WMRглава 7 из 7
Прокат работает ночами и в выходные, поэтому системе нужен свой сервер, обновления без инженера на связи и копии, которые переживут сгоревший диск. WMR ставится на сервер компании, сам снимает бэкапы и отправляет зашифрованные копии в ваше хранилище. Содержимое базы разработчику не передаётся, кроме того, что сотрудник сам приложит к отчёту об ошибке.
WMR ставится на сервер или VPS вашей компании: клиенты, сметы, цены, склад, сотрудники, платежи и Казна живут там. Сведения о сотрудниках, клиентах, договорах, сметах и расчётах разработчику не передаются, кроме отчёта об ошибке: так записано в § 7 Политики конфиденциальности. Увидеть ваши данные он может, только если вы сами позовёте его на разовую техподдержку или сотрудник сам приложит скриншот к отчёту об ошибке: снимок уходит целиком, и форма об этом предупреждает (п. 7.6).
Наружу уходит служебный обмен, внутрь — обновления. Раз в сутки — проверка лицензии: ключ, версия, число учётных записей, обезличенный отпечаток и загрузка сервера; сервер лицензий видит и её сетевой адрес. По событию — имя сервера и команды запущенного администратором бэкапа или восстановления, описание ошибки сорванного обновления. Контроль целостности — имя сервера, версия, номера затронутых записей и количества, без названий оборудования, проектов и клиентов. Для техподдержки агент обновлений сообщает версию, прошла ли последняя копия и сколько было ошибок по типам, без текста ошибок и содержимого базы.
Зачем этоКлиенты, цены и сметы не лежат в чужом облаке, где их читает сервис.
WMR ставят на собственный сервер компании или арендованный VPS, на Linux или macOS. Число пользователей не ограничено: серверу лицензий сообщается, сколько учётных записей активно, но только как сведение, доступ от этого не зависит. Ролей — сколько нужно: роль — это набор галок прав, новая заводится кнопкой «Создать роль».
Ключ сверяется раз в сутки, без связи система работает ещё 7 дней.
Зачем этоЦена не растёт вместе со штатом, а работа не зависит от чужого облака.
Ночная копия уезжает в облако по WebDAV или на ваш сервер и NAS по SFTP. Архив шифруется AES-256-GCM парольной фразой компании, которой нет даже у разработчика. Отправка не включится, пока не скачан файл ключа восстановления, а рядом с копией кладётся расшифровщик на Python: данные можно достать и без WMR.
Для медленного канала есть режим «только база», неотправленные копии досылаются в следующие ночи.
Зачем этоСгоревший диск, украденный сервер или отказ хостинга не уносят все резервные копии.
То, что файл уехал, ещё не значит, что из него можно восстановиться. Поэтому раз в семь дней ночной бэкап скачивает последнюю внешнюю копию, расшифровывает её, сверяет контрольные суммы и делает пробное восстановление.
В карточке назначения отдельными строками видны оба ответа: уехала ли копия и годна ли она.
Зачем этоО битой копии компания узнаёт в спокойный день, а не в день аварии.
Каждую ночь система складывает в один архив основную базу, базы удалённых складов и файлы. В папку бэкапов архив попадает только целым и проверенным. Архивы старше 30 дней удаляются, но три последних проверенных остаются всегда. Копию можно снять и скачать вручную.
При восстановлении с очисткой копия сначала читается целиком: если в ней есть повреждение, процесс не начинается, и данные не тронуты.
Зачем этоМесяц незамеченных сбоев не уничтожит последнюю рабочую копию.
В настройках видны текущая версия и есть ли новый выпуск. После нажатия «Обновить сейчас» агент на сервере сначала снимает бэкап базы. Если бэкап не получился, обновление не начинается. Затем агент раскладывает файлы новой версии, обновляет базу и перезапускает приложение.
Журнал всех шагов идёт на экран, а после перезапуска страница сама показывает итог.
Зачем этоНовые версии доезжают без выезда программиста, и у каждого обновления есть точка возврата.
