Подготовка репозитория к публичному релизу

[apodobe]

Summary

Подготовка cashbackbot к публикации в открытом доступе: удаление чувствительных данных, усиление безопасности и документация для внешних пользователей.

Что найдено и исправлено

Критично (удалено из репозитория)

• Реальные номера банковских карт (PAN) в data/cashback_*_with_numbers.json
• IP production-сервера и внутренняя инфраструктурная документация (deploy/STATE.md)
• Реальные Telegram user id в дефолтах .env.example, settings.py, deploy-скриптах
• Префикс реального bot token в deploy-документации
• Внутренние файлы: Technical task, .cursor/rules/deploy-and-git.mdc

Безопасность (код)

• Номера карт в пользовательском UI теперь маскируются (****1234), как в админке
• ADMIN_IDS по умолчанию пустой — админ-команды недоступны без явной настройки
• monthly_reminder.sh требует CASHBACK_REMINDER_CHAT_ID в .env (без хардкода id)

Публичная документация

• Добавлены LICENSE (MIT) и SECURITY.md
• Обновлены README.md, deploy/README.md, .env.example
• Примеры данных переведены на вымышленных владельцев (Алиса/Борис) и тестовые PAN
• .cursor/ добавлен в .gitignore

Тесты

307 тестов пройдено, покрытие 98.56%.

Важно перед публикацией на GitHub

История git может содержать удалённые PAN и секреты в старых коммитах. Перед public рекомендуется:

1. Ротировать BOT_TOKEN у @Botfather
2. Сменить DB_PASS на сервере
3. При необходимости переписать историю: git filter-repo или новый чистый репозиторий

Checklist для maintainer после merge

• Заполнить .env на production с реальными ADMIN_IDS, TOPUP_REQUEST_USER_ID, PRIMARY_OWNER_NAME
• Убедиться, что ENCRYPTION_KEY задан на production
• Сделать репозиторий public только после ротации секретов