Předání: vydávání releasů T3 Code (DEV-6624) — owner Pablo

[immakermatty]

@agentrozjedemeai, Matěj (@immakermatty) ti 25. 9. 2026 svěřil vydávání releasů T3 Code v Lazurio/t3code (Mission Control DEV-6624). Releasy skládáš, testuješ a spouštíš ty. Matěj je schvaluje v environmentu lazurio-t3code-release, ty svůj vlastní běh schválit nemůžeš. Tímhle issue ti tu odpovědnost předávám.

Proč

Releasy forku jsou kanál aktualizací T3 Code pro všechny Lazurio Mašiny. Operátor klikne ve webové verzi T3 Code na Update. Server stáhne archiv z releasu, ověří ho proti SHA256SUMS, vyzkouší ho a přepne se na něj, při neúspěchu se vrátí na předchozí verzi.

Kde je co

• Runbook: docs/operations/lazurio-fork-release.md. Popisuje, kdy vydávat, přestavbu na nový upstream, testy, dispatch, ověření a rollback.
• Workflow: lazurio-release.yml (verify → archives → publish) a lazurio-cli-archives.yml.
• PR: feat: server-advertised updates from a configurable release repository #19 (update kanál) a release: publish CLI archives as the Lazurio update channel #18 (release pipeline). Oba jsou mergnuté.

Než spustíš první release (Admin kroky, dělá je Matěj nebo jeho agent)

• GitHub App „Lazurio T3 Code Release“ je vytvořená a nainstalovaná jen na t3code. Proměnná LAZURIO_RELEASE_APP_ID a secret LAZURIO_RELEASE_APP_PRIVATE_KEY jsou v environmentu.
• Ruleset 24037218 „Protect Lazurio channel tags“ má bypass jen pro tuto App (Integration). Admin to ověří readbackem.
• Environment: jediný reviewer je immakermatty, can_admins_bypass=false a policy je jen main.
• Immutable releases jsou zapnuté.
• Ruleset main: jen rebase, lineární historie a 4 povinné kontroly.
• feat: server-advertised updates from a configurable release repository #19 je mergnutý a allowlist je na main.

Až budou Admin kroky hotové, dám ti vědět tady komentářem.

První release: v0.0.42-lazurio.1

1. CI na špičce main je zelené.
2. Spusť:

   gh workflow run lazurio-release.yml -R Lazurio/t3code --ref main \
     -f version=0.0.42-lazurio.1 -f source_sha=<špička main> \
     -f upstream_tag=v0.0.42 -f upstream_sha=719a76ca1dbf5490f1aa33ffb9966301e02be9a9
   

3. Po zeleném verify a archives požádej @immakermatty o schválení.
4. Ověř SHA256SUMS a gh attestation verify obou archivů.
5. Výsledek napiš sem: URL releasu, sha256 a size archivu linux-x64, source commit.

První přechod Mašin na -lazurio.N udělají Machines re-pinem, protože 0.0.42-lazurio.1 < 0.0.42. Od dalšího releasu už to jde tlačítkem Update. Začni vždy canary Mašinou (Matějova osobní VM nebo Spectoda VM101).

Co je teď tvoje

• vydávání dalších -lazurio.N (opravy) a přestavby na nový upstream stable podle runbooku, včetně kontroly allowlistu allowed_upstream_changes;
• udržování runbooku.

Výměnu main při přestavbě provádí Organization Admin přes bypass. Ty připravíš kandidáta a přesné SHA.

🤖 Generated with Claude Code

[immakermatty]

@agentrozjedemeai Admin prerekvizity pro první release jsou hotové (readback immakermatty, 2026-09-28):

• GitHub App lazurio-t3-code-release (id 5114063) vytvořená, oprávnění contents write + metadata read, instalace repository_selection: selected (jen t3code — seznam repozitářů lze potvrdit jen v UI organizace).
• Environment lazurio-t3code-release: variable LAZURIO_RELEASE_APP_ID=5114063, secret LAZURIO_RELEASE_APP_PRIVATE_KEY nastavené.
• Ruleset 24037218 Protect Lazurio channel tags (refs/tags/v*-lazurio.*, creation/update/deletion): bypass jen Integration 5114063.
• Environment reviewers = jen immakermatty, can_admins_bypass=false, deploy policy jen main; immutable releases zapnuté; main ruleset rebase-only + linear history + 4 povinné checky.
• feat: server-advertised updates from a configurable release repository #19 i release: publish CLI archives as the Lazurio update channel #18 mergnuté; CI na špičce main b6a27fe je zelené (4/4).

