fix(bundle): указать mainBinaryName + guard в CI (см. hotfix)

feat(android): приложение под Android и переход на rustls
Android грузит приложение как нативную библиотеку и входит через JNI-символ, а не через main. Поэтому Tauri-приложение переехало из src/main.rs в src/gui.rs внутри библиотеки, с #[cfg_attr(mobile, tauri::mobile_entry_point)], а main.rs стал обёрткой. Модуль объявлен как #[cfg(feature = "gui")], так что свойство «--no-default-features даёт ядро без Tauri и WebView» сохранилось — проверено сборкой и 51 тестом headless-варианта. Переход на rustls — вынужденный, но выгодный. native-tls на Linux и Android тянет OpenSSL, а openssl-sys не кросскомпилируется под aarch64-linux-android: сборка падала на нём. rustls на чистом Rust, корневые сертификаты webpki вшиты в бинарь. Побочно: на Linux исчезла зависимость от системного libssl, а образу Docker больше не нужен даже ca-certificates. На этом переходе тест живой сети поймал баг, который прошёл бы в релиз: rustls 0.23 отказывается угадывать криптопровайдер и ПАНИКУЕТ на первом TLS- рукопожатии. Компиляция чистая, все офлайновые тесты зелёные — они ходят через локальный маршрут без TLS. То есть в сборку ушло бы приложение, не способное подключиться ни к чему. Провайдер (ring, кросскомпилируется под Android) устанавливается в ensure_crypto_provider, регрессию держит тест a_crypto_provider_is_available_for_tls. Живой тест против шести боевых дата-центров Telegram проходит. Прочее: - open::that заменён на tauri-plugin-opener: у крейта open нет реализации под Android, а плагин работает на обеих платформах. - Библиотека переименована в tglock_lib: одинаковые имена lib и bin давали коллизию выходных файлов, которую cargo обещает сделать ошибкой. - Программный рендер WebView не применяется на Android — там GPU есть всегда, и переопределение только замедлило бы интерфейс. - .gitignore: строка /gen скрывала весь сгенерированный Android-проект. Теперь игнорируются только артефакты сборки, local.properties и keystore. Foreground service. Прокси — поток в процессе приложения, и без сервиса система выгрузит его через минуты после сворачивания. Сервис стартует из MainActivity, а не по команде из ядра: JNI-мост между Rust и Kotlin осознанно не делался, чтобы не добавлять слой, который нельзя проверить. Плата — уведомление висит, пока открыто приложение, даже при выключенной защите. НЕ ПРОВЕРЕНО: вся Android-часть в рантайме. Устройств не подключено, эмулятора и системных образов в SDK нет. APK собирается, но приложение никто ни разу не запускал: ни интерфейс, ни сервис, ни тип specialUse на Android 14+, ни запрос разрешения на уведомления. Поэтому Android-артефакт сознательно НЕ добавлен в release.yml — публиковать нечего, пока никто не запустил это на живом устройстве.
2026-09-06 02:26:08 +03:00 · 2026-07-30 15:31:32 +03:00 · 2026-07-30 15:19:40 +03:00
62 changed files with 2194 additions and 1633 deletions
@@ -58,40 +58,6 @@ jobs:
      - name: Test
        run: cargo test --all-targets

-  bundle:
-    name: Bundled app must be the GUI binary
-    runs-on: macos-latest
-    steps:
-      - uses: actions/checkout@v6
-
-      - name: Install Node.js
-        uses: actions/setup-node@v6
-        with:
-          node-version: 22
-          cache: npm
-
-      - name: Install frontend dependencies
-        run: npm ci
-
-      - name: Install Rust
-        uses: dtolnay/rust-toolchain@stable
-        with:
-          targets: aarch64-apple-darwin
-
-      # Явный --target обязателен: без него бандлер выбирал правильный бинарь, а
-      # с ним — нет, и именно так beta.2 и beta.3 уехали с headless CLI внутри.
-      - name: Bundle the app
-        run: npx tauri build --bundles app --target aarch64-apple-darwin
-
-      # Проверяется содержимое, а не имя файла. В beta.3 имя было уже
-      # правильным, потому что бандлер переименовал CLI, и проверка имени
-      # ничего не заметила.
-      - name: The bundled binary must actually be the GUI one
-        run: |
-          exe=$(find target -maxdepth 8 -path '*TGLock.app/Contents/MacOS/tglock' | head -1)
-          test -n "$exe" || { echo "исполняемый файл бандла не найден"; find target -maxdepth 6 -name 'TGLock.app'; exit 1; }
-          python3 scripts/verify_bundle_binary.py "$exe"
-
  headless:
    name: Headless CLI (no WebView, no Node)
    runs-on: ubuntu-22.04
@@ -107,13 +73,13 @@ jobs:
      # libwebkit2gtk. It fails the moment anything drags the GUI back into the
      # headless build, which is the whole point of issues #10 and #17.
      - name: Lint
-        run: cargo clippy --no-default-features --features cli --all-targets -- -D warnings
+        run: cargo clippy --no-default-features --lib --bins --all-targets -- -D warnings

      - name: Test
-        run: cargo test --no-default-features --features cli --lib --bins
+        run: cargo test --no-default-features --lib --bins

      - name: Build
-        run: cargo build --release --no-default-features --features cli --bin tglock-cli
+        run: cargo build --release --no-default-features --bin tglock-cli

      - name: Start, advertise a proxy link and stop on SIGTERM
        run: |
@@ -135,43 +101,6 @@ jobs:
            ./target/release/tglock-cli --port 18080 --secret-file "$PWD/secret" > restart.log 2>&1
          test "$first" = "$(grep -o 'secret=[0-9a-f]*' restart.log)"

-      # Настройки из файла и приоритет флага над файлом.
-      - name: Read settings from a file
-        run: |
-          cat > tglock.toml <<'CONF'
-          port = 18090
-          secret = "dd00112233445566778899aabbccddeeff"
-          worker = ["example.workers.dev"]
-          CONF
-          timeout --preserve-status --signal=TERM 5 \
-            ./target/release/tglock-cli --config tglock.toml > conf.log 2>&1
-          cat conf.log
-          grep -q '127.0.0.1:18090' conf.log
-          grep -q 'secret=dd00112233445566778899aabbccddeeff' conf.log
-          grep -q 'example.workers.dev' conf.log
-          # Флаг должен перекрывать файл.
-          timeout --preserve-status --signal=TERM 5 \
-            ./target/release/tglock-cli --config tglock.toml --port 18091 > over.log 2>&1
-          grep -q '127.0.0.1:18091' over.log
-          # Опечатка в файле обязана быть ошибкой, а не молчаливым дефолтом.
-          echo 'porrt = 1443' > bad.toml
-          if ./target/release/tglock-cli --config bad.toml; then
-            echo "опечатка в конфиге прошла незамеченной"; exit 1
-          fi
-
-      # Закрытый stdout не должен ронять демон: println! при ошибке записи
-      # паникует, а канал закрывается штатно — `| head`, закрытый терминал,
-      # перезапуск сборщика логов.
-      - name: Survive a closed stdout
-        run: |
-          set +e
-          timeout --signal=TERM 5 ./target/release/tglock-cli --port 18092 2> pipe-err.log | head -2
-          set -e
-          cat pipe-err.log
-          if grep -qi 'panic' pipe-err.log; then
-            echo "демон упал из-за закрытого stdout"; exit 1
-          fi
-
  msrv:
    name: Rust 1.88 compatibility
    runs-on: macos-latest
@@ -194,7 +123,7 @@ jobs:
        run: cargo check --locked

      - name: Check the headless dependency graph too
-        run: cargo check --locked --no-default-features --features cli --lib --bins
+        run: cargo check --locked --no-default-features --lib --bins

  frontend:
    name: Frontend
@@ -64,52 +64,39 @@ jobs:
        with:
          tagName: v__VERSION__
          releaseName: TGLock v__VERSION__
-          # Только инструкция по скачиванию: она одна и та же для любой версии.
-          # Список изменений дописывается в release notes при выпуске — иначе
-          # выходит как в бетах 1-7, где каждая несла один и тот же текст «новый
-          # TGLock, полностью обновлённый интерфейс» и понять, что поменялось,
-          # было невозможно.
          releaseBody: |
-            ## Что скачивать
+            Новый TGLock: адаптивный MTProto/WebSocket-транспорт и полностью обновлённый интерфейс на Tauri 2.

-            - **Windows** — `.exe`, установщик
-            - **macOS** — универсальный `.dmg` (или `.app.tar.gz`)
-            - **Linux** — `.AppImage` или `.deb`
-            - **Сервер, контейнер, машина без монитора** — `tglock-cli-*`: то же самое, но без графического интерфейса
-
-            Если Windows ругается на файл — [почему так и что с этим делать](https://github.com/by-sonic/tglock#-антивирус-ругается-smartscreen-предупреждает-virustotal-показывает-детекты).
+            - macOS: скачайте универсальный `.dmg` или `.app.tar.gz`
+            - Windows: скачайте `.exe` установщик
+            - Linux: скачайте `.AppImage` или `.deb`
+            - Сервер или машина без монитора: скачайте `tglock-cli-*` — там нет графического интерфейса
          releaseDraft: false
          prerelease: false
          args: ${{ matrix.args }}

-      # Проверяет СОДЕРЖИМОЕ упакованного бинаря, а не его имя.
-      #
-      # v2.0.0-beta.2 и v2.0.0-beta.3 опубликовались с зелёным CI, хотя в бандле
-      # лежал headless CLI вместо приложения. В beta.3 имя файла было уже
-      # правильным — переименованным — поэтому проверка имени прошла. Отличить
-      # можно только по содержимому: `wry`/`ipc.localhost` есть исключительно в
-      # GUI, а `allow-direct` — исключительно в CLI.
-      - name: The bundled binary must actually be the GUI one
+      # Смотрит внутрь собранного бандла. v2.0.0-beta.2 опубликовался с зелёным
+      # CI, хотя .app и .deb содержали headless CLI вместо приложения: сборка
+      # была успешной, просто никто не проверял, что внутри.
+      - name: The bundle must contain the GUI binary
        if: runner.os == 'macOS'
        shell: bash
        run: |
          app=$(find target -maxdepth 6 -name 'TGLock.app' -type d | head -1)
          test -n "$app" || { echo "TGLock.app не найден"; exit 1; }
-          exe="$app/Contents/MacOS/tglock"
-          test -f "$exe" || { echo "нет $exe:"; ls -la "$app/Contents/MacOS/"; exit 1; }
-          python3 scripts/verify_bundle_binary.py "$exe"
+          exe=$(/usr/libexec/PlistBuddy -c 'Print :CFBundleExecutable' "$app/Contents/Info.plist")
+          echo "CFBundleExecutable = $exe"
+          test "$exe" = "tglock" || { echo "в бандле не GUI-бинарь"; exit 1; }
+          test -x "$app/Contents/MacOS/tglock" || { echo "исполняемый файл отсутствует"; exit 1; }

-      - name: The bundled binary must actually be the GUI one
+      - name: The bundle must contain the GUI binary
        if: runner.os == 'Linux'
        shell: bash
        run: |
          deb=$(find target -maxdepth 6 -name '*.deb' | head -1)
          test -n "$deb" || { echo ".deb не найден"; exit 1; }
-          root=$(mktemp -d)
-          dpkg-deb -x "$deb" "$root"
-          exe="$root/usr/bin/tglock"
-          test -f "$exe" || { echo "нет /usr/bin/tglock:"; dpkg-deb -c "$deb" | grep '/bin/'; exit 1; }
-          python3 scripts/verify_bundle_binary.py "$exe"
+          dpkg-deb -c "$deb" | grep -E ' \./usr/bin/tglock$' \
+            || { echo "в .deb нет /usr/bin/tglock:"; dpkg-deb -c "$deb" | grep '/bin/'; exit 1; }

  cli:
    name: Headless CLI ${{ matrix.platform }}
@@ -149,7 +136,7 @@ jobs:
          IFS=',' read -ra targets <<< "${{ matrix.rust-targets }}"
          binaries=()
          for target in "${targets[@]}"; do
-            cargo build --release --locked --no-default-features --features cli \
+            cargo build --release --locked --no-default-features \
              --bin tglock-cli --target "$target"
            binaries+=("target/$target/release/tglock-cli")
          done
@@ -165,7 +152,7 @@ jobs:
        if: runner.os == 'Windows'
        shell: bash
        run: |
-          cargo build --release --locked --no-default-features --features cli \
+          cargo build --release --locked --no-default-features \
            --bin tglock-cli --target ${{ matrix.rust-targets }}
          cp "target/${{ matrix.rust-targets }}/release/tglock-cli.exe" "${{ matrix.asset }}"
          ./"${{ matrix.asset }}" --version
@@ -2,7 +2,26 @@
 /dist
 /dist-ui
 /node_modules
-/gen
 /tools
 *.zip
 .claude/
+
+# Сгенерированный Android-проект коммитится: в нём манифест, разрешения и
+# Kotlin-код сервиса. Игнорируются только артефакты сборки и локальные пути.
+/gen/apple
+# ACL-схемы генерируются tauri-build при каждой сборке.
+/gen/schemas
+/gen/android/.gradle
+/gen/android/.idea
+/gen/android/build
+/gen/android/app/build
+/gen/android/buildSrc/build
+/gen/android/local.properties
+/gen/android/.tauri
+/gen/android/tauri.settings.gradle
+/gen/android/app/src/main/jniLibs
+/gen/android/app/src/main/assets
+*.keystore
+*.jks
+keystore.properties
+key.properties
@@ -108,6 +108,137 @@ version = "1.0.104"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "330a5ed07fa54e4702c9d6c4174f74427fc0ef6e214bbd677ae50a5099946470"

+[[package]]
+name = "async-broadcast"
+version = "0.7.2"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "435a87a52755b8f27fcf321ac4f04b2802e337c8c4872923137471ec39c37532"
+dependencies = [
+ "event-listener",
+ "event-listener-strategy",
+ "futures-core",
+ "pin-project-lite",
+]
+
+[[package]]
+name = "async-channel"
+version = "2.5.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "924ed96dd52d1b75e9c1a3e6275715fd320f5f9439fb5a4a11fa51f4221158d2"
+dependencies = [
+ "concurrent-queue",
+ "event-listener-strategy",
+ "futures-core",
+ "pin-project-lite",
+]
+
+[[package]]
+name = "async-executor"
+version = "1.14.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "c96bf972d85afc50bf5ab8fe2d54d1586b4e0b46c97c50a0c9e71e2f7bcd812a"
+dependencies = [
+ "async-task",
+ "concurrent-queue",
+ "fastrand",
+ "futures-lite",
+ "pin-project-lite",
+ "slab",
+]
+
+[[package]]
+name = "async-io"
+version = "2.6.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "456b8a8feb6f42d237746d4b3e9a178494627745c3c56c6ea55d92ba50d026fc"
+dependencies = [
+ "autocfg",
+ "cfg-if",
+ "concurrent-queue",
+ "futures-io",
+ "futures-lite",
+ "parking",
+ "polling",
+ "rustix",
+ "slab",
+ "windows-sys 0.61.2",
+]
+
+[[package]]
+name = "async-lock"
+version = "3.4.2"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "290f7f2596bd5b78a9fec8088ccd89180d7f9f55b94b0576823bbbdc72ee8311"
+dependencies = [
+ "event-listener",
+ "event-listener-strategy",
+ "pin-project-lite",
+]
+
+[[package]]
+name = "async-process"
+version = "2.5.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "fc50921ec0055cdd8a16de48773bfeec5c972598674347252c0399676be7da75"
+dependencies = [
+ "async-channel",
+ "async-io",
+ "async-lock",
+ "async-signal",
+ "async-task",
+ "blocking",
+ "cfg-if",
+ "event-listener",
+ "futures-lite",
+ "rustix",
+]
+
+[[package]]
+name = "async-recursion"
+version = "1.1.1"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "3b43422f69d8ff38f95f1b2bb76517c91589a924d1559a0e935d7c8ce0274c11"
+dependencies = [
+ "proc-macro2",
+ "quote",
+ "syn 2.0.119",
+]
+
+[[package]]
+name = "async-signal"
+version = "0.2.14"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "52b5aaafa020cf5053a01f2a60e8ff5dccf550f0f77ec54a4e47285ac2bab485"
+dependencies = [
+ "async-io",
+ "async-lock",
+ "atomic-waker",
+ "cfg-if",
+ "futures-core",
+ "futures-io",
+ "rustix",
+ "signal-hook-registry",
+ "slab",
+ "windows-sys 0.61.2",
+]
+
+[[package]]
+name = "async-task"
+version = "4.7.1"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "8b75356056920673b02621b35afd0f7dda9306d03c79a30f5c56c44cf256e3de"
+
+[[package]]
+name = "async-trait"
+version = "0.1.91"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "ae36dc4177970ef04fde5178d3e2429882def40e57a451f919c098f72baa6cec"
+dependencies = [
+ "proc-macro2",
+ "quote",
+ "syn 3.0.3",
+]
+
 [[package]]
 name = "atk"
 version = "0.18.2"
@@ -203,6 +334,19 @@ dependencies = [
 "objc2",
 ]

+[[package]]
+name = "blocking"
+version = "1.6.2"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "e83f8d02be6967315521be875afa792a316e28d57b5a2d401897e2a7921b7f21"
+dependencies = [
+ "async-channel",
+ "async-task",
+ "futures-io",
+ "futures-lite",
+ "piper",
+]
+
 [[package]]
 name = "brotli"
 version = "8.0.4"
@@ -448,6 +592,15 @@ dependencies = [
 "memchr",
 ]

+[[package]]
+name = "concurrent-queue"
+version = "2.5.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "4ca0197aee26d1ae37445ee532fefce43251d24cc7c166799f4d46817f1d3973"
+dependencies = [
+ "crossbeam-utils",
+]
+
 [[package]]
 name = "cookie"
 version = "0.18.1"
@@ -483,7 +636,7 @@ dependencies = [
 "bitflags 2.13.1",
 "core-foundation",
 "core-graphics-types",
- "foreign-types 0.5.0",
+ "foreign-types",
 "libc",
 ]

@@ -833,6 +986,33 @@ version = "1.2.2"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "4ef6b89e5b37196644d8796de5268852ff179b44e96276cf4290264843743bb7"

+[[package]]
+name = "endi"
+version = "1.1.1"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "66b7e2430c6dff6a955451e2cfc438f09cea1965a9d6f87f7e3b90decc014099"
+
+[[package]]
+name = "enumflags2"
+version = "0.7.12"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "1027f7680c853e056ebcec683615fb6fbbc07dbaa13b4d5d9442b146ded4ecef"
+dependencies = [
+ "enumflags2_derive",
+ "serde",
+]
+
+[[package]]
+name = "enumflags2_derive"
+version = "0.7.12"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "67c78a4d8fdf9953a5c9d458f9efe940fd97a0cab0941c075a813ac594733827"
+dependencies = [
+ "proc-macro2",
+ "quote",
+ "syn 2.0.119",
+]
+
 [[package]]
 name = "equivalent"
 version = "1.0.2"
@@ -860,6 +1040,26 @@ dependencies = [
 "windows-sys 0.61.2",
 ]

+[[package]]
+name = "event-listener"
+version = "5.4.2"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "5a23add41df1562121a9393cb065eab5146a1242410f23a644851e90cfd669d2"
+dependencies = [
+ "parking",
+ "pin-project-lite",
+]
+
+[[package]]
+name = "event-listener-strategy"
+version = "0.5.4"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "8be9f3dfaaffdae2972880079a491a1a8bb7cbed0b8dd7a347f668b4150a3b93"
+dependencies = [
+ "event-listener",
+ "pin-project-lite",
+]
+
 [[package]]
 name = "fastrand"
 version = "2.5.0"
@@ -913,15 +1113,6 @@ version = "0.2.0"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "77ce24cb58228fbb8aa041425bb1050850ac19177686ea6e0f41a70416f56fdb"

-[[package]]
-name = "foreign-types"
-version = "0.3.2"
-source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "f6f339eb8adc052cd2ca78910fda869aefa38d22d5cb648e6485e4d3fc06f3b1"
-dependencies = [
- "foreign-types-shared 0.1.1",
-]
-
 [[package]]
 name = "foreign-types"
 version = "0.5.0"
@@ -929,7 +1120,7 @@ source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "d737d9aa519fb7b749cbc3b962edcf310a8dd1f4b67c91c4f83975dbdd17d965"
 dependencies = [
 "foreign-types-macros",
- "foreign-types-shared 0.3.1",
+ "foreign-types-shared",
 ]

 [[package]]
@@ -943,12 +1134,6 @@ dependencies = [
 "syn 3.0.3",
 ]

-[[package]]
-name = "foreign-types-shared"
-version = "0.1.1"
-source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "00b0228411908ca8685dba7fc2cdd70ec9990a6e753e89b6ac91a84c40fbaf4b"
-
 [[package]]
 name = "foreign-types-shared"
 version = "0.3.1"
@@ -996,6 +1181,19 @@ version = "0.3.33"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "4577ecaa3c4f96589d473f679a71b596316f6641bc350038b962a5daf0085d7a"

+[[package]]
+name = "futures-lite"
+version = "2.6.1"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "f78e10609fe0e0b3f4157ffab1876319b5b0db102a2c60dc4626306dc46b44ad"
+dependencies = [
+ "fastrand",
+ "futures-core",
+ "futures-io",
+ "parking",
+ "pin-project-lite",
+]
+
 [[package]]
 name = "futures-macro"
 version = "0.3.33"
@@ -1350,6 +1548,12 @@ version = "0.5.0"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "2304e00983f87ffb38b55b444b5e3b60a884b5d30c0fca7d82fe33449bbe55ea"

