feat(render): raport PDF przez LaTeX jako osobna usluga (PRE-24)

Ostatnia z osmiu wskazowek partnerow. Nowa usluga services/render sklada raport:
generuje plik posredni .tex i kompiluje go XeLaTeX-em do PDF.

OSOBNY komponent, nie czesc prezentacji — ta sama zasada co przy izolacji
swissepha (LOG-27). TeX Live wazy setki megabajtow; w obrazie produktu
spowalnialby kazdy build, a tak aktualizuje sie niezaleznie i jego awaria nie
kladzie aplikacji, tylko przycisk „Pobierz PDF".

SZYFROWANIE, o ktore prosiles: lacze prezentacja↔render idzie tak samo jak
pozostale, ale z WLASNYM, TRZECIM kluczem (LINK_KEY_PRESENTATION_RENDER). Osobny,
bo tym laczem plynie CALY raport — dane urodzeniowe i opisy z baz — wiec przejecie
go nie moze otwierac lacza do logiki ani do danych. Fail-closed: bez klucza pod
nie wstaje. Test kopii link_crypto obejmuje teraz cztery uslugi.

Uklad PDF wg prosby: imie i nazwisko -> wprowadzone dane -> RYSUNEK kosmogramu
-> interpretacja natalna -> predykcje okresowe. Test pilnuje kolejnosci.

Dwie rzeczy, ktore wyszly dopiero przy skladaniu tego kawalka:

1. KOSMOGRAM NIE NADAWAL SIE DO PDF. Uzywa zmiennych CSS (var(--line)) i klasy
   .glyph, ktorej font podaje styles.css — a samodzielny konwerter SVG→PDF nie zna
   naszego arkusza. Wyszlyby czarne kreski BEZ SYMBOLI. Stad wariant „print":
   konkretne kolory na bialym tle i font glifow wpisany wprost w rysunek. Przy
   okazji zalatwia to etap 4 planu kola (wariant do druku).

2. UCIECZKA ZNAKOW LATEXA byla zepsuta — i zlapal to moj wlasny test. Zamiana
   „\” na \textbackslash{} szla w tej samej petli co nawiasy, wiec kolejne
   podmiany ucieklyby nawiasy dopiero co wstawione: wychodzilo
   \textbackslash\{\}. Poprawka: ukosnik chowany pod znacznik zastepczy i
   rozwijany na koncu. To nie kosmetyka — niezauwazony „%” komentuje RESZTE LINII,
   wiec zdanie od modelu urywaloby sie w polowie, a PDF powstawalby normalnie,
   tylko krotszy. Test na wrogim tekscie sprawdza tez, ze \end{document} ani
   \input{} nie wyrwa sie z dokumentu.

Usluga nie zapisuje nic poza katalogiem tymczasowym, ktory sprzata po sobie;
w manifescie readOnlyRootFilesystem + emptyDir na /tmp. /health raportuje
obecnosc xelatex i rsvg-convert, zeby zepsuty obraz bylo widac od razu.

Zweryfikowane na zywo (TestClient uslugi render): zadanie bez szyfrowania
z POPRAWNYM tokenem -> 400; obcy klucz -> 400 i tajny opis nie wraca; wlasciwy
klucz -> zadanie dochodzi do aplikacji, tresci baz NIE MA na kablu, odpowiedz
zaszyfrowana. Manifesty przechodza kubectl apply --dry-run=server na zywym
klastrze.

CZEGO NIE SPRAWDZILEM: samej kompilacji PDF. W tym srodowisku nie ma ani TeX
Live, ani dzialajacego runtime'u kontenerow (docker CLI jest, daemon nie) —
probowalem zbudowac obraz i sie nie dalo. Sprawdzone jest wszystko dookola:
generowanie .tex, ucieczka znakow, szyfrowanie, kontrakt API, samowystarczalnosc
SVG. Pierwsze uruchomienie na klastrze trzeba obejrzec — dlatego PRE-24 zostaje
jako „W trakcie", nie „Zrobione".

Instrukcja wdrozenia: docs/wdrozenie-render-pdf.md (klucz, obraz, merge,
weryfikacja, znane ograniczenia).

Testy: 15 nowych (render) + 14 (lacze i wariant druku w prezentacji).
Calosc: prezentacja 131, logika 265/1 skip, render 15.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.gitea/workflows/tests.yml

@@ -82,25 +82,51 @@ jobs:
       - name: docker build
         run: docker build -t astrololo/engine-swisseph:ci services/engine-swisseph
 
-      - name: Smoke test (health + pozycje)
+      # Test biegnie WEWNĄTRZ obrazu, bez sieci i bez kontenera w tle. Poprzednia
+      # wersja startowała kontener w tle (--name swe) i pukała curl-em w
+      # localhost:8003 — co miało dwie wady:
+      #   1. nie sprzątała kontenera, więc każdy kolejny przebieg padał na
+      #      konflikcie nazwy (Conflict. The container name "/swe" is already in use),
+      #   2. job Gitea Actions sam działa w kontenerze, a -p publikuje port na
+      #      HOŚCIE — więc localhost joba to nie ten sam localhost.
+      # Wywołanie funkcji endpointów wprost omija oba problemy, a sprawdza to samo:
+      # obraz się zbudował, pyswisseph liczy, kontrakt /positions się zgadza.
+      # --rm gwarantuje, że nic nie zostaje po przebiegu.
+      - name: Smoke test (health + pozycje) wewnątrz obrazu
         run: |
-          docker run -d --name swe -p 8003:8003 astrololo/engine-swisseph:ci
-          for i in $(seq 1 30); do
-            curl -fsS http://localhost:8003/health >/dev/null 2>&1 && break
-            sleep 1
-          done
-          curl -fsS http://localhost:8003/health
-          echo
+          docker run --rm astrololo/engine-swisseph:ci python - <<'PY'
+          from datetime import datetime, timezone
+
+          from app.main import DEFAULT_OBJECTS, PositionsRequest, health, positions
+
+          h = health()
+          assert h["status"] == "ok", h
+          print("health:", h)
+
           # Horoskop referencyjny (30.04.1984) — ten sam, na którym opieramy testy
           # silnika własnego; sprawdzamy, że silnik B faktycznie liczy.
-          curl -fsS -X POST http://localhost:8003/positions \
-            -H 'Content-Type: application/json' \
-            -d '{"when_utc":"1984-04-30T09:20:00Z","lat":50.0647,"lon":19.9450}'
-          echo
+          req = PositionsRequest(when_utc=datetime(1984, 4, 30, 9, 20, tzinfo=timezone.utc),
+                                 lat=50.0647, lon=19.9450)
+          out = positions(req)
+          by = {p["name"]: p for p in out["positions"]}
 
-      - name: Logi kontenera (gdy coś padło)
-        if: failure()
-        run: docker logs swe || true
+          assert out["engine"] == "swisseph", out["engine"]
+          assert len(by) == len(DEFAULT_OBJECTS), sorted(by)
+          sun = by["Sun"]["longitude"]
+          assert 39.5 < sun < 41.0, f"Slonce poza oczekiwanym zakresem: {sun}"
+          nn, sn = by["North Node"]["longitude"], by["South Node"]["longitude"]
+          assert abs(((sn - nn) % 360.0) - 180.0) < 1e-6, (nn, sn)
+
+          print(f"Sun={sun:.4f}  NN={nn:.4f}  obiektow={len(by)}")
+          print("SMOKE OK")
+          PY
+
+      # Sprzątanie po POPRZEDNICH przebiegach starej wersji workflow, która
+      # zostawiała kontener „swe" na runnerze i blokowała nazwę. Nowa wersja
+      # kontenera w tle nie tworzy, więc to tylko jednorazowe uprzątnięcie.
+      - name: Usuń osierocony kontener ze starych przebiegów
+        if: always()
+        run: docker rm -f swe 2>/dev/null || true
 
   compile-all:
     name: Kontrola składni wszystkich warstw

docs/wdrozenie-pre16.md

@@ -0,0 +1,296 @@
+# Wdrożenie PRE-16 — HTTPS na wejściu i szyfrowanie łączy między warstwami
+
+Instrukcja krok po kroku. **Kolejność ma znaczenie** — punkt „Dlaczego taka
+kolejność" niżej tłumaczy, co się stanie, jeśli ją zamienić.
+
+Dotyczy dwóch pull requestów:
+
+| Repo | PR | Co wnosi |
+|---|---|---|
+| `gitea/astrololo` | [#21](https://gitea.czernobog.pl/gitea/astrololo/pulls/21) | kod: szyfrowanie łączy, limit żądań za proxy |
+| `gitea/deploy` | [#4](https://gitea.czernobog.pl/gitea/deploy/pulls/4) | manifesty: Ingress, certyfikat, klucze łączy |
+
+---
+
+## Co się właściwie zmienia
+
+**Na wejściu do aplikacji.** Dotąd logowanie szło przez HTTP Basic po zwykłym
+http — czyli hasło leciało siecią w postaci trywialnej do podsłuchania (base64 to
+nie szyfrowanie). Po zmianie wejście jest po https, a http odsyła na https.
+Przy okazji **odblokowują się dwie funkcje zepsute dziś z tego samego powodu**:
+geolokalizacja („Tu i teraz") i kopiowanie promptu do schowka działają wyłącznie
+w tzw. secure context i po http po prostu odmawiały.
+
+**Między warstwami.** Prezentacja, logika i dane rozmawiały ze sobą otwartym
+tekstem wewnątrz klastra. Token międzywarstwowy mówił *kto* pyta, ale nie ukrywał
+*czego dotyczy odpowiedź* — a płyną nią surowe wiersze oryginalnych baz. Teraz
+każde ciało żądania i odpowiedzi jest szyfrowane **AES-256-GCM**, osobnym kluczem
+na każdą parę rozmówców.
+
+**Wejście na świat pozostaje jedno: prompt do modelu.** Ta zmiana niczego tu nie
+rusza — dotyczy wyłącznie ruchu wewnątrz sieci i wejścia z przeglądarki.
+
+---
+
+## Zanim zaczniesz — stan wyjściowy
+
+```bash
+kubectl -n astrololo get deploy,svc
+kubectl -n astrololo get secret                 # powinny być: astrololo-auth, gitea-registry
+kubectl -n kube-system get svc traefik -o jsonpath='{.status.loadBalancer.ingress[*].ip}'; echo
+```
+
+Zanotuj adres Traefika — będzie potrzebny w kroku 3. Sprawdź też, czy działa
+aplikacja w obecnej postaci (przez NodePort), żeby mieć punkt odniesienia.
+
+---
+
+## Krok 1 — sekret z kluczami łączy
+
+**Przed czymkolwiek innym.** Klucze muszą istnieć, zanim pody spróbują wstać
+z nową konfiguracją, bo bez nich celowo **nie wystartują**.
+
+```bash
+kubectl -n astrololo create secret generic astrololo-link \
+  --from-literal=LINK_KEY_PRESENTATION_LOGIC="$(openssl rand -hex 32)" \
+  --from-literal=LINK_KEY_LOGIC_DATA="$(openssl rand -hex 32)"
+```
+
+Kluczy nikt nigdy nie musi oglądać — służą tylko usługom. Nie ma ich w repo
+GitOps i **nie ma ich tam wkładać**: cokolwiek trafi do gita, zostaje w historii
+na zawsze.
+
+Dwa osobne klucze to nie ozdobnik. Przejęcie klucza prezentacji nie daje dostępu
+do warstwy danych, gdzie leżą całe bazy. Logika dostaje oba, bo rozmawia w obie
+strony; prezentacja i dane dostają wyłącznie swój.
+
+Sprawdź:
+```bash
+kubectl -n astrololo get secret astrololo-link -o jsonpath='{.data}' | tr ',' '\n'
+# oczekiwane: dwa klucze, każdy 64 znaki po odkodowaniu (32 bajty)
+```
+
+---
+
+## Krok 2 — cert-manager
+
+Jednorazowo, na cały klaster:
+
+```bash
+kubectl apply -f https://github.com/cert-manager/cert-manager/releases/download/v1.21.0/cert-manager.yaml
+kubectl -n cert-manager rollout status deploy/cert-manager deploy/cert-manager-webhook --timeout=180s
+```
+
+Poczekaj, aż **webhook** będzie gotowy — dopóki nie wstanie, tworzenie obiektów
+`Certificate` kończy się błędem połączenia i wygląda jak zepsuty manifest.
+
+Sprawdź:
+```bash
+kubectl get crd | grep cert-manager | head -3     # muszą się pojawić
+```
+
+> **Dlaczego własne CA, a nie Let's Encrypt.** Klaster stoi w LAN (Traefik trzyma
+> LoadBalancera na adresach 192.168.1.x), więc walidacja HTTP-01 nie ma jak dojść
+> z internetu, a DNS-01 wymagałby trzymania w klastrze tokena API do domeny.
+> Własne CA nie potrzebuje niczego z zewnątrz i odnawia certyfikaty samo. Cena:
+> raz na urządzenie importujesz korzeń (krok 6).
+
+---
+
+## Krok 3 — DNS
+
+Wpis `astrololo.czernobog.pl` → adres Traefika z kroku „stan wyjściowy”.
+W routerze, lokalnym DNS-ie albo doraźnie w `/etc/hosts`:
+
+```bash
+echo "192.168.1.73  astrololo.czernobog.pl" | sudo tee -a /etc/hosts
+```
+
+**To nie jest krok opcjonalny.** Service `presentation` przestaje być NodePortem
+(był drugą, nieszyfrowaną drogą do aplikacji — czyli obejściem całego PRE-16),
+więc po wdrożeniu manifestów nazwa jest jedynym wejściem. Awaryjnie zawsze zostaje:
+
+```bash
+kubectl -n astrololo port-forward svc/presentation 8000:8000   # http://localhost:8000
+```
+
+---
+
+## Krok 4 — merge PR-a aplikacji (astrololo #21)
+
+Teraz, **przed** manifestami.
+
+```bash
+tea pr merge --login gitea --repo gitea/astrololo 21
+```
+
+Po merge'u CI zbuduje obrazy, a image-updater sam podbije tagi w repo `deploy`,
+skąd ArgoCD wymieni pody. Poczekaj, aż to się przetoczy:
+
+```bash
+kubectl -n astrololo rollout status deploy/presentation deploy/logic deploy/data
+kubectl -n astrololo get pods -o jsonpath='{range .items[*]}{.spec.containers[0].image}{"\n"}{end}'
+```
+
+Na tym etapie **nic się jeszcze nie szyfruje** — nowy kod to potrafi, ale zmienne
+z kluczami dokłada dopiero PR do `deploy`. Aplikacja działa dokładnie jak dotąd.
+To celowe: chcemy, żeby *cała* obsada podów umiała szyfrować, zanim ktokolwiek
+tego zażąda.
+
+---
+
+## Krok 5 — merge PR-a manifestów (deploy #4)
+
+```bash
+tea pr merge --login gitea --repo gitea/deploy 4
+```
+
+ArgoCD zsynchronizuje się sam (`automated`, `selfHeal`). Wjeżdża naraz: Ingress,
+certyfikat, zmienne z kluczami, `TRUST_PROXY` i zdjęcie NodePortu.
+
+```bash
+kubectl -n argocd get application astrololo
+kubectl -n astrololo rollout status deploy/presentation deploy/logic deploy/data
+kubectl -n astrololo get certificate      # astrololo-ca i astrololo-tls: READY=True
+```
+
+> **Spodziewaj się kilkudziesięciu sekund błędów w trakcie.** Pody wymieniają się
+> po kolei, więc przez chwilę stara prezentacja (jeszcze bez klucza) rozmawia
+> z nową logiką (już z kluczem) i dostaje odmowę. To zamierzone: alternatywą byłby
+> tryb „przyjmuj i szyfrowane, i jawne”, który zwykle zostaje włączony na zawsze.
+
+Merge nie cofnie tagów obrazów — PR dotyka w `kustomization.yaml` wyłącznie listy
+`resources`, nie bloku `images`, więc git złoży to z nowszymi tagami z mastera.
+
+---
+
+## Krok 6 — zaufanie do własnego CA (raz na urządzenie)
+
+Bez tego przeglądarka pokaże ostrzeżenie o certyfikacie. Korzeń jest ważny 10 lat,
+więc robisz to raz:
+
+```bash
+kubectl -n astrololo get secret astrololo-ca -o jsonpath='{.data.ca\.crt}' \
+  | base64 -d > astrololo-ca.crt
+
+# macOS — do systemowego zaufania (poprosi o hasło administratora)
+sudo security add-trusted-cert -d -r trustRoot \
+  -k /Library/Keychains/System.keychain astrololo-ca.crt
+
+# Linux (Debian/Ubuntu)
+sudo cp astrololo-ca.crt /usr/local/share/ca-certificates/ && sudo update-ca-certificates
+```
+
+Firefox ma **własny** magazyn certyfikatów — import przez *Ustawienia →
+Prywatność i bezpieczeństwo → Wyświetl certyfikaty → Organy certyfikacji*.
+
+---
+
+## Krok 7 — sprawdzenie, że działa to, co miało zadziałać
+
+### Wejście po https
+```bash
+curl -sI http://astrololo.czernobog.pl/ | head -2          # 301 → https
+curl -s -o /dev/null -w "bez hasła: %{http_code}\n"  https://astrololo.czernobog.pl/
+curl -s -o /dev/null -w "z hasłem: %{http_code}\n" -u astrololo:'<hasło>' https://astrololo.czernobog.pl/
+curl -sI -u astrololo:'<hasło>' https://astrololo.czernobog.pl/ | grep -i strict-transport
+```
+Oczekiwane: **301**, **401**, **200**, nagłówek HSTS obecny. Brak ostrzeżenia
+o certyfikacie w przeglądarce oznacza, że krok 6 się udał.
+
+### W przeglądarce
+Kliknij **„Tu i teraz"** — powinno pobrać lokalizację (po http odmawiało).
+Wygeneruj prompt i kliknij **kopiuj** — schowek powinien zadziałać bez obejść.
+
+### Szyfrowanie łączy — sprawdzenie wprost
+Najmocniejszy test to próba obejścia. Z wnętrza klastra, **bez klucza**:
+
+```bash
+kubectl -n astrololo exec deploy/presentation -- \
+  python -c "
+import httpx, os
+r = httpx.post('http://logic:8001/chart/report',
+               json={'when_utc':'1984-04-30T09:20:00+00:00','lat':50.06,'lon':19.94},
+               headers={'X-Astrololo-Token': os.environ['INTERNAL_TOKEN']})
+print(r.status_code, r.text[:120])
+"
+```
+Oczekiwane: **400** i `Łącze międzywarstwowe wymaga szyfrowania.` Zwróć uwagę, że
+żądanie miało **prawidłowy token** — sam token już nie wystarcza, i o to chodziło.
+
+To samo w dół, do warstwy danych:
+```bash
+kubectl -n astrololo exec deploy/logic -- \
+  python -c "
+import httpx, os
+r = httpx.post('http://data:8002/search',
+               json={'key':'significator','value':'[Sat','exact':False,'limit':5},
+               headers={'X-Astrololo-Token': os.environ['INTERNAL_TOKEN']})
+print(r.status_code, r.text[:120])
+"
+```
+
+### Logi startowe
+```bash
+kubectl -n astrololo logs deploy/logic | grep -i "łącze\|UWAGA"
+```
+Powinno być `łącze szyfrowane (AES-256-GCM…)`. Jeśli widzisz ostrzeżenie
+o rozmowie **jawnym tekstem** — klucz nie doszedł do poda.
+
+---
+
+## Dlaczego taka kolejność
+
+| Kolejność | Skutek zamiany |
+|---|---|
+| Sekret **przed** manifestami | `LINK_ENCRYPTION_REQUIRED=true` bez klucza celowo wywraca start. Pody wpadną w CrashLoop i będą tak siedzieć do czasu utworzenia sekretu. |
+| cert-manager **przed** manifestami | API odrzuci `Certificate`/`Issuer` jako nieznane rodzaje zasobów, ArgoCD pokaże aplikację jako niezsynchronizowaną i sam tego nie naprawi. |
+| DNS **przed** manifestami | NodePort znika razem z nimi. Bez wpisu DNS zostaje tylko `port-forward`. |
+| Aplikacja **przed** manifestami | Odwrotnie: manifesty włączyłyby szyfrowanie na obrazach, które go nie znają — wszystkie żądania kończyłyby się odmową do czasu przebudowy obrazów. |
+
+Fail-closed w obie strony jest zamierzony. Usługa, która wstała i **po cichu nie
+szyfruje**, jest gorsza niż pod w CrashLoop — awarii nie widać, a bazy jadą
+otwartym tekstem.
+
+---
+
+## Wycofanie
+
+Manifestów: `git revert` merge'a w `deploy` — ArgoCD samo wróci do NodePortu
+i ruchu bez szyfrowania. Kod aplikacji **nie wymaga wycofania**: bez zmiennych
+`LINK_KEY_*` moduł przepuszcza ruch jak dotąd (i głośno o tym mówi w logach).
+
+Certyfikat i CA zostają w namespace; usunięcie: `kubectl -n astrololo delete
+certificate astrololo-ca astrololo-tls`. cert-managera można zostawić — nie
+przeszkadza.
+
+---
+
+## Gdy coś nie gra
+
+| Objaw | Przyczyna | Co zrobić |
+|---|---|---|
+| Pody w `CrashLoopBackOff`, w logach `LINK_ENCRYPTION_REQUIRED … nie ustawiony` | brak sekretu `astrololo-link` | krok 1, potem `rollout restart` |
+| `400 Łącze międzywarstwowe wymaga szyfrowania` przy normalnym korzystaniu | jedna warstwa ma klucz, druga nie (albo trwa rollout) | `rollout status`; sprawdź, czy wszystkie trzy pody mają zmienną |
+| `400 Nie udało się odczytać zaszyfrowanego żądania` | klucze po obu stronach łącza są **różne** | wymień sekret i zrestartuj **wszystkie trzy** naraz |
+| `Certificate` stoi w `READY=False` | webhook cert-managera jeszcze nie wstał | `kubectl -n cert-manager get pods`, poczekaj i sprawdź `kubectl -n astrololo describe certificate astrololo-tls` |
+| Przeglądarka: „połączenie nie jest prywatne” | korzeń CA nieimportowany na tym urządzeniu | krok 6 (pamiętaj, że Firefox ma osobny magazyn) |
+| `404` z Traefika pod adresem aplikacji | DNS wskazuje gdzie indziej niż LoadBalancer Traefika | porównaj `dig +short astrololo.czernobog.pl` z adresem z kroku „stan wyjściowy” |
+| Limit żądań odcina wszystkich naraz | brak `TRUST_PROXY=true` — cały ruch liczony jako jeden klient | sprawdź zmienną w `deploy/presentation` |
+
+---
+
+## Czego to nie załatwia
+
+- **Szyfrowane są ciała żądań, nie nagłówki.** Ścieżka (`/search`) i token
+  międzywarstwowy jadą czytelnie. Sam token nikomu nic nie daje — bez klucza łącza
+  każde żądanie kończy się odmową — ale metadanych to nie ukrywa. Pełne ukrycie
+  wymagałoby mTLS.
+- **Własne CA to nie publiczne zaufanie.** Każde nowe urządzenie wymaga importu
+  korzenia. Gdyby aplikacja miała kiedyś wyjść na świat, właściwą drogą jest
+  Let's Encrypt przez DNS-01.
+- **NFS z plikami baz** stoi obok aplikacji — kto ma dostęp do share'u, bierze
+  pliki z pominięciem wszystkich powyższych zabezpieczeń. Do zamknięcia po stronie
+  infrastruktury (eksport tylko dla IP węzłów, `root_squash`, najlepiej read-only).
+- **Sekrety w etcd** są tylko zakodowane base64. Docelowo: szyfrowanie etcd
+  at-rest albo Sealed Secrets / SOPS.

