v2.2.1: 11 security fixes (safe_edit_message, IP validation, os-release protection, config_get return codes, spinner stderr, domain check, mode sanitization, var init, XSS escape)

2026-05-19 14:26:02 +00:00 · 2026-04-06 20:49:31 +03:00
parent bbd6eab48c
commit 4985ec3679
13 changed files with 5212 additions and 2166 deletions
--- a/gotelegram-bot/README.md
+++ b/gotelegram-bot/README.md
@@ -1,70 +1,70 @@
-# GoTelegram MTProxy Bot
-
-Telegram-бот для управления MTProxy на сервере — те же функции, что и у CLI `gotelegram`, но через бота.
-
-## Команды
-
-| Команда | Описание |
-|--------|----------|
-| `/start`, `/help` | Справка |
-| `/install` | Установить или обновить прокси (выбор домена и порта) |
-| `/status` | Статус и данные подключения (IP, порт, secret, ссылка) |
-| `/link` | Только ссылка `tg://proxy` |
-| `/restart` | Перезапустить контейнер |
-| `/logs` | Последние логи контейнера |
-| `/remove` | Удалить прокси |
-| `/promo` | Промо хостинга |
-
-## Установка на сервер
-
-### Публичный репозиторий (одной командой)
-
-```bash
-curl -sL https://raw.githubusercontent.com/anten-ka/gotelegram_pro/main/install_gotelegram_bot.sh -o /tmp/install_gotelegram_bot.sh && sudo bash /tmp/install_gotelegram_bot.sh
-```
-
-При установке скрипт запросит **BOT_TOKEN** (получить у [@BotFather](https://t.me/BotFather)).
-
-### Закрытый репозиторий (установка по ключу)
-
-Для **приватного** репо используется клонирование по **SSH-ключу** или по **токену (PAT)**. Подробно: **[INSTALL_PRIVATE.md](../INSTALL_PRIVATE.md)** в корне репозитория.
-
-Кратко:
- **По SSH:** скопируйте `bootstrap_install.sh` на сервер, затем  
-  `GIT_REPO_SSH=git@github.com:USER/REPO.git sudo bash bootstrap_install.sh`
- **По токену:**  
-  `GITHUB_TOKEN=ghp_xxx GIT_REPO_HTTPS=https://github.com/USER/REPO.git sudo -E bash bootstrap_install.sh`
- Или клонируйте репо вручную и запустите:  
-  `sudo ./install_gotelegram_bot.sh`
-
-### Локально (файлы уже рядом со скриптом)
-
-```bash
-sudo ./install_gotelegram_bot.sh
-```
-
-## Конфигурация
-
-Файл: `/opt/gotelegram-bot/.env`
-
- **BOT_TOKEN** — токен от @BotFather (обязательно).
- **ALLOWED_IDS** — опционально. Список ID пользователей через запятую; если не задан, бот доступен всем.
-
-После изменения `.env` перезапуск сервиса:
-
-```bash
-sudo systemctl restart gotelegram-bot
-```
-
-## Требования на сервере
-
- Linux (systemd), Docker, Python 3.
- Перед использованием бота на сервере должен быть установлен Docker (бот сам поднимает контейнер `nineseconds/mtg:2` по команде `/install`).
-
-## Управление сервисом
-
-```bash
-sudo systemctl status gotelegram-bot
-sudo systemctl restart gotelegram-bot
-journalctl -u gotelegram-bot -f
-```
+# GoTelegram MTProxy Bot
+
+Telegram-бот для управления MTProxy на сервере — те же функции, что и у CLI `gotelegram`, но через бота.
+
+## Команды
+
+| Команда | Описание |
+|--------|----------|
+| `/start`, `/help` | Справка |
+| `/install` | Установить или обновить прокси (выбор домена и порта) |
+| `/status` | Статус и данные подключения (IP, порт, secret, ссылка) |
+| `/link` | Только ссылка `tg://proxy` |
+| `/restart` | Перезапустить контейнер |
+| `/logs` | Последние логи контейнера |
+| `/remove` | Удалить прокси |
+| `/promo` | Промо хостинга |
+
+## Установка на сервер
+
+### Публичный репозиторий (одной командой)
+
+```bash
+curl -sL https://raw.githubusercontent.com/anten-ka/gotelegram_pro/main/install_gotelegram_bot.sh -o /tmp/install_gotelegram_bot.sh && sudo bash /tmp/install_gotelegram_bot.sh
+```
+
+При установке скрипт запросит **BOT_TOKEN** (получить у [@BotFather](https://t.me/BotFather)).
+
+### Закрытый репозиторий (установка по ключу)
+
+Для **приватного** репо используется клонирование по **SSH-ключу** или по **токену (PAT)**. Подробно: **[INSTALL_PRIVATE.md](../INSTALL_PRIVATE.md)** в корне репозитория.
+
+Кратко:
+- **По SSH:** скопируйте `bootstrap_install.sh` на сервер, затем  
+  `GIT_REPO_SSH=git@github.com:USER/REPO.git sudo bash bootstrap_install.sh`
+- **По токену:**  
+  `GITHUB_TOKEN=ghp_xxx GIT_REPO_HTTPS=https://github.com/USER/REPO.git sudo -E bash bootstrap_install.sh`
+- Или клонируйте репо вручную и запустите:  
+  `sudo ./install_gotelegram_bot.sh`
+
+### Локально (файлы уже рядом со скриптом)
+
+```bash
+sudo ./install_gotelegram_bot.sh
+```
+
+## Конфигурация
+
+Файл: `/opt/gotelegram-bot/.env`
+
+- **BOT_TOKEN** — токен от @BotFather (обязательно).
+- **ALLOWED_IDS** — опционально. Список ID пользователей через запятую; если не задан, бот доступен всем.
+
+После изменения `.env` перезапуск сервиса:
+
+```bash
+sudo systemctl restart gotelegram-bot
+```
+
+## Требования на сервере
+
+- Linux (systemd), Docker, Python 3.
+- Перед использованием бота на сервере должен быть установлен Docker (бот сам поднимает контейнер `nineseconds/mtg:2` по команде `/install`).
+
+## Управление сервисом
+
+```bash
+sudo systemctl status gotelegram-bot
+sudo systemctl restart gotelegram-bot
+journalctl -u gotelegram-bot -f
+```
--- a/gotelegram-bot/bot.py
+++ b/gotelegram-bot/bot.py
--- a/gotelegram-bot/config.example.env
+++ b/gotelegram-bot/config.example.env
@@ -1,4 +1,9 @@
-# Скопируйте в .env и заполните
+# GoTelegram v2.2 Bot Configuration
+# Copy this to .env and fill in your values
+
+# Telegram Bot Token from @BotFather
 BOT_TOKEN=your_bot_token_from_@BotFather
-# Опционально: список ID пользователей с доступом (через запятую). Пусто = все.
-# ALLOWED_IDS=123456789,987654321
+
+# Comma-separated list of allowed Telegram user IDs
+# Leave empty to allow all users
+# ALLOWED_IDS=123456789,987654321
--- a/gotelegram-bot/requirements.txt
+++ b/gotelegram-bot/requirements.txt
@@ -1 +1,3 @@
 python-telegram-bot>=21.0
+python-dotenv>=1.0.0
+toml>=0.10.2
--- a/install.sh
+++ b/install.sh
--- a/install_gotelegram_bot.sh
+++ b/install_gotelegram_bot.sh
@@ -1,139 +1,132 @@
-#!/bin/bash
-# Установка GoTelegram MTProxy Bot (по образцу gokaskad).
-# Запуск: curl -sL URL/install_gotelegram_bot.sh -o /tmp/install_gotelegram_bot.sh && sudo bash /tmp/install_gotelegram_bot.sh
-# Или с токеном GitHub (приватный репо): curl -sL -H "Authorization: token YOUR_GITHUB_TOKEN" URL -o /tmp/install_gotelegram_bot.sh && sudo bash /tmp/install_gotelegram_bot.sh
-
-set -e
-RED='\033[0;31m'
-GREEN='\033[0;32m'
-YELLOW='\033[1;33m'
-NC='\033[0m'
-
-if [ "$EUID" -ne 0 ]; then
-  echo -e "${RED}Запустите скрипт с sudo.${NC}"
-  exit 1
-fi
-
-BOT_DIR="/opt/gotelegram-bot"
-SERVICE_NAME="gotelegram-bot"
-REPO_URL="${GOTETELEGRAM_BOT_REPO:-https://github.com/anten-ka/gotelegram_pro}"
-# Для приватного репо задайте GITHUB_TOKEN перед запуском или в одной команде:
-# GITHUB_TOKEN=ghp_xxx curl -sL -H "Authorization: token $GITHUB_TOKEN" ... 
-
-echo -e "${GREEN}[*] Установка GoTelegram Bot...${NC}"
-
-# Зависимости
-if ! command -v python3 &>/dev/null; then
-  if command -v apt-get &>/dev/null; then
-    apt-get update && apt-get install -y python3 python3-pip python3-venv
-  elif command -v dnf &>/dev/null; then
-    dnf install -y python3 python3-pip python3-virtualenv 2>/dev/null || dnf install -y python3 python3-pip
-  elif command -v yum &>/dev/null; then
-    yum install -y python3 python3-pip
-  else
-    echo -e "${RED}Установите python3 вручную.${NC}"
-    exit 1
-  fi
-fi
-if ! command -v docker &>/dev/null; then
-  echo -e "${YELLOW}[!] Docker не найден. Установите Docker для работы /install.${NC}"
-fi
-
-# Каталог бота
-mkdir -p "$BOT_DIR"
-cd "$BOT_DIR"
-
-# Откуда брать файлы: локальная папка (клонированный репо) или скачивание
-SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
-
-if [ -f "$SCRIPT_DIR/gotelegram-bot/bot.py" ]; then
-  echo -e "${GREEN}[*] Копирование файлов из $SCRIPT_DIR/gotelegram-bot${NC}"
-  cp -r "$SCRIPT_DIR/gotelegram-bot"/* "$BOT_DIR/"
-else
-  # Приватный репо: клонируем по токену (raw URL с токеном для приватного не работает)
-  if [ -n "$GITHUB_TOKEN" ] && command -v git &>/dev/null; then
-    echo -e "${GREEN}[*] Клонирование приватного репозитория (HTTPS + токен)...${NC}"
-    CLONE_DIR="/tmp/gotelegram_pro_fetch_$$"
-    trap "rm -rf '$CLONE_DIR'" EXIT
-    REPO_PATH="${REPO_URL#https://}"
-    REPO_PATH="${REPO_PATH#http://}"
-    git clone --depth 1 --branch "${GIT_BRANCH:-main}" "https://${GITHUB_TOKEN}@${REPO_PATH}" "$CLONE_DIR" 2>/dev/null || {
-      echo -e "${RED}Клонирование не удалось. Проверьте GITHUB_TOKEN и доступ к репо.${NC}"
-      exit 1
-    }
-    if [ -f "$CLONE_DIR/gotelegram-bot/bot.py" ]; then
-      cp -r "$CLONE_DIR/gotelegram-bot"/* "$BOT_DIR/"
-    fi
-    rm -rf "$CLONE_DIR"
-    trap - EXIT
-  fi
-  # Если файлов всё ещё нет — пробуем raw (только для публичного репо)
-  if [ ! -f "$BOT_DIR/bot.py" ]; then
-    echo -e "${YELLOW}[*] Скачивание файлов из репозитория (публичный доступ)...${NC}"
-    for f in bot.py requirements.txt config.example.env; do
-      if [ -n "$GITHUB_TOKEN" ]; then
-        curl -sL -f -H "Authorization: token $GITHUB_TOKEN" \
-          "$REPO_URL/raw/main/gotelegram-bot/$f" -o "$BOT_DIR/$f" 2>/dev/null || true
-      fi
-      [ ! -f "$BOT_DIR/$f" ] && curl -sL -f "$REPO_URL/raw/main/gotelegram-bot/$f" -o "$BOT_DIR/$f" 2>/dev/null || true
-    done
-  fi
-  if [ ! -f "$BOT_DIR/bot.py" ]; then
-    echo -e "${RED}Не удалось получить файлы бота.${NC}"
-    echo -e "  Для приватного репо: задайте GITHUB_TOKEN и убедитесь, что установлен git."