+[[package]]
+name = "hermit-abi"
+version = "0.5.2"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "fc0fef456e4baa96da950455cd02c081ca953b141298e41db3fc7e36b1da849c"
+
 [[package]]
 name = "hex"
 version = "0.4.3"
@@ -1939,23 +2143,6 @@ dependencies = [
 "windows-sys 0.61.2",
 ]

-[[package]]
-name = "native-tls"
-version = "0.2.18"
-source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "465500e14ea162429d264d44189adc38b199b62b1c21eea9f69e4b73cb03bbf2"
-dependencies = [
- "libc",
- "log",
- "openssl",
- "openssl-probe",
- "openssl-sys",
- "schannel",
- "security-framework",
- "security-framework-sys",
- "tempfile",
-]
-
 [[package]]
 name = "ndk"
 version = "0.9.0"
@@ -2236,59 +2423,27 @@ version = "5.4.0"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "a0b3d059e795d52b8a72fef45658620edd4d9c359b338564aa14391ffa511ed5"
 dependencies = [
+ "dunce",
 "is-wsl",
 "libc",
 ]

-[[package]]
-name = "openssl"
-version = "0.10.81"
-source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "77823a27f0babb03091cb9ed9ef80af3b39dbc82f97e8fa530374b7dafd87a45"
-dependencies = [
- "bitflags 2.13.1",
- "cfg-if",
- "foreign-types 0.3.2",
- "libc",
- "openssl-macros",
- "openssl-sys",
-]
-
-[[package]]
-name = "openssl-macros"
-version = "0.1.1"
-source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "a948666b637a0f465e8564c73e89d4dde00d72d4d473cc972f390fc3dcee7d9c"
-dependencies = [
- "proc-macro2",
- "quote",
- "syn 2.0.119",
-]
-
-[[package]]
-name = "openssl-probe"
-version = "0.2.1"
-source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "7c87def4c32ab89d880effc9e097653c8da5d6ef28e6b539d313baaacfbafcbe"
-
-[[package]]
-name = "openssl-sys"
-version = "0.9.117"
-source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "b47e7e6bb2c38cd930d25a23b40fa52e068c10e85f3e03a7f5ba5aaca5713695"
-dependencies = [
- "cc",
- "libc",
- "pkg-config",
- "vcpkg",
-]
-
 [[package]]
 name = "option-ext"
 version = "0.2.0"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "04744f49eae99ab78e0d5c0b603ab218f515ea8cfe5a456d7629ad883a3b6e7d"

+[[package]]
+name = "ordered-stream"
+version = "0.2.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "9aa2b01e1d916879f73a53d01d1d6cee68adbb31d6d9177a8cfce093cced1d50"
+dependencies = [
+ "futures-core",
+ "pin-project-lite",
+]
+
 [[package]]
 name = "pango"
 version = "0.18.3"
@@ -2314,6 +2469,12 @@ dependencies = [
 "system-deps",
 ]

+[[package]]
+name = "parking"
+version = "2.2.1"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "f38d5652c16fde515bb1ecef450ab0f6a219d619a7274976324d5e377f7dceba"
+
 [[package]]
 name = "parking_lot"
 version = "0.12.5"
@@ -2402,6 +2563,17 @@ version = "0.2.17"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "a89322df9ebe1c1578d689c92318e070967d1042b512afbe49518723f4e6d5cd"

+[[package]]
+name = "piper"
+version = "0.2.5"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "c835479a4443ded371d6c535cbfd8d31ad92c5d23ae9770a61bc155e4992a3c1"
+dependencies = [
+ "atomic-waker",
+ "fastrand",
+ "futures-io",
+]
+
 [[package]]
 name = "pkg-config"
 version = "0.3.33"
@@ -2447,6 +2619,20 @@ dependencies = [
 "miniz_oxide",
 ]

+[[package]]
+name = "polling"
+version = "3.11.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "5d0e4f59085d47d8241c88ead0f274e8a0cb551f3625263c05eb8dd897c34218"
+dependencies = [
+ "cfg-if",
+ "concurrent-queue",
+ "hermit-abi",
+ "pin-project-lite",
+ "rustix",
+ "windows-sys 0.61.2",
+]
+
 [[package]]
 name = "potential_utf"
 version = "0.1.5"
@@ -2708,6 +2894,20 @@ dependencies = [
 "web-sys",
 ]

+[[package]]
+name = "ring"
+version = "0.17.14"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "a4689e6c2294d81e88dc6261c768b63bc4fcdb852be6d1352498b114f61383b7"
+dependencies = [
+ "cc",
+ "cfg-if",
+ "getrandom 0.2.17",
+ "libc",
+ "untrusted",
+ "windows-sys 0.52.0",
+]
+
 [[package]]
 name = "rustc-hash"
 version = "2.1.3"
@@ -2736,6 +2936,40 @@ dependencies = [
 "windows-sys 0.61.2",
 ]

+[[package]]
+name = "rustls"
+version = "0.23.42"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "3c54fcab019b409d04215d3a17cb438fd7fbf192ee61461f20f4fe18704bc138"
+dependencies = [
+ "once_cell",
+ "ring",
+ "rustls-pki-types",
+ "rustls-webpki",
+ "subtle",
+ "zeroize",
+]
+
+[[package]]
+name = "rustls-pki-types"
+version = "1.15.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "764899a24af3980067ee14bc143654f297b22eaebfe3c7b6b211920a5a59b046"
+dependencies = [
+ "zeroize",
+]
+
+[[package]]
+name = "rustls-webpki"
+version = "0.103.13"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "61c429a8649f110dddef65e2a5ad240f747e85f7758a6bccc7e5777bd33f756e"
+dependencies = [
+ "ring",
+ "rustls-pki-types",
+ "untrusted",
+]
+
 [[package]]
 name = "rustversion"
 version = "1.0.23"
@@ -2751,15 +2985,6 @@ dependencies = [
 "winapi-util",
 ]

-[[package]]
-name = "schannel"
-version = "0.1.29"
-source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "91c1b7e4904c873ef0710c1f407dde2e6287de2bebc1bbbf7d430bb7cbffd939"
-dependencies = [
- "windows-sys 0.61.2",
-]
-
 [[package]]
 name = "schemars"
 version = "0.8.22"
@@ -2817,29 +3042,6 @@ version = "1.2.0"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "94143f37725109f92c262ed2cf5e59bce7498c01bcc1502d7b9afe439a4e9f49"

-[[package]]
-name = "security-framework"
-version = "3.7.0"
-source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "b7f4bc775c73d9a02cde8bf7b2ec4c9d12743edf609006c7facc23998404cd1d"
-dependencies = [
- "bitflags 2.13.1",
- "core-foundation",
- "core-foundation-sys",
- "libc",
- "security-framework-sys",
-]
-
-[[package]]
-name = "security-framework-sys"
-version = "2.17.0"
-source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "6ce2691df843ecc5d231c0b14ece2acc3efb62c0a398c7e1d875f3983ce020e3"
-dependencies = [
- "core-foundation-sys",
- "libc",
-]
-
 [[package]]
 name = "selectors"
 version = "0.36.1"
@@ -3183,6 +3385,12 @@ version = "0.11.1"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "7da8b5736845d9f2fcb837ea5d9e2628564b3b043a70948a3f0b778838c5fb4f"

+[[package]]
+name = "subtle"
+version = "2.6.1"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "13c2bddecc57b384dee18652358fb23172facb8a2c51ccc10d74c157bdea3292"
+
 [[package]]
 name = "swift-rs"
 version = "1.0.7"
@@ -3429,6 +3637,44 @@ dependencies = [
 "tauri-utils",
 ]

+[[package]]
+name = "tauri-plugin"
+version = "2.6.3"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "74be5dd4bed9afbd145e5716b5fa2ec28cbc29c34ffa61c258c9273d896c8020"
+dependencies = [
+ "anyhow",
+ "glob",
+ "plist",
+ "schemars 0.8.22",
+ "serde",
+ "serde_json",
+ "tauri-utils",
+ "walkdir",
+]
+
+[[package]]
+name = "tauri-plugin-opener"
+version = "2.5.4"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "17e1bea14edce6b793a04e2417e3fd924b9bc4faae83cdee7d714156cceeed29"
+dependencies = [
+ "dunce",
+ "glob",
+ "objc2-app-kit",
+ "objc2-foundation",
+ "open",
+ "schemars 0.8.22",
+ "serde",
+ "serde_json",
+ "tauri",
+ "tauri-plugin",
+ "thiserror 2.0.19",
+ "url",
+ "windows",
+ "zbus",
+]
+
 [[package]]
 name = "tauri-runtime"
 version = "2.11.3"
@@ -3553,24 +3799,23 @@ dependencies = [

 [[package]]
 name = "tglock"
-version = "2.0.0-beta.8"
+version = "2.0.0-beta.3"
 dependencies = [
 "aes",
 "cipher",
 "clap",
 "ctr",
 "futures-util",
- "native-tls",
- "open",
 "rand",
+ "rustls",
 "serde",
 "serde_json",
 "sha2",
 "tauri",
 "tauri-build",
+ "tauri-plugin-opener",
 "tokio",
 "tokio-tungstenite",
- "toml 0.8.2",
 ]

 [[package]]
@@ -3696,12 +3941,12 @@ dependencies = [
 ]

 [[package]]
-name = "tokio-native-tls"
-version = "0.3.1"
+name = "tokio-rustls"
+version = "0.26.4"
 source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "bbae76ab933c85776efabc971569dd6119c580d8f5d448769dec1764bf796ef2"
+checksum = "1729aa945f29d91ba541258c8df89027d5792d85a8841fb65e8bf0f4ede4ef61"
 dependencies = [
- "native-tls",
+ "rustls",
 "tokio",
 ]

@@ -3713,10 +3958,12 @@ checksum = "edc5f74e248dc973e0dbb7b74c7e0d6fcc301c694ff50049504004ef4d0cdcd9"
 dependencies = [
 "futures-util",
 "log",
- "native-tls",
+ "rustls",
+ "rustls-pki-types",
 "tokio",
- "tokio-native-tls",
+ "tokio-rustls",
 "tungstenite",
+ "webpki-roots 0.26.11",
 ]

 [[package]]
@@ -3904,9 +4151,21 @@ source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "63e71662fa4b2a2c3a26f570f037eb95bb1f85397f3cd8076caed2f026a6d100"
 dependencies = [
 "pin-project-lite",
+ "tracing-attributes",
 "tracing-core",
 ]

+[[package]]
+name = "tracing-attributes"
+version = "0.1.31"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "7490cfa5ec963746568740651ac6781f701c9c5ea257c58e057f3ba8cf69e8da"
+dependencies = [
+ "proc-macro2",
+ "quote",
+ "syn 2.0.119",
+]
+
 [[package]]
 name = "tracing-core"
 version = "0.1.36"
@@ -3956,8 +4215,9 @@ dependencies = [
 "http",
 "httparse",
 "log",
- "native-tls",
 "rand",
+ "rustls",
+ "rustls-pki-types",
 "sha1",
 "thiserror 1.0.69",
 "utf-8",
@@ -3975,6 +4235,17 @@ version = "1.20.1"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "b6f5e870be6c3b371b77fe0ee0bafb859fa4964b4404c27de1d380043c4dda20"

+[[package]]
+name = "uds_windows"
+version = "1.2.1"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "f2f6fb2847f6742cd76af783a2a2c49e9375d0a111c7bef6f71cd9e738c72d6e"
+dependencies = [
+ "memoffset",
+ "tempfile",
+ "windows-sys 0.61.2",
+]
+
 [[package]]
 name = "unic-char-property"
 version = "0.9.0"
@@ -4028,6 +4299,12 @@ version = "1.13.3"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "c6f5d3c3b1bf09027a88a6bc961fc00497d651009560b5463668dc81b0fa87a8"

+[[package]]
+name = "untrusted"
+version = "0.9.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "8ecb6da28b8a351d773b68d5825ac39017e680750f980f3a1a85cd8dd28a47c1"
+
 [[package]]
 name = "url"
 version = "2.5.8"
@@ -4083,12 +4360,6 @@ dependencies = [
 "wasm-bindgen",
 ]

-[[package]]
-name = "vcpkg"
-version = "0.2.15"
-source = "registry+https://github.com/rust-lang/crates.io-index"
-checksum = "accd4ea62f7bb7a82fe23066fb0957d48ef677f6eeb8215f372f52e48bb32426"
-
 [[package]]
 name = "version-compare"
 version = "0.2.1"
@@ -4289,6 +4560,24 @@ dependencies = [
 "system-deps",
 ]

+[[package]]
+name = "webpki-roots"
+version = "0.26.11"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "521bc38abb08001b01866da9f51eb7c5d647a19260e00054a8c7fd5f9e57f7a9"
+dependencies = [
+ "webpki-roots 1.0.9",
+]
+
+[[package]]
+name = "webpki-roots"
+version = "1.0.9"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "7dcd9d09a39985f5344844e66b0c530a33843579125f23e21e9f0f220850f22a"
+dependencies = [
+ "rustls-pki-types",
+]
+
 [[package]]
 name = "webview2-com"
 version = "0.38.2"
@@ -4488,6 +4777,15 @@ dependencies = [
 "windows-targets 0.42.2",
 ]

+[[package]]
+name = "windows-sys"
+version = "0.52.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "282be5f36a8ce781fad8c8ae18fa3f9beff57ec1b52cb3de0789201425d9a33d"
+dependencies = [
+ "windows-targets 0.52.6",
+]
+
 [[package]]
 name = "windows-sys"
 version = "0.59.0"
@@ -4779,6 +5077,67 @@ dependencies = [
 "synstructure",
 ]

+[[package]]
+name = "zbus"
+version = "5.18.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "fe18fb60dc696039e738717b76eaea21e7a4489bbb1885020b43c94236d7e98a"
+dependencies = [
+ "async-broadcast",
+ "async-executor",
+ "async-io",
+ "async-lock",
+ "async-process",
+ "async-recursion",
+ "async-task",
+ "async-trait",
+ "blocking",
+ "enumflags2",
+ "event-listener",
+ "futures-core",
+ "futures-lite",
+ "hex",
+ "libc",
+ "ordered-stream",
+ "rustix",
+ "serde",
+ "serde_repr",
+ "tracing",
+ "uds_windows",
+ "uuid",
+ "windows-sys 0.61.2",
+ "winnow 1.0.4",
+ "zbus_macros",
+ "zbus_names",
+ "zvariant",
+]
+
+[[package]]
+name = "zbus_macros"
+version = "5.18.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "fe96480bed92df2b442a1a30df364e12d08eed03aeb061f2b8dc6afb2be91119"
+dependencies = [
+ "proc-macro-crate 3.5.0",
+ "proc-macro2",
+ "quote",
+ "syn 2.0.119",
+ "zbus_names",
+ "zvariant",
+ "zvariant_utils",
+]
+
+[[package]]
+name = "zbus_names"
+version = "4.3.4"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "d8bf88b4a3ff53e883001e0e0115b297a9d53c31b9c1edd2bfdd853e3428624e"
+dependencies = [
+ "serde",
+ "winnow 1.0.4",
+ "zvariant",
+]
+
 [[package]]
 name = "zerocopy"
 version = "0.8.55"
@@ -4820,6 +5179,12 @@ dependencies = [
 "synstructure",
 ]

+[[package]]
+name = "zeroize"
+version = "1.9.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "e13c156562582aa81c60cb29407084cdb54c4164760106ab78e6c5b0858cf64e"
+
 [[package]]
 name = "zerotrie"
 version = "0.2.4"
@@ -4858,3 +5223,43 @@ name = "zmij"
 version = "1.0.23"
 source = "registry+https://github.com/rust-lang/crates.io-index"
 checksum = "29666d0abbfad1e3dc4dcf6144730dd3a3ab225bbbdac83319345b1b44ccfc1b"
+
+[[package]]
+name = "zvariant"
+version = "5.13.1"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "bee2a0bcd2a907786a456fff45aaaaf54c9ba5f50b71ae9ec1a4edd200c94911"
+dependencies = [
+ "endi",
+ "enumflags2",
+ "serde",
+ "winnow 1.0.4",
+ "zvariant_derive",
+ "zvariant_utils",
+]
+
+[[package]]
+name = "zvariant_derive"
+version = "5.13.1"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "38a708216a18780796770bfe3f4739c7c83a3e8f789b755534bbbc06e4e23e12"
+dependencies = [
+ "proc-macro-crate 3.5.0",
+ "proc-macro2",
+ "quote",
+ "syn 2.0.119",
+ "zvariant_utils",
+]
+
+[[package]]
+name = "zvariant_utils"
+version = "3.5.0"
+source = "registry+https://github.com/rust-lang/crates.io-index"
+checksum = "90cb9383f9b45290407a1258b202d3f8f01db719eb60b4e4055c6375af4fc7c7"
+dependencies = [
+ "proc-macro2",
+ "quote",
+ "serde",
+ "syn 2.0.119",
+ "winnow 1.0.4",
+]
@@ -1,6 +1,6 @@
 [package]
 name = "tglock"
-version = "2.0.0-beta.8"
+version = "2.0.0-beta.3"
 edition = "2021"
 rust-version = "1.88"
 description = "Telegram unblock via local WebSocket tunnel"
@@ -9,22 +9,20 @@ autobins = false

 [features]
 default = ["gui"]
-# The desktop GUI. Turning it off drops Tauri, the system WebView and the
-# frontend bundle from the build, which is what makes headless servers and
-# machines without a GPU or monitor able to build and run TGLock at all.
-gui = ["dep:tauri", "dep:tauri-build", "dep:open"]
-# The headless binary. Deliberately NOT in `default`.
-#
-# When both binaries exist in one build, the Tauri bundler picks the wrong one
-# as the application: `tauri build --target <triple>` packaged tglock-cli and
-# shipped it as the app in v2.0.0-beta.2 and v2.0.0-beta.3. Keeping the CLI
-# behind its own non-default feature means it simply does not exist during an
-# application build, so there is nothing to pick wrongly.
-cli = ["dep:clap", "dep:toml"]
+# The graphical application, on desktop and on Android. Turning it off drops
+# Tauri, the system WebView and the frontend bundle from the build, which is
+# what makes headless servers and machines without a GPU or monitor able to
+# build and run TGLock at all.
+gui = ["dep:tauri", "dep:tauri-build", "dep:tauri-plugin-opener"]

 [lib]
-name = "tglock"
+# Отличается от имени бинаря намеренно: одинаковые имена lib и bin дают
+# коллизию выходных файлов, которую cargo обещает сделать ошибкой.
+name = "tglock_lib"
 path = "src/lib.rs"
+# Android загружает приложение как нативную библиотеку, а не как исполняемый
+# файл, поэтому нужен cdylib. rlib остаётся для CLI и тестов.
+crate-type = ["staticlib", "cdylib", "rlib"]

 [[bin]]
 name = "tglock"
@@ -34,15 +32,12 @@ required-features = ["gui"]
 [[bin]]
 name = "tglock-cli"
 path = "src/bin/cli.rs"
-required-features = ["cli"]

 [dependencies]
 tauri = { version = "2", features = [], optional = true }
-open = { version = "5", optional = true }
-clap = { version = "4", features = ["derive"], optional = true }
-# Файл конфигурации CLI. TOML, а не JSON, потому что файл правят руками и в нём
-# нужны комментарии.
-toml = { version = "0.8", optional = true }
+# Opens the tg:// link. Unlike the `open` crate this works on Android too.
+tauri-plugin-opener = { version = "2", optional = true }
+clap = { version = "4", features = ["derive"] }
 serde = { version = "1", features = ["derive"] }
 serde_json = "1"
 tokio = { version = "1", features = [
@@ -54,8 +49,19 @@ tokio = { version = "1", features = [
  "sync",
  "signal",
 ] }
-tokio-tungstenite = { version = "0.24", features = ["native-tls"] }
-native-tls = "0.2"
+# rustls вместо native-tls: на чистом Rust, поэтому кросскомпилируется под
+# Android без OpenSSL, а на Linux снимает зависимость от системного libssl.
+# webpki-roots несёт корневые сертификаты с собой, так что поведение одинаково
+# на всех платформах и не зависит от системного хранилища.
+tokio-tungstenite = { version = "0.24", features = ["rustls-tls-webpki-roots"] }
+# Провайдер выбирается явно: rustls 0.23 не определяет его сам, если фичи не
+# включают ровно один, и падает паникой при первом TLS-соединении. ring выбран
+# потому что кросскомпилируется под Android без внешнего тулчейна.
+rustls = { version = "0.23", default-features = false, features = [
+  "ring",
+  "std",
+  "tls12",
+] }
 futures-util = "0.3"
 aes = "0.8"
 ctr = "0.9"
@@ -90,7 +90,7 @@ TGLock — это **локальный прокси** на твоём компь

 Все сборки весят единицы мегабайт. Исключение — `.AppImage`: он несёт своё окружение и поэтому крупный.

-> **🖥 `tglock-cli`** — тот же туннель без графического интерфейса, одним бинарём. Нужен там, где окно не создаётся: сервер, контейнер, виртуалка, машина без монитора. Доступен начиная с `v2.0.0-beta.2`. Если ты скачал beta.2 и приложение не открывалось — это была ошибка сборки, исправлено в beta.3. Подробности — [ниже](#-без-графического-интерфейса-tglock-cli).
+> **🖥 `tglock-cli`** — тот же туннель без графического интерфейса, одним бинарём. Нужен там, где окно не создаётся: сервер, контейнер, виртуалка, машина без монитора. Доступен начиная с `v2.0.0-beta.2`. Подробности — [ниже](#-без-графического-интерфейса-tglock-cli).