Когда подписка истекает, система переходит в режим «только чтение»: данные видно и можно выгрузить, но изменения не сохраняются. Если связи с сервером лицензий нет больше 7 дней или лицензия заблокирована, открывается экран блокировки. Но и на нём администратор может снять и скачать бэкап.
Сканирование QR на складе от проверки лицензии освобождено.
Зачем этоДоступ к собственной базе у прокатчика не отнимут ни при каком споре о лицензии.
Роль в WMR — набор прав, который хранится в базе: 64 права в 7 разделах, 6 готовых ролей и сколько угодно своих. Галочки ставятся в редакторе роли или сразу в сводной матрице, зависимые права подтягиваются сами.
Сервер не даст отрезать себе доступ: нельзя снять у своей роли управление пользователями и остаться без единой роли, которая им управляет.
Зачем этоКладовщик не видит денег, техник видит только своё, и это меняется за минуту.
Коллегу или подрядчика можно пустить в конкретный проект, а не во всю систему. «Доп. доступ» на проекте даёт минимум — видеть смету, а дальше отдельными флагами включаются правка сметы, просмотр цен, выгрузка сметы, умная погрузочная и её выгрузка, управление персоналом, другие вкладки и документы.
Зачем этоФрилансеру или партнёру открывают один проект, не показывая ему всю базу.
«Сообщить об ошибке» есть на каждой странице. В отчёт идут описание, до 10 скриншотов и технический журнал последних 5 минут: шаблоны адресов, коды ответов, время и классы ошибок, без их текста и без данных. Перед отправкой видно, что именно уйдёт, а форма предупреждает: скриншоты уходят целиком.
Пока компания не включит эту функцию, она выключена, а отправить отчёт может только сам сотрудник.
Зачем этоОшибку чинят по фактам, а не по пересказу «оно как-то не сохранилось».
Субаренду, Казну, логистику, пропуска и ещё два десятка разделов компания отключает у себя одной галкой; сметы, календарь и каталог — ядро. Выключенный модуль пропадает из меню, а его страницы закрываются и на сервере, а не только в интерфейсе.
Сейчас в WMR доступны все модули. В будущем появится оплата по модулям отдельно — каждый будет платить ровно за то, что ему нужно.
Зачем этоНебольшой прокат не тонет в функциях крупного, а крупный включает всё нужное.
Администратор выбирает роль и видит систему так, как её увидит, например, кладовщик: скрытые разделы, закрытые страницы, спрятанные цены. Прямо там можно включать и выключать отдельные права. Это песочница: изменения живут только в текущем сеансе и базу не трогают.
Когда картина устраивает, одна кнопка записывает набор в настоящую роль с теми же защитами, что и в редакторе ролей, а «Сбросить» возвращает всё как было.
До раскладки файлов агент проверяет архив и делает пробный прогон изменений базы. При ошибке он останавливается, ничего не тронув. Если сорвался перенос данных уже после раскладки, перезапуска нет: работающие процессы продолжают обслуживать сотрудников, и новая версия не стартует на недоперенесённых данных.
Три последних выпуска, установленных из архива, хранятся на сервере, и откатиться на них можно без интернета. Откат тоже начинается только после бэкапа и отказывает, если снимаемая версия меняла структуру базы. Откат запускает служба поддержки, отдельной кнопки у клиента нет.
Система записывает успешные и неудачные входы с IP и браузером, отказы в доступе, выгрузки смет и проектов, изменения ролей и модулей, обращения по API-токенам с указанием раздела. Тысяча попыток подобрать пароль складывается в одну строку со счётчиком.
Удаления записываются, каким бы путём они ни случились, а каскад ложится одной сводкой. Пароли и токены в журнал не попадают. Журнал хранится 180 дней. Администратор сервера читает журнал отдельной командой с фильтрами и выгрузкой в CSV.