-    echo -e "  Или клонируйте репо вручную и запустите: sudo ./install_gotelegram_bot.sh"
-    exit 1
-  fi
-fi
-
-# venv и зависимости
-if [ ! -d "$BOT_DIR/venv" ]; then
-  python3 -m venv "$BOT_DIR/venv"
-fi
-"$BOT_DIR/venv/bin/pip" install -r "$BOT_DIR/requirements.txt" -q
-
-# Конфиг
-if [ ! -f "$BOT_DIR/.env" ]; then
-  echo -e "${YELLOW}Введите BOT_TOKEN от @BotFather:${NC}"
-  TOKEN=""
-  while [ -z "$TOKEN" ]; do
-    read -r TOKEN
-    TOKEN=$(echo "$TOKEN" | tr -d '[:space:]')
-    [ -z "$TOKEN" ] && echo -e "${RED}Токен не может быть пустым. Повторите:${NC}"
-  done
-  {
-    echo "BOT_TOKEN=$TOKEN"
-    [ -f "$BOT_DIR/config.example.env" ] && grep -v "^BOT_TOKEN=" "$BOT_DIR/config.example.env" | grep -v "^#"
-  } > "$BOT_DIR/.env"
-  chmod 600 "$BOT_DIR/.env"
-  echo -e "${GREEN}[*] .env создан.${NC}"
-else
-  echo -e "${GREEN}[*] .env уже есть.${NC}"
-fi
-
-# systemd
-cat > "/etc/systemd/system/${SERVICE_NAME}.service" << EOF
-[Unit]
-Description=GoTelegram MTProxy Bot
-After=network.target docker.service
-
-[Service]
-Type=simple
-WorkingDirectory=$BOT_DIR
-ExecStart=$BOT_DIR/venv/bin/python $BOT_DIR/bot.py
-Restart=always
-RestartSec=5
-Environment=PATH=$BOT_DIR/venv/bin:/usr/bin
-
-[Install]
-WantedBy=multi-user.target
-EOF
-
-systemctl daemon-reload
-systemctl enable "$SERVICE_NAME"
-systemctl restart "$SERVICE_NAME" 2>/dev/null || systemctl start "$SERVICE_NAME"
-echo -e "${GREEN}[*] Сервис $SERVICE_NAME установлен и запущен.${NC}"
-echo -e "Проверка: systemctl status $SERVICE_NAME"
-echo -e "Логи: journalctl -u $SERVICE_NAME -f"
-echo -e "Настройки: $BOT_DIR/.env (BOT_TOKEN, ALLOWED_IDS)"
-exit 0
+#!/bin/bash
+# GoTelegram v2.2 — Установка Telegram-бота
+# Создаёт venv, ставит зависимости, настраивает systemd
+
+set -e
+RED='\033[0;31m'
+GREEN='\033[0;32m'
+YELLOW='\033[1;33m'
+CYAN='\033[0;36m'
+NC='\033[0m'
+
+BOT_DIR="/opt/gotelegram-bot"
+SERVICE_NAME="gotelegram-bot"
+GOTELEGRAM_DIR="/opt/gotelegram"
+
+if [ "$EUID" -ne 0 ]; then
+    echo -e "${RED}Запустите с sudo.${NC}"
+    exit 1
+fi
+
+echo -e "${CYAN}╔═══════════════════════════════════════════╗${NC}"
+echo -e "${CYAN}║${NC}  ${GREEN}GoTelegram v2.2 — Установка бота${NC}          ${CYAN}║${NC}"
+echo -e "${CYAN}╚═══════════════════════════════════════════╝${NC}"
+echo ""
+
+# ── Python ───────────────────────────────────────────────────────────────────
+if ! command -v python3 &>/dev/null; then
+    echo -e "${YELLOW}[*] Установка python3...${NC}"
+    if command -v apt-get &>/dev/null; then
+        apt-get update -qq && apt-get install -y -qq python3 python3-pip python3-venv
+    elif command -v dnf &>/dev/null; then
+        dnf install -y -q python3 python3-pip
+    elif command -v yum &>/dev/null; then
+        yum install -y -q python3 python3-pip
+    fi
+fi
+
+# ── Каталог бота ─────────────────────────────────────────────────────────────
+mkdir -p "$BOT_DIR"
+SCRIPT_DIR="$(cd "$(dirname "${BASH_SOURCE[0]}")" && pwd)"
+
+if [ -f "$SCRIPT_DIR/gotelegram-bot/bot.py" ]; then
+    echo -e "${GREEN}[*] Копирование файлов бота...${NC}"
+    cp "$SCRIPT_DIR/gotelegram-bot/bot.py" "$BOT_DIR/"
+    cp "$SCRIPT_DIR/gotelegram-bot/requirements.txt" "$BOT_DIR/"
+    [ -f "$SCRIPT_DIR/gotelegram-bot/config.example.env" ] && cp "$SCRIPT_DIR/gotelegram-bot/config.example.env" "$BOT_DIR/"
+else
+    echo -e "${RED}Файлы бота не найдены в $SCRIPT_DIR/gotelegram-bot/${NC}"
+    exit 1
+fi
+
+# Копируем каталог шаблонов
+if [ -f "$SCRIPT_DIR/templates_catalog.json" ]; then
+    mkdir -p "$GOTELEGRAM_DIR"
+    cp "$SCRIPT_DIR/templates_catalog.json" "$GOTELEGRAM_DIR/"
+    echo -e "${GREEN}[*] Каталог шаблонов скопирован${NC}"
+fi
+
+# ── Virtual environment ──────────────────────────────────────────────────────
+if [ ! -d "$BOT_DIR/venv" ]; then
+    echo -e "${GREEN}[*] Создание виртуального окружения...${NC}"
+    python3 -m venv "$BOT_DIR/venv"
+fi
+
+echo -e "${GREEN}[*] Установка зависимостей...${NC}"
+"$BOT_DIR/venv/bin/pip" install -r "$BOT_DIR/requirements.txt" -q
+
+# ── Конфигурация ─────────────────────────────────────────────────────────────
+if [ ! -f "$BOT_DIR/.env" ]; then
+    echo ""
+    echo -e "${YELLOW}Введите BOT_TOKEN от @BotFather:${NC}"
+    TOKEN=""
+    while [ -z "$TOKEN" ]; do
+        read -r TOKEN
+        TOKEN=$(echo "$TOKEN" | tr -d '[:space:]')
+        [ -z "$TOKEN" ] && echo -e "${RED}Токен не может быть пустым.${NC}"
+    done
+
+    echo -ne "${YELLOW}ID администратора (Enter = доступ для всех):${NC} "
+    read -r ADMIN_ID
+
+    {
+        echo "BOT_TOKEN=$TOKEN"
+        [ -n "$ADMIN_ID" ] && echo "ALLOWED_IDS=$ADMIN_ID"
+    } > "$BOT_DIR/.env"
+
+    chmod 600 "$BOT_DIR/.env"
+    echo -e "${GREEN}[*] .env создан${NC}"
+else
+    echo -e "${GREEN}[*] .env уже существует${NC}"
+fi
+
+# ── Systemd ──────────────────────────────────────────────────────────────────
+cat > "/etc/systemd/system/${SERVICE_NAME}.service" << EOF
+[Unit]
+Description=GoTelegram v2.2 Telegram Bot
+After=network.target
+
+[Service]
+Type=simple
+WorkingDirectory=$BOT_DIR
+ExecStart=$BOT_DIR/venv/bin/python $BOT_DIR/bot.py
+Restart=always
+RestartSec=5
+Environment=PATH=$BOT_DIR/venv/bin:/usr/bin
+
+[Install]
+WantedBy=multi-user.target
+EOF
+
+systemctl daemon-reload
+systemctl enable "$SERVICE_NAME"
+systemctl restart "$SERVICE_NAME" 2>/dev/null || systemctl start "$SERVICE_NAME"
+
+echo ""
+echo -e "${GREEN}╔═══════════════════════════════════════════╗${NC}"
+echo -e "${GREEN}║  ✅ Бот установлен и запущен!              ║${NC}"
+echo -e "${GREEN}╚═══════════════════════════════════════════╝${NC}"
+echo ""
+echo -e "Проверка:  ${CYAN}systemctl status $SERVICE_NAME${NC}"
+echo -e "Логи:      ${CYAN}journalctl -u $SERVICE_NAME -f${NC}"
+echo -e "Настройки: ${CYAN}$BOT_DIR/.env${NC}"
+echo ""
+
+# Благодарности
+echo -e "${CYAN}─────────────────────────────────────────────${NC}"
+echo -e "💜 Спасибо авторам открытых проектов:"
+echo -e "   ${CYAN}telemt${NC}           — MTProxy engine (Rust)"
+echo -e "   ${CYAN}HTML5 UP${NC}         — шаблоны сайтов (CC BY 3.0)"
+echo -e "   ${CYAN}learning-zone${NC}    — 150+ HTML5 шаблонов"
+echo -e "   ${CYAN}Start Bootstrap${NC}  — Bootstrap шаблоны (MIT)"
+echo -e "${CYAN}─────────────────────────────────────────────${NC}"
--- a/lib/backup.sh
+++ b/lib/backup.sh
@@ -0,0 +1,341 @@
+#!/bin/bash
+# GoTelegram v2.2 — Бекап и восстановление конфигурации
+
+# ── Создание бекапа ──────────────────────────────────────────────────────────
+create_backup() {
+    local password="$1"
+    local output_dir="${2:-$BACKUP_DIR}"
+    local timestamp
+    timestamp=$(date +%Y%m%d_%H%M%S)
+    local backup_name="gotelegram_backup_${timestamp}"
+    local tmp_dir="/tmp/${backup_name}"
+
+    mkdir -p "$tmp_dir" "$output_dir"
+
+    # Собираем файлы
+    log_info "Собираю конфигурацию..."