 ### 🛡 Антивирус ругается, SmartScreen предупреждает, VirusTotal показывает детекты

@@ -107,7 +107,7 @@ TGLock — это **локальный прокси** на твоём компь
 1. **Сверить контрольную сумму.** GitHub публикует `sha256` каждого файла прямо на [странице релиза](https://github.com/by-sonic/tglock/releases/latest) — разверни `Assets` и увидишь digest рядом с именем. Сравни с тем, что скачалось:

   ```powershell
-   Get-FileHash .\TGLock_<версия>_x64-setup.exe -Algorithm SHA256
+   Get-FileHash .\TGLock_2.0.0-beta.2_x64-setup.exe -Algorithm SHA256
   ```

   ```bash
@@ -117,12 +117,12 @@ TGLock — это **локальный прокси** на твоём компь

   Это доказывает, что файл не подменили по пути к тебе.

-2. **Посмотреть, как файл собирался.** Бинарники собирает GitHub Actions из публичного коммита, лог открыт и его никто не может отредактировать задним числом. У каждого релиза на странице Actions есть свой запуск: видно, какой коммит взят и какими командами собран. Ссылка на него — в описании релиза.
+2. **Посмотреть, как файл собирался.** Бинарники собирает GitHub Actions из публичного коммита, лог открыт и его никто не может отредактировать задним числом. Сборка релиза `v2.0.0-beta.2` — [run 30535555083](https://github.com/by-sonic/tglock/actions/runs/30535555083), коммит `b062724`. Видно, какой исходник взят и какими командами собран.

 3. **Собрать самому.** Для CLI это одна команда и никаких зависимостей кроме Rust:

   ```bash
-   cargo build --release --locked --no-default-features --features cli --bin tglock-cli
+   cargo build --release --locked --no-default-features --bin tglock-cli
   ```

   Полная сборка с интерфейсом — [ниже](#-сборка-из-исходников).
@@ -155,11 +155,7 @@ Telegram → Настройки → **Продвинутые** → Тип сое

 В окне TGLock включи галочку **LAN** — приложение начнёт слушать на `0.0.0.0`. Все устройства в домашней сети (телефон, планшет, ноутбук, телевизор) смогут подключиться к `<IP-компьютера>:1080` и тоже получить рабочий Telegram.

-Когда LAN-режим включён, TGLock показывает в окне **готовый адрес** вида `192.168.1.7:1080` — нажми на него, чтобы скопировать. Плюс он сам открывает ссылку `tg://proxy`, где уже подставлены адрес, порт и секрет: её достаточно переслать себе в Telegram и открыть на телефоне.
-
-> ⚠️ На другом устройстве **не вводи `127.0.0.1`** — для него это оно само, а не твой компьютер. Нужен именно тот адрес, который показан в окне TGLock. Это же касается телефона в эмуляторе (MuMuPlayer, BlueStacks и подобных): внутри эмулятора Android — отдельная машина со своей сетью.
-
-Если адрес нужен руками: `ipconfig` на Windows, `ip a` на Linux, `ifconfig` на macOS.
+Ссылку `tg://proxy` с уже подставленным адресом TGLock открывает сам при включении — её достаточно переслать себе в Telegram и открыть на телефоне. Если нужен адрес руками: `ipconfig` на Windows, `ip a` на Linux, `ifconfig` на macOS.

 Удобно, если дома один компьютер всегда включён — он становится «домашним Telegram-роутером».

@@ -177,30 +173,6 @@ tglock-cli --worker my-name.workers.dev    # резервный маршрут,
 tglock-cli --help                          # все флаги
 ```

-#### Файл настроек
-
-Чтобы не собирать батник с ключами при каждом запуске ([#32](https://github.com/by-sonic/tglock/issues/32)), положите рядом с бинарём `tglock.toml` — он подхватится сам. Или укажите путь: `tglock-cli --config /etc/tglock.toml`.
-
-```toml
-port = 1080
-lan = true
-
-# Секрет — вторая половина ссылки tg://proxy. Для сервиса его нужно закрепить,
-# иначе после перезапуска все настроенные клиенты отвалятся. Запустите один
-# раз, скопируйте из напечатанной ссылки и вставьте сюда.
-secret = "dd00112233445566778899aabbccddeeff"
-
-worker = ["my-name.workers.dev"]
-```
-
-Полный пример со всеми полями и пояснениями — [`tglock.example.toml`](tglock.example.toml).
-
-Приоритеты: значения по умолчанию → файл → флаги. Флаг всегда сильнее файла. Флаги-переключатели (`--lan`, `--allow-direct`, `--quiet`) могут только включать: их отсутствие означает «взять из файла», а не «выключить».
-
-Опечатка в файле — ошибка при старте с перечислением допустимых полей, а не молча проигнорированная строка. Сервис, который из-за `porrt = 1443` слушает 1080, хуже сервиса, который не запустился.
-
-Файл с секретом внутри держите с правами `600`: это доступ к вашему прокси.
-
 При запуске печатается готовая `tg://proxy`-ссылка — её можно открыть на любом устройстве в сети, чтобы Telegram настроился сам. Дальше в лог идёт по строке на каждое изменение состояния: сколько соединений, какой дата-центр, какой маршрут живой, сколько сбоев.

 Прав администратора не нужно: TGLock не правит ни системный DNS, ни файл `hosts` — нужные адреса Telegram зашиты в маршрутах, а TLS SNI остаётся настоящим.
@@ -217,7 +189,7 @@ Wants=network-online.target

 [Service]
 Type=exec
-ExecStart=/usr/local/bin/tglock-cli --config /etc/tglock.toml
+ExecStart=/usr/local/bin/tglock-cli --lan --secret-file /var/lib/tglock/secret
 Restart=on-failure
 RestartSec=5s
 StateDirectory=tglock
@@ -234,14 +206,11 @@ WantedBy=multi-user.target

 ```bash
 sudo install -m755 tglock-cli-x86_64-unknown-linux-gnu /usr/local/bin/tglock-cli
-sudo install -m600 tglock.example.toml /etc/tglock.toml   # и отредактировать
 sudo systemctl enable --now tglock
 journalctl -u tglock -f
 ```

-**Закреплённый секрет здесь обязателен**, и это не украшение: секрет — половина `tg://proxy`-ссылки. Без него он генерируется заново при каждом старте, и после первого же `systemctl restart` все настроенные клиенты перестанут подключаться. Задайте `secret` в `/etc/tglock.toml` (файл с правами `600`) либо `secret_file = "/var/lib/tglock/secret"` — тогда `StateDirectory=tglock` создаст каталог с нужными правами, а файл запишется с режимом `600`.
-
-При старте без закреплённого секрета CLI печатает предупреждение — молча уйти в такое состояние он не даст.
+`--secret-file` здесь обязателен, и это не украшение: секрет — половина `tg://proxy`-ссылки. Без файла он генерируется заново при каждом старте, и после первого же `systemctl restart` все настроенные клиенты перестанут подключаться. `StateDirectory=tglock` создаёт `/var/lib/tglock` с нужными правами, а сам файл пишется с режимом `600`.

 Остановка по `systemctl stop` приходит как `SIGTERM` — CLI закрывает туннели и выходит с нулевым кодом, а не умирает по `SIGKILL`.

@@ -251,11 +220,9 @@ journalctl -u tglock -f
 FROM rust:1.88 AS build
 WORKDIR /src
 COPY . .
-RUN cargo build --release --locked --no-default-features --features cli --bin tglock-cli
+RUN cargo build --release --locked --no-default-features --bin tglock-cli

 FROM debian:bookworm-slim
-RUN apt-get update && apt-get install -y --no-install-recommends ca-certificates \
-    && rm -rf /var/lib/apt/lists/*
 COPY --from=build /src/target/release/tglock-cli /usr/local/bin/tglock-cli
 EXPOSE 1080
 ENTRYPOINT ["tglock-cli", "--lan", "--secret-file", "/data/secret"]
@@ -265,7 +232,7 @@ ENTRYPOINT ["tglock-cli", "--lan", "--secret-file", "/data/secret"]
 docker run -d --name tglock -p 1080:1080 -v tglock-data:/data tglock
 ```

-Образу не нужны ни Node.js, ни `libwebkit2gtk` — только `ca-certificates` для проверки сертификата Telegram.
+Образу не нужно вообще ничего: ни Node.js, ни `libwebkit2gtk`, ни даже `ca-certificates` — TLS работает на rustls, а корневые сертификаты вшиты в бинарь.

 ---

@@ -442,7 +409,7 @@ TGLock определяет Telegram по IP получателя и завор
 | **Tauri 2** | Нативная оболочка для GUI. Опциональна: за фичей `gui`, в CLI не входит |
 | **TypeScript + Vite** | Интерфейс, внутренняя навигация и строгая типизация |
 | **tokio** | Async I/O, обработка сигналов для корректной остановки сервиса |
-| **tokio-tungstenite** | WebSocket-клиент с TLS поверх `native-tls` |
+| **tokio-tungstenite** + **rustls** | WebSocket-клиент с TLS на чистом Rust: без системного OpenSSL, кросскомпилируется под Android, корневые сертификаты вшиты |
 | **aes** + **ctr** | Расшифровка MTProto `obfuscated2` init-пакета |
 | **clap** | Разбор аргументов `tglock-cli` |

@@ -466,7 +433,7 @@ npm run tauri build
 ### Только CLI, без графики