Процессор, память, диск, размер базы и время работы сервера видны на вкладке «Система» и обновляются каждые 15 секунд; полоса желтеет от 60% и краснеет от 85%. Раз в час снимается снимок метрик, история хранится 30 дней. Для администратора сервера есть самопроверка баз, места на диске и Redis, а логи сервера читаются, фильтруются и скачиваются прямо в интерфейсе. Разработчику агент сообщает дату и размер последнего бэкапа, итог последнего обновления и сводку ошибок за сутки: только типы ошибок и места в коде, без названий проектов, имён и сумм.
При обновлении из выпускного архива скачанный файл проходит три проверки: контрольную сумму SHA-256, подпись RSA-PSS встроенным открытым ключом и отсутствие опасных путей внутри архива. Без подписи такой выпуск не ставится. Сервер лицензий управляет агентом подписанными запросами: ключ лицензии в них не передаётся, а ответ агента подписан под конкретный запрос, поэтому подменить или повторить его по дороге нельзя. На переходный период агент ещё принимает и прежний способ входа. Ключ лицензии не виден и в списке процессов сервера.
Оферта, пользовательское соглашение, политика и согласие на обработку персональных данных хранятся по версиям с хешем текста и обновляются вместе с программой. Пока пользователь не принял актуальную редакцию, система отправляет его на страницу принятия; каждый акцепт сохраняется с IP, браузером и временем, а журнал выгружается в CSV. Сотрудник сам может скачать свои данные, отозвать согласие или удалить аккаунт, бухгалтерские поля при этом сохраняются. На случай утечки у администратора есть пошаговая инструкция со сроком уведомления 24 часа.
Сканы документов сотрудников, вложения к остановкам рейсов, бухгалтерские ведомости, документы компании и проектов и скриншоты отчётов об ошибках лежат в отдельном закрытом каталоге, куда веб-сервер не смотрит, и скачиваются только через страницы с проверкой прав. Обновление этот каталог не трогает, а восстановление из старой копии само переносит такие файлы из открытого каталога. Документы сотрудников и оборудования проверяются по содержимому, а не только по расширению, а из фото склада удаляются координаты и данные устройства.
Каждое открытие формы оплаты или выплаты получает свой ключ. Двойной щелчок, повтор после оборванной связи, вторая вкладка или «Назад» с повторной отправкой возвращают уже проведённую операцию, а не заводят новую. Так защищены платежи клиентов, оплаты субаренды и поставщикам, выплаты персоналу, менеджерам и перевозчикам, расходы и премии, в том числе из мобильного кабинета.
Шесть мастеров импорта — каталог, смета, клиенты, сотрудники с транспортом, доверенный поставщик и каталог субаренды — работают в три шага: загрузить файл, сопоставить колонки (система угадывает их по заголовкам) и импортировать. Каталог понимает типовой прокатный прайс, где разделы и бренды определяются по жирности и заливке ячеек. Колонка «Внешний ID» позволяет залить поправленный файл повторно и обновить позиции вместо дублей, а два нажатия «Импортировать» на один файл не зальют строки дважды.
Проставление позиций по дням на проекте из 23 человек и 5 дней раньше занимало почти 5 секунд, теперь меньше секунды: деньги пересчитываются один раз на операцию, а не на каждый день. Страница сметы в своё время стала читать базу вдвое реже, обновление строки — вчетверо реже, дерево каталога кешируется, а для поиска по каталогу, сотрудникам и клиентам стоят триграммные индексы PostgreSQL. Бэкап и шифрование копий идут потоком и не раздувают память.
Django 6 и Python 3.13, PostgreSQL 17, gunicorn за nginx; если Redis упал, система продолжает работать без него. Документы собираются через ReportLab, openpyxl и python-docx, световые планы распознаются связкой pdfplumber и Tesseract. Под этим около 305 тысяч строк кода на Python, около 190 моделей данных и около 29 тысяч тестовых функций, которые гоняются в трёх часовых поясах, а сотни проверок числа запросов к базе не дают страницам медленно разрастаться. На странице «Что нового» видна скорость выпусков: в сентябре 2026 года вышло почти 200 версий вместе с исправлениями.