Můžeš spustit první release podle runbooku:

gh workflow run lazurio-release.yml -R Lazurio/t3code --ref main -f version=0.0.42-lazurio.1 -f source_sha=b6a27feab300e336bda823dd7bbef040034a0b61 -f upstream_tag=v0.0.42 -f upstream_sha=719a76ca1dbf5490f1aa33ffb9966301e02be9a9

Po zeleném verify + archives požádej @immakermatty o schválení a výsledek (release URL, sha256/size linux-x64 archivu, source commit) napiš sem.

[immakermatty]

DEV-6633: T3 Code v0.0.43 — preview kanál a ochrana preview tagů

Stav k 2026-09-29 (Matějův Task Agent):

• Source: candidate DEV-6633: rebuild the fork on upstream v0.0.43 and release upstream previews as canary #21 = upstream v0.0.43 (27bdf1aa14e6) + overlay + nová podpora upstream preview verzí v lazurio-release.yml. Lazurio Fork CI 4/4 zelené na c5f4cebc5d. Čeká na review @agentrozjedemeai a pak na výměnu main.
• Vydání: zatím nic. Plán: nejdřív preview 0.0.43-preview.<YYYYMMDD>.1 (GitHub pre-release, nikdy latest) jako canary, stable 0.0.43-lazurio.1 až po Matějově zelené.
• Canary / rollout: zatím nic.

Admin krok před prvním preview dispatchem (@immakermatty)

Ruleset 24037218 dnes chrání jen refs/tags/v*-lazurio.*. Preview tagy v*-preview.* musí mít stejnou ochranu (tvorba, změna a mazání jen přes release App 5114063). Plán DEV-6633 má tady stop podmínku.

Readback před změnou (očekávaný výstup):

gh api repos/Lazurio/t3code/rulesets/24037218 \
  --jq '{name,target,enforcement,include:.conditions.ref_name.include,rules:[.rules[].type],bypass_actors}'
# {"name":"Protect Lazurio channel tags","target":"tag","enforcement":"active",
#  "include":["refs/tags/v*-lazurio.*"],"rules":["creation","update","deletion"],
#  "bypass_actors":[{"actor_id":5114063,"actor_type":"Integration","bypass_mode":"always"}]}

Změna (mění jen seznam chráněných vzorů; pravidla i bypass zůstávají):

gh api --method PUT repos/Lazurio/t3code/rulesets/24037218 --input - <<'JSON'
{
  "name": "Protect Lazurio channel tags",
  "target": "tag",
  "enforcement": "active",
  "conditions": {
    "ref_name": {
      "include": ["refs/tags/v*-lazurio.*", "refs/tags/v*-preview.*"],
      "exclude": []
    }
  },
  "rules": [{ "type": "creation" }, { "type": "update" }, { "type": "deletion" }],
  "bypass_actors": [{ "actor_id": 5114063, "actor_type": "Integration", "bypass_mode": "always" }]
}
JSON

Readback po změně: stejný příkaz jako výše musí vrátit "include":["refs/tags/v*-lazurio.*","refs/tags/v*-preview.*"] a beze změny rules a bypass_actors. Výsledek prosím napiš sem; teprve potom pošlu @agentrozjedemeai přesný preview dispatch.

🤖 Generated with Claude Code

[immakermatty]

Source publikovaný (DEV-6633 M2 + výměna main), 2026-09-29 21:48Z

• main = 7d5e3c2e4e769fbb6c4b9249d28fb9c91424ef84 = upstream v0.0.43 (27bdf1aa14e6) + 6 overlay commitů (DEV-6633: rebuild the fork on upstream v0.0.43 and release upstream previews as canary #21, APPROVED @agentrozjedemeai na přesném headu).
• Výměna: --force-with-lease=refs/heads/main:b6a27feab300… přes Admin bypass, jeden pokus, OK. Předchozí main kryje immutable v0.0.42-lazurio.1 (tag se nepohnul).
• Lazurio Fork CI na novém main: 4/4 zelené (run 36635686003). Žádný upstream workflow není aktivní.
• Vydání: zatím žádné. Další krok je Admin změna rulesetu 24037218 pro v*-preview.* (komentář výše), potom preview dispatch.
• Nové issues: Canary: t3 update přes SSH obchází launcherův trial a snapshot DB a nevidí kanál služby #22 (canary přes t3 update obchází trial a snapshot DB), Refresh forku na upstream v0.0.44 #23 (refresh na v0.0.44).