 ```bash
-cargo build --release --locked --no-default-features --features cli --bin tglock-cli
+cargo build --release --locked --no-default-features --bin tglock-cli
 ```

 Ни Node.js, ни фронтенда, ни `libwebkit2gtk` для этого не нужно — при выключенной фиче `gui` Tauri и системный WebView в сборку не попадают вообще. Именно так CLI собирается на голом сервере.
@@ -476,9 +443,9 @@ cargo build --release --locked --no-default-features --features cli --bin tglock
 ```bash
 cargo fmt --check
 cargo clippy --all-targets -- -D warnings
-cargo clippy --no-default-features --features cli --all-targets -- -D warnings
+cargo clippy --no-default-features --lib --bins --all-targets -- -D warnings
 cargo test --all-targets
-cargo test --no-default-features --features cli --lib --bins
+cargo test --no-default-features --lib --bins
 ```

 Тестов 59: разбор `obfuscated2`, каскад маршрутов и его cooldown, протокольные отказы SOCKS5, устойчивость секрета к перезапуску, плюс сквозной тест туннеля против мок-сервера, который реализует сторону Telegram и проверяет, что до неё доходит ровно тот открытый текст, который отправил клиент. Единственный тест с пометкой `#[ignore]` — тот, что требует живой сети.
@@ -91,6 +91,19 @@ LAN-режим превращал бы машину в открытый прок
 заданному Telegram IP TCP destination отделён от URI host: TLS продолжает
 проверять сертификат настоящего `kws*.web.telegram.org`.

+Стек — **rustls** с корневыми сертификатами webpki, вшитыми в бинарь. Выбран не
+из вкуса: `native-tls` на Linux и Android тянет OpenSSL, а `openssl-sys` не
+кросскомпилируется под `aarch64-linux-android` без сборки OpenSSL вручную.
+Побочные выгоды: на Linux исчезла зависимость от системного `libssl`, а образу
+Docker больше не нужен даже `ca-certificates`.
+
+Криптопровайдер rustls выбирается явно (`ring`). Без этого rustls 0.23
+отказывается угадывать и **паникует на первом TLS-рукопожатии** — это не
+ошибка компиляции и её не видят офлайновые тесты, потому что они ходят через
+локальный маршрут без TLS. Провайдер устанавливается в `ensure_crypto_provider`
+перед подключением, а тест `a_crypto_provider_is_available_for_tls` не даёт
+регрессии вернуться.
+
 Cloudflare Worker принимается только как пользовательская настройка. TGLock
 не загружает и не скрывает публичные списки чужих доменов.

@@ -0,0 +1,12 @@
+# EditorConfig is awesome: https://EditorConfig.org
+
+# top-most EditorConfig file
+root = true
+
+[*]
+indent_style = space
+indent_size = 2
+end_of_line = lf
+charset = utf-8
+trim_trailing_whitespace = false
+insert_final_newline = false
@@ -0,0 +1,20 @@
+*.iml
+.gradle
+/local.properties
+/.idea/caches
+/.idea/libraries
+/.idea/modules.xml
+/.idea/workspace.xml
+/.idea/navEditor.xml
+/.idea/assetWizardSettings.xml
+.DS_Store
+build
+/captures
+.externalNativeBuild
+.cxx
+local.properties
+key.properties
+keystore.properties
+
+/.tauri
+/tauri.settings.gradle
@@ -0,0 +1,6 @@
+/src/main/**/generated
+/src/main/jniLibs/**/*.so
+/src/main/assets/tauri.conf.json
+/tauri.build.gradle.kts
+/proguard-tauri.pro
+/tauri.properties
@@ -0,0 +1,71 @@
+import java.util.Properties
+
+plugins {
+    id("com.android.application")
+    id("org.jetbrains.kotlin.android")
+    id("rust")
+}
+
+val tauriProperties = Properties().apply {
+    val propFile = file("tauri.properties")
+    if (propFile.exists()) {
+        propFile.inputStream().use { load(it) }
+    }
+}
+
+android {
+    compileSdk = 36
+    namespace = "com.bysonic.tglock"
+    defaultConfig {
+        manifestPlaceholders["usesCleartextTraffic"] = "false"
+        applicationId = "com.bysonic.tglock"
+        minSdk = 24
+        targetSdk = 36
+        versionCode = tauriProperties.getProperty("tauri.android.versionCode", "1").toInt()
+        versionName = tauriProperties.getProperty("tauri.android.versionName", "1.0")
+    }
+    buildTypes {
+        getByName("debug") {
+            manifestPlaceholders["usesCleartextTraffic"] = "true"
+            isDebuggable = true
+            isJniDebuggable = true
+            isMinifyEnabled = false
+            packaging {                jniLibs.keepDebugSymbols.add("*/arm64-v8a/*.so")
+                jniLibs.keepDebugSymbols.add("*/armeabi-v7a/*.so")
+                jniLibs.keepDebugSymbols.add("*/x86/*.so")
+                jniLibs.keepDebugSymbols.add("*/x86_64/*.so")
+            }
+        }
+        getByName("release") {
+            isMinifyEnabled = true
+            proguardFiles(
+                *fileTree(".") { include("**/*.pro") }
+                    .plus(getDefaultProguardFile("proguard-android-optimize.txt"))
+                    .toList().toTypedArray()
+            )
+        }
+    }
+    kotlinOptions {
+        jvmTarget = "1.8"
+    }
+    buildFeatures {
+        buildConfig = true
+    }
+}
+
+rust {
+    rootDirRel = "../../../"
+}
+
+dependencies {
+    implementation("androidx.webkit:webkit:1.14.0")
+    implementation("androidx.appcompat:appcompat:1.7.1")
+    implementation("androidx.activity:activity-ktx:1.10.1")
+    implementation("com.google.android.material:material:1.12.0")
+    implementation("androidx.lifecycle:lifecycle-process:2.10.0")
+    testImplementation("junit:junit:4.13.2")
+    androidTestImplementation("androidx.test.ext:junit:1.1.4")
+    androidTestImplementation("androidx.test.espresso:espresso-core:3.5.0")
+}
+
+apply(from = "tauri.build.gradle.kts")
@@ -0,0 +1,21 @@
+# Add project specific ProGuard rules here.
+# You can control the set of applied configuration files using the
+# proguardFiles setting in build.gradle.
+#
+# For more details, see
+#   http://developer.android.com/guide/developing/tools/proguard.html
+
+# If your project uses WebView with JS, uncomment the following
+# and specify the fully qualified class name to the JavaScript interface
+# class:
+#-keepclassmembers class fqcn.of.javascript.interface.for.webview {
+#   public *;
+#}
+
+# Uncomment this to preserve the line number information for
+# debugging stack traces.
+#-keepattributes SourceFile,LineNumberTable
+
+# If you keep the line number information, uncomment this to
+# hide the original source file name.
+#-renamesourcefileattribute SourceFile
@@ -0,0 +1,52 @@
+<?xml version="1.0" encoding="utf-8"?>
+<manifest xmlns:android="http://schemas.android.com/apk/res/android">
+    <uses-permission android:name="android.permission.INTERNET" />
+    <!-- Держит процесс живым, пока приложение свёрнуто: прокси — поток в этом
+         же процессе, и без сервиса система выгрузит его через минуты. -->
+    <uses-permission android:name="android.permission.FOREGROUND_SERVICE" />
+    <uses-permission android:name="android.permission.FOREGROUND_SERVICE_SPECIAL_USE" />
+    <!-- Только для показа уведомления сервиса; отказ не ломает туннель. -->
+    <uses-permission android:name="android.permission.POST_NOTIFICATIONS" />
+
+    <!-- AndroidTV support -->
+    <uses-feature android:name="android.software.leanback" android:required="false" />
+
+    <application
+        android:icon="@mipmap/ic_launcher"
+        android:label="@string/app_name"
+        android:theme="@style/Theme.tglock"
+        android:usesCleartextTraffic="${usesCleartextTraffic}">
+        <activity
+            android:configChanges="orientation|keyboardHidden|keyboard|screenSize|locale|smallestScreenSize|screenLayout|uiMode"
+            android:launchMode="singleTask"
+            android:label="@string/main_activity_title"
+            android:name=".MainActivity"
+            android:exported="true">
+            <intent-filter>
+                <action android:name="android.intent.action.MAIN" />
+                <category android:name="android.intent.category.LAUNCHER" />
+                <!-- AndroidTV support -->
+                <category android:name="android.intent.category.LEANBACK_LAUNCHER" />
+            </intent-filter>
+        </activity>
+
+        <service
+            android:name=".TunnelService"
+            android:exported="false"
+            android:foregroundServiceType="specialUse">
+            <property
+                android:name="android.app.PROPERTY_SPECIAL_USE_FGS_SUBTYPE"
+                android:value="Keeps the local Telegram proxy process alive while the app is in use" />
+        </service>
+
+        <provider
+          android:name="androidx.core.content.FileProvider"
+          android:authorities="${applicationId}.fileprovider"
+          android:exported="false"
+          android:grantUriPermissions="true">
+          <meta-data
+            android:name="android.support.FILE_PROVIDER_PATHS"
+            android:resource="@xml/file_paths" />
+        </provider>
+    </application>
+</manifest>
@@ -0,0 +1,42 @@
+package com.bysonic.tglock
+
+import android.Manifest
+import android.content.pm.PackageManager
+import android.os.Build
+import android.os.Bundle
+import androidx.activity.enableEdgeToEdge
+import androidx.activity.result.contract.ActivityResultContracts
+import androidx.core.content.ContextCompat
+
+class MainActivity : TauriActivity() {
+  private val requestNotifications =
+      registerForActivityResult(ActivityResultContracts.RequestPermission()) {
+        // The tunnel works either way: without the permission the system simply
+        // hides the notification, while the foreground service still keeps the
+        // process alive.
+      }
+
+  override fun onCreate(savedInstanceState: Bundle?) {
+    enableEdgeToEdge()
+    super.onCreate(savedInstanceState)
+    askForNotificationPermission()
+    // Started here rather than when the proxy turns on: the proxy is a thread in
+    // this same process, so what has to survive backgrounding is the process.
+    TunnelService.start(this)
+  }
+
+  override fun onDestroy() {
+    TunnelService.stop(this)
+    super.onDestroy()
+  }
+
+  private fun askForNotificationPermission() {
+    if (Build.VERSION.SDK_INT < Build.VERSION_CODES.TIRAMISU) return
+    val granted =
+        ContextCompat.checkSelfPermission(this, Manifest.permission.POST_NOTIFICATIONS) ==
+            PackageManager.PERMISSION_GRANTED
+    if (!granted) {
+      requestNotifications.launch(Manifest.permission.POST_NOTIFICATIONS)
+    }
+  }
+}
@@ -0,0 +1,98 @@
+package com.bysonic.tglock
+
+import android.app.Notification
+import android.app.NotificationChannel
+import android.app.NotificationManager
+import android.app.PendingIntent
+import android.app.Service
+import android.content.Context
+import android.content.Intent
+import android.content.pm.ServiceInfo
+import android.os.Build
+import android.os.IBinder
+import androidx.core.app.NotificationCompat
+
+/**
+ * Keeps the application process alive while the tunnel is in use.
+ *
+ * The proxy itself runs on a Rust thread inside this process, so nothing here
+ * touches networking. The only job is to stop Android from killing the process
+ * as soon as the user switches away from the app — without this, Telegram loses
+ * its proxy within minutes of the app going to the background.
+ */
+class TunnelService : Service() {
+    override fun onBind(intent: Intent?): IBinder? = null
+
+    override fun onCreate() {
+        super.onCreate()
+        createChannel()
+    }
+
+    override fun onStartCommand(intent: Intent?, flags: Int, startId: Int): Int {
+        val notification = buildNotification()
+        if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.UPSIDE_DOWN_CAKE) {
+            startForeground(
+                NOTIFICATION_ID,
+                notification,
+                ServiceInfo.FOREGROUND_SERVICE_TYPE_SPECIAL_USE,
+            )
+        } else {
+            startForeground(NOTIFICATION_ID, notification)
+        }
+        // The process must come back if the system reclaims it while the user
+        // still has the app open.
+        return START_STICKY
+    }
+
+    private fun createChannel() {
+        if (Build.VERSION.SDK_INT < Build.VERSION_CODES.O) return
+        val channel = NotificationChannel(
+            CHANNEL_ID,
+            getString(R.string.tunnel_channel_name),
+            // Low importance: the notification is required by the platform, not
+            // something the user needs to be interrupted by.
+            NotificationManager.IMPORTANCE_LOW,
+        ).apply {
+            setShowBadge(false)
+            description = getString(R.string.tunnel_channel_description)
+        }
+        val manager = getSystemService(Context.NOTIFICATION_SERVICE) as NotificationManager
+        manager.createNotificationChannel(channel)
+    }
+
+    private fun buildNotification(): Notification {
+        val open = PendingIntent.getActivity(
+            this,
+            0,
+            Intent(this, MainActivity::class.java),
+            PendingIntent.FLAG_UPDATE_CURRENT or PendingIntent.FLAG_IMMUTABLE,
+        )
+        return NotificationCompat.Builder(this, CHANNEL_ID)
+            .setContentTitle(getString(R.string.tunnel_notification_title))
+            .setContentText(getString(R.string.tunnel_notification_text))
+            .setSmallIcon(R.mipmap.ic_launcher)
+            .setContentIntent(open)
+            .setOngoing(true)
+            .setShowWhen(false)
+            .setPriority(NotificationCompat.PRIORITY_LOW)
+            .build()
+    }
+
+    companion object {
+        private const val CHANNEL_ID = "tglock-tunnel"
+        private const val NOTIFICATION_ID = 1
+
+        fun start(context: Context) {
+            val intent = Intent(context, TunnelService::class.java)
+            if (Build.VERSION.SDK_INT >= Build.VERSION_CODES.O) {
+                context.startForegroundService(intent)
+            } else {
+                context.startService(intent)
+            }
+        }
+
+        fun stop(context: Context) {
+            context.stopService(Intent(context, TunnelService::class.java))
+        }
+    }
+}
@@ -0,0 +1,30 @@
+<vector xmlns:android="http://schemas.android.com/apk/res/android"
+    xmlns:aapt="http://schemas.android.com/aapt"
+    android:width="108dp"
+    android:height="108dp"
+    android:viewportWidth="108"
+    android:viewportHeight="108">
+    <path android:pathData="M31,63.928c0,0 6.4,-11 12.1,-13.1c7.2,-2.6 26,-1.4 26,-1.4l38.1,38.1L107,108.928l-32,-1L31,63.928z">
+        <aapt:attr name="android:fillColor">
+            <gradient
+                android:endX="85.84757"
+                android:endY="92.4963"
+                android:startX="42.9492"
+                android:startY="49.59793"
+                android:type="linear">
+                <item
+                    android:color="#44000000"
+                    android:offset="0.0" />
+                <item
+                    android:color="#00000000"
+                    android:offset="1.0" />
+            </gradient>
+        </aapt:attr>
+    </path>
+    <path
+        android:fillColor="#FFFFFF"
+        android:fillType="nonZero"
+        android:pathData="M65.3,45.828l3.8,-6.6c0.2,-0.4 0.1,-0.9 -0.3,-1.1c-0.4,-0.2 -0.9,-0.1 -1.1,0.3l-3.9,6.7c-6.3,-2.8 -13.4,-2.8 -19.7,0l-3.9,-6.7c-0.2,-0.4 -0.7,-0.5 -1.1,-0.3C38.8,38.328 38.7,38.828 38.9,39.228l3.8,6.6C36.2,49.428 31.7,56.028 31,63.928h46C76.3,56.028 71.8,49.428 65.3,45.828zM43.4,57.328c-0.8,0 -1.5,-0.5 -1.8,-1.2c-0.3,-0.7 -0.1,-1.5 0.4,-2.1c0.5,-0.5 1.4,-0.7 2.1,-0.4c0.7,0.3 1.2,1 1.2,1.8C45.3,56.528 44.5,57.328 43.4,57.328L43.4,57.328zM64.6,57.328c-0.8,0 -1.5,-0.5 -1.8,-1.2s-0.1,-1.5 0.4,-2.1c0.5,-0.5 1.4,-0.7 2.1,-0.4c0.7,0.3 1.2,1 1.2,1.8C66.5,56.528 65.6,57.328 64.6,57.328L64.6,57.328z"
+        android:strokeWidth="1"
+        android:strokeColor="#00000000" />
+</vector>
@@ -0,0 +1,170 @@
+<?xml version="1.0" encoding="utf-8"?>
+<vector xmlns:android="http://schemas.android.com/apk/res/android"
+    android:width="108dp"
+    android:height="108dp"
+    android:viewportWidth="108"
+    android:viewportHeight="108">
+    <path
+        android:fillColor="#3DDC84"
+        android:pathData="M0,0h108v108h-108z" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M9,0L9,108"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M19,0L19,108"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M29,0L29,108"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M39,0L39,108"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M49,0L49,108"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M59,0L59,108"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M69,0L69,108"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M79,0L79,108"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M89,0L89,108"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M99,0L99,108"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M0,9L108,9"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M0,19L108,19"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M0,29L108,29"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M0,39L108,39"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M0,49L108,49"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M0,59L108,59"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M0,69L108,69"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M0,79L108,79"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M0,89L108,89"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M0,99L108,99"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M19,29L89,29"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M19,39L89,39"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M19,49L89,49"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M19,59L89,59"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M19,69L89,69"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M19,79L89,79"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M29,19L29,89"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M39,19L39,89"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M49,19L49,89"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M59,19L59,89"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M69,19L69,89"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+    <path
+        android:fillColor="#00000000"
+        android:pathData="M79,19L79,89"
+        android:strokeWidth="0.8"
+        android:strokeColor="#33FFFFFF" />
+</vector>
@@ -0,0 +1,18 @@
+<?xml version="1.0" encoding="utf-8"?>
+<androidx.constraintlayout.widget.ConstraintLayout xmlns:android="http://schemas.android.com/apk/res/android"
+    xmlns:app="http://schemas.android.com/apk/res-auto"
+    xmlns:tools="http://schemas.android.com/tools"
+    android:layout_width="match_parent"
+    android:layout_height="match_parent"
+    tools:context=".MainActivity">
+
+    <TextView
+        android:layout_width="wrap_content"
+        android:layout_height="wrap_content"
+        android:text="Hello World!"
+        app:layout_constraintBottom_toBottomOf="parent"
+        app:layout_constraintLeft_toLeftOf="parent"
+        app:layout_constraintRight_toRightOf="parent"
+        app:layout_constraintTop_toTopOf="parent" />
+
+</androidx.constraintlayout.widget.ConstraintLayout>
@@ -0,0 +1,6 @@
+<resources xmlns:tools="http://schemas.android.com/tools">
+    <!-- Base application theme. -->
+    <style name="Theme.tglock" parent="Theme.MaterialComponents.DayNight.NoActionBar">
+        <!-- Customize your theme here. -->
+    </style>
+</resources>
@@ -0,0 +1,10 @@
+<?xml version="1.0" encoding="utf-8"?>
+<resources>
+    <color name="purple_200">#FFBB86FC</color>
+    <color name="purple_500">#FF6200EE</color>
+    <color name="purple_700">#FF3700B3</color>
+    <color name="teal_200">#FF03DAC5</color>
+    <color name="teal_700">#FF018786</color>
+    <color name="black">#FF000000</color>
+    <color name="white">#FFFFFFFF</color>
+</resources>
@@ -0,0 +1,8 @@
+<resources>
+    <string name="app_name">"TGLock"</string>
+    <string name="main_activity_title">"TGLock"</string>
+    <string name="tunnel_channel_name">Туннель</string>
+    <string name="tunnel_channel_description">Уведомление, которое не даёт системе выгрузить туннель, пока приложение открыто</string>
+    <string name="tunnel_notification_title">TGLock активен</string>
+    <string name="tunnel_notification_text">Пока это уведомление на месте, система не выгрузит туннель</string>
+</resources>
@@ -0,0 +1,6 @@
+<resources xmlns:tools="http://schemas.android.com/tools">
+    <!-- Base application theme. -->
+    <style name="Theme.tglock" parent="Theme.MaterialComponents.DayNight.NoActionBar">
+        <!-- Customize your theme here. -->
+    </style>
+</resources>
@@ -0,0 +1,5 @@
+<?xml version="1.0" encoding="utf-8"?>
+<paths xmlns:android="http://schemas.android.com/apk/res/android">
+  <external-path name="my_images" path="." />
+  <cache-path name="my_cache_images" path="." />
+</paths>
@@ -0,0 +1,22 @@
+buildscript {
+    repositories {
+        google()
+        mavenCentral()
+    }
+    dependencies {
+        classpath("com.android.tools.build:gradle:8.11.0")
+        classpath("org.jetbrains.kotlin:kotlin-gradle-plugin:1.9.25")
+    }
+}
+
+allprojects {
+    repositories {
+        google()
+        mavenCentral()
+    }
+}
+
+tasks.register("clean").configure {
+    delete("build")
+}
+
@@ -0,0 +1,23 @@
+plugins {
+    `kotlin-dsl`
+}
+
+gradlePlugin {
+    plugins {
+        create("pluginsForCoolKids") {
+            id = "rust"
+            implementationClass = "RustPlugin"
+        }
+    }
+}
+
+repositories {
+    google()
+    mavenCentral()
+}
+
+dependencies {
+    compileOnly(gradleApi())
+    implementation("com.android.tools.build:gradle:8.11.0")
+}
+
@@ -0,0 +1,68 @@
+import java.io.File
+import org.apache.tools.ant.taskdefs.condition.Os
+import org.gradle.api.DefaultTask
+import org.gradle.api.GradleException
+import org.gradle.api.logging.LogLevel
+import org.gradle.api.tasks.Input
+import org.gradle.api.tasks.TaskAction
+
+open class BuildTask : DefaultTask() {
+    @Input
+    var rootDirRel: String? = null
+    @Input
+    var target: String? = null
+    @Input
+    var release: Boolean? = null
+
+    @TaskAction
+    fun assemble() {
+        val executable = """npm""";
+        try {
+            runTauriCli(executable)
+        } catch (e: Exception) {
+            if (Os.isFamily(Os.FAMILY_WINDOWS)) {
+                // Try different Windows-specific extensions
+                val fallbacks = listOf(
+                    "$executable.exe",
+                    "$executable.cmd",
+                    "$executable.bat",
+                )
+                
+                var lastException: Exception = e
+                for (fallback in fallbacks) {
+                    try {
+                        runTauriCli(fallback)
+                        return
+                    } catch (fallbackException: Exception) {