+
+    # telemt конфиг
+    if [ -f "$TELEMT_CONFIG" ]; then
+        cp "$TELEMT_CONFIG" "$tmp_dir/config.toml"
+    fi
+
+    # GoTelegram конфиг
+    if [ -f "$GOTELEGRAM_CONFIG" ]; then
+        cp "$GOTELEGRAM_CONFIG" "$tmp_dir/gotelegram.json"
+    fi
+
+    # nginx конфиг (stealth mode)
+    if [ -f "$NGINX_SITE_CONF" ]; then
+        cp "$NGINX_SITE_CONF" "$tmp_dir/nginx.conf"
+    fi
+
+    # SSL сертификаты
+    local domain
+    domain=$(config_get domain 2>/dev/null)
+    if [ -n "$domain" ] && [ -d "/etc/letsencrypt/live/$domain" ]; then
+        mkdir -p "$tmp_dir/certs"
+        cp "/etc/letsencrypt/live/$domain/fullchain.pem" "$tmp_dir/certs/" 2>/dev/null
+        cp "/etc/letsencrypt/live/$domain/privkey.pem" "$tmp_dir/certs/" 2>/dev/null
+        log_dim "SSL сертификаты включены"
+    fi
+
+    # Шаблон сайта (если есть)
+    if [ -d "$WEBSITE_ROOT" ] && [ -f "$WEBSITE_ROOT/index.html" ]; then
+        mkdir -p "$tmp_dir/site"
+        cp -r "$WEBSITE_ROOT"/* "$tmp_dir/site/"
+        log_dim "Шаблон сайта включён"
+    fi
+
+    # Метаданные
+    local ip mode engine
+    ip=$(get_server_ip)
+    mode=$(config_get mode 2>/dev/null || echo "unknown")
+    engine=$(config_get engine 2>/dev/null || echo "telemt")
+
+    cat > "$tmp_dir/metadata.json" << EOMETA
+{
+    "backup_version": "1.0",
+    "gotelegram_version": "$GOTELEGRAM_VERSION",
+    "created_at": "$(date -Iseconds)",
+    "hostname": "$(hostname)",
+    "ip": "$ip",
+    "engine": "$engine",
+    "mode": "$mode",
+    "port": $(config_get port 2>/dev/null || echo "443"),
+    "domain": "$(config_get domain 2>/dev/null)"
+}
+EOMETA
+
+    # Архивируем
+    local tar_file="/tmp/${backup_name}.tar.gz"
+    if ! tar czf "$tar_file" -C /tmp "$backup_name" 2>/dev/null; then
+        log_error "Ошибка создания архива"
+        rm -rf "$tmp_dir"
+        rm -f "$tar_file"
+        return 1
+    fi
+
+    if [ ! -f "$tar_file" ]; then
+        log_error "Архив не создан"
+        rm -rf "$tmp_dir"
+        return 1
+    fi
+
+    # Шифруем если задан пароль
+    local final_file=""
+    if [ -n "$password" ]; then
+        final_file="${output_dir}/${backup_name}.tar.gz.enc"
+        openssl enc -aes-256-cbc -salt -pbkdf2 -in "$tar_file" -out "$final_file" -pass "pass:${password}" 2>/dev/null
+        if [ $? -ne 0 ]; then
+            log_error "Ошибка шифрования"
+            rm -f "$tar_file"
+            rm -rf "$tmp_dir"
+            return 1
+        fi
+        rm -f "$tar_file"
+        log_success "Бекап зашифрован (AES-256-CBC)"
+    else
+        final_file="${output_dir}/${backup_name}.tar.gz"
+        mv "$tar_file" "$final_file"
+    fi
+
+    # SHA256 подпись
+    sha256sum "$final_file" > "${final_file}.sha256" 2>/dev/null
+
+    # Очистка
+    rm -rf "$tmp_dir"
+
+    local size
+    size=$(du -h "$final_file" | cut -f1)
+    log_success "Бекап создан: $final_file ($size)"
+    echo "$final_file"
+    return 0
+}
+
+# ── Восстановление из бекапа ────────────────────────────────────────────────
+restore_backup() {
+    local backup_file="$1"
+    local password="$2"
+
+    if [ ! -f "$backup_file" ]; then
+        log_error "Файл не найден: $backup_file"
+        return 1
+    fi
+
+    local tmp_dir="/tmp/gotelegram_restore_$$"
+    mkdir -p "$tmp_dir"
+
+    # Расшифровываем если нужно
+    local tar_file=""
+    if echo "$backup_file" | grep -q '\.enc$'; then
+        if [ -z "$password" ]; then
+            echo -ne "  Введите пароль от бекапа: "
+            read -rs password
+            echo ""
+        fi
+        tar_file="/tmp/gotelegram_restore_$$.tar.gz"
+        openssl enc -aes-256-cbc -d -pbkdf2 -in "$backup_file" -out "$tar_file" -pass "pass:${password}" 2>/dev/null
+        if [ $? -ne 0 ]; then
+            log_error "Неверный пароль или повреждённый файл"
+            rm -rf "$tmp_dir" "$tar_file"
+            return 1
+        fi
+    else
+        tar_file="$backup_file"
+    fi
+
+    # Распаковываем
+    tar xzf "$tar_file" -C "$tmp_dir" 2>/dev/null
+    if [ $? -ne 0 ]; then
+        log_error "Ошибка распаковки архива"
+        rm -rf "$tmp_dir"
+        return 1
+    fi
+
+    # Находим папку бекапа
+    local backup_dir
+    backup_dir=$(find "$tmp_dir" -maxdepth 1 -type d -name "gotelegram_backup_*" | head -1)
+    [ -z "$backup_dir" ] && backup_dir="$tmp_dir"
+
+    # Проверяем метаданные
+    if [ -f "$backup_dir/metadata.json" ]; then
+        local bk_version bk_mode bk_ip
+        bk_version=$(jq -r '.gotelegram_version // "unknown"' "$backup_dir/metadata.json")
+        bk_mode=$(jq -r '.mode // "unknown"' "$backup_dir/metadata.json")
+        bk_ip=$(jq -r '.ip // "unknown"' "$backup_dir/metadata.json")
+        echo ""
+        echo -e "  ${BOLD}${WHITE}📦 Бекап:${NC}"
+        echo -e "  Версия: $bk_version | Режим: $bk_mode | IP: $bk_ip"
+        echo -e "  Дата: $(jq -r '.created_at' "$backup_dir/metadata.json")"
+        echo ""
+    fi
+
+    if ! confirm "Восстановить конфигурацию? Текущие настройки будут перезаписаны."; then
+        rm -rf "$tmp_dir"
+        return 0
+    fi
+
+    # Останавливаем сервисы
+    stop_telemt 2>/dev/null
+    systemctl stop nginx 2>/dev/null
+
+    # Восстанавливаем telemt конфиг
+    if [ -f "$backup_dir/config.toml" ]; then
+        mkdir -p /etc/telemt
+        cp "$backup_dir/config.toml" "$TELEMT_CONFIG"
+        chmod 600 "$TELEMT_CONFIG"
+        log_success "telemt конфиг восстановлен"
+    fi
+
+    # Восстанавливаем GoTelegram конфиг
+    if [ -f "$backup_dir/gotelegram.json" ]; then
+        mkdir -p "$GOTELEGRAM_DIR"
+        cp "$backup_dir/gotelegram.json" "$GOTELEGRAM_CONFIG"
+        log_success "GoTelegram конфиг восстановлен"
+    fi
+
+    # Восстанавливаем nginx конфиг
+    if [ -f "$backup_dir/nginx.conf" ]; then
+        mkdir -p /etc/nginx/sites-available /etc/nginx/sites-enabled
+        cp "$backup_dir/nginx.conf" "$NGINX_SITE_CONF"
+        ln -sf "$NGINX_SITE_CONF" "$NGINX_SITE_LINK"
+        log_success "nginx конфиг восстановлен"
+    fi
+
+    # Восстанавливаем SSL
+    if [ -d "$backup_dir/certs" ]; then
+        local domain
+        domain=$(config_get domain 2>/dev/null)
+        if [ -n "$domain" ]; then
+            local cert_dir="/etc/letsencrypt/live/$domain"
+            mkdir -p "$cert_dir"
+            cp "$backup_dir/certs/"* "$cert_dir/" 2>/dev/null
+            log_success "SSL сертификаты восстановлены"
+        fi
+    fi
+
+    # Восстанавливаем шаблон сайта
+    if [ -d "$backup_dir/site" ]; then
+        mkdir -p "$WEBSITE_ROOT"
+        cp -r "$backup_dir/site"/* "$WEBSITE_ROOT/"
+        chown -R www-data:www-data "$WEBSITE_ROOT" 2>/dev/null
+        log_success "Шаблон сайта восстановлен"
+    fi
+
+    # Запускаем сервисы
+    if is_telemt_installed; then
+        start_telemt
+    fi
+    systemctl start nginx 2>/dev/null
+
+    # Очистка
+    rm -rf "$tmp_dir"
+    [ "$tar_file" != "$backup_file" ] && rm -f "$tar_file"
+
+    log_success "Восстановление завершено!"
+    show_proxy_info
+    return 0
+}
+
+# ── Список бекапов ───────────────────────────────────────────────────────────
+list_backups() {
+    if [ ! -d "$BACKUP_DIR" ] || [ -z "$(ls -A "$BACKUP_DIR" 2>/dev/null)" ]; then
+        log_info "Бекапов нет"
+        return 1
+    fi
+
+    echo ""
+    echo -e "  ${BOLD}${WHITE}📦 Доступные бекапы:${NC}"
+    echo -e "  ${DIM}$(printf '─%.0s' {1..60})${NC}"
+
+    local i=1
+    for f in "$BACKUP_DIR"/gotelegram_backup_*.tar.gz*; do
+        [ -f "$f" ] || continue
+        [[ "$f" == *.sha256 ]] && continue
+        local size date_str name
+        size=$(du -h "$f" | cut -f1)
+        name=$(basename "$f")
+        date_str=$(echo "$name" | grep -oE '[0-9]{8}_[0-9]{6}' | head -1)
+        local encrypted=""
+        [[ "$f" == *.enc ]] && encrypted=" 🔒"
+        echo -e "  ${CYAN}${i})${NC} ${name} (${size})${encrypted}"
+        ((i++))
+    done
+    echo -e "  ${DIM}$(printf '─%.0s' {1..60})${NC}"
+}
+
+# ── Очистка старых бекапов ───────────────────────────────────────────────────
+cleanup_old_backups() {
+    local keep="${1:-5}"
+    local count
+    count=$(find "$BACKUP_DIR" -name "gotelegram_backup_*.tar.gz*" ! -name "*.sha256" 2>/dev/null | wc -l)
+
+    if [ "$count" -gt "$keep" ]; then
+        local to_delete=$((count - keep))
+        find "$BACKUP_DIR" -name "gotelegram_backup_*.tar.gz*" ! -name "*.sha256" 2>/dev/null | sort | head -n "$to_delete" | while read -r f; do
+            rm -f "$f" "${f}.sha256"
+        done
+        log_dim "Удалено $to_delete старых бекапов (оставлено $keep)"
+    fi
+}
+
+# ── Интерактивный бекап ──────────────────────────────────────────────────────
+interactive_backup() {
+    echo ""
+    echo -e "  ${BOLD}${WHITE}💾 Создание бекапа${NC}"
+    echo -ne "  Зашифровать бекап паролем? [Y/n]: "
+    read -r use_pass
+
+    local password=""
+    if [[ ! "$use_pass" =~ ^[Nn] ]]; then
+        echo -ne "  Введите пароль: "
+        read -rs password
+        echo ""
+        echo -ne "  Повторите пароль: "
+        read -rs password2
+        echo ""
+        if [ "$password" != "$password2" ]; then
+            log_error "Пароли не совпадают"
+            return 1
+        fi
+        if [ ${#password} -lt 6 ]; then
+            log_error "Пароль слишком короткий (минимум 6 символов)"
+            return 1
+        fi
+    fi
+
+    create_backup "$password"
+    cleanup_old_backups
+}
+
+# ── Интерактивное восстановление ─────────────────────────────────────────────
+interactive_restore() {
+    list_backups || return 1
+
+    echo -ne "  Номер бекапа (или путь к файлу): "
+    read -r choice
+
+    local backup_file=""
+    if [[ "$choice" =~ ^[0-9]+$ ]]; then
+        local i=1
+        for f in "$BACKUP_DIR"/gotelegram_backup_*.tar.gz*; do
+            [ -f "$f" ] || continue
+            [[ "$f" == *.sha256 ]] && continue
+            if [ "$i" -eq "$choice" ]; then
+                backup_file="$f"
+                break
+            fi
+            ((i++))
+        done
+    elif [ -f "$choice" ]; then
+        backup_file="$choice"
+    fi
+
+    if [ -z "$backup_file" ]; then
+        log_error "Бекап не найден"
+        return 1
+    fi
+
+    restore_backup "$backup_file"
+}
--- a/lib/common.sh
+++ b/lib/common.sh
@@ -0,0 +1,456 @@
+#!/bin/bash
+# GoTelegram v2.2 — Общие утилиты
+# Цвета, логирование, спиннер, системные функции, совместимость с v1
+
+# ── Версия ────────────────────────────────────────────────────────────────────
+GOTELEGRAM_VERSION="2.2.0"
+GOTELEGRAM_NAME="GoTelegram"
+
+# ── Пути ──────────────────────────────────────────────────────────────────────
+GOTELEGRAM_DIR="/opt/gotelegram"
+GOTELEGRAM_CONFIG="$GOTELEGRAM_DIR/config.json"
+TELEMT_CONFIG="/etc/telemt/config.toml"
+TELEMT_BIN="/usr/local/bin/telemt"
+TELEMT_SERVICE="telemt"
+NGINX_SITE_CONF="/etc/nginx/sites-available/gotelegram"
+NGINX_SITE_LINK="/etc/nginx/sites-enabled/gotelegram"
+WEBSITE_ROOT="/var/www/gotelegram-site"
+BACKUP_DIR="$GOTELEGRAM_DIR/backups"
+LOG_FILE="/var/log/gotelegram.log"
+BOT_DIR="/opt/gotelegram-bot"
+
+# ── V1 совместимость ─────────────────────────────────────────────────────────
+V1_CONTAINER_NAME="mtproto-proxy"
+V1_CONFIG_FILE="/opt/gotelegram-bot/proxy.json"
+V1_SERVICE_NAME="gotelegram-bot"
+
+# ── Цвета ────────────────────────────────────────────────────────────────────
+RED='\033[0;31m'
+GREEN='\033[0;32m'
+CYAN='\033[0;36m'
+YELLOW='\033[1;33m'
+MAGENTA='\033[0;35m'
+BLUE='\033[0;34m'
+WHITE='\033[1;37m'
+BOLD='\033[1m'
+DIM='\033[2m'
+NC='\033[0m'
+
+# ── Логирование ──────────────────────────────────────────────────────────────
+log_info()    { echo -e "  ${CYAN}ℹ${NC} $*"; }
+log_success() { echo -e "  ${GREEN}✓${NC} $*"; }
+log_warning() { echo -e "  ${YELLOW}⚠${NC} $*"; }
+log_error()   { echo -e "  ${RED}✗${NC} $*"; }
+log_step()    { echo -e "\n${BOLD}${WHITE}  $*${NC}"; }
+log_dim()     { echo -e "  ${DIM}$*${NC}"; }
+
+log_to_file() {
+    local ts; ts=$(date '+%Y-%m-%d %H:%M:%S')
+    echo "[$ts] $*" >> "$LOG_FILE" 2>/dev/null
+}
+
+# ── Спиннер ──────────────────────────────────────────────────────────────────
+_spin_pid=""
+spinner_start() {
+    local msg="${1:-Подождите...}"
+    (
+        local frames=('⠋' '⠙' '⠹' '⠸' '⠼' '⠴' '⠦' '⠧' '⠇' '⠏')
+        local i=0
+        while true; do
+            printf "\r  ${CYAN}${frames[$i]}${NC} ${msg}" >&2
+            i=$(( (i+1) % ${#frames[@]} ))
+            sleep 0.1
+        done
+    ) &
+    _spin_pid=$!