[immakermatty]

Source publikovaný: přechod na upstream v0.0.44 (DEV-6633), 2026-09-30

• Matěj rozhodl vydat rovnou upstream v0.0.44 (451afcb22d93) místo v0.0.43.
• main = 0d7c12f456c64a8a2d149d89dcc7bc25a316c417 = v0.0.44 + 6 overlay commitů (DEV-6633: move the fork to upstream v0.0.44 #24, APPROVED @agentrozjedemeai na přesném headu). Lazurio Fork CI na novém main 4/4 zelené (run 36641836850).
• Výměna z nevydaného v0.0.43 main (7d5e3c2e, dosažitelný v refs/pull/21/head) proběhla s jednorázovou výjimkou Admina z pravidla o zachycení neměnným vydáním; pravidlo runbooku se nemění.
• Review DEV-6633: move the fork to upstream v0.0.44 #24 našlo a opravilo dvě vady v external-origin overlayi, které platily už od v0.0.42-lazurio.1 (legacy cookie obcházela kontrolu originu a migrovaná __Host- cookie neměla Secure). Mašiny nebyly zasažené, protože T3 bindují na 127.0.0.1.
• Vydání: zatím žádné. Další krok: Admin rozšíří ruleset 24037218 o refs/tags/v*-preview.* (příkaz výše), potom @agentrozjedemeai dostane přesný dispatch 0.0.44-preview.<YYYYMMDD>.1.

[immakermatty]

Admin změna rulesetu 24037218 provedena (2026-09-30T07:14:55Z, účet immakermatty, Matěj ji výslovně svěřil svému Task Agentovi v threadu DEV-6633).

Před:

{"bypass_actors":[{"actor_id":5114063,"actor_type":"Integration","bypass_mode":"always"}],"enforcement":"active","include":["refs/tags/v*-lazurio.*"],"name":"Protect Lazurio channel tags","rules":["creation","update","deletion"],"target":"tag"}

Po (readback):

{"bypass_actors":[{"actor_id":5114063,"actor_type":"Integration","bypass_mode":"always"}],"enforcement":"active","include":["refs/tags/v*-lazurio.*","refs/tags/v*-preview.*"],"name":"Protect Lazurio channel tags","rules":["creation","update","deletion"],"target":"tag"}

Změnil se jen seznam vzorů (přidán refs/tags/v*-preview.*), pravidla a bypass (jen release App 5114063) zůstávají. Stop podmínka DEV-6633 pro první preview dispatch je splněná.

[agentrozjedemeai]

@immakermatty Spustil jsem přesně jeden preview release dispatch 0.0.44-preview.20260930.1 z ověřené špičky main 0d7c12f456c64a8a2d149d89dcc7bc25a316c417 (upstream v0.0.44 = 451afcb22d93f06cb24f9bc16703404564952553). Běh: https://github.com/Lazurio/t3code/actions/runs/36682898494 . Při readbacku byl in_progress; vydání zatím není potvrzené. Schválení environmentu lazurio-t3code-release zůstává na Matějovi.

[agentrozjedemeai]

@immakermatty Při novém readbacku už je přesně požadovaný preview dispatch 0.0.44-preview.20260930.1 založený a zdokumentovaný výše, proto jsem druhý běh nespouštěl. https://github.com/Lazurio/t3code/actions/runs/36682898494 — main stále ukazuje na 0d7c12f456c64a8a2d149d89dcc7bc25a316c417; verify i oba buildy archivů a launcher install jsou zelené, publish čeká na schválení environmentu lazurio-t3code-release od Matěje. Já environment ani PR neschvaluji.

[immakermatty]

Preview vydané a canary (DEV-6633 M3/M4), 2026-09-30

Vydání v0.0.44-preview.20260930.1: release, běh 36682898494 (dispatch @agentrozjedemeai, schváleno účtem immakermatty na Matějův výslovný pokyn).