+                        lastException = fallbackException
+                    }
+                }
+                throw lastException
+            } else {
+                throw e;
+            }
+        }
+    }
+
+    fun runTauriCli(executable: String) {
+        val rootDirRel = rootDirRel ?: throw GradleException("rootDirRel cannot be null")
+        val target = target ?: throw GradleException("target cannot be null")
+        val release = release ?: throw GradleException("release cannot be null")
+        val args = listOf("run", "--", "tauri", "android", "android-studio-script");
+
+        project.exec {
+            workingDir(File(project.projectDir, rootDirRel))
+            executable(executable)
+            args(args)
+            if (project.logger.isEnabled(LogLevel.DEBUG)) {
+                args("-vv")
+            } else if (project.logger.isEnabled(LogLevel.INFO)) {
+                args("-v")
+            }
+            if (release) {
+                args("--release")
+            }
+            args(listOf("--target", target))
+        }.assertNormalExitValue()
+    }
+}
@@ -0,0 +1,85 @@
+import com.android.build.api.dsl.ApplicationExtension
+import org.gradle.api.DefaultTask
+import org.gradle.api.Plugin
+import org.gradle.api.Project
+import org.gradle.kotlin.dsl.configure
+import org.gradle.kotlin.dsl.get
+
+const val TASK_GROUP = "rust"
+
+open class Config {
+    lateinit var rootDirRel: String
+}
+
+open class RustPlugin : Plugin<Project> {
+    private lateinit var config: Config
+
+    override fun apply(project: Project) = with(project) {
+        config = extensions.create("rust", Config::class.java)
+
+        val defaultAbiList = listOf("arm64-v8a", "armeabi-v7a", "x86", "x86_64");
+        val abiList = (findProperty("abiList") as? String)?.split(',') ?: defaultAbiList
+
+        val defaultArchList = listOf("arm64", "arm", "x86", "x86_64");
+        val archList = (findProperty("archList") as? String)?.split(',') ?: defaultArchList
+
+        val targetsList = (findProperty("targetList") as? String)?.split(',') ?: listOf("aarch64", "armv7", "i686", "x86_64")
+
+        extensions.configure<ApplicationExtension> {
+            @Suppress("UnstableApiUsage")
+            flavorDimensions.add("abi")
+            productFlavors {
+                create("universal") {
+                    dimension = "abi"
+                    ndk {
+                        abiFilters += abiList
+                    }
+                }
+                defaultArchList.forEachIndexed { index, arch ->
+                    create(arch) {
+                        dimension = "abi"
+                        ndk {
+                            abiFilters.add(defaultAbiList[index])
+                        }
+                    }
+                }
+            }
+        }
+
+        afterEvaluate {
+            for (profile in listOf("debug", "release")) {
+                val profileCapitalized = profile.replaceFirstChar { it.uppercase() }
+                val buildTask = tasks.maybeCreate(
+                    "rustBuildUniversal$profileCapitalized",
+                    DefaultTask::class.java
+                ).apply {
+                    group = TASK_GROUP
+                    description = "Build dynamic library in $profile mode for all targets"
+                }
+
+                tasks["mergeUniversal${profileCapitalized}JniLibFolders"].dependsOn(buildTask)
+
+                for (targetPair in targetsList.withIndex()) {
+                    val targetName = targetPair.value
+                    val targetArch = archList[targetPair.index]
+                    val targetArchCapitalized = targetArch.replaceFirstChar { it.uppercase() }
+                    val targetBuildTask = project.tasks.maybeCreate(
+                        "rustBuild$targetArchCapitalized$profileCapitalized",
+                        BuildTask::class.java
+                    ).apply {
+                        group = TASK_GROUP
+                        description = "Build dynamic library in $profile mode for $targetArch"
+                        rootDirRel = config.rootDirRel
+                        target = targetName
+                        release = profile == "release"
+                    }
+
+                    buildTask.dependsOn(targetBuildTask)
+                    tasks["merge$targetArchCapitalized${profileCapitalized}JniLibFolders"].dependsOn(
+                        targetBuildTask
+                    )
+                }
+            }
+        }
+    }
+}
@@ -0,0 +1,24 @@
+# Project-wide Gradle settings.
+# IDE (e.g. Android Studio) users:
+# Gradle settings configured through the IDE *will override*
+# any settings specified in this file.
+# For more details on how to configure your build environment visit
+# http://www.gradle.org/docs/current/userguide/build_environment.html
+# Specifies the JVM arguments used for the daemon process.
+# The setting is particularly useful for tweaking memory settings.
+org.gradle.jvmargs=-Xmx2048m -Dfile.encoding=UTF-8
+# When configured, Gradle will run in incubating parallel mode.
+# This option should only be used with decoupled projects. More details, visit
+# http://www.gradle.org/docs/current/userguide/multi_project_builds.html#sec:decoupled_projects
+# org.gradle.parallel=true
+# AndroidX package structure to make it clearer which packages are bundled with the
+# Android operating system, and which are packaged with your app"s APK
+# https://developer.android.com/topic/libraries/support-library/androidx-rn
+android.useAndroidX=true
+# Kotlin code style for this project: "official" or "obsolete":
+kotlin.code.style=official
+# Enables namespacing of each library's R class so that its R class includes only the
+# resources declared in the library itself and none from the library's dependencies,
+# thereby reducing the size of the R class for that library
+android.nonTransitiveRClass=true
+android.nonFinalResIds=false
@@ -0,0 +1,6 @@
+#Tue May 10 19:22:52 CST 2022
+distributionBase=GRADLE_USER_HOME
+distributionUrl=https\://services.gradle.org/distributions/gradle-8.14.3-bin.zip
+distributionPath=wrapper/dists
+zipStorePath=wrapper/dists
+zipStoreBase=GRADLE_USER_HOME
@@ -0,0 +1,185 @@
+#!/usr/bin/env sh
+
+#
+# Copyright 2015 the original author or authors.
+#
+# Licensed under the Apache License, Version 2.0 (the "License");
+# you may not use this file except in compliance with the License.
+# You may obtain a copy of the License at
+#
+#      https://www.apache.org/licenses/LICENSE-2.0
+#
+# Unless required by applicable law or agreed to in writing, software
+# distributed under the License is distributed on an "AS IS" BASIS,
+# WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
+# See the License for the specific language governing permissions and
+# limitations under the License.
+#
+
+##############################################################################
+##
+##  Gradle start up script for UN*X
+##
+##############################################################################
+
+# Attempt to set APP_HOME
+# Resolve links: $0 may be a link
+PRG="$0"
+# Need this for relative symlinks.
+while [ -h "$PRG" ] ; do
+    ls=`ls -ld "$PRG"`
+    link=`expr "$ls" : '.*-> \(.*\)$'`
+    if expr "$link" : '/.*' > /dev/null; then
+        PRG="$link"
+    else
+        PRG=`dirname "$PRG"`"/$link"
+    fi
+done
+SAVED="`pwd`"
+cd "`dirname \"$PRG\"`/" >/dev/null
+APP_HOME="`pwd -P`"
+cd "$SAVED" >/dev/null
+
+APP_NAME="Gradle"
+APP_BASE_NAME=`basename "$0"`
+
+# Add default JVM options here. You can also use JAVA_OPTS and GRADLE_OPTS to pass JVM options to this script.
+DEFAULT_JVM_OPTS='"-Xmx64m" "-Xms64m"'
+
+# Use the maximum available, or set MAX_FD != -1 to use that value.
+MAX_FD="maximum"
+
+warn () {
+    echo "$*"
+}
+
+die () {
+    echo
+    echo "$*"
+    echo
+    exit 1
+}
+
+# OS specific support (must be 'true' or 'false').
+cygwin=false
+msys=false
+darwin=false
+nonstop=false
+case "`uname`" in
+  CYGWIN* )
+    cygwin=true
+    ;;
+  Darwin* )
+    darwin=true
+    ;;
+  MINGW* )
+    msys=true
+    ;;
+  NONSTOP* )
+    nonstop=true
+    ;;
+esac
+
+CLASSPATH=$APP_HOME/gradle/wrapper/gradle-wrapper.jar
+
+
+# Determine the Java command to use to start the JVM.
+if [ -n "$JAVA_HOME" ] ; then
+    if [ -x "$JAVA_HOME/jre/sh/java" ] ; then
+        # IBM's JDK on AIX uses strange locations for the executables
+        JAVACMD="$JAVA_HOME/jre/sh/java"
+    else
+        JAVACMD="$JAVA_HOME/bin/java"
+    fi
+    if [ ! -x "$JAVACMD" ] ; then
+        die "ERROR: JAVA_HOME is set to an invalid directory: $JAVA_HOME
+
+Please set the JAVA_HOME variable in your environment to match the
+location of your Java installation."
+    fi
+else
+    JAVACMD="java"
+    which java >/dev/null 2>&1 || die "ERROR: JAVA_HOME is not set and no 'java' command could be found in your PATH.
+
+Please set the JAVA_HOME variable in your environment to match the
+location of your Java installation."
+fi
+
+# Increase the maximum file descriptors if we can.
+if [ "$cygwin" = "false" -a "$darwin" = "false" -a "$nonstop" = "false" ] ; then
+    MAX_FD_LIMIT=`ulimit -H -n`
+    if [ $? -eq 0 ] ; then
+        if [ "$MAX_FD" = "maximum" -o "$MAX_FD" = "max" ] ; then
+            MAX_FD="$MAX_FD_LIMIT"
+        fi
+        ulimit -n $MAX_FD
+        if [ $? -ne 0 ] ; then
+            warn "Could not set maximum file descriptor limit: $MAX_FD"
+        fi
+    else
+        warn "Could not query maximum file descriptor limit: $MAX_FD_LIMIT"
+    fi
+fi
+
+# For Darwin, add options to specify how the application appears in the dock
+if $darwin; then
+    GRADLE_OPTS="$GRADLE_OPTS \"-Xdock:name=$APP_NAME\" \"-Xdock:icon=$APP_HOME/media/gradle.icns\""
+fi
+
+# For Cygwin or MSYS, switch paths to Windows format before running java
+if [ "$cygwin" = "true" -o "$msys" = "true" ] ; then
+    APP_HOME=`cygpath --path --mixed "$APP_HOME"`
+    CLASSPATH=`cygpath --path --mixed "$CLASSPATH"`
+
+    JAVACMD=`cygpath --unix "$JAVACMD"`
+
+    # We build the pattern for arguments to be converted via cygpath
+    ROOTDIRSRAW=`find -L / -maxdepth 1 -mindepth 1 -type d 2>/dev/null`
+    SEP=""
+    for dir in $ROOTDIRSRAW ; do
+        ROOTDIRS="$ROOTDIRS$SEP$dir"
+        SEP="|"
+    done
+    OURCYGPATTERN="(^($ROOTDIRS))"
+    # Add a user-defined pattern to the cygpath arguments
+    if [ "$GRADLE_CYGPATTERN" != "" ] ; then
+        OURCYGPATTERN="$OURCYGPATTERN|($GRADLE_CYGPATTERN)"
+    fi
+    # Now convert the arguments - kludge to limit ourselves to /bin/sh
+    i=0
+    for arg in "$@" ; do
+        CHECK=`echo "$arg"|egrep -c "$OURCYGPATTERN" -`
+        CHECK2=`echo "$arg"|egrep -c "^-"`                                 ### Determine if an option
+
+        if [ $CHECK -ne 0 ] && [ $CHECK2 -eq 0 ] ; then                    ### Added a condition
+            eval `echo args$i`=`cygpath --path --ignore --mixed "$arg"`
+        else
+            eval `echo args$i`="\"$arg\""
+        fi
+        i=`expr $i + 1`
+    done
+    case $i in
+        0) set -- ;;
+        1) set -- "$args0" ;;
+        2) set -- "$args0" "$args1" ;;
+        3) set -- "$args0" "$args1" "$args2" ;;
+        4) set -- "$args0" "$args1" "$args2" "$args3" ;;
+        5) set -- "$args0" "$args1" "$args2" "$args3" "$args4" ;;
+        6) set -- "$args0" "$args1" "$args2" "$args3" "$args4" "$args5" ;;
+        7) set -- "$args0" "$args1" "$args2" "$args3" "$args4" "$args5" "$args6" ;;
+        8) set -- "$args0" "$args1" "$args2" "$args3" "$args4" "$args5" "$args6" "$args7" ;;
+        9) set -- "$args0" "$args1" "$args2" "$args3" "$args4" "$args5" "$args6" "$args7" "$args8" ;;
+    esac
+fi
+
+# Escape application args
+save () {
+    for i do printf %s\\n "$i" | sed "s/'/'\\\\''/g;1s/^/'/;\$s/\$/' \\\\/" ; done
+    echo " "
+}
+APP_ARGS=`save "$@"`
+
+# Collect all arguments for the java command, following the shell quoting and substitution rules
+eval set -- $DEFAULT_JVM_OPTS $JAVA_OPTS $GRADLE_OPTS "\"-Dorg.gradle.appname=$APP_BASE_NAME\"" -classpath "\"$CLASSPATH\"" org.gradle.wrapper.GradleWrapperMain "$APP_ARGS"
+
+exec "$JAVACMD" "$@"
@@ -0,0 +1,89 @@
+@rem
+@rem Copyright 2015 the original author or authors.
+@rem
+@rem Licensed under the Apache License, Version 2.0 (the "License");
+@rem you may not use this file except in compliance with the License.
+@rem You may obtain a copy of the License at
+@rem
+@rem      https://www.apache.org/licenses/LICENSE-2.0
+@rem
+@rem Unless required by applicable law or agreed to in writing, software
+@rem distributed under the License is distributed on an "AS IS" BASIS,
+@rem WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND, either express or implied.
+@rem See the License for the specific language governing permissions and
+@rem limitations under the License.
+@rem
+
+@if "%DEBUG%" == "" @echo off
+@rem ##########################################################################
+@rem
+@rem  Gradle startup script for Windows
+@rem
+@rem ##########################################################################
+
+@rem Set local scope for the variables with windows NT shell
+if "%OS%"=="Windows_NT" setlocal
+
+set DIRNAME=%~dp0
+if "%DIRNAME%" == "" set DIRNAME=.
+set APP_BASE_NAME=%~n0
+set APP_HOME=%DIRNAME%
+
+@rem Resolve any "." and ".." in APP_HOME to make it shorter.
+for %%i in ("%APP_HOME%") do set APP_HOME=%%~fi
+
+@rem Add default JVM options here. You can also use JAVA_OPTS and GRADLE_OPTS to pass JVM options to this script.
+set DEFAULT_JVM_OPTS="-Xmx64m" "-Xms64m"
+
+@rem Find java.exe
+if defined JAVA_HOME goto findJavaFromJavaHome
+
+set JAVA_EXE=java.exe
+%JAVA_EXE% -version >NUL 2>&1
+if "%ERRORLEVEL%" == "0" goto execute
+
+echo.
+echo ERROR: JAVA_HOME is not set and no 'java' command could be found in your PATH.
+echo.
+echo Please set the JAVA_HOME variable in your environment to match the
+echo location of your Java installation.
+
+goto fail
+
+:findJavaFromJavaHome
+set JAVA_HOME=%JAVA_HOME:"=%
+set JAVA_EXE=%JAVA_HOME%/bin/java.exe
+
+if exist "%JAVA_EXE%" goto execute
+
+echo.
+echo ERROR: JAVA_HOME is set to an invalid directory: %JAVA_HOME%
+echo.
+echo Please set the JAVA_HOME variable in your environment to match the
+echo location of your Java installation.
+
+goto fail
+
+:execute
+@rem Setup the command line
+
+set CLASSPATH=%APP_HOME%\gradle\wrapper\gradle-wrapper.jar
+
+
+@rem Execute Gradle
+"%JAVA_EXE%" %DEFAULT_JVM_OPTS% %JAVA_OPTS% %GRADLE_OPTS% "-Dorg.gradle.appname=%APP_BASE_NAME%" -classpath "%CLASSPATH%" org.gradle.wrapper.GradleWrapperMain %*
+
+:end
+@rem End local scope for the variables with windows NT shell
+if "%ERRORLEVEL%"=="0" goto mainEnd
+
+:fail
+rem Set variable GRADLE_EXIT_CONSOLE if you need the _script_ return code instead of
+rem the _cmd.exe /c_ return code!
+if  not "" == "%GRADLE_EXIT_CONSOLE%" exit 1
+exit /b 1
+
+:mainEnd
+if "%OS%"=="Windows_NT" endlocal
+
+:omega
@@ -0,0 +1,3 @@
+include ':app'
+
+apply from: 'tauri.settings.gradle'
@@ -1,7 +1,7 @@
 {
  "name": "tglock-ui",
  "private": true,
-  "version": "2.0.0-beta.8",
+  "version": "2.0.0-beta.3",
  "type": "module",
  "scripts": {
    "dev": "vite --port 1420",
@@ -1,60 +0,0 @@
-#!/usr/bin/env python3
-"""Проверяет, что в бандл приложения попал GUI-бинарь, а не headless CLI.
-
-Зачем это существует. В v2.0.0-beta.2 и v2.0.0-beta.3 бандлер Tauri упаковал
-`tglock-cli` как исполняемый файл приложения, и оно не запускалось ни на одной
-платформе. В beta.3 имя файла было уже правильным — бандлер переименовал CLI —
-поэтому проверка имени или `CFBundleExecutable` ничего не заметила. Отличить
-можно только по содержимому.
-
-Почему на Python, а не grep. BSD grep на macOS в UTF-8-локали молча не находит
-строки в бинарных данных там, где GNU grep находит: проверка проходила на
-Linux и давала ложное «не GUI» на macOS. Один скрипт для всех платформ и для
-всех трёх мест, где проверка вызывается, исключает подобные расхождения.
-
-Использование:
-    python3 scripts/verify_bundle_binary.py <путь-к-бинарю>
-"""
-
-import sys
-
-# Присутствуют только в GUI: строка CSP из tauri.conf.json и имя движка WebView.
-GUI_MARKERS = (b"ipc.localhost", b"wry")
-# Присутствуют только в CLI: имена флагов clap.
-CLI_MARKERS = (b"allow-direct", b"secret-file")
-
-
-def main(argv: list[str]) -> int:
-    if len(argv) != 2:
-        print(f"использование: {argv[0]} <путь-к-бинарю>", file=sys.stderr)
-        return 2
-
-    path = argv[1]
-    try:
-        with open(path, "rb") as handle:
-            data = handle.read()
-    except OSError as error:
-        print(f"не удалось прочитать {path}: {error}", file=sys.stderr)
-        return 1
-
-    found_gui = [marker.decode() for marker in GUI_MARKERS if marker in data]
-    found_cli = [marker.decode() for marker in CLI_MARKERS if marker in data]
-
-    print(f"файл:     {path}")
-    print(f"размер:   {len(data) / 1048576:.1f} МБ")
-    print(f"GUI:      {found_gui or 'признаков нет'}")
-    print(f"CLI:      {found_cli or 'признаков нет'}")
-
-    if found_cli:
-        print("ОШИБКА: в бандле headless CLI вместо приложения", file=sys.stderr)
-        return 1
-    if not found_gui:
-        print("ОШИБКА: это не GUI-бинарь, признаков GUI нет", file=sys.stderr)
-        return 1
-
-    print("OK: в бандле GUI-бинарь")
-    return 0
-
-
-if __name__ == "__main__":
-    sys.exit(main(sys.argv))
@@ -12,22 +12,11 @@ use std::process::ExitCode;
 use std::sync::atomic::Ordering;
 use std::sync::Arc;
 use std::time::Duration;
-use tglock::cli_settings as config;
-use tglock::{proxy, transport};
+use tglock_lib::config::ListenConfig;
+use tglock_lib::{mtproto, proxy, transport};

 const STATUS_POLL: Duration = Duration::from_secs(1);

-/// Напечатать строку, вернув `false`, если stdout больше не принимает данные.
-///
-/// `println!` при ошибке записи паникует, а у демона stdout исчезает штатно: его
-/// пускают в `head`, закрывают терминал, перезапускают сборщик логов. Падать из
-/// за этого туннель не должен — он продолжает работать молча.
-fn say(text: &str) -> bool {
-    use std::io::Write;
-    let mut out = std::io::stdout().lock();
-    writeln!(out, "{text}").and_then(|()| out.flush()).is_ok()
-}
-
 #[derive(Debug, Parser)]
 #[command(
    name = "tglock-cli",
@@ -35,17 +24,13 @@ fn say(text: &str) -> bool {
    about = "TGLock без графического интерфейса: локальный MTProto-прокси через WebSocket"
 )]
 struct Args {
-    /// Файл настроек. Если не задан, ищется tglock.toml рядом с бинарём
-    #[arg(short, long, value_name = "PATH")]
-    config: Option<PathBuf>,
+    /// Адрес для прослушивания. 127.0.0.1 — только этот компьютер
+    #[arg(short, long, value_name = "IP", default_value = "127.0.0.1")]
+    bind: IpAddr,

-    /// Адрес для прослушивания. По умолчанию 127.0.0.1 — только этот компьютер
-    #[arg(short, long, value_name = "IP")]
-    bind: Option<IpAddr>,
-
-    /// Порт локального прокси. По умолчанию 1080
-    #[arg(short, long, value_name = "PORT")]
-    port: Option<u16>,
+    /// Порт локального прокси
+    #[arg(short, long, value_name = "PORT", default_value_t = proxy::DEFAULT_PORT)]
+    port: u16,

    /// То же, что --bind 0.0.0.0: доступ с других устройств в локальной сети
    #[arg(long, conflicts_with = "bind")]
@@ -59,8 +44,8 @@ struct Args {
    #[arg(long)]
    allow_direct: bool,

-    /// Файл с секретом прокси. Для сервиса нужен он или secret в настройках:
-    /// иначе после перезапуска секрет будет новым и настроенные клиенты отвалятся
+    /// Файл с секретом прокси. Обязателен для сервиса: иначе после перезапуска
+    /// секрет будет новым и уже настроенные клиенты перестанут подключаться
    #[arg(long, value_name = "PATH")]
    secret_file: Option<PathBuf>,

@@ -70,32 +55,29 @@ struct Args {
 }

 impl Args {
-    fn overrides(&self) -> config::Overrides {
-        config::Overrides {
-            bind: self.bind,
-            port: self.port,
-            lan: self.lan,
-            allow_direct: self.allow_direct,
-            worker: self.worker.clone(),
-            secret_file: self.secret_file.clone(),
-            quiet: self.quiet,
+    fn stats(&self) -> Arc<proxy::Stats> {
+        match &self.secret_file {
+            Some(path) => proxy::Stats::with_secret(mtproto::load_or_create_secret_at(path)),
+            None => proxy::Stats::new(),
        }
    }

-    /// Файл настроек и путь, по которому он найден.
-    ///
-    /// Явный `--config` обязателен к существованию: если человек указал путь и
-    /// опечатался, молча стартовать с настройками по умолчанию — худшее из
-    /// возможных поведений.
-    fn load_file(&self) -> Result<(config::FileConfig, Option<PathBuf>), String> {
-        if let Some(path) = &self.config {
-            return Ok((config::FileConfig::load(path)?, Some(path.clone())));
-        }
-        match config::path_next_to_executable() {
-            Some(path) if path.is_file() => Ok((config::FileConfig::load(&path)?, Some(path))),
-            _ => Ok((config::FileConfig::default(), None)),
+    fn listen(&self) -> ListenConfig {
+        let base = if self.lan {
+            ListenConfig::lan(self.port)
+        } else {
+            ListenConfig::new(self.bind, self.port)
+        };
+        if self.allow_direct {
+            base.with_allow_direct(true)
+        } else {
+            base
        }
    }
+
+    fn worker_domains(&self) -> String {
+        self.worker.join(",")
+    }
 }

 fn main() -> ExitCode {
@@ -118,55 +100,30 @@ fn main() -> ExitCode {
 }

 async fn serve(args: Args) -> Result<(), String> {
-    let (file, file_path) = args.load_file()?;
-    let settings = config::resolve(file, args.overrides())?;
-    let listen = settings.listen;
-    let stats = settings.stats();
-    let quiet = settings.quiet;
+    let listen = args.listen();
+    let stats = args.stats();
+    stats.set_worker_domain(&args.worker_domains());

    // Bind before printing anything: a busy port must be an error, not a
    // daemon that reports success and silently does nothing.
    let listener = proxy::bind(listen).await?;

-    if !quiet {
-        let intro = match &file_path {
-            Some(path) => format!("Настройки: {}", path.display()),
-            None => format!(
-                "Настройки: только флаги ({} рядом с бинарём не найден)",
-                config::DEFAULT_FILE_NAME
-            ),
-        };
-        say(&intro);
-        say(&format!("Слушаю {}", listen.addr));
-        say(&format!(
+    if !args.quiet {
+        println!("Слушаю {}", listen.addr);
+        println!(
            "Ссылка для Telegram: {}",
            listen.telegram_link(&stats.telegram_secret())
-        ));
-        // Запись секрета могла провалиться — тогда после перезапуска ссылка
