz.md`), ADR-001 и всем acceptance criteria (`03-acceptance-criteria.md`).
+
+**Код** (`src/notifications.py` — ядро):
+- **Req 1 (bump):** дефолт `tracker_mode` сменён `edit → bump` (`src/config.py`); логика
+  `update_task_tracker`, транспорт `send/edit/delete_telegram`, `disable_notification` и
+  инвариант «одна карточка на задачу» не тронуты (AC-1..AC-4, AC-15 ✓).
+- **Req 2 (статус-строка):** чистый never-raise `plane_status_label(task_row)` (offline-ядро:
+  stage→статус + `⏸️ In Review` из brd-clock + `⏸️ Awaiting Deploy`, всё без сети) +
+  best-effort `_live_plane_branch_override` для ветвей, неотличимых offline (Needs Input /
+  Blocked / Rejected / Cancelled / Deploying / Monitoring). Kill-switch
+  (`tracker_live_status`), per-issue TTL-кэш (`_LIVE_STATE_CACHE`), короткий таймаут
+  (`fetch_issue_state(..., timeout=)`, дефолт 10 сохранён → нет регресса reconciler).
+  Anti-false-positive guard для enduro (`_LIVE_BRANCH_BASE`: deploying/monitoring override
+  только при отдельном UUID). Прецеденс In Review > overlay соблюдён. `_card_status_label`
+  обёрнут в try/except → рендер никогда не падает (AC-5..AC-9 ✓).
+- **Req 3+4 (кликабельный номер):** единый `_plane_issue_url` устраняет дублирование
+  резолва проекта/loopback-guard (ORCH-017); `plane_issue_link` (текст=номер) и
+  `_build_plane_issue_link` (текст=«✅ Задача в Plane») оба зовут его. `link_for` fail-safe
+  достаёт `repo`/`plane_issue_id` из БД. Применено в заголовке карточки и во ВСЕХ точках
+  §3.3 с номером задачи (AC-10..AC-14 ✓).
+
+**Точки §3.3 проверены пофайлово:** `notify_approve_requested`, `notify_error`,
+`stage_engine.py` (все alert'ы с номером), `agents/launcher.py`, `security_gate.py`,
+`reconciler.py` — номер кликабелен. `merge_gate.py`/`job_reaper.py`/`main.py` оставлены без
+ссылки **осознанно и корректно**: их тексты ссылаются на repo/job/run_id, а НЕ на
+`work_item_id` (проверено: merge_gate:432 — lease/repo, job_reaper:396 — job/agent/repo,
+main:47 — orphaned run_ids).
+
+**Инварианты/нерегресс:** схема БД, `STAGE_TRANSITIONS`, QG, транспорт — не тронуты
+(AC-15 ✓). `get_db()` возвращает новое соединение на вызов, поэтому `conn.close()` в
+`link_for` корректен. `pytest tests/ -q` → **907 passed** (AC-16, AC-17 ✓).
+
+**Документация (блокеры v1 закрыты):** `CHANGELOG.md`, `CLAUDE.md`, `.env.example`
+обновлены в коммите `7a88f39`; ADR-001 присутствует и полон; `README.md`/`internals.md`
+синхронизированы (AC-18 ✓).
+
+## Findings
+
+### P0 — Blocker
+- (нет)
+
+### P1 — Must fix
+- (нет)
+
+### P2 — Should fix
+- (нет)
+
+### P3 — Nice to have (не блокирует)
+- [ ] Часть alert-сообщений в `stage_engine.py` (`_handle_self_deploy_phase_b`,
+      `_handle_merge_verify`) встраивает «сырой» `{msg}`/`{e}`/`{reason}` рядом с новой
+      `<a>`-ссылкой; под `parse_mode=HTML` редкий `<` в этих подстановках теоретически мог
+      бы помешать рендеру. Это **пре-существующее поведение** (parse_mode=HTML стоял и
+      раньше), не регресс данной задачи; `notify_error` свой `error` экранирует. Можно при
+      случае обернуть прочие подстановки в `html.escape`.
+
+## Документация
+
+- `docs/architecture/README.md` — обновлён (компонент Notifications / live-tracker). ✓
+- `docs/architecture/internals.md` — обновлён (§7: bump/edit, Plane-статус, кликабельный номер). ✓
+- `06-adr/ADR-001-tracker-plane-status-and-link.md` — присутствует, полный, закрывает все `[ARCH]`. ✓
+- `CHANGELOG.md` — обновлён (запись ORCH-067). ✓
+- `CLAUDE.md` — обновлён (раздел «Нотификации / Telegram live-tracker»). ✓
+- `.env.example` — синхронизирован (`ORCH_TRACKER_MODE=bump` + новые флаги live-overlay). ✓
+
+Документация = golden source: код и доку обновлены в одном PR. Блокеры предыдущего ревью
+(v1) закрыты. Замечаний уровня P0/P1/P2 нет → **APPROVED**.

docs/work-items/ORCH-067/13-test-report.md

@@ -0,0 +1,78 @@
+---
+type: test-report
+work_item_id: ORCH-067
+result: PASS
+---
+
+# Test Report — ORCH-067
+
+Telegram tracker: bump по умолчанию, статус-строка карточки по модели Plane (ORCH-066),
+кликабельный номер задачи в карточке и во всех уведомлениях орка.
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3
+- Ветка: `feature/ORCH-067-telegram-tracker-bump-plane` (worktree)
+- Дата: 2026-06-08
+- Review-вердикт: APPROVED (`12-review.md`, version 2)
+
+## Smoke test API (prod, :8500)
+| Endpoint | Результат |
+|----------|-----------|
+| `GET /health` | PASS — `{"status":"ok","service":"orchestrator"}` |
+| `GET /status` | PASS — отдаёт active_tasks (ORCH-067 на stage=testing) |
+| `GET /queue` | PASS — breaker closed, preflight_ok, counts корректны |
+
+Прод-контейнер не перезапускался (self-hosting инвариант соблюдён).
+
+## Результаты по тест-плану (04-test-plan.yaml)
+
+| TC ID | Описание | Модуль | AC | Результат |
+|-------|----------|--------|----|-----------|
+| TC-01 | Дефолт `tracker_mode == "bump"` без env | test_tracker_bump_default.py | AC-1 | PASS |
+| TC-02 | bump: delete(old)→send(silent)→repoint, одна карточка | test_tracker_bump_default.py | AC-2 | PASS |
+| TC-03 | bump fail-safe: send=None не обнуляет указатель | test_tracker_bump_default.py | AC-3 | PASS |
+| TC-04 | `ORCH_TRACKER_MODE=edit` — прежнее поведение | test_tracker_bump_default.py | AC-4 | PASS |
+| TC-05 | Карточка содержит строку Plane-статуса | test_tracker_status_line.py | AC-5 | PASS |
+| TC-06 | Маппинг stage → Plane-статус (§2.2, параметризованный) | test_tracker_status_line.py | AC-6 | PASS |
+| TC-07 | In Review из brd-clock, без сети; строка «Подтверждение BRD» сохранена | test_tracker_status_line.py | AC-7 | PASS |
+| TC-08 | Awaiting Deploy + Needs Input отражены | test_tracker_status_line.py | AC-8 | PASS |
+| TC-09 | render_task_tracker не падает на битых данных | test_tracker_status_line.py | AC-9, AC-16 | PASS |
+| TC-10 | Кликабельный номер в карточке при полных данных | test_tracker_issue_link.py | AC-10 | PASS |
+| TC-11 | Fail-safe ссылки в карточке (параметризованный) | test_tracker_issue_link.py | AC-11 | PASS |
+| TC-12 | `plane_issue_link(...)` — ссылка/escape, никогда не бросает | test_plane_issue_link.py | AC-12 | PASS |
+| TC-13 | notify_approve_requested: номер кликабелен, одна нотификация | test_notify_issue_links.py | AC-13 | PASS |
+| TC-14 | notify_error: кликабелен/деградирует без падения | test_notify_issue_links.py | AC-13, AC-12 | PASS |
+| TC-15 | Точки send_telegram (stage_engine/launcher/merge_gate/job_reaper/security_gate/reconciler/main) используют хелпер | test_notify_issue_links.py | AC-13 | PASS |
+| TC-16 | HTML-экранирование title/`&`, валидность `<a>` | test_tracker_issue_link.py | AC-14 | PASS |
+| TC-17 | Инварианты транспорта: disable_notification, одна карточка | test_tracker_bump_default.py | AC-15 | PASS |
+| TC-18 | Нерегресс нотификаций + деградация для enduro-trails | test_notify_done_regression.py | AC-16, AC-17 | PASS |
+
+Все 18 TC из тест-плана — PASS. Целевые модули: **57 passed**.
+
+## Покрытие acceptance criteria
+AC-1..AC-18 — все покрыты соответствующими TC и зелёные. AC-17 (полный набор) подтверждён
+прогоном всего пакета.
+
+## Вывод pytest (полный регресс)
+
+```
+$ python -m pytest tests/ -v --tb=short
+...
+======================= 907 passed, 1 warning in 22.36s ========================
+```
+
+Единственный warning — пре-существующий `PydanticDeprecatedSince20` в `src/config.py:4`
+(не относится к ORCH-067, не регресс).
+
+Целевые модули задачи:
+```
+$ python -m pytest tests/test_tracker_bump_default.py tests/test_tracker_status_line.py \
+    tests/test_tracker_issue_link.py tests/test_plane_issue_link.py \
+    tests/test_notify_issue_links.py tests/test_notify_done_regression.py -q
+57 passed, 1 warning in 1.39s
+```
+
+## Итог
+**PASS** — 907/907 тестов зелёные, все 18 TC и AC-1..AC-18 выполнены, smoke API OK,
+нерегресс для enduro-trails подтверждён. Задача готова к переходу на `deploy-staging`.

docs/work-items/ORCH-067/14-deploy-log.md

@@ -0,0 +1,12 @@
+---
+deploy_status: SUCCESS
+work_item: ORCH-067
+hook_exit_code: 0
+deployed_by: deploy-finalizer
+---
+
+# Deploy log — ORCH-036 executable self-deploy
+
+Прод-деплой завершён хост-хуком с exit-code `0` -> `deploy_status: SUCCESS`.
+
+Вердикт зафиксирован детерминированным finalizer'ом (Фаза C), не LLM.

docs/work-items/ORCH-067/15-staging-log.md

@@ -0,0 +1,32 @@
+---
+staging_status: SUCCESS
+timestamp: 2026-06-08T10:32:02Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+Staging test suite completed. All REAL checks passed (8/10), the two
+sandbox-infra checks were waived per ORCH-061 → exit 0 → SUCCESS.
+
+Canonical run (ORCH-048, ADR-001) inside the staging container:
+
+```
+docker exec orchestrator-staging \
+  python3 /repos/orchestrator/scripts/staging_check.py \
+  --base-url http://localhost:8501 --mode stub
+```
+
+## Result: 8/10 checks PASS — VERDICT SUCCESS (exit 0)
+
+- Block A (SMOKE): A1 /health, A2 /queue, A3 ORCH_STAGING=true — PASS
+- Block B (ACCESS): B4 Plane sandbox, B5 Gitea push, B6 registry isolation — PASS
+- Block C (E2E, stub): C7 create issue, C8 trigger pipeline — PASS
+
+REAL failed: none
+
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+
+Cleanup completed: test Plane SANDBOX issue deleted (HTTP 204), no branch created to delete.

docs/work-items/ORCH-067/16-post-deploy-log.md

@@ -0,0 +1,14 @@
+---
+post_deploy_status: HEALTHY
+action_taken: NONE
+work_item: ORCH-067
+window_s: 900
+checks_total: 30
+checks_failed: 0
+---
+
+# Post-deploy log — ORCH-021 post-deploy monitor
+
+Наблюдение прода завершено: `post_deploy_status: HEALTHY`, `action_taken: NONE`.
+
+Окно наблюдения: 900s; опросов всего: 30, из них с провалом: 0.

docs/work-items/ORCH-071/00-business-request.md

@@ -0,0 +1,7 @@
+# Business Request: CRIT BUG: фантомный merge — деплой без слияния в main
+
+Work Item ID: ORCH-071
+
+## Description
+
+TBD

docs/work-items/ORCH-071/01-brd.md

@@ -0,0 +1,53 @@
+# BRD — ORCH-071: Фантомный merge — деплой без слияния в main
+
+## 1. Контекст и тип
+- **Тип:** BUG CRITICAL (целостность `main` / надёжность деплоя, self-hosting).
+- **Обнаружено:** Слава + Стрим, 2026-06-08, при разборе «ORCH-067 не подхватился».
+- **Постмортем:** `docs/history/LESSONS_2026-06-08_phantom-merge.md`.
+- **Подозрение на регресс:** ORCH-065 (idempotent merge / lease-reclaim) — последний честный merge (PR#66).
+- **Связано:** восстановление текущего `main` ведётся ОТДЕЛЬНО (ветка `integ/restore-main-2026-06-08`); эта задача — ROOT-FIX, чтобы фантом не повторялся.
+
+## 2. Проблема (бизнес-формулировка)
+Self-deploy (Phase B) для self-hosting репо `orchestrator` собирает прод-образ из ВЕТКИ задачи и рапортует `finalize SUCCESS` + post-deploy `HEALTHY`, **но git-merge ветки в `main` НЕ происходит**. PR остаётся `open`. Следующая задача срезает свою ветку от устаревшего `main` → теряет код незалитых предшественников.
+
+Накопительно потеряны в `main`: **ORCH-022, 059, 066, 068** (PR#67/68/69/70 — open). Последний реально слитый — ORCH-065 (PR#66).
+
+## 3. Подтверждённый root cause (по результатам код-аудита)
+Гипотеза A постмортема подтверждена аудитом кода ветки:
+
+1. **В `src/` НЕТ кода, выполняющего merge PR в `main`** (`grep` по `pulls/.../merge`, `/merge`, `merge_pr` — 0 совпадений). Фактический merge выполняет ТОЛЬКО LLM-агент `deployer` через Bash в начале стадии `deploy` (см. `.openclaw/agents/deployer.md`).
+2. Для self-hosting (`orchestrator`) стадия `deploy` оркеструется **детерминированным кодом** (`stage_engine._handle_self_deploy_phase_b` → `self_deploy.initiate_deploy` → finalizer `run_deploy_finalizer`), и агент `deployer` **НЕ запускается** (так предписывает `deployer.md`). Detached host-процесс делает retag staging-образа на прод-тег + рестарт 8500. **Ни одна фаза A/B/C не вызывает merge ветки в `main`.**
+3. `run_deploy_finalizer` маппит exit-code хука `0→SUCCESS`, пишет `14-deploy-log.md` и вызывает `advance_stage(..., finished_agent="deployer")`. Гейт `check_deploy_status` читает только `deploy_status:` из артефакта → `SUCCESS → done`. **Состояние `main` нигде не верифицируется.**
+
+Итог: для self-hosting путь `deploy` структурно НЕ содержит шага merge-в-main, а `done` достигается исключительно по deploy-маркеру. «Зелёный» деплой + здоровый прод (образ из рабочей ветки) маскируют отсутствие merge — сигнала о проблеме нет, пока следующая задача не потеряет код предшественника.
+
+Вторичный фактор (усиливает риск даже если merge добавить наивно): Phase B **рестартит прод-контейнер**, поэтому любой держатель merge-lease / незавершённый git-шаг внутри процесса умирает до завершения merge (урок №3 постмортема).
+
+## 4. Бизнес-цели
+| ID | Цель |
+|----|------|
+| **G1** | Деплой ВЕРИФИЦИРУЕТ, что задеплоенный commit реально влит в `main` ПОСЛЕ деплоя (deployed SHA — предок `origin/main` ИЛИ `PR.merged==true`). Иначе — alert, задача НЕ `done`. |
+| **G2** | Задача → `done` ТОЛЬКО при подтверждённом merge (`PR.merged==true`); маркеров `finalize`/`post-deploy` недостаточно. |
+| **G3** | Merge в `main` завершается и подтверждается ДО рестарта прод-контейнера, ЛИБО merge вынесен в шаг, переживающий рестарт (паттерн `requeue_running_jobs` для merge-в-main). |
+| **G4** | Диагностический runbook (4 проверки из постмортема) — в `docs/operations`. |
+
+## 5. Не-цели
+- Не менять source-of-truth (Plane), схему БД.
+- Не отменять self-hosting safety (no auto-rollback / no-restart-others) — наоборот, усилить верификацией.
+- Восстановление текущего `main` (долив 022/059/066/068) — ОТДЕЛЬНАЯ ветка `integ/restore-main-2026-06-08`, вне scope.
+
+## 6. Инварианты (обязательны к соблюдению)
+| ID | Инвариант |
+|----|-----------|
+| **INV-1** | **never-raise** на шаге верификации — при ошибке шлётся alert, не падение процесса/конвейера. |
+| **INV-2** | self-hosting safety: верификация НЕ рестартит и НЕ роняет прод-контейнер `orchestrator` (8500), не трогает другие проекты. |
+| **INV-3** | Ручной approve прод-деплоя (триггер «Confirm Deploy», ORCH-059) сохранён — новая логика не вводит авто-деплой. |
+| **INV-4** | Никогда не делать force-push / прямой push в `main`; merge только через PR-merge API Gitea (как у deployer-агента сегодня). |
+| **INV-5** | Идемпотентность: повторный прогон (re-drive/reaper/двойной webhook) не делает второй merge и не ломает контракты (опора на `pr_already_merged`, ORCH-065). |
+
+## 7. Заинтересованные стороны
+- **Owner** — одобряет прод-деплой («Confirm Deploy»), получает alert при «deployed but not merged».
+- **Все проекты на инстансе** (enduro-trails) — косвенно: целостность `main` орка влияет на инструмент, обслуживающий их из общей БД/очереди.
+
+## 8. Критерий успеха (бизнес-уровень)
+После доработки невозможно состояние «задача `done` + прод задеплоен, а PR `open` / commit не в `main`»: либо merge подтверждён и задача `done`, либо задача НЕ `done` и поднят alert «deploy succeeded but not merged». Воспроизведение исходного сценария на staging показывает, что `main` реально получает commit.

docs/work-items/ORCH-071/02-trz.md

@@ -0,0 +1,78 @@
+# ТЗ — ORCH-071: Верификация merge-в-main как условие done
+
+> Документ фиксирует ТРЕБОВАНИЯ к изменениям (WHAT). Конкретный дизайн (HOW: новый
+> leaf-модуль vs расширение существующего, где разместить шаг merge, формат
+> sentinel'ов) — за архитектором (ADR `06-adr/`). ТЗ задаёт инварианты, точки
+> врезки и контракты, которые дизайн обязан удовлетворить.
+
+## 0. Резюме root cause (вход для дизайна)
+Для self-hosting (`orchestrator`) стадия `deploy` идёт детерминированным путём
+`_handle_self_deploy_phase_b → initiate_deploy → run_deploy_finalizer`, который
+**не содержит шага merge PR в `main`** (merge делает только LLM-`deployer`, не
+запускаемый на self-hosting). `done` достигается по `deploy_status: SUCCESS` без
+верификации `main`. Требуется: (A) выполнить/докатить merge в `main` детерминированно
+до перехода в `done`; (B) верифицировать факт merge ПОСЛЕ деплоя; (C) запретить
+`done` без подтверждённого merge.
+
+## 1. Задействованные модули `src/`
+| Модуль | Роль в фиксе | Характер изменения |
+|--------|--------------|--------------------|
+| `src/stage_engine.py` | `run_deploy_finalizer` (Phase C), терминал-блок `next_stage == "done"`, `_handle_self_deploy_phase_b` | Врезка шага merge-в-main + пост-merge верификация; блокировка перехода в `done` при неподтверждённом merge. |
+| `src/merge_gate.py` | Уже содержит `pr_already_merged` (ORCH-065, read-only guard) | Добавить детерминированный **merge-актор** для self-hosting (выполнить merge PR через Gitea API) + helper верификации «SHA предок `origin/main`». Опора на существующие `pid_alive`/`reclaim_stale_lease`. |
+| `src/self_deploy.py` | Sentinel-state Phase A/B/C | Возможный новый sentinel-маркер `merged` (restart-safe), если дизайн выносит merge в отдельный переживающий рестарт шаг (G3). |
+| `src/qg/checks.py` | Реестр `QG_CHECKS`, `check_deploy_status` | Возможный новый под-чек верификации merge (например `check_merged_to_main`) ЛИБО усиление условия перехода `deploy→done`. `check_deploy_status` НЕ менять по контракту парсинга. |
+| `src/config.py` | Флаги | Новый kill-switch (напр. `merge_verify_enabled` / `merge_verify_repos`), таймауты merge/verify. Дефолт — область self-hosting (как ORCH-35/43/58). |
+| `.openclaw/agents/deployer.md` | Промпт deployer'а (non-self merge) | Уточнить: для self-hosting merge выполняет детерминированный код; non-self путь без изменений. |
+| `src/main.py` (`/queue`) | Наблюдаемость | Опционально: блок/счётчики верификации merge (`merge_verified_total`, `not_merged_alerts_total`). |
+
+## 2. Функциональные требования
+
+### FR-1 (G3) — Детерминированный merge-в-main для self-hosting
+- Для self-hosting репо merge PR ветки в `main` ДОЛЖЕН выполняться **детерминированным кодом** (не LLM-агентом), т.к. `deployer`-агент на self-hosting `deploy` не запускается.
+- Merge выполняется через **Gitea PR-merge API** (как сегодня делает агент), НИКОГДА не force-push / не прямой push в `main` (INV-4).
+- ПЕРЕД merge консультироваться `merge_gate.pr_already_merged(repo, branch)` — уже слит → no-op (INV-5, переиспользовать ORCH-065).
+- **G3 — порядок относительно рестарта:** merge ДОЛЖЕН быть завершён и подтверждён ДО рестарта прод-контейнера, ЛИБО вынесен в шаг, переживающий рестарт (паттерн `requeue_running_jobs`/finalizer-defer): если процесс умер во время Phase B, шаг merge докатывается после рестарта (re-drive finalizer'а или отдельный merge-job). Дизайн выбирает один из двух вариантов; выбранный обязан быть restart-safe (sentinel/jobs, без миграции БД — §4).
+
+### FR-2 (G1) — Пост-деплой верификация merge
+- ПОСЛЕ деплоя (в Phase C / финализации, ДО фиксации `done`) выполнить детерминированную верификацию: задеплоенный commit (validated SHA) — **предок `origin/main`** (`git merge-base --is-ancestor <sha> origin/main`) **ИЛИ** `PR.merged == true` (Gitea API).
+- Верификация **never-raise** (INV-1): любая ошибка git/HTTP → трактуется как «не подтверждено» → alert, НЕ падение.
+- При неподтверждённой верификации — **alert** «deploy succeeded but not merged» (Telegram + Plane-коммент) и задача **НЕ переходит в `done`** (FR-3).
+
+### FR-3 (G2) — `done` только при подтверждённом merge
+- Переход `deploy → done` для self-hosting ДОЛЖЕН быть обусловлен подтверждённым merge (verify из FR-2 зелёный). Наличие `deploy_status: SUCCESS` + post-deploy `HEALTHY` — **недостаточно**.
+- При `SUCCESS`-маркере деплоя, но неподтверждённом merge: задача удерживается (не `done`), Plane-статус — не терминальный (например текущий `Deploying`/`Awaiting` или `Blocked` по решению дизайна), шлётся alert. Конвейер НЕ откатывается на `development` автоматически из-за not-merged (это инфраструктурный, не код-дефект) — реакция = alert + ручное вмешательство (согласовать с дизайном; по умолчанию ALERT-only, как ORCH-021 self-hosting).
+
+### FR-4 (G4) — Диагностический runbook
+- В `docs/operations/` добавить runbook с 4 проверками из постмортема (метод однозначной локализации фантома):
+  1. Gitea API: список PR + флаги `merged`.
+  2. md5 прод-файлов vs `git show origin/main:<file>`.
+  3. `git merge-base` ветки vs `main`.
+  4. Таймлайн деплой-логов.
+- Включить готовые команды (copy-paste) и критерий «фантом подтверждён».
+
+### FR-5 — Условность раската (как ORCH-35/43/58)
+- Новая логика merge+verify реальна для self-hosting (`is_self_hosting_repo` / `merge_verify_repos`); прочие репо — поведение БЕЗ изменений (non-self merge остаётся за агентом `deployer`).
+- Kill-switch (env, дефолт `true`) → `false` восстанавливает строго прежнее поведение.
+
+## 3. Изменения API
+- **Внешний HTTP API сервиса (`/health`, `/status`, `/queue`, `/webhook/*`) — без новых endpoint'ов.** Допустимо обогащение ответа `GET /queue` блоком наблюдаемости merge-verify (счётчики), по образцу блоков `reaper`/`post_deploy`.
+- **Gitea API (исходящие вызовы):** новый детерминированный вызов `POST /repos/{owner}/{repo}/pulls/{index}/merge` (merge-актор, FR-1) + чтение `GET /repos/{owner}/{repo}/pulls?...` (уже используется в `pr_already_merged`). Через существующий httpx-клиент и `settings.gitea_*`.
+
+## 4. Изменения схемы БД
+- **НЕТ.** Schema-changes запрещены (не-цель). Restart-safe состояние нового шага merge — через sentinel-файлы (`.deploy-state-<repo>/<wi>/`, как ORCH-036) и/или существующую очередь `jobs` (finalizer-defer). Колонка `jobs.pid` (ORCH-065) уже есть, при необходимости переиспользуется.
+
+## 5. Требования к новым QG checks
+- Допускается ввести детерминированный под-чек верификации merge (напр. `check_merged_to_main`), регистрируемый в `QG_CHECKS`, ЛИБО встроить верификацию как условие в логику перехода `deploy→done` без нового чека — на усмотрение дизайна. В любом случае:
+  - Контракт `check_deploy_status` / `_parse_deploy_status` (читает только `deploy_status:` frontmatter) **НЕ меняется**.
+  - `STAGE_TRANSITIONS` **НЕ меняется** (verify — это условие/под-гейт ребра/финализации, не новая стадия).
+  - Вердикт (если артефакт) — строго YAML-frontmatter (канон гейтов), never проза.
+
+## 6. Артефакты, создаваемые/обновляемые по pipeline
+- `14-deploy-log.md` — существующий; дизайн может добавить поле статуса merge (напр. `merged_to_main: true|false`) во frontmatter (машиночитаемо), не ломая `deploy_status:`.
+- Новый runbook в `docs/operations/` (FR-4).
+- **Обязательно (CLAUDE.md §2):** обновить `docs/architecture/README.md` (раздел Phase B / merge-gate / executable self-deploy — описать новый merge+verify шаг), `CHANGELOG.md`, при сквозном решении — ADR (`docs/work-items/ORCH-071/06-adr/ADR-001-*.md` и/или global `docs/architecture/adr/`).
+
+## 7. Совместимость / регресс
+- Happy-path не-self репо (enduro-trails): merge остаётся за агентом `deployer` → поведение без изменений.
+- Happy-path self-hosting: при штатном merge задача `done` ставится как раньше (после добавления verify, который зелёный).
+- Все существующие контракты неизменны: `STAGE_TRANSITIONS`, реестр `QG_CHECKS` (кроме возможного нового under-чека), `check_deploy_status`, БАГ-8, terminal-sync, merge-gate (ORCH-043), `Confirm Deploy` (ORCH-059), exit-коды хука (0/1/2), схема БД.