docs/wdrozenie-render-pdf.md

@@ -0,0 +1,139 @@
+# Wdrożenie usługi `render` — raport PDF (PRE-24)
+
+Instrukcja krok po kroku dla nowego komponentu. Dotyczy dwóch repozytoriów:
+
+| Repo | Co wnosi |
+|---|---|
+| `gitea/astrololo` | usługa `services/render`, klient w prezentacji, przycisk „Pobierz PDF", wariant kosmogramu do druku |
+| `gitea/deploy` | `astrololo/render.yaml`, adres i klucz łącza w `presentation.yaml` |
+
+---
+
+## Dlaczego osobna usługa
+
+TeX Live waży setki megabajtów. W obrazie prezentacji spowalniałby każdy build
+i deploy, a przy każdej poprawce w CSS trzeba by go ciągnąć od nowa. Osobno:
+obraz produktu zostaje mały, TeX aktualizuje się niezależnie, a **awaria renderu
+nie kładzie aplikacji** — przestaje działać wyłącznie przycisk „Pobierz PDF".
+
+To ta sama zasada, co przy izolacji silnika swisseph (LOG-27).
+
+---
+
+## Krok 1 — klucz łącza (PRZED wdrożeniem)
+
+Usługa dostaje **cały raport**: dane urodzeniowe i opisy z baz. Łącze jest
+szyfrowane AES-256-GCM, własnym, **trzecim** kluczem — przejęcie go nie może
+otwierać łącza do logiki ani do danych.
+
+Sekret `astrololo-link` już istnieje (PRE-16); dokładamy do niego trzeci klucz,
+**zachowując dwa dotychczasowe**:
+
+```bash
+kubectl -n astrololo create secret generic astrololo-link \
+  --from-literal=LINK_KEY_PRESENTATION_LOGIC="$(kubectl -n astrololo get secret astrololo-link \
+      -o jsonpath='{.data.LINK_KEY_PRESENTATION_LOGIC}' | base64 -d)" \
+  --from-literal=LINK_KEY_LOGIC_DATA="$(kubectl -n astrololo get secret astrololo-link \
+      -o jsonpath='{.data.LINK_KEY_LOGIC_DATA}' | base64 -d)" \
+  --from-literal=LINK_KEY_PRESENTATION_RENDER="$(openssl rand -hex 32)" \
+  --dry-run=client -o yaml | kubectl apply -f -
+```
+
+Sprawdzenie — mają być **trzy** klucze:
+```bash
+kubectl -n astrololo get secret astrololo-link -o jsonpath='{.data}' | tr ',' '\n'
+```
+
+> **Uwaga:** `LINK_ENCRYPTION_REQUIRED=true` działa fail-closed. Bez klucza pod
+> `render` **nie wstanie** — i tak ma być. Usługa, która wstała i po cichu nie
+> szyfruje, jest gorsza niż CrashLoop, bo awarii nie widać.
+
+---
+
+## Krok 2 — obraz usługi
+
+Obraz budowany jest osobnym workflow (jak silnik swisseph — nie wchodzi do
+głównego pipeline'u produktu). Pierwszy build trwa dłużej, bo ciągnie TeX Live.
+
+```bash
+kubectl -n astrololo get deploy render -o jsonpath='{.spec.template.spec.containers[0].image}'; echo
+```
+
+Pakiety w obrazie dobrane **wąsko** (nie `texlive-full`, który ma kilka GB):
+
+| Pakiet | Po co |
+|---|---|
+| `texlive-xetex` | silnik **XeLaTeX** — konieczny, bo raport ma polskie znaki i glify astrologiczne; `pdflatex` ich nie złoży |
+| `texlive-latex-recommended` | `geometry`, `graphicx` |
+| `fonts-dejavu-core` | jeden font na polskie znaki **i** symbole (♄ ♓ ☉) |
+| `librsvg2-bin` | `rsvg-convert` — SVG kosmogramu → PDF (LaTeX nie wstawia SVG wprost) |
+
+Dockerfile sprawdza obecność obu narzędzi **przy budowie**, więc zepsuty obraz
+nie dojedzie na produkcję niezauważony.
+
+---
+
+## Krok 3 — merge manifestów
+
+```bash
+tea pr merge --login gitea --repo gitea/deploy <numer>
+kubectl -n astrololo rollout status deploy/render deploy/presentation
+```
+
+Wjeżdża naraz: `Deployment` + `Service` renderu (ClusterIP — **bez** Ingressu
+i NodePortu, nie ma powodu sięgać do niej z zewnątrz) oraz `RENDER_URL`
+i trzeci klucz w prezentacji.
+
+---
+
+## Krok 4 — sprawdzenie
+
+### Narzędzia są na miejscu
+`/health` raportuje obecność `xelatex` i `rsvg-convert`, żeby zepsuty obraz
+było widać od razu, a nie dopiero przy pierwszym raporcie:
+
+```bash
+kubectl -n astrololo exec deploy/presentation -- \
+  python -c "import httpx; print(httpx.get('http://render:8004/health').text)"
+```
+Oczekiwane: `{"status":"ok","layer":"render","tools":{"xelatex":true,"rsvg-convert":true}}`.
+Gdy `status` to `degraded` — obraz zbudował się bez któregoś narzędzia.
+
+### Łącze faktycznie szyfruje
+Najmocniejszy test to próba obejścia. Z wnętrza klastra, **z poprawnym tokenem,
+ale bez szyfrowania**:
+
+```bash
+kubectl -n astrololo exec deploy/presentation -- python -c "
+import httpx, os
+r = httpx.post('http://render:8004/pdf', json={'person':'test'},
+               headers={'X-Astrololo-Token': os.environ['INTERNAL_TOKEN']})
+print(r.status_code, r.text[:80])
+"
+```
+Oczekiwane: **400** i `Łącze międzywarstwowe wymaga szyfrowania.` Sam token już
+nie wystarcza — o to chodziło.
+
+### Raport od końca do końca
+W przeglądarce: **Skompiluj** → wypełnij dane → *Złóż podsumowanie* → *Pobierz PDF*.
+PDF ma zacząć się od imienia i nazwiska, potem wprowadzone dane, **rysunek
+kosmogramu**, a po nim interpretacja natalna i predykcje okresowe.
+
+---
+
+## Czego ta wersja nie załatwia
+
+- **Kompilacja PDF nie została sprawdzona end-to-end** w środowisku, w którym
+  powstawała — nie było tam ani TeX Live, ani runtime'u kontenerów. Sprawdzone
+  jest wszystko dookoła: generowanie źródła `.tex` (w tym ucieczka znaków
+  specjalnych), szyfrowanie łącza, kontrakt API i samowystarczalność SVG.
+  **Pierwsze uruchomienie na klastrze trzeba obejrzeć.**
+- **Dzielenie wyrazów** jest angielskie — nie wciągamy `polyglossia`, żeby nie
+  puchł obraz. Tekst składa się poprawnie, tylko przenoszenie bywa nieoptymalne.
+- **Brak kolejki**. Długi raport blokuje jedno połączenie na czas kompilacji
+  (timeout klienta: 180 s). Przy większym ruchu warto dołożyć zadania w tle.
+- **Glify w tekście od modelu**. Kosmogram idzie jako obraz (rysuje go
+  `rsvg-convert` z DejaVu), ale gdyby model wplótł symbole w prozę, złoży je
+  XeLaTeX — też z DejaVu. Jeśli któregoś zabraknie, LaTeX zgłasza
+  „Missing character" w logu i **nie drukuje znaku**; warto zerknąć w log
+  pierwszego raportu.