-        // изменится и Telegram скажет «прокси настроен неверно». Раньше это
-        // происходило молча (by-sonic/tglock#37).
-        if let Some(error) = stats.secret_write_error() {
-            say(&format!(
-                "Внимание: секрет НЕ сохранён ({error}). После перезапуска ссылка \
-                 изменится, и Telegram откажется подключаться к старой"
-            ));
-        }
-        if matches!(settings.secret, config::SecretSource::Ephemeral) {
-            say(
-                "Внимание: секрет не закреплён и будет новым после перезапуска — \
-                 задайте secret в настройках или --secret-file",
-            );
-        }
+        );
        if listen.allow_direct && !listen.addr.ip().is_loopback() {
-            say(&format!(
-                "Внимание: allow_direct на адресе {} превращает TGLock в открытый SOCKS5-прокси",
+            println!(
+                "Внимание: --allow-direct на адресе {} превращает TGLock в открытый SOCKS5-прокси",
                listen.addr.ip()
-            ));
+            );
        } else if !listen.allow_direct {
-            say("Пропускаю только адреса Telegram");
+            println!("Пропускаю только адреса Telegram");
        }
-        if !settings.workers.is_empty() {
-            say(&format!("Резервные Worker-домены: {}", settings.workers));
+        if !args.worker.is_empty() {
+            println!("Резервные Worker-домены: {}", args.worker_domains());
        }
    }

@@ -175,14 +132,14 @@ async fn serve(args: Args) -> Result<(), String> {
        tokio::spawn(
            async move { proxy::serve(server_stats, listener, listen.allow_direct).await },
        );
-    let watcher = (!quiet).then(|| tokio::spawn(watch_status(stats.clone())));
+    let watcher = (!args.quiet).then(|| tokio::spawn(watch_status(stats.clone())));

    let outcome = tokio::select! {
        joined = &mut server => joined.map_err(|error| format!("рабочая задача упала: {error}"))?,
        signal = shutdown_signal() => {
            signal.map_err(|error| format!("обработчик сигналов: {error}"))?;
-            if !quiet {
-                say("Получен сигнал остановки, закрываю соединения…");
+            if !args.quiet {
+                println!("Получен сигнал остановки, закрываю соединения…");
            }
            stats.stop();
            server
@@ -211,15 +168,13 @@ async fn watch_status(stats: Arc<proxy::Stats>) {
            stats.last_dc.load(Ordering::Relaxed),
            stats.last_route.load(Ordering::Relaxed),
            stats.ws_failures.load(Ordering::Relaxed),
-            stats.route_failures(),
        );
        if previous.as_ref() == Some(&current) {
            continue;
        }
-        let (active, tunnels, dc, route, failures, route_failures) = current;
-        let line = format!(
-            "соединений {active} · туннелей {tunnels} · {} · {} · сбоев {failures} · \
-             падений маршрутов {route_failures}",
+        let (active, tunnels, dc, route, failures) = current;
+        println!(
+            "соединений {active} · туннелей {tunnels} · {} · {} · сбоев {failures}",
            if dc > 0 {
                format!("DC{dc}")
            } else {
@@ -227,11 +182,6 @@ async fn watch_status(stats: Arc<proxy::Stats>) {
            },
            transport::route_label(route)
        );
-        // Закрытый stdout — не ошибка: печатать больше некому, туннель работает
-        // дальше без наблюдателя.
-        if !say(&line) {
-            return;
-        }
        previous = Some(current);
    }
 }
@@ -263,11 +213,6 @@ mod tests {
        Args::try_parse_from(std::iter::once("tglock-cli").chain(args.iter().copied())).unwrap()
    }

-    /// Итоговые настройки только из флагов, без файла.
-    fn from_flags(args: &[&str]) -> config::Resolved {
-        config::resolve(config::FileConfig::default(), parse(args).overrides()).unwrap()
-    }
-
    #[test]
    fn command_definition_is_valid() {
        Args::command().debug_assert();
@@ -275,7 +220,7 @@ mod tests {

    #[test]
    fn defaults_to_loopback_on_the_default_port() {
-        let listen = from_flags(&[]).listen;
+        let listen = parse(&[]).listen();
        assert_eq!(listen.addr.to_string(), "127.0.0.1:1080");
        assert!(listen.allow_direct);
    }
@@ -283,50 +228,50 @@ mod tests {
    #[test]
    fn lan_flag_matches_explicit_wildcard_bind() {
        assert_eq!(
-            from_flags(&["--lan"]).listen,
-            from_flags(&["-b", "0.0.0.0"]).listen
+            parse(&["--lan"]).listen(),
+            parse(&["-b", "0.0.0.0"]).listen()
        );
    }

    #[test]
    fn lan_does_not_relay_non_telegram_traffic() {
-        let listen = from_flags(&["--lan"]).listen;
+        let listen = parse(&["--lan"]).listen();
        assert_eq!(listen.addr.to_string(), "0.0.0.0:1080");
        assert!(!listen.allow_direct);
    }

    #[test]
    fn allow_direct_is_the_only_way_to_open_a_network_listener() {
-        assert!(!from_flags(&["-b", "192.168.1.10"]).listen.allow_direct);
+        assert!(!parse(&["-b", "192.168.1.10"]).listen().allow_direct);
        assert!(
-            from_flags(&["-b", "192.168.1.10", "--allow-direct"])
-                .listen
+            parse(&["-b", "192.168.1.10", "--allow-direct"])
+                .listen()
                .allow_direct
        );
    }

    #[test]
    fn bind_and_port_are_honoured() {
-        let listen = from_flags(&["--bind", "10.0.0.7", "--port", "1443"]).listen;
+        let listen = parse(&["--bind", "10.0.0.7", "--port", "1443"]).listen();
        assert_eq!(listen.addr.to_string(), "10.0.0.7:1443");
    }

    #[test]
    fn ipv6_bind_is_accepted() {
-        let listen = from_flags(&["-b", "::1", "-p", "2080"]).listen;
+        let listen = parse(&["-b", "::1", "-p", "2080"]).listen();
        assert_eq!(listen.addr.to_string(), "[::1]:2080");
        assert!(listen.allow_direct);
    }

    #[test]
    fn repeated_worker_flags_collapse_into_one_list() {
-        let settings = from_flags(&["--worker", "a.workers.dev", "--worker", "b.workers.dev"]);
-        assert_eq!(settings.workers, "a.workers.dev,b.workers.dev");
+        let args = parse(&["--worker", "a.workers.dev", "--worker", "b.workers.dev"]);
+        assert_eq!(args.worker_domains(), "a.workers.dev,b.workers.dev");
    }

    #[test]
    fn no_worker_flag_means_no_domains() {
-        assert!(from_flags(&[]).workers.is_empty());
+        assert!(parse(&[]).worker_domains().is_empty());
    }

    #[test]
@@ -343,10 +288,10 @@ mod tests {
        ));
        let _ = std::fs::remove_file(&path);

-        let first = from_flags(&["--secret-file", path.to_str().unwrap()])
+        let first = parse(&["--secret-file", path.to_str().unwrap()])
            .stats()
            .telegram_secret();
-        let second = from_flags(&["--secret-file", path.to_str().unwrap()])
+        let second = parse(&["--secret-file", path.to_str().unwrap()])
            .stats()
            .telegram_secret();

@@ -358,11 +303,11 @@ mod tests {

        // A corrupted file must not wedge the daemon: it is replaced.
        std::fs::write(&path, "garbage").unwrap();
-        let third = from_flags(&["--secret-file", path.to_str().unwrap()])
+        let third = parse(&["--secret-file", path.to_str().unwrap()])
            .stats()
            .telegram_secret();
        assert_ne!(third, first);
-        let fourth = from_flags(&["--secret-file", path.to_str().unwrap()])
+        let fourth = parse(&["--secret-file", path.to_str().unwrap()])
            .stats()
            .telegram_secret();
        assert_eq!(third, fourth, "the replacement must be persisted in turn");
@@ -1,360 +0,0 @@
-//! Файл конфигурации для `tglock-cli`.
-//!
-//! Живёт в библиотеке, а не рядом с бинарём: каталожная форма `src/bin/cli/`
-//! ломает перечисление бинарей в Tauri — он выводит имя приложения из имени
-//! каталога и пытается упаковать несуществующий `cli`.
-//!
-//! Запрошен в by-sonic/tglock#32: держать все параметры и секрет в одном месте,
-//! чтобы не собирать батник с ключами при каждом запуске.
-//!
-//! Порядок приоритетов: значения по умолчанию → файл → флаги командной строки.
-//! Флаги-переключатели (`--lan`, `--allow-direct`, `--quiet`) могут только
-//! включать: их отсутствие означает «взять из файла», а не «выключить».
-
-use crate::config::ListenConfig;
-use crate::{mtproto, proxy};
-use serde::Deserialize;
-use std::net::IpAddr;
-use std::path::{Path, PathBuf};
-
-/// Имя файла, который ищется рядом с бинарём, если `--config` не задан.
-pub const DEFAULT_FILE_NAME: &str = "tglock.toml";
-
-/// Содержимое файла конфигурации.
-///
-/// `deny_unknown_fields` намеренно: опечатка вроде `porrt = 1080` должна быть
-/// ошибкой при старте, а не молча проигнорированной строкой, из-за которой
-/// сервис слушает не тот порт.
-#[derive(Debug, Default, Deserialize, PartialEq)]
-#[serde(deny_unknown_fields)]
-pub struct FileConfig {
-    pub bind: Option<IpAddr>,
-    pub port: Option<u16>,
-    pub lan: Option<bool>,
-    pub allow_direct: Option<bool>,
-    pub worker: Option<Vec<String>>,
-    pub secret: Option<String>,
-    pub secret_file: Option<PathBuf>,
-    pub quiet: Option<bool>,
-}
-
-impl FileConfig {
-    pub fn parse(text: &str) -> Result<Self, String> {
-        toml::from_str(text).map_err(|error| format!("конфиг разобрать не удалось: {error}"))
-    }
-
-    pub fn load(path: &Path) -> Result<Self, String> {
-        let text = std::fs::read_to_string(path)
-            .map_err(|error| format!("не удалось прочитать {}: {error}", path.display()))?;
-        Self::parse(&text)
-    }
-}
-
-/// Значения, пришедшие из командной строки.
-#[derive(Debug, Default)]
-pub struct Overrides {
-    pub bind: Option<IpAddr>,
-    pub port: Option<u16>,
-    pub lan: bool,
-    pub allow_direct: bool,
-    pub worker: Vec<String>,
-    pub secret_file: Option<PathBuf>,
-    pub quiet: bool,
-}
-
-/// Откуда взять секрет прокси.
-#[derive(Debug, PartialEq)]
-pub enum SecretSource {
-    /// Записан прямо в конфиге.
-    Inline([u8; 16]),
-    /// Лежит в отдельном файле, создаётся при первом запуске.
-    File(PathBuf),
-    /// Ни того, ни другого: секрет будет новым при каждом старте.
-    Ephemeral,
-}
-
-/// Итоговые настройки запуска.
-#[derive(Debug, PartialEq)]
-pub struct Resolved {
-    pub listen: ListenConfig,
-    /// Домены Worker'ов в том виде, в каком их ждёт `Stats::set_worker_domain`.
-    pub workers: String,
-    pub secret: SecretSource,
-    pub quiet: bool,
-}
-
-impl Resolved {
-    pub fn stats(&self) -> std::sync::Arc<proxy::Stats> {
-        let stats = match &self.secret {
-            SecretSource::Inline(secret) => proxy::Stats::with_secret(*secret),
-            SecretSource::File(path) => {
-                proxy::Stats::with_stored_secret(mtproto::load_or_create_secret_at(path))
-            }
-            SecretSource::Ephemeral => proxy::Stats::new(),
-        };
-        stats.set_worker_domain(&self.workers);
-        stats
-    }
-}
-
-/// Свести файл и флаги в одни настройки.
-pub fn resolve(file: FileConfig, cli: Overrides) -> Result<Resolved, String> {
-    let port = cli.port.or(file.port).unwrap_or(proxy::DEFAULT_PORT);
-    if port == 0 {
-        return Err("порт должен быть от 1 до 65535".to_owned());
-    }
-
-    let lan = cli.lan || file.lan.unwrap_or(false);
-    let bind = cli.bind.or(file.bind);
-    if lan && bind.is_some() {
-        return Err("нельзя задать одновременно lan и bind: выберите одно".to_owned());
-    }
-
-    let listen = match (lan, bind) {
-        (true, _) => ListenConfig::lan(port),
-        (false, Some(ip)) => ListenConfig::new(ip, port),
-        (false, None) => ListenConfig::loopback(port),
-    };
-    let allow_direct = cli.allow_direct || file.allow_direct.unwrap_or(false);
-    let listen = if allow_direct {
-        listen.with_allow_direct(true)
-    } else {
-        listen
-    };
-
-    let workers = if cli.worker.is_empty() {
-        file.worker.unwrap_or_default()
-    } else {
-        cli.worker
-    };
-
-    // Секрет из файла конфигурации важнее отдельного файла: если человек вписал
-    // его сюда, значит хотел держать всё в одном месте.
-    let secret = match (&file.secret, cli.secret_file.or(file.secret_file)) {
-        (Some(value), _) => SecretSource::Inline(
-            mtproto::parse_secret(value)
-                .ok_or("секрет в конфиге неверный: нужны 32 hex-символа, можно с префиксом dd")?,
-        ),
-        (None, Some(path)) => SecretSource::File(path),
-        (None, None) => SecretSource::Ephemeral,
-    };
-
-    Ok(Resolved {
-        listen,
-        workers: workers.join(","),
-        secret,
-        quiet: cli.quiet || file.quiet.unwrap_or(false),
-    })
-}
-
-/// Путь к конфигу рядом с исполняемым файлом.
-///
-/// Именно этого просили в #32: «размещение рядом с бинарником частично решает
-/// вопрос». Текущий каталог не используется, чтобы сервис не зависел от того,
-/// откуда его запустили.
-pub fn path_next_to_executable() -> Option<PathBuf> {
-    let executable = std::env::current_exe().ok()?;
-    Some(executable.parent()?.join(DEFAULT_FILE_NAME))
-}
-
-#[cfg(test)]
-mod tests {
-    use super::*;
-
-    const SECRET: &str = "00112233445566778899aabbccddeeff";
-
-    fn cli() -> Overrides {
-        Overrides::default()
-    }
-
-    #[test]
-    fn empty_config_and_no_flags_give_the_documented_defaults() {
-        let resolved = resolve(FileConfig::default(), cli()).unwrap();
-        assert_eq!(resolved.listen.addr.to_string(), "127.0.0.1:1080");
-        assert!(resolved.listen.allow_direct);
-        assert_eq!(resolved.workers, "");
-        assert_eq!(resolved.secret, SecretSource::Ephemeral);
-        assert!(!resolved.quiet);
-    }
-
-    #[test]
-    fn file_values_are_used_when_no_flags_are_given() {
-        let file = FileConfig::parse(
-            r#"
-            bind = "10.0.0.5"
-            port = 1443
-            allow_direct = true
-            worker = ["a.workers.dev", "b.workers.dev"]
-            quiet = true
-        "#,
-        )
-        .unwrap();
-        let resolved = resolve(file, cli()).unwrap();
-        assert_eq!(resolved.listen.addr.to_string(), "10.0.0.5:1443");
-        assert!(resolved.listen.allow_direct);
-        assert_eq!(resolved.workers, "a.workers.dev,b.workers.dev");
-        assert!(resolved.quiet);
-    }
-
-    #[test]
-    fn flags_win_over_the_file() {
-        let file = FileConfig::parse(
-            r#"
-            bind = "10.0.0.5"
-            port = 1443
-            worker = ["from-file.workers.dev"]
-        "#,
-        )
-        .unwrap();
-        let resolved = resolve(
-            file,
-            Overrides {
-                bind: Some("192.168.1.7".parse().unwrap()),
-                port: Some(2080),
-                worker: vec!["from-flag.workers.dev".to_owned()],
-                ..Overrides::default()
-            },
-        )
-        .unwrap();
-        assert_eq!(resolved.listen.addr.to_string(), "192.168.1.7:2080");
-        assert_eq!(resolved.workers, "from-flag.workers.dev");
-    }
-
-    #[test]
-    fn a_switch_flag_can_only_turn_things_on() {
-        // Отсутствие --quiet не должно отменять quiet = true из файла: иначе
-        // файл нельзя было бы использовать для включения ничего.
-        let file = FileConfig::parse("quiet = true\nallow_direct = true").unwrap();
-        let resolved = resolve(file, cli()).unwrap();
-        assert!(resolved.quiet);
-        assert!(resolved.listen.allow_direct);
-    }
-
-    #[test]
-    fn lan_from_the_file_restricts_to_telegram() {
-        let resolved = resolve(FileConfig::parse("lan = true").unwrap(), cli()).unwrap();
-        assert_eq!(resolved.listen.addr.to_string(), "0.0.0.0:1080");
-        assert!(
-            !resolved.listen.allow_direct,
-            "сетевой слушатель не должен релеить произвольные адреса без явного разрешения"
-        );
-    }
-
-    #[test]
-    fn lan_and_bind_together_are_rejected_wherever_they_come_from() {
-        let both_in_file = FileConfig::parse("lan = true\nbind = \"10.0.0.5\"").unwrap();
-        assert!(resolve(both_in_file, cli()).is_err());
-
-        let file = FileConfig::parse("bind = \"10.0.0.5\"").unwrap();
-        let flag_lan = Overrides {
-            lan: true,
-            ..Overrides::default()
-        };
-        assert!(
-            resolve(file, flag_lan).is_err(),
-            "конфликт должен ловиться и когда стороны пришли из разных мест"
-        );
-    }
-
-    #[test]
-    fn inline_secret_is_accepted_in_both_written_forms() {
-        for value in [SECRET.to_owned(), format!("dd{SECRET}")] {
-            let file = FileConfig::parse(&format!("secret = \"{value}\"")).unwrap();
-            let resolved = resolve(file, cli()).unwrap();
-            assert_eq!(
-                resolved.secret,
-                SecretSource::Inline([
-                    0x00, 0x11, 0x22, 0x33, 0x44, 0x55, 0x66, 0x77, 0x88, 0x99, 0xaa, 0xbb, 0xcc,
-                    0xdd, 0xee, 0xff,
-                ]),
-                "форма {value} должна приниматься"
-            );
-        }
-    }
-
-    #[test]
-    fn a_broken_inline_secret_stops_the_start() {
-        let file = FileConfig::parse("secret = \"явно не секрет\"").unwrap();
-        let error = resolve(file, cli()).unwrap_err();
-        assert!(
-            error.contains("32"),
-            "ошибка должна объяснять формат, получено: {error}"
-        );
-    }
-
-    #[test]
-    fn inline_secret_wins_over_a_secret_file() {
-        let file =
-            FileConfig::parse(&format!("secret = \"{SECRET}\"\nsecret_file = \"s.bin\"")).unwrap();
-        let resolved = resolve(file, cli()).unwrap();
-        assert!(matches!(resolved.secret, SecretSource::Inline(_)));
-    }
-
-    #[test]
-    fn secret_file_from_the_flag_wins_over_the_file() {
-        let file = FileConfig::parse("secret_file = \"from-file.bin\"").unwrap();
-        let resolved = resolve(
-            file,
-            Overrides {
-                secret_file: Some(PathBuf::from("from-flag.bin")),
-                ..Overrides::default()
-            },
-        )
-        .unwrap();
-        assert_eq!(
-            resolved.secret,
-            SecretSource::File(PathBuf::from("from-flag.bin"))
-        );
-    }
-
-    #[test]
-    fn a_typo_in_the_config_is_an_error_not_a_silent_default() {
-        // Самая опасная поломка конфига — та, которую не видно. Сервис не должен
-        // слушать 1080, если человек написал porrt = 1443.
-        let error = FileConfig::parse("porrt = 1443").unwrap_err();
-        assert!(
-            error.contains("porrt"),
-            "ошибка должна называть неизвестное поле, получено: {error}"
-        );
-    }
-
-    #[test]
-    fn malformed_values_are_rejected() {
-        for text in [
-            "bind = \"не адрес\"",
-            "port = \"1080\"",
-            "port = 70000",
-            "worker = \"строка вместо списка\"",
-            "lan = \"да\"",
-        ] {
-            assert!(
-                FileConfig::parse(text).is_err(),
-                "{text:?} должен быть отвергнут"
-            );
-        }
-    }
-
-    #[test]
-    fn zero_port_is_rejected() {
-        assert!(resolve(FileConfig::parse("port = 0").unwrap(), cli()).is_err());
-    }
-
-    #[test]
-    fn comments_and_blank_lines_are_fine() {
-        let file = FileConfig::parse(
-            r#"
-            # порт для второго экземпляра
-            port = 1081
-
-            # свой воркер как резерв
-            worker = ["backup.workers.dev"]
-        "#,
-        )
-        .unwrap();
-        assert_eq!(file.port, Some(1081));
-        assert_eq!(
-            file.worker.as_deref(),
-            Some(&["backup.workers.dev".to_owned()][..])
-        );
-    }
-}
@@ -0,0 +1,358 @@
+use crate::config::ListenConfig;
+use crate::{proxy, transport};
+use serde::{Deserialize, Serialize};
+use std::path::PathBuf;
+use std::sync::atomic::Ordering;
+use std::sync::{Arc, Mutex};
+use std::time::{Instant, SystemTime, UNIX_EPOCH};
+use tauri::{Manager, State};
+use tauri_plugin_opener::OpenerExt;
+
+#[derive(Clone, Debug, Deserialize, Serialize)]
+#[serde(rename_all = "camelCase")]
+struct Settings {
+    lan_mode: bool,
+    port: u16,
+    worker_domain: String,
+}
+
+impl Default for Settings {
+    fn default() -> Self {
+        Self {
+            lan_mode: false,
+            port: proxy::DEFAULT_PORT,
+            worker_domain: String::new(),
+        }
+    }
+}
+
+#[derive(Clone, Serialize)]
+#[serde(rename_all = "camelCase")]
+struct LogLine {
+    timestamp: String,
+    message: String,
+    error: bool,
+}
+
+#[derive(Serialize)]
+#[serde(rename_all = "camelCase")]
+struct StatusSnapshot {
+    running: bool,
+    active_connections: u32,
+    tunnels: u32,
+    data_center: Option<u16>,
+    route: String,
+    failures: u32,
+    uptime_seconds: u64,
+    port: u16,
+    logs: Vec<LogLine>,
+}
+
+struct AppState {
+    stats: Arc<proxy::Stats>,
+    settings: Mutex<Settings>,
+    active_port: Mutex<u16>,
+    started_at: Mutex<Option<Instant>>,
+    logs: Arc<Mutex<Vec<LogLine>>>,
+    settings_path: PathBuf,
+}
+
+impl AppState {
+    fn new(settings_path: PathBuf) -> Self {
+        let settings = std::fs::read(&settings_path)
+            .ok()
+            .and_then(|contents| serde_json::from_slice(&contents).ok())
+            .unwrap_or_default();
+        Self {
+            stats: proxy::Stats::new(),
+            settings: Mutex::new(settings),
+            active_port: Mutex::new(proxy::DEFAULT_PORT),
+            started_at: Mutex::new(None),
+            logs: Arc::new(Mutex::new(Vec::new())),
+            settings_path,
+        }
+    }
+
+    fn log(&self, message: impl Into<String>, error: bool) {
+        let mut logs = self.logs.lock().unwrap();
+        logs.push(LogLine {
+            timestamp: current_time(),
+            message: message.into(),
+            error,
+        });
+        if logs.len() > 100 {
+            logs.remove(0);
+        }
+    }
+
+    fn snapshot(&self) -> StatusSnapshot {
+        let data_center = self.stats.last_dc.load(Ordering::Relaxed);
+        let route = transport::route_label(self.stats.last_route.load(Ordering::Relaxed));
+        StatusSnapshot {
+            running: self.stats.running.load(Ordering::SeqCst),
+            active_connections: self.stats.active.load(Ordering::Relaxed),
+            tunnels: self.stats.ws.load(Ordering::Relaxed),
+            data_center: (data_center > 0).then_some(data_center),
+            route: route.to_owned(),