docs/work-items/ORCH-071/03-acceptance-criteria.md

@@ -0,0 +1,61 @@
+# Критерии приёмки — ORCH-071
+
+Формат: каждый критерий имеет явное условие PASS/FAIL. Машинные вердикты — из артефактов/состояния, не из прозы.
+
+## AC-1 (G1) — Пост-деплой верификация: not-merged ⇒ не done + alert
+- **Условие:** после Phase B/финализации, если задеплоенный commit НЕ влит в `origin/main` (не предок `origin/main` И `PR.merged != true`).
+- **PASS:** задача НЕ переходит в `done`; шлётся alert «deploy succeeded but not merged» (Telegram + Plane-коммент).
+- **FAIL:** задача стала `done` при неслитом PR ИЛИ alert не отправлен.
+
+## AC-2 (G2) — done только при PR.merged==true (mock-тест)
+- **Условие:** SUCCESS-маркеры деплоя присутствуют (`deploy_status: SUCCESS`), но PR `open` (`merged=false`).
+- **PASS:** переход в `done` НЕ выполняется (тест на mock Gitea: PR open → done не ставится).
+- **FAIL:** задача переведена в `done`.
+
+## AC-3 (G3) — Merge подтверждён до/независимо от рестарта (smoke)
+- **Условие:** симулирован рестарт контейнера во время Phase B (процесс/держатель merge умер до завершения merge).
+- **PASS:** после рестарта merge докатывается (re-drive finalizer / merge-job, как `requeue_running_jobs`), `main` получает commit, верификация зелёная → задача `done`.
+- **FAIL:** после рестарта merge не докатился, задача `done` без merge ИЛИ навсегда зависла без alert.
+
+## AC-4 (регресс) — Happy-path
+- **Условие:** merge прошёл штатно, `PR.merged==true`, deploy `SUCCESS`, верификация зелёная.
+- **PASS:** `done` ставится как раньше (терминал-sync/Plane-статус как сегодня для self-hosting), без лишних alert.
+- **FAIL:** регрессия — happy-path не доходит до `done` или шлёт ложный not-merged alert.
+
+## AC-4b (регресс) — non-self репо без изменений
+- **Условие:** деплой репо enduro-trails (не self-hosting).
+- **PASS:** merge выполняет агент `deployer` (прежний путь), новая детерминированная merge/verify-логика — no-op для не-self.
+- **FAIL:** изменилось поведение non-self деплоя.
+
+## AC-5 — Зелёный pytest + документация
+- **PASS:** `pytest tests/ -q` зелёный; обновлены `CHANGELOG.md`, `docs/architecture/README.md` (раздел Phase B / merge-verify) и runbook (`docs/operations/`).
+- **FAIL:** красные тесты ИЛИ документация/CHANGELOG/runbook не обновлены (reviewer → REQUEST_CHANGES, CLAUDE.md §6).
+
+## AC-6 — Воспроизведение исходного сценария на staging
+- **Условие:** на staging провести задачу до деплоя.
+- **PASS:** проверить (методом runbook), что `main` реально получил commit задачи (PR merged / SHA предок `origin/main`).
+- **FAIL:** прод/«done» достигнуты, а `main` не получил commit.
+
+## AC-7 (INV-1) — never-raise на верификации
+- **Условие:** verify сталкивается с ошибкой git/HTTP (Gitea недоступна, битый ref).
+- **PASS:** функция возвращает «не подтверждено» → alert, процесс/конвейер НЕ падает (исключение не пробрасывается).
+- **FAIL:** исключение из verify валит finalizer/advance_stage.
+
+## AC-8 (INV-2) — self-hosting safety
+- **Условие:** шаг верификации/merge исполняется для `orchestrator`.
+- **PASS:** verify/merge НЕ рестартят и НЕ роняют прод-контейнер 8500, не трогают другие проекты; merge — только PR-merge API, без push в `main`.
+- **FAIL:** verify/merge перезапускает прод ИЛИ делает прямой/force push в `main`.
+
+## AC-9 (INV-5) — идемпотентность повторного прогона
+- **Условие:** re-drive стадии `deploy` / повторный webhook / reaper-requeue при уже слитом PR.
+- **PASS:** `pr_already_merged` → merge не повторяется (no-op), верификация зелёная, нет дубль-merge/ошибки Gitea, нет ложного БАГ-8 отката.
+- **FAIL:** второй merge / merge-error / ложный откат.
+
+## AC-10 (FR-5) — kill-switch
+- **Условие:** kill-switch новой merge/verify-логики выключен (`false`).
+- **PASS:** строго прежнее поведение (1:1 до фикса).
+- **FAIL:** при выключенном флаге логика всё равно срабатывает.
+
+## AC-11 (INV-3) — ручной approve сохранён
+- **PASS:** прод-деплой по-прежнему запускается только статусом «Confirm Deploy» (ORCH-059); merge/verify не вводят авто-деплой.
+- **FAIL:** деплой/merge запускается без человеческого триггера.

docs/work-items/ORCH-071/04-test-plan.yaml

@@ -0,0 +1,103 @@
+work_item: ORCH-071
+title: "Верификация merge-в-main как условие done (фантомный merge)"
+notes: >
+  Тесты детерминированные, без LLM. Gitea/PR-состояние и git-операции мокаются
+  (monkeypatch httpx / subprocess / merge_gate helpers). Цель — закрыть AC-1..AC-11.
+  Все новые функции верификации/merge соблюдают never-raise.
+
+tests:
+  # --- FR-2 / G1 / AC-1: пост-деплой верификация merge ---
+  - id: TC-01
+    type: unit
+    description: "verify_merged_to_main возвращает True, когда deployed SHA — предок origin/main (git merge-base --is-ancestor rc=0)"
+    module: tests/test_merge_verify.py
+    expected: PASS
+  - id: TC-02
+    type: unit
+    description: "verify_merged_to_main возвращает True, когда PR.merged==true (Gitea mock), даже если git-проверка недоступна"
+    module: tests/test_merge_verify.py
+    expected: PASS
+  - id: TC-03
+    type: unit
+    description: "verify_merged_to_main возвращает False, когда SHA не предок origin/main И PR.merged==false (фантом)"
+    module: tests/test_merge_verify.py
+    expected: PASS
+  - id: TC-04
+    type: unit
+    description: "never-raise (AC-7): ошибка git/HTTP в verify -> False (не подтверждено), исключение не пробрасывается"
+    module: tests/test_merge_verify.py
+    expected: PASS
+
+  # --- FR-3 / G2 / AC-2: done только при подтверждённом merge ---
+  - id: TC-05
+    type: integration
+    description: "Phase C finalizer: deploy_status=SUCCESS но PR open -> задача НЕ переходит в done, шлётся alert 'deploy succeeded but not merged'"
+    module: tests/test_deploy_finalizer_merge_gate.py
+    expected: PASS
+  - id: TC-06
+    type: integration
+    description: "Phase C finalizer: deploy_status=SUCCESS и merge подтверждён -> задача переходит в done (happy-path, AC-4)"
+    module: tests/test_deploy_finalizer_merge_gate.py
+    expected: PASS
+
+  # --- FR-1 / AC-9: детерминированный merge-актор + идемпотентность ---
+  - id: TC-07
+    type: unit
+    description: "merge-актор self-hosting вызывает Gitea POST /pulls/{index}/merge, когда PR не слит; никакого push/force-push в main"
+    module: tests/test_merge_actor.py
+    expected: PASS
+  - id: TC-08
+    type: unit
+    description: "идемпотентность (AC-9): pr_already_merged==True -> merge-актор no-op (нет второго merge, нет ошибки Gitea)"
+    module: tests/test_merge_actor.py
+    expected: PASS
+  - id: TC-09
+    type: unit
+    description: "merge-актор never-raise: ошибка Gitea API -> (False, reason), исключение не пробрасывается"
+    module: tests/test_merge_actor.py
+    expected: PASS
+
+  # --- FR-1 G3 / AC-3: merge переживает рестарт ---
+  - id: TC-10
+    type: integration
+    description: "smoke (AC-3): симуляция смерти процесса во время Phase B -> re-drive finalizer/merge-job докатывает merge после 'рестарта', main получает commit, verify зелёная -> done"
+    module: tests/test_deploy_restart_merge_recovery.py
+    expected: PASS
+
+  # --- FR-5 / AC-10: условность раската ---
+  - id: TC-11
+    type: unit
+    description: "AC-4b: для non-self репо (enduro-trails) новая merge/verify-логика = no-op (merge остаётся за агентом deployer)"
+    module: tests/test_merge_verify.py
+    expected: PASS
+  - id: TC-12
+    type: unit
+    description: "AC-10: kill-switch выключен -> строго прежнее поведение (verify/merge не выполняются)"
+    module: tests/test_merge_verify.py
+    expected: PASS
+
+  # --- INV-2 / AC-8: self-hosting safety ---
+  - id: TC-13
+    type: unit
+    description: "AC-8: путь merge/verify не вызывает рестарт прод-контейнера и не делает прямой/force push в main (проверка отсутствия соответствующих вызовов)"
+    module: tests/test_merge_actor.py
+    expected: PASS
+
+  # --- INV-3 / AC-11: ручной approve сохранён ---
+  - id: TC-14
+    type: integration
+    description: "AC-11: Phase B запускается только при confirm_deploy=True ('Confirm Deploy'); merge/verify не вводят авто-деплой (обычный Approved -> no-op)"
+    module: tests/test_deploy_finalizer_merge_gate.py
+    expected: PASS
+
+  # --- Регресс существующих контрактов ---
+  - id: TC-15
+    type: unit
+    description: "регресс: check_deploy_status / _parse_deploy_status неизменны (читают только deploy_status: frontmatter)"
+    module: tests/test_qg_checks.py
+    expected: PASS
+  - id: TC-16
+    type: unit
+    description: "регресс: STAGE_TRANSITIONS и реестр QG_CHECKS не сломаны (deploy->done ребро на месте)"
+    module: tests/test_stages.py
+    expected: PASS

docs/work-items/ORCH-071/06-adr/ADR-001-merge-verify-gate.md

@@ -0,0 +1,186 @@
+# ADR-001 (ORCH-071): Детерминированный merge-в-main + пост-деплой верификация как условие `done`
+
+## Статус
+Accepted
+
+## Контекст
+
+### Подтверждённый root cause (постмортем `docs/history/LESSONS_2026-06-08_phantom-merge.md`)
+Для self-hosting репо `orchestrator` стадия `deploy` идёт **детерминированным** путём
+`stage_engine._handle_self_deploy_phase_b → self_deploy.initiate_deploy →
+run_deploy_finalizer`, а LLM-агент `deployer` **не запускается** (так предписывает
+`.openclaw/agents/deployer.md`). Фактический merge PR в `main` исторически выполнял
+**только** агент `deployer` через Bash/curl. Следствие: на self-hosting пути **нет ни
+одного шага, выполняющего git-merge ветки в `main`** (аудит: `grep` по
+`pulls/.../merge` в `src/` — 0 совпадений).
+
+Detached host-процесс (Phase B) лишь **retag staging-образа на прод-тег + рестарт 8500**.
+`run_deploy_finalizer` маппит exit-code хука `0 → SUCCESS`, пишет `14-deploy-log.md`,
+вызывает `advance_stage(..., finished_agent="deployer")`; гейт `check_deploy_status`
+читает только `deploy_status:` → `SUCCESS → done`. **Состояние `main` нигде не
+верифицируется.** «Зелёный» деплой (прод-образ собран из рабочей ветки) маскирует
+отсутствие merge — сигнала нет, пока следующая задача не срежет ветку от устаревшего
+`main` и не потеряет код предшественника. Накопительно потеряны ORCH-022/059/066/068.
+
+Вторичный фактор (урок №3): Phase B **рестартит прод-контейнер**, поэтому любой
+держатель merge-lease / незавершённый git-шаг ВНУТРИ живого процесса умирает до
+завершения merge. Значит наивно «добавить merge в Phase B» (живой старый контейнер,
+который вот-вот рестартует) — снова гонка с рестартом.
+
+### Требования (из ТЗ/BRD)
+- **G1/FR-2** — пост-деплой верификация: deployed SHA — предок `origin/main` ИЛИ `PR.merged==true`.
+- **G2/FR-3** — `done` ТОЛЬКО при подтверждённом merge; `deploy_status: SUCCESS` + post-deploy `HEALTHY` — недостаточно.
+- **G3/FR-1** — merge детерминированным кодом (агент не запускается), через Gitea PR-merge API; завершён ДО рестарта ЛИБО вынесен в шаг, переживающий рестарт.
+- **INV-1** never-raise; **INV-2** не рестартить/не ронять прод; **INV-3** ручной approve сохранён; **INV-4** только PR-merge API, никогда push/force-push в `main`; **INV-5** идемпотентность (`pr_already_merged`).
+- **НЕ менять:** `STAGE_TRANSITIONS`, `check_deploy_status`/`_parse_deploy_status`, схему БД, source-of-truth.
+
+## Решение
+
+Вводим **детерминированный merge-актор + пост-merge верификацию** как **под-гейт ребра
+`deploy → done`**, врезанный в `advance_stage`. Это симметрично существующим edge-под-гейтам
+(security/merge-gate/image-freshness на ребре `deploy-staging → deploy`): `STAGE_TRANSITIONS`
+не меняется, новый под-гейт — условие финализации, а не новая стадия.
+
+### D1. Точка врезки — `advance_stage`, ребро `deploy → done` (единая для ВСЕХ путей)
+Врезка `_handle_merge_verify(...)` в `src/stage_engine.py::advance_stage` **после** успешного
+прохождения QG (`check_deploy_status == SUCCESS`, т.е. `next_stage == "done"`) и **до**
+`update_task_stage(task_id, next_stage)`:
+
+```python
+# --- ORCH-071 merge-verify under-gate (deploy -> done edge) ---
+if current_stage == "deploy" and next_stage == "done":
+    if _handle_merge_verify(task_id, repo, work_item_id, branch, result):
+        return result   # HOLD: merge не подтверждён -> alert, НЕ done, НЕ rollback
+```
+
+`advance_stage` — **единственная** функция перехода стадий. Её вызывают `run_deploy_finalizer`
+(Phase C), reconciler F-1 (`finished_agent=None`), job-reaper (re-drive). Врезка именно здесь
+**гейтит ВСЕ пути единообразно**: ни один из них не сможет довести `deploy → done` без
+подтверждённого merge. Это закрывает скрытую дыру: reconciler F-1 предоценивает
+`check_deploy_status` read-only и при зелёном вызывает `advance_stage` — без врезки он бы
+протолкнул `done` в обход merge.
+
+### D2. Когда выполняется merge — в Phase C (после рестарта), а НЕ в Phase B
+Merge выполняется внутри `_handle_merge_verify`, т.е. на ребре `deploy → done`, которое
+достигается **из `run_deploy_finalizer` уже в НОВОМ контейнере после рестарта прода**. Это
+осознанный выбор в пользу второго варианта G3 («шаг, переживающий рестарт»):
+
+- Phase B лишь **диспетчеризует** detached-деплой (`ssh` возвращается мгновенно), рестарт прода
+  происходит асинхронно на хосте. Merge в Phase B (живой старый контейнер) **гонялся бы** с
+  рестартом и мог быть убит на полушаге — ровно постмортем-урок №3. Поэтому merge в Phase B
+  **отвергнут**.
+- Phase C finalizer уже **restart-surviving**: это reserved-agent job `deploy-finalizer`,
+  переставляемый с defer и **claim'ится воркером нового контейнера** после рестарта; если новый
+  контейнер умрёт на полушаге merge — job re-drive'ится (reaper/requeue), а `pr_already_merged`
+  делает повтор идемпотентным. Merge физически происходит **строго ПОСЛЕ** рестарта → рестарт
+  его не убивает. G3 удовлетворён.
+
+### D3. Merge-актор — `src/merge_gate.py::merge_pr(repo, branch) -> (bool, str)`
+Новый детерминированный merge-актор (рядом с `pr_already_merged`/`pid_alive`/`reclaim_stale_lease`):
+1. `pr_already_merged(repo, branch)` → `True` → **no-op** `(True, "already-merged")` (INV-5/AC-9).
+2. Иначе `GET /repos/{owner}/{repo}/pulls?state=open&head=<branch>` → индекс открытого PR.
+3. `POST /repos/{owner}/{repo}/pulls/{index}/merge` (Do: `merge`) через существующий httpx-клиент
+   и `settings.gitea_*`. Никогда не push/force-push в `main` (INV-4/AC-8).
+4. **never-raise** (INV-1): любая HTTP/parse-ошибка → `(False, reason)`; нет открытого PR при
+   `pr_already_merged==False` → `(False, "no open PR")`.
+
+Работает под merge-lease, который уже **удерживается** этой задачей с merge-gate ребра
+`deploy-staging → deploy` (Phase A held-across-wait) и освобождается на `done`/откате
+(существующий `release_merge_lease`, ORCH-043) либо реклеймится по смерти держателя (ORCH-065).
+Сериализация слияний сохранена без новой блокировки.
+
+### D4. Верификатор — `src/merge_gate.py::verify_merged_to_main(repo, branch, sha) -> bool`
+Возвращает `True`, если merge подтверждён (FR-2):
+- `pr_already_merged(repo, branch) is True`  **ИЛИ**
+- `git merge-base --is-ancestor <sha> origin/main` в worktree задачи (после `git fetch origin main`),
+  где `<sha>` — validated commit = `git rev-parse HEAD` worktree (тот же якорь, что
+  `image_freshness.validated_revision`).
+
+**never-raise** (INV-1/AC-7): любая git/HTTP-ошибка → `False` (= «не подтверждено» → alert + HOLD,
+fail-closed для `done`). Исключение НИКОГДА не пробрасывается в `advance_stage`.
+
+### D5. `_handle_merge_verify` (оркестрация под-гейта, `src/stage_engine.py`)
+Возвращает `True` (вмешался → HOLD, не advance) / `False` (merge подтверждён → штатный advance в `done`):
+1. Условность: `merge_verify_applies(repo)` (см. D7) `False` → вернуть `False` (поведение 1:1 как раньше).
+2. `sha = validated_revision(...)`; `merge_gate.merge_pr(repo, branch)` (no-op если уже слит).
+3. `ok = merge_gate.verify_merged_to_main(repo, branch, sha)`.
+4. `ok==True`:
+   - дописать `merged_to_main: true` во frontmatter `14-deploy-log.md` (машиночитаемая
+     наблюдаемость; `deploy_status:` НЕ трогаем — контракт парсинга `check_deploy_status`
+     неизменен), вернуть `False` → `advance_stage` штатно ведёт `deploy → done`
+     (терминал-sync/post-deploy-monitor как сегодня; AC-4).
+5. `ok==False`:
+   - **alert** «deploy succeeded but not merged» — Telegram + Plane-коммент;
+   - `set_issue_blocked(work_item_id)` (Plane не-терминальный; согласовано с ORCH-066
+     DEGRADED→Blocked и deploy-finalize-exhausted);
+   - дописать `merged_to_main: false`; **НЕ** `update_task_stage` (задача остаётся на `deploy`),
+     **НЕ** откат на `development` (not-merged — инфра-дефект, не код; FR-3 → ALERT-only, как
+     ORCH-021 self-hosting);
+   - вернуть `True`.
+   Повтор (re-drive/reaper) переоценит: после ручного устранения merge подтвердится → `done`.
+
+Вся функция обёрнута never-raise: внутренняя ошибка → трактуется как «не подтверждено» (HOLD+alert),
+не падение конвейера.
+
+### D6. Идемпотентность (INV-5/AC-9)
+- Перед merge — `pr_already_merged` (no-op повтор).
+- `verify` зелёный для уже-слитого PR (ветвь `pr_already_merged is True`).
+- Повторный прогон ребра `deploy → done` (двойной webhook / reaper / reconciler): merge no-op,
+  verify зелёный, нет дубль-merge, нет ложного БАГ-8 отката.
+
+### D7. Условность раската (FR-5/AC-10) — `src/config.py`
+Новые флаги (паттерн `merge_gate_*`/`image_freshness_*`):
+- `merge_verify_enabled: bool = True` — глобальный kill-switch; `False` → строго прежнее
+  поведение (`_handle_merge_verify` сразу `False`, 1:1 до фикса).
+- `merge_verify_repos: str = ""` — CSV; пусто → реально ТОЛЬКО для self-hosting
+  (`is_self_hosting_repo`); непусто → только перечисленные.
+- (опц.) `merge_pr_timeout_s` / `merge_verify_timeout_s` — таймауты Gitea/git.
+
+`merge_verify_applies(repo)` — never-raise, зеркало `self_deploy_applies` / `image_freshness`.
+Non-self репо (enduro-trails): под-гейт — **no-op**, merge остаётся за агентом `deployer` (AC-4b).
+
+### D8. Наблюдаемость (опц., FR §2/§3)
+Блок `merge_verify` в `GET /queue` (по образцу `reaper`/`post_deploy`): `enabled`,
+`merge_verified_total`, `not_merged_alerts_total`, `last_alert_wi`. Каждый alert → `logger.warning`
++ Telegram.
+
+### D9. Диагностический runbook (G4/FR-4)
+`docs/operations/PHANTOM_MERGE_RUNBOOK.md` — 4 проверки постмортема с copy-paste командами:
+(1) Gitea API список PR + `merged`-флаги; (2) md5 прод-файлов vs `git show origin/main:<file>`;
+(3) `git merge-base` ветки vs `main`; (4) таймлайн деплой-логов. + критерий «фантом подтверждён».
+
+## Что НЕ меняется (контракты)
+`STAGE_TRANSITIONS`; `check_deploy_status`/`_parse_deploy_status` (читают только `deploy_status:`);
+реестр `QG_CHECKS` (под-гейт — врезка в `advance_stage`, НЕ новый зарегистрированный QG, как
+`_handle_merge_gate`); схема БД (restart-safe состояние — существующие sentinel'ы
+`.deploy-state-<repo>/<wi>/` + очередь `jobs`); БАГ-8; terminal-sync; merge-gate (ORCH-043);
+image-freshness (ORCH-058); `Confirm Deploy` (ORCH-059); post-deploy monitor (ORCH-021);
+exit-коды хука (0/1/2); ручной approve прод-деплоя (INV-3). Non-self merge — за агентом `deployer`.
+
+## Последствия
+
+**Плюсы**
+- Невозможно состояние «`done` + прод задеплоен, а PR `open`»: либо merge подтверждён → `done`,
+  либо HOLD + alert (G2/критерий успеха BRD §8).
+- Единая врезка в `advance_stage` гейтит ВСЕ пути (finalizer/reconciler/reaper) — нет обходных
+  дверей к `done`.
+- Merge в restart-surviving Phase C структурно не убивается рестартом прода (G3, урок №3).
+- Минимальный blast-radius: `STAGE_TRANSITIONS`/`check_deploy_status`/схема БД/реестр QG — нетронуты;
+  раскат за kill-switch.
+
+**Минусы / ограничения**
+- При недоступной Gitea verify консервативно даёт `False` → возможен ложный not-merged alert и
+  HOLD; снимается повтором после восстановления Gitea (приемлемо: fail-closed для `done` важнее).
+- HOLD при not-merged требует ручного вмешательства (ALERT-only) — осознанно (not-merged —
+  инфра-дефект, авто-откат на `development` запрещён FR-3).
+- Появляется реальный исходящий merge-вызов из кода — должно покрываться mock-тестами Gitea
+  (AC-2) и smoke рестарта (AC-3).
+
+## Альтернативы (отвергнуто)
+- **Merge в Phase B (до рестарта).** Гонка с асинхронным рестартом прода → merge может быть убит
+  на полушаге (постмортем-урок №3). Отвергнуто в пользу restart-surviving Phase C.
+- **Новый зарегистрированный QG `check_merged_to_main` на стадии `deploy`.** У стадии один QG
+  (`check_deploy_status`); второй потребовал бы менять `STAGE_TRANSITIONS`/контракт. Врезка
+  под-гейта в `advance_stage` (как merge-gate) даёт тот же охват без изменения реестра.
+- **Авто-откат на `development` при not-merged.** Запрещено FR-3: not-merged — инфра-дефект,
+  не код; реакция = alert + ручное вмешательство.