services/data/app/link_crypto.py

@@ -0,0 +1,525 @@
+"""Szyfrowanie łączy między warstwami (PRE-16 / LOG-33).
+
+Do tej pory warstwy rozmawiały ze sobą zwykłym HTTP-em wewnątrz klastra. Token
+międzywarstwowy (LOG-32) mówił KTO pyta, ale nie ukrywał CZEGO dotyczy odpowiedź
+— a płyną nią surowe wiersze oryginalnych baz interpretacyjnych, czyli rdzeń
+produktu. Kto podsłuchał ruch wewnątrz sieci (drugi pod, port mirror na switchu,
+zrzut z węzła), miał je w całości.
+
+Ten moduł zamyka tę drogę: **AES-256-GCM** na ciele każdego żądania i odpowiedzi.
+GCM daje jednocześnie poufność i uwierzytelnienie — cudzy albo podmieniony bajt
+nie odszyfruje się w ogóle, więc nie ma osobnego problemu „zaszyfrowane, ale
+podatne na modyfikację".
+
+**Dwa niezależne klucze**, po jednym na parę rozmówców:
+  * ``LINK_KEY_PRESENTATION_LOGIC`` — prezentacja ↔ logika,
+  * ``LINK_KEY_LOGIC_DATA``        — logika ↔ dane.
+Dzięki temu przejęcie klucza prezentacji nie daje dostępu do warstwy danych,
+gdzie leżą całe bazy. Logika trzyma oba, bo rozmawia w obie strony.
+
+Z każdego klucza łącza wyprowadzamy **osobne podklucze na kierunek** (HKDF).
+Żądanie i odpowiedź nigdy nie szyfrują się tym samym kluczem, więc powtórzenie
+losowej jednorazówki w jedną stronę nie osłabia drugiej.
+
+Format ramki (bo strumień odpowiedzi może iść kawałkami — patrz okno postępu):
+
+    [4 bajty długości][magia "AL1"][12 bajtów jednorazówki][szyfrogram + znacznik]
+
+Do materiału uwierzytelnianego (AAD) wchodzą kierunek, ścieżka, znacznik czasu
+i numer ramki. Skutek: ramki nie da się przekleić do innego endpointu, odtworzyć
+po czasie (dopuszczalny poślizg ``MAX_SKEW``) ani przestawić w strumieniu.
+
+Bez ustawionego klucza moduł **przepuszcza ruch otwartym tekstem** (dev, zgodność
+wstecz) i krzyczy o tym przy starcie. Gdy klucz JEST ustawiony, warstwa serwerowa
+działa fail-closed: nieszyfrowane żądanie dostaje odmowę, żeby przypadkowa
+regresja po stronie klienta nie oznaczała cichego powrotu do jawnego ruchu.
+"""
+from __future__ import annotations
+
+import base64
+import binascii
+import logging
+import os
+import struct
+import time
+from typing import Iterable, Iterator
+
+from cryptography.exceptions import InvalidTag
+from cryptography.hazmat.primitives import hashes
+from cryptography.hazmat.primitives.ciphers.aead import AESGCM
+from cryptography.hazmat.primitives.kdf.hkdf import HKDF
+
+log = logging.getLogger("astrololo.link")
+
+MAGIC = b"AL1"
+VERSION = "v1"
+NONCE_BYTES = 12
+KEY_BYTES = 32                      # AES-256
+LENGTH_PREFIX = 4
+MAX_FRAME = 64 * 1024 * 1024        # zapora przed alokacją z podanej długości
+MAX_SKEW_SECONDS = 300.0
+
+HEADER_ENC = "X-Astrololo-Enc"
+HEADER_TS = "X-Astrololo-Enc-Ts"
+CONTENT_TYPE = "application/vnd.astrololo.enc"
+
+ENV_PRESENTATION_LOGIC = "LINK_KEY_PRESENTATION_LOGIC"
+ENV_LOGIC_DATA = "LINK_KEY_LOGIC_DATA"
+# Trzecia para: prezentacja ↔ render (PRE-24). Osobny klucz, jak przy pozostałych —
+# usługa render dostaje CAŁY raport (dane urodzeniowe + opisy z baz), więc przejęcie
+# jej klucza nie może otwierać łącza do logiki ani do danych.
+ENV_PRESENTATION_RENDER = "LINK_KEY_PRESENTATION_RENDER"
+ENV_REQUIRED = "LINK_ENCRYPTION_REQUIRED"
+
+REQUEST, RESPONSE = b"req", b"res"
+
+# Sondy k8s pukają tu bez klucza i tak ma zostać — inaczej pierwsza literówka
+# w sekrecie kładłaby pody zamiast pokazać błąd w aplikacji.
+PUBLIC_PATHS = frozenset({"/health"})
+
+
+class LinkError(Exception):
+    """Cokolwiek poszło nie tak z kopertą — celowo bez szczegółów na zewnątrz."""
+
+
+# --------------------------------------------------------------------- klucze
+
+def parse_key(raw: str) -> bytes:
+    """Klucz z konfiguracji: hex (64 znaki) albo base64. Zawsze 32 bajty."""
+    text = raw.strip()
+    if not text:
+        raise LinkError("pusty klucz łącza")
+    try:
+        key = bytes.fromhex(text)
+    except ValueError:
+        try:
+            key = base64.b64decode(text, validate=True)
+        except (binascii.Error, ValueError) as exc:
+            raise LinkError("klucz łącza nie jest ani hexem, ani base64") from exc
+    if len(key) != KEY_BYTES:
+        raise LinkError(
+            f"klucz łącza ma {len(key)} B zamiast {KEY_BYTES} — wygeneruj przez "
+            f"`openssl rand -hex 32`"
+        )
+    return key
+
+
+def key_from_env(env_name: str) -> bytes | None:
+    """Klucz albo None. Zły klucz to wyjątek OD RAZU — nie przy pierwszym żądaniu."""
+    raw = os.getenv(env_name, "")
+    return parse_key(raw) if raw.strip() else None
+
+
+def encryption_required() -> bool:
+    """Czy brak klucza ma być błędem, a nie cichym powrotem do jawnego ruchu.
+
+    Serwer sam z siebie broni się fail-closed, ale to za mało: klient BEZ klucza
+    wysyła pytanie otwartym tekstem i dopiero potem dostaje odmowę — czyli treść
+    zapytania zdążyła już przelecieć przez sieć. Ta flaga zatrzymuje go, zanim
+    cokolwiek opuści proces. Ustawiana razem z kluczami we wdrożeniu.
+    """
+    return os.getenv(ENV_REQUIRED, "").strip().lower() in {"1", "true", "yes", "on"}
+
+
+def _subkey(link_key: bytes, direction: bytes) -> bytes:
+    return HKDF(
+        algorithm=hashes.SHA256(), length=KEY_BYTES, salt=None,
+        info=b"astrololo/link/" + direction,
+    ).derive(link_key)
+
+
+class Link:
+    """Jedna para rozmówców: klucz plus wyprowadzone z niego podklucze."""
+
+    def __init__(self, link_key: bytes) -> None:
+        self._by_direction = {
+            REQUEST: AESGCM(_subkey(link_key, REQUEST)),
+            RESPONSE: AESGCM(_subkey(link_key, RESPONSE)),
+        }
+
+    # ---------------------------------------------------------- pojedyncza ramka
+
+    def _aad(self, direction: bytes, path: str, stamp: str, seq: int) -> bytes:
+        return b"|".join([MAGIC, direction, path.encode("utf-8"),
+                          stamp.encode("ascii"), str(seq).encode("ascii")])
+
+    def seal(self, direction: bytes, path: str, stamp: str, seq: int,
+             plaintext: bytes) -> bytes:
+        nonce = os.urandom(NONCE_BYTES)
+        sealed = self._by_direction[direction].encrypt(
+            nonce, plaintext, self._aad(direction, path, stamp, seq))
+        return MAGIC + nonce + sealed
+
+    def open(self, direction: bytes, path: str, stamp: str, seq: int,
+             frame: bytes) -> bytes:
+        if not frame.startswith(MAGIC):
+            raise LinkError("ramka bez znacznika astrololo")
+        body = frame[len(MAGIC):]
+        if len(body) <= NONCE_BYTES:
+            raise LinkError("ramka za krótka")
+        nonce, sealed = body[:NONCE_BYTES], body[NONCE_BYTES:]
+        try:
+            return self._by_direction[direction].decrypt(
+                nonce, sealed, self._aad(direction, path, stamp, seq))
+        except InvalidTag as exc:
+            # Jeden komunikat na wszystkie przypadki: zły klucz, podmieniony bajt,
+            # przeklejenie z innej ścieżki, przestawiona ramka. Rozróżnianie ich
+            # na zewnątrz podpowiadałoby atakującemu, w co trafił.
+            raise LinkError("nie udało się odszyfrować — zły klucz albo naruszone dane") from exc
+
+    # ------------------------------------------------------------ strumień ramek
+
+    def seal_stream(self, direction: bytes, path: str, stamp: str,
+                    chunks: Iterable[bytes]) -> Iterator[bytes]:
+        for seq, chunk in enumerate(chunks):
+            yield frame_out(self.seal(direction, path, stamp, seq, chunk))
+
+    def open_stream(self, direction: bytes, path: str, stamp: str,
+                    raw: bytes) -> Iterator[bytes]:
+        for seq, frame in enumerate(frames_in(raw)):
+            yield self.open(direction, path, stamp, seq, frame)
+
+    def open_all(self, direction: bytes, path: str, stamp: str, raw: bytes) -> bytes:
+        return b"".join(self.open_stream(direction, path, stamp, raw))
+
+
+# ---------------------------------------------------------------- ramkowanie
+
+def frame_out(payload: bytes) -> bytes:
+    return struct.pack(">I", len(payload)) + payload
+
+
+def frames_in(raw: bytes) -> Iterator[bytes]:
+    """Rozbiera bufor na ramki. Ucięty strumień to błąd, nie cicha strata danych."""
+    offset = 0
+    while offset < len(raw):
+        if offset + LENGTH_PREFIX > len(raw):
+            raise LinkError("urwana ramka (brak nagłówka długości)")
+        (size,) = struct.unpack(">I", raw[offset:offset + LENGTH_PREFIX])
+        if size > MAX_FRAME:
+            raise LinkError("ramka ponad dopuszczalny rozmiar")
+        offset += LENGTH_PREFIX
+        if offset + size > len(raw):
+            raise LinkError("urwana ramka (za mało danych)")
+        yield raw[offset:offset + size]
+        offset += size
+
+
+def unframe_incremental(buffer: bytearray) -> Iterator[bytes]:
+    """Wyjmuje z bufora KOMPLETNE ramki i zjada je; resztę zostawia na później.
+
+    Dla odbioru na żywo: kawałki przychodzą podzielone dowolnie i ramka potrafi
+    rozjechać się między dwa odczyty.
+    """
+    while True:
+        if len(buffer) < LENGTH_PREFIX:
+            return
+        (size,) = struct.unpack(">I", buffer[:LENGTH_PREFIX])
+        if size > MAX_FRAME:
+            raise LinkError("ramka ponad dopuszczalny rozmiar")
+        if len(buffer) < LENGTH_PREFIX + size:
+            return
+        frame = bytes(buffer[LENGTH_PREFIX:LENGTH_PREFIX + size])
+        del buffer[:LENGTH_PREFIX + size]
+        yield frame
+
+
+# ------------------------------------------------------------- świeżość ruchu
+
+def stamp_now() -> str:
+    return f"{time.time():.3f}"
+
+
+def check_stamp(stamp: str) -> None:
+    """Odrzuca ramki spoza okna czasowego — inaczej podsłuchane żądanie dałoby się
+    odtworzyć w dowolnym momencie w przyszłości."""
+    try:
+        sent = float(stamp)
+    except (TypeError, ValueError) as exc:
+        raise LinkError("brak albo błędny znacznik czasu") from exc
+    if abs(time.time() - sent) > MAX_SKEW_SECONDS:
+        raise LinkError("znacznik czasu poza dopuszczalnym oknem")
+
+
+# =========================================================== strona serwerowa
+
+class LinkCryptoMiddleware:
+    """Rozszyfrowuje wchodzące żądania i zaszyfrowuje wychodzące odpowiedzi.
+
+    Napisane jako czyste ASGI, nie ``@app.middleware("http")``, bo trzeba
+    podmienić CIAŁO żądania jeszcze zanim zobaczy je FastAPI, oraz przepuścić
+    odpowiedź strumieniową kawałek po kawałku, bez zbierania jej w pamięci.
+    """
+
+    def __init__(self, app, link: Link | None, layer: str) -> None:
+        self.app = app
+        self.link = link
+        self.layer = layer
+
+    async def __call__(self, scope, receive, send):
+        if scope["type"] != "http" or self.link is None or scope["path"] in PUBLIC_PATHS:
+            return await self.app(scope, receive, send)
+
+        path = scope["path"]
+        headers = {k.decode("latin-1").lower(): v.decode("latin-1") for k, v in scope["headers"]}
+
+        if headers.get(HEADER_ENC.lower()) != VERSION:
+            # Fail-closed. Klucz jest ustawiony, więc jawne żądanie oznacza albo
+            # pomyłkę w konfiguracji, albo kogoś obcego — w obu wypadkach nie
+            # chcemy po cichu wrócić do jawnego ruchu.
+            log.warning("warstwa %s: odrzucone żądanie bez szyfrowania łącza (%s)",
+                        self.layer, path)
+            return await _refuse(send, "Łącze międzywarstwowe wymaga szyfrowania.")
+
+        stamp = headers.get(HEADER_TS.lower(), "")
+        try:
+            check_stamp(stamp)
+            plaintext = self.link.open_all(REQUEST, path, stamp, await _read_body(receive))
+        except LinkError as exc:
+            log.warning("warstwa %s: %s (%s)", self.layer, exc, path)
+            return await _refuse(send, "Nie udało się odczytać zaszyfrowanego żądania.")
+
+        scope = dict(scope)
+        scope["headers"] = _rewritten_headers(scope["headers"], len(plaintext))
+        await self.app(scope, _replay(plaintext, receive), self._sealing_send(send, path))
+
+    def _sealing_send(self, send, path: str):
+        state: dict = {"stamp": "", "seq": 0}
+
+        async def sealing(message):
+            if message["type"] == "http.response.start":
+                state["stamp"] = stamp_now()
+                keep = [(k, v) for k, v in message.get("headers", [])
+                        if k.lower() not in (b"content-length", b"content-type")]
+                message = dict(message)
+                message["headers"] = keep + [
+                    (b"content-type", CONTENT_TYPE.encode()),
+                    (HEADER_ENC.lower().encode(), VERSION.encode()),
+                    (HEADER_TS.lower().encode(), state["stamp"].encode()),
+                ]
+                return await send(message)
+
+            if message["type"] == "http.response.body":
+                chunk = message.get("body", b"")
+                sealed = b""
+                if chunk:
+                    sealed = frame_out(self.link.seal(
+                        RESPONSE, path, state["stamp"], state["seq"], chunk))
+                    state["seq"] += 1
+                return await send({"type": "http.response.body", "body": sealed,
+                                   "more_body": message.get("more_body", False)})
+
+            return await send(message)
+
+        return sealing
+
+
+def _rewritten_headers(raw: Iterable[tuple[bytes, bytes]], length: int):
+    """Po odszyfrowaniu ciało ma inną długość i zwykły typ — inaczej FastAPI
+    próbowałby sparsować JSON o cudzej deklarowanej wielkości."""
+    kept = [(k, v) for k, v in raw if k.lower() not in (b"content-length", b"content-type")]
+    kept.append((b"content-length", str(length).encode()))
+    if length:
+        kept.append((b"content-type", b"application/json"))
+    return kept
+
+
+async def _read_body(receive) -> bytes:
+    body = bytearray()
+    while True:
+        message = await receive()
+        if message["type"] == "http.disconnect":
+            raise LinkError("rozłączenie w trakcie odbioru żądania")
+        body += message.get("body", b"")
+        if not message.get("more_body", False):
+            return bytes(body)
+
+
+def _replay(body: bytes, original):
+    """Podstawia odszyfrowane ciało jako jedyną porcję wejścia dla aplikacji.
+
+    Po oddaniu ciała oddajemy głos ORYGINALNEMU `receive`, zamiast od razu
+    zgłaszać rozłączenie. Odpowiedź strumieniowa nasłuchuje bowiem rozłączenia
+    równolegle do wysyłania i przerywa się, gdy je zobaczy — na skróconej wersji
+    okno postępu dostawało pustą odpowiedź, choć zwykłe żądania działały.
+    """
+    delivered = False
+
+    async def receive():
+        nonlocal delivered
+        if delivered:
+            return await original()
+        delivered = True
+        return {"type": "http.request", "body": body, "more_body": False}
+
+    return receive
+
+
+async def _refuse(send, detail: str) -> None:
+    """Odmowa leci JAWNIE — rozmówca właśnie pokazał, że nie umie odszyfrować,
+    więc zaszyfrowany komunikat o błędzie byłby dla niego nieczytelny."""
+    payload = f'{{"detail":"{detail}"}}'.encode("utf-8")
+    await send({"type": "http.response.start", "status": 400, "headers": [
+        (b"content-type", b"application/json"),
+        (b"content-length", str(len(payload)).encode()),
+    ]})
+    await send({"type": "http.response.body", "body": payload})
+
+
+def install(app, env_name: str, layer: str):
+    """Podpina szyfrowanie łącza. Wołać PO `security.install`, żeby także odmowa
+    tokenowa (401) wracała zaszyfrowana — inaczej klient by jej nie odczytał."""
+    link_key = key_from_env(env_name)
+    if link_key is None and encryption_required():
+        # Celowo wywracamy start. Ta sama zasada co przy sekrecie logowania:
+        # wolimy widoczną awarię niż usługę, która wstała i po cichu nie chroni
+        # niczego. Pod w CrashLoop widać od razu, jawny ruch — nie.
+        raise LinkError(
+            f"{ENV_REQUIRED} jest włączone, ale {env_name} nie ustawiony — "
+            f"warstwa {layer} nie wystartuje bez klucza łącza"
+        )
+    if link_key is None:
+        log.warning(
+            "UWAGA: %s nie ustawiony — warstwa %s rozmawia z sąsiadem JAWNYM tekstem, "
+            "więc treść baz interpretacyjnych jest widoczna dla każdego, kto podsłucha "
+            "ruch wewnątrz sieci.", env_name, layer,
+        )
+        return None
+    link = Link(link_key)
+    app.add_middleware(LinkCryptoMiddleware, link=link, layer=layer)
+    log.info("warstwa %s: łącze szyfrowane (AES-256-GCM, klucz z %s)", layer, env_name)
+    return link
+
+
+# ============================================================ strona kliencka
+
+def call(client, method: str, url: str, *, payload=None,
+         headers: dict[str, str] | None = None, link: Link | None) -> bytes:
+    """Żądanie do sąsiedniej warstwy; zwraca odszyfrowane ciało odpowiedzi.
+
+    Ścieżkę do materiału uwierzytelnianego bierzemy Z URL-a, a nie z osobnego
+    argumentu — gdyby klient i serwer liczyły ją inaczej, każde żądanie kończyłoby
+    się niejasnym błędem odszyfrowania.
+    """
+    import json as _json
+
+    import httpx
+
+    request_headers = dict(headers or {})
+    if link is None:
+        if encryption_required():
+            # Zatrzymujemy się PRZED wysłaniem. Gdyby polecieć jawnie i dopiero
+            # zebrać odmowę, pytanie byłoby już na kablu — a to właśnie ono niesie
+            # sygnifikatory, o które pytamy bazę.
+            raise LinkError(
+                f"{ENV_REQUIRED} jest włączone, ale brak klucza łącza — żądanie "
+                f"NIE zostało wysłane, żeby jego treść nie poszła jawnym tekstem"
+            )
+        response = client.request(method, url, json=payload, headers=request_headers)
+        response.raise_for_status()
+        return response.content
+
+    path = httpx.URL(url).path
+    stamp = stamp_now()
+    plaintext = b"" if payload is None else _json.dumps(payload).encode("utf-8")
+    body = frame_out(link.seal(REQUEST, path, stamp, 0, plaintext))
+    request_headers.update({HEADER_ENC: VERSION, HEADER_TS: stamp,
+                            "Content-Type": CONTENT_TYPE})
+
+    response = client.request(method, url, content=body, headers=request_headers)
+    if response.status_code >= 400 and response.headers.get(HEADER_ENC) != VERSION:
+        log.error("łącze %s odmówiło: %s", path, response.text[:200])
+    response.raise_for_status()
+    if response.headers.get(HEADER_ENC) != VERSION:
+        raise LinkError("odpowiedź przyszła nieszyfrowana, choć klucz łącza jest ustawiony")
+    reply_stamp = response.headers.get(HEADER_TS, "")
+    check_stamp(reply_stamp)
+    return link.open_all(RESPONSE, path, reply_stamp, response.content)
+
+
+def call_json(client, method: str, url: str, *, payload=None,
+              headers: dict[str, str] | None = None, link: Link | None):
+    import json as _json
+
+    return _json.loads(call(client, method, url, payload=payload,
+                            headers=headers, link=link))
+
+
+def open_response_stream(response, link: Link | None) -> Iterator[bytes]:
+    """Odbiór odpowiedzi płynącej kawałkami (okno postępu).
+
+    Ramka potrafi rozjechać się między dwa odczyty z gniazda, więc składamy ją
+    w buforze zamiast zakładać, że każdy kawałek to komplet.
+    """
+    if link is None:
+        yield from response.iter_bytes()
+        return
+    if response.headers.get(HEADER_ENC) != VERSION:
+        raise LinkError("strumień przyszedł nieszyfrowany, choć klucz łącza jest ustawiony")
+    stamp = response.headers.get(HEADER_TS, "")
+    check_stamp(stamp)
+    path = response.request.url.path
+    buffer = bytearray()
+    seq = 0
+    for chunk in response.iter_bytes():
+        buffer += chunk
+        for frame in unframe_incremental(buffer):
+            yield link.open(RESPONSE, path, stamp, seq, frame)
+            seq += 1
+    if buffer:
+        raise LinkError("strumień urwał się w połowie ramki")
+
+
+def stream_lines(client, url: str, *, payload, headers: dict[str, str] | None = None,
+                 link: Link | None) -> Iterator[str]:
+    """Strumieniowe POST zwracające kolejne NIEPUSTE linie NDJSON — na żywo.
+
+    Dla okna postępu: linie muszą docierać w trakcie pracy, nie na końcu, więc
+    czytamy strumień, a nie całe ciało. Gdy łącze ma klucz, żądanie jest
+    pieczętowane, a odpowiedź odszyfrowywana ramka po ramce; granice ramek NIE
+    pokrywają się z granicami linii, więc sklejamy bajty w buforze i tniemy je
+    dopiero na znakach nowej linii.
+
+    Bez klucza zachowuje się jak dotąd (surowy strumień), żeby dev bez sekretów
+    działał bez zmian.
+    """
+    import json as _json
+
+    import httpx as _httpx
+
+    request_headers = dict(headers or {})
+    if link is None:
+        if encryption_required():
+            # Ten sam kontrakt co w `call`: nie wypuszczamy jawnego żądania, gdy
+            # szyfrowanie jest wymagane. Bez tego serwer owszem odrzuca (400), ale
+            # ciało żądania — tu dane urodzenia — zdążyłoby już pójść w eter.
+            raise LinkError(
+                f"{ENV_REQUIRED} jest włączone, ale brak klucza łącza — strumień "
+                f"NIE został wysłany, żeby jego treść nie poszła jawnym tekstem"
+            )
+        with client.stream("POST", url, json=payload, headers=request_headers) as response:
+            response.raise_for_status()
+            for text_line in response.iter_lines():
+                if text_line:
+                    yield text_line
+        return
+
+    path = _httpx.URL(url).path
+    stamp = stamp_now()
+    body = frame_out(link.seal(REQUEST, path, stamp, 0, _json.dumps(payload).encode("utf-8")))
+    request_headers.update({HEADER_ENC: VERSION, HEADER_TS: stamp, "Content-Type": CONTENT_TYPE})
+    with client.stream("POST", url, content=body, headers=request_headers) as response:
+        response.raise_for_status()
+        buffer = bytearray()
+        for plain in open_response_stream(response, link):
+            buffer += plain
+            while True:
+                nl = buffer.find(b"\n")
+                if nl < 0:
+                    break
+                text_line = bytes(buffer[:nl])
+                del buffer[:nl + 1]
+                if text_line:
+                    yield text_line.decode("utf-8")
+        if buffer:
+            yield bytes(buffer).decode("utf-8")