+}
+
+spinner_stop() {
+    [ -n "$_spin_pid" ] && kill "$_spin_pid" 2>/dev/null && wait "$_spin_pid" 2>/dev/null
+    _spin_pid=""
+    printf "\r\033[K" >&2
+}
+
+# ── Прогресс-бар ─────────────────────────────────────────────────────────────
+progress_bar() {
+    local current="$1" total="$2" label="${3:-}"
+    local pct=$(( current * 100 / total ))
+    local filled=$(( pct / 2 ))
+    local empty=$(( 50 - filled ))
+    local bar=""
+    for ((i=0; i<filled; i++)); do bar+="█"; done
+    for ((i=0; i<empty; i++)); do bar+="░"; done
+    printf "\r  ${GREEN}[${bar}]${NC} ${pct}%% ${label}" >&2
+    [ "$current" -eq "$total" ] && echo "" >&2
+}
+
+# ── Выполнение с индикатором ─────────────────────────────────────────────────
+run_with_spinner() {
+    local label="$1"; shift
+    local err_file="/tmp/.gotelegram_spinner_err_$$"
+    spinner_start "$label"
+    "$@" >/dev/null 2>"$err_file"
+    local rc=$?
+    spinner_stop
+    if [ $rc -eq 0 ]; then
+        log_success "$label"
+    else
+        log_error "$label ${RED}(ошибка, код: $rc)${NC}"
+        if [ -s "$err_file" ]; then
+            log_dim "  $(head -3 "$err_file")"
+        fi
+    fi
+    rm -f "$err_file"
+    return $rc
+}
+
+# ── Баннер ───────────────────────────────────────────────────────────────────
+show_banner() {
+    echo ""
+    echo -e "${CYAN}╔══════════════════════════════════════════════════════════╗${NC}"
+    echo -e "${CYAN}║${NC}  ${BOLD}${WHITE}🚀 GoTelegram v${GOTELEGRAM_VERSION}${NC}                                  ${CYAN}║${NC}"
+    echo -e "${CYAN}║${NC}  ${DIM}MTProxy на ядре telemt (Rust + Tokio)${NC}                  ${CYAN}║${NC}"
+    echo -e "${CYAN}║${NC}  ${DIM}Anti-DPI • Fake TLS • TCP Splice • JA3/JA4${NC}            ${CYAN}║${NC}"
+    echo -e "${CYAN}╚══════════════════════════════════════════════════════════╝${NC}"
+    echo ""
+}
+
+# ── Благодарности ────────────────────────────────────────────────────────────
+show_credits() {
+    echo ""
+    echo -e "${MAGENTA}╔══════════════════════════════════════════════════════════╗${NC}"
+    echo -e "${MAGENTA}║${NC}  ${BOLD}Благодарности / Credits${NC}                                ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}╟──────────────────────────────────────────────────────────╢${NC}"
+    echo -e "${MAGENTA}║${NC}  ${WHITE}telemt${NC} — MTProxy engine (Rust)                          ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}║${NC}  ${DIM}github.com/telemt/telemt${NC}                                ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}║${NC}                                                          ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}║${NC}  ${WHITE}HTML5 UP${NC} — адаптивные HTML/CSS шаблоны                   ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}║${NC}  ${DIM}html5up.net • CC BY 3.0 • @ajlkn${NC}                       ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}║${NC}                                                          ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}║${NC}  ${WHITE}learning-zone${NC} — 150+ HTML5 шаблонов                      ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}║${NC}  ${DIM}github.com/learning-zone/website-templates${NC}               ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}║${NC}                                                          ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}║${NC}  ${WHITE}Start Bootstrap${NC} — MIT лицензия                           ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}║${NC}  ${DIM}startbootstrap.com${NC}                                      ${MAGENTA}║${NC}"
+    echo -e "${MAGENTA}╚══════════════════════════════════════════════════════════╝${NC}"
+    echo ""
+}
+
+# ── Системные утилиты ────────────────────────────────────────────────────────
+_valid_ip() {
+    # Validate that each octet is 0-255
+    local ip="$1"
+    local IFS='.'
+    read -ra octets <<< "$ip"
+    [ ${#octets[@]} -ne 4 ] && return 1
+    for octet in "${octets[@]}"; do
+        [[ "$octet" =~ ^[0-9]+$ ]] || return 1
+        [ "$octet" -gt 255 ] && return 1
+    done
+    return 0
+}
+
+get_server_ip() {
+    local ip raw
+    for url in "https://api.ipify.org" "https://icanhazip.com" "https://ifconfig.me"; do
+        raw=$(curl -s -4 --max-time 5 "$url" 2>/dev/null)
+        ip=$(echo "$raw" | grep -Eo '([0-9]{1,3}\.){3}[0-9]{1,3}' | head -1)
+        if [ -n "$ip" ] && _valid_ip "$ip"; then
+            echo "$ip"
+            return 0
+        fi
+    done
+    echo "0.0.0.0"
+    return 1
+}
+
+check_root() {
+    if [ "$EUID" -ne 0 ]; then
+        log_error "Запустите скрипт с sudo / от root"
+        exit 1
+    fi
+}
+
+check_os() {
+    if [ ! -f /etc/os-release ]; then
+        log_error "Не удалось определить ОС. Требуется Linux."
+        return 1
+    fi
+    # Validate os-release before sourcing (reject command injection: ;, backticks, $())
+    if grep -qE '(;|`|\$\(|\$\{)' /etc/os-release 2>/dev/null; then
+        log_warning "/etc/os-release содержит подозрительные строки, пропускаем"
+        return 0
+    fi
+    . /etc/os-release
+    case "$ID" in
+        ubuntu|debian|centos|rocky|almalinux|fedora|rhel)
+            log_dim "ОС: $PRETTY_NAME"
+            return 0
+            ;;
+        *)
+            log_warning "ОС $ID может быть несовместима. Поддерживаются: Ubuntu, Debian, CentOS, Rocky."
+            return 0
+            ;;
+    esac
+}
+
+get_arch() {
+    local arch
+    arch=$(uname -m)
+    case "$arch" in
+        x86_64|amd64) echo "amd64" ;;
+        aarch64|arm64) echo "arm64" ;;
+        armv7*|armhf) echo "armv7" ;;
+        *) echo "$arch" ;;
+    esac
+}
+
+get_pkg_manager() {
+    if command -v apt-get &>/dev/null; then echo "apt"
+    elif command -v dnf &>/dev/null; then echo "dnf"
+    elif command -v yum &>/dev/null; then echo "yum"
+    else echo "unknown"
+    fi
+}
+
+install_pkg() {
+    local pkg="$1"
+    case "$(get_pkg_manager)" in
+        apt) apt-get install -y -qq "$pkg" ;;
+        dnf) dnf install -y -q "$pkg" ;;
+        yum) yum install -y -q "$pkg" ;;
+        *) log_error "Неизвестный пакетный менеджер"; return 1 ;;
+    esac
+}
+
+ensure_deps() {
+    local missing=()
+    for cmd in curl jq openssl git; do
+        if ! command -v "$cmd" &>/dev/null; then
+            missing+=("$cmd")
+        fi
+    done
+    if [ ${#missing[@]} -gt 0 ]; then
+        log_step "Установка зависимостей: ${missing[*]}"
+        case "$(get_pkg_manager)" in
+            apt) apt-get update -qq && apt-get install -y -qq "${missing[@]}" ;;
+            dnf) dnf install -y -q "${missing[@]}" ;;
+            yum) yum install -y -q "${missing[@]}" ;;
+        esac
+    fi
+}
+
+check_port() {
+    local port="$1"
+    local line
+    line=$(ss -tlnp 2>/dev/null | grep -E ":${port}\b" | head -1)
+    [ -z "$line" ] && line=$(netstat -tlnp 2>/dev/null | grep -E ":${port}\b" | head -1)
+    if [ -n "$line" ]; then
+        echo "$line"
+        return 0  # порт занят
+    fi
+    return 1  # свободен
+}
+
+check_disk_space() {
+    local min_mb="${1:-500}"
+    local avail_mb
+    avail_mb=$(df -m / | awk 'NR==2 {print $4}')
+    if [ "$avail_mb" -lt "$min_mb" ]; then
+        log_error "Мало места на диске: ${avail_mb}MB (нужно ${min_mb}MB+)"
+        return 1
+    fi
+    return 0
+}
+
+# ── Конфигурация GoTelegram (JSON) ──────────────────────────────────────────
+save_gotelegram_config() {
+    mkdir -p "$(dirname "$GOTELEGRAM_CONFIG")"
+    cat > "$GOTELEGRAM_CONFIG" << EOJSON
+{
+    "version": "$GOTELEGRAM_VERSION",
+    "engine": "${1:-telemt}",
+    "mode": "${2:-quick}",
+    "port": ${3:-443},
+    "secret": "${4:-}",
+    "mask_host": "${5:-google.com}",
+    "domain": "${6:-}",
+    "template_id": "${7:-}",
+    "installed_at": "$(date -Iseconds)",
+    "updated_at": "$(date -Iseconds)"
+}
+EOJSON
+    chmod 600 "$GOTELEGRAM_CONFIG"
+}
+
+load_gotelegram_config() {
+    if [ -f "$GOTELEGRAM_CONFIG" ]; then
+        cat "$GOTELEGRAM_CONFIG"
+        return 0
+    fi
+    echo "{}"
+    return 1
+}
+
+config_get() {
+    local key="$1"
+    if [ ! -f "$GOTELEGRAM_CONFIG" ]; then
+        log_dim "Конфиг не найден: $GOTELEGRAM_CONFIG" >&2
+        return 2  # file missing
+    fi
+    local val
+    val=$(jq -r ".$key // empty" "$GOTELEGRAM_CONFIG" 2>/dev/null)
+    if [ $? -ne 0 ]; then
+        log_dim "Ошибка чтения JSON: $GOTELEGRAM_CONFIG" >&2
+        return 3  # invalid JSON
+    fi
+    if [ -z "$val" ]; then
+        return 1  # key missing or empty
+    fi
+    echo "$val"
+    return 0
+}
+
+# ── V1 совместимость ─────────────────────────────────────────────────────────
+detect_v1_installation() {
+    # Проверяем наличие mtg Docker контейнера (v1)
+    if command -v docker &>/dev/null; then
+        if docker ps -a --format '{{.Names}}' 2>/dev/null | grep -q "^${V1_CONTAINER_NAME}$"; then
+            return 0  # v1 обнаружена
+        fi
+    fi
+    # Проверяем наличие конфига v1
+    if [ -f "$V1_CONFIG_FILE" ]; then
+        return 0
+    fi
+    return 1
+}
+
+get_v1_config() {
+    # Извлекаем данные из работающего v1 контейнера
+    if ! command -v docker &>/dev/null; then
+        echo "{}"
+        return 1
+    fi
+
+    local running
+    running=$(docker ps --format '{{.Names}}' 2>/dev/null | grep "^${V1_CONTAINER_NAME}$")
+
+    if [ -z "$running" ]; then
+        # Пробуем из сохранённого конфига
+        if [ -f "$V1_CONFIG_FILE" ]; then
+            cat "$V1_CONFIG_FILE"
+            return 0
+        fi
+        echo "{}"
+        return 1
+    fi
+
+    # Достаём из Docker
+    local cmd_str port secret ip
+    cmd_str=$(docker inspect "$V1_CONTAINER_NAME" --format='{{range .Config.Cmd}}{{.}} {{end}}' 2>/dev/null)
+    secret=$(echo "$cmd_str" | awk '{print $NF}')
+    port=$(docker inspect "$V1_CONTAINER_NAME" --format='{{range $p,$c := .HostConfig.PortBindings}}{{(index $c 0).HostPort}}{{end}}' 2>/dev/null)
+    ip=$(get_server_ip)
+
+    jq -n \
+        --arg secret "$secret" \
+        --arg port "${port:-443}" \
+        --arg ip "$ip" \
+        '{secret: $secret, port: ($port | tonumber), ip: $ip, engine: "mtg"}'
+}
+
+migrate_v1_to_v2() {
+    log_step "Миграция с v1 (mtg) на v2 (telemt)"
+
+    local v1_config
+    v1_config=$(get_v1_config)
+
+    local old_port old_secret
+    old_port=$(echo "$v1_config" | jq -r '.port // 443')
+    old_secret=$(echo "$v1_config" | jq -r '.secret // empty')
+
+    if [ -z "$old_secret" ]; then
+        log_warning "Не удалось извлечь secret из v1. Будет создан новый."
