Session log: trackme rename, menu security, auth forms, logout fix, record buttons

docs/session-logs/2026-10-26_live-location-and-sms.md

@@ -66,6 +66,35 @@
   устройстве НЕ проверено: телефон не был подключён на момент сборки. Поставить и проверить:
   (1) пуш координат и карту `/live` под key55; (2) выбор контакта и отправку СМС.
 
+## Доработки в той же сессии (по правкам пользователя)
+- Проверено на устройстве (build 0.1.527/0.1.528, Android 15, NX725J): трекинг работает,
+  СМС отправляется и точка на Яндекс.Картах ставится.
+- Переименование live -> **trackme** целиком: страница `/trackme`, API `/api/trackme/push`+`/pos`,
+  файлы `db/trackme.json`/`trackme_config.json`, дефолтный URL в приложении + авто-миграция
+  старого `/api/live/push` в localStorage.
+- Вкладка **«Track me»** встроена в сайт (iframe, как другие), стили сайта; статус-бар не
+  перекрывает зум (зум справа-внизу), «овал»-индикатор убран (статус словами).
+- **Безопасность показа**: пункт меню вставляет СЕРВЕР (`serve_index`) только зрителю из
+  allow-list; у неавторизованного в отданном HTML НЕТ следа, что страница есть. Прямой
+  `/trackme.html` для неавторизованного закрыт. Проверено curl: 0 упоминаний trackme.
+- **Логаут чинён**: `read_request_body` падал на пустом теле POST (`JSON.parse(rb.join("")||{})`
+  парсил объект) -> запрос висел без ответа. Пустое тело -> `"{}"`. После входа/выхода страница
+  перезагружается, меню перерисовывается.
+- **Формы входа/регистрации/смены пароля** (botovod): настоящие `<form>` + autocomplete
+  (username/current-password/new-password) + Credential Management API -> браузер предлагает
+  сохранить и придумать пароль (SRP сам пароль не сабмитит, поэтому эвристика не срабатывала).
+- **key55**: сброшен на временный пароль (сменил сам и не мог войти), проверено реальным SRP-входом.
+- Тогглы в профиле (TEF/питьё/трансляция) были растянуты в пустые прямоугольники
+  (`.form-group input{width:100%}`) - сделан класс `.toggle` (переключатель).
+- Экран записи: `LIVE` (тоггл трансляции, работает на ходу - LiveShare перечитывает конфиг
+  каждый тик) и `СМС` квадратами слева внизу, напротив правой группы. СМС - только ссылка
+  (ASCII, один GSM-7 SMS).
+- Поворот (системный автоповорот сам включается) и краш на Android 15 при открытии контакта
+  из приватного профиля - **НЕ baldav**: в коде нет WRITE_SETTINGS/Settings.System/screenOrientation;
+  после запуска baldav `accelerometer_rotation` остался 0; краш не воспроизвёлся. Происходит и на
+  родном лончере (не Fossify). Защитный портрет-лок пользователь решил НЕ делать.
+- baldav запушен (origin 38.146.25.139). botovod - без git-remote, деплой копированием на VPS.
+
 ## TODO (следующий этап live-локации, записано со слов пользователя)
 - Отправлять на VPS все сохранённые маршруты из меню baldav + слать id маршрута вместе с
   координатами; опционально показывать сохранённые «проезженные дороги» как в baldav; key55