services/data/app/main.py

@@ -10,7 +10,7 @@ from contextlib import asynccontextmanager
 
 from fastapi import FastAPI
 
-from app import security
+from app import link_crypto, security
 from app.config import settings
 from app.models import HealthInfo, SearchQuery, SearchResult
 from app.providers.factory import build_provider
@@ -26,6 +26,9 @@ async def lifespan(app: FastAPI):
 
 app = FastAPI(title="astrololo · warstwa bazodanowa", lifespan=lifespan)
 security.install(app, "danych")       # token międzywarstwowy (LOG-32)
+# Szyfrowanie łącza od logiki. PO `security.install`, żeby także odmowa
+# tokenowa wracała zaszyfrowana — inaczej klient nie umiałby jej odczytać.
+link_crypto.install(app, link_crypto.ENV_LOGIC_DATA, "danych")
 
 
 @app.post("/search", response_model=SearchResult)

services/data/requirements.txt

@@ -7,3 +7,5 @@ openpyxl>=3.1
 pyarrow>=18.0
 SQLAlchemy>=2.0
 pydantic>=2.10
+# Szyfrowanie łącza między warstwami (PRE-16): AES-256-GCM + HKDF
+cryptography>=44.0

services/logic/app/clients/data_client.py

@@ -10,6 +10,7 @@ from typing import Any
 
 import httpx
 
+from app import link_crypto
 from app.config import settings
 
 
@@ -19,6 +20,13 @@ def _auth_headers() -> dict[str, str]:
     return {"X-Astrololo-Token": token} if token else {}
 
 
+def _link() -> link_crypto.Link | None:
+    """Klucz łącza logika↔dane. Czytany przy każdym wywołaniu, bo konfiguracja
+    może się zmienić bez restartu procesu (testy, podmiana sekretu)."""
+    key = link_crypto.key_from_env(link_crypto.ENV_LOGIC_DATA)
+    return link_crypto.Link(key) if key else None
+
+
 class DataClient:
     def __init__(self, base_url: str | None = None) -> None:
         self.base_url = (base_url or settings.data_url).rstrip("/")
@@ -33,11 +41,13 @@ class DataClient:
     ) -> dict[str, Any]:
         payload = {"key": key, "value": value, "exact": exact, "limit": limit, "fields": fields}
         with httpx.Client(timeout=max(settings.http_timeout, 30.0)) as client:
-            r = client.post(f"{self.base_url}/search", json=payload, headers=_auth_headers())
-            r.raise_for_status()
-            return r.json()
+            return link_crypto.call_json(client, "POST", f"{self.base_url}/search",
+                                         payload=payload, headers=_auth_headers(),
+                                         link=_link())
 
     def health(self) -> dict[str, Any]:
+        # /health celowo poza szyfrowaniem — pukają tu sondy k8s, które klucza
+        # nie mają, a nie przechodzi tędy nic z baz.
         with httpx.Client(timeout=settings.http_timeout) as client:
             r = client.get(f"{self.base_url}/health", headers=_auth_headers())
             r.raise_for_status()

services/logic/app/engine/chart.py

@@ -36,13 +36,39 @@ def _shift_pos(pdict: dict, off: float) -> None:
 
 def build_chart(engine: EphemerisEngine, moment: ChartMoment, house_system: str = H.WHOLE_SIGN,
                 lots_method: str = "degree", zodiac: str = Z.TROPICAL) -> dict:
+    from app.engine import glyphs as GL
     from app.engine.aspects import find_aspects
+    from app.engine.houses import mean_obliquity
+    from app.engine.out_of_zodiac import (
+        declination,
+        find_antiscia,
+        find_declination_aspects,
+        is_out_of_bounds,
+    )
 
     positions = engine.positions(moment)
     result: dict = {"engine": engine.name, "positions": [p.as_dict() for p in positions]}
     # aspekty liczymy PRZED zmianą zodiaku — kąty między obiektami są niezmiennicze
     result["aspects"] = find_aspects(result["positions"])  # aspekty (LOG-06)
 
+    # Aspekty pozazodiakalne (LOG-07): deklinacja i antyscja liczone na
+    # współrzędnych TROPIKALNYCH of-date — deklinacja jest fizyczna (równikowa),
+    # a antyscja z definicji tropikalna. Dlatego PRZED przesunięciem na zodiak,
+    # z surowych długości/szerokości silnika.
+    eps = mean_obliquity(Z.julian_day(moment.when_utc))
+    result["obliquity"] = round(eps, 6)
+    for pdict, obj in zip(result["positions"], positions):
+        dec = declination(obj.longitude, obj.latitude, eps)
+        pdict["declination"] = round(dec, 4)
+        if is_out_of_bounds(dec, eps):
+            pdict["out_of_bounds"] = True
+    result["parallels"] = find_declination_aspects(result["positions"])
+    result["antiscia"] = find_antiscia(result["positions"])
+
+    # glify aspektów (LOG-22) — symbol aspektu nie zależy od zodiaku
+    for a in result["aspects"]:
+        a["glyph"] = GL.aspect_glyph(a["aspect"])
+
     # offset zodiaku (LOG-04): syderyczny = ayanamsa, draconic = długość węzła
     node_lon = next((p.longitude for p in positions if p.name == "North Node"), None)
     off = Z.offset(zodiac, Z.julian_day(moment.when_utc), node_lon)
@@ -52,6 +78,13 @@ def build_chart(engine: EphemerisEngine, moment: ChartMoment, house_system: str
     for pdict in result["positions"]:
         _shift_pos(pdict, off)
 
+    # glify obiektów (LOG-22): symbol planety jest niezmienniczy, symbol ZNAKU
+    # zależy od zodiaku, więc po przesunięciu. Pierścień 12 znaków pod kosmogram.
+    for pdict in result["positions"]:
+        pdict["glyph"] = GL.glyph_for(pdict["name"])
+        pdict["sign_glyph"] = GL.sign_glyph(pdict["sign"])
+    result["sign_glyphs"] = [{"sign": s, "glyph": GL.sign_glyph(s)} for s in SIGNS]
+
     if not hasattr(engine, "sidereal"):
         return result
 
@@ -68,9 +101,13 @@ def build_chart(engine: EphemerisEngine, moment: ChartMoment, house_system: str
         "Dsc": _fmt("Dsc", norm360(asc + 180.0), off),
         "IC": _fmt("IC", norm360(mc + 180.0), off),
     }
+    for a in result["angles"].values():         # glif znaku osi (LOG-22)
+        a["sign_glyph"] = GL.sign_glyph(a["sign"])
     result["cusps"] = [
         {"house": i + 1, "sign": SIGNS[sign_index(norm360(c - off))],
-         "in_sign": in_sign(norm360(c - off))}
+         "in_sign": in_sign(norm360(c - off)),
+         "decimal": round(norm360(c - off), 6),           # długość cuspu — pod kosmogram (PRE-12)
+         "sign_glyph": GL.sign_glyph(SIGNS[sign_index(norm360(c - off))])}
         for i, c in enumerate(cusp_list)
     ]
     for pdict, obj in zip(result["positions"], positions):
@@ -89,7 +126,9 @@ def build_chart(engine: EphemerisEngine, moment: ChartMoment, house_system: str
          "longitude": decimal(norm360(lot["longitude"] - off)),   # w wybranym zodiaku
          "sign": SIGNS[sign_index(norm360(lot["longitude"] - off))],
          "in_sign": in_sign(norm360(lot["longitude"] - off)),
-         "house": H.assign_house(lot["longitude"], cusp_list)}     # dom po długości tropikalnej
+         "house": H.assign_house(lot["longitude"], cusp_list),     # dom po długości tropikalnej
+         "glyph": GL.glyph_for(lot["name"]),                       # ⊗ dla Fortuny; reszta None (LOG-22)
+         "sign_glyph": GL.sign_glyph(SIGNS[sign_index(norm360(lot["longitude"] - off))])}
         for lot in compute_lots(pts, day, lots_method)
     ]
     return result