+        return 1
+    fi
+
+    echo ""
+    echo -e "  ${WHITE}Найдена установка v1 (mtg):${NC}"
+    echo -e "  Порт: ${CYAN}${old_port}${NC}"
+    echo -e "  Secret: ${CYAN}${old_secret:0:16}...${NC}"
+    echo ""
+    echo -e "  ${YELLOW}Внимание:${NC} секрет mtg НЕ совместим с telemt напрямую."
+    echo -e "  Клиентам потребуется новая ссылка."
+    echo ""
+    echo -ne "  Остановить v1 контейнер и перейти на v2? [Y/n]: "
+    read -r ans
+    if [[ "$ans" =~ ^[Nn] ]]; then
+        log_info "Миграция отменена. v1 оставлен без изменений."
+        return 1
+    fi
+
+    # Останавливаем v1
+    log_info "Остановка v1 контейнера..."
+    docker stop "$V1_CONTAINER_NAME" 2>/dev/null
+    docker rm "$V1_CONTAINER_NAME" 2>/dev/null
+
+    # Бекапим v1 конфиг
+    if [ -f "$V1_CONFIG_FILE" ]; then
+        mkdir -p "$GOTELEGRAM_DIR"
+        cp "$V1_CONFIG_FILE" "$GOTELEGRAM_DIR/v1_backup_proxy.json" 2>/dev/null
+        log_success "Конфиг v1 сохранён в $GOTELEGRAM_DIR/v1_backup_proxy.json"
+    fi
+
+    log_success "v1 остановлен. Порт $old_port освобождён."
+    return 0
+}
+
+# ── Подтверждение ────────────────────────────────────────────────────────────
+confirm() {
+    local msg="${1:-Продолжить?}"
+    echo -ne "  ${msg} [Y/n]: "
+    read -r ans
+    [[ ! "$ans" =~ ^[Nn] ]]
+}
+
+# ── Выбор из списка ──────────────────────────────────────────────────────────
+select_option() {
+    local title="$1"
+    shift
+    local options=("$@")
+
+    echo ""
+    echo -e "  ${BOLD}${WHITE}${title}${NC}"
+    echo -e "  ${DIM}$(printf '─%.0s' {1..50})${NC}"
+    local i=1
+    for opt in "${options[@]}"; do
+        echo -e "  ${CYAN}${i})${NC} ${opt}"
+        ((i++))
+    done
+    echo -e "  ${DIM}$(printf '─%.0s' {1..50})${NC}"
+    echo -ne "  ${WHITE}Выбор:${NC} "
+    read -r choice
+    echo "$choice"
+}
+
+# ── Генерация случайного hex ─────────────────────────────────────────────────
+generate_hex() {
+    local len="${1:-32}"
+    openssl rand -hex "$((len/2))" 2>/dev/null || head -c "$((len/2))" /dev/urandom | xxd -p | tr -d '\n'
+}
+
+# ── Проверка домена ──────────────────────────────────────────────────────────
+validate_domain() {
+    local domain="$1"
+    if echo "$domain" | grep -qE '^([a-zA-Z0-9]([a-zA-Z0-9-]{0,61}[a-zA-Z0-9])?\.)+[a-zA-Z]{2,}$'; then
+        return 0
+    fi
+    return 1
+}
+
+# ── Init: создание директорий ────────────────────────────────────────────────
+init_dirs() {
+    mkdir -p "$GOTELEGRAM_DIR" "$BACKUP_DIR" /etc/telemt 2>/dev/null
+    touch "$LOG_FILE" 2>/dev/null
+}
--- a/lib/telemt.sh
+++ b/lib/telemt.sh
@@ -0,0 +1,305 @@
+#!/bin/bash
+# GoTelegram v2.2 — Управление telemt binary
+# Скачивание, обновление, запуск, остановка через systemd
+
+TELEMT_GITHUB="telemt/telemt"
+TELEMT_RELEASE_API="https://api.github.com/repos/${TELEMT_GITHUB}/releases/latest"
+TELEMT_USER="telemt"
+TELEMT_GROUP="telemt"
+
+# ── Получение последней версии ───────────────────────────────────────────────
+get_latest_telemt_version() {
+    local resp
+    resp=$(curl -s --max-time 10 "$TELEMT_RELEASE_API" 2>/dev/null)
+    if [ $? -ne 0 ] || [ -z "$resp" ]; then
+        log_error "Не удалось получить информацию о релизах telemt"
+        return 1
+    fi
+    echo "$resp" | jq -r '.tag_name // empty'
+}
+
+get_telemt_download_url() {
+    local arch
+    arch=$(get_arch)
+    local resp
+    resp=$(curl -s --max-time 10 "$TELEMT_RELEASE_API" 2>/dev/null)
+    if [ -z "$resp" ]; then return 1; fi
+
+    local pattern
+    case "$arch" in
+        amd64)  pattern="linux.*amd64\|linux.*x86_64" ;;
+        arm64)  pattern="linux.*arm64\|linux.*aarch64" ;;
+        armv7)  pattern="linux.*armv7\|linux.*arm" ;;
+        *)      pattern="linux.*${arch}" ;;
+    esac
+
+    echo "$resp" | jq -r ".assets[].browser_download_url" 2>/dev/null | grep -i "$pattern" | head -1
+}
+
+# ── Установленная версия ─────────────────────────────────────────────────────
+get_installed_telemt_version() {
+    if [ -x "$TELEMT_BIN" ]; then
+        "$TELEMT_BIN" --version 2>/dev/null | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | head -1
+    else
+        echo ""
+    fi
+}
+
+is_telemt_installed() {
+    [ -x "$TELEMT_BIN" ]
+}
+
+# ── Скачивание и установка ───────────────────────────────────────────────────
+download_telemt() {
+    local url
+    url=$(get_telemt_download_url)
+    if [ -z "$url" ]; then
+        log_error "Не найден бинарник telemt для архитектуры $(get_arch)"
+        return 1
+    fi
+
+    local tmp_file="/tmp/telemt_download_$$"
+    log_info "Скачивание: $url"
+
+    if ! curl -L -s --max-time 120 -o "$tmp_file" "$url"; then
+        log_error "Ошибка скачивания telemt"
+        rm -f "$tmp_file"
+        return 1
+    fi
+
+    # Определяем тип файла и распаковываем
+    local mime
+    mime=$(file -b --mime-type "$tmp_file" 2>/dev/null)
+
+    case "$mime" in
+        application/gzip|application/x-gzip)
+            tar xzf "$tmp_file" -C /tmp/ 2>/dev/null
+            local extracted
+            extracted=$(find /tmp -maxdepth 2 -name "telemt" -type f -newer "$tmp_file" 2>/dev/null | head -1)
+            if [ -z "$extracted" ]; then
+                # Может быть просто gzip без tar
+                gunzip -c "$tmp_file" > /tmp/telemt_bin_$$ 2>/dev/null
+                extracted="/tmp/telemt_bin_$$"
+            fi
+            ;;
+        application/x-tar)
+            tar xf "$tmp_file" -C /tmp/ 2>/dev/null
+            extracted=$(find /tmp -maxdepth 2 -name "telemt" -type f -newer "$tmp_file" 2>/dev/null | head -1)
+            ;;
+        application/zip)
+            unzip -o "$tmp_file" -d /tmp/telemt_extract_$$ 2>/dev/null
+            extracted=$(find /tmp/telemt_extract_$$ -name "telemt" -type f 2>/dev/null | head -1)
+            ;;
+        application/octet-stream|application/x-executable)
+            # Уже бинарник
+            extracted="$tmp_file"
+            ;;
+        *)
+            # Пробуем как бинарник
+            extracted="$tmp_file"
+            ;;
+    esac
+
+    if [ -z "$extracted" ] || [ ! -f "$extracted" ]; then
+        log_error "Не удалось извлечь бинарник telemt"
+        rm -f "$tmp_file"
+        return 1
+    fi
+
+    # Устанавливаем
+    cp "$extracted" "$TELEMT_BIN"
+    chmod 755 "$TELEMT_BIN"
+    rm -f "$tmp_file"
+    rm -rf /tmp/telemt_extract_$$ /tmp/telemt_bin_$$
+
+    # Проверяем
+    if "$TELEMT_BIN" --version &>/dev/null; then
+        log_success "telemt $(get_installed_telemt_version) установлен в $TELEMT_BIN"
+        return 0
+    else
+        log_error "Бинарник telemt не запускается"
+        return 1
+    fi
+}
+
+# ── Системный пользователь ───────────────────────────────────────────────────
+create_telemt_user() {
+    if ! id "$TELEMT_USER" &>/dev/null; then
+        useradd -r -s /usr/sbin/nologin -d /etc/telemt "$TELEMT_USER" 2>/dev/null
+        log_dim "Создан системный пользователь: $TELEMT_USER"
+    fi
+}
+
+# ── Systemd сервис ───────────────────────────────────────────────────────────
+install_telemt_service() {
+    local config_path="${1:-$TELEMT_CONFIG}"
+
+    cat > "/etc/systemd/system/${TELEMT_SERVICE}.service" << EOF
+[Unit]
+Description=GoTelegram MTProxy (telemt engine)
+Documentation=https://github.com/telemt/telemt
+After=network-online.target
+Wants=network-online.target
+
+[Service]
+Type=simple
+User=root
+ExecStart=$TELEMT_BIN run $config_path
+Restart=always
+RestartSec=5
+LimitNOFILE=65535
+
+# Безопасность
+NoNewPrivileges=true
+ProtectSystem=strict
+ProtectHome=true
+ReadWritePaths=/etc/telemt /var/log
+PrivateTmp=true
+
+[Install]
+WantedBy=multi-user.target
+EOF
+
+    systemctl daemon-reload
+    log_success "Systemd сервис $TELEMT_SERVICE создан"
+}
+
+# ── Управление сервисом ──────────────────────────────────────────────────────
+start_telemt() {
+    systemctl start "$TELEMT_SERVICE" 2>/dev/null
+    sleep 2
+    if systemctl is-active --quiet "$TELEMT_SERVICE"; then
+        log_success "telemt запущен"
+        return 0
+    else
+        log_error "telemt не запустился"
+        journalctl -u "$TELEMT_SERVICE" --no-pager -n 10 2>/dev/null
+        return 1
+    fi
+}
+
+stop_telemt() {
+    if systemctl is-active --quiet "$TELEMT_SERVICE" 2>/dev/null; then
+        systemctl stop "$TELEMT_SERVICE"
+        log_success "telemt остановлен"
+    else
+        log_dim "telemt уже остановлен"
+    fi
+}
+
+restart_telemt() {
+    systemctl restart "$TELEMT_SERVICE" 2>/dev/null
+    sleep 2
+    if systemctl is-active --quiet "$TELEMT_SERVICE"; then
+        log_success "telemt перезапущен"
+        return 0
+    else
+        log_error "telemt не перезапустился"
+        return 1
+    fi
+}
+
+enable_telemt() {
+    systemctl enable "$TELEMT_SERVICE" 2>/dev/null
+}
+
+telemt_status() {
+    if ! is_telemt_installed; then
+        echo "not_installed"
+        return
+    fi
+    if systemctl is-active --quiet "$TELEMT_SERVICE" 2>/dev/null; then
+        echo "running"
+    elif systemctl is-enabled --quiet "$TELEMT_SERVICE" 2>/dev/null; then
+        echo "stopped"
+    else
+        echo "disabled"
+    fi
+}
+
+telemt_logs() {
+    local lines="${1:-40}"
+    journalctl -u "$TELEMT_SERVICE" --no-pager -n "$lines" 2>/dev/null
+}
+
+telemt_uptime() {
+    local started
+    started=$(systemctl show "$TELEMT_SERVICE" --property=ActiveEnterTimestamp --value 2>/dev/null)
+    if [ -n "$started" ] && [ "$started" != "" ]; then
+        echo "$started"
+    else
+        echo "N/A"
+    fi
+}
+
+# ── Обновление ───────────────────────────────────────────────────────────────
+check_telemt_update() {
+    local current latest
+    current=$(get_installed_telemt_version)
+    latest=$(get_latest_telemt_version)
+
