Support signed deb self-updates with system authorization in 0.1.4

PLAN.md

@@ -91,6 +91,30 @@
 - [ ] Проверить установку и самообновление Windows/macOS перед публикацией
   пакетов этих платформ; Authenticode/notarization остаются отдельными задачами.
 
+## Обновление DEB 0.1.4: 2026-09-10
+
+- [x] Отдельный подписанный deb entry, определение установленного формата
+  и сохранение AppImage-совместимости для клиентов 0.1.3.
+- [x] Одно системное подтверждение через pkexec. Root helper до запуска GUI
+  повторно проверяет подписи и точные Package/Version/Architecture, получает
+  только bounded bytes через stdin и устанавливает пакет из root-only staging.
+  Пароль не попадает в лаунчер; отмена не открывает запасные окна авторизации.
+- [x] Dpkg отказывается от downgrade и сохраняет системную блокировку пакетов.
+  Ошибки частичной установки не маскируются; автоматических повторов нет.
+  Read-only inspection имеет ограничение вывода и времени для группы процессов;
+  работающий dpkg не прерывается таймаутом посреди изменения пакета.
+- [x] 32 UI-теста, TypeScript/Vite и 12 браузерных сценариев с mock IPC;
+  18 publisher-тестов с настоящими minisign и deb, включая переход feed 0.1.3.
+- [x] 84 native-теста прошли. Реальный root-helper в изолированном Ubuntu 26.04
+  прошёл 10 сценариев: установка подписанного 0.1.4, повреждения, неверные
+  права/временный каталог, занятый dpkg, повтор и защита от downgrade.
+  Dpkg подтвердил версию, тестовый маркер профиля сохранён. GUI-подтверждение
+  PolicyKit этим контейнерным прогоном не проверялось; отмена покрыта UI/unit.
+- [x] Опубликованы подписанные AppImage/deb 0.1.4, проверены байты feed и deb,
+  обе кнопки сайта и системная инструкция. Backend: 404 tests + 48 subtests,
+  Ruff clean. Minecraft не перезапускался, данные аккаунтов не менялись.
+  Deb 0.1.3 и ниже требуют первого ручного обновления до 0.1.4.
+
 ## Связанные серверные риски
 
 Серверный план находится в `/root/shacraft/PLAN.md`. Для admission обязательны