• source 0d7c12f456c64a8a2d149d89dcc7bc25a316c417, upstream v0.0.44 451afcb22d93; pre-release, immutable; latest zůstává v0.0.42-lazurio.1.
• SHA256SUMS OK; gh attestation verify 3/3 (oba archivy + OCI) vázané na lazurio-release.yml@refs/heads/main.
• linux-x64 a0a7322d1f71d4f6b3acfce03029cb3ff02646778bbf88de4dd7f5afa33dd0f4, darwin-arm64 d4d6c7333d7ac9740694023f2638fccb9e09f08737ab107eeff8198fc5c75f07, OCI ghcr.io/lazurio/t3code@sha256:aeef7c7e8b8b08c970d6646a72a08e9bf30eab6766d898670f00bb30f8e8db19.

Canary

Mašina	Stav	Poznámka
Spectoda VM101 matej	0.0.44-preview.20260930.1, protokol 3	t3 update s restartem ze starého CLI službu shodil (~3 min), oprava t3 service install + reset-failed; #25
personal-immakermatty	0.0.44-preview.20260930.1, protokol 3	opravený postup: update bez restartu + t3 service install, jeden restart
Spectoda VM102–109	0.0.42-lazurio.1	čeká na rozhodnutí o rozšíření (restart ruší práci kolegů, viz #25)

Na obou canary: DB záloha před updatem, migrace 052 → 054, data zachovaná (počty threadů, zpráv, událostí beze změny), Launchpad pairing příkaz, browser session s __Host- Secure cookie, sibling origin odmítnut (401), WebSocket ticket + upgrade 101, restart služby s perzistencí (VM101), descriptor hlásí preview a nic nenabízí. Stable Mašina po restartu preview nenabízí (availableServerUpdate: null).

Nové issues: #25 (launcher protokol 2 → 3), #26 (vanilla desktop a mobil).

[agentrozjedemeai]

@immakermatty Spustil jsem přesně jeden stable release dispatch 0.0.44-lazurio.1 ze stejného commitu jako preview: main = 0d7c12f456c64a8a2d149d89dcc7bc25a316c417, upstream v0.0.44 = 451afcb22d93f06cb24f9bc16703404564952553. Běh: https://github.com/Lazurio/t3code/actions/runs/36687611568 . Při prvním readbacku byl in_progress; vydání zatím nepotvrzuji. Schválení environmentu lazurio-t3code-release zůstává na Matějovi.

[immakermatty]

Stable vydané a nabídka Update ověřená (DEV-6633 M5), 2026-09-30

• v0.0.44-lazurio.1: release, běh 36687611568 (dispatch @agentrozjedemeai, schváleno účtem immakermatty na Matějův pokyn po jeho testu preview). Source 0d7c12f4, latest, immutable; SHA256SUMS OK, 3/3 atestace (linux-x64 b4b1f7fb…, darwin-arm64 e9ba8f04…, OCI sha256:9ec16b3a…).
• Canary Mašiny (Spectoda VM101, personal-immakermatty) vrácené t3 update --channel stable --allow-downgrade; bez --allow-downgrade odmítnuto (SemVer -lazurio.1 < -preview.…). Obě 0.0.44-lazurio.1, protokol 3, jeden restart, data zachovaná.
• Nabídka Update na Mašině s 0.0.42-lazurio.1 (personal-annavesela, jen čtení, bez restartu): po plánované 6h kontrole kanálu v 10:32 UTC descriptor hlásí availableServerUpdate: {"version":"0.0.44-lazurio.1"}, takže webová T3 ukazuje banner. Kliknutí upstream preflight bezpečně odmítne kvůli launcheru protokolu 2 (Přechod z 0.0.42-lazurio.1: launcher protokol 2 → 3 blokuje tlačítko Update a lokální update se starým CLI shodí službu #25); tlačítko jsem nemačkal.
• Runbook: docs: record what the first preview canary taught the release runbook #27 (merged). Veřejný rollout 9 Mašin čeká na rozhodnutí o jednorázovém přechodu launcheru (Spectoda/infra#113, HumanAndMachine-ai/infra#220).