+    if [ -z "$current" ] || [ -z "$latest" ]; then
+        return 1
+    fi
+
+    if [ "$current" != "$latest" ]; then
+        echo "$latest"
+        return 0  # есть обновление
+    fi
+    return 1  # актуально
+}
+
+update_telemt() {
+    local latest
+    latest=$(check_telemt_update)
+    if [ $? -ne 0 ]; then
+        log_info "telemt уже последней версии ($(get_installed_telemt_version))"
+        return 0
+    fi
+
+    log_info "Доступно обновление: $(get_installed_telemt_version) → $latest"
+    if ! confirm "Обновить telemt?"; then
+        return 0
+    fi
+
+    stop_telemt
+    if download_telemt; then
+        start_telemt
+        log_success "telemt обновлён до $latest"
+    else
+        start_telemt  # запускаем старую версию обратно
+        log_error "Обновление не удалось"
+        return 1
+    fi
+}
+
+# ── Полная установка telemt ──────────────────────────────────────────────────
+install_telemt_full() {
+    log_step "Установка telemt"
+
+    # Создаём директории
+    mkdir -p /etc/telemt
+
+    # Скачиваем бинарник
+    run_with_spinner "Скачивание telemt" download_telemt || return 1
+
+    # Устанавливаем systemd сервис
+    install_telemt_service
+
+    # Включаем автозапуск
+    enable_telemt
+
+    log_success "telemt готов к работе"
+    return 0
+}
+
+# ── Удаление telemt ──────────────────────────────────────────────────────────
+remove_telemt() {
+    stop_telemt
+    systemctl disable "$TELEMT_SERVICE" 2>/dev/null
+    rm -f "/etc/systemd/system/${TELEMT_SERVICE}.service"
+    systemctl daemon-reload
+    rm -f "$TELEMT_BIN"
+    rm -rf /etc/telemt
+    log_success "telemt полностью удалён"
+}
--- a/lib/telemt_config.sh
+++ b/lib/telemt_config.sh
@@ -0,0 +1,282 @@
+#!/bin/bash
+# GoTelegram v2.2 — Генерация TOML конфигурации для telemt
+
+# ── Популярные домены (не заблокированные в РФ) ──────────────────────────────
+QUICK_DOMAINS=(
+    "google.com"
+    "microsoft.com"
+    "cloudflare.com"
+    "apple.com"
+    "amazon.com"
+    "github.com"
+    "stackoverflow.com"
+    "medium.com"
+    "wikipedia.org"
+    "coursera.org"
+    "udemy.com"
+    "habr.com"
+    "stepik.org"
+    "duolingo.com"
+    "khanacademy.org"
+    "bbc.com"
+    "reuters.com"
+    "nytimes.com"
+    "ted.com"
+    "zoom.us"
+)
+
+# ── Генерация TOML конфига ───────────────────────────────────────────────────
+generate_telemt_toml() {
+    local secret="$1"
+    local port="${2:-443}"
+    local mask_mode="${3:-quick}"   # quick | stealth
+    local mask_host="${4:-google.com}"
+    local mask_port="${5:-443}"
+    local output="${6:-$TELEMT_CONFIG}"
+
+    mkdir -p "$(dirname "$output")"
+
+    cat > "$output" << EOTOML
+# GoTelegram v${GOTELEGRAM_VERSION} — telemt configuration
+# Сгенерировано: $(date -Iseconds)
+# Режим: ${mask_mode}
+
+# ── Основные настройки ───────────────────────────────────────────────────────
+[stats]
+  statsd_address = ""
+
+# ── Секреты ──────────────────────────────────────────────────────────────────
+[[users]]
+  name = "main"
+  secret = "${secret}"
+
+# ── Привязка ─────────────────────────────────────────────────────────────────
+[listen]
+  bind_to = "0.0.0.0:${port}"
+
+# ── TLS маскировка ───────────────────────────────────────────────────────────
+[security]
+  # Маскировочный хост — куда перенаправлять неопознанные подключения
+  # quick: внешний сайт | stealth: локальный nginx
+  host = "${mask_host}:${mask_port}"
+
+EOTOML
+
+    chmod 600 "$output"
+    log_success "Конфиг telemt записан: $output"
+    log_dim "Режим: $mask_mode, маскировка: $mask_host:$mask_port"
+}
+
+# ── Добавление дополнительного секрета ───────────────────────────────────────
+add_secret_to_config() {
+    local name="$1"
+    local secret="$2"
+    local config="${3:-$TELEMT_CONFIG}"
+
+    if [ ! -f "$config" ]; then
+        log_error "Конфиг не найден: $config"
+        return 1
+    fi
+
+    # Добавляем новый блок [[users]]
+    cat >> "$config" << EOSECRET
+
+[[users]]
+  name = "${name}"
+  secret = "${secret}"
+EOSECRET
+
+    log_success "Добавлен секрет: $name"
+}
+
+# ── Чтение текущего конфига ──────────────────────────────────────────────────
+get_config_value() {
+    local key="$1"
+    local config="${2:-$TELEMT_CONFIG}"
+
+    if [ ! -f "$config" ]; then return 1; fi
+
+    case "$key" in
+        secret)
+            grep -m1 'secret\s*=' "$config" | sed 's/.*=\s*"\(.*\)"/\1/' | tr -d ' '
+            ;;
+        port)
+            grep 'bind_to\s*=' "$config" | sed 's/.*:\([0-9]*\)".*/\1/'
+            ;;
+        mask_host)
+            grep -A10 '\[security\]' "$config" | grep 'host\s*=' | sed 's/.*=\s*"\(.*\)".*/\1/'
+            ;;
+        *)
+            grep "$key" "$config" | head -1 | sed 's/.*=\s*"\?\(.*\)"\?/\1/' | tr -d ' "'
+            ;;
+    esac
+}
+
+# ── Валидация конфига ────────────────────────────────────────────────────────
+validate_telemt_config() {
+    local config="${1:-$TELEMT_CONFIG}"
+
+    if [ ! -f "$config" ]; then
+        log_error "Конфиг не найден: $config"
+        return 1
+    fi
+
+    # Проверяем обязательные поля
+    local secret port host
+    secret=$(get_config_value secret "$config")
+    port=$(get_config_value port "$config")
+    host=$(get_config_value mask_host "$config")
+
+    local errors=0
+
+    if [ -z "$secret" ]; then
+        log_error "Не задан secret"
+        ((errors++))
+    elif [ ${#secret} -lt 32 ]; then
+        log_warning "Secret слишком короткий (${#secret} символов, рекомендуется 32+)"
+    fi
+
+    if [ -z "$port" ]; then
+        log_error "Не задан порт (bind_to)"
+        ((errors++))
+    elif [ "$port" -lt 1 ] || [ "$port" -gt 65535 ] 2>/dev/null; then
+        log_error "Порт вне диапазона: $port"
+        ((errors++))
+    fi
+
+    if [ -z "$host" ]; then
+        log_error "Не задан маскировочный хост (security.host)"
+        ((errors++))
+    fi
+
+    if [ $errors -gt 0 ]; then
+        log_error "Найдено ошибок: $errors"
+        return 1
+    fi
+
+    log_success "Конфиг валиден"
+    return 0
+}
+
+# ── Выбор домена (интерактивный) ─────────────────────────────────────────────
+select_quick_domain() {
+    echo ""
+    echo -e "  ${BOLD}${WHITE}🌐 Выберите домен для маскировки (Fake TLS):${NC}"
+    echo -e "  ${DIM}$(printf '─%.0s' {1..50})${NC}"
+
+    local i=1
+    local row=""
+    for d in "${QUICK_DOMAINS[@]}"; do
+        printf "  ${CYAN}%2d)${NC} %-25s" "$i" "$d"
+        if (( i % 2 == 0 )); then
+            echo ""
+        fi
+        ((i++))
+    done
+    if (( (i-1) % 2 != 0 )); then echo ""; fi
+
+    echo -e "  ${DIM}$(printf '─%.0s' {1..50})${NC}"
+    echo -ne "  ${WHITE}Выбор (1-${#QUICK_DOMAINS[@]}):${NC} "
+    read -r choice
+
+    if [[ "$choice" =~ ^[0-9]+$ ]] && [ "$choice" -ge 1 ] && [ "$choice" -le ${#QUICK_DOMAINS[@]} ]; then
+        echo "${QUICK_DOMAINS[$((choice-1))]}"
+        return 0
+    fi
+
+    log_error "Неверный выбор"
+    return 1
+}
+
+# ── Выбор порта (интерактивный) ──────────────────────────────────────────────
+select_port() {
+    echo ""
+    echo -e "  ${BOLD}${WHITE}🔌 Выберите порт:${NC}"
+
+    # Проверяем стандартные порты
+    local busy_443 busy_8443
+    busy_443=$(check_port 443)
+    busy_8443=$(check_port 8443)
+
+    local label_443="443 (рекомендуется)"
+    local label_8443="8443"
+    [ -n "$busy_443" ] && label_443="443 ⚠️  занят"
+    [ -n "$busy_8443" ] && label_8443="8443 ⚠️  занят"
+
+    echo -e "  ${CYAN}1)${NC} $label_443"
+    echo -e "  ${CYAN}2)${NC} $label_8443"
+    echo -e "  ${CYAN}3)${NC} Свой порт"
+
+    if [ -n "$busy_443" ]; then
+        echo -e "  ${DIM}  ⚠ Порт 443 занят: $(echo "$busy_443" | head -c 60)${NC}"
+    fi
+
+    echo -ne "  ${WHITE}Выбор:${NC} "
+    read -r choice
+
+    case "$choice" in
+        1) echo "443" ;;
+        2) echo "8443" ;;
+        3)
+            echo -ne "  Введите порт (1-65535): "
+            read -r custom_port
+            if [[ "$custom_port" =~ ^[0-9]+$ ]] && [ "$custom_port" -ge 1 ] && [ "$custom_port" -le 65535 ]; then
+                echo "$custom_port"
+            else
+                log_error "Неверный порт"
+                return 1
+            fi
+            ;;
+        *) echo "443" ;;
+    esac
+}
+
+# ── Генерация ссылки tg://proxy ──────────────────────────────────────────────
+generate_proxy_link() {
+    local ip="${1:-$(get_server_ip)}"
+    local port="${2:-443}"
+    local secret="$3"
+    echo "tg://proxy?server=${ip}&port=${port}&secret=${secret}"
+}
+
+# ── Вывод информации о прокси ────────────────────────────────────────────────
+show_proxy_info() {
+    local config="${1:-$TELEMT_CONFIG}"
+    local secret port mask_host ip link status
+
+    secret=$(get_config_value secret "$config")
+    port=$(get_config_value port "$config")
+    mask_host=$(get_config_value mask_host "$config")
+    ip=$(get_server_ip)
+    link=$(generate_proxy_link "$ip" "$port" "$secret")
+    status=$(telemt_status)
+
+    local mode
+    mode=$(config_get mode 2>/dev/null || echo "quick")
+
+    local status_icon status_text
+    case "$status" in
+        running) status_icon="✅"; status_text="Работает" ;;
+        stopped) status_icon="⏸️";  status_text="Остановлен" ;;
+        *)       status_icon="❌"; status_text="Не установлен" ;;
+    esac
+
+    echo ""
+    echo -e "  ${BOLD}${WHITE}${status_icon} Статус прокси: ${status_text}${NC}"
+    echo -e "  ${DIM}$(printf '─%.0s' {1..50})${NC}"
+    echo -e "  ${WHITE}Ядро:${NC}       telemt (Rust)"
+    echo -e "  ${WHITE}IP:${NC}         ${CYAN}${ip}${NC}"
+    echo -e "  ${WHITE}Порт:${NC}       ${CYAN}${port}${NC}"
+    echo -e "  ${WHITE}Режим:${NC}      ${CYAN}${mode}${NC}"
+    echo -e "  ${WHITE}Маскировка:${NC} ${CYAN}${mask_host}${NC}"