services/logic/app/engine/glyphs.py

@@ -0,0 +1,177 @@
+"""Konwersja tekst ↔ symbol astrologiczny (LOG-22).
+
+Litery i słowa (Sa Pis 26°08' conj Fortune) ↔ glify (♄ ♓ 26°08' ☌ ⊗). Potrzebne
+pod rysowanie kosmogramu (PRE-12) — planety i znaki na kole rysujemy symbolami.
+
+DWIE zasady z bazy wymagań, obie krytyczne:
+  * DAN-18: TYLKO tekstowy Unicode, NIGDY emoji. Część znaków (zodiak, ♀, ♂) ma
+    domyślnie prezentację emoji — kolorowy kwadrat zamiast czarno-białego glifu,
+    nieczytelny i niesterowalny przez CSS. Wymuszamy prezentację tekstową
+    selektorem wariantu U+FE0E (NIE U+FE0F, który robi odwrotnie).
+  * DAN-17: łańcuch musi znosić dowolny Unicode. Reverse (symbol→tekst)
+    normalizuje wejście, zdejmując selektory wariantu, żeby glif z FE0E i bez
+    dawał ten sam wynik.
+
+Glify zapisane przez \\u — jednoznaczne code-pointy, odporne na zniekształcenia
+edytorów i samodokumentujące (widać, który to znak Unicode).
+"""
+from __future__ import annotations
+
+# selektory wariantu prezentacji
+_TEXT = "︎"      # VS15 — wymusza glif tekstowy (czarno-biały)
+_EMOJI = "️"     # VS16 — prezentacja emoji; NIGDY nie emitujemy, zdejmujemy przy reverse
+
+
+def _t(cp: str) -> str:
+    """Znak z wymuszoną prezentacją tekstową (dokleja VS15)."""
+    return cp + _TEXT
+
+
+# ── planety i światła ────────────────────────────────────────────────────
+# ♀ i ♂ mają wariant emoji → wymuszamy tekst; reszta jest tekstowa domyślnie.
+PLANET = {
+    "Sun": "☉",        # ☉
+    "Moon": "☽",       # ☽
+    "Mercury": "☿",    # ☿
+    "Venus": _t("♀"),  # ♀︎
+    "Mars": _t("♂"),   # ♂︎
+    "Jupiter": "♃",    # ♃
+    "Saturn": "♄",     # ♄
+    "Uranus": "♅",     # ♅
+    "Neptune": "♆",    # ♆
+    "Pluto": "♇",      # ♇
+}
+
+# ── punkty wirtualne ─────────────────────────────────────────────────────
+POINT = {
+    "North Node": "☊",  # ☊
+    "South Node": "☋",  # ☋
+    "Lilith": "⚸",      # ⚸  (Black Moon Lilith)
+    "Chiron": "⚷",      # ⚷
+}
+
+# ── Lots (punkty arabskie) ───────────────────────────────────────────────
+# Standardowy glif ma tylko Fortuna (⊗). Reszta Lotów nie ma powszechnie
+# wspieranego symbolu → zwracamy None i UI pokazuje nazwę.
+LOT = {
+    "Fortune": "⊗",         # ⊗
+    "Part of Fortune": "⊗",
+}
+
+# ── znaki zodiaku (wszystkie mają wariant emoji → wszystkie z VS15) ──────
+_SIGN_CP = {
+    "Aries": "♈", "Taurus": "♉", "Gemini": "♊", "Cancer": "♋",
+    "Leo": "♌", "Virgo": "♍", "Libra": "♎", "Scorpio": "♏",
+    "Sagittarius": "♐", "Capricorn": "♑", "Aquarius": "♒", "Pisces": "♓",
+}
+SIGN = {name: _t(cp) for name, cp in _SIGN_CP.items()}
+
+# ── aspekty (nazwy jak w aspects.py + minor z abbreviations) ─────────────
+ASPECT = {
+    "conjunction": "☌",   # ☌
+    "opposition": "☍",    # ☍
+    "trine": "△",         # △
+    "square": "□",        # □
+    "sextile": "⚹",       # ⚹
+    "semisextile": "⚺",   # ⚺
+    "quincunx": "⚻",      # ⚻
+    "semisquare": "∠",    # ∠
+}
+
+# ── ruch ─────────────────────────────────────────────────────────────────
+RETROGRADE = "℞"          # ℞
+DIRECT = "D"              # zwykłe „D" — brak dedykowanego glifu prostego ruchu
+
+
+# ── forward: nazwa → glif ────────────────────────────────────────────────
+
+def glyph_for(name: str) -> str | None:
+    """Glif obiektu/punktu/Lota po nazwie (jak w silniku). None, gdy brak."""
+    return PLANET.get(name) or POINT.get(name) or LOT.get(name)
+
+
+def sign_glyph(sign: str) -> str | None:
+    return SIGN.get(sign)
+
+
+def aspect_glyph(aspect: str) -> str | None:
+    return ASPECT.get(aspect)
+
+
+# ── reverse: glif → nazwa ────────────────────────────────────────────────
+
+def _strip_variants(g: str) -> str:
+    """Zdejmuje selektory wariantu — glif z FE0E i bez daje ten sam klucz."""
+    return g.replace(_TEXT, "").replace(_EMOJI, "")
+
+
+def _reverse(mapping: dict[str, str]) -> dict[str, str]:
+    # pierwsze wystąpienie wygrywa (Fortune vs Part of Fortune → 'Fortune')
+    out: dict[str, str] = {}
+    for name, g in mapping.items():
+        out.setdefault(_strip_variants(g), name)
+    return out
+
+
+_PLANET_POINT_REV = _reverse({**PLANET, **POINT, **{"Fortune": LOT["Fortune"]}})
+_SIGN_REV = _reverse(SIGN)
+_ASPECT_REV = _reverse(ASPECT)
+
+
+def name_for_glyph(g: str) -> str | None:
+    """Obiekt/punkt po glifie (znosi obecność lub brak selektora wariantu)."""
+    return _PLANET_POINT_REV.get(_strip_variants(g))
+
+
+def sign_for_glyph(g: str) -> str | None:
+    return _SIGN_REV.get(_strip_variants(g))
+
+
+def aspect_for_glyph(g: str) -> str | None:
+    return _ASPECT_REV.get(_strip_variants(g))
+
+
+# ── glifikacja tekstu sygnifikatora (składnia [XX z bazy) ────────────────
+# Nasze sygnifikatory zapisane są tokenami z prefiksem [ (np. „[Sa [conj [PF").
+# glyphify zamienia znane tokeny na glify, resztę zostawia. To druga strona
+# abbreviations.expand: tam token → słowo, tu token → symbol.
+import re as _re
+
+# token po nawiasie (np. „Su", „Tau", „conj", „PF") → glif
+_TOKEN_GLYPH: dict[str, str] = {}
+_ABBR_TO_NAME = {
+    "Su": "Sun", "Mo": "Moon", "Me": "Mercury", "Ve": "Venus", "Ma": "Mars",
+    "Ju": "Jupiter", "Sa": "Saturn", "Ur": "Uranus", "Ne": "Neptune", "Pl": "Pluto",
+    "NN": "North Node", "SN": "South Node", "Lilith": "Lilith", "Chiron": "Chiron",
+    "PF": "Fortune", "Fortune": "Fortune",
+}
+for _abbr, _name in _ABBR_TO_NAME.items():
+    _g = glyph_for(_name)
+    if _g:
+        _TOKEN_GLYPH[_abbr] = _g
+_SIGN_ABBR_NAME = {
+    "Ari": "Aries", "Tau": "Taurus", "Gem": "Gemini", "Can": "Cancer", "Leo": "Leo",
+    "Vir": "Virgo", "Lib": "Libra", "Sco": "Scorpio", "Sag": "Sagittarius",
+    "Cap": "Capricorn", "Aqu": "Aquarius", "Pis": "Pisces",
+}
+for _abbr, _name in _SIGN_ABBR_NAME.items():
+    _TOKEN_GLYPH[_abbr] = SIGN[_name]
+_ASP_ABBR_NAME = {
+    "conj": "conjunction", "opp": "opposition", "tri": "trine", "sq": "square",
+    "sex": "sextile", "semisex": "semisextile", "quincunx": "quincunx", "semisq": "semisquare",
+}
+for _abbr, _name in _ASP_ABBR_NAME.items():
+    if _name in ASPECT:
+        _TOKEN_GLYPH[_abbr] = ASPECT[_name]
+
+_TOKEN_RE = _re.compile(r"\[([A-Za-z]+)")
+
+
+def glyphify(text: str) -> str:
+    """Zamienia tokeny [XX na glify; nieznane zostawia bez zmiany. Dodatkowo
+    »Rx«/»R« → ℞. Nie parsuje stopni — te i tak są czytelne (26°08')."""
+    if not text:
+        return text
+    out = _TOKEN_RE.sub(lambda m: _TOKEN_GLYPH.get(m.group(1), m.group(0)), text)
+    out = _re.sub(r"\bR[x]?\b", RETROGRADE, out)
+    return out

services/logic/app/engine/out_of_zodiac.py

@@ -0,0 +1,140 @@
+"""Aspekty pozazodiakalne (LOG-07): paralele deklinacji i antyscja.
+
+Aspekty głowne (LOG-06) mierzą kąt wzdłuż EKLIPTYKI. Ale dwa ciała mogą być
+powiązane też inaczej — a te powiązania klasyczna astrologia liczy naprawdę,
+nie na oko:
+
+* **Paralela / kontrparalela deklinacji.** Deklinacja to „szerokość" na równiku
+  niebieskim — jak daleko na północ/południe od równika stoi ciało. Dwa ciała na
+  tej samej deklinacji (parallel) działają jak koniunkcja, na przeciwnej
+  (kontrparalela) — jak opozycja, mimo że wzdłuż ekliptyki mogą być gdziekolwiek.
+  Baza interpretacyjna zna to zjawisko pod skrótem „P. Dec.".
+
+* **Antyscja / kontrantyscja.** Odbicie punktu względem osi przesileń
+  (0° Raka – 0° Koziorożca). Dwa punkty w antyscji są równo odległe od tej osi —
+  „dzielą" tę samą długość dnia. Kontrantyscja to odbicie względem osi
+  równonocy (0° Barana – 0° Wagi).
+
+Wszystko liczymy na współrzędnych TROPIKALNYCH of-date, bo:
+  - deklinacja jest wielkością fizyczną (równikową), niezależną od wyboru zodiaku;
+  - antyscja jest z definicji tropikalna — jej oś to punkty przesileń, czyli
+    kardynalne punkty zodiaku tropikalnego.
+Dlatego moduł bierze surowe długości/szerokości z silnika, a nie etykiety po
+przesunięciu na zodiak syderyczny/draconiczny.
+"""
+from __future__ import annotations
+
+from app.engine.aspects import LUMINARIES, RIGID_PAIRS, separation
+from app.engine.formats import norm360
+from app.engine.zodiac import to_equatorial
+
+# Orby — konfigurowalne (wymóg LOG-07). Paralele i antyscja są klasycznie CIASNE:
+# to kontakty „punktowe", więc szeroki orb produkowałby fałszywe trafienia.
+DECL_ORB = 1.0        # ° deklinacji dla paraleli/kontrparaleli
+ANTISCIA_ORB = 1.0    # ° długości dla antyscji/kontrantyscji
+LUMINARY_BONUS = 0.0  # świadomie 0 — te kontakty trzymamy ciasno; do podniesienia w API
+
+
+def _is_rigid(name_a: str, name_b: str) -> bool:
+    return frozenset({name_a, name_b}) in RIGID_PAIRS
+
+
+def declination(lon: float, lat: float, eps: float) -> float:
+    """Deklinacja [−90, 90]° z długości i szerokości ekliptycznej (pełny wzór,
+    z szerokością — istotne dla Księżyca i planet, które schodzą z ekliptyki)."""
+    _, dec = to_equatorial(lon, lat, eps)
+    return dec
+
+
+def is_out_of_bounds(dec: float, eps: float) -> bool:
+    """Deklinacja poza zakresem Słońca (|dec| > nachylenie ekliptyki).
+
+    „Out of bounds" — ciało zaszło dalej na północ/południe, niż Słońce kiedykolwiek
+    potrafi. Astrologicznie czytane jako działanie „poza normą", stąd wart odnotowania."""
+    return abs(dec) > eps
+
+
+def antiscion(lon: float) -> float:
+    """Odbicie długości względem osi przesileń (0° Raka – 0° Koziorożca)."""
+    return norm360(180.0 - lon)
+
+
+def contra_antiscion(lon: float) -> float:
+    """Odbicie długości względem osi równonocy (0° Barana – 0° Wagi)."""
+    return norm360(-lon)
+
+
+def _allowed(orb: float, name_a: str, name_b: str, bonus: float) -> float:
+    if bonus and (name_a in LUMINARIES or name_b in LUMINARIES):
+        return orb + bonus
+    return orb
+
+
+def find_declination_aspects(
+    bodies: list[dict], orb: float = DECL_ORB, luminary_bonus: float = LUMINARY_BONUS
+) -> list[dict]:
+    """bodies: dicty z 'name' i 'declination' (°).
+
+    Zwraca paralele (ta sama deklinacja) i kontrparalele (przeciwna). Pary z
+    RIGID_PAIRS pomijane — np. węzły są z definicji zawsze w kontrparaleli
+    (SN = NN+180 na ekliptyce → deklinacja przeciwna), co nie niesie informacji.
+    """
+    out: list[dict] = []
+    n = len(bodies)
+    for i in range(n):
+        for j in range(i + 1, n):
+            a, b = bodies[i], bodies[j]
+            if _is_rigid(a["name"], b["name"]):
+                continue
+            da, db = a.get("declination"), b.get("declination")
+            if da is None or db is None:
+                continue
+            da, db = float(da), float(db)
+            allowed = _allowed(orb, a["name"], b["name"], luminary_bonus)
+            parallel_dev = abs(da - db)
+            contra_dev = abs(da + db)
+            # ciało może wpaść tylko w jeden z dwóch — bierzemy ciaśniejszy
+            if parallel_dev <= allowed and parallel_dev <= contra_dev:
+                out.append(_row("parallel", a, b, parallel_dev, allowed, da, db))
+            elif contra_dev <= allowed:
+                out.append(_row("contraparallel", a, b, contra_dev, allowed, da, db))
+    return out
+
+
+def find_antiscia(
+    bodies: list[dict], orb: float = ANTISCIA_ORB, luminary_bonus: float = LUMINARY_BONUS
+) -> list[dict]:
+    """bodies: dicty z 'name' i 'decimal' (długość tropikalna of-date, °).
+
+    Zwraca antyscje (odbicie względem osi przesileń) i kontrantyscje (osi równonocy).
+    """
+    out: list[dict] = []
+    n = len(bodies)
+    for i in range(n):
+        for j in range(i + 1, n):
+            a, b = bodies[i], bodies[j]
+            if _is_rigid(a["name"], b["name"]):
+                continue
+            la, lb = a.get("decimal"), b.get("decimal")
+            if la is None or lb is None:
+                continue
+            la, lb = float(la), float(lb)
+            allowed = _allowed(orb, a["name"], b["name"], luminary_bonus)
+            anti_dev = separation(la, antiscion(lb))
+            contra_dev = separation(la, contra_antiscion(lb))
+            if anti_dev <= allowed and anti_dev <= contra_dev:
+                out.append(_row("antiscion", a, b, anti_dev, allowed))
+            elif contra_dev <= allowed:
+                out.append(_row("contra_antiscion", a, b, contra_dev, allowed))
+    return out
+
+
+def _row(kind: str, a: dict, b: dict, dev: float, allowed: float,
+         dec_a: float | None = None, dec_b: float | None = None) -> dict:
+    row = {
+        "obj1": a["name"], "obj2": b["name"],
+        "type": kind, "orb": round(dev, 3), "allowed": round(allowed, 3),
+    }
+    if dec_a is not None:
+        row["dec1"], row["dec2"] = round(dec_a, 3), round(dec_b, 3)
+    return row

