feat: user roles - admins and users limited to the machines given to them, user editor with machines, password sign-in and its lock; direct address without Cloudflare as the agents' fallback and in the installer; version 0.1.2

README.md

@@ -33,6 +33,15 @@
   перезагрузке. На устройстве можно не спрашивать его 5/15/30/60 минут после ввода.
   Пять неверных попыток - выход из сессии.
 
+## Пользователи и роли
+- **Администратор** видит всё: все машины, настройки, пользователей, ufw.
+- **Пользователь** видит только выданные ему машины (терминал, файлы, порты, статус, «Изменить» без удаления);
+  настроек, других пользователей и чужих машин для него нет.
+
+Роль и машины задаются в «Настройки → Пользователи» (квадратная кнопка у пользователя открывает список машин).
+Там же галочка «Пароль» включает или выключает вход по паролю (выключить можно, когда у человека есть ключ доступа),
+а «Закрепить» не даёт ему поменять это самому. Последнего администратора нельзя удалить или понизить.
+
 ## Компоненты
 - **Сервер** (`cmd/server`) - панель и точка встречи для агентов. Ставится за nginx (TLS).
 - **Агент** (`cmd/agent`) - бинарь для Linux (amd64/arm64), systemd-сервис от root.
@@ -69,6 +78,16 @@
   на больших выводах);
 - `proxy_read_timeout` больше 25 с (удержание long-poll), `proxy_buffering off`.
 
+### Прямой адрес (без Cloudflare)
+В «Настройки → Адрес хоста» можно задать второй, прямой адрес - например `https://direct.lpra.example.com`,
+DNS-запись без проксирования. Тогда:
+- агенты, не достучавшись до основного адреса 30 секунд, переходят на прямой и каждые 5 минут проверяют,
+  не ожил ли основной; уже установленные агенты получают прямой адрес с сервера сами (он хранится в `state.json`);
+- установщик (`FALLBACK_HOST`) качает агента с прямого, если основной не отвечает; в «Полных вариантах»
+  есть короткая команда и через прямой адрес;
+- если хост туннеля не задан, агентам отдаётся хост прямого адреса;
+- ключи доступа основного домена работают и на его поддомене.
+
 ### Cloudflare
 Работает за проксирующим Cloudflare: WebSocket он пропускает, файлы идут кусками меньше лимита
 на запрос, статика с хешем в имени кэшируется. Чтобы панель видела настоящие IP (ограничение