docs/work-items/ORCH-071/07-infra-requirements.md

@@ -0,0 +1,47 @@
+# 07 — Требования к инфраструктуре (ORCH-071)
+
+## Топология — без изменений
+Новой топологии не вводится. Прод `orchestrator` (8500) и staging (8501) — как есть.
+Merge выполняется детерминированным кодом в уже существующем restart-surviving Phase C
+finalizer (новый контейнер после рестарта), без новых сервисов/портов/контейнеров.
+
+## I-1. Gitea токен с правом merge PR (предусловие)
+Merge-актор `merge_gate.merge_pr` вызывает `POST /repos/{owner}/{repo}/pulls/{index}/merge`
+через существующий клиент и `settings.gitea_token` / `settings.gitea_url` / `settings.gitea_owner`.
+- Требование: тот же `gitea_token`, которым агент `deployer` сегодня мержит PR в `main`,
+  ДОЛЖЕН иметь право write/merge на репо `orchestrator`. Так как deployer уже мержит этим
+  токеном — **новых прав, как правило, не требуется** (тот же токен, тот же путь API).
+- Действие при раскате: убедиться, что бот-токен — член/коллаборатор репо `orchestrator`
+  с правом merge (иначе merge_pr вернёт HTTP-ошибку → never-raise → HOLD+alert, не падение).
+
+## I-2. Сетевой доступ контейнера к Gitea
+Контейнер прода уже ходит в Gitea API (`pr_already_merged`, webhooks). Дополнительного
+сетевого доступа не нужно. При недоступности Gitea verify консервативно даёт «не
+подтверждено» → HOLD+alert (fail-closed для `done`).
+
+## I-3. Доступ к `origin/main` из worktree задачи
+Верификатор делает `git fetch origin main` + `git merge-base --is-ancestor <sha> origin/main`
+в worktree задачи (как `image_freshness`/merge-gate уже делают `git fetch`/`rebase`).
+Предусловие — рабочий git-remote `origin` в worktree (есть сегодня). Ошибка fetch →
+never-raise → `False` → HOLD+alert.
+
+## I-4. Конфигурация (env, дефолты безопасны)
+| Флаг | Дефолт | Назначение |
+|------|--------|------------|
+| `ORCH_MERGE_VERIFY_ENABLED` | `true` | kill-switch; `false` → строго прежнее поведение (1:1 до фикса) |
+| `ORCH_MERGE_VERIFY_REPOS` | `""` | CSV; пусто → только self-hosting (`orchestrator`) |
+| `ORCH_MERGE_PR_TIMEOUT_S` (опц.) | напр. 30 | таймаут merge-вызова Gitea |
+| `ORCH_MERGE_VERIFY_TIMEOUT_S` (опц.) | напр. 60 | таймаут git fetch/merge-base |
+
+Дефолты не требуют изменения `.env` для штатного раската (область = self-hosting).
+Откатить фикс мгновенно можно `ORCH_MERGE_VERIFY_ENABLED=false`.
+
+## I-5. Раскат через staging-гейт (self-hosting safety)
+Изменение касается self-deploy пути орка → раскат ОБЯЗАН пройти стадию `deploy-staging`
+(8501) перед прод-деплоем (CLAUDE.md §self-hosting). Прод-деплой — только переводом задачи
+в статус `Confirm Deploy` (ORCH-059), ручной approve сохранён (INV-3). Никаких рестартов
+прода в рамках разработки/ревью.
+
+## I-6. Без миграции БД
+Schema-changes запрещены. Restart-safe состояние нового шага — существующие sentinel'ы
+`.deploy-state-<repo>/<wi>/` + очередь `jobs` (колонка `jobs.pid`, ORCH-065, уже есть).

docs/work-items/ORCH-071/10-tech-risks.md

@@ -0,0 +1,23 @@
+# 10 — Технические риски (ORCH-071)
+
+| ID | Риск | Вероятность / Влияние | Митигация |
+|----|------|----------------------|-----------|
+| R-1 | **Гонка merge с рестартом прода** (постмортем-урок №3): merge в Phase B убивается рестартом → снова фантом. | Средняя / Критич. | Merge вынесен в **Phase C finalizer** (restart-surviving, новый контейнер ПОСЛЕ рестарта). Merge физически строго после рестарта. Smoke-тест AC-3. |
+| R-2 | **Обходной путь к `done`** мимо merge-шага (reconciler F-1 / reaper протолкнут `deploy → done` по зелёному `check_deploy_status`). | Средняя / Критич. | Врезка `_handle_merge_verify` в **`advance_stage`** (единственная функция перехода) → гейтит ВСЕ вызывающие пути единообразно. |
+| R-3 | **Ложный not-merged alert при недоступной Gitea** (verify→`False`) → лишний HOLD. | Средняя / Низкое | Осознанный fail-closed для `done`; снимается повтором (re-drive/reconciler) после восстановления Gitea. Alert информативен, не роняет конвейер. |
+| R-4 | **Дубль-merge / merge-error** при re-drive (двойной webhook, reaper-requeue). | Средняя / Среднее | `pr_already_merged` ПЕРЕД merge → no-op повтор (INV-5/AC-9). Ложного БАГ-8 отката нет (merge-verify не откатывает). |
+| R-5 | **Прямой/force push в `main`** случайно. | Низкая / Критич. | Merge ТОЛЬКО через Gitea PR-merge API (`merge_pr`); код не делает `git push origin main`. INV-4/AC-8, ревью. |
+| R-6 | **Verify/merge роняет прод-контейнер** (self-hosting). | Низкая / Критич. | merge_pr/verify — только API + read-only git в worktree; никаких `docker`/restart 8500. INV-2/AC-8. |
+| R-7 | **Регрессия non-self деплоя** (enduro-trails). | Низкая / Среднее | Условность `merge_verify_applies` (пусто→self-hosting); non-self — no-op, merge остаётся за `deployer`. AC-4b. |
+| R-8 | **HOLD-залипание**: not-merged → Blocked, никто не вмешался → задача вечно не `done`. | Средняя / Среднее | Alert (Telegram+Plane) + Plane `Blocked` (видимый сигнал). Реакция ALERT-only осознанна (not-merged — инфра-дефект, авто-откат запрещён FR-3). Runbook G4 для быстрой локализации. |
+| R-9 | **Validated SHA рассинхронизирован** (verify проверяет не тот коммит). | Низкая / Среднее | Единый якорь `validated_revision` (`git rev-parse HEAD` worktree) — тот же, что у image-freshness ORCH-058. |
+| R-10 | **Exception из verify валит finalizer/advance_stage**. | Низкая / Высокое | never-raise контракт на всех публичных хелперах + обёртка `_handle_merge_verify`. AC-7. |
+| R-11 | **Merge ветки, чей deploy FAILED** (если бы merge был до verify статуса). | — / — | Merge выполняется на ребре `deploy → done`, достигаемом ТОЛЬКО при `deploy_status: SUCCESS`. FAILED → БАГ-8 откат ДО merge-шага (merge не вызывается). |
+
+## Открытые вопросы / follow-up
+- **Merge-style** (`merge` / `rebase` / `squash`) в Gitea API — зафиксировать тот же стиль,
+  что использовал агент `deployer` (по умолчанию `merge`), чтобы не менять историю `main`.
+- **Восстановление текущего `main`** (долив 022/059/066/068) — ОТДЕЛЬНАЯ ветка
+  `integ/restore-main-2026-06-08`, вне scope ORCH-071.
+- **Полный авто-деплой** (ORCH-54) — merge-verify совместим, но INV-3 (ручной approve) на
+  старте сохраняется.

docs/work-items/ORCH-071/12-review.md

@@ -0,0 +1,51 @@
+---
+type: review
+work_item_id: ORCH-071
+verdict: APPROVED
+version: 2
+---
+
+# Review ORCH-071
+
+## Summary
+Фикс «фантомного merge» реализован архитектурно корректно и полно: детерминированный
+merge-актор (`merge_gate.merge_pr`) + пост-деплой верификатор (`merge_gate.verify_merged_to_main`)
+как под-гейт ребра `deploy → done`, врезанный в единственную точку перехода
+`advance_stage` (`_handle_merge_verify`) — гейтит ВСЕ пути к `done` (finalizer Phase C,
+reconciler F-1, job-reaper re-drive). Merge выполняется в restart-surviving Phase C (G3),
+ТОЛЬКО через Gitea PR-merge API (INV-4, без push/force-push в `main`), идемпотентно
+(`pr_already_merged`, INV-5). Условность раската и kill-switch по образцу ORCH-35/43/58,
+never-raise контракты соблюдены на всех публичных функциях и в самой врезке.
+
+Все FR-1..FR-5 и AC-1..AC-11 покрыты содержательными тестами (verify true/false/never-raise,
+PR-merged short-circuit, kill-switch, non-self no-op, restart-recovery smoke с двухпроходным
+re-drive). `pytest tests/ -q` зелёный (853 passed). Код соответствует ADR-001 (D1–D9) и
+глобальному adr-0013, `STAGE_TRANSITIONS` / `check_deploy_status` / реестр `QG_CHECKS` /
+схема БД — не тронуты.
+
+**Прежний блокер (v1) устранён:** `CHANGELOG.md` теперь содержит запись ORCH-071 в
+`## [Unreleased] → ### Added` (коммит `ca69ad4`). Документация обновлена полностью.
+
+## Findings
+
+### P0 — Blocker
+- (нет)
+
+### P1 — Must fix
+- (нет)
+
+### P2 — Should fix
+- (нет; `.openclaw/agents/deployer.md` про self-hosting явно не уточнён, но TRZ §1 помечает
+  это как «возможное» изменение, а non-self merge-путь по ADR не меняется — не блокер.)
+
+## Документация
+- `CHANGELOG.md` — ✅ обновлён: запись ORCH-071 (под-гейт, merge-актор, верификация, kill-switch,
+  ссылки на ADR/runbook/тесты).
+- `docs/architecture/README.md` — ✅ раздел «Merge-в-main + пост-деплой верификация как условие
+  `done` (ORCH-071)»: врезка, Phase C, merge-актор, верификатор, условность, инварианты.
+- `docs/architecture/adr/adr-0013-merge-verify-gate.md` — ✅ global ADR создан.
+- `docs/work-items/ORCH-071/06-adr/ADR-001-merge-verify-gate.md` — ✅ детальный ADR (D1–D9).
+- `docs/operations/PHANTOM_MERGE_RUNBOOK.md` — ✅ runbook: 4 проверки постмортема с copy-paste
+  командами + критерий «фантом подтверждён» + remediation (FR-4/D9).
+
+Задача соответствует ТЗ, ADR и правилам документирования (CLAUDE.md §2/§6). APPROVED.

docs/work-items/ORCH-071/13-test-report.md

@@ -0,0 +1,70 @@
+---
+type: test-report
+work_item_id: ORCH-071
+result: PASS
+---
+
+# Test Report — ORCH-071
+
+Верификация merge-в-main как условие `done` (фантомный merge).
+
+## Окружение
+- Python: 3.12.13
+- pytest: 8.3.3
+- Ветка: `feature/ORCH-071-crit-bug-merge-main` (HEAD `d72b1f5`)
+- Review verdict: APPROVED (`12-review.md`)
+- Дата: 2026-06-08
+
+## Smoke test API (prod 8500, read-only)
+| Endpoint | Результат |
+|----------|-----------|
+| `GET /health` | PASS — `{"status":"ok","service":"orchestrator"}` |
+| `GET /status` | PASS — отдаёт активные задачи (ORCH-071 на стадии testing) |
+| `GET /queue` | PASS — counts/resilience/reconcile/reaper/post_deploy в норме, breaker=closed, preflight_ok |
+
+## Результаты по тест-плану (`04-test-plan.yaml`)
+
+| TC ID | Описание | Тест | Результат |
+|-------|----------|------|-----------|
+| TC-01 | verify True: deployed SHA — предок origin/main | test_tc01_verify_true_when_sha_is_ancestor | PASS |
+| TC-02 | verify True: PR.merged==true даже без git | test_tc02_verify_true_when_pr_merged_even_without_git | PASS |
+| TC-03 | verify False: фантом (не предок И merged==false) | test_tc03_verify_false_when_phantom | PASS |
+| TC-04 | never-raise (AC-7): ошибка git/HTTP → False | test_tc04_verify_never_raises_on_git_error / _http_error | PASS |
+| TC-05 | finalizer: SUCCESS но PR open → НЕ done + alert | test_tc05_success_but_not_merged_holds_and_alerts | PASS |
+| TC-06 | finalizer: SUCCESS + merge подтверждён → done | test_tc06_success_and_merged_reaches_done | PASS |
+| TC-07 | merge-актор зовёт Gitea POST /pulls/{i}/merge | test_tc07_merge_actor_calls_gitea_merge | PASS |
+| TC-08 | идемпотентность: already_merged → no-op | test_tc08_idempotent_already_merged / _no_open_pr_is_not_an_error | PASS |
+| TC-09 | merge-актор never-raise: ошибка Gitea → (False, reason) | test_tc09_never_raise_on_http_error / _non_2xx_is_false | PASS |
+| TC-10 | smoke (AC-3): рестарт в Phase B → re-drive докатывает merge → done | test_tc10_merge_recovers_after_restart | PASS |
+| TC-11 | non-self репо: новая логика = no-op | test_tc11_non_self_repo_does_not_apply / _csv_scopes_to_listed_repos | PASS |
+| TC-12 | kill-switch off → прежнее поведение | test_tc12_kill_switch_disables_under_gate | PASS |
+| TC-13 | self-hosting safety: нет shell-out / force-push в main | test_tc13_no_shell_out_no_force_push | PASS |
+| TC-14 | Phase B только при confirm_deploy=True; Approved → no-op | test_tc14_plain_approved_on_deploy_is_noop_no_merge / _confirm_deploy_initiates_phase_b | PASS |
+| TC-15 | регресс: check_deploy_status / _parse_deploy_status неизменны | test_tc15_* (7 кейсов) | PASS |
+| TC-16 | регресс: STAGE_TRANSITIONS / QG_CHECKS, deploy→done на месте | test_tc16_* (4 кейса) | PASS |
+
+Покрыты все критерии приёмки AC-1..AC-11 (`03-acceptance-criteria.md`).
+
+## Целевой прогон модулей ORCH-071
+```
+tests/test_merge_verify.py ................ 8 passed
+tests/test_merge_actor.py ................. 6 passed
+tests/test_deploy_finalizer_merge_gate.py . 4 passed
+tests/test_deploy_restart_merge_recovery.py 1 passed
+tests/test_qg_checks.py ................... 13 passed
+tests/test_stages.py ...................... 4 passed
+======================== 36 passed, 1 warning in 0.61s =========================
+```
+
+## Полный регресс
+```
+pytest tests/ -v --tb=short
+======================= 853 passed, 1 warning in 22.77s ========================
+```
+(1 warning — PydanticDeprecatedSince20 в `src/config.py`, не связан с задачей.)
+
+## Итог
+**PASS** — все 853 теста зелёные, целевые 36 тестов ORCH-071 (TC-01..TC-16) PASS,
+smoke API (health/status/queue) OK. Регрессы существующих контрактов
+(`STAGE_TRANSITIONS`, `QG_CHECKS`, `check_deploy_status`) не выявлены.
+Задача готова к переходу на `deploy-staging`.

docs/work-items/ORCH-071/15-staging-log.md

@@ -0,0 +1,23 @@
+---
+staging_status: SUCCESS
+timestamp: 2026-06-08T08:44:30Z
+base_url: http://localhost:8501
+---
+
+# Staging Gate Log
+
+Staging test suite completed against the live `orchestrator-staging` instance (port 8501),
+run canonically inside the container via `docker exec` (ORCH-048, ADR-001), `--mode stub`.
+
+**Result: 8/10 checks PASS — exit code 0 → SUCCESS.**
+
+All REAL (pipeline) checks green: A1–A3 (smoke), B4–B6 (access/registry isolation),
+C7–C8 (E2E issue create + pipeline trigger). The two failing checks are known
+sandbox-infra-only checks, tolerated per ORCH-061 (real checks all green):
+
+```
+INFRA-WAIVED: C9a Branch appears in orchestrator-sandbox, C9b Analyst job enqueued in staging queue (known sandbox-infra; real checks green)
+VERDICT: SUCCESS (exit 0) — SUCCESS (infra-waived): ['C9a Branch appears in orchestrator-sandbox', 'C9b Analyst job enqueued in staging queue'] are known sandbox-infra checks; all real checks green
+```
+
+Tolerance flag: `staging_infra_tolerance_enabled=True`. Exit code 0 → `staging_status: SUCCESS`.

src/agents/launcher.py

@@ -682,8 +682,8 @@ class AgentLauncher:
                     "\u274c Deploy FAILED (smoke/healthcheck). Rolled back. Developer \u043d\u0443\u0436\u0435\u043d \u0434\u043b\u044f \u0444\u0438\u043a\u0441\u0430.",
                     author="deployer",
                 )
-                from ..notifications import send_telegram
-                send_telegram(f"\U0001f6a8 {_wid}: Deploy failed! Rolled back. Needs fix.")
+                from ..notifications import send_telegram, link_for
+                send_telegram(f"\U0001f6a8 {link_for(_wid)}: Deploy failed! Rolled back. Needs fix.")
 