+            failures: self.stats.ws_failures.load(Ordering::Relaxed),
+            uptime_seconds: self
+                .started_at
+                .lock()
+                .unwrap()
+                .map_or(0, |started| started.elapsed().as_secs()),
+            port: *self.active_port.lock().unwrap(),
+            logs: self.logs.lock().unwrap().clone(),
+        }
+    }
+
+    fn persist_settings(&self, settings: &Settings) -> Result<(), String> {
+        if let Some(parent) = self.settings_path.parent() {
+            std::fs::create_dir_all(parent)
+                .map_err(|error| format!("Не удалось создать папку настроек: {error}"))?;
+        }
+        let contents = serde_json::to_vec_pretty(settings)
+            .map_err(|error| format!("Не удалось сохранить настройки: {error}"))?;
+        std::fs::write(&self.settings_path, contents)
+            .map_err(|error| format!("Не удалось сохранить настройки: {error}"))
+    }
+}
+
+fn current_time() -> String {
+    let seconds = SystemTime::now()
+        .duration_since(UNIX_EPOCH)
+        .unwrap_or_default()
+        .as_secs();
+    format!(
+        "{:02}:{:02}:{:02}",
+        (seconds / 3600) % 24,
+        (seconds / 60) % 60,
+        seconds % 60
+    )
+}
+
+#[tauri::command]
+fn get_status(state: State<'_, AppState>) -> StatusSnapshot {
+    state.snapshot()
+}
+
+#[tauri::command]
+fn get_settings(state: State<'_, AppState>) -> Settings {
+    state.settings.lock().unwrap().clone()
+}
+
+#[tauri::command]
+fn save_settings(settings: Settings, state: State<'_, AppState>) -> Result<Settings, String> {
+    if state.stats.running.load(Ordering::SeqCst) {
+        return Err("Сначала выключите защиту".into());
+    }
+    if settings.port == 0 {
+        return Err("Порт должен быть от 1 до 65535".into());
+    }
+    state.persist_settings(&settings)?;
+    *state.settings.lock().unwrap() = settings.clone();
+    state.log("Настройки сохранены", false);
+    Ok(settings)
+}
+
+#[tauri::command]
+fn start_proxy(
+    app: tauri::AppHandle,
+    state: State<'_, AppState>,
+) -> Result<StatusSnapshot, String> {
+    if state.stats.running.load(Ordering::SeqCst) {
+        return Ok(state.snapshot());
+    }
+
+    let settings = state.settings.lock().unwrap().clone();
+    state.stats.set_worker_domain(&settings.worker_domain);
+    *state.active_port.lock().unwrap() = settings.port;
+    *state.started_at.lock().unwrap() = Some(Instant::now());
+    state.log("Запускаю защищённый маршрут…", false);
+
+    let listen = if settings.lan_mode {
+        ListenConfig::lan(settings.port)
+    } else {
+        ListenConfig::loopback(settings.port)
+    };
+
+    let stats = state.stats.clone();
+    let logs = state.logs.clone();
+    std::thread::spawn(move || {
+        let runtime = match tokio::runtime::Runtime::new() {
+            Ok(runtime) => runtime,
+            Err(error) => {
+                push_log(&logs, format!("Не удалось запустить сервис: {error}"), true);
+                return;
+            }
+        };
+        if let Err(error) = runtime.block_on(proxy::run(stats, listen)) {
+            push_log(&logs, format!("Ошибка подключения: {error}"), true);
+        }
+    });
+
+    std::thread::sleep(std::time::Duration::from_millis(220));
+    if !state.stats.running.load(Ordering::SeqCst) {
+        *state.started_at.lock().unwrap() = None;
+        return Err(state
+            .logs
+            .lock()
+            .unwrap()
+            .last()
+            .map(|line| line.message.clone())
+            .unwrap_or_else(|| "Не удалось запустить прокси".into()));
+    }
+
+    state.log(format!("Прокси запущен на {}", listen.addr), false);
+    // The opener plugin works on desktop and on Android alike; the `open`
+    // crate has no Android implementation.
+    let _ = app.opener().open_url(
+        listen.telegram_link(&state.stats.telegram_secret()),
+        None::<&str>,
+    );
+    state.log("Открываю подключение в Telegram…", false);
+    Ok(state.snapshot())
+}
+
+#[tauri::command]
+fn stop_proxy(state: State<'_, AppState>) -> StatusSnapshot {
+    state.stats.stop();
+    *state.started_at.lock().unwrap() = None;
+    state.log("Защита выключена", false);
+    state.snapshot()
+}
+
+fn push_log(logs: &Arc<Mutex<Vec<LogLine>>>, message: String, error: bool) {
+    logs.lock().unwrap().push(LogLine {
+        timestamp: current_time(),
+        message,
+        error,
+    });
+}
+
+/// Environment variables that make the WebView render without a GPU.
+///
+/// The window is never created when 3D acceleration is unavailable: no
+/// monitor, the default Microsoft display driver, a virtual machine without
+/// 3D enabled (by-sonic/tglock#10, by-sonic/tglock#17). For a small status
+/// panel software rendering costs nothing noticeable, so preferring it is the
+/// safer default.
+///
+/// Values already present in the environment are never overwritten, and
+/// `TGLOCK_FORCE_GPU` disables the whole mechanism.
+fn software_rendering_vars(
+    force_gpu: bool,
+    is_set: impl Fn(&str) -> bool,
+) -> Vec<(&'static str, &'static str)> {
+    if force_gpu {
+        return Vec::new();
+    }
+
+    let candidates: &[(&str, &str)] = if cfg!(target_os = "windows") {
+        &[(
+            "WEBVIEW2_ADDITIONAL_BROWSER_ARGUMENTS",
+            "--disable-gpu --disable-gpu-compositing",
+        )]
+    } else if cfg!(target_os = "macos") || cfg!(target_os = "android") {
+        // WebKit on macOS falls back to software rendering on its own, and on a
+        // phone the WebView always has a GPU — forcing software rendering there
+        // would only make the interface slower.
+        &[]
+    } else {
+        &[
+            ("WEBKIT_DISABLE_COMPOSITING_MODE", "1"),
+            ("WEBKIT_DISABLE_DMABUF_RENDERER", "1"),
+        ]
+    };
+
+    candidates
+        .iter()
+        .filter(|(key, _)| !is_set(key))
+        .copied()
+        .collect()
+}
+
+fn prefer_software_rendering() {
+    let force_gpu = std::env::var_os("TGLOCK_FORCE_GPU").is_some();
+    for (key, value) in software_rendering_vars(force_gpu, |key| std::env::var_os(key).is_some()) {
+        std::env::set_var(key, value);
+    }
+}
+
+/// Entry point of the graphical application.
+///
+/// On desktop this is called from `main`. On Android the platform loads the
+/// crate as a shared library and calls this through the JNI entry point that
+/// `tauri::mobile_entry_point` generates, which is why the app lives in the
+/// library rather than in `main.rs`.
+#[cfg_attr(mobile, tauri::mobile_entry_point)]
+pub fn run() {
+    prefer_software_rendering();
+
+    tauri::Builder::default()
+        .plugin(tauri_plugin_opener::init())
+        .setup(|app| {
+            let settings_path = app
+                .path()
+                .app_config_dir()
+                .map_err(|error| error.to_string())?
+                .join("settings.json");
+            app.manage(AppState::new(settings_path));
+            Ok(())
+        })
+        .invoke_handler(tauri::generate_handler![
+            get_status,
+            get_settings,
+            save_settings,
+            start_proxy,
+            stop_proxy
+        ])
+        .run(tauri::generate_context!())
+        .expect("failed to run TGLock");
+}
+
+#[cfg(test)]
+mod tests {
+    use super::*;
+
+    #[test]
+    fn software_rendering_is_requested_by_default() {
+        let vars = software_rendering_vars(false, |_| false);
+        if cfg!(target_os = "macos") {
+            assert!(vars.is_empty(), "macOS needs no override");
+        } else {
+            assert!(
+                !vars.is_empty(),
+                "a machine without 3D acceleration must still get a window"
+            );
+        }
+    }
+
+    #[test]
+    fn force_gpu_disables_the_override() {
+        assert!(software_rendering_vars(true, |_| false).is_empty());
+    }
+
+    #[test]
+    fn an_operators_own_value_is_never_overwritten() {
+        assert!(software_rendering_vars(false, |_| true).is_empty());
+    }
+
+    #[test]
+    fn windows_uses_webview2_arguments_and_linux_uses_webkit_ones() {
+        let keys: Vec<_> = software_rendering_vars(false, |_| false)
+            .into_iter()
+            .map(|(key, _)| key)
+            .collect();
+        if cfg!(target_os = "windows") {
+            assert_eq!(keys, ["WEBVIEW2_ADDITIONAL_BROWSER_ARGUMENTS"]);
+        } else if cfg!(target_os = "linux") {
+            assert_eq!(
+                keys,
+                [
+                    "WEBKIT_DISABLE_COMPOSITING_MODE",
+                    "WEBKIT_DISABLE_DMABUF_RENDERER"
+                ]
+            );
+        }
+    }
+}
@@ -10,6 +10,8 @@ pub mod mtproto;
 pub mod proxy;
 pub mod transport;

-/// Настройки headless-версии: файл конфигурации и сведение с флагами.
-#[cfg(feature = "cli")]
-pub mod cli_settings;
+/// The graphical application, shared by the desktop binary and the Android
+/// package. Compiled only with the `gui` feature, so a headless build never
+/// pulls in Tauri or a WebView.
+#[cfg(feature = "gui")]
+pub mod gui;
@@ -1,412 +1,10 @@
 #![cfg_attr(not(debug_assertions), windows_subsystem = "windows")]

-use serde::{Deserialize, Serialize};
-use std::path::PathBuf;
-use std::sync::atomic::Ordering;
-use std::sync::{Arc, Mutex};
-use std::time::{Instant, SystemTime, UNIX_EPOCH};
-use tauri::{Manager, State};
-use tglock::config::ListenConfig;
-use tglock::{proxy, transport};
-
-#[derive(Clone, Debug, Deserialize, Serialize)]
-#[serde(rename_all = "camelCase")]
-struct Settings {
-    lan_mode: bool,
-    port: u16,
-    worker_domain: String,
-}
-
-impl Default for Settings {
-    fn default() -> Self {
-        Self {
-            lan_mode: false,
-            port: proxy::DEFAULT_PORT,
-            worker_domain: String::new(),
-        }
-    }
-}
-
-#[derive(Clone, Serialize)]
-#[serde(rename_all = "camelCase")]
-struct LogLine {
-    timestamp: String,
-    message: String,
-    error: bool,
-}
-
-#[derive(Serialize)]
-#[serde(rename_all = "camelCase")]
-struct StatusSnapshot {
-    running: bool,
-    active_connections: u32,
-    tunnels: u32,
-    data_center: Option<u16>,
-    route: String,
-    failures: u32,
-    /// Падения отдельных маршрутов. Растёт даже когда соединение в итоге
-    /// состоялось через запасной адрес (by-sonic/tglock#32).
-    route_failures: u32,
-    uptime_seconds: u64,
-    port: u16,
-    /// Адрес, который нужно вписать в Telegram на другом устройстве.
-    ///
-    /// В LAN-режиме это адрес этого компьютера в локальной сети. Люди искали
-    /// его в интерфейсе и не находили: вписывали `127.0.0.1`, который на
-    /// телефоне или в эмуляторе означает само устройство, и подключение не
-    /// работало (by-sonic/tglock#36).
-    share_address: Option<String>,
-    logs: Vec<LogLine>,
-}
-
-struct AppState {
-    stats: Arc<proxy::Stats>,
-    settings: Mutex<Settings>,
-    active_port: Mutex<u16>,
-    /// Слушатель работающего прокси. Нужен, чтобы показать адрес для других
-    /// устройств именно тот, на котором прокси реально поднят, а не тот, что
-    /// сейчас выбран в настройках.
-    active_listen: Mutex<Option<ListenConfig>>,
-    started_at: Mutex<Option<Instant>>,
-    logs: Arc<Mutex<Vec<LogLine>>>,
-    settings_path: PathBuf,
-}
-
-impl AppState {
-    fn new(settings_path: PathBuf) -> Self {
-        let settings = std::fs::read(&settings_path)
-            .ok()
-            .and_then(|contents| serde_json::from_slice(&contents).ok())
-            .unwrap_or_default();
-        Self {
-            stats: proxy::Stats::new(),
-            settings: Mutex::new(settings),
-            active_port: Mutex::new(proxy::DEFAULT_PORT),
-            active_listen: Mutex::new(None),
-            started_at: Mutex::new(None),
-            logs: Arc::new(Mutex::new(Vec::new())),
-            settings_path,
-        }
-    }
-
-    fn log(&self, message: impl Into<String>, error: bool) {
-        let mut logs = self.logs.lock().unwrap();
-        logs.push(LogLine {
-            timestamp: current_time(),
-            message: message.into(),
-            error,
-        });
-        if logs.len() > 100 {
-            logs.remove(0);
-        }
-    }
-
-    fn snapshot(&self) -> StatusSnapshot {
-        let data_center = self.stats.last_dc.load(Ordering::Relaxed);
-        let route = transport::route_label(self.stats.last_route.load(Ordering::Relaxed));
-        StatusSnapshot {
-            running: self.stats.running.load(Ordering::SeqCst),
-            active_connections: self.stats.active.load(Ordering::Relaxed),
-            tunnels: self.stats.ws.load(Ordering::Relaxed),
-            data_center: (data_center > 0).then_some(data_center),
-            route: route.to_owned(),
-            failures: self.stats.ws_failures.load(Ordering::Relaxed),
-            route_failures: self.stats.route_failures(),
-            uptime_seconds: self
-                .started_at
-                .lock()
-                .unwrap()
-                .map_or(0, |started| started.elapsed().as_secs()),
-            port: *self.active_port.lock().unwrap(),
-            share_address: share_address(*self.active_listen.lock().unwrap()),
-            logs: self.logs.lock().unwrap().clone(),
-        }
-    }
-
-    fn persist_settings(&self, settings: &Settings) -> Result<(), String> {
-        if let Some(parent) = self.settings_path.parent() {
-            std::fs::create_dir_all(parent)
-                .map_err(|error| format!("Не удалось создать папку настроек: {error}"))?;
-        }
-        let contents = serde_json::to_vec_pretty(settings)
-            .map_err(|error| format!("Не удалось сохранить настройки: {error}"))?;
-        std::fs::write(&self.settings_path, contents)
-            .map_err(|error| format!("Не удалось сохранить настройки: {error}"))
-    }
-}
-
-/// Адрес, который нужно вписать в Telegram на другом устройстве.
-///
-/// Только для слушателя на `0.0.0.0`: на loopback делиться нечем, туда никто
-/// извне не достучится. Возвращается адрес этой машины в сети, а не `0.0.0.0`
-/// и не `127.0.0.1` — последний на телефоне или в эмуляторе означает само
-/// устройство, и именно на этом спотыкались (by-sonic/tglock#36).
-fn share_address(listen: Option<ListenConfig>) -> Option<String> {
-    listen
-        .filter(|listen| listen.addr.ip().is_unspecified())
-        .map(|listen| format!("{}:{}", listen.advertised_host(), listen.addr.port()))
-}
-
-fn current_time() -> String {
-    let seconds = SystemTime::now()
-        .duration_since(UNIX_EPOCH)
-        .unwrap_or_default()
-        .as_secs();
-    format!(
-        "{:02}:{:02}:{:02}",
-        (seconds / 3600) % 24,
-        (seconds / 60) % 60,
-        seconds % 60
-    )
-}
-
-#[tauri::command]
-fn get_status(state: State<'_, AppState>) -> StatusSnapshot {
-    state.snapshot()
-}
-
-#[tauri::command]
-fn get_settings(state: State<'_, AppState>) -> Settings {
-    state.settings.lock().unwrap().clone()
-}
-
-#[tauri::command]
-fn save_settings(settings: Settings, state: State<'_, AppState>) -> Result<Settings, String> {
-    if state.stats.running.load(Ordering::SeqCst) {
-        return Err("Сначала выключите защиту".into());
-    }
-    if settings.port == 0 {
-        return Err("Порт должен быть от 1 до 65535".into());
-    }
-    state.persist_settings(&settings)?;
-    *state.settings.lock().unwrap() = settings.clone();
-    state.log("Настройки сохранены", false);
-    Ok(settings)
-}
-
-#[tauri::command]
-fn start_proxy(state: State<'_, AppState>) -> Result<StatusSnapshot, String> {
-    if state.stats.running.load(Ordering::SeqCst) {
-        return Ok(state.snapshot());
-    }
-
-    let settings = state.settings.lock().unwrap().clone();
-    state.stats.set_worker_domain(&settings.worker_domain);
-    *state.active_port.lock().unwrap() = settings.port;
-    *state.started_at.lock().unwrap() = Some(Instant::now());
-    state.log("Запускаю защищённый маршрут…", false);
-
-    let listen = if settings.lan_mode {
-        ListenConfig::lan(settings.port)
-    } else {
-        ListenConfig::loopback(settings.port)
-    };
-
-    *state.active_listen.lock().unwrap() = Some(listen);
-
-    let stats = state.stats.clone();
-    let logs = state.logs.clone();
-    std::thread::spawn(move || {
-        let runtime = match tokio::runtime::Runtime::new() {
-            Ok(runtime) => runtime,
-            Err(error) => {
-                push_log(&logs, format!("Не удалось запустить сервис: {error}"), true);
-                return;
-            }
-        };
-        if let Err(error) = runtime.block_on(proxy::run(stats, listen)) {
-            push_log(&logs, format!("Ошибка подключения: {error}"), true);
-        }
-    });
-
-    std::thread::sleep(std::time::Duration::from_millis(220));
-    if !state.stats.running.load(Ordering::SeqCst) {
-        *state.active_listen.lock().unwrap() = None;
-        *state.started_at.lock().unwrap() = None;
-        return Err(state
-            .logs
-            .lock()
-            .unwrap()
-            .last()
-            .map(|line| line.message.clone())
-            .unwrap_or_else(|| "Не удалось запустить прокси".into()));
-    }
-
-    state.log(format!("Прокси запущен на {}", listen.addr), false);
-    let _ = open::that(listen.telegram_link(&state.stats.telegram_secret()));
-    state.log("Открываю подключение в Telegram…", false);
-    Ok(state.snapshot())
-}
-
-#[tauri::command]
-fn stop_proxy(state: State<'_, AppState>) -> StatusSnapshot {
-    state.stats.stop();
-    *state.active_listen.lock().unwrap() = None;
-    *state.started_at.lock().unwrap() = None;
-    state.log("Защита выключена", false);
-    state.snapshot()
-}
-
-fn push_log(logs: &Arc<Mutex<Vec<LogLine>>>, message: String, error: bool) {
-    logs.lock().unwrap().push(LogLine {
-        timestamp: current_time(),
-        message,
-        error,
-    });
-}
-
-/// Environment variables that make the WebView render without a GPU.
-///
-/// The window is never created when 3D acceleration is unavailable: no
-/// monitor, the default Microsoft display driver, a virtual machine without
-/// 3D enabled (by-sonic/tglock#10, by-sonic/tglock#17). For a small status
-/// panel software rendering costs nothing noticeable, so preferring it is the
-/// safer default.
-///
-/// Values already present in the environment are never overwritten, and
-/// `TGLOCK_FORCE_GPU` disables the whole mechanism.
-fn software_rendering_vars(
-    force_gpu: bool,
-    is_set: impl Fn(&str) -> bool,
-) -> Vec<(&'static str, &'static str)> {
-    if force_gpu {
-        return Vec::new();
-    }
-
-    let candidates: &[(&str, &str)] = if cfg!(target_os = "windows") {
-        &[(
-            "WEBVIEW2_ADDITIONAL_BROWSER_ARGUMENTS",
-            "--disable-gpu --disable-gpu-compositing",
-        )]
-    } else if cfg!(target_os = "macos") {
-        // WebKit on macOS falls back to software rendering on its own.
-        &[]
-    } else {
-        &[
-            ("WEBKIT_DISABLE_COMPOSITING_MODE", "1"),
-            ("WEBKIT_DISABLE_DMABUF_RENDERER", "1"),
-        ]
-    };
-
-    candidates
-        .iter()
-        .filter(|(key, _)| !is_set(key))
-        .copied()
-        .collect()
-}
-
-fn prefer_software_rendering() {
-    let force_gpu = std::env::var_os("TGLOCK_FORCE_GPU").is_some();
-    for (key, value) in software_rendering_vars(force_gpu, |key| std::env::var_os(key).is_some()) {
-        std::env::set_var(key, value);
-    }
-}
+// The application itself lives in `tglock_lib::gui` because Android loads the crate
+// as a shared library and enters through a JNI symbol rather than through
+// `main`. Keeping one implementation for both platforms means the desktop
+// binary is just this shim.

 fn main() {
-    prefer_software_rendering();
-
-    tauri::Builder::default()
-        .setup(|app| {
-            let settings_path = app
-                .path()
-                .app_config_dir()
-                .map_err(|error| error.to_string())?
-                .join("settings.json");
-            let state = AppState::new(settings_path);
-            // Если секрет не удалось записать, ссылка tg://proxy изменится после
-            // перезапуска и Telegram откажется подключаться к сохранённой.
-            // Раньше это происходило молча (by-sonic/tglock#37).
-            if let Some(error) = state.stats.secret_write_error() {
-                state.log(
-                    format!("Секрет не сохранён ({error}). После перезапуска ссылка изменится"),
-                    true,
-                );
-            }
-            app.manage(state);
-            Ok(())
-        })
-        .invoke_handler(tauri::generate_handler![
-            get_status,
-            get_settings,
-            save_settings,
-            start_proxy,
-            stop_proxy
-        ])
-        .run(tauri::generate_context!())
-        .expect("failed to run TGLock");
-}
-
-#[cfg(test)]
-mod tests {
-    use super::*;
-
-    #[test]
-    fn nothing_to_share_when_the_proxy_is_off_or_local() {
-        assert_eq!(
-            share_address(None),
-            None,
-            "выключенный прокси нечего делить"
-        );
-        assert_eq!(
-            share_address(Some(ListenConfig::loopback(1080))),
-            None,
-            "на loopback снаружи никто не подключится"
-        );
-    }
-
-    #[test]
-    fn lan_mode_shares_a_reachable_address() {
-        let shown = share_address(Some(ListenConfig::lan(1443))).expect("в LAN-режиме адрес нужен");
-        assert!(shown.ends_with(":1443"), "порт должен быть виден: {shown}");
-        assert!(
-            !shown.starts_with("0.0.0.0"),
-            "0.0.0.0 нельзя вписать в Telegram: {shown}"
-        );
-        assert!(
-            !shown.starts_with("127.0.0.1"),
-            "127.0.0.1 на другом устройстве означает само устройство: {shown}"
-        );
-    }
-
-    #[test]
-    fn software_rendering_is_requested_by_default() {
-        let vars = software_rendering_vars(false, |_| false);
-        if cfg!(target_os = "macos") {
-            assert!(vars.is_empty(), "macOS needs no override");
-        } else {
-            assert!(
-                !vars.is_empty(),
-                "a machine without 3D acceleration must still get a window"
-            );
-        }
-    }
-
-    #[test]
-    fn force_gpu_disables_the_override() {
-        assert!(software_rendering_vars(true, |_| false).is_empty());
-    }
-
-    #[test]
-    fn an_operators_own_value_is_never_overwritten() {
-        assert!(software_rendering_vars(false, |_| true).is_empty());
-    }
-
-    #[test]
-    fn windows_uses_webview2_arguments_and_linux_uses_webkit_ones() {