+    echo -e "  ${WHITE}Secret:${NC}     ${CYAN}${secret:0:16}...${NC}"
+    echo -e "  ${DIM}$(printf '─%.0s' {1..50})${NC}"
+    echo -e "  ${WHITE}Ссылка:${NC}"
+    echo -e "  ${GREEN}${link}${NC}"
+    echo ""
+
+    # QR если доступен
+    if command -v qrencode &>/dev/null; then
+        qrencode -t UTF8 -m 2 "$link" 2>/dev/null
+    fi
+}
--- a/lib/templates_catalog.sh
+++ b/lib/templates_catalog.sh
@@ -0,0 +1,280 @@
+#!/bin/bash
+# GoTelegram v2.2 — Каталог шаблонов сайтов
+# Выбор из ~200 шаблонов, превью-ссылки, скачивание через git sparse-checkout
+
+CATALOG_FILE="$(dirname "$(dirname "$(readlink -f "${BASH_SOURCE[0]}")")")/templates_catalog.json"
+TEMPLATES_CACHE="/tmp/gotelegram_templates"
+
+# ── Загрузка каталога ────────────────────────────────────────────────────────
+load_catalog() {
+    if [ ! -f "$CATALOG_FILE" ]; then
+        log_error "Каталог шаблонов не найден: $CATALOG_FILE"
+        return 1
+    fi
+    return 0
+}
+
+# ── Категории ────────────────────────────────────────────────────────────────
+get_categories() {
+    jq -r '.categories[] | "\(.id)|\(.name)|\(.icon)|\(.templates | length)"' "$CATALOG_FILE" 2>/dev/null
+}
+
+get_category_name() {
+    local cat_id="$1"
+    jq -r ".categories[] | select(.id == \"$cat_id\") | .name" "$CATALOG_FILE" 2>/dev/null
+}
+
+# ── Шаблоны по категории ────────────────────────────────────────────────────
+get_templates_by_category() {
+    local cat_id="$1"
+    jq -r ".categories[] | select(.id == \"$cat_id\") | .templates[] | \"\(.id)|\(.name)|\(.source)|\(.preview_url)\"" "$CATALOG_FILE" 2>/dev/null
+}
+
+# ── Информация о шаблоне ────────────────────────────────────────────────────
+get_template_info() {
+    local tpl_id="$1"
+    jq ".categories[].templates[] | select(.id == \"$tpl_id\")" "$CATALOG_FILE" 2>/dev/null
+}
+
+get_template_field() {
+    local tpl_id="$1"
+    local field="$2"
+    jq -r ".categories[].templates[] | select(.id == \"$tpl_id\") | .$field" "$CATALOG_FILE" 2>/dev/null
+}
+
+# ── Интерактивный выбор категории ────────────────────────────────────────────
+select_category() {
+    load_catalog || return 1
+
+    echo ""
+    echo -e "  ${BOLD}${WHITE}📂 Категории шаблонов сайтов:${NC}"
+    echo -e "  ${DIM}$(printf '─%.0s' {1..55})${NC}"
+
+    local cats=()
+    local i=1
+    while IFS='|' read -r id name icon count; do
+        [ "$count" -eq 0 ] && continue
+        local emoji
+        case "$icon" in
+            briefcase)     emoji="🏢" ;;
+            shopping-cart) emoji="🛒" ;;
+            heart)         emoji="🏥" ;;
+            book)          emoji="🎓" ;;
+            palette)       emoji="📸" ;;
+            home)          emoji="🏠" ;;
+            utensils)      emoji="🍕" ;;
+            rocket)        emoji="🎨" ;;
+            chart-bar)     emoji="🔧" ;;
+            *)             emoji="📄" ;;
+        esac
+        printf "  ${CYAN}%2d)${NC} ${emoji} %-30s ${DIM}(%d шаблонов)${NC}\n" "$i" "$name" "$count"
+        cats+=("$id")
+        ((i++))
+    done < <(get_categories)
+
+    printf "  ${CYAN}%2d)${NC} 🎲 Случайный шаблон\n" "$i"
+    echo -e "  ${DIM}$(printf '─%.0s' {1..55})${NC}"
+    echo -ne "  ${WHITE}Выбор:${NC} "
+    read -r choice
+
+    # Случайный
+    if [ "$choice" -eq "$i" ] 2>/dev/null; then
+        local random_cat="${cats[$((RANDOM % ${#cats[@]}))]}"
+        echo "$random_cat"
+        return 0
+    fi
+
+    if [[ "$choice" =~ ^[0-9]+$ ]] && [ "$choice" -ge 1 ] && [ "$choice" -lt "$i" ]; then
+        echo "${cats[$((choice-1))]}"
+        return 0
+    fi
+
+    log_error "Неверный выбор"
+    return 1
+}
+
+# ── Интерактивный выбор шаблона ──────────────────────────────────────────────
+select_template() {
+    local cat_id="$1"
+    local cat_name
+    cat_name=$(get_category_name "$cat_id")
+
+    echo ""
+    echo -e "  ${BOLD}${WHITE}📋 $cat_name — доступные шаблоны:${NC}"
+    echo -e "  ${DIM}$(printf '─%.0s' {1..60})${NC}"
+
+    local tpls=()
+    local i=1
+    while IFS='|' read -r id name source preview; do
+        printf "  ${CYAN}%2d)${NC} %-30s ${DIM}[%s]${NC}\n" "$i" "$name" "$source"
+        tpls+=("$id")
+        ((i++))
+    done < <(get_templates_by_category "$cat_id")
+
+    if [ ${#tpls[@]} -eq 0 ]; then
+        log_info "В этой категории нет шаблонов"
+        return 1
+    fi
+
+    echo -e "  ${DIM}$(printf '─%.0s' {1..60})${NC}"
+    echo -ne "  ${WHITE}Выбор (1-$((i-1))):${NC} "
+    read -r choice
+
+    if [[ "$choice" =~ ^[0-9]+$ ]] && [ "$choice" -ge 1 ] && [ "$choice" -lt "$i" ]; then
+        local selected_id="${tpls[$((choice-1))]}"
+
+        # Показываем превью
+        show_template_preview "$selected_id"
+
+        echo "$selected_id"
+        return 0
+    fi
+
+    log_error "Неверный выбор"
+    return 1
+}
+
+# ── Показ превью шаблона ────────────────────────────────────────────────────
+show_template_preview() {
+    local tpl_id="$1"
+    local info
+    info=$(get_template_info "$tpl_id")
+
+    local name source preview_url repo_url description
+    name=$(echo "$info" | jq -r '.name')
+    source=$(echo "$info" | jq -r '.source')
+    preview_url=$(echo "$info" | jq -r '.preview_url // empty')
+    repo_url=$(echo "$info" | jq -r '.repo_url // empty')
+    description=$(echo "$info" | jq -r '.description // "—"')
+
+    echo ""
+    echo -e "  ${BOLD}${WHITE}🔍 Превью шаблона:${NC}"
+    echo -e "  ${DIM}$(printf '─%.0s' {1..55})${NC}"
+    echo -e "  ${WHITE}Название:${NC}  $name"
+    echo -e "  ${WHITE}Источник:${NC}  $source"
+    echo -e "  ${WHITE}Описание:${NC}  $description"
+
+    if [ -n "$preview_url" ]; then
+        echo ""
+        echo -e "  ${GREEN}👁  Превью:${NC} ${CYAN}${preview_url}${NC}"
+        echo -e "  ${DIM}Откройте ссылку в браузере для просмотра шаблона${NC}"
+    fi
+
+    if [ -n "$repo_url" ]; then
+        echo -e "  ${DIM}📦 Репо:    ${repo_url}${NC}"
+    fi
+
+    # Благодарность автору
+    echo ""
+    echo -e "  ${MAGENTA}💜 Спасибо авторам ${source} за открытый код!${NC}"
+
+    echo -e "  ${DIM}$(printf '─%.0s' {1..55})${NC}"
+    echo ""
+
+    if ! confirm "Установить этот шаблон?"; then
+        return 1
+    fi
+    return 0
+}
+
+# ── Скачивание шаблона ───────────────────────────────────────────────────────
+download_template() {
+    local tpl_id="$1"
+    local output_dir="${2:-$TEMPLATES_CACHE}"
+    local info
+    info=$(get_template_info "$tpl_id")
+
+    local repo_url sparse_path source name
+    repo_url=$(echo "$info" | jq -r '.repo_url')
+    sparse_path=$(echo "$info" | jq -r '.sparse_path')
+    source=$(echo "$info" | jq -r '.source')
+    name=$(echo "$info" | jq -r '.name')
+
+    local clone_dir="$output_dir/${tpl_id}"
+    rm -rf "$clone_dir"
+    mkdir -p "$clone_dir"
+
+    log_info "Скачивание шаблона \"$name\"..."
+
+    # Для HTML5 UP — отдельный репо с папками
+    if [ "$source" = "html5up" ]; then
+        local tmp_clone="/tmp/html5up_clone_$$"
+        rm -rf "$tmp_clone"
+
+        # Sparse checkout
+        git clone --depth 1 --filter=blob:none --sparse "$repo_url" "$tmp_clone" 2>/dev/null
+        if [ $? -ne 0 ]; then
+            # Fallback: полный clone
+            git clone --depth 1 "$repo_url" "$tmp_clone" 2>/dev/null
+        fi
+
+        if [ -d "$tmp_clone" ]; then
+            cd "$tmp_clone" && git sparse-checkout set "$sparse_path" 2>/dev/null
+            if [ -d "$tmp_clone/$sparse_path" ]; then
+                cp -r "$tmp_clone/$sparse_path"/* "$clone_dir/"
+            fi
+            cd - >/dev/null
+        fi
+        rm -rf "$tmp_clone"
+
+    # Для learning-zone — один большой репо
+    elif [ "$source" = "learning-zone" ]; then
+        local tmp_clone="/tmp/lz_clone_$$"
+        rm -rf "$tmp_clone"
+
+        git clone --depth 1 --filter=blob:none --sparse "$repo_url" "$tmp_clone" 2>/dev/null
+        if [ $? -ne 0 ]; then
+            git clone --depth 1 "$repo_url" "$tmp_clone" 2>/dev/null
+        fi
+
+        if [ -d "$tmp_clone" ]; then
+            cd "$tmp_clone" && git sparse-checkout set "$sparse_path" 2>/dev/null
+            if [ -d "$tmp_clone/$sparse_path" ]; then
+                cp -r "$tmp_clone/$sparse_path"/* "$clone_dir/"
+            fi
+            cd - >/dev/null
+        fi
+        rm -rf "$tmp_clone"
+
+    # Для StartBootstrap — каждый шаблон в своём репо
+    elif [ "$source" = "startbootstrap" ]; then
+        git clone --depth 1 "$repo_url" "$clone_dir" 2>/dev/null
+        # Убираем .git
+        rm -rf "$clone_dir/.git"
+    fi
+
+    # Проверяем результат
+    if [ -f "$clone_dir/index.html" ]; then
+        log_success "Шаблон \"$name\" скачан"
+        echo "$clone_dir"
+        return 0
+    else
+        log_error "Шаблон не содержит index.html"
+        log_dim "Путь: $clone_dir"
+        ls -la "$clone_dir" 2>/dev/null
+        return 1
+    fi
+}
+
+# ── Полный интерактивный процесс выбора ──────────────────────────────────────
+interactive_template_selection() {
+    load_catalog || return 1
+
+    # Выбор категории
+    local cat_id
+    cat_id=$(select_category)
+    [ $? -ne 0 ] && return 1
+
+    # Выбор шаблона
+    local tpl_id
+    tpl_id=$(select_template "$cat_id")
+    [ $? -ne 0 ] && return 1
+
+    # Скачивание
+    local template_dir
+    template_dir=$(download_template "$tpl_id")
+    [ $? -ne 0 ] && return 1
+
+    echo "$template_dir"
+    return 0
+}
--- a/lib/website.sh
+++ b/lib/website.sh
@@ -0,0 +1,340 @@
+#!/bin/bash
+# GoTelegram v2.2 — Управление сайтом (nginx + certbot + шаблоны)
+
+# ── Установка nginx ──────────────────────────────────────────────────────────
+install_nginx() {
+    if command -v nginx &>/dev/null; then
+        log_dim "nginx уже установлен"
+        return 0
+    fi
+    log_info "Установка nginx..."