services/logic/app/engine/tables.py

@@ -0,0 +1,368 @@
+"""Tabele pomocnicze horoskopu (LOG-23).
+
+Zbiór wyliczeń, które astrolog czyta „obok" pozycji: bilans żywiołów i jakości,
+faza Księżyca, stopnie krytyczne, dzień i godziny planetarne, syzygia prenatalna
+oraz podziały (dwunastniki i nawamsa).
+
+Dwie rzeczy wymagają prawdziwego liczenia, nie tabelki:
+  * **godziny planetarne** — są NIERÓWNE: dzień od wschodu do zachodu Słońca dzieli
+    się na 12 części, noc osobno. Bez faktycznego wschodu/zachodu wynik byłby
+    zmyślony, więc szukamy ich numerycznie (przejście wysokości Słońca przez −0°50′);
+  * **syzygia prenatalna** — ostatni nów albo pełnia PRZED urodzeniem; szukamy
+    wstecz momentu, w którym elongacja Księżyca przechodzi przez 0° lub 180°.
+
+Moduł jest silnik-agnostyczny: potrzebuje tylko `positions()` i `sidereal()`.
+"""
+from __future__ import annotations
+
+import math
+from datetime import datetime, timedelta
+
+from app.engine.formats import SIGNS, in_sign, norm360, sign_index
+from app.engine.models import ChartMoment
+from app.engine.zodiac import to_equatorial
+
+# --- żywioły i jakości ------------------------------------------------------
+ELEMENTS = ["Fire", "Earth", "Air", "Water"]
+QUALITIES = ["Cardinal", "Fixed", "Mutable"]
+ELEMENT_PL = {"Fire": "Ogień", "Earth": "Ziemia", "Air": "Powietrze", "Water": "Woda"}
+QUALITY_PL = {"Cardinal": "Kardynalny", "Fixed": "Stały", "Mutable": "Zmienny"}
+
+CLASSICAL = ["Sun", "Moon", "Mercury", "Venus", "Mars", "Jupiter", "Saturn"]
+MODERN = CLASSICAL + ["Uranus", "Neptune", "Pluto"]
+
+# --- dzień i godziny planetarne --------------------------------------------
+# Kolejność chaldejska: od najwolniejszej do najszybszej planety
+CHALDEAN = ["Saturn", "Jupiter", "Mars", "Sun", "Venus", "Mercury", "Moon"]
+# Władca dnia wg dnia tygodnia (0 = poniedziałek, jak w datetime.weekday())
+WEEKDAY_RULER = ["Moon", "Mars", "Mercury", "Jupiter", "Venus", "Saturn", "Sun"]
+
+# wysokość środka tarczy Słońca przy wschodzie/zachodzie (refrakcja + promień tarczy)
+SUNRISE_ALTITUDE = -0.833
+
+
+def element_of(sign: str) -> str:
+    return ELEMENTS[SIGNS.index(sign) % 4]
+
+
+def quality_of(sign: str) -> str:
+    return QUALITIES[SIGNS.index(sign) % 3]
+
+
+def tally(positions: list[dict], asc_sign: str | None = None,
+          modern: bool = True) -> dict:
+    """Bilans żywiołów i jakości (LOG-23).
+
+    Liczymy w dwóch wariantach naraz, bo szkoły się różnią: 7 planet klasycznych
+    i 10 z nowożytnymi. Ascendent doliczany osobno — bywa traktowany jak punkt
+    równorzędny planetom.
+    """
+    wanted = MODERN if modern else CLASSICAL
+    by_name = {p.get("name"): p for p in positions}
+
+    def count(names: list[str], with_asc: bool) -> dict:
+        elements = dict.fromkeys(ELEMENTS, 0)
+        qualities = dict.fromkeys(QUALITIES, 0)
+        used = []
+        for name in names:
+            p = by_name.get(name)
+            if not p or not p.get("sign"):
+                continue
+            elements[element_of(p["sign"])] += 1
+            qualities[quality_of(p["sign"])] += 1
+            used.append(name)
+        if with_asc and asc_sign:
+            elements[element_of(asc_sign)] += 1
+            qualities[quality_of(asc_sign)] += 1
+            used.append("Asc")
+        return {"elements": elements, "qualities": qualities,
+                "counted": used, "total": len(used)}
+
+    classical = count(CLASSICAL, False)
+    result = {
+        "classical_7": classical,
+        "with_modern_10": count(wanted, False),
+        "classical_7_plus_asc": count(CLASSICAL, True),
+        "with_modern_10_plus_asc": count(wanted, True),
+    }
+    # brakujące żywioły — klasyczne „no air" itd., podstawa pod scoring (LOG-21)
+    base = result["with_modern_10_plus_asc"]
+    result["missing_elements"] = [e for e, n in base["elements"].items() if n == 0]
+    result["missing_qualities"] = [q for q, n in base["qualities"].items() if n == 0]
+    result["labels"] = {"elements": ELEMENT_PL, "qualities": QUALITY_PL}
+    return result
+
+
+# --- faza Księżyca ----------------------------------------------------------
+_PHASES = [
+    (0.0, "New Moon", "Nów"),
+    (45.0, "Waxing Crescent", "Sierp przybywający"),
+    (90.0, "First Quarter", "Pierwsza kwadra"),
+    (135.0, "Waxing Gibbous", "Garb przybywający"),
+    (180.0, "Full Moon", "Pełnia"),
+    (225.0, "Waning Gibbous", "Garb ubywający"),
+    (270.0, "Last Quarter", "Ostatnia kwadra"),
+    (315.0, "Waning Crescent", "Sierp ubywający"),
+]
+
+
+def moon_phase(sun_lon: float, moon_lon: float) -> dict:
+    """Faza Księżyca z elongacji (Księżyc − Słońce)."""
+    angle = norm360(moon_lon - sun_lon)
+    idx = int(((angle + 22.5) % 360.0) // 45.0)
+    _, name, name_pl = _PHASES[idx]
+    illumination = (1.0 - math.cos(math.radians(angle))) / 2.0
+    return {
+        "angle": round(angle, 4),
+        "phase": name,
+        "phase_pl": name_pl,
+        "illumination": round(illumination, 4),
+        "waxing": angle < 180.0,
+    }
+
+
+# --- stopnie krytyczne ------------------------------------------------------
+# klasyczne stopnie krytyczne zależą od jakości znaku
+_CRITICAL = {"Cardinal": (0, 13, 26), "Fixed": (8, 21), "Mutable": (4, 17)}
+CRITICAL_ORB = 1.0
+
+
+def critical_degrees(positions: list[dict]) -> list[dict]:
+    """Obiekty stojące na stopniach krytycznych, 0° albo 29° (anaretycznym)."""
+    out = []
+    for p in positions:
+        lon = p.get("decimal")
+        sign = p.get("sign")
+        if lon is None or not sign:
+            continue
+        deg = norm360(lon) - sign_index(lon) * 30.0
+        flags = []
+        for critical in _CRITICAL[quality_of(sign)]:
+            if abs(deg - critical) <= CRITICAL_ORB:
+                flags.append(f"stopień krytyczny {critical}° ({QUALITY_PL[quality_of(sign)].lower()})")
+        if deg >= 29.0:
+            flags.append("29° — stopień anaretyczny (koniec znaku)")
+        elif deg < 1.0:
+            flags.append("0° — wejście w znak")
+        if flags:
+            out.append({"name": p.get("name"), "sign": sign,
+                        "in_sign": p.get("in_sign"), "flags": flags})
+    return out
+
+
+# --- podziały: dwunastnik i nawamsa ----------------------------------------
+def dwadasamsa(lon: float) -> float:
+    """12. część (dwadasamsa): znak dzielony na 12 po 2°30′, licząc od siebie."""
+    lon = norm360(lon)
+    start = sign_index(lon) * 30.0
+    return norm360(start + (lon - start) * 12.0)
+
+
+def navamsa(lon: float) -> float:
+    """9. część (nawamsa): 108 podziałów po 3°20′ liczonych od 0° Barana."""
+    lon = norm360(lon)
+    part = int(lon // (30.0 / 9.0))
+    return norm360((part % 12) * 30.0 + (lon % (30.0 / 9.0)) * 9.0)
+
+
+def divisional(positions: list[dict]) -> list[dict]:
+    """Pozycje w podziałach 12. i 9. — obie tabele naraz."""
+    out = []
+    for p in positions:
+        lon = p.get("decimal")
+        if lon is None:
+            continue
+        d12, d9 = dwadasamsa(lon), navamsa(lon)
+        out.append({
+            "name": p.get("name"),
+            "d12_sign": SIGNS[sign_index(d12)], "d12_in_sign": in_sign(d12),
+            "d9_sign": SIGNS[sign_index(d9)], "d9_in_sign": in_sign(d9),
+        })
+    return out
+
+
+# --- wschód/zachód Słońca i godziny planetarne ------------------------------
+def sun_altitude(engine, moment: ChartMoment) -> float:
+    """Wysokość Słońca nad horyzontem [°] dla momentu i miejsca."""
+    ramc, eps = engine.sidereal(moment)
+    sun = engine.positions(moment, ["Sun"])[0]
+    ra, dec = to_equatorial(sun.longitude, sun.latitude, eps)
+    hour_angle = math.radians(norm360(ramc - ra))
+    phi, d = math.radians(moment.lat), math.radians(dec)
+    sin_alt = math.sin(d) * math.sin(phi) + math.cos(d) * math.cos(phi) * math.cos(hour_angle)
+    return math.degrees(math.asin(max(-1.0, min(1.0, sin_alt))))
+
+
+def _at(moment: ChartMoment, when: datetime) -> ChartMoment:
+    return ChartMoment(when_utc=when, lat=moment.lat, lon=moment.lon)
+
+
+def _crossings(engine, moment: ChartMoment, start: datetime, end: datetime,
+               step_minutes: int = 20) -> list[tuple[datetime, str]]:
+    """Momenty przejścia Słońca przez horyzont w oknie [start, end].
+
+    Skan zgrubny + bisekcja — ten sam wzorzec co przy stacjach planet (LOG-03).
+    """
+    out: list[tuple[datetime, str]] = []
+    step = timedelta(minutes=step_minutes)
+    t0 = start
+    f0 = sun_altitude(engine, _at(moment, t0)) - SUNRISE_ALTITUDE
+    while t0 < end:
+        t1 = min(t0 + step, end)
+        f1 = sun_altitude(engine, _at(moment, t1)) - SUNRISE_ALTITUDE
+        if f0 == 0.0 or (f0 < 0.0) != (f1 < 0.0):
+            lo, hi, flo = t0, t1, f0
+            for _ in range(40):                     # ~sekundowa dokładność
+                mid = lo + (hi - lo) / 2
+                fmid = sun_altitude(engine, _at(moment, mid)) - SUNRISE_ALTITUDE
+                if (flo < 0.0) != (fmid < 0.0):
+                    hi = mid
+                else:
+                    lo, flo = mid, fmid
+            out.append((lo + (hi - lo) / 2, "sunrise" if f1 > f0 else "sunset"))
+        t0, f0 = t1, f1
+    return out
+
+
+def planetary_hours(engine, moment: ChartMoment) -> dict | None:
+    """Dzień i godziny planetarne w porządku chaldejskim (LOG-23).
+
+    Godziny są NIERÓWNE: dzień (wschód→zachód) i noc (zachód→wschód) dzielą się
+    na 12 części każde. Doba planetarna zaczyna się o WSCHODZIE, nie o północy —
+    dlatego władcę dnia bierzemy z dnia tygodnia tego wschodu, który otworzył
+    bieżący okres.
+
+    Zwraca None dla dnia polarnego/nocy polarnej, gdzie wschód nie występuje.
+    """
+    now = moment.when_utc
+    events = _crossings(engine, moment, now - timedelta(hours=30), now + timedelta(hours=30))
+    if not events:
+        return None                                  # brak wschodu/zachodu w oknie
+
+    before = [e for e in events if e[0] <= now]
+    after = [e for e in events if e[0] > now]
+    if not before or not after:
+        return None
+
+    last_time, last_kind = before[-1]
+    next_time, _ = after[0]
+
+    daytime = last_kind == "sunrise"
+    period_start, period_end = last_time, next_time
+    # doba planetarna startuje o wschodzie: w nocy to wschód POPRZEDZAJĄCY zachód
+    day_start = last_time if daytime else next((t for t, k in reversed(before)
+                                                if k == "sunrise"), last_time)
+
+    length = (period_end - period_start) / 12
+    index = int((now - period_start) / length)
+    index = max(0, min(11, index))
+
+    day_ruler = WEEKDAY_RULER[day_start.weekday()]
+    hour_number = index if daytime else index + 12   # 0..23 od wschodu
+    ruler = CHALDEAN[(CHALDEAN.index(day_ruler) + hour_number) % 7]
+
+    hours = []
+    for i in range(12):
+        start = period_start + length * i
+        hours.append({
+            "index": i + 1,
+            "ruler": CHALDEAN[(CHALDEAN.index(day_ruler) + (i if daytime else i + 12)) % 7],
+            "start": start.isoformat(timespec="seconds"),
+            "end": (start + length).isoformat(timespec="seconds"),
+            "current": i == index,
+        })
+
+    return {
+        "day_ruler": day_ruler,
+        "hour_ruler": ruler,
+        "hour_number": hour_number + 1,
+        "daytime": daytime,
+        "period": "dzień" if daytime else "noc",
+        "hour_length_minutes": round(length.total_seconds() / 60.0, 2),
+        "period_start": period_start.isoformat(timespec="seconds"),
+        "period_end": period_end.isoformat(timespec="seconds"),
+        "hours": hours,
+    }
+
+
+# --- syzygia prenatalna -----------------------------------------------------
+def prenatal_syzygy(engine, moment: ChartMoment, max_days: float = 32.0) -> dict | None:
+    """Ostatni nów albo pełnia PRZED podanym momentem (LOG-23).
+
+    Szukamy wstecz przejścia elongacji przez 0° (nów) lub 180° (pełnia); bierzemy
+    to, które wypadło później. Cykl trwa ~29,5 dnia, więc okno 32 dni wystarcza.
+    """
+    def elongation(when: datetime) -> float:
+        pts = {p.name: p.longitude for p in
+               engine.positions(_at(moment, when), ["Sun", "Moon"])}
+        return norm360(pts["Moon"] - pts["Sun"])
+
+    def signed(when: datetime, target: float) -> float:
+        """Odległość od celu w [−180, 180] — zeruje się dokładnie w syzygii."""
+        return ((elongation(when) - target + 180.0) % 360.0) - 180.0
+
+    best: tuple[datetime, str] | None = None
+    for target, kind in ((0.0, "new_moon"), (180.0, "full_moon")):
+        step = timedelta(hours=6)
+        t1 = moment.when_utc
+        f1 = signed(t1, target)
+        scanned = timedelta()
+        while scanned < timedelta(days=max_days):
+            t0 = t1 - step
+            f0 = signed(t0, target)
+            if (f0 < 0.0) != (f1 < 0.0) and abs(f0 - f1) < 180.0:
+                lo, hi, flo = t0, t1, f0
+                for _ in range(40):
+                    mid = lo + (hi - lo) / 2
+                    fmid = signed(mid, target)
+                    if (flo < 0.0) != (fmid < 0.0):
+                        hi = mid
+                    else:
+                        lo, flo = mid, fmid
+                found = lo + (hi - lo) / 2
+                if best is None or found > best[0]:
+                    best = (found, kind)
+                break
+            t1, f1 = t0, f0
+            scanned += step
+
+    if best is None:
+        return None
+
+    when, kind = best
+    pts = {p.name: p.longitude for p in engine.positions(_at(moment, when), ["Sun", "Moon"])}
+    lon = pts["Sun"] if kind == "new_moon" else pts["Moon"]
+    return {
+        "type": kind,
+        "type_pl": "nów" if kind == "new_moon" else "pełnia",
+        "when_utc": when.isoformat(timespec="seconds"),
+        "days_before_birth": round((moment.when_utc - when).total_seconds() / 86400.0, 3),
+        "sign": SIGNS[sign_index(lon)],
+        "in_sign": in_sign(lon),
+        "decimal": round(norm360(lon), 6),
+    }
+
+
+# --- złożenie wszystkiego ---------------------------------------------------
+def build_tables(engine, moment: ChartMoment, chart: dict,
+                 heavy: bool = True) -> dict:
+    """Komplet tabel dla policzonego horoskopu.
+
+    `heavy=False` pomija wyliczenia wymagające szukania numerycznego (godziny
+    planetarne, syzygia) — przydatne, gdy liczy się czas odpowiedzi.
+    """
+    positions = chart.get("positions") or []
+    by_name = {p.get("name"): p for p in positions}
+    asc_sign = (chart.get("angles") or {}).get("Asc", {}).get("sign")
+
+    out: dict = {
+        "tally": tally(positions, asc_sign),
+        "critical_degrees": critical_degrees(positions),
+        "divisional": divisional(positions),
+    }
+    if "Sun" in by_name and "Moon" in by_name:
+        out["moon_phase"] = moon_phase(by_name["Sun"]["decimal"], by_name["Moon"]["decimal"])
+    if heavy:
+        out["planetary_hours"] = planetary_hours(engine, moment)
+        out["prenatal_syzygy"] = prenatal_syzygy(engine, moment)
+    return out