         # Notify on startup timeout (exit_code from kill = -9 or 137)
         if exit_code != 0 and exit_code not in (None,):
@@ -695,8 +695,8 @@ class AgentLauncher:
             conn.close()
             if task_row and agent != "deployer":  # deployer handled above
                 _tid, _wid = task_row
-                from ..notifications import send_telegram
-                send_telegram(f"\u26a0\ufe0f {_wid}: Agent {agent} failed (exit_code={exit_code}). Check logs: /app/data/runs/{run_id}.log")
+                from ..notifications import send_telegram, link_for
+                send_telegram(f"\u26a0\ufe0f {link_for(_wid, _tid)}: Agent {agent} failed (exit_code={exit_code}). Check logs: /app/data/runs/{run_id}.log")
 
         # Feature 4 + ORCH-016: post the unified per-agent status comment under
         # that agent's bot, threading the wall-clock duration we just measured

src/config.py

@@ -374,17 +374,53 @@ class Settings(BaseSettings):
     reaper_finalize_grace_s: int = 300
     lease_reclaim_enabled: bool = True
 
+    # ORCH-071: merge-verify under-gate on the `deploy -> done` edge. For the
+    # self-hosting repo the `deploy` stage runs the DETERMINISTIC self-deploy path
+    # (Phase A/B/C), where the LLM `deployer` agent — historically the ONLY actor
+    # that merged the feature PR into `main` — never runs. Result: a "green" deploy
+    # could reach `done` while the PR stayed `open` (phantom merge, postmortem
+    # LESSONS_2026-06-08). This under-gate (врезка in advance_stage, NOT a new
+    # STAGE_TRANSITIONS edge or registered QG) runs a deterministic merge-actor +
+    # post-deploy verification before `done`: not-merged -> alert + HOLD (no done),
+    # merged -> normal advance. Mirrors merge_gate_* / image_freshness_* rollout.
+    #   merge_verify_enabled  -> global kill-switch; False -> strictly the prior
+    #                            behaviour (no merge/verify), env ORCH_MERGE_VERIFY_ENABLED.
+    #   merge_verify_repos    -> CSV of repos where the under-gate is REAL; empty ->
+    #                            only the self-hosting repo (orchestrator). Mirrors
+    #                            merge_gate_repos / self_deploy_repos.
+    #   merge_pr_timeout_s    -> per Gitea merge/list HTTP call timeout.
+    #   merge_verify_timeout_s-> git fetch/merge-base timeout for the ancestor check.
+    merge_verify_enabled: bool = True
+    merge_verify_repos: str = ""
+    merge_pr_timeout_s: int = 60
+    merge_verify_timeout_s: int = 60
+
     # Telegram notifications
     telegram_bot_token: str = ""
     telegram_chat_id: str = ""
 
     # ORCH-042: режим live-трекера задачи.
-    #   edit -> карточка редактируется на месте (editMessageText), ДЕФОЛТ (как было).
-    #   bump -> при обновлении старое сообщение удаляется и карточка отправляется
-    #           заново вниз чата (deleteMessage + sendMessage + repoint message_id),
-    #           тихо (disable_notification). Одна карточка на задачу в обоих режимах.
-    # Неизвестное/пустое значение трактуется как edit (см. notifications).
-    tracker_mode: str = "edit"
+    #   bump (ДЕФОЛТ с ORCH-067) -> при обновлении старое сообщение удаляется и
+    #           карточка отправляется заново вниз чата (deleteMessage + sendMessage
+    #           + repoint message_id), тихо (disable_notification).
+    #   edit -> карточка редактируется на месте (editMessageText); доступен через
+    #           ORCH_TRACKER_MODE=edit.
+    #   Одна карточка на задачу в обоих режимах. Неизвестное/пустое значение
+    #   трактуется как edit (см. notifications).
+    tracker_mode: str = "bump"
+
+    # ORCH-067 (ADR Р-2/Р-3/Р-4): best-effort live-overlay для статус-строки
+    # карточки. Дорисовывает ветки Plane-статуса, неотличимые offline по
+    # tasks.stage (Needs Input / Blocked / Rejected / Cancelled / Deploying /
+    # Monitoring after Deploy) — читая ЖИВОЙ Plane-статус с коротким таймаутом и
+    # TTL-кэшем. Offline-ядро (stage -> статус, In Review из brd-clock) работает
+    # всегда без сети; overlay лишь дополняет его и НИКОГДА не блокирует конвейер.
+    #   tracker_live_status         -> kill-switch (False -> только offline-ядро).
+    #   tracker_live_status_ttl_s   -> TTL per-issue кэша live-uuid (защита hot-path).
+    #   tracker_live_status_timeout_s -> таймаут одного live-GET в пути рендера.
+    tracker_live_status: bool = True
+    tracker_live_status_ttl_s: int = 60
+    tracker_live_status_timeout_s: int = 3
 
     class Config:
         env_prefix = "ORCH_"

src/main.py

@@ -147,6 +147,7 @@ async def queue():
     from .reconciler import reconciler
     from .job_reaper import reaper
     from . import post_deploy
+    from . import merge_gate
     return {
         "counts": job_status_counts(),
         "max_concurrency": worker.max_concurrency,
@@ -155,5 +156,6 @@ async def queue():
         "reconcile": reconciler.status(),
         "reaper": reaper.status(),
         "post_deploy": post_deploy.status(),
+        "merge_verify": merge_gate.merge_verify_status(),
         "recent": recent_jobs(10),
     }

src/merge_gate.py

@@ -485,3 +485,193 @@ def pr_already_merged(repo: str, branch: str) -> bool:
     except Exception as e:  # noqa: BLE001 - never-raise contract
         logger.warning("pr_already_merged check failed for %s/%s: %s", repo, branch, e)
         return False
+
+
+# ---------------------------------------------------------------------------
+# ORCH-071: deterministic merge-actor + post-deploy merge verification.
+#
+# For the self-hosting repo the `deploy` stage runs the deterministic self-deploy
+# path (Phase A/B/C) and the LLM `deployer` agent — historically the ONLY actor
+# that merged the feature PR into `main` — never runs. These two helpers close the
+# "phantom merge" gap (LESSONS_2026-06-08): a deterministic actor merges the PR via
+# the Gitea PR-merge API (NEVER a push/force-push to main, INV-4) and a verifier
+# confirms `main` actually received the commit before the pipeline reaches `done`.
+# Both wire into the `deploy -> done` under-gate (stage_engine._handle_merge_verify).
+# ---------------------------------------------------------------------------
+
+# Lightweight in-process observability counters (D8). Reset only on process start;
+# surfaced read-only via `merge_verify_status()` in GET /queue. Never the source of
+# truth for any decision — purely informational.
+_MERGE_VERIFY_COUNTERS: dict = {
+    "merge_verified_total": 0,
+    "not_merged_alerts_total": 0,
+    "last_alert_wi": None,
+}
+
+
+def note_merge_verified() -> None:
+    """Bump the 'merge verified -> done' counter (observability only). Never raises."""
+    try:
+        _MERGE_VERIFY_COUNTERS["merge_verified_total"] += 1
+    except Exception:  # noqa: BLE001 - observability must never break a decision
+        pass
+
+
+def note_not_merged_alert(work_item_id: str | None) -> None:
+    """Bump the 'deploy succeeded but not merged' counter. Never raises."""
+    try:
+        _MERGE_VERIFY_COUNTERS["not_merged_alerts_total"] += 1
+        _MERGE_VERIFY_COUNTERS["last_alert_wi"] = work_item_id
+    except Exception:  # noqa: BLE001 - observability must never break a decision
+        pass
+
+
+def merge_verify_status() -> dict:
+    """Snapshot of the merge-verify under-gate for GET /queue. Never raises."""
+    try:
+        return {
+            "enabled": bool(settings.merge_verify_enabled),
+            "repos": settings.merge_verify_repos or "",
+            "merge_verified_total": _MERGE_VERIFY_COUNTERS["merge_verified_total"],
+            "not_merged_alerts_total": _MERGE_VERIFY_COUNTERS["not_merged_alerts_total"],
+            "last_alert_wi": _MERGE_VERIFY_COUNTERS["last_alert_wi"],
+        }
+    except Exception as e:  # noqa: BLE001 - never-raise contract
+        logger.warning("merge_verify_status error: %s", e)
+        return {"enabled": False}
+
+
+def merge_verify_applies(repo: str) -> bool:
+    """Whether the ORCH-071 merge-verify under-gate is REAL for this repo.
+
+    Mirrors ``self_deploy_applies`` / ``image_freshness_applies`` (FR-5 / AC-10):
+      * ``merge_verify_enabled=False`` -> always False (global kill-switch -> the
+        pipeline behaves exactly as before ORCH-071 for everyone).
+      * ``merge_verify_repos`` (CSV) non-empty -> real only for listed repos.
+      * empty CSV -> real ONLY for the self-hosting repo (``orchestrator``); other
+        repos keep the LLM-``deployer`` merge path unchanged (AC-4b).
+    Never raises (any error -> False = no-op, the safe default).
+    """
+    try:
+        if not settings.merge_verify_enabled:
+            return False
+        raw = (settings.merge_verify_repos or "").strip()
+        if raw:
+            allowed = {r.strip().lower() for r in raw.split(",") if r.strip()}
+            return (repo or "").strip().lower() in allowed
+        # Lazy import keeps this a leaf-ish module (qg.checks imports merge_gate lazily).
+        from .qg.checks import is_self_hosting_repo
+        return is_self_hosting_repo(repo)
+    except Exception as e:  # noqa: BLE001 - never-raise contract
+        logger.warning("merge_verify_applies error for %s: %s", repo, e)
+        return False
+
+
+def merge_pr(repo: str, branch: str) -> tuple[bool, str]:
+    """Deterministically merge the open PR for ``branch`` via the Gitea PR-merge API.
+
+    The self-hosting deterministic merge-actor (FR-1 / D3). NEVER pushes or
+    force-pushes ``main`` (INV-4/AC-8) — the ONLY mutation is the Gitea
+    ``POST /pulls/{index}/merge`` call, exactly what the LLM ``deployer`` used to do
+    on non-self repos.
+
+    Algorithm:
+      1. ``pr_already_merged`` -> True -> no-op ``(True, "already-merged")`` (INV-5/AC-9).
+      2. ``GET /repos/{owner}/{repo}/pulls?state=open`` -> the open PR whose head ref
+         == ``branch`` -> its index. No open PR -> ``(False, "no open PR")``.
+      3. ``POST /repos/{owner}/{repo}/pulls/{index}/merge`` (Do: ``merge``) ->
+         200/201 -> ``(True, "merged PR #<n>")``; otherwise ``(False, "<reason>")``.
+
+    Never-raise (INV-1/AC-9 / TC-09): any HTTP/parse error -> ``(False, reason)``.
+    """
+    try:
+        if pr_already_merged(repo, branch):
+            logger.info("merge_pr: %s/%s already merged -> no-op", repo, branch)
+            return True, "already-merged"
+
+        import httpx
+        owner = settings.gitea_owner
+        headers = {"Authorization": f"token {settings.gitea_token}"}
+        base = f"{settings.gitea_url}/api/v1/repos/{owner}/{repo}"
+        timeout = settings.merge_pr_timeout_s
+
+        resp = httpx.get(
+            f"{base}/pulls", params={"state": "open"}, headers=headers, timeout=timeout
+        )
+        if resp.status_code != 200:
+            return False, f"list PRs failed: HTTP {resp.status_code}"
+        index = None
+        for pr in resp.json() or []:
+            if pr.get("head", {}).get("ref") == branch:
+                index = pr.get("number")
+                break
+        if index is None:
+            return False, "no open PR"
+
+        m = httpx.post(
+            f"{base}/pulls/{index}/merge",
+            json={"Do": "merge"},
+            headers=headers,
+            timeout=timeout,
+        )
+        if m.status_code in (200, 201):
+            logger.info("merge_pr: merged PR #%s for %s/%s", index, repo, branch)
+            return True, f"merged PR #{index}"
+        detail = (m.text or "").strip()[:200]
+        logger.warning(
+            "merge_pr: merge failed for %s/%s PR #%s: HTTP %s %s",
+            repo, branch, index, m.status_code, detail,
+        )
+        return False, f"merge failed: HTTP {m.status_code}"
+    except Exception as e:  # noqa: BLE001 - never-raise contract
+        logger.warning("merge_pr unexpected error for %s/%s: %s", repo, branch, e)
+        return False, f"merge error: {e}"
+
+
+def verify_merged_to_main(repo: str, branch: str, sha: str) -> bool:
+    """Return True iff the deployed commit is confirmed merged into ``origin/main``.
+
+    Post-deploy verification (FR-2 / D4): the merge is confirmed when EITHER
+      * ``pr_already_merged(repo, branch)`` is True (Gitea ``PR.merged == true``), OR
+      * ``git merge-base --is-ancestor <sha> origin/main`` succeeds in the per-branch
+        worktree (after ``git fetch origin main``), i.e. the validated SHA is an
+        ancestor of the current ``origin/main``.
+
+    ``sha`` is the validated commit (``image_freshness.validated_revision`` =
+    worktree ``git rev-parse HEAD``). An empty ``sha`` makes the git branch
+    inconclusive (only the PR-merged branch can then confirm).
+
+    Never-raise (INV-1/AC-7 / TC-04): any git/HTTP error -> ``False`` (= "not
+    confirmed" -> fail-closed for ``done``: alert + HOLD). The exception is NEVER
+    propagated into ``advance_stage``.
+    """
+    try:
+        if pr_already_merged(repo, branch):
+            return True
+        if not sha:
+            logger.warning(
+                "verify_merged_to_main: empty SHA for %s/%s and PR not known-merged",
+                repo, branch,
+            )
+            return False
+        try:
+            wt = ensure_worktree(repo, branch)
+        except Exception as e:  # noqa: BLE001 - never-raise contract
+            logger.warning(
+                "verify_merged_to_main: worktree error for %s/%s: %s", repo, branch, e
+            )
+            return False
+        subprocess.run(
+            ["git", "-C", wt, "fetch", "origin", "main"],
+            capture_output=True, timeout=settings.merge_verify_timeout_s,
+        )
+        r = subprocess.run(
+            ["git", "-C", wt, "merge-base", "--is-ancestor", sha, "origin/main"],
+            capture_output=True, timeout=settings.merge_verify_timeout_s,
+        )
+        return r.returncode == 0
+    except Exception as e:  # noqa: BLE001 - never-raise contract
+        logger.warning(
+            "verify_merged_to_main unexpected error for %s/%s: %s", repo, branch, e
+        )
+        return False

src/notifications.py

@@ -307,7 +307,7 @@ def render_task_tracker(task_id: int) -> str:
         conn = get_db()
         task = conn.execute(
             "SELECT id, work_item_id, title, stage, created_at, updated_at, "
-            "brd_review_started_at, brd_review_ended_at "
+            "brd_review_started_at, brd_review_ended_at, repo, plane_issue_id "
             "FROM tasks WHERE id=?",
             (task_id,),
         ).fetchone()
@@ -358,13 +358,27 @@ def render_task_tracker(task_id: int) -> str:
             agent_seconds += d
 
     esc_title = html.escape(title)
+    # ORCH-067 (req 3): the issue number in the header is now a clickable link to
+    # the Plane issue (degrades to the escaped number when no web URL \u2014 fail-safe).
+    task_repo = _row_get(task, "repo")
+    task_issue_id = _row_get(task, "plane_issue_id")
+    num_html = plane_issue_link(work_item_id, plane_issue_id=task_issue_id, repo=task_repo)
     header = (
-        f"\U0001f389 {html.escape(work_item_id)} \u00b7 {esc_title} \u2014 \u0413\u041e\u0422\u041e\u0412\u041e"
+        f"\U0001f389 {num_html} \u00b7 {esc_title} \u2014 \u0413\u041e\u0422\u041e\u0412\u041e"
         if done
-        else f"\U0001f6e0\ufe0f {html.escape(work_item_id)} \u00b7 {esc_title}"
+        else f"\U0001f6e0\ufe0f {num_html} \u00b7 {esc_title}"
     )
     bar = "\u2501" * 22
-    lines = [header, bar]
+    # ORCH-067 (req 2): a Plane-status line (model ORCH-066) under the header.
+    # Built fail-safe: any error degrades to a stage default, never breaks render.
+    try:
+        status_label = _card_status_label(
+            task, repo=task_repo, plane_issue_id=task_issue_id
+        )
+    except Exception:
+        status_label = _DEFAULT_STATUS_LABEL
+    status_line = f"\U0001f4cd {status_label}"
+    lines = [header, status_line, bar]
 
     def _stage_line(label, run):
         usage = {
@@ -704,38 +718,276 @@ def _build_brd_link(repo, branch, work_item_id) -> str | None:
     )
 
 
+def _plane_issue_url(repo, plane_issue_id, project_id=None) -> str | None:
+    """ORCH-067 (Р-5): build the Plane issue browser URL, or None if unbuildable.
+
+    Single source of the URL + guards, shared by ``plane_issue_link`` (link text =
+    issue number) and ``_build_plane_issue_link`` (link text = '✅ Задача в Plane'),
+    so the project resolution and loopback-guard live in ONE place (ORCH-017 Р-2).
+
+    Full path: ``{web_base}/{workspace}/projects/{project_id}/issues/{issue_id}/``.
+    web_base = plane_web_url or plane_api_url; a loopback base counts as "no web
+    URL" -> None. ``project_id`` is taken explicitly when given, else resolved from
+    ``repo``. Never raises.
+    """
+    try:
+        s = _get_settings()
+        web_base = (
+            getattr(s, "plane_web_url", "") or getattr(s, "plane_api_url", "")
+        ).rstrip("/")
+        workspace = getattr(s, "plane_workspace_slug", "")
+        if not (web_base and workspace and plane_issue_id) or _is_loopback_base(web_base):
+            return None
+        if not project_id:
+            try:
+                from .projects import get_project_by_repo
+                project = get_project_by_repo(repo) if repo else None
+            except Exception:
+                project = None
+            project_id = getattr(project, "plane_project_id", "") if project else ""
+        if not project_id:
+            return None
+        return (
+            f"{web_base}/{workspace}/projects/{project_id}/issues/{plane_issue_id}/"
+        )
+    except Exception:
+        return None
+
+
 def _build_plane_issue_link(repo, plane_issue_id) -> str | None:
     """ORCH-017: '<a>' to the Plane issue browser page, or None if unusable.
 
-    Full path per ADR-001 Р-2:
-    ``{web_base}/{workspace_slug}/projects/{project_id}/issues/{issue_id}/``.
-    web_base = plane_web_url or plane_api_url (AC-3); a loopback base is treated
-    as "no web URL" and the link is omitted (loopback-guard, AC-2/AC-6).
+    Link text = '✅ Задача в Plane'. URL built by the shared ``_plane_issue_url``
+    (loopback / workspace / project guards, ADR-001 Р-2 / ORCH-067 Р-5).
     """
-    s = _get_settings()
-    web_base = (
-        getattr(s, "plane_web_url", "") or getattr(s, "plane_api_url", "")
-    ).rstrip("/")
-    workspace = getattr(s, "plane_workspace_slug", "")
-    if not (web_base and workspace and plane_issue_id) or _is_loopback_base(web_base):
+    url = _plane_issue_url(repo, plane_issue_id)
+    if not url:
         return None
-    try:
-        from .projects import get_project_by_repo
-        project = get_project_by_repo(repo) if repo else None
-    except Exception:
-        project = None
-    if not project or not getattr(project, "plane_project_id", ""):
-        return None
-    url = (
-        f"{web_base}/{workspace}/projects/{project.plane_project_id}"
-        f"/issues/{plane_issue_id}/"
-    )
     return (
         f'<a href="{html.escape(url, quote=True)}">'
         f"✅ Задача в Plane</a>"
     )
 
 
+def plane_issue_link(work_item_id, plane_issue_id=None, project_id=None, repo=None) -> str:
+    """ORCH-067 (Р-5): clickable issue number for cards / alerts.
+
+    Returns ``<a href=...>ORCH-NNN</a>`` when a Plane web URL can be built, else
+    ``html.escape(work_item_id)`` (number without a link). Never raises.
+
+    Link text is always ``html.escape(work_item_id)``; the href is built by the
+    shared ``_plane_issue_url`` (same loopback / workspace / project guards as the
+    '✅ Задача в Plane' link). On any missing piece -> the escaped number.
+    """
+    label = html.escape(str(work_item_id)) if work_item_id is not None else ""
+    try:
+        url = _plane_issue_url(repo, plane_issue_id, project_id)
+        if not url:
+            return label
+        return f'<a href="{html.escape(url, quote=True)}">{label}</a>'
+    except Exception:
+        return label
+
+
+def link_for(work_item_id, task_id=None) -> str:
+    """ORCH-067 (Р-6): clickable issue number for alert points that hold only a
+    ``work_item_id`` (or ``task_id``).
+
+    Resolves ``(repo, plane_issue_id)`` from the DB (by ``task_id`` when given,
+    else the latest task row for ``work_item_id``) and delegates to
+    ``plane_issue_link``. On any missing data -> ``html.escape(work_item_id)``.
+    Never raises.
+    """
+    if not work_item_id:
+        return html.escape(str(work_item_id)) if work_item_id is not None else ""
+    repo = None
+    plane_issue_id = None
+    try:
+        from .db import get_db
+        conn = get_db()
+        if task_id is not None:
+            row = conn.execute(
+                "SELECT repo, plane_issue_id FROM tasks WHERE id=?", (task_id,)
+            ).fetchone()
+        else:
+            row = conn.execute(
+                "SELECT repo, plane_issue_id FROM tasks WHERE work_item_id=? "
+                "ORDER BY id DESC LIMIT 1",
+                (work_item_id,),
+            ).fetchone()
+        conn.close()
+        if row:
+            repo = row["repo"]
+            plane_issue_id = row["plane_issue_id"]
+    except Exception as e:
+        logger.debug(f"link_for({work_item_id}) DB lookup failed: {e}")
+    return plane_issue_link(work_item_id, plane_issue_id=plane_issue_id, repo=repo)
+
+
+# --------------------------------------------------------------------------- #
+# ORCH-067: Plane status label for the live card (layer B indication, ADR Р-1)
+# --------------------------------------------------------------------------- #
+
+# Offline stage -> Plane status label. Names are the final ORCH-066 status names
+# (_PLANE_NAME_TO_KEY). Pure / deterministic — derived entirely from tasks.stage
+# (+ the brd-clock for In Review), NEVER from the network.
+_STAGE_STATUS_LABEL = {
+    "created": "To Analyse",
+    "analysis": "Analysis",
+    "architecture": "Architecture",
+    "development": "Development",
+    "review": "Code-Review",
+    "testing": "Testing",
+    "deploy": "⏸️ Awaiting Deploy — ожидание Confirm Deploy",
+    "done": "Done",
+}
+_DEFAULT_STATUS_LABEL = "To Analyse"
+_IN_REVIEW_LABEL = (
+    "⏸️ In Review — ожидание "
+    "согласования BRD"
+)
+
+# Live-overlay branch labels (keys not derivable offline from tasks.stage).
+_LIVE_BRANCH_LABELS = {
+    "needs_input": "❓ Needs Input — нужны уточнения",
+    "blocked": "Blocked",
+    "rejected": "Rejected",
+    "cancelled": "Cancelled",
+    "deploying": "Deploying",
+    "monitoring": "Monitoring after Deploy",
+}
+# ORCH-066 (Р-1 anti-false-positive): deploying/monitoring alias their BASE key's
+# UUID on a project without dedicated statuses (enduro). Override is applied ONLY
+# when the project really defined a SEPARATE UUID for the branch key.
+_LIVE_BRANCH_BASE = {
+    "deploying": "in_progress",
+    "monitoring": "done",
+}
+
+
+def _row_get(row, key, default=None):
+    """Safe sqlite3.Row / dict / object getter. Never raises."""
+    try:
+        return row[key]
+    except Exception:
+        try:
+            return getattr(row, key, default)
+        except Exception:
+            return default
+
+
+def plane_status_label(task_row) -> str:
+    """ORCH-067 (Р-1, layer 1): current Plane status label for the card header.
+
+    Pure / deterministic from the task row, NEVER hits the network, NEVER raises.
+    On unknown / broken input -> a safe stage default. ``⏸️ In Review`` and
+    ``⏸️ Awaiting Deploy`` are produced here (offline), so both work without a
+    network connection (AC-7, AC-8). Branch statuses that are indistinguishable
+    offline (Needs Input / Blocked / …) are drawn by ``_live_plane_branch_override``.
+    """
+    try:
+        stage = _row_get(task_row, "stage") or "created"
+    except Exception:
+        return _DEFAULT_STATUS_LABEL
+    try:
+        if stage == "analysis":
+            started = _row_get(task_row, "brd_review_started_at")
+            ended = _row_get(task_row, "brd_review_ended_at")
+            if started and not ended:
+                return _IN_REVIEW_LABEL
+        return _STAGE_STATUS_LABEL.get(stage, _DEFAULT_STATUS_LABEL)
+    except Exception:
+        return _DEFAULT_STATUS_LABEL
+
+
+# ORCH-067 (Р-3): per-issue TTL cache of the live state uuid -> {issue_id: (ts, uuid)}.
+_LIVE_STATE_CACHE: dict[str, tuple] = {}
+
+
+def _live_state_uuid_cached(plane_issue_id, project_id):
+    """ORCH-067 (Р-3/Р-4): TTL-cached single live-state read for the render path.
+
+    At most one ``fetch_issue_state`` per issue per ``tracker_live_status_ttl_s``
+    with a SHORT timeout. Never raises -> None on any failure.
+    """
+    try:
+        import time
+        s = _get_settings()
+        ttl = getattr(s, "tracker_live_status_ttl_s", 60)
+        now = time.monotonic()
+        hit = _LIVE_STATE_CACHE.get(plane_issue_id)
+        if hit is not None and (now - hit[0]) <= ttl:
+            return hit[1]
+        from .plane_sync import fetch_issue_state
+        timeout = getattr(s, "tracker_live_status_timeout_s", 3)
+        uuid = fetch_issue_state(plane_issue_id, project_id, timeout=timeout)
+        _LIVE_STATE_CACHE[plane_issue_id] = (now, uuid)
+        return uuid
+    except Exception as e:
+        logger.debug(f"_live_state_uuid_cached({plane_issue_id}) failed: {e}")
+        return None
+
+
+def _live_plane_branch_override(repo, plane_issue_id, base_label) -> str:
+    """ORCH-067 (Р-1 layer 2 / Р-2): best-effort live-status overlay.
+
+    Draws the branch statuses that are indistinguishable from ``tasks.stage``
+    offline (Needs Input / Blocked / Rejected / Cancelled / Deploying / Monitoring
+    after Deploy) by reading the LIVE Plane status (short timeout, TTL cache). Any
+    failure / disabled kill-switch / missing data -> ``base_label`` (offline). The
+    pipeline is NEVER blocked. Never raises.
+    """
+    try:
+        s = _get_settings()
+        if not getattr(s, "tracker_live_status", True):
+            return base_label
+        if not plane_issue_id:
+            return base_label
+        try:
+            from .projects import get_project_by_repo
+            project = get_project_by_repo(repo) if repo else None
+        except Exception:
+            project = None
+        project_id = getattr(project, "plane_project_id", "") if project else ""
+        if not project_id:
+            return base_label
+        live_uuid = _live_state_uuid_cached(plane_issue_id, project_id)
+        if not live_uuid:
+            return base_label
+        from .plane_sync import get_project_states
+        states = get_project_states(project_id)
+        for key, label in _LIVE_BRANCH_LABELS.items():
+            uuid = states.get(key)
+            if not uuid or uuid != live_uuid:
+                continue
+            base_key = _LIVE_BRANCH_BASE.get(key)
+            if base_key and states.get(base_key) == uuid:
+                # deploying/monitoring just alias their base key on this project
+                # (enduro / no dedicated status) -> not a real branch, don't override.
+                continue
+            return label
+        return base_label
+    except Exception as e:
+        logger.debug(f"_live_plane_branch_override failed: {e}")
+        return base_label
+
+
+def _card_status_label(task_row, repo=None, plane_issue_id=None) -> str:
+    """ORCH-067: full status label for the card = offline core + live overlay.
+
+    Precedence (Р-1): if the offline core resolved ``⏸️ In Review`` (brd-clock,
+    authoritative) the overlay is NOT consulted; otherwise the overlay may draw a
+    branch status. Never raises (AC-9).
+    """
+    try:
+        base = plane_status_label(task_row)
+        if base == _IN_REVIEW_LABEL:
+            return base
+        return _live_plane_branch_override(repo, plane_issue_id, base)
+    except Exception:
+        return _DEFAULT_STATUS_LABEL
+
+
 def notify_approve_requested(task_id: int):
     """ALERT (separate, notifying): BRD/TZ/AC ready -> flip Plane to Approved.
 