+    case "$(get_pkg_manager)" in
+        apt) apt-get update -qq && apt-get install -y -qq nginx ;;
+        dnf) dnf install -y -q nginx ;;
+        yum) yum install -y -q nginx ;;
+    esac
+    systemctl enable nginx 2>/dev/null
+}
+
+# ── Установка certbot ────────────────────────────────────────────────────────
+install_certbot() {
+    if command -v certbot &>/dev/null; then
+        log_dim "certbot уже установлен"
+        return 0
+    fi
+    log_info "Установка certbot..."
+    case "$(get_pkg_manager)" in
+        apt) apt-get install -y -qq certbot python3-certbot-nginx ;;
+        dnf) dnf install -y -q certbot python3-certbot-nginx ;;
+        yum) yum install -y -q certbot python3-certbot-nginx ;;
+    esac
+}
+
+# ── Генерация nginx конфига ──────────────────────────────────────────────────
+generate_nginx_config() {
+    local domain="$1"
+    local proxy_port="${2:-443}"
+    local use_ssl="${3:-true}"
+
+    mkdir -p /etc/nginx/sites-available /etc/nginx/sites-enabled
+
+    cat > "$NGINX_SITE_CONF" << 'EONGINX'
+# GoTelegram v2.2 — nginx config
+# Обслуживает сайт-маскировку для telemt stealth mode
+
+server {
+    listen 80;
+    listen [::]:80;
+    server_name DOMAIN_PLACEHOLDER;
+
+    # Let's Encrypt ACME challenge
+    location /.well-known/acme-challenge/ {
+        root /var/www/certbot;
+        allow all;
+    }
+
+    # Редирект на HTTPS
+    location / {
+        return 301 https://$server_name$request_uri;
+    }
+}
+
+server {
+    listen SSL_PORT_PLACEHOLDER ssl http2;
+    listen [::]:SSL_PORT_PLACEHOLDER ssl http2;
+    server_name DOMAIN_PLACEHOLDER;
+
+    # SSL сертификаты
+    ssl_certificate /etc/letsencrypt/live/DOMAIN_PLACEHOLDER/fullchain.pem;
+    ssl_certificate_key /etc/letsencrypt/live/DOMAIN_PLACEHOLDER/privkey.pem;
+
+    # Современные TLS настройки
+    ssl_protocols TLSv1.2 TLSv1.3;
+    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384;
+    ssl_prefer_server_ciphers off;
+    ssl_session_cache shared:SSL:10m;
+    ssl_session_timeout 1d;
+    ssl_session_tickets off;
+
+    # OCSP stapling
+    ssl_stapling on;
+    ssl_stapling_verify on;
+
+    # Security headers
+    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains; preload" always;
+    add_header X-Content-Type-Options "nosniff" always;
+    add_header X-Frame-Options "SAMEORIGIN" always;
+    add_header X-XSS-Protection "1; mode=block" always;
+    add_header Referrer-Policy "strict-origin-when-cross-origin" always;
+
+    # Корень сайта
+    root /var/www/gotelegram-site;
+    index index.html;
+
+    location / {
+        try_files $uri $uri/ =404;
+        expires 30d;
+    }
+
+    # Кеширование статики
+    location ~* \.(jpg|jpeg|png|gif|ico|css|js|svg|woff|woff2|ttf|eot)$ {
+        expires 1y;
+        add_header Cache-Control "public, immutable";
+    }
+
+    # Скрываем служебные файлы
+    location ~ /\. { deny all; }
+    location = /robots.txt { allow all; log_not_found off; access_log off; }
+    location = /favicon.ico { log_not_found off; access_log off; }
+}
+EONGINX
+
+    # Подставляем значения (используем | как разделитель, чтобы / в домене не ломал sed)
+    local escaped_domain
+    escaped_domain=$(printf '%s\n' "$domain" | sed 's/[&/\]/\\&/g')
+    sed -i "s|DOMAIN_PLACEHOLDER|${escaped_domain}|g" "$NGINX_SITE_CONF"
+    sed -i "s|SSL_PORT_PLACEHOLDER|443|g" "$NGINX_SITE_CONF"
+
+    # Активируем сайт
+    rm -f /etc/nginx/sites-enabled/default 2>/dev/null
+    ln -sf "$NGINX_SITE_CONF" "$NGINX_SITE_LINK"
+
+    log_success "nginx конфиг создан для $domain"
+}
+
+# ── Временный конфиг (до получения SSL) ──────────────────────────────────────
+generate_nginx_temp_config() {
+    local domain="$1"
+
+    cat > "$NGINX_SITE_CONF" << EONGINX_TEMP
+# GoTelegram — временный конфиг (до получения SSL)
+server {
+    listen 80;
+    listen [::]:80;
+    server_name ${domain};
+
+    location /.well-known/acme-challenge/ {
+        root /var/www/certbot;
+        allow all;
+    }
+
+    root /var/www/gotelegram-site;
+    index index.html;
+
+    location / {
+        try_files \$uri \$uri/ =404;
+    }
+}
+EONGINX_TEMP
+
+    rm -f /etc/nginx/sites-enabled/default 2>/dev/null
+    ln -sf "$NGINX_SITE_CONF" "$NGINX_SITE_LINK"
+    mkdir -p /var/www/certbot
+}
+
+# ── Получение SSL сертификата ────────────────────────────────────────────────
+obtain_ssl_certificate() {
+    local domain="$1"
+    local email="${2:-}"
+
+    if [ ! -d "/etc/letsencrypt/live/$domain" ]; then
+        log_info "Получение SSL сертификата для $domain..."
+
+        # Временный конфиг для ACME challenge
+        generate_nginx_temp_config "$domain"
+        systemctl restart nginx 2>/dev/null
+
+        local certbot_args=(
+            certonly
+            --webroot
+            -w /var/www/certbot
+            -d "$domain"
+            --non-interactive
+            --agree-tos
+        )
+
+        if [ -n "$email" ]; then
+            certbot_args+=(--email "$email")
+        else
+            certbot_args+=(--register-unsafely-without-email)
+        fi
+
+        if certbot "${certbot_args[@]}" 2>/dev/null; then
+            log_success "SSL сертификат получен для $domain"
+            return 0
+        else
+            log_error "Не удалось получить SSL сертификат"
+            log_dim "Убедитесь что домен $domain направлен на IP этого сервера"
+            log_dim "и порт 80 открыт в файрволе."
+            return 1
+        fi
+    else
+        log_dim "SSL сертификат уже существует для $domain"
+        return 0
+    fi
+}
+
+# ── Авто-обновление сертификата ──────────────────────────────────────────────
+setup_ssl_auto_renewal() {
+    # Certbot systemd timer (предпочтительно)
+    if [ -f /etc/systemd/system/certbot.timer ] || [ -f /lib/systemd/system/certbot.timer ]; then
+        systemctl enable certbot.timer 2>/dev/null
+        systemctl start certbot.timer 2>/dev/null
+        log_success "Авто-обновление SSL через systemd timer"
+        return 0
+    fi
+
+    # Fallback: cron
+    if ! crontab -l 2>/dev/null | grep -q "certbot renew"; then
+        (crontab -l 2>/dev/null; echo "0 3 * * * certbot renew --quiet --post-hook 'systemctl reload nginx'") | crontab -
+        log_success "Авто-обновление SSL через cron (3:00 ежедневно)"
+    fi
+}
+
+# ── Обновление сертификата вручную ───────────────────────────────────────────
+renew_ssl_certificate() {
+    log_info "Обновление SSL сертификата..."
+    if certbot renew --quiet --post-hook "systemctl reload nginx" 2>/dev/null; then
+        log_success "Сертификат обновлён"
+        return 0
+    else
+        log_error "Ошибка обновления сертификата"
+        return 1
+    fi
+}
+
+# ── Дата истечения SSL ───────────────────────────────────────────────────────
+get_ssl_expiry() {
+    local domain="$1"
+    local cert="/etc/letsencrypt/live/$domain/fullchain.pem"
+    if [ -f "$cert" ]; then
+        openssl x509 -enddate -noout -in "$cert" 2>/dev/null | sed 's/notAfter=//'
+    else
+        echo "N/A"
+    fi
+}
+
+# ── Деплой шаблона сайта ─────────────────────────────────────────────────────
+deploy_template_to_nginx() {
+    local template_dir="$1"
+
+    if [ ! -d "$template_dir" ] || [ ! -f "$template_dir/index.html" ]; then
+        log_error "Шаблон не содержит index.html: $template_dir"
+        return 1
+    fi
+
+    # Бекапим старый сайт
+    if [ -d "$WEBSITE_ROOT" ] && [ "$(ls -A "$WEBSITE_ROOT" 2>/dev/null)" ]; then
+        local backup_name="site_backup_$(date +%Y%m%d_%H%M%S)"
+        mv "$WEBSITE_ROOT" "/tmp/$backup_name" 2>/dev/null
+        log_dim "Старый сайт сохранён в /tmp/$backup_name"
+    fi
+
+    mkdir -p "$WEBSITE_ROOT"
+    cp -r "$template_dir"/* "$WEBSITE_ROOT/"
+    chown -R www-data:www-data "$WEBSITE_ROOT" 2>/dev/null || chown -R nginx:nginx "$WEBSITE_ROOT" 2>/dev/null
+    chmod -R 755 "$WEBSITE_ROOT"
+
+    log_success "Шаблон развёрнут в $WEBSITE_ROOT"
+}
+
+# ── Полная установка stealth-режима ──────────────────────────────────────────
+setup_stealth_mode() {
+    local domain="$1"
+    local template_dir="$2"
+    local proxy_port="${3:-443}"
+    local email="${4:-}"
+
+    log_step "Настройка stealth-режима"
+
+    # 1. Устанавливаем nginx
+    run_with_spinner "Установка nginx" install_nginx || return 1
+
+    # 2. Устанавливаем certbot
+    run_with_spinner "Установка certbot" install_certbot || return 1
+
+    # 3. Деплоим шаблон сайта
+    deploy_template_to_nginx "$template_dir" || return 1
+
+    # 4. Получаем SSL
+    obtain_ssl_certificate "$domain" "$email" || return 1
+
+    # 5. Генерируем полный nginx конфиг с SSL
+    generate_nginx_config "$domain" "$proxy_port"
+
+    # 6. Тестируем и перезапускаем nginx
+    if nginx -t 2>/dev/null; then
+        systemctl restart nginx
+        log_success "nginx запущен с SSL"
+    else
+        log_error "Ошибка в конфигурации nginx"
+        nginx -t
+        return 1
+    fi
+
+    # 7. Настраиваем авто-обновление SSL
+    setup_ssl_auto_renewal
+
+    # 8. Показываем благодарности авторам шаблонов
+    show_credits
+
+    log_success "Stealth-режим настроен: https://${domain}"
+    return 0
+}
+
+# ── Управление nginx ────────────────────────────────────────────────────────
+nginx_status() {
+    if systemctl is-active --quiet nginx 2>/dev/null; then
+        echo "running"
+    else
+        echo "stopped"
+    fi
+}
+
+restart_nginx() {
+    if nginx -t 2>/dev/null; then
+        systemctl restart nginx 2>/dev/null
+        log_success "nginx перезапущен"
+    else
+        log_error "Ошибка конфигурации nginx"
+        nginx -t
+        return 1
+    fi
+}
+
+# ── Удаление stealth-режима ──────────────────────────────────────────────────
+remove_stealth_mode() {
+    log_info "Удаление stealth-режима..."
+    rm -f "$NGINX_SITE_CONF" "$NGINX_SITE_LINK"
+    rm -rf "$WEBSITE_ROOT"
+    systemctl restart nginx 2>/dev/null
+    log_success "Stealth-режим удалён (nginx оставлен)"
+}
+
+# ── Смена шаблона ────────────────────────────────────────────────────────────
+switch_template() {
+    local new_template_dir="$1"
+    deploy_template_to_nginx "$new_template_dir"
+    # nginx не требует перезапуска — статика обновилась на месте
+    log_success "Шаблон сайта обновлён"
+}
--- a/templates_catalog.json
+++ b/templates_catalog.json