services/logic/app/link_crypto.py

@@ -0,0 +1,525 @@
+"""Szyfrowanie łączy między warstwami (PRE-16 / LOG-33).
+
+Do tej pory warstwy rozmawiały ze sobą zwykłym HTTP-em wewnątrz klastra. Token
+międzywarstwowy (LOG-32) mówił KTO pyta, ale nie ukrywał CZEGO dotyczy odpowiedź
+— a płyną nią surowe wiersze oryginalnych baz interpretacyjnych, czyli rdzeń
+produktu. Kto podsłuchał ruch wewnątrz sieci (drugi pod, port mirror na switchu,
+zrzut z węzła), miał je w całości.
+
+Ten moduł zamyka tę drogę: **AES-256-GCM** na ciele każdego żądania i odpowiedzi.
+GCM daje jednocześnie poufność i uwierzytelnienie — cudzy albo podmieniony bajt
+nie odszyfruje się w ogóle, więc nie ma osobnego problemu „zaszyfrowane, ale
+podatne na modyfikację".
+
+**Dwa niezależne klucze**, po jednym na parę rozmówców:
+  * ``LINK_KEY_PRESENTATION_LOGIC`` — prezentacja ↔ logika,
+  * ``LINK_KEY_LOGIC_DATA``        — logika ↔ dane.
+Dzięki temu przejęcie klucza prezentacji nie daje dostępu do warstwy danych,
+gdzie leżą całe bazy. Logika trzyma oba, bo rozmawia w obie strony.
+
+Z każdego klucza łącza wyprowadzamy **osobne podklucze na kierunek** (HKDF).
+Żądanie i odpowiedź nigdy nie szyfrują się tym samym kluczem, więc powtórzenie
+losowej jednorazówki w jedną stronę nie osłabia drugiej.
+
+Format ramki (bo strumień odpowiedzi może iść kawałkami — patrz okno postępu):
+
+    [4 bajty długości][magia "AL1"][12 bajtów jednorazówki][szyfrogram + znacznik]
+
+Do materiału uwierzytelnianego (AAD) wchodzą kierunek, ścieżka, znacznik czasu
+i numer ramki. Skutek: ramki nie da się przekleić do innego endpointu, odtworzyć
+po czasie (dopuszczalny poślizg ``MAX_SKEW``) ani przestawić w strumieniu.
+
+Bez ustawionego klucza moduł **przepuszcza ruch otwartym tekstem** (dev, zgodność
+wstecz) i krzyczy o tym przy starcie. Gdy klucz JEST ustawiony, warstwa serwerowa
+działa fail-closed: nieszyfrowane żądanie dostaje odmowę, żeby przypadkowa
+regresja po stronie klienta nie oznaczała cichego powrotu do jawnego ruchu.
+"""
+from __future__ import annotations
+
+import base64
+import binascii
+import logging
+import os
+import struct
+import time
+from typing import Iterable, Iterator
+
+from cryptography.exceptions import InvalidTag
+from cryptography.hazmat.primitives import hashes
+from cryptography.hazmat.primitives.ciphers.aead import AESGCM
+from cryptography.hazmat.primitives.kdf.hkdf import HKDF
+
+log = logging.getLogger("astrololo.link")
+
+MAGIC = b"AL1"
+VERSION = "v1"
+NONCE_BYTES = 12
+KEY_BYTES = 32                      # AES-256
+LENGTH_PREFIX = 4
+MAX_FRAME = 64 * 1024 * 1024        # zapora przed alokacją z podanej długości
+MAX_SKEW_SECONDS = 300.0
+
+HEADER_ENC = "X-Astrololo-Enc"
+HEADER_TS = "X-Astrololo-Enc-Ts"
+CONTENT_TYPE = "application/vnd.astrololo.enc"
+
+ENV_PRESENTATION_LOGIC = "LINK_KEY_PRESENTATION_LOGIC"
+ENV_LOGIC_DATA = "LINK_KEY_LOGIC_DATA"
+# Trzecia para: prezentacja ↔ render (PRE-24). Osobny klucz, jak przy pozostałych —
+# usługa render dostaje CAŁY raport (dane urodzeniowe + opisy z baz), więc przejęcie
+# jej klucza nie może otwierać łącza do logiki ani do danych.
+ENV_PRESENTATION_RENDER = "LINK_KEY_PRESENTATION_RENDER"
+ENV_REQUIRED = "LINK_ENCRYPTION_REQUIRED"
+
+REQUEST, RESPONSE = b"req", b"res"
+
+# Sondy k8s pukają tu bez klucza i tak ma zostać — inaczej pierwsza literówka
+# w sekrecie kładłaby pody zamiast pokazać błąd w aplikacji.
+PUBLIC_PATHS = frozenset({"/health"})
+
+
+class LinkError(Exception):
+    """Cokolwiek poszło nie tak z kopertą — celowo bez szczegółów na zewnątrz."""
+
+
+# --------------------------------------------------------------------- klucze
+
+def parse_key(raw: str) -> bytes:
+    """Klucz z konfiguracji: hex (64 znaki) albo base64. Zawsze 32 bajty."""
+    text = raw.strip()
+    if not text:
+        raise LinkError("pusty klucz łącza")
+    try:
+        key = bytes.fromhex(text)
+    except ValueError:
+        try:
+            key = base64.b64decode(text, validate=True)
+        except (binascii.Error, ValueError) as exc:
+            raise LinkError("klucz łącza nie jest ani hexem, ani base64") from exc
+    if len(key) != KEY_BYTES:
+        raise LinkError(
+            f"klucz łącza ma {len(key)} B zamiast {KEY_BYTES} — wygeneruj przez "
+            f"`openssl rand -hex 32`"
+        )
+    return key
+
+
+def key_from_env(env_name: str) -> bytes | None:
+    """Klucz albo None. Zły klucz to wyjątek OD RAZU — nie przy pierwszym żądaniu."""
+    raw = os.getenv(env_name, "")
+    return parse_key(raw) if raw.strip() else None
+
+
+def encryption_required() -> bool:
+    """Czy brak klucza ma być błędem, a nie cichym powrotem do jawnego ruchu.
+
+    Serwer sam z siebie broni się fail-closed, ale to za mało: klient BEZ klucza
+    wysyła pytanie otwartym tekstem i dopiero potem dostaje odmowę — czyli treść
+    zapytania zdążyła już przelecieć przez sieć. Ta flaga zatrzymuje go, zanim
+    cokolwiek opuści proces. Ustawiana razem z kluczami we wdrożeniu.
+    """
+    return os.getenv(ENV_REQUIRED, "").strip().lower() in {"1", "true", "yes", "on"}
+
+
+def _subkey(link_key: bytes, direction: bytes) -> bytes:
+    return HKDF(
+        algorithm=hashes.SHA256(), length=KEY_BYTES, salt=None,
+        info=b"astrololo/link/" + direction,
+    ).derive(link_key)
+
+
+class Link:
+    """Jedna para rozmówców: klucz plus wyprowadzone z niego podklucze."""
+
+    def __init__(self, link_key: bytes) -> None:
+        self._by_direction = {
+            REQUEST: AESGCM(_subkey(link_key, REQUEST)),
+            RESPONSE: AESGCM(_subkey(link_key, RESPONSE)),
+        }
+
+    # ---------------------------------------------------------- pojedyncza ramka
+
+    def _aad(self, direction: bytes, path: str, stamp: str, seq: int) -> bytes:
+        return b"|".join([MAGIC, direction, path.encode("utf-8"),
+                          stamp.encode("ascii"), str(seq).encode("ascii")])
+
+    def seal(self, direction: bytes, path: str, stamp: str, seq: int,
+             plaintext: bytes) -> bytes:
+        nonce = os.urandom(NONCE_BYTES)
+        sealed = self._by_direction[direction].encrypt(
+            nonce, plaintext, self._aad(direction, path, stamp, seq))
+        return MAGIC + nonce + sealed
+
+    def open(self, direction: bytes, path: str, stamp: str, seq: int,
+             frame: bytes) -> bytes:
+        if not frame.startswith(MAGIC):
+            raise LinkError("ramka bez znacznika astrololo")
+        body = frame[len(MAGIC):]
+        if len(body) <= NONCE_BYTES:
+            raise LinkError("ramka za krótka")
+        nonce, sealed = body[:NONCE_BYTES], body[NONCE_BYTES:]
+        try:
+            return self._by_direction[direction].decrypt(
+                nonce, sealed, self._aad(direction, path, stamp, seq))
+        except InvalidTag as exc:
+            # Jeden komunikat na wszystkie przypadki: zły klucz, podmieniony bajt,
+            # przeklejenie z innej ścieżki, przestawiona ramka. Rozróżnianie ich
+            # na zewnątrz podpowiadałoby atakującemu, w co trafił.
+            raise LinkError("nie udało się odszyfrować — zły klucz albo naruszone dane") from exc
+
+    # ------------------------------------------------------------ strumień ramek
+
+    def seal_stream(self, direction: bytes, path: str, stamp: str,
+                    chunks: Iterable[bytes]) -> Iterator[bytes]:
+        for seq, chunk in enumerate(chunks):
+            yield frame_out(self.seal(direction, path, stamp, seq, chunk))
+
+    def open_stream(self, direction: bytes, path: str, stamp: str,
+                    raw: bytes) -> Iterator[bytes]:
+        for seq, frame in enumerate(frames_in(raw)):
+            yield self.open(direction, path, stamp, seq, frame)
+
+    def open_all(self, direction: bytes, path: str, stamp: str, raw: bytes) -> bytes:
+        return b"".join(self.open_stream(direction, path, stamp, raw))
+
+
+# ---------------------------------------------------------------- ramkowanie
+
+def frame_out(payload: bytes) -> bytes:
+    return struct.pack(">I", len(payload)) + payload
+
+
+def frames_in(raw: bytes) -> Iterator[bytes]:
+    """Rozbiera bufor na ramki. Ucięty strumień to błąd, nie cicha strata danych."""
+    offset = 0
+    while offset < len(raw):
+        if offset + LENGTH_PREFIX > len(raw):
+            raise LinkError("urwana ramka (brak nagłówka długości)")
+        (size,) = struct.unpack(">I", raw[offset:offset + LENGTH_PREFIX])
+        if size > MAX_FRAME:
+            raise LinkError("ramka ponad dopuszczalny rozmiar")
+        offset += LENGTH_PREFIX
+        if offset + size > len(raw):
+            raise LinkError("urwana ramka (za mało danych)")
+        yield raw[offset:offset + size]
+        offset += size
+
+
+def unframe_incremental(buffer: bytearray) -> Iterator[bytes]:
+    """Wyjmuje z bufora KOMPLETNE ramki i zjada je; resztę zostawia na później.
+
+    Dla odbioru na żywo: kawałki przychodzą podzielone dowolnie i ramka potrafi
+    rozjechać się między dwa odczyty.
+    """
+    while True:
+        if len(buffer) < LENGTH_PREFIX:
+            return
+        (size,) = struct.unpack(">I", buffer[:LENGTH_PREFIX])
+        if size > MAX_FRAME:
+            raise LinkError("ramka ponad dopuszczalny rozmiar")
+        if len(buffer) < LENGTH_PREFIX + size:
+            return
+        frame = bytes(buffer[LENGTH_PREFIX:LENGTH_PREFIX + size])
+        del buffer[:LENGTH_PREFIX + size]
+        yield frame
+
+
+# ------------------------------------------------------------- świeżość ruchu
+
+def stamp_now() -> str:
+    return f"{time.time():.3f}"
+
+
+def check_stamp(stamp: str) -> None:
+    """Odrzuca ramki spoza okna czasowego — inaczej podsłuchane żądanie dałoby się
+    odtworzyć w dowolnym momencie w przyszłości."""
+    try:
+        sent = float(stamp)
+    except (TypeError, ValueError) as exc:
+        raise LinkError("brak albo błędny znacznik czasu") from exc
+    if abs(time.time() - sent) > MAX_SKEW_SECONDS:
+        raise LinkError("znacznik czasu poza dopuszczalnym oknem")
+
+
+# =========================================================== strona serwerowa
+
+class LinkCryptoMiddleware:
+    """Rozszyfrowuje wchodzące żądania i zaszyfrowuje wychodzące odpowiedzi.
+
+    Napisane jako czyste ASGI, nie ``@app.middleware("http")``, bo trzeba
+    podmienić CIAŁO żądania jeszcze zanim zobaczy je FastAPI, oraz przepuścić
+    odpowiedź strumieniową kawałek po kawałku, bez zbierania jej w pamięci.
+    """
+
+    def __init__(self, app, link: Link | None, layer: str) -> None:
+        self.app = app
+        self.link = link
+        self.layer = layer
+
+    async def __call__(self, scope, receive, send):
+        if scope["type"] != "http" or self.link is None or scope["path"] in PUBLIC_PATHS:
+            return await self.app(scope, receive, send)
+
+        path = scope["path"]
+        headers = {k.decode("latin-1").lower(): v.decode("latin-1") for k, v in scope["headers"]}
+
+        if headers.get(HEADER_ENC.lower()) != VERSION:
+            # Fail-closed. Klucz jest ustawiony, więc jawne żądanie oznacza albo
+            # pomyłkę w konfiguracji, albo kogoś obcego — w obu wypadkach nie
+            # chcemy po cichu wrócić do jawnego ruchu.
+            log.warning("warstwa %s: odrzucone żądanie bez szyfrowania łącza (%s)",
+                        self.layer, path)
+            return await _refuse(send, "Łącze międzywarstwowe wymaga szyfrowania.")
+
+        stamp = headers.get(HEADER_TS.lower(), "")
+        try:
+            check_stamp(stamp)
+            plaintext = self.link.open_all(REQUEST, path, stamp, await _read_body(receive))
+        except LinkError as exc:
+            log.warning("warstwa %s: %s (%s)", self.layer, exc, path)
+            return await _refuse(send, "Nie udało się odczytać zaszyfrowanego żądania.")
+
+        scope = dict(scope)
+        scope["headers"] = _rewritten_headers(scope["headers"], len(plaintext))
+        await self.app(scope, _replay(plaintext, receive), self._sealing_send(send, path))
+
+    def _sealing_send(self, send, path: str):
+        state: dict = {"stamp": "", "seq": 0}
+
+        async def sealing(message):
+            if message["type"] == "http.response.start":
+                state["stamp"] = stamp_now()
+                keep = [(k, v) for k, v in message.get("headers", [])
+                        if k.lower() not in (b"content-length", b"content-type")]
+                message = dict(message)
+                message["headers"] = keep + [
+                    (b"content-type", CONTENT_TYPE.encode()),
+                    (HEADER_ENC.lower().encode(), VERSION.encode()),
+                    (HEADER_TS.lower().encode(), state["stamp"].encode()),
+                ]
+                return await send(message)
+
+            if message["type"] == "http.response.body":
+                chunk = message.get("body", b"")
+                sealed = b""
+                if chunk:
+                    sealed = frame_out(self.link.seal(
+                        RESPONSE, path, state["stamp"], state["seq"], chunk))
+                    state["seq"] += 1
+                return await send({"type": "http.response.body", "body": sealed,
+                                   "more_body": message.get("more_body", False)})
+
+            return await send(message)
+
+        return sealing
+
+
+def _rewritten_headers(raw: Iterable[tuple[bytes, bytes]], length: int):
+    """Po odszyfrowaniu ciało ma inną długość i zwykły typ — inaczej FastAPI
+    próbowałby sparsować JSON o cudzej deklarowanej wielkości."""
+    kept = [(k, v) for k, v in raw if k.lower() not in (b"content-length", b"content-type")]
+    kept.append((b"content-length", str(length).encode()))
+    if length:
+        kept.append((b"content-type", b"application/json"))
+    return kept
+
+
+async def _read_body(receive) -> bytes:
+    body = bytearray()
+    while True:
+        message = await receive()
+        if message["type"] == "http.disconnect":
+            raise LinkError("rozłączenie w trakcie odbioru żądania")
+        body += message.get("body", b"")
+        if not message.get("more_body", False):
+            return bytes(body)
+
+
+def _replay(body: bytes, original):
+    """Podstawia odszyfrowane ciało jako jedyną porcję wejścia dla aplikacji.
+
+    Po oddaniu ciała oddajemy głos ORYGINALNEMU `receive`, zamiast od razu
+    zgłaszać rozłączenie. Odpowiedź strumieniowa nasłuchuje bowiem rozłączenia
+    równolegle do wysyłania i przerywa się, gdy je zobaczy — na skróconej wersji
+    okno postępu dostawało pustą odpowiedź, choć zwykłe żądania działały.
+    """
+    delivered = False
+
+    async def receive():
+        nonlocal delivered
+        if delivered:
+            return await original()
+        delivered = True
+        return {"type": "http.request", "body": body, "more_body": False}
+
+    return receive
+
+
+async def _refuse(send, detail: str) -> None:
+    """Odmowa leci JAWNIE — rozmówca właśnie pokazał, że nie umie odszyfrować,
+    więc zaszyfrowany komunikat o błędzie byłby dla niego nieczytelny."""
+    payload = f'{{"detail":"{detail}"}}'.encode("utf-8")
+    await send({"type": "http.response.start", "status": 400, "headers": [
+        (b"content-type", b"application/json"),
+        (b"content-length", str(len(payload)).encode()),
+    ]})
+    await send({"type": "http.response.body", "body": payload})
+
+
+def install(app, env_name: str, layer: str):
+    """Podpina szyfrowanie łącza. Wołać PO `security.install`, żeby także odmowa
+    tokenowa (401) wracała zaszyfrowana — inaczej klient by jej nie odczytał."""
+    link_key = key_from_env(env_name)
+    if link_key is None and encryption_required():
+        # Celowo wywracamy start. Ta sama zasada co przy sekrecie logowania:
+        # wolimy widoczną awarię niż usługę, która wstała i po cichu nie chroni
+        # niczego. Pod w CrashLoop widać od razu, jawny ruch — nie.
+        raise LinkError(
+            f"{ENV_REQUIRED} jest włączone, ale {env_name} nie ustawiony — "
+            f"warstwa {layer} nie wystartuje bez klucza łącza"
+        )
+    if link_key is None:
+        log.warning(
+            "UWAGA: %s nie ustawiony — warstwa %s rozmawia z sąsiadem JAWNYM tekstem, "
+            "więc treść baz interpretacyjnych jest widoczna dla każdego, kto podsłucha "
+            "ruch wewnątrz sieci.", env_name, layer,
+        )
+        return None
+    link = Link(link_key)
+    app.add_middleware(LinkCryptoMiddleware, link=link, layer=layer)
+    log.info("warstwa %s: łącze szyfrowane (AES-256-GCM, klucz z %s)", layer, env_name)
+    return link
+
+
+# ============================================================ strona kliencka
+
+def call(client, method: str, url: str, *, payload=None,
+         headers: dict[str, str] | None = None, link: Link | None) -> bytes:
+    """Żądanie do sąsiedniej warstwy; zwraca odszyfrowane ciało odpowiedzi.
+
+    Ścieżkę do materiału uwierzytelnianego bierzemy Z URL-a, a nie z osobnego
+    argumentu — gdyby klient i serwer liczyły ją inaczej, każde żądanie kończyłoby
+    się niejasnym błędem odszyfrowania.
+    """
+    import json as _json
+
+    import httpx
+
+    request_headers = dict(headers or {})
+    if link is None:
+        if encryption_required():
+            # Zatrzymujemy się PRZED wysłaniem. Gdyby polecieć jawnie i dopiero
+            # zebrać odmowę, pytanie byłoby już na kablu — a to właśnie ono niesie
+            # sygnifikatory, o które pytamy bazę.
+            raise LinkError(
+                f"{ENV_REQUIRED} jest włączone, ale brak klucza łącza — żądanie "
+                f"NIE zostało wysłane, żeby jego treść nie poszła jawnym tekstem"
+            )
+        response = client.request(method, url, json=payload, headers=request_headers)
+        response.raise_for_status()
+        return response.content
+
+    path = httpx.URL(url).path
+    stamp = stamp_now()
+    plaintext = b"" if payload is None else _json.dumps(payload).encode("utf-8")
+    body = frame_out(link.seal(REQUEST, path, stamp, 0, plaintext))
+    request_headers.update({HEADER_ENC: VERSION, HEADER_TS: stamp,
+                            "Content-Type": CONTENT_TYPE})
+
+    response = client.request(method, url, content=body, headers=request_headers)
+    if response.status_code >= 400 and response.headers.get(HEADER_ENC) != VERSION:
+        log.error("łącze %s odmówiło: %s", path, response.text[:200])
+    response.raise_for_status()
+    if response.headers.get(HEADER_ENC) != VERSION:
+        raise LinkError("odpowiedź przyszła nieszyfrowana, choć klucz łącza jest ustawiony")
+    reply_stamp = response.headers.get(HEADER_TS, "")
+    check_stamp(reply_stamp)
+    return link.open_all(RESPONSE, path, reply_stamp, response.content)
+
+
+def call_json(client, method: str, url: str, *, payload=None,
+              headers: dict[str, str] | None = None, link: Link | None):
+    import json as _json
+
+    return _json.loads(call(client, method, url, payload=payload,
+                            headers=headers, link=link))
+
+
+def open_response_stream(response, link: Link | None) -> Iterator[bytes]:
+    """Odbiór odpowiedzi płynącej kawałkami (okno postępu).
+
+    Ramka potrafi rozjechać się między dwa odczyty z gniazda, więc składamy ją
+    w buforze zamiast zakładać, że każdy kawałek to komplet.
+    """
+    if link is None:
+        yield from response.iter_bytes()
+        return
+    if response.headers.get(HEADER_ENC) != VERSION:
+        raise LinkError("strumień przyszedł nieszyfrowany, choć klucz łącza jest ustawiony")
+    stamp = response.headers.get(HEADER_TS, "")
+    check_stamp(stamp)
+    path = response.request.url.path
+    buffer = bytearray()
+    seq = 0
+    for chunk in response.iter_bytes():
+        buffer += chunk
+        for frame in unframe_incremental(buffer):
+            yield link.open(RESPONSE, path, stamp, seq, frame)
+            seq += 1
+    if buffer:
+        raise LinkError("strumień urwał się w połowie ramki")
+
+
+def stream_lines(client, url: str, *, payload, headers: dict[str, str] | None = None,
+                 link: Link | None) -> Iterator[str]:
+    """Strumieniowe POST zwracające kolejne NIEPUSTE linie NDJSON — na żywo.
+
+    Dla okna postępu: linie muszą docierać w trakcie pracy, nie na końcu, więc
+    czytamy strumień, a nie całe ciało. Gdy łącze ma klucz, żądanie jest
+    pieczętowane, a odpowiedź odszyfrowywana ramka po ramce; granice ramek NIE
+    pokrywają się z granicami linii, więc sklejamy bajty w buforze i tniemy je
+    dopiero na znakach nowej linii.
+
+    Bez klucza zachowuje się jak dotąd (surowy strumień), żeby dev bez sekretów
+    działał bez zmian.
+    """
+    import json as _json
+
+    import httpx as _httpx
+
+    request_headers = dict(headers or {})
+    if link is None:
+        if encryption_required():
+            # Ten sam kontrakt co w `call`: nie wypuszczamy jawnego żądania, gdy
+            # szyfrowanie jest wymagane. Bez tego serwer owszem odrzuca (400), ale
+            # ciało żądania — tu dane urodzenia — zdążyłoby już pójść w eter.
+            raise LinkError(
+                f"{ENV_REQUIRED} jest włączone, ale brak klucza łącza — strumień "
+                f"NIE został wysłany, żeby jego treść nie poszła jawnym tekstem"
+            )
+        with client.stream("POST", url, json=payload, headers=request_headers) as response:
+            response.raise_for_status()
+            for text_line in response.iter_lines():
+                if text_line:
+                    yield text_line
+        return
+
+    path = _httpx.URL(url).path
+    stamp = stamp_now()
+    body = frame_out(link.seal(REQUEST, path, stamp, 0, _json.dumps(payload).encode("utf-8")))
+    request_headers.update({HEADER_ENC: VERSION, HEADER_TS: stamp, "Content-Type": CONTENT_TYPE})
+    with client.stream("POST", url, content=body, headers=request_headers) as response:
+        response.raise_for_status()
+        buffer = bytearray()
+        for plain in open_response_stream(response, link):
+            buffer += plain
+            while True:
+                nl = buffer.find(b"\n")
+                if nl < 0:
+                    break
+                text_line = bytes(buffer[:nl])
+                del buffer[:nl + 1]
+                if text_line:
+                    yield text_line.decode("utf-8")
+        if buffer:
+            yield bytes(buffer).decode("utf-8")