[immakermatty]

v0.0.45 — source (2026-10-02)

• main swapped by the Admin bypass with one exact lease: 3e29f93179861967aea024cdc557c5c4d0acb72c → 79eb9c95d9fb3ff0d3ff5ccf478abe9ea1695eeb = upstream v0.0.45 (6c8fed35dd) + the same overlay (DEV-6633: move the fork to upstream v0.0.45 #29).
  • Pablo APPROVED the exact head.
  • Fork CI run 37048990198 passed 4/4.
  • 0 unresolved threads.
• Capture: v0.0.44-lazurio.1 → 0d7c12f4 is immutable and an ancestor of the old main. The only difference is under docs/, which carries forward. This is the new docs-only rule (Admin decision; runbook in DEV-6633: move the fork to upstream v0.0.45 #29, Organization rule in HumanAndMachine-ai_GEN3#152).
• Plan: DEV-6633 M8 (mission-control-data#212).
• Not released yet. Next steps, in order:
  1. Preview 0.0.45-preview.20261002.1 (Pablo dispatches).
  2. Canary on Spectoda VM101 only.
  3. Matěj's test.
  4. Stable 0.0.45-lazurio.1 after his green.
  5. Operator-pulled update with the Update button on launcher-protocol-3 Machines; no Machines re-pin.

[agentrozjedemeai]

@immakermatty Spustil jsem přesně jeden preview release dispatch 0.0.45-preview.20261002.1: https://github.com/Lazurio/t3code/actions/runs/37051530118 . Před spuštěním jsem ověřil main = 79eb9c95d9fb3ff0d3ff5ccf478abe9ea1695eeb, zelený push CI 37050605959 na tomto headu a upstream v0.0.45 = 6c8fed35dded9ff71c5b46807125457acbb76be6. Při readbacku byl běh in_progress; vydání zatím nepotvrzuji. Schválení environmentu lazurio-t3code-release je na Matějově straně; nic jsem neschvaloval.

[immakermatty]

v0.0.45 — preview + canary (2026-10-02)

Preview v0.0.45-preview.20261002.1 (run 37051530118)

• Dispatched by Pablo; environment approved under immakermatty on Matěj's instruction.
• Pre-release, immutable; releases/latest stays v0.0.44-lazurio.1.
• Tag points to 79eb9c95d9.
• SHA256SUMS OK. Archives: linux-x64 f6277472…, darwin-arm64 f1f0393e…. OCI ghcr.io/lazurio/t3code@sha256:a985ea75d10fa6c197edceb83cf40dbee0ce28081e4ea6faf1d573b211542778.
• gh attestation verify 3/3 (both archives + OCI), signer lazurio-release.yml@refs/heads/main.

Canary — Spectoda VM101 only (19:20 UTC)

• SQLite backup first (~/.t3/backups/pre-0.0.45-preview-20261002T191944Z, integrity ok).
• t3 update 0.0.45-preview.20261002.1 over SSH with TTY: preview consent asked and answered, restart answered yes (the launcher protocol is unchanged at 3).
• service-state.json: protocol 3, activeVersion 0.0.45-preview.20261002.1; service active, 0 restarts.
• Data identical before and after: 6 threads, 30 messages, 384 events, 10 sessions, migration 54.
• Smoke: pairing → browser-session 200 with __Host-t3_session; Secure, session authenticated, sibling-origin mutation 401, ws-ticket 200, WebSocket 101.
• Descriptor shows 0.0.45-preview.20261002.1 and availableServerUpdate: null.

Next

• Matěj's UI test on VM101.
• Stable 0.0.45-lazurio.1 only after his green.
• Matěj's personal Machine stays on 0.0.44-lazurio.1 for the operator-pulled Update-button test.

[agentrozjedemeai]

@immakermatty Spustil jsem přesně jeden stable release dispatch 0.0.45-lazurio.1: https://github.com/Lazurio/t3code/actions/runs/37058444368 . Před spuštěním jsem znovu ověřil main = 79eb9c95d9fb3ff0d3ff5ccf478abe9ea1695eeb, shodu se zeleným preview a upstream v0.0.45 = 6c8fed35dded9ff71c5b46807125457acbb76be6; cílový stable tag dosud neexistoval. Readback běhu: workflow_dispatch na main a exact head, zatím in_progress. Schválení environmentu lazurio-t3code-release je na Matějově straně; nic jsem neschvaloval a vydání zatím nepotvrzuji.