@@ -749,7 +1001,7 @@ def notify_approve_requested(task_id: int):
     except Exception as e:
         logger.warning(f"notify_approve_requested: brd clock start failed: {e}")
     msg = (
-        f"\U0001f4cb {html.escape(work_item_id)}: BRD/\u0422\u0417/AC \u0433\u043e\u0442\u043e\u0432\u044b. "
+        f"\U0001f4cb {link_for(work_item_id, task_id)}: BRD/\u0422\u0417/AC \u0433\u043e\u0442\u043e\u0432\u044b. "
         f"\u041f\u0435\u0440\u0435\u0432\u0435\u0434\u0438\u0442\u0435 \u0437\u0430\u0434\u0430\u0447\u0443 \u0432 \u0441\u0442\u0430\u0442\u0443\u0441 Approved "
         f"\u0432 Plane \u0434\u043b\u044f \u043f\u0440\u043e\u0434\u043e\u043b\u0436\u0435\u043d\u0438\u044f."
     )
@@ -783,8 +1035,14 @@ def notify_done(task_id: int):
 
 
 def notify_error(task_id: int, error: str):
-    """ALERT (separate, notifying): task error."""
+    """ALERT (separate, notifying): task error.
+
+    ORCH-067 (req 4): the issue number is a clickable Plane link (fail-safe ->
+    raw number) and the error text is html-escaped so it cannot break the <a>
+    markup under parse_mode=HTML (AC-14).
+    """
     work_item_id = _get_work_item_id(task_id) if task_id else "system"
-    msg = f"\U0001f534 {work_item_id}: ERROR \u2014 {error}"
+    num = link_for(work_item_id, task_id) if task_id else html.escape(work_item_id)
+    msg = f"\U0001f534 {num}: ERROR \u2014 {html.escape(str(error))}"
     logger.error(msg)
     send_telegram(msg)  # separate, notifying

src/plane_sync.py

@@ -402,7 +402,7 @@ def fetch_issue_sequence_id(issue_id: str, project_id: str) -> int | None:
         return None
 
 
-def fetch_issue_state(issue_id: str, project_id: str) -> str | None:
+def fetch_issue_state(issue_id: str, project_id: str, timeout: int = 10) -> str | None:
     """ORCH-060 (F-1 Guard 2): GET the Plane issue and return its current state uuid.
 
     Used by the reconciler to honour an explicit human gate: an issue a person
@@ -413,12 +413,16 @@ def fetch_issue_state(issue_id: str, project_id: str) -> str | None:
     Plane returns ``state`` as a bare uuid string; older shapes may nest it as a
     ``{"id": ...}`` dict — both are handled.
 
+    ORCH-067 (Р-4): ``timeout`` is optional (default 10s — unchanged for the
+    reconciler) so the tracker live-overlay can read with a SHORT timeout
+    (settings.tracker_live_status_timeout_s) on the synchronous render path.
+
     Returns None on network error, non-2xx, or a missing field — never raises, so
     the caller can apply its conservative fallback (treat as "possibly blocked").
     """
     url = f"{PLANE_BASE}/workspaces/{WORKSPACE}/projects/{project_id}/issues/{issue_id}/"
     try:
-        resp = httpx.get(url, headers=PLANE_HEADERS, timeout=10)
+        resp = httpx.get(url, headers=PLANE_HEADERS, timeout=timeout)
         resp.raise_for_status()
         state = resp.json().get("state")
         if isinstance(state, dict):

src/reconciler.py

@@ -67,7 +67,7 @@ from .plane_sync import (
     list_issues_by_state,
 )
 from .webhooks.plane import handle_status_start, handle_verdict
-from .notifications import send_telegram
+from .notifications import send_telegram, link_for
 from . import projects
 
 logger = logging.getLogger("orchestrator.reconciler")
@@ -447,7 +447,7 @@ class Reconciler:
         if settings.reconcile_notify_unblock:
             try:
                 send_telegram(
-                    f"\U0001f527 reconciler: {work_item_id} {stage} "
+                    f"\U0001f527 reconciler: {link_for(work_item_id)} {stage} "
                     f"разблокирована (потерян webhook)"
                 )
             except Exception as e:  # noqa: BLE001 - never break the tick

src/security_gate.py

@@ -670,9 +670,9 @@ def check_security_gate(repo: str, work_item_id: str, branch: str) -> tuple[bool
                 dep_result.detail,
             )
             try:
-                from .notifications import send_telegram
+                from .notifications import send_telegram, link_for
                 send_telegram(
-                    f"⚠️ {work_item_id}: dep-audit недоступен фид CVE "
+                    f"⚠️ {link_for(work_item_id)}: dep-audit недоступен фид CVE "
                     f"({dep_result.detail}). "
                     + ("Гейт fail-closed → FAIL." if settings.security_dep_audit_fail_closed
                        else "Гейт fail-open → warning (секреты проверены оффлайн).")

src/self_deploy.py

@@ -349,3 +349,66 @@ def write_deploy_log(repo: str, work_item_id: str, branch: str, exit_code, statu
     except (subprocess.SubprocessError, OSError) as e:
         logger.warning("write_deploy_log: git commit/push best-effort failed: %s", e)
     return True
+
+
+def record_merged_to_main(repo: str, work_item_id: str, branch: str, merged: bool) -> bool:
+    """Stamp ``merged_to_main: true|false`` into 14-deploy-log.md frontmatter (ORCH-071).
+
+    Machine-readable observability for the merge-verify under-gate. ONLY the
+    ``merged_to_main:`` line is added/updated inside the YAML frontmatter block; the
+    ``deploy_status:`` field is left untouched, so the ``check_deploy_status`` /
+    ``_parse_deploy_status`` parsing contract is unchanged (TRZ §6 / AC §5).
+
+    Best-effort and idempotent: a missing log or any I/O error is logged and
+    swallowed. Never raises.
+    """
+    from .git_worktree import get_worktree_path
+
+    rel = f"docs/work-items/{work_item_id}/14-deploy-log.md"
+    try:
+        wt = get_worktree_path(repo, branch)
+    except Exception as e:  # noqa: BLE001 - never-raise
+        logger.warning("record_merged_to_main: worktree error for %s/%s: %s", repo, branch, e)
+        return False
+    path = os.path.join(wt, rel)
+    try:
+        with open(path, "r", encoding="utf-8") as f:
+            content = f.read()
+    except FileNotFoundError:
+        logger.info("record_merged_to_main: no deploy log at %s (skip)", path)
+        return False
+    except OSError as e:
+        logger.warning("record_merged_to_main: read error at %s: %s", path, e)
+        return False
+
+    value = "true" if merged else "false"
+    if not content.startswith("---"):
+        # No frontmatter to amend — do not fabricate one (keep the contract minimal).
+        logger.info("record_merged_to_main: no frontmatter in %s (skip)", path)
+        return False
+    parts = content.split("---", 2)
+    if len(parts) < 3:
+        return False
+    fm_lines = parts[1].splitlines()
+    new_lines = []
+    replaced = False
+    for ln in fm_lines:
+        if ln.strip().lower().startswith("merged_to_main:"):
+            new_lines.append(f"merged_to_main: {value}")
+            replaced = True
+        else:
+            new_lines.append(ln)
+    if not replaced:
+        # Insert before the closing of the frontmatter block (append to the body).
+        if new_lines and new_lines[0] == "":
+            new_lines = new_lines[1:]
+        new_lines.append(f"merged_to_main: {value}")
+    new_fm = "\n".join(new_lines)
+    new_content = "---\n" + new_fm.strip("\n") + "\n---" + parts[2]
+    try:
+        with open(path, "w", encoding="utf-8") as f:
+            f.write(new_content)
+    except OSError as e:
+        logger.warning("record_merged_to_main: write error at %s: %s", path, e)
+        return False
+    return True

src/stage_engine.py

@@ -44,6 +44,7 @@ from .notifications import (
     notify_qg_failure,
     notify_approve_requested,
     send_telegram,
+    link_for,
 )
 from .plane_sync import (
     notify_stage_change as plane_notify_stage,
@@ -346,6 +347,22 @@ def advance_stage(
             )
             return result
 
+        # --- ORCH-071 merge-verify under-gate (deploy -> done edge) ----------
+        # The SINGLE choke-point that gates EVERY path into terminal `done`
+        # (finalizer Phase C, reconciler F-1, job-reaper re-drive) on a CONFIRMED
+        # merge of the feature PR into `main`. For the self-hosting repo the
+        # deterministic self-deploy path never runs the LLM `deployer` that used to
+        # merge the PR, so a green deploy could reach `done` while the PR stayed
+        # `open` (phantom merge, ORCH-071). This врезка runs a deterministic
+        # merge-actor + post-deploy verification BEFORE update_task_stage; if the
+        # merge is not confirmed it HOLDs (alert, NO done, NO rollback) and returns
+        # without advancing. Not a STAGE_TRANSITIONS edge / registered QG — it is an
+        # edge sub-gate (mirrors the merge-gate врезка), so those contracts are
+        # unchanged. No-op for non-self repos / kill-switch off (1:1 prior behaviour).
+        if current_stage == "deploy" and next_stage == "done":
+            if _handle_merge_verify(task_id, repo, work_item_id, branch, result):
+                return result
+
         # --- Advance ---------------------------------------------------------
         update_task_stage(task_id, next_stage)
         # Telegram live tracker: the analysis->architecture advance is the human
@@ -595,7 +612,7 @@ def _handle_analysis_approved_flow(
             author="analyst",
         )
         send_telegram(
-            f"\u2753 {work_item_id}: Analyst \u0437\u0430\u0434\u0430\u0451\u0442 \u0432\u043e\u043f\u0440\u043e\u0441\u044b. \u041e\u0442\u0432\u0435\u0442\u044c \u0432 Plane."
+            f"\u2753 {link_for(work_item_id)}: Analyst \u0437\u0430\u0434\u0430\u0451\u0442 \u0432\u043e\u043f\u0440\u043e\u0441\u044b. \u041e\u0442\u0432\u0435\u0442\u044c \u0432 Plane."
         )
         result.note = "analysis-needs-input"
         return
@@ -654,7 +671,7 @@ def _handle_qg_failure_rollbacks(
             )
         else:
             send_telegram(
-                f"\u26a0\ufe0f {work_item_id}: Max developer retries (3) reached. "
+                f"\u26a0\ufe0f {link_for(work_item_id)}: Max developer retries (3) reached. "
                 f"Manual intervention needed."
             )
             result.alerted = True
@@ -701,7 +718,7 @@ def _handle_qg_failure_rollbacks(
         else:
             set_issue_blocked(work_item_id)
             send_telegram(
-                f"\U0001f6a8 {work_item_id}: Tests still failing after 3 developer "
+                f"\U0001f6a8 {link_for(work_item_id)}: Tests still failing after 3 developer "
                 f"retries. Manual intervention needed."
             )
             result.alerted = True
@@ -758,7 +775,7 @@ def _handle_qg_failure_rollbacks(
             author="deployer",
         )
         send_telegram(
-            f"\U0001f6a8 {work_item_id}: Staging FAILED ({reason}). "
+            f"\U0001f6a8 {link_for(work_item_id)}: Staging FAILED ({reason}). "
             f"Rolled back to development. Needs fix."
         )
         result.alerted = True
@@ -802,7 +819,7 @@ def _handle_qg_failure_rollbacks(
             author="deployer",
         )
         send_telegram(
-            f"\U0001f6a8 {work_item_id}: Deploy FAILED ({reason}). "
+            f"\U0001f6a8 {link_for(work_item_id)}: Deploy FAILED ({reason}). "
             f"Rolled back to development. Needs fix."
         )
         result.alerted = True
@@ -898,7 +915,7 @@ def _handle_merge_gate_defer(
     else:
         set_issue_blocked(work_item_id)
         send_telegram(
-            f"\U0001f6a8 {work_item_id}: merge-gate defer limit "
+            f"\U0001f6a8 {link_for(work_item_id)}: merge-gate defer limit "
             f"({settings.merge_defer_max_attempts}) reached (merge-lock busy). "
             f"Manual intervention needed."
         )
@@ -953,7 +970,7 @@ def _handle_merge_gate_rollback(
     else:
         set_issue_blocked(work_item_id)
         send_telegram(
-            f"\U0001f6a8 {work_item_id}: Merge-gate still failing after "
+            f"\U0001f6a8 {link_for(work_item_id)}: Merge-gate still failing after "
             f"{MAX_DEVELOPER_RETRIES} developer retries ({reason}). "
             f"Manual intervention needed."
         )
@@ -1039,7 +1056,7 @@ def _handle_security_gate(
     else:
         set_issue_blocked(work_item_id)
         send_telegram(
-            f"\U0001f6a8 {work_item_id}: Security-гейт still failing after "
+            f"\U0001f6a8 {link_for(work_item_id)}: Security-гейт still failing after "
             f"{MAX_DEVELOPER_RETRIES} developer retries ({reason}). "
             f"Manual intervention needed."
         )
@@ -1116,7 +1133,7 @@ def _handle_image_freshness(
     else:
         set_issue_blocked(work_item_id)
         send_telegram(
-            f"\U0001f6a8 {work_item_id}: Staging image freshness still failing after "
+            f"\U0001f6a8 {link_for(work_item_id)}: Staging image freshness still failing after "
             f"{MAX_DEVELOPER_RETRIES} developer retries ({reason}). "
             f"Manual intervention needed."
         )
@@ -1174,7 +1191,7 @@ def _handle_self_deploy_phase_a(
             author="deployer",
         )
     send_telegram(
-        f"\U0001f7e1 {work_item_id}: staging OK. Ждёт подтверждения ПРОД-деплоя "
+        f"\U0001f7e1 {link_for(work_item_id)}: staging OK. Ждёт подтверждения ПРОД-деплоя "
         f"(смените статус на «Confirm Deploy»)."
     )
     logger.info(
@@ -1209,7 +1226,7 @@ def _handle_self_deploy_phase_b(task_id, repo, work_item_id, branch, result: Adv
                 "Повторите approve после устранения причины.",
                 author="deployer",
             )
-        send_telegram(f"⚠️ {work_item_id}: прод-деплой не запустился: {msg}")
+        send_telegram(f"⚠️ {link_for(work_item_id)}: прод-деплой не запустился: {msg}")
         logger.error(f"Task {task_id}: self-deploy initiate failed: {msg}")
         return
 
@@ -1238,7 +1255,7 @@ def _handle_self_deploy_phase_b(task_id, repo, work_item_id, branch, result: Adv
             "Вердикт будет зафиксирован после health-check.",
             author="deployer",
         )
-    send_telegram(f"\U0001f680 {work_item_id}: прод-деплой стартовал. Жду результат.")
+    send_telegram(f"\U0001f680 {link_for(work_item_id)}: прод-деплой стартовал. Жду результат.")
     logger.info(
         f"Task {task_id}: self-deploy Phase B — detached deploy initiated, "
         f"finalizer enqueued (job_id={new_job})"
@@ -1260,6 +1277,106 @@ def _deploy_finalize_defer_count(task_id: int) -> int:
     return n
 
 
+def _handle_merge_verify(task_id, repo, work_item_id, branch, result: AdvanceResult) -> bool:
+    """ORCH-071 merge-verify under-gate on the `deploy -> done` edge.
+
+    Returns:
+      * ``True``  -> INTERVENED (HOLD): the merge is NOT confirmed -> alert +
+        ``set_issue_blocked`` (Plane non-terminal), task stays on `deploy`, NO
+        ``done``, NO rollback to development (not-merged is an INFRA defect, not a
+        code fault -> ALERT-only, FR-3). The caller returns without advancing. A
+        later re-drive (reaper / reconciler / re-approve) re-evaluates and, once the
+        merge is fixed, lets the task advance to `done`.
+      * ``False`` -> the merge is CONFIRMED (or the under-gate does not apply for
+        this repo / kill-switch off) -> ``advance_stage`` proceeds to `done`
+        unchanged (happy-path AC-4 / AC-4b).
+
+    Steps (D5):
+      1. Conditionality (FR-5): not applicable -> return False (1:1 prior behaviour).
+      2. Resolve the validated SHA; run the deterministic merge-actor
+         ``merge_gate.merge_pr`` (no-op if already merged, INV-5).
+      3. ``merge_gate.verify_merged_to_main`` -> confirmed?
+         * yes -> stamp ``merged_to_main: true``, return False (advance).
+         * no  -> alert + Blocked + stamp ``merged_to_main: false``, return True (HOLD).
+
+    Wrapped never-raise (INV-1/AC-7): any internal error is treated as "not
+    confirmed" (HOLD + alert), never a propagated exception into ``advance_stage``.
+    """
+    try:
+        if not merge_gate.merge_verify_applies(repo):
+            return False  # non-self / kill-switch off -> behave exactly as before.
+
+        from . import image_freshness
+        sha = image_freshness.validated_revision(repo, branch)
+
+        # Deterministic merge-actor (no-op if the PR is already merged, INV-5/AC-9).
+        merged_ok, merge_msg = merge_gate.merge_pr(repo, branch)
+        logger.info(
+            f"Task {task_id}: merge-verify merge_pr -> ok={merged_ok} ({merge_msg})"
+        )
+
+        confirmed = merge_gate.verify_merged_to_main(repo, branch, sha)
+        if confirmed:
+            merge_gate.note_merge_verified()
+            try:
+                self_deploy.record_merged_to_main(repo, work_item_id, branch, True)
+            except Exception as e:  # noqa: BLE001 - observability best-effort
+                logger.warning(f"Task {task_id}: record merged_to_main(true) failed: {e}")
+            logger.info(f"Task {task_id}: merge-verify CONFIRMED -> deploy->done allowed")
+            return False
+
+        # Not confirmed -> alert + HOLD (no done, no rollback).
+        merge_gate.note_not_merged_alert(work_item_id)
+        try:
+            self_deploy.record_merged_to_main(repo, work_item_id, branch, False)
+        except Exception as e:  # noqa: BLE001 - observability best-effort
+            logger.warning(f"Task {task_id}: record merged_to_main(false) failed: {e}")
+        msg = (
+            f"deploy succeeded but not merged: {work_item_id} (repo={repo}, "
+            f"branch={branch}). `main` НЕ получил commit задачи — задача удержана "
+            f"на `deploy` (НЕ done). Нужно ручное вмешательство."
+        )
+        logger.warning(f"Task {task_id}: {msg}")
+        if work_item_id:
+            try:
+                set_issue_blocked(work_item_id)
+            except Exception as e:  # noqa: BLE001 - never break the HOLD
+                logger.warning(f"Task {task_id}: set_issue_blocked failed: {e}")
+            try:
+                plane_add_comment(
+                    work_item_id,
+                    "\U0001f6a8 Deploy прошёл, но PR НЕ влит в `main` "
+                    f"(merge: {merge_msg}). Задача удержана на `deploy` (НЕ done). "
+                    "Нужно влить PR вручную и повторить approve.",
+                    author="deployer",
+                )
+            except Exception as e:  # noqa: BLE001 - never break the HOLD
+                logger.warning(f"Task {task_id}: plane not-merged comment failed: {e}")
+        try:
+            send_telegram(f"\U0001f6a8 {msg}")
+        except Exception as e:  # noqa: BLE001 - never break the HOLD
+            logger.warning(f"Task {task_id}: not-merged telegram failed: {e}")
+        result.alerted = True
+        result.note = "merge-not-verified-hold"
+        result.advanced = False
+        return True
+    except Exception as e:  # noqa: BLE001 - never-raise contract (INV-1/AC-7)
+        # Any internal error -> treat as "not confirmed" -> HOLD + alert, never crash.
+        logger.error(f"Task {task_id}: _handle_merge_verify error: {e}")
+        try:
+            merge_gate.note_not_merged_alert(work_item_id)
+            send_telegram(
+                f"\U0001f6a8 {link_for(work_item_id)}: ошибка merge-verify ({e}). "
+                f"Задача удержана на `deploy` (НЕ done)."
+            )
+        except Exception:  # noqa: BLE001 - best-effort alert
+            pass
+        result.alerted = True
+        result.note = f"merge-verify-error: {e}"
+        result.advanced = False
+        return True
+
+
 def run_deploy_finalizer(job: dict):
     """Phase C — deterministic finalizer (reserved-agent `deploy-finalizer`, no LLM).
 