-        let keys: Vec<_> = software_rendering_vars(false, |_| false)
-            .into_iter()
-            .map(|(key, _)| key)
-            .collect();
-        if cfg!(target_os = "windows") {
-            assert_eq!(keys, ["WEBVIEW2_ADDITIONAL_BROWSER_ARGUMENTS"]);
-        } else if cfg!(target_os = "linux") {
-            assert_eq!(
-                keys,
-                [
-                    "WEBKIT_DISABLE_COMPOSITING_MODE",
-                    "WEBKIT_DISABLE_DMABUF_RENDERER"
-                ]
-            );
-        }
-    }
+    tglock_lib::gui::run()
 }
@@ -51,64 +51,31 @@ pub fn generate_secret() -> [u8; 16] {
    secret
 }

-/// Секрет прокси и то, лежит ли он на диске.
-pub struct StoredSecret {
-    pub value: [u8; 16],
-    /// Ошибка, из-за которой секрет не удалось сохранить.
-    ///
-    /// Если она есть, при следующем запуске секрет будет другим, ссылка
-    /// `tg://proxy` перестанет совпадать с сохранённой в Telegram, и Telegram
-    /// скажет «прокси настроен неверно и будет отключён». Раньше запись
-    /// провалившись молчала, и понять причину было невозможно
-    /// (by-sonic/tglock#37).
-    pub write_error: Option<String>,
-}
-
-impl StoredSecret {
-    /// Секрет действительно переживёт перезапуск.
-    pub fn is_persistent(&self) -> bool {
-        self.write_error.is_none()
-    }
-}
-
-/// Взять секрет из файла, создав его, если файла нет или он испорчен.
+/// Reuse the secret stored at `path`, creating it if it is missing or unusable.
 ///
-/// Секрет — половина ссылки `tg://proxy`, поэтому сервис, придумывающий новый
-/// при каждом старте, отключает всех уже настроенных клиентов.
-pub fn load_or_create_secret_at(path: &Path) -> StoredSecret {
+/// A daemon needs this: the secret is half of the `tg://proxy` link, so a
+/// service that invents a new one on every restart silently invalidates every
+/// client that was already configured.
+pub fn load_or_create_secret_at(path: &Path) -> [u8; 16] {
    if let Ok(value) = std::fs::read_to_string(path) {
-        if let Some(value) = parse_secret_hex(value.trim()) {
-            return StoredSecret {
-                value,
-                write_error: None,
-            };
+        if let Some(secret) = parse_secret_hex(value.trim()) {
+            return secret;
        }
    }

-    let value = generate_secret();
-    let write_error = store_secret(path, &secret_hex(&value))
-        .err()
-        .map(|error| format!("{}: {error}", path.display()));
-    StoredSecret { value, write_error }
-}
-
-fn store_secret(path: &Path, value: &str) -> std::io::Result<()> {
+    let secret = generate_secret();
    if let Some(parent) = path.parent() {
-        if !parent.as_os_str().is_empty() {
-            std::fs::create_dir_all(parent)?;
-        }
+        let _ = std::fs::create_dir_all(parent);
    }
-    write_secret_file(path, value)
+    write_secret_file(path, &secret_hex(&secret));
+    secret
 }

 #[cfg(not(test))]
-pub fn load_or_create_secret() -> StoredSecret {
+pub fn load_or_create_secret() -> [u8; 16] {
    match secret_path() {
        Some(path) => load_or_create_secret_at(&path),
-        None => StoredSecret {
-            value: generate_secret(),
-            write_error: Some("не удалось определить папку для секрета в этой системе".to_owned()),
-        },
+        None => generate_secret(),
    }
 }

@@ -138,21 +105,23 @@ fn secret_path() -> Option<PathBuf> {
 }

 #[cfg(unix)]
-fn write_secret_file(path: &Path, value: &str) -> std::io::Result<()> {
+fn write_secret_file(path: &Path, value: &str) {
    use std::io::Write;
    use std::os::unix::fs::OpenOptionsExt;
-    let mut file = std::fs::OpenOptions::new()
+    if let Ok(mut file) = std::fs::OpenOptions::new()
        .create(true)
        .truncate(true)
        .write(true)
        .mode(0o600)
-        .open(path)?;
-    file.write_all(value.as_bytes())
+        .open(path)
+    {
+        let _ = file.write_all(value.as_bytes());
+    }
 }

 #[cfg(not(unix))]
-fn write_secret_file(path: &Path, value: &str) -> std::io::Result<()> {
-    std::fs::write(path, value)
+fn write_secret_file(path: &Path, value: &str) {
+    let _ = std::fs::write(path, value);
 }

 pub fn secret_hex(secret: &[u8; 16]) -> String {
@@ -164,19 +133,6 @@ pub fn secret_hex(secret: &[u8; 16]) -> String {
    output
 }

-/// Разобрать секрет, записанный человеком.
-///
-/// Принимает и 32 hex-символа, и форму с префиксом `dd` — именно так секрет
-/// выглядит в ссылке `tg://proxy`, откуда его и копируют.
-pub fn parse_secret(value: &str) -> Option<[u8; 16]> {
-    let trimmed = value.trim();
-    let hex = trimmed
-        .strip_prefix("dd")
-        .filter(|rest| rest.len() == 32)
-        .unwrap_or(trimmed);
-    parse_secret_hex(hex)
-}
-
 fn parse_secret_hex(value: &str) -> Option<[u8; 16]> {
    if value.len() != 32 {
        return None;
@@ -545,105 +501,6 @@ mod tests {
        }
    }

-    #[test]
-    fn a_failed_write_is_reported_instead_of_swallowed() {
-        // Раньше ошибка записи выбрасывалась, секрет генерировался заново при
-        // каждом запуске, и Telegram говорил «прокси настроен неверно» без
-        // единой подсказки почему (by-sonic/tglock#37).
-        let blocker = std::env::temp_dir().join(format!(
-            "tglock-not-a-dir-{}-{:?}",
-            std::process::id(),
-            std::thread::current().id()
-        ));
-        std::fs::write(&blocker, "я файл, а не папка").unwrap();
-
-        // Родитель пути — обычный файл, поэтому создать каталог невозможно.
-        let stored = load_or_create_secret_at(&blocker.join("secret"));
-
-        assert!(
-            !stored.is_persistent(),
-            "неудачная запись обязана быть видна"
-        );
-        let error = stored.write_error.expect("должно быть сообщение об ошибке");
-        assert!(
-            error.contains("secret"),
-            "в сообщении должен быть путь, получено: {error}"
-        );
-        // Секрет всё равно выдан: прокси работает, просто до перезапуска.
-        assert_ne!(stored.value, [0; 16]);
-
-        let _ = std::fs::remove_file(&blocker);
-    }
-
-    #[test]
-    fn a_successful_write_reports_no_error() {
-        let path = std::env::temp_dir().join(format!(
-            "tglock-secret-ok-{}-{:?}",
-            std::process::id(),
-            std::thread::current().id()
-        ));
-        let _ = std::fs::remove_file(&path);
-
-        let first = load_or_create_secret_at(&path);
-        assert!(first.is_persistent(), "запись в temp должна удаваться");
-
-        // Второй запуск читает готовый файл и тоже не жалуется.
-        let second = load_or_create_secret_at(&path);
-        assert!(second.is_persistent());
-        assert_eq!(
-            first.value, second.value,
-            "секрет должен переживать перезапуск"
-        );
-
-        let _ = std::fs::remove_file(&path);
-    }
-
-    #[test]
-    fn accepts_a_secret_copied_from_a_tg_link() {
-        let expected = [
-            0x00, 0x11, 0x22, 0x33, 0x44, 0x55, 0x66, 0x77, 0x88, 0x99, 0xaa, 0xbb, 0xcc, 0xdd,
-            0xee, 0xff,
-        ];
-        // Обе формы: как в файле и как в ссылке tg://proxy.
-        assert_eq!(
-            parse_secret("00112233445566778899aabbccddeeff"),
-            Some(expected)
-        );
-        assert_eq!(
-            parse_secret("dd00112233445566778899aabbccddeeff"),
-            Some(expected)
-        );
-        // Пробелы по краям — обычное дело при копировании.
-        assert_eq!(
-            parse_secret("  dd00112233445566778899aabbccddeeff\n"),
-            Some(expected)
-        );
-        // Секрет, который сам начинается с dd и уже имеет полную длину, не
-        // должен потерять первый байт: префикс снимается только если после него
-        // остаётся ровно 32 символа.
-        assert_eq!(
-            parse_secret("dd112233445566778899aabbccddeeff"),
-            Some([
-                0xdd, 0x11, 0x22, 0x33, 0x44, 0x55, 0x66, 0x77, 0x88, 0x99, 0xaa, 0xbb, 0xcc, 0xdd,
-                0xee, 0xff,
-            ])
-        );
-    }
-
-    #[test]
-    fn rejects_malformed_secrets() {
-        for bad in [
-            "",
-            "dd",
-            "слишком коротко",
-            "00112233445566778899aabbccddee",     // 30 символов
-            "00112233445566778899aabbccddeeffff", // 34 символа
-            "zz112233445566778899aabbccddeeff",   // не hex
-        ] {
-            assert!(parse_secret(bad).is_none(), "{bad:?} должен быть отвергнут");
-        }
-    }
-
    #[test]
    fn parses_persisted_secret() {
        assert_eq!(
@@ -27,23 +27,12 @@ pub struct Stats {
    pub last_route: AtomicU8,
    transport: crate::transport::TransportEngine,
    secret: [u8; 16],
-    /// Почему секрет не удалось сохранить, если не удалось.
-    secret_write_error: Option<String>,
    shutdown: Mutex<Option<tokio::sync::watch::Sender<bool>>>,
 }

 impl Stats {
    pub fn new() -> Arc<Self> {
-        Self::with_stored_secret(initial_secret())
-    }
-
-    /// Построить с секретом, про который известно, сохранился он на диск или нет.
-    ///
-    /// Если не сохранился, при следующем запуске ссылка `tg://proxy` изменится и
-    /// Telegram скажет «прокси настроен неверно и будет отключён». Раньше это
-    /// происходило молча (by-sonic/tglock#37).
-    pub fn with_stored_secret(stored: crate::mtproto::StoredSecret) -> Arc<Self> {
-        Self::build(stored.value, stored.write_error)
+        Self::with_secret(initial_secret())
    }

    /// Build with an explicit proxy secret.
@@ -51,15 +40,6 @@ impl Stats {
    /// A daemon must pin this: the secret is half of the `tg://proxy` link, so
    /// generating a fresh one on restart breaks every configured client.
    pub fn with_secret(secret: [u8; 16]) -> Arc<Self> {
-        Self::build(secret, None)
-    }
-
-    /// Сообщение о том, почему секрет не сохранён, если он не сохранён.
-    pub fn secret_write_error(&self) -> Option<&str> {
-        self.secret_write_error.as_deref()
-    }
-
-    fn build(secret: [u8; 16], secret_write_error: Option<String>) -> Arc<Self> {
        Arc::new(Self {
            running: AtomicBool::new(false),
            active: AtomicU32::new(0),
@@ -70,7 +50,6 @@ impl Stats {
            last_route: AtomicU8::new(0),
            transport: crate::transport::TransportEngine::new(),
            secret,
-            secret_write_error,
            shutdown: Mutex::new(None),
        })
    }
@@ -79,16 +58,6 @@ impl Stats {
        crate::mtproto::telegram_secret(&self.secret)
    }

-    /// Сколько отдельных маршрутов не ответило.
-    ///
-    /// Отличается от `ws_failures`: тот растёт только когда упали все маршруты
-    /// и соединение не состоялось. Этот показывает перебор, который прошёл
-    /// незаметно — например, когда закреплённый адрес мёртв, а запасной
-    /// работает (by-sonic/tglock#32).
-    pub fn route_failures(&self) -> u32 {
-        self.transport.route_failures()
-    }
-
    pub fn set_worker_domain(&self, domain: &str) {
        let domains = domain
            .split([',', ';', ' '])
@@ -106,16 +75,13 @@ impl Stats {
 }

 #[cfg(not(test))]
-fn initial_secret() -> crate::mtproto::StoredSecret {
+fn initial_secret() -> [u8; 16] {
    crate::mtproto::load_or_create_secret()
 }

 #[cfg(test)]
-fn initial_secret() -> crate::mtproto::StoredSecret {
-    crate::mtproto::StoredSecret {
-        value: crate::mtproto::generate_secret(),
-        write_error: None,
-    }
+fn initial_secret() -> [u8; 16] {
+    crate::mtproto::generate_secret()
 }

 /// Claim the local port.
@@ -1,5 +1,4 @@
 use std::collections::HashMap;
-use std::sync::atomic::{AtomicU32, Ordering};
 use std::sync::Mutex;
 use std::time::{Duration, Instant};

@@ -114,14 +113,6 @@ struct HealthState {
 pub struct TransportEngine {
    health: Mutex<HealthState>,
    worker_domains: Mutex<Vec<String>>,
-    /// Сколько раз отдельный маршрут не ответил.
-    ///
-    /// Считается отдельно от `Stats::ws_failures`, который растёт только когда
-    /// упали ВСЕ маршруты. Из-за этого диагностика показывала «сбоев 0», пока
-    /// закреплённый адрес был недоступен и каждое холодное соединение молча
-    /// откатывалось на следующий маршрут, тратя на это до восьми секунд
-    /// (by-sonic/tglock#32).
-    route_failures: AtomicU32,
    #[cfg(test)]
    forced_routes: Mutex<Vec<Route>>,
 }
@@ -267,13 +258,7 @@ impl TransportEngine {
        health.preferred.insert(key, route.clone());
    }

-    /// Сколько отдельных маршрутов не ответило за время работы.
-    pub fn route_failures(&self) -> u32 {
-        self.route_failures.load(Ordering::Relaxed)
-    }
-
    fn record_failure(&self, route: &Route) {
-        self.route_failures.fetch_add(1, Ordering::Relaxed);
        let mut health = self.health.lock().unwrap();
        let failures = health
            .routes
@@ -370,6 +355,21 @@ pub fn routes_for_dc(dc: u16, media: bool) -> Vec<Route> {
    routes
 }

+/// Select the rustls cryptographic provider.
+///
+/// rustls 0.23 refuses to guess when the enabled features do not name exactly
+/// one provider, and the failure is a panic on the first TLS handshake — not a
+/// compile error and not something the offline tests can reach, because they use
+/// a plaintext local route. Installing it at the point of use means both
+/// frontends are covered without a startup hook.
+fn ensure_crypto_provider() {
+    static ONCE: std::sync::Once = std::sync::Once::new();
+    ONCE.call_once(|| {
+        // An error here means a provider is already installed, which is fine.
+        let _ = rustls::crypto::ring::default_provider().install_default();
+    });
+}
+
 async fn connect_route(route: &Route) -> Result<TelegramWebSocket, String> {
    let tcp = tokio::time::timeout(
        CONNECT_TIMEOUT,
@@ -407,14 +407,16 @@ async fn connect_route(route: &Route) -> Result<TelegramWebSocket, String> {
        .map_err(|error| format!("WebSocket handshake: {}", error));
    }

+    ensure_crypto_provider();
+
    // The URI host remains the real Telegram hostname even when the TCP socket
-    // is opened to a pinned IP. Native TLS therefore validates Telegram's
-    // certificate and sends the correct SNI.
-    let tls = native_tls::TlsConnector::new().map_err(|error| format!("TLS setup: {}", error))?;
-    let connector = tokio_tungstenite::Connector::NativeTls(tls);
+    // is opened to a pinned IP, so TLS validates Telegram's certificate and
+    // sends the correct SNI. Passing no connector makes tokio-tungstenite build
+    // the default rustls one, with the bundled webpki root store; certificate
+    // and hostname verification are never disabled.
    tokio::time::timeout(
        CONNECT_TIMEOUT,
-        tokio_tungstenite::client_async_tls_with_config(request, tcp, None, Some(connector)),
+        tokio_tungstenite::client_async_tls_with_config(request, tcp, None, None),
    )
    .await
    .map_err(|_| "TLS/WebSocket timeout".to_owned())?
@@ -672,35 +674,14 @@ mod tests {
    }

    #[test]
-    fn every_route_failure_is_counted() {
-        // Диагностика показывала «сбоев 0», пока закреплённый адрес был мёртв и
-        // соединения молча откатывались на запасной. Счётчик маршрутов должен
-        // видеть каждое такое падение.
-        let engine = TransportEngine::new();
-        let routes = routes_for_dc(2, false);
-        assert_eq!(engine.route_failures(), 0);
-
-        engine.record_failure(&routes[0]);
-        assert_eq!(engine.route_failures(), 1);
-
-        engine.record_failure(&routes[0]);
-        engine.record_failure(&routes[1]);
-        assert_eq!(
-            engine.route_failures(),
-            3,
-            "считаются все падения, включая повторные по тому же маршруту"
+    fn a_crypto_provider_is_available_for_tls() {
+        // Guards against the failure that compiles cleanly and passes every
+        // offline test, then panics on the first real connection to Telegram.
+        ensure_crypto_provider();
+        assert!(
+            rustls::crypto::CryptoProvider::get_default().is_some(),
+            "without an installed provider every TLS handshake panics"
        );
-
-        // Успех не обнуляет историю: она нужна, чтобы понять, что маршруты
-        // перебирались, даже когда в итоге всё соединилось.
-        engine.record_success(
-            DcKey {
-                dc: 2,
-                media: false,
-            },
-            &routes[1],
-        );
-        assert_eq!(engine.route_failures(), 3);
    }

    #[test]
@@ -1,7 +1,7 @@
 {
  "$schema": "https://schema.tauri.app/config/2",
  "productName": "TGLock",
-  "version": "2.0.0-beta.8",
+  "version": "2.0.0-beta.3",
  "identifier": "com.bysonic.tglock",
  "mainBinaryName": "tglock",
  "build": {
@@ -1,42 +0,0 @@
-# Настройки tglock-cli.
-#
-# Положите этот файл рядом с бинарём под именем tglock.toml — он подхватится
-# сам. Либо укажите путь явно: tglock-cli --config /etc/tglock.toml
-#
-# Все поля необязательны. Флаги командной строки перекрывают то, что здесь.
-
-# Адрес и порт локального прокси.
-# По умолчанию 127.0.0.1:1080 — доступ только с этого компьютера.
-# bind = "127.0.0.1"
-# port = 1080
-
-# Слушать 0.0.0.0, чтобы подключались другие устройства в сети.
-# Нельзя задавать одновременно с bind.
-# lan = true
-
-# Секрет прокси — вторая половина ссылки tg://proxy.
-#
-# Для сервиса его нужно закрепить, иначе после перезапуска секрет будет новым и
-# все настроенные клиенты перестанут подключаться. Достаточно один раз
-# запустить tglock-cli, скопировать секрет из напечатанной ссылки и вписать
-# сюда. Принимается и с префиксом dd, и без него.
-#
-# Файл с секретом внутри держите с правами 600: это доступ к вашему прокси.
-# secret = "dd00112233445566778899aabbccddeeff"
-
-# Либо хранить секрет в отдельном файле — он создастся при первом запуске.
-# Игнорируется, если задан secret выше.
-# secret_file = "secret"
-
-# Свои Cloudflare Worker'ы как резервный маршрут — на случай, когда у
-# провайдера легли все обычные маршруты. Установка описана в
-# docs/CLOUDFLARE_WORKER.md
-# worker = ["my-name.workers.dev"]
-
-# Пропускать и не-Telegram адреса.
-# На loopback это включено само. На сетевом адресе означает открытый
-# SOCKS5-прокси для всего интернета — включайте осознанно.
-# allow_direct = false
-
-# Печатать только ошибки.
-# quiet = false
@@ -10,11 +10,8 @@ type Status = {
  dataCenter: number | null;
  route: string;
  failures: number;
-  routeFailures: number;
  uptimeSeconds: number;
  port: number;
-  /// Адрес для других устройств. Приходит только в LAN-режиме.
-  shareAddress: string | null;
  logs: LogLine[];
 };

@@ -40,10 +37,8 @@ let status: Status = {
  dataCenter: null,
  route: "Маршрут ещё не выбран",
  failures: 0,
-  routeFailures: 0,
  uptimeSeconds: 0,
  port: 1080,
-  shareAddress: null,
  logs: [],
 };
 let settings: Settings = { lanMode: false, port: 1080, workerDomain: "" };
@@ -150,18 +145,6 @@ function renderHome(): void {
        <span>порт ${status.port}</span>
      </div>

-      ${status.shareAddress ? `
-      <div class="share-card">
-        <div class="share-label">Адрес для других устройств</div>
-        <button id="copy-address" class="share-address" title="Нажмите, чтобы скопировать">
-          ${escapeHtml(status.shareAddress)}
-        </button>
-        <div class="share-hint">
-          Впишите его в Telegram на телефоне. Не <code>127.0.0.1</code> — на другом
-          устройстве это означает само устройство.
-        </div>
-      </div>` : ""}
-
      <nav class="bottom-nav" aria-label="Разделы">
        <button id="settings-nav" class="nav-button">
          <span class="nav-icon">${icons.settings}</span>
@@ -177,7 +160,6 @@ function renderHome(): void {
  `, "home-page");

  document.querySelector("#power")?.addEventListener("click", toggleProtection);
-  document.querySelector("#copy-address")?.addEventListener("click", copyShareAddress);
  document.querySelector("#settings-nav")?.addEventListener("click", () => navigate("settings"));
  document.querySelector("#diagnostics-nav")?.addEventListener("click", () => navigate("diagnostics"));
 }
@@ -279,18 +261,8 @@ function renderDiagnostics(): void {
          <span>Время работы</span>
          <strong class="time">${formatUptime(status.uptimeSeconds)}</strong>
        </article>
-        <article class="metric-card">
-          <span>Падений маршрутов</span>
-          <strong>${status.routeFailures}</strong>
-        </article>
      </div>

-      <p class="field-hint">
-        «Падений маршрутов» больше нуля при работающем Telegram — это норма:
-        значит закреплённый адрес недоступен и подключение идёт через запасной.
-        Число в багрепорте помогает понять, что именно перебиралось.
-      </p>
-
      <div class="log-panel">
        <div class="log-heading">
          <span>Последние события</span>
@@ -384,18 +356,6 @@ async function saveSettings(event: Event): Promise<void> {
  }
 }

-async function copyShareAddress(): Promise<void> {
-  const address = status.shareAddress;
-  if (!address) return;
-  try {
-    await navigator.clipboard.writeText(address);
-    showToast("Адрес скопирован");
-  } catch {
-    // Буфер обмена может быть недоступен — адрес и так виден на экране.
-    showToast("Скопируйте адрес вручную", true);
-  }
-}
-
 function showToast(message: string, error = false): void {
  window.clearTimeout(toastTimer);
  window.requestAnimationFrame(() => {
@@ -847,53 +847,3 @@ input:disabled {
      0 19px 52px rgba(9, 182, 133, 0.4);
  }
 }
-
-/* Адрес для подключения других устройств. Показывается только в LAN-режиме:
-   люди искали его в интерфейсе, не находили и вписывали 127.0.0.1, который на
-   телефоне означает сам телефон (by-sonic/tglock#36). */
-.share-card {
-  margin-top: 14px;
-  padding: 14px 16px;
-  border-radius: 14px;
-  background: rgba(42, 171, 238, 0.08);
-  border: 1px solid rgba(42, 171, 238, 0.24);
-  text-align: center;
-}
-
-.share-label {
-  font-size: 12px;
-  letter-spacing: 0.02em;
-  color: var(--text-muted, #8b949e);
-}
-
-.share-address {
-  display: block;
-  width: 100%;
-  margin: 6px 0 8px;
-  padding: 6px 8px;
-  border: 0;
-  border-radius: 10px;
-  background: transparent;
-  color: var(--accent, #2aabee);
-  font-family: ui-monospace, SFMono-Regular, Menlo, Consolas, monospace;
-  font-size: 20px;
-  font-weight: 600;
-  cursor: pointer;
-  transition: background 150ms ease;
-}
-
-.share-address:hover,
-.share-address:focus-visible {
-  background: rgba(42, 171, 238, 0.14);
-}
-
-.share-hint {
-  font-size: 11px;
-  line-height: 1.45;
-  color: var(--text-muted, #8b949e);
-}
-
-.share-hint code {
-  font-family: ui-monospace, SFMono-Regular, Menlo, Consolas, monospace;
-  font-size: 11px;
-}