services/logic/app/llm/catalog.py

@@ -0,0 +1,75 @@
+"""Katalog modeli do wyboru w UI (LOG-31).
+
+To są **podpowiedzi**, nie zamknięta lista. Pole modelu w UI jest tekstowe z
+datalistą, więc można wpisać dowolny identyfikator — konto może mieć dostęp do
+modeli, których tu nie ma, a nowe wychodzą szybciej, niż aktualizuje się kod.
+Puste pole = model domyślny dostawcy.
+
+Uwaga o pewności danych:
+  * modele **Anthropic** pochodzą z oficjalnej dokumentacji API (okna kontekstu
+    i limity wyjścia zgadzają się z `app/llm/limits.py`);
+  * modele **OpenAI** to podpowiedzi — nie weryfikowałem ich katalogu, więc
+    traktuj je jako wygodę, a nie źródło prawdy;
+  * modele **lokalne** zależą wyłącznie od tego, co masz pobrane w Ollamie/vLLM.
+
+Katalog można nadpisać/rozszerzyć zmienną `<DOSTAWCA>_MODELS` (lista po przecinku),
+np. `OPENAI_MODELS="gpt-5,gpt-4o"`.
+"""
+from __future__ import annotations
+
+import os
+
+from app.llm.limits import limits_for
+
+# dostawca -> [(id modelu, krótki opis dla człowieka)]
+_CATALOG: dict[str, list[tuple[str, str]]] = {
+    "anthropic": [
+        ("claude-opus-4-8", "Opus 4.8 — domyślny, bardzo zdolny, 1M kontekstu"),
+        ("claude-fable-5", "Fable 5 — najbardziej zdolny, do najtrudniejszych zadań"),
+        ("claude-sonnet-5", "Sonnet 5 — szybszy i tańszy, jakość blisko Opusa"),
+        ("claude-opus-4-7", "Opus 4.7 — poprzednia generacja Opusa"),
+        ("claude-haiku-4-5", "Haiku 4.5 — najszybszy i najtańszy, mniejsze okno"),
+    ],
+    "openai": [
+        ("gpt-4o-mini", "GPT-4o mini — tani i szybki"),
+        ("gpt-4o", "GPT-4o"),
+        ("gpt-5", "GPT-5 — jeśli Twoje konto ma dostęp"),
+        ("gpt-4.1", "GPT-4.1"),
+        ("gpt-4.1-mini", "GPT-4.1 mini"),
+    ],
+    "local": [
+        ("llama3.1:8b", "Llama 3.1 8B"),
+        ("llama3.2", "Llama 3.2"),
+        ("qwen2.5", "Qwen 2.5 — większe okno kontekstu"),
+        ("mistral", "Mistral"),
+    ],
+}
+
+
+def models_for(provider: str) -> list[dict]:
+    """Podpowiedzi modeli dla dostawcy, wraz z oknem kontekstu.
+
+    Okno kontekstu podajemy, bo wprost przekłada się na opcję „maksymalny
+    kontekst modelu" — użytkownik widzi, na ile budżetu promptu może liczyć.
+    """
+    override = os.getenv(f"{provider.upper()}_MODELS", "").strip()
+    if override:
+        entries = [(m.strip(), "") for m in override.split(",") if m.strip()]
+    else:
+        entries = _CATALOG.get(provider, [])
+
+    out = []
+    for model_id, label in entries:
+        context_window, max_output = limits_for(provider, model_id)
+        out.append({
+            "id": model_id,
+            "label": label or model_id,
+            "context_window": context_window,
+            "max_output": max_output,
+        })
+    return out
+
+
+def catalog() -> dict[str, list[dict]]:
+    """Pełny katalog dla UI — jedno żądanie zamiast trzech."""
+    return {provider: models_for(provider) for provider in ("local", "anthropic", "openai")}

services/logic/app/llm/factory.py

@@ -4,13 +4,26 @@ Domyślny jest **model lokalny**: prompt niesie oryginalne opisy z baz, więc
 domyślnie nic nie opuszcza naszej sieci (LOG-32). Chmurę włącza się świadomie —
 przez konfigurację albo pojedyncze żądanie.
 
+Konfiguracja jest **per dostawca**, bo UI pozwala przełączać go przy każdym żądaniu.
+Wspólne `LLM_*` nie wystarczy: ustawienie `LLM_BASE_URL` na lokalny model kierowałoby
+tam także żądania do OpenAI, a `LLM_MODEL=llama3.1:8b` kazałoby Anthropic użyć modelu
+llama. Dlatego każdy dostawca ma własny komplet zmiennych.
+
 Zmienne środowiskowe:
-  LLM_PROVIDER   local (domyślnie) | openai | anthropic
-  LLM_MODEL      nazwa modelu (domyślna zależy od dostawcy)
-  LLM_BASE_URL   adres API (domyślnie: lokalny serwer zgodny z OpenAI)
-  LLM_API_KEY    klucz — WYŁĄCZNIE z sekretu; niepotrzebny dla modelu lokalnego
-  LLM_TIMEOUT    sekundy (domyślnie 120)
-  LLM_MAX_TOKENS limit długości odpowiedzi (domyślnie 2000)
+  LLM_PROVIDER      local (domyślnie) | openai | anthropic — dostawca domyślny
+  LLM_TIMEOUT       sekundy (domyślnie 120)
+  LLM_MAX_TOKENS    limit długości odpowiedzi (domyślnie 2000)
+
+  <DOSTAWCA>_MODEL / _BASE_URL / _API_KEY — konfiguracja konkretnego dostawcy:
+  LOCAL_MODEL, LOCAL_BASE_URL                          (klucz zwykle zbędny)
+  OPENAI_MODEL, OPENAI_BASE_URL, OPENAI_API_KEY
+  ANTHROPIC_MODEL, ANTHROPIC_BASE_URL, ANTHROPIC_API_KEY
+
+  Klucze WYŁĄCZNIE z sekretu — nigdy w repo, w UI ani w logach.
+
+Zgodność wstecz: wspólne `LLM_MODEL` / `LLM_BASE_URL` / `LLM_API_KEY` nadal działają,
+ale stosują się TYLKO do dostawcy domyślnego (LLM_PROVIDER) — czyli konfiguracja
+instalacji jednodostawcowej zostaje nietknięta, a pozostali dostawcy jej nie dziedziczą.
 """
 from __future__ import annotations
 
@@ -27,7 +40,11 @@ PROVIDERS = (LOCAL, OPENAI, ANTHROPIC)
 _DEFAULT_MODEL = {
     LOCAL: "llama3.1:8b",
     OPENAI: "gpt-4o-mini",
-    ANTHROPIC: "claude-sonnet-5",
+    # Opus 4.8 świadomie zamiast Sonnet 5: Sonnet uruchamia myślenie adaptacyjne,
+    # gdy pominąć parametr `thinking`, a jego tokeny liczą się do max_tokens —
+    # przy ciasnym limicie cała tura wychodziła jako samo myślenie z pustym
+    # tekstem. To była przyczyna pustych odpowiedzi na Anthropicu.
+    ANTHROPIC: "claude-opus-4-8",
 }
 _DEFAULT_URL = {
     # Ollama i vLLM wystawiają zgodne API pod /v1
@@ -49,20 +66,54 @@ def timeout() -> float:
     return float(os.getenv("LLM_TIMEOUT", "120"))
 
 
-def build_provider(name: str | None = None) -> LLMProvider:
+def setting(provider: str, suffix: str, fallback: str = "") -> str:
+    """Ustawienie dostawcy: <DOSTAWCA>_<SUFIKS> → LLM_<SUFIKS> → wbudowana domyślna.
+
+    Wspólne `LLM_*` stosuje się WYŁĄCZNIE do dostawcy domyślnego — inaczej adres
+    lokalnego modelu przejąłby żądania do chmury (i odwrotnie).
+    """
+    specific = os.getenv(f"{provider.upper()}_{suffix}")
+    if specific:
+        return specific
+    if provider == default_provider_name():
+        generic = os.getenv(f"LLM_{suffix}")
+        if generic:
+            return generic
+    return fallback
+
+
+def resolve_model(name: str | None = None, model: str | None = None) -> tuple[str, str]:
+    """(dostawca, model) BEZ budowania dostawcy — czyli bez wymogu klucza API.
+
+    Rozmiar budżetu promptu zależy tylko od okna kontekstu modelu, więc nie może
+    zależeć od tego, czy klucz jest już skonfigurowany.
+    """
+    provider = (name or default_provider_name()).lower()
+    if provider not in PROVIDERS:
+        provider = default_provider_name()
+    chosen = (model or "").strip() or setting(provider, "MODEL", _DEFAULT_MODEL[provider])
+    return provider, chosen
+
+
+def build_provider(name: str | None = None, model: str | None = None) -> LLMProvider:
+    """Dostawca modelu. `model` z żądania wygrywa nad konfiguracją — użytkownik
+    wybiera model w UI, a konfiguracja podaje tylko wartość domyślną."""
     name = (name or default_provider_name()).lower()
     if name not in PROVIDERS:
         raise LLMError(f"Nieznany dostawca LLM: {name!r} (dostępne: {', '.join(PROVIDERS)})")
 
-    model = os.getenv("LLM_MODEL") or _DEFAULT_MODEL[name]
-    base_url = os.getenv("LLM_BASE_URL") or _DEFAULT_URL[name]
-    api_key = os.getenv("LLM_API_KEY", "")
+    model = (model or "").strip() or setting(name, "MODEL", _DEFAULT_MODEL[name])
+    base_url = setting(name, "BASE_URL", _DEFAULT_URL[name])
+    api_key = setting(name, "API_KEY")
 
+    if name in (OPENAI, ANTHROPIC) and not api_key:
+        raise LLMError(
+            f"Brak klucza dla dostawcy {name} — ustaw {name.upper()}_API_KEY "
+            f"(z sekretu). Model lokalny klucza nie wymaga."
+        )
     if name == ANTHROPIC:
         return AnthropicProvider(base_url, model, api_key, timeout())
     if name == OPENAI:
-        if not api_key:
-            raise LLMError("Brak LLM_API_KEY — dostawca openai wymaga klucza.")
         return ChatCompletionsProvider(OPENAI, base_url, model, api_key, timeout(),
                                        leaves_lan=True)
     # lokalny — klucz zwykle zbędny; treść NIE opuszcza sieci

services/logic/app/llm/limits.py

@@ -0,0 +1,133 @@
+"""Okna kontekstu modeli i planowanie budżetu tokenów (LOG-30/31).
+
+Po co to istnieje: horoskop MA powstać niezależnie od objętości promptu. Żeby to
+zagwarantować, trzeba wiedzieć dwie rzeczy o każdym modelu — ile zmieści na
+wejściu (okno kontekstu) i ile maksymalnie wypisze na wyjściu. Bez tego łatwo
+wysłać prompt, który wypełnia całe okno i **nie zostawia miejsca na odpowiedź** —
+model kończy wtedy na `max_tokens` z pustą albo uciętą treścią.
+
+Zasada naczelna: **zawsze rezerwuj miejsce na odpowiedź.** Budżet promptu liczy
+się jako `okno_kontekstu − zarezerwowane_wyjście − margines`, nigdy odwrotnie.
+
+Wartości są zaszyte jako rozsądne domyślne i nadpisywalne środowiskiem
+(`<DOSTAWCA>_CONTEXT_WINDOW`, `<DOSTAWCA>_MAX_OUTPUT`) — modele wychodzą szybciej,
+niż aktualizuje się ten plik.
+"""
+from __future__ import annotations
+
+import os
+
+# model -> (okno kontekstu, maksymalne wyjście) w tokenach
+_MODEL_LIMITS: dict[str, tuple[int, int]] = {
+    # Anthropic
+    "claude-opus-4-8": (1_000_000, 128_000),
+    "claude-opus-4-7": (1_000_000, 128_000),
+    "claude-opus-4-6": (1_000_000, 128_000),
+    "claude-sonnet-5": (1_000_000, 128_000),
+    "claude-sonnet-4-6": (1_000_000, 128_000),
+    "claude-fable-5": (1_000_000, 128_000),
+    "claude-haiku-4-5": (200_000, 64_000),
+    # OpenAI
+    "gpt-4o": (128_000, 16_384),
+    "gpt-4o-mini": (128_000, 16_384),
+    "gpt-4.1": (1_000_000, 32_768),
+    "gpt-4.1-mini": (1_000_000, 32_768),
+    # lokalne (Ollama