@@ -1307,7 +1424,7 @@ def run_deploy_finalizer(job: dict):
             if work_item_id:
                 set_issue_blocked(work_item_id)
             send_telegram(
-                f"\U0001f6a8 {work_item_id}: deploy result не появился после "
+                f"\U0001f6a8 {link_for(work_item_id)}: deploy result не появился после "
                 f"{settings.deploy_finalize_max_attempts} попыток. Нужно ручное вмешательство."
             )
             logger.error(
@@ -1328,7 +1445,7 @@ def run_deploy_finalizer(job: dict):
             f"✅ Прод-деплой успешен (health-check OK, exit {code}).",
             author="deployer",
         )
-        send_telegram(f"✅ {work_item_id}: прод-деплой успешен (exit {code}).")
+        send_telegram(f"✅ {link_for(work_item_id)}: прод-деплой успешен (exit {code}).")
 
     # Drive the EXISTING deploy contracts via the gate verdict we just wrote.
     advance_stage(

tests/conftest.py

@@ -75,3 +75,23 @@ def _reset_webhook_secrets(monkeypatch):
     if db_path_env:
         monkeypatch.setattr(db_mod.settings, "db_path", db_path_env, raising=False)
     yield
+
+
+@pytest.fixture(autouse=True)
+def _disable_merge_verify(monkeypatch):
+    """ORCH-071: disable the merge-verify under-gate by default in ALL tests.
+
+    The under-gate (deploy -> done) runs a deterministic merge-actor + a
+    post-deploy merge verification that make REAL Gitea/git calls. Leaving it ON
+    by default would (a) reach the network from unrelated deploy->done tests and
+    (b) make them pass/fail by ACCIDENT depending on whether the live Gitea still
+    has the historical PR merged (a hidden CI flake). We therefore default it to
+    its documented kill-switch OFF state (``merge_verify_enabled=False`` == 1:1
+    pre-ORCH-071 behaviour). Tests that specifically target the under-gate
+    (test_merge_verify / test_deploy_finalizer_merge_gate / test_merge_actor /
+    test_deploy_restart_merge_recovery) re-enable it via their own monkeypatch
+    AFTER this autouse fixture, scoping the feature ON to just those tests.
+    """
+    from src import config as _cfg
+    monkeypatch.setattr(_cfg.settings, "merge_verify_enabled", False, raising=False)
+    yield

tests/test_config.py

@@ -8,9 +8,17 @@ builds a FRESH Settings() (the process-wide singleton is not mutated).
 from src.config import Settings
 
 
-def test_tracker_mode_defaults_to_edit(monkeypatch):
-    # No env var -> default "edit" (TC-01 / AC-1).
+def test_tracker_mode_defaults_to_bump(monkeypatch):
+    # ORCH-067 (TC-01 / AC-1): the default flipped edit -> bump. With no env var
+    # the card now re-creates at the bottom of the chat out of the box; edit
+    # stays available via ORCH_TRACKER_MODE=edit (see test below).
     monkeypatch.delenv("ORCH_TRACKER_MODE", raising=False)
+    assert Settings().tracker_mode == "bump"
+
+
+def test_tracker_mode_reads_env_edit(monkeypatch):
+    # ORCH-067 (AC-4): edit mode is still available through the env var.
+    monkeypatch.setenv("ORCH_TRACKER_MODE", "edit")
     assert Settings().tracker_mode == "edit"
 
 

tests/test_deploy_finalizer_merge_gate.py

@@ -0,0 +1,188 @@
+"""ORCH-071 — Phase C finalizer x merge-verify under-gate (integration).
+
+Covers TC-05 (FR-3/G2/AC-1: deploy SUCCESS but PR open -> NOT done + alert),
+TC-06 (AC-4: deploy SUCCESS + merge confirmed -> done) and TC-14 (AC-11: Phase B
+runs only on confirm_deploy; merge/verify never introduce an auto-deploy).
+
+Mirrors tests/test_deploy_terminal_sync.py: the finalizer drives advance_stage,
+the deploy gate is forced green, and the merge-actor/verifier are mocked so the
+test stays deterministic (no real Gitea/git).
+"""
+
+import os
+import tempfile
+
+import pytest
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orch_merge_verify.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+from unittest.mock import MagicMock  # noqa: E402
+
+import src.db as _db  # noqa: E402
+from src.db import init_db, get_db  # noqa: E402
+from src import stage_engine  # noqa: E402
+from src import self_deploy  # noqa: E402
+
+
+@pytest.fixture(autouse=True)
+def fresh_db(monkeypatch, tmp_path):
+    monkeypatch.setattr(_db.settings, "db_path", _test_db)
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+    init_db()
+    monkeypatch.setattr(self_deploy.settings, "repos_dir", str(tmp_path))
+    monkeypatch.setattr(self_deploy.settings, "host_repos_dir", str(tmp_path))
+    monkeypatch.setattr(stage_engine.self_deploy, "write_deploy_log", MagicMock(return_value=True))
+    # The under-gate is disabled by conftest default; these tests target it.
+    monkeypatch.setattr(stage_engine.merge_gate.settings, "merge_verify_enabled", True)
+    monkeypatch.setattr(stage_engine.merge_gate.settings, "merge_verify_repos", "")
+    # The merged_to_main stamp is an observability side effect (no log file here).
+    monkeypatch.setattr(
+        stage_engine.self_deploy, "record_merged_to_main", MagicMock(return_value=True)
+    )
+    # ORCH-021 post-deploy monitor is orthogonal; keep it off for these tests.
+    monkeypatch.setattr(stage_engine.post_deploy.settings, "post_deploy_monitor_enabled", False)
+    yield
+
+
+@pytest.fixture(autouse=True)
+def silence_side_effects(monkeypatch):
+    for name in (
+        "notify_stage_change", "notify_qg_failure", "notify_approve_requested",
+        "send_telegram", "plane_notify_stage", "plane_notify_qg", "plane_add_comment",
+        "set_issue_in_review", "set_issue_needs_input", "set_issue_in_progress",
+        "set_issue_blocked", "set_issue_done", "set_issue_analysis",
+        "set_issue_awaiting_deploy", "set_issue_deploying", "set_issue_monitoring",
+    ):
+        monkeypatch.setattr(stage_engine, name, MagicMock())
+    monkeypatch.setattr(stage_engine.merge_gate, "release_merge_lease", MagicMock())
+
+
+def _pass(*a, **k):
+    return (True, "ok")
+
+
+def _make_task(stage, repo="orchestrator", branch="feature/ORCH-071-x", wi="ORCH-071"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage) VALUES (?, ?, ?, ?, ?)",
+        (f"plane-{wi}", wi, repo, branch, stage),
+    )
+    task_id = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return task_id
+
+
+def _stage(task_id):
+    conn = get_db()
+    row = conn.execute("SELECT stage FROM tasks WHERE id=?", (task_id,)).fetchone()
+    conn.close()
+    return row[0]
+
+
+def _force_deploy_gate_green(monkeypatch):
+    monkeypatch.setattr(
+        stage_engine, "QG_CHECKS",
+        {**stage_engine.QG_CHECKS, "check_deploy_status": _pass},
+    )
+
+
+# ---------------------------------------------------------------------------
+# TC-05 (AC-1): deploy_status=SUCCESS but PR open -> task is HELD (not done) + alert.
+# ---------------------------------------------------------------------------
+def test_tc05_success_but_not_merged_holds_and_alerts(monkeypatch):
+    self_deploy.write_marker("orchestrator", "ORCH-071", self_deploy.RESULT, "0")
+    _force_deploy_gate_green(monkeypatch)
+    # The merge-actor finds no merge and the verifier confirms NOT merged.
+    monkeypatch.setattr(stage_engine.merge_gate, "merge_pr", MagicMock(return_value=(False, "no open PR")))
+    monkeypatch.setattr(stage_engine.merge_gate, "verify_merged_to_main", MagicMock(return_value=False))
+
+    task_id = _make_task("deploy")
+    stage_engine.run_deploy_finalizer(
+        {"task_id": task_id, "repo": "orchestrator", "id": 1, "agent": "deploy-finalizer"}
+    )
+
+    # AC-1 PASS: the task did NOT reach done and was Blocked for manual handling.
+    assert _stage(task_id) == "deploy"
+    assert stage_engine.set_issue_blocked.called
+    assert not stage_engine.set_issue_done.called
+    assert not stage_engine.set_issue_monitoring.called
+    # An alert was sent ("deploy succeeded but not merged").
+    assert stage_engine.send_telegram.called
+
+
+# ---------------------------------------------------------------------------
+# TC-06 (AC-4): deploy_status=SUCCESS + merge confirmed -> done (happy-path).
+# ---------------------------------------------------------------------------
+def test_tc06_success_and_merged_reaches_done(monkeypatch):
+    self_deploy.write_marker("orchestrator", "ORCH-071", self_deploy.RESULT, "0")
+    _force_deploy_gate_green(monkeypatch)
+    merge_pr = MagicMock(return_value=(True, "merged PR #1"))
+    verify = MagicMock(return_value=True)
+    monkeypatch.setattr(stage_engine.merge_gate, "merge_pr", merge_pr)
+    monkeypatch.setattr(stage_engine.merge_gate, "verify_merged_to_main", verify)
+
+    task_id = _make_task("deploy")
+    stage_engine.run_deploy_finalizer(
+        {"task_id": task_id, "repo": "orchestrator", "id": 1, "agent": "deploy-finalizer"}
+    )
+
+    assert _stage(task_id) == "done"
+    # The deterministic merge-actor + verifier both ran on the deploy->done edge.
+    assert merge_pr.called
+    assert verify.called
+    # Self-hosting: terminal status -> Monitoring (post_deploy off here -> Done set).
+    assert not stage_engine.set_issue_blocked.called
+
+
+# ---------------------------------------------------------------------------
+# TC-14 (AC-11): a plain Approved on `deploy` (confirm_deploy=False) is a no-op —
+# Phase B (prod deploy) requires "Confirm Deploy", and merge/verify do NOT run
+# (the under-gate never introduces an auto-deploy).
+# ---------------------------------------------------------------------------
+def test_tc14_plain_approved_on_deploy_is_noop_no_merge(monkeypatch):
+    monkeypatch.setattr(stage_engine.self_deploy.settings, "self_deploy_enabled", True)
+    monkeypatch.setattr(stage_engine.self_deploy.settings, "self_deploy_repos", "")
+    monkeypatch.setattr(stage_engine.settings, "deploy_require_manual_approve", True)
+
+    merge_pr = MagicMock()
+    verify = MagicMock()
+    initiate = MagicMock(return_value=(True, "ok"))
+    monkeypatch.setattr(stage_engine.merge_gate, "merge_pr", merge_pr)
+    monkeypatch.setattr(stage_engine.merge_gate, "verify_merged_to_main", verify)
+    monkeypatch.setattr(stage_engine.self_deploy, "initiate_deploy", initiate)
+
+    task_id = _make_task("deploy")
+    # finished_agent=None + confirm_deploy=False == a plain Approved on `deploy`.
+    result = stage_engine.advance_stage(
+        task_id, "deploy", "orchestrator", "ORCH-071", "feature/ORCH-071-x",
+        finished_agent=None, confirm_deploy=False,
+    )
+
+    assert result.note == "approved-on-deploy-noop"
+    assert _stage(task_id) == "deploy"
+    # No prod deploy initiated and the merge-verify under-gate never fired.
+    assert not initiate.called
+    assert not merge_pr.called
+    assert not verify.called
+
+
+def test_tc14_confirm_deploy_initiates_phase_b(monkeypatch):
+    monkeypatch.setattr(stage_engine.self_deploy.settings, "self_deploy_enabled", True)
+    monkeypatch.setattr(stage_engine.self_deploy.settings, "self_deploy_repos", "")
+    monkeypatch.setattr(stage_engine.settings, "deploy_require_manual_approve", True)
+    initiate = MagicMock(return_value=(True, "ok"))
+    monkeypatch.setattr(stage_engine.self_deploy, "initiate_deploy", initiate)
+
+    task_id = _make_task("deploy")
+    stage_engine.advance_stage(
+        task_id, "deploy", "orchestrator", "ORCH-071", "feature/ORCH-071-x",
+        finished_agent=None, confirm_deploy=True,
+    )
+    # Only the dedicated "Confirm Deploy" signal initiates the prod deploy.
+    assert initiate.called

tests/test_deploy_restart_merge_recovery.py

@@ -0,0 +1,116 @@
+"""ORCH-071 TC-10 (AC-3/G3) — merge survives a restart during Phase B (smoke).
+
+Scenario: the prod container "dies" during Phase B BEFORE the feature PR is merged
+(the holder of the merge step is gone). Because the merge runs in the
+restart-surviving Phase C finalizer (deploy->done under-gate), a re-drive of the
+finalizer in the NEW container catches the merge up: it merges the PR, the verifier
+turns green and the task finally reaches ``done`` — never stuck without an alert and
+never ``done`` without a confirmed merge.
+
+The first finalizer pass models "died before merge": the merge-actor cannot complete
+and the verifier is red -> HOLD + alert (task stays on ``deploy``). The second pass
+models the re-drive after the restart: the merge lands, verify is green -> ``done``.
+"""
+
+import os
+import tempfile
+
+import pytest
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orch_merge_recovery.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+os.environ["ORCH_REPOS_DIR"] = tempfile.gettempdir()
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+
+from unittest.mock import MagicMock  # noqa: E402
+
+import src.db as _db  # noqa: E402
+from src.db import init_db, get_db  # noqa: E402
+from src import stage_engine  # noqa: E402
+from src import self_deploy  # noqa: E402
+
+
+@pytest.fixture(autouse=True)
+def fresh_db(monkeypatch, tmp_path):
+    monkeypatch.setattr(_db.settings, "db_path", _test_db)
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+    init_db()
+    monkeypatch.setattr(self_deploy.settings, "repos_dir", str(tmp_path))
+    monkeypatch.setattr(self_deploy.settings, "host_repos_dir", str(tmp_path))
+    monkeypatch.setattr(stage_engine.self_deploy, "write_deploy_log", MagicMock(return_value=True))
+    monkeypatch.setattr(stage_engine.merge_gate.settings, "merge_verify_enabled", True)
+    monkeypatch.setattr(stage_engine.merge_gate.settings, "merge_verify_repos", "")
+    monkeypatch.setattr(
+        stage_engine.self_deploy, "record_merged_to_main", MagicMock(return_value=True)
+    )
+    monkeypatch.setattr(stage_engine.post_deploy.settings, "post_deploy_monitor_enabled", False)
+    yield
+
+
+@pytest.fixture(autouse=True)
+def silence_side_effects(monkeypatch):
+    for name in (
+        "notify_stage_change", "notify_qg_failure", "notify_approve_requested",
+        "send_telegram", "plane_notify_stage", "plane_notify_qg", "plane_add_comment",
+        "set_issue_in_review", "set_issue_needs_input", "set_issue_in_progress",
+        "set_issue_blocked", "set_issue_done", "set_issue_analysis",
+        "set_issue_awaiting_deploy", "set_issue_deploying", "set_issue_monitoring",
+    ):
+        monkeypatch.setattr(stage_engine, name, MagicMock())
+    monkeypatch.setattr(stage_engine.merge_gate, "release_merge_lease", MagicMock())
+
+
+def _stage(task_id):
+    conn = get_db()
+    row = conn.execute("SELECT stage FROM tasks WHERE id=?", (task_id,)).fetchone()
+    conn.close()
+    return row[0]
+
+
+def test_tc10_merge_recovers_after_restart(monkeypatch):
+    self_deploy.write_marker("orchestrator", "ORCH-071", self_deploy.RESULT, "0")
+    monkeypatch.setattr(
+        stage_engine, "QG_CHECKS",
+        {**stage_engine.QG_CHECKS, "check_deploy_status": lambda *a, **k: (True, "ok")},
+    )
+
+    # Stateful merge: the FIRST attempt (pre-restart) cannot complete; the SECOND
+    # (the re-driven finalizer after the restart) merges and the verifier goes green.
+    state = {"attempts": 0, "merged": False}
+
+    def fake_merge_pr(repo, branch):
+        state["attempts"] += 1
+        if state["attempts"] == 1:
+            return (False, "interrupted by restart")
+        state["merged"] = True
+        return (True, "merged PR #1")
+
+    def fake_verify(repo, branch, sha):
+        return state["merged"]
+
+    monkeypatch.setattr(stage_engine.merge_gate, "merge_pr", fake_merge_pr)
+    monkeypatch.setattr(stage_engine.merge_gate, "verify_merged_to_main", fake_verify)
+
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage) VALUES (?, ?, ?, ?, ?)",
+        ("plane-ORCH-071", "ORCH-071", "orchestrator", "feature/ORCH-071-x", "deploy"),
+    )
+    task_id = cur.lastrowid
+    conn.commit()
+    conn.close()
+
+    job = {"task_id": task_id, "repo": "orchestrator", "id": 1, "agent": "deploy-finalizer"}
+
+    # Pass 1 (process died before merge): HOLD — not done, alerted, Blocked.
+    stage_engine.run_deploy_finalizer(job)
+    assert _stage(task_id) == "deploy"
+    assert stage_engine.set_issue_blocked.called
+    assert not stage_engine.set_issue_done.called
+
+    # Pass 2 (finalizer re-driven after restart): merge lands, verify green -> done.
+    stage_engine.run_deploy_finalizer(job)
+    assert _stage(task_id) == "done"
+    assert state["merged"] is True

tests/test_merge_actor.py

@@ -0,0 +1,135 @@
+"""ORCH-071 — deterministic merge-actor (merge_gate.merge_pr).
+
+Covers TC-07 (FR-1: merge via Gitea PR-merge API, no push/force-push), TC-08
+(AC-9: idempotency — already-merged -> no-op), TC-09 (AC-7: never-raise) and TC-13
+(AC-8/INV-2: self-hosting safety — no prod restart, no direct/force push to main).
+Gitea HTTP is mocked; the actor must NEVER shell out to git/docker/ssh.
+"""
+
+import httpx
+import pytest
+
+from src import merge_gate
+
+
+class _Resp:
+    def __init__(self, status_code, payload=None, text=""):
+        self.status_code = status_code
+        self._payload = payload if payload is not None else []
+        self.text = text
+
+    def json(self):
+        return self._payload
+
+
+@pytest.fixture(autouse=True)
+def _settings(monkeypatch):
+    monkeypatch.setattr(merge_gate.settings, "merge_verify_enabled", True)
+    monkeypatch.setattr(merge_gate.settings, "gitea_url", "http://gitea.test")
+    monkeypatch.setattr(merge_gate.settings, "gitea_owner", "admin")
+    monkeypatch.setattr(merge_gate.settings, "gitea_token", "tok")
+    monkeypatch.setattr(merge_gate.settings, "merge_pr_timeout_s", 5)
+
+
+# ---------------------------------------------------------------------------
+# TC-07: an OPEN PR -> the actor calls Gitea POST /pulls/{index}/merge (Do: merge).
+# ---------------------------------------------------------------------------
+def test_tc07_merge_actor_calls_gitea_merge(monkeypatch):
+    monkeypatch.setattr(merge_gate, "pr_already_merged", lambda r, b: False)
+
+    branch = "feature/ORCH-071-x"
+    get_calls, post_calls = [], []
+
+    def fake_get(url, params=None, headers=None, timeout=None):
+        get_calls.append((url, params))
+        return _Resp(200, [{"head": {"ref": branch}, "number": 7}])
+
+    def fake_post(url, json=None, headers=None, timeout=None):
+        post_calls.append((url, json))
+        return _Resp(200)
+
+    monkeypatch.setattr(httpx, "get", fake_get)
+    monkeypatch.setattr(httpx, "post", fake_post)
+
+    ok, msg = merge_gate.merge_pr("orchestrator", branch)
+    assert ok is True
+    assert "PR #7" in msg
+    # POST hit the PR-merge API endpoint with Do=merge.
+    assert len(post_calls) == 1
+    url, body = post_calls[0]
+    assert url.endswith("/repos/admin/orchestrator/pulls/7/merge")
+    assert body == {"Do": "merge"}
+
+
+# ---------------------------------------------------------------------------
+# TC-08 (AC-9): already-merged PR -> no-op (no second merge, no Gitea error).
+# ---------------------------------------------------------------------------
+def test_tc08_idempotent_already_merged(monkeypatch):
+    monkeypatch.setattr(merge_gate, "pr_already_merged", lambda r, b: True)
+
+    def must_not_call(*a, **k):
+        raise AssertionError("no Gitea call must be made when already merged")
+
+    monkeypatch.setattr(httpx, "get", must_not_call)
+    monkeypatch.setattr(httpx, "post", must_not_call)
+
+    ok, msg = merge_gate.merge_pr("orchestrator", "feature/ORCH-071-x")
+    assert ok is True
+    assert msg == "already-merged"
+
+
+def test_tc08_no_open_pr_is_not_an_error(monkeypatch):
+    monkeypatch.setattr(merge_gate, "pr_already_merged", lambda r, b: False)
+    monkeypatch.setattr(httpx, "get", lambda *a, **k: _Resp(200, []))
+    ok, msg = merge_gate.merge_pr("orchestrator", "feature/ORCH-071-x")
+    assert ok is False
+    assert msg == "no open PR"
+
+
+# ---------------------------------------------------------------------------
+# TC-09 (AC-7): a Gitea HTTP error -> (False, reason), exception not propagated.
+# ---------------------------------------------------------------------------
+def test_tc09_never_raise_on_http_error(monkeypatch):
+    monkeypatch.setattr(merge_gate, "pr_already_merged", lambda r, b: False)
+
+    def boom(*a, **k):
+        raise httpx.ConnectError("gitea unreachable")
+
+    monkeypatch.setattr(httpx, "get", boom)
+    ok, msg = merge_gate.merge_pr("orchestrator", "feature/ORCH-071-x")
+    assert ok is False
+    assert "merge error" in msg
+
+
+def test_tc09_merge_endpoint_non_2xx_is_false(monkeypatch):
+    monkeypatch.setattr(merge_gate, "pr_already_merged", lambda r, b: False)
+    monkeypatch.setattr(
+        httpx, "get", lambda *a, **k: _Resp(200, [{"head": {"ref": "feature/ORCH-071-x"}, "number": 3}])
+    )
+    monkeypatch.setattr(httpx, "post", lambda *a, **k: _Resp(409, text="conflict"))
+    ok, msg = merge_gate.merge_pr("orchestrator", "feature/ORCH-071-x")
+    assert ok is False
+    assert "HTTP 409" in msg
+
+
+# ---------------------------------------------------------------------------
+# TC-13 (AC-8/INV-2): the merge-actor NEVER shells out (no git push/force-push,
+# no docker/ssh prod restart) — the only side effect is the Gitea PR-merge API.
+# ---------------------------------------------------------------------------
+def test_tc13_no_shell_out_no_force_push(monkeypatch):
+    monkeypatch.setattr(merge_gate, "pr_already_merged", lambda r, b: False)
+    monkeypatch.setattr(
+        httpx, "get", lambda *a, **k: _Resp(200, [{"head": {"ref": "feature/ORCH-071-x"}, "number": 9}])
+    )
+    monkeypatch.setattr(httpx, "post", lambda *a, **k: _Resp(200))
+
+    subprocess_calls = []
+    monkeypatch.setattr(
+        merge_gate.subprocess, "run",
+        lambda cmd, *a, **k: subprocess_calls.append(cmd),
+    )
+
+    ok, _ = merge_gate.merge_pr("orchestrator", "feature/ORCH-071-x")
+    assert ok is True
+    # No subprocess (git/docker/ssh) was invoked by the merge-actor at all.
+    assert subprocess_calls == []

tests/test_merge_verify.py

@@ -0,0 +1,126 @@
+"""ORCH-071 — post-deploy merge verification + rollout conditionality.
+
+Covers TC-01..04 (FR-2/G1/AC-1/AC-7: verify_merged_to_main), TC-11 (AC-4b: non-self
+repo no-op) and TC-12 (AC-10: kill-switch). All deterministic: git/HTTP are mocked,
+the verifier honours the never-raise contract.
+"""
+
+import pytest
+
+from src import merge_gate
+
+
+class _R:
+    """Minimal stand-in for a completed subprocess result (returncode only)."""
+
+    def __init__(self, rc):
+        self.returncode = rc
+        self.stdout = ""
+        self.stderr = ""
+
+
+@pytest.fixture(autouse=True)
+def _enable(monkeypatch):
+    # The conftest disables the under-gate by default; these tests target it, so
+    # re-enable the feature and pin the scope to self-hosting only (empty CSV).
+    monkeypatch.setattr(merge_gate.settings, "merge_verify_enabled", True)
+    monkeypatch.setattr(merge_gate.settings, "merge_verify_repos", "")
+    monkeypatch.setattr(merge_gate.settings, "merge_verify_timeout_s", 5)
+
+
+# ---------------------------------------------------------------------------
+# TC-01: validated SHA is an ancestor of origin/main (merge-base rc=0) -> True.
+# ---------------------------------------------------------------------------
+def test_tc01_verify_true_when_sha_is_ancestor(monkeypatch):
+    monkeypatch.setattr(merge_gate, "pr_already_merged", lambda r, b: False)
+    monkeypatch.setattr(merge_gate, "ensure_worktree", lambda r, b: "/wt")
+
+    calls = []
+
+    def fake_run(cmd, *a, **k):
+        calls.append(cmd)
+        # fetch -> rc 0; merge-base --is-ancestor -> rc 0 (is ancestor).
+        return _R(0)
+
+    monkeypatch.setattr(merge_gate.subprocess, "run", fake_run)
+    assert merge_gate.verify_merged_to_main("orchestrator", "feature/ORCH-071-x", "abc123") is True
+    # The verifier consulted git merge-base --is-ancestor on origin/main.
+    assert any("merge-base" in c and "--is-ancestor" in c and "origin/main" in c for c in calls)
+
+
+# ---------------------------------------------------------------------------
+# TC-02: PR.merged==true short-circuits to True even if git is unavailable.
+# ---------------------------------------------------------------------------
+def test_tc02_verify_true_when_pr_merged_even_without_git(monkeypatch):
+    monkeypatch.setattr(merge_gate, "pr_already_merged", lambda r, b: True)
+
+    def boom(*a, **k):
+        raise RuntimeError("git must NOT be consulted when PR is already merged")
+
+    monkeypatch.setattr(merge_gate, "ensure_worktree", boom)
+    monkeypatch.setattr(merge_gate.subprocess, "run", boom)
+    assert merge_gate.verify_merged_to_main("orchestrator", "feature/ORCH-071-x", "") is True
+
+
+# ---------------------------------------------------------------------------
+# TC-03: not an ancestor (rc=1) AND PR not merged -> False (phantom merge).
+# ---------------------------------------------------------------------------
+def test_tc03_verify_false_when_phantom(monkeypatch):
+    monkeypatch.setattr(merge_gate, "pr_already_merged", lambda r, b: False)
+    monkeypatch.setattr(merge_gate, "ensure_worktree", lambda r, b: "/wt")
+
+    def fake_run(cmd, *a, **k):
+        if "merge-base" in cmd:
+            return _R(1)  # NOT an ancestor.
+        return _R(0)  # fetch ok.
+
+    monkeypatch.setattr(merge_gate.subprocess, "run", fake_run)
+    assert merge_gate.verify_merged_to_main("orchestrator", "feature/ORCH-071-x", "abc123") is False
+
+
+# ---------------------------------------------------------------------------
+# TC-04 (AC-7): never-raise — a git/OS error -> False, exception not propagated.
+# ---------------------------------------------------------------------------
+def test_tc04_verify_never_raises_on_git_error(monkeypatch):
+    monkeypatch.setattr(merge_gate, "pr_already_merged", lambda r, b: False)
+    monkeypatch.setattr(merge_gate, "ensure_worktree", lambda r, b: "/wt")
+
+    def boom(*a, **k):
+        raise OSError("git exploded")
+
+    monkeypatch.setattr(merge_gate.subprocess, "run", boom)
+    # No exception escapes; the conservative verdict is "not confirmed".
+    assert merge_gate.verify_merged_to_main("orchestrator", "feature/ORCH-071-x", "abc123") is False
+
+
+def test_tc04_verify_never_raises_on_http_error(monkeypatch):
+    def boom(r, b):
+        raise RuntimeError("gitea down")
+
+    monkeypatch.setattr(merge_gate, "pr_already_merged", boom)
+    assert merge_gate.verify_merged_to_main("orchestrator", "feature/ORCH-071-x", "abc123") is False
+
+
+# ---------------------------------------------------------------------------
+# TC-11 (AC-4b): non-self repo -> under-gate is a no-op (merge stays with deployer).
+# ---------------------------------------------------------------------------
+def test_tc11_non_self_repo_does_not_apply(monkeypatch):
+    # Empty CSV -> only the self-hosting repo is in scope.
+    assert merge_gate.merge_verify_applies("orchestrator") is True
+    assert merge_gate.merge_verify_applies("enduro-trails") is False
+
+
+def test_tc11_csv_scopes_to_listed_repos(monkeypatch):
+    monkeypatch.setattr(merge_gate.settings, "merge_verify_repos", "enduro-trails")
+    assert merge_gate.merge_verify_applies("enduro-trails") is True
+    # When the CSV is set, the self repo is NOT auto-included.
+    assert merge_gate.merge_verify_applies("orchestrator") is False
+
+
+# ---------------------------------------------------------------------------
+# TC-12 (AC-10): kill-switch off -> applies False for everyone (1:1 prior behaviour).
+# ---------------------------------------------------------------------------
+def test_tc12_kill_switch_disables_under_gate(monkeypatch):
+    monkeypatch.setattr(merge_gate.settings, "merge_verify_enabled", False)
+    assert merge_gate.merge_verify_applies("orchestrator") is False
+    assert merge_gate.merge_verify_applies("enduro-trails") is False

tests/test_notify_issue_links.py

@@ -0,0 +1,206 @@
+"""ORCH-067 — Group D: clickable issue number in ALL alerts (AC-13, AC-12).
+
+Every orchestrator alert that mentions a work_item_id now renders it as a Plane
+hyperlink via the shared ``link_for`` / ``plane_issue_link`` helpers, and degrades
+fail-safe to the raw (escaped) number when data is missing. This covers the
+dedicated notify_* helpers (notify_approve_requested, notify_error) and asserts
+the engine/launcher/security_gate/reconciler alert sites are wired to ``link_for``
+— the single DB-resolving helper those sites call. Network is isolated:
+send_telegram is replaced with a recorder; the DB is a temp SQLite.
+
+Test ids TC-13, TC-14, TC-15 from 04-test-plan.yaml.
+"""
+
+import os
+import tempfile
+
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orchestrator_notify_links.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+
+from types import SimpleNamespace  # noqa: E402
+
+import pytest  # noqa: E402
+
+import src.db as db_module  # noqa: E402
+import src.projects as projects_mod  # noqa: E402
+from src.db import init_db, get_db  # noqa: E402
+from src import notifications as N  # noqa: E402
+
+_ORCH_PROJECT_ID = "8da6aa25-a60e-44d6-a1e2-d8ae59aa7d6a"
+
+
+@pytest.fixture(autouse=True)
+def setup_db(monkeypatch):
+    monkeypatch.setattr(db_module.settings, "db_path", _test_db, raising=False)
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+    init_db()
+    # Pin repo->project resolution so cross-file registry reloads can't strip
+    # 'orchestrator' and break the expected issue URL.
+    monkeypatch.setattr(
+        projects_mod, "get_project_by_repo",
+        lambda repo: (SimpleNamespace(plane_project_id=_ORCH_PROJECT_ID)
+                      if repo == "orchestrator" else None),
+    )
+    yield
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+
+
+def _set(monkeypatch, **kw):
+    s = N._get_settings()
+    for k, v in kw.items():
+        monkeypatch.setattr(s, k, v, raising=False)
+
+
+def _mk_task(wid="ORCH-067", repo="orchestrator", title="notify links",
+             plane_issue_id="iss-1", stage="development"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title, "
+        "plane_issue_id) VALUES (?, ?, ?, ?, ?, ?, ?)",
+        ("p1", wid, repo, "feature/ORCH-067-x", stage, title, plane_issue_id),
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return tid
+
+
+def _record_send(monkeypatch):
+    calls = []
+
+    def _fake(text, disable_notification=False):
+        calls.append({"text": text, "silent": disable_notification})
+        return 1
+
+    monkeypatch.setattr(N, "send_telegram", _fake)
+    monkeypatch.setattr(N, "update_task_tracker", lambda task_id: None)
+    return calls
+
+
+# --------------------------------------------------------------------------- #
+# TC-13 / AC-13 — notify_approve_requested: number clickable, CTA + single ping
+# --------------------------------------------------------------------------- #
+def test_tc13_approve_requested_number_clickable(monkeypatch):
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_workspace_slug="acme", gitea_public_url="https://git.example.org",
+         gitea_owner="orchteam")
+    tid = _mk_task(plane_issue_id="iss-1")
+    calls = _record_send(monkeypatch)
+
+    N.notify_approve_requested(tid)
+
+    assert len(calls) == 1                          # exactly one notifying ping
+    assert calls[0]["silent"] is not True
+    text = calls[0]["text"]
+    expected = (
+        f"https://plane.example.org/acme/projects/{_ORCH_PROJECT_ID}"
+        f"/issues/iss-1/"
+    )
+    assert f'<a href="{expected}">ORCH-067</a>' in text   # clickable number
+    assert "Approved" in text                       # call-to-action preserved
+
+
+# --------------------------------------------------------------------------- #
+# TC-14 / AC-13, AC-12 — notify_error: clickable when data present, else raw
+# --------------------------------------------------------------------------- #
+def test_tc14_notify_error_clickable(monkeypatch):
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_workspace_slug="acme")
+    tid = _mk_task(plane_issue_id="iss-1")
+    calls = _record_send(monkeypatch)
+
+    N.notify_error(tid, "boom happened")
+
+    assert len(calls) == 1
+    text = calls[0]["text"]
+    assert ">ORCH-067</a>" in text                  # number is a link
+    assert "ERROR" in text and "boom happened" in text
+
+
+def test_tc14_notify_error_degrades_raw_number(monkeypatch):
+    # No usable Plane base -> raw (unlinked) number, alert still sent, no crash.
+    _set(monkeypatch, plane_web_url="", plane_api_url="")
+    tid = _mk_task(plane_issue_id="iss-1")
+    calls = _record_send(monkeypatch)
+
+    N.notify_error(tid, "boom")
+
+    text = calls[0]["text"]
+    assert "ORCH-067" in text
+    assert "<a href=" not in text
+
+
+def test_tc14_notify_error_escapes_error_text(monkeypatch):
+    # The error string is html-escaped so it can't break the <a>/HTML markup.
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_workspace_slug="acme")
+    tid = _mk_task(plane_issue_id="iss-1")
+    calls = _record_send(monkeypatch)
+
+    N.notify_error(tid, "<script> & </script>")
+
+    text = calls[0]["text"]
+    assert "<script>" not in text
+    assert "&lt;script&gt;" in text and "&amp;" in text
+    # The clickable number's anchor is still well-formed.
+    assert text.count("<a href=") == text.count("</a>")
+
+
+# --------------------------------------------------------------------------- #
+# TC-15 / AC-13 — link_for is the DB-resolving helper the alert sites call
+# --------------------------------------------------------------------------- #
+def test_tc15_link_for_by_work_item_id(monkeypatch):
+    # Sites holding only a work_item_id (launcher deploy-fail, security_gate,
+    # reconciler, engine QG-fail) call link_for(wid) -> resolves repo + issue id
+    # from the DB and returns a clickable number.
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_workspace_slug="acme")
+    _mk_task(wid="ORCH-067", plane_issue_id="iss-1")
+
+    out = N.link_for("ORCH-067")
+    expected = (
+        f"https://plane.example.org/acme/projects/{_ORCH_PROJECT_ID}"
+        f"/issues/iss-1/"
+    )
+    assert out == f'<a href="{expected}">ORCH-067</a>'
+
+
+def test_tc15_link_for_by_task_id(monkeypatch):
+    # Sites holding a task_id (launcher agent-fail, engine) call link_for(wid, tid).
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_workspace_slug="acme")
+    tid = _mk_task(wid="ORCH-067", plane_issue_id="iss-7")
+
+    out = N.link_for("ORCH-067", tid)
+    assert ">ORCH-067</a>" in out and "/issues/iss-7/" in out
+
+
+def test_tc15_link_for_unknown_task_degrades(monkeypatch):
+    # No matching DB row -> raw number, never raises.
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_workspace_slug="acme")
+    out = N.link_for("ORCH-999")
+    assert out == "ORCH-999"
+    assert "<a href=" not in out
+
+
+@pytest.mark.parametrize("module_name", [
+    "src.stage_engine",
+    "src.agents.launcher",
+    "src.security_gate",
+    "src.reconciler",
+])
+def test_tc15_alert_modules_wire_link_for(module_name):
+    """The representative alert modules call the shared link_for helper, so their
+    work_item_id alerts render a clickable number (not a bare string). Checked at
+    source level since some sites import link_for function-locally."""
+    import importlib
+    import inspect
+    mod = importlib.import_module(module_name)
+    src = inspect.getsource(mod)
+    assert "link_for(" in src, f"{module_name} must use link_for in its alerts"

tests/test_plane_issue_link.py

@@ -0,0 +1,101 @@
+"""ORCH-067 — Group D: the shared plane_issue_link helper (AC-12).
+
+``plane_issue_link(work_item_id, plane_issue_id=None, project_id=None, repo=None)``
+is the single source of the clickable issue number for cards AND alerts. It
+returns ``<a href=...>ORCH-NNN</a>`` when a usable Plane browser URL can be built,
+and ``html.escape(work_item_id)`` otherwise. It must NEVER raise — including on
+None arguments and a loopback base. No DB and no network are touched by this unit
+(project_id is passed explicitly here), so these are pure settings-driven cases.
+
+Test id TC-12 from 04-test-plan.yaml.
+"""
+
+import os
+
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+
+import pytest  # noqa: E402
+
+from src import notifications as N  # noqa: E402
+
+
+def _set(monkeypatch, **kw):
+    s = N._get_settings()
+    for k, v in kw.items():
+        monkeypatch.setattr(s, k, v, raising=False)
+
+
+# --------------------------------------------------------------------------- #
+# TC-12 / AC-12 — full data -> HTML link wrapping the number
+# --------------------------------------------------------------------------- #
+def test_tc12_full_data_returns_anchor(monkeypatch):
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_workspace_slug="acme")
+    out = N.plane_issue_link("ORCH-067", plane_issue_id="iss-1",
+                             project_id="proj-9")
+    expected = "https://plane.example.org/acme/projects/proj-9/issues/iss-1/"
+    assert out == f'<a href="{expected}">ORCH-067</a>'
+
+
+def test_tc12_web_url_fallbacks_to_api_url(monkeypatch):
+    # plane_web_url empty -> non-loopback plane_api_url is used as the base.
+    _set(monkeypatch, plane_web_url="",
+         plane_api_url="https://plane-fallback.example.org",
+         plane_workspace_slug="acme")
+    out = N.plane_issue_link("ORCH-067", plane_issue_id="iss-1",
+                             project_id="proj-9")
+    assert 'href="https://plane-fallback.example.org/acme/' in out
+    assert ">ORCH-067</a>" in out
+
+
+# --------------------------------------------------------------------------- #
+# TC-12 / AC-12 — insufficient data -> escaped number, NEVER an anchor
+# --------------------------------------------------------------------------- #
+@pytest.mark.parametrize("settings_kw,call_kw,reason", [
+    ({"plane_web_url": "", "plane_api_url": ""},
+     {"plane_issue_id": "iss-1", "project_id": "proj-9"}, "no web base"),
+    ({"plane_web_url": "http://localhost:8091", "plane_api_url": ""},
+     {"plane_issue_id": "iss-1", "project_id": "proj-9"}, "loopback base"),
+    ({"plane_web_url": "https://plane.example.org", "plane_workspace_slug": ""},
+     {"plane_issue_id": "iss-1", "project_id": "proj-9"}, "no workspace"),
+    ({"plane_web_url": "https://plane.example.org", "plane_workspace_slug": "acme"},
+     {"plane_issue_id": None, "project_id": "proj-9"}, "no issue id"),
+    ({"plane_web_url": "https://plane.example.org", "plane_workspace_slug": "acme"},
+     {"plane_issue_id": "iss-1", "project_id": ""}, "no project id"),
+])
+def test_tc12_insufficient_data_returns_plain_number(monkeypatch, settings_kw,
+                                                     call_kw, reason):
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_api_url="http://localhost:8091", plane_workspace_slug="acme")
+    _set(monkeypatch, **settings_kw)
+    out = N.plane_issue_link("ORCH-067", repo=None, **call_kw)
+    assert out == "ORCH-067", reason
+    assert "<a href=" not in out
+
+
+# --------------------------------------------------------------------------- #
+# TC-12 / AC-12 — html-escaping + never raises on hostile / None input
+# --------------------------------------------------------------------------- #
+def test_tc12_escapes_work_item_id_in_link(monkeypatch):
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_workspace_slug="acme")
+    out = N.plane_issue_link("ORCH&<67>", plane_issue_id="iss-1",
+                             project_id="proj-9")
+    assert ">ORCH&amp;&lt;67&gt;</a>" in out     # label escaped inside the anchor
+    assert "<a href=" in out
+
+
+def test_tc12_escapes_work_item_id_unlinked(monkeypatch):
+    _set(monkeypatch, plane_web_url="", plane_api_url="")
+    out = N.plane_issue_link("ORCH&<67>", plane_issue_id="iss-1",
+                             project_id="proj-9")
+    assert out == "ORCH&amp;&lt;67&gt;"          # escaped, no anchor
+
+
+def test_tc12_none_args_never_raise(monkeypatch):
+    # All-None must not raise and must yield a (possibly empty) string.
+    out = N.plane_issue_link(None)
+    assert isinstance(out, str)
+    # None work_item_id -> empty label, no anchor.
+    assert "<a href=" not in out

tests/test_qg_checks.py

@@ -53,6 +53,29 @@ def test_tc15_finalizer_log_roundtrips_through_parser():
     assert ok_f is False
 
 
+# ---------------------------------------------------------------------------
+# ORCH-071 TC-15: the deploy-status parsing contract is UNCHANGED by the new
+# merge-verify under-gate. The ``merged_to_main:`` observability field the
+# under-gate stamps into 14-deploy-log.md must NOT influence ``deploy_status:``
+# parsing — the gate keeps reading ONLY the ``deploy_status:`` frontmatter.
+# ---------------------------------------------------------------------------
+def test_tc15_merged_to_main_field_does_not_affect_deploy_status():
+    ok_s, _ = _parse_deploy_status(
+        "---\ndeploy_status: SUCCESS\nmerged_to_main: false\n---\n\nbody"
+    )
+    # deploy_status is the ONLY field read: SUCCESS stays SUCCESS regardless of
+    # the merged_to_main observability stamp (which the under-gate enforces
+    # separately, outside this parser).
+    assert ok_s is True
+    ok_f, _ = _parse_deploy_status(
+        "---\ndeploy_status: FAILED\nmerged_to_main: true\n---\n\nbody"
+    )
+    assert ok_f is False
+    # merged_to_main alone (no deploy_status) is NOT a verdict.
+    ok_n, _ = _parse_deploy_status("---\nmerged_to_main: true\n---\n")
+    assert ok_n is False
+
+
 # ---------------------------------------------------------------------------
 # ORCH-061 / TC-04 + TC-05: infra-tolerant staging verdict (pure logic, AC-2/AC-3).
 #

tests/test_stages.py

@@ -39,3 +39,21 @@ def test_tc16_deploy_staging_transition_unchanged():
 
 def test_tc16_done_is_terminal():
     assert get_next_stage("done") is None
+
+
+# ---------------------------------------------------------------------------
+# ORCH-071 TC-16: the merge-verify under-gate is an EDGE sub-gate врезанный in
+# advance_stage (like the merge-gate), NOT a new STAGE_TRANSITIONS edge and NOT a
+# new registered QG. The state machine + QG registry must stay untouched.
+# ---------------------------------------------------------------------------
+def test_tc16_merge_verify_adds_no_stage_or_qg():
+    # The deploy->done edge keeps its single gate (no second registered QG).
+    assert STAGE_TRANSITIONS["deploy"]["qg"] == "check_deploy_status"
+    # No new stage was introduced for merge verification.
+    assert "merge-verify" not in STAGE_TRANSITIONS
+    assert "merge_verify" not in STAGE_TRANSITIONS
+
+    from src.qg.checks import QG_CHECKS
+    # The under-gate is NOT a registered quality-gate check.
+    assert "check_merged_to_main" not in QG_CHECKS
+    assert "check_merge_verify" not in QG_CHECKS

tests/test_telegram_tracker.py

@@ -241,6 +241,9 @@ def test_first_call_sends_message_and_stores_id(monkeypatch):
 
 
 def test_second_call_edits_existing_message(monkeypatch):
+    # ORCH-067: the default flipped to bump; this case asserts the edit-mode
+    # contract, so pin edit mode explicitly.
+    monkeypatch.setattr(N._get_settings(), "tracker_mode", "edit", raising=False)
     tid = _mk_task(stage="development")
     _mk_run(tid, "analyst", "2026-06-04 09:00:00", "2026-06-04 09:10:00",
             in_tok=10, out_tok=5, cost=0.1)
@@ -602,9 +605,15 @@ def test_render_stage_labels_are_russian():
     for ru in ("Анализ", "Архитектура", "Разработка", "Код ревью",
                "Тестирование", "Внедрение"):
         assert ru in text, f"missing russian label {ru!r}"
+    # ORCH-067: the new '📍 <Plane-status>' line intentionally carries the ENGLISH
+    # ORCH-066 Plane status name (e.g. 'Awaiting Deploy'); the russian-only rule
+    # (BR-11) applies to the STAGE label lines, so exclude the status line here.
+    stage_lines = "\n".join(
+        ln for ln in text.splitlines() if not ln.startswith("\U0001f4cd")
+    )
     for en in ("Analysis", "Architecture", "Development", "Review",
                "Testing", "Deploy"):
-        assert en not in text, f"english label leaked: {en!r}"
+        assert en not in stage_lines, f"english label leaked: {en!r}"
 
 
 def test_render_done_says_vnedreno_not_deployed():

tests/test_tracker_bump_default.py

@@ -0,0 +1,159 @@
+"""ORCH-067 — Group A: bump is the DEFAULT tracker mode (AC-1..AC-4, AC-15).
+
+The default flipped edit -> bump: out of the box the live card is re-created at
+the BOTTOM of the chat (delete old + send new silent + repoint id), one card per
+task. edit stays available via ORCH_TRACKER_MODE=edit. Network is isolated: the
+low-level send/edit/delete helpers are patched per case; the DB is a temp SQLite.
+
+Test ids TC-01..TC-04 + TC-17 from 04-test-plan.yaml.
+"""
+
+import os
+import tempfile
+
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orchestrator_bump_default.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+
+import pytest  # noqa: E402
+
+import src.db as db_module  # noqa: E402
+from src.config import Settings  # noqa: E402
+from src.db import (  # noqa: E402
+    init_db, get_db, get_tracker_message_id, set_tracker_message_id,
+)
+from src import notifications as N  # noqa: E402
+
+
+@pytest.fixture(autouse=True)
+def setup_db(monkeypatch):
+    monkeypatch.setattr(db_module.settings, "db_path", _test_db, raising=False)
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+    init_db()
+    yield
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+
+
+def _mk_task(stage="development", wid="ORCH-067"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title) "
+        "VALUES (?, ?, ?, ?, ?, ?)",
+        ("p1", wid, "orchestrator", "feature/ORCH-067-x", stage, "bump default"),
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return tid
+
+
+# --------------------------------------------------------------------------- #
+# TC-01 / AC-1 — default tracker_mode == "bump"
+# --------------------------------------------------------------------------- #
+def test_tc01_default_tracker_mode_is_bump(monkeypatch):
+    monkeypatch.delenv("ORCH_TRACKER_MODE", raising=False)
+    assert Settings().tracker_mode == "bump"
+
+
+# --------------------------------------------------------------------------- #
+# TC-02 / AC-2, AC-15 — repeat update: delete(old) -> send(silent) -> repoint
+# --------------------------------------------------------------------------- #
+def test_tc02_repeat_delete_send_silent_repoint(monkeypatch):
+    # No env -> resolves to the new bump default (no explicit mode pin).
+    monkeypatch.setattr(N._get_settings(), "tracker_mode", "bump", raising=False)
+    tid = _mk_task()
+    set_tracker_message_id(tid, 100)
+
+    order = []
+    monkeypatch.setattr(N, "delete_telegram",
+                        lambda mid: order.append(("delete", mid)) or True)
+    monkeypatch.setattr(N, "send_telegram",
+                        lambda text, disable_notification=False:
+                        order.append(("send", disable_notification)) or 200)
+
+    N.update_task_tracker(tid)
+
+    # delete(old) strictly before send; the new card is SILENT (disable=True).
+    assert order == [("delete", 100), ("send", True)]
+    assert get_tracker_message_id(tid) == 200  # one card -> repointed
+
+
+# --------------------------------------------------------------------------- #
+# TC-03 / AC-3 — transient send None must NOT wipe the pointer / duplicate
+# --------------------------------------------------------------------------- #
+def test_tc03_send_none_keeps_pointer_no_dupe(monkeypatch):
+    monkeypatch.setattr(N._get_settings(), "tracker_mode", "bump", raising=False)
+    tid = _mk_task()
+    set_tracker_message_id(tid, 100)
+
+    sends = []
+    monkeypatch.setattr(N, "delete_telegram", lambda mid: True)
+    monkeypatch.setattr(N, "send_telegram",
+                        lambda text, disable_notification=False:
+                        sends.append(1) or None)
+
+    N.update_task_tracker(tid)  # must not raise
+
+    assert len(sends) == 1            # exactly one (failed) attempt, no retry
+    assert get_tracker_message_id(tid) == 100  # pointer preserved, not None
+
+
+# --------------------------------------------------------------------------- #
+# TC-04 / AC-4 — edit mode still reachable via env -> editMessageText path
+# --------------------------------------------------------------------------- #
+def test_tc04_edit_mode_still_available(monkeypatch):
+    monkeypatch.setattr(N._get_settings(), "tracker_mode", "edit", raising=False)
+    tid = _mk_task()
+    set_tracker_message_id(tid, 777)
+
+    edited = {}
+    monkeypatch.setattr(N, "edit_telegram",
+                        lambda mid, text: edited.update(mid=mid) or N.EDIT_OK)
+    monkeypatch.setattr(
+        N, "send_telegram",
+        lambda *a, **k: (_ for _ in ()).throw(
+            AssertionError("edit mode must not send when edit succeeds")),
+    )
+
+    N.update_task_tracker(tid)
+    assert edited["mid"] == 777  # edited in place, no new card
+
+
+def test_tc04b_edit_mode_resolution_case_insensitive(monkeypatch):
+    """Anything other than 'bump' resolves to edit (e.g. 'EDIT')."""
+    monkeypatch.setattr(N._get_settings(), "tracker_mode", "EDIT", raising=False)
+    tid = _mk_task()
+    set_tracker_message_id(tid, 5)
+    edited = {}
+    monkeypatch.setattr(N, "edit_telegram",
+                        lambda mid, text: edited.update(mid=mid) or N.EDIT_OK)
+    monkeypatch.setattr(N, "send_telegram",
+                        lambda *a, **k: (_ for _ in ()).throw(
+                            AssertionError("should edit, not send")))
+    N.update_task_tracker(tid)
+    assert edited["mid"] == 5
+
+
+# --------------------------------------------------------------------------- #
+# TC-17 / AC-15 — first bump call: NO delete, silent send, id stored
+# --------------------------------------------------------------------------- #
+def test_tc17_first_call_silent_no_delete(monkeypatch):
+    monkeypatch.setattr(N._get_settings(), "tracker_mode", "bump", raising=False)
+    tid = _mk_task(stage="analysis")
+
+    sends = []
+    monkeypatch.setattr(N, "send_telegram",
+                        lambda text, disable_notification=False:
+                        sends.append(disable_notification) or 555)
+    monkeypatch.setattr(N, "delete_telegram",
+                        lambda mid: (_ for _ in ()).throw(
+                            AssertionError("delete must not run on first call")))
+
+    N.update_task_tracker(tid)
+
+    assert sends == [True]                      # exactly one SILENT send
+    assert get_tracker_message_id(tid) == 555   # id stored

tests/test_tracker_issue_link.py

@@ -0,0 +1,158 @@
+"""ORCH-067 — Group C: clickable issue number in the live card (AC-10/AC-11/AC-14).
+
+The issue number in the card header is now a Plane hyperlink
+(``<a href=".../issues/<id>/">ORCH-NNN</a>``) when a usable browser URL can be
+built, and degrades fail-safe to the html-escaped raw number when any piece is
+missing (web base / non-loopback / workspace / project_id / plane_issue_id). The
+card must NEVER break under parse_mode=HTML: a title with '<'/'&'/'>' stays
+escaped while the <a> markup stays valid. Network is isolated (no HTTP from the
+render path here); the DB is a temp SQLite.
+
+Test ids TC-10, TC-11, TC-16 from 04-test-plan.yaml.
+"""
+
+import os
+import tempfile
+
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orchestrator_card_link.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+
+from types import SimpleNamespace  # noqa: E402
+
+import pytest  # noqa: E402
+
+import src.db as db_module  # noqa: E402
+import src.projects as projects_mod  # noqa: E402
+from src.db import init_db, get_db  # noqa: E402
+from src import notifications as N  # noqa: E402
+
+# orchestrator repo -> default project registry uuid (src/projects.py).
+_ORCH_PROJECT_ID = "8da6aa25-a60e-44d6-a1e2-d8ae59aa7d6a"
+
+
+@pytest.fixture(autouse=True)
+def setup_db(monkeypatch):
+    monkeypatch.setattr(db_module.settings, "db_path", _test_db, raising=False)
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+    init_db()
+    # Keep the render path fully offline (no live overlay HTTP).
+    monkeypatch.setattr(N._get_settings(), "tracker_live_status", False,
+                        raising=False)
+    # Pin the repo->project resolution so cross-file tests that reload the
+    # ORCH_PROJECTS_JSON registry can't strip 'orchestrator' out from under us.
+    monkeypatch.setattr(
+        projects_mod, "get_project_by_repo",
+        lambda repo: (SimpleNamespace(plane_project_id=_ORCH_PROJECT_ID)
+                      if repo == "orchestrator" else None),
+    )
+    yield
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+
+
+def _set(monkeypatch, **kw):
+    s = N._get_settings()
+    for k, v in kw.items():
+        monkeypatch.setattr(s, k, v, raising=False)
+
+
+def _mk_task(wid="ORCH-067", repo="orchestrator", title="card link",
+             plane_issue_id="issue-uuid-1", stage="development"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title, "
+        "plane_issue_id) VALUES (?, ?, ?, ?, ?, ?, ?)",
+        ("p1", wid, repo, "feature/ORCH-067-x", stage, title, plane_issue_id),
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return tid
+
+
+# --------------------------------------------------------------------------- #
+# TC-10 / AC-10 — full data -> clickable <a> wrapping the issue number
+# --------------------------------------------------------------------------- #
+def test_tc10_card_number_is_clickable(monkeypatch):
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_api_url="http://localhost:8091", plane_workspace_slug="acme")
+    tid = _mk_task(plane_issue_id="abcd-issue-uuid")
+
+    text = N.render_task_tracker(tid)
+    expected_url = (
+        f"https://plane.example.org/acme/projects/{_ORCH_PROJECT_ID}"
+        f"/issues/abcd-issue-uuid/"
+    )
+    assert f'<a href="{expected_url}">ORCH-067</a>' in text
+
+
+# --------------------------------------------------------------------------- #
+# TC-11 / AC-11 — fail-safe: any missing piece -> escaped number, no <a>, no crash
+# --------------------------------------------------------------------------- #
+@pytest.mark.parametrize("override,reason", [
+    ({"plane_web_url": "", "plane_api_url": ""}, "no web base"),
+    ({"plane_web_url": "http://localhost:8091", "plane_api_url": ""}, "loopback base"),
+    ({"plane_workspace_slug": ""}, "no workspace"),
+])
+def test_tc11_card_number_degrades_settings(monkeypatch, override, reason):
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_api_url="http://localhost:8091", plane_workspace_slug="acme")
+    _set(monkeypatch, **override)
+    tid = _mk_task(plane_issue_id="abcd-issue-uuid")
+
+    text = N.render_task_tracker(tid)
+    assert "ORCH-067" in text                 # raw number still shown
+    assert "<a href=" not in text, reason     # but NOT a link
+    assert "localhost" not in text            # never leak a loopback URL
+
+
+def test_tc11_card_number_degrades_no_issue_id(monkeypatch):
+    # Missing plane_issue_id -> the number is shown unlinked, render survives.
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_workspace_slug="acme")
+    tid = _mk_task(plane_issue_id=None)
+    text = N.render_task_tracker(tid)
+    assert "ORCH-067" in text
+    assert "<a href=" not in text
+
+
+def test_tc11_card_number_degrades_unknown_repo(monkeypatch):
+    # repo not in the registry -> no project_id -> number unlinked, no crash.
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_workspace_slug="acme")
+    tid = _mk_task(repo="not-a-real-repo", plane_issue_id="abcd-issue-uuid")
+    text = N.render_task_tracker(tid)
+    assert "ORCH-067" in text
+    assert "<a href=" not in text
+
+
+# --------------------------------------------------------------------------- #
+# TC-16 / AC-14 — HTML escaping: title with '<b>'/'&'/'>' stays safe + valid <a>
+# --------------------------------------------------------------------------- #
+def test_tc16_title_escaped_link_valid(monkeypatch):
+    _set(monkeypatch, plane_web_url="https://plane.example.org",
+         plane_workspace_slug="acme")
+    tid = _mk_task(title="<b>drop & </b> table >", plane_issue_id="iss-1")
+
+    text = N.render_task_tracker(tid)
+    # Raw title markup is escaped -> cannot break parse_mode=HTML.
+    assert "<b>" not in text
+    assert "&lt;b&gt;" in text
+    assert "&amp;" in text
+    # The card's own anchor markup stays well-formed (balanced tags).
+    assert text.count("<a href=") == text.count("</a>")
+    assert text.count("<a href=") >= 1          # the clickable number is present
+
+
+def test_tc16_ampersand_in_work_item_id_escaped(monkeypatch):
+    # A '&' in the work_item_id is escaped in the (unlinked) fail-safe path too.
+    _set(monkeypatch, plane_web_url="", plane_api_url="",
+         plane_workspace_slug="acme")
+    tid = _mk_task(wid="ORCH&67", plane_issue_id="iss-1")
+    text = N.render_task_tracker(tid)
+    assert "ORCH&amp;67" in text
+    assert "<a href=" not in text               # no link (no web base)

tests/test_tracker_status_line.py

@@ -0,0 +1,216 @@
+"""ORCH-067 — Group B: the Plane-status line on the live card (AC-5..AC-9).
+
+The card now carries an explicit '📍 <Plane status>' line under the header that
+follows the ORCH-066 status model. The OFFLINE core (stage->status + In Review
+from the brd-clock + Awaiting Deploy) is pure/deterministic and never touches the
+network; a best-effort LIVE overlay draws the branch statuses that are
+indistinguishable offline (Needs Input / Blocked / …). Everything degrades to the
+stage default and NEVER raises (AC-9). Network is isolated: the live-state read
+(`_live_state_uuid_cached`) and `get_project_states` are patched per case; the DB
+is a temp SQLite.
+
+Test ids TC-05..TC-09 from 04-test-plan.yaml.
+"""
+
+import os
+import tempfile
+
+os.environ.setdefault("ORCH_PLANE_API_TOKEN", "test-token")
+os.environ.setdefault("ORCH_GITEA_TOKEN", "test-token")
+
+_test_db = os.path.join(tempfile.gettempdir(), "test_orchestrator_status_line.db")
+os.environ["ORCH_DB_PATH"] = _test_db
+
+from types import SimpleNamespace  # noqa: E402
+
+import pytest  # noqa: E402
+
+import src.db as db_module  # noqa: E402
+import src.projects as projects_mod  # noqa: E402
+from src.db import init_db, get_db  # noqa: E402
+from src import notifications as N  # noqa: E402
+import src.plane_sync as plane_sync  # noqa: E402
+
+_ORCH_PROJECT_ID = "8da6aa25-a60e-44d6-a1e2-d8ae59aa7d6a"
+
+
+@pytest.fixture(autouse=True)
+def setup_db(monkeypatch):
+    monkeypatch.setattr(db_module.settings, "db_path", _test_db, raising=False)
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+    init_db()
+    # Live overlay OFF by default for the offline-core tests; cases that need it
+    # turn it back on explicitly. Keep the per-issue cache clean between cases.
+    monkeypatch.setattr(N._get_settings(), "tracker_live_status", False, raising=False)
+    N._LIVE_STATE_CACHE.clear()
+    # Pin repo->project resolution (cross-file ORCH_PROJECTS_JSON reloads must not
+    # strip 'orchestrator' and disable the live overlay under us).
+    monkeypatch.setattr(
+        projects_mod, "get_project_by_repo",
+        lambda repo: (SimpleNamespace(plane_project_id=_ORCH_PROJECT_ID)
+                      if repo == "orchestrator" else None),
+    )
+    yield
+    if os.path.exists(_test_db):
+        os.unlink(_test_db)
+
+
+def _mk_task(stage="development", wid="ORCH-067", repo="orchestrator",
+             plane_issue_id="issue-uuid-1", brd_started=None, brd_ended=None,
+             title="status line"):
+    conn = get_db()
+    cur = conn.execute(
+        "INSERT INTO tasks (plane_id, work_item_id, repo, branch, stage, title, "
+        "plane_issue_id, brd_review_started_at, brd_review_ended_at) "
+        "VALUES (?, ?, ?, ?, ?, ?, ?, ?, ?)",
+        ("p1", wid, repo, "feature/ORCH-067-x", stage, title, plane_issue_id,
+         brd_started, brd_ended),
+    )
+    tid = cur.lastrowid
+    conn.commit()
+    conn.close()
+    return tid
+
+
+def _status_line(text):
+    """Extract the single '📍 ...' status line from rendered card text."""
+    for ln in text.splitlines():
+        if ln.startswith("\U0001f4cd"):
+            return ln
+    return None
+
+
+# --------------------------------------------------------------------------- #
+# TC-05 / AC-5 — render carries an explicit Plane-status line
+# --------------------------------------------------------------------------- #
+def test_tc05_render_has_status_line():
+    tid = _mk_task(stage="development")
+    text = N.render_task_tracker(tid)
+    line = _status_line(text)
+    assert line is not None                       # '📍 ...' present
+    assert line == "\U0001f4cd Development"        # stage -> Plane status
+
+
+# --------------------------------------------------------------------------- #
+# TC-06 / AC-6 — stage -> Plane status mapping (ТЗ §2.2), parametrized
+# --------------------------------------------------------------------------- #
+@pytest.mark.parametrize("stage,expected", [
+    ("created", "To Analyse"),
+    ("analysis", "Analysis"),
+    ("architecture", "Architecture"),
+    ("development", "Development"),
+    ("review", "Code-Review"),
+    ("testing", "Testing"),
+    ("deploy", "⏸️ Awaiting Deploy — ожидание Confirm Deploy"),
+    ("done", "Done"),
+])
+def test_tc06_stage_to_plane_status(stage, expected):
+    # plane_status_label is pure/offline -> assert directly off a row-like dict.
+    assert N.plane_status_label({"stage": stage}) == expected
+
+
+def test_tc06_unknown_stage_degrades_to_default():
+    # Anything unknown -> the safe stage default (To Analyse), never an error.
+    assert N.plane_status_label({"stage": "weird-stage"}) == "To Analyse"
+    assert N.plane_status_label({}) == "To Analyse"
+
+
+# --------------------------------------------------------------------------- #
+# TC-07 / AC-7 — In Review from the brd-clock, OFFLINE (no network)
+# --------------------------------------------------------------------------- #
+def test_tc07_in_review_from_brd_clock(monkeypatch):
+    # analysis + brd started + not ended -> '⏸️ In Review' (waiting BRD approve).
+    # Guard: any network read would fail this test -> prove it stays offline.
+    def _boom(*a, **k):
+        raise AssertionError("In Review must be resolved OFFLINE (no network)")
+    monkeypatch.setattr(N, "_live_state_uuid_cached", _boom)
+
+    tid = _mk_task(stage="analysis", brd_started="2026-06-08 10:00:00",
+                   brd_ended=None)
+    text = N.render_task_tracker(tid)
+
+    assert _status_line(text) == "\U0001f4cd " + N._IN_REVIEW_LABEL
+    # The human-gate 'Подтверждение BRD' line with ⏸️/⏳ is still rendered.
+    assert N._BRD_LABEL in text
+    assert "⏳" in text                        # ⏳ still-waiting marker
+
+
+def test_tc07b_in_review_clears_once_brd_ended():
+    # Once the BRD review ended, analysis is back to the plain 'Analysis' status.
+    tid = _mk_task(stage="analysis", brd_started="2026-06-08 10:00:00",
+                   brd_ended="2026-06-08 10:30:00")
+    assert _status_line(N.render_task_tracker(tid)) == "\U0001f4cd Analysis"
+
+
+# --------------------------------------------------------------------------- #
+# TC-08 / AC-8 — Awaiting Deploy (offline) + Needs Input (live overlay)
+# --------------------------------------------------------------------------- #
+def test_tc08_awaiting_deploy_offline():
+    # stage=deploy -> '⏸️ Awaiting Deploy' purely offline (no overlay needed).
+    tid = _mk_task(stage="deploy")
+    line = _status_line(N.render_task_tracker(tid))
+    assert line == "\U0001f4cd ⏸️ Awaiting Deploy — ожидание Confirm Deploy"
+
+
+def test_tc08_needs_input_via_live_overlay(monkeypatch):
+    # Needs Input is NOT derivable offline -> drawn by the best-effort overlay
+    # reading the LIVE Plane status. Patch the live read + the state map.
+    monkeypatch.setattr(N._get_settings(), "tracker_live_status", True,
+                        raising=False)
+    monkeypatch.setattr(N, "_live_state_uuid_cached",
+                        lambda issue_id, project_id: "uuid-needs-input")
+    monkeypatch.setattr(
+        plane_sync, "get_project_states",
+        lambda project_id: {"needs_input": "uuid-needs-input"},
+    )
+    # repo='orchestrator' resolves to a real registry project_id -> overlay runs.
+    tid = _mk_task(stage="development", repo="orchestrator")
+    line = _status_line(N.render_task_tracker(tid))
+    assert line == "\U0001f4cd ❓ Needs Input — нужны уточнения"
+
+
+def test_tc08b_overlay_no_match_keeps_offline_base(monkeypatch):
+    # Live status maps to no branch key -> the offline stage base is kept.
+    monkeypatch.setattr(N._get_settings(), "tracker_live_status", True,
+                        raising=False)
+    monkeypatch.setattr(N, "_live_state_uuid_cached",
+                        lambda issue_id, project_id: "uuid-in-progress")
+    monkeypatch.setattr(
+        plane_sync, "get_project_states",
+        lambda project_id: {"in_progress": "uuid-in-progress",
+                            "needs_input": "uuid-needs-input"},
+    )
+    tid = _mk_task(stage="development", repo="orchestrator")
+    assert _status_line(N.render_task_tracker(tid)) == "\U0001f4cd Development"
+
+
+# --------------------------------------------------------------------------- #
+# TC-09 / AC-9, AC-16 — render never raises on broken/unreachable status data
+# --------------------------------------------------------------------------- #
+def test_tc09_render_survives_overlay_exception(monkeypatch):
+    # The live overlay blowing up must NOT escape render -> degrade to stage base.
+    monkeypatch.setattr(N._get_settings(), "tracker_live_status", True,
+                        raising=False)
+
+    def _boom(*a, **k):
+        raise RuntimeError("plane down")
+    monkeypatch.setattr(N, "_live_state_uuid_cached", _boom)
+
+    tid = _mk_task(stage="development", repo="orchestrator")
+    text = N.render_task_tracker(tid)             # must not raise
+    assert _status_line(text) == "\U0001f4cd Development"
+
+
+def test_tc09b_card_status_label_never_raises(monkeypatch):
+    # _card_status_label swallows everything -> a usable default, never an error.
+    def _boom(*a, **k):
+        raise RuntimeError("boom")
+    monkeypatch.setattr(N, "plane_status_label", _boom)
+    assert N._card_status_label({"stage": "development"}) == "To Analyse"
+
+
+def test_tc09c_plane_status_label_never_raises():
+    # Garbage row (None / object without keys) -> safe default, no exception.
+    assert N.plane_status_label(None) == "To Analyse"
+    assert N.plane_status_label(object()) == "To Analyse"