Документация: TelegramAuth + TelegramAuthBot (вход в Lampa через Telegram)

- README: пара Community-модулей, гейт (условия активации), конфиг, отличие от Tg-notify,
  состояние у нас (выключены, accsdb нет)
- AGENT.md: правило 12 — механика, mutations_api_secret, не путать с Tg-notify

AGENT.md

@@ -120,3 +120,9 @@ docker exec lampac sh -c '...'  # осмотр состояния в конте
 - Данные подписок: `database/tgnotify/{users.json,subscriptions.json}` (том `./database/`, в .gitignore). Не «чинить» вручную — это живые данные бота.
 - Диагностика: `GET /tg-notify.js` (200 без авторизации), `GET /api/tg/voices` (200), `/api/tg/*` остальной — требует `user_uid`. Озвучки могут не работать, если балансеры недоступны (проверить `GET /lite/mirage` — тело `disable`/ошибка, `/lite/collaps` — 503); тогда уведомления приходят только о выходе серий.
 - `kp_api_key` опционален: без него VideoHub резолвит `kinopoisk_id` только через мост `/externalids` (покрытие ~40%), иначе — молча пропускается, Mirage/Collaps работают.
+
+### 12. TelegramAuth / TelegramAuthBot (вход через Telegram)
+
+- Не путать с Tg-notify.bot (уведомления): эта пара — **аутентификация** (вход в Lampa через Telegram вместо пароля), группа Community, в образе выключена (`SkipModules` + `enable: false`).
+- Гейт (`LampaWeb.telegramAuthGate`) активен только при `accsdb.enable: true` + `telegramAuthGate.enabled: true` + непустом `botUsername`, иначе тихий откат на `deny.js`. У нас `accsdb` не включён — связка неактуальна, включать только вместе с `accsdb`.
+- `mutations_api_secret` одинаковый в обоих модулях, ненулевой в проде; `bot_token` — в `init.conf`, не коммитить (см. правило 10).

README.md

@@ -191,6 +191,40 @@ rm -rf cache/static/59   # bucket /extensions; либо rm -rf cache/static
 - `bot_token` **пуст** → long polling не работает (лог: `[TelegramBot] Установите bot_token…`); уведомления придут только после заполнения токена.
 - Трекинг озвучек зависит от балансиров: на текущий момент `GET /lite/mirage` → тело `disable`, `GET /lite/collaps` → `503` — до тех пор, пока они не будут доступны (или не включится `lampac_token` при защите), бот будет уведомлять только о выходе серий (TMDB/Trakt).
 
+## TelegramAuth + TelegramAuthBot: вход в Lampa через Telegram
+
+Пара модулей из группы **Community** — замена пароля аккаунта подтверждением в Telegram (сценарий: ТВ, где вводить пароль неудобно). Не путать с Tg-notify.bot — тот только уведомляет о сериях.
+
+- **`TelegramAuth`** — серверная часть: хранение пользователей/устройств, HTTP API `/tg/auth/*`, синхронизация UID в `accsdb`; **Telegram Auth Gate** — вместо экрана `deny.js` (модалка пароля) показывает fullscreen-оверлей с UID, кнопкой «Открыть Telegram» и QR-кодом на крупных экранах.
+- **`TelegramAuthBot`** — long-polling бот: пользователь открывает бота (`/start link_{uid}` или отправляет UID), бот сам вызывает `POST /tg/auth/bind/complete`; есть админ-команды. HTTP UI нет.
+
+Активация гейта — только при трёх условиях сразу: `accsdb.enable: true` + `LampaWeb.telegramAuthGate.enabled: true` + непустой `botUsername`. Иначе тихий откат на `deny.js`.
+
+Конфиг (по образцу `init.merge.example.json` модулей):
+
+```json
+"TelegramAuth": {
+  "enable": true,
+  "mutations_api_secret": "SECRET"
+},
+"TelegramAuthBot": {
+  "enable": true,
+  "bot_token": "ТОКЕН_ОТ_BOTFATHER",
+  "mutations_api_secret": "SECRET"
+},
+"LampaWeb": {
+  "telegramAuthGate": {
+    "enabled": true,
+    "botUsername": "имя_бота_без_@",
+    "serviceName": "lampa"
+  }
+}
+```
+
+`mutations_api_secret` должен совпадать в обоих модулях и быть ненулевым — защищает `bind/complete` и бот-админку; вместе с `bot_token` не публиковать. Оба модуля выключены в `base.conf` (`SkipModules`) и в манифестах (`enable: false`).
+
+**Состояние у нас:** выключены, `accsdb` в `init.conf` не включён → гейт неактивен, используем беззащитный доступ + root-пароль AdminPanel. Включать связку имеет смысл вместе с `accsdb` (защита сервера учётными записями).
+
 ## Обновление Lampac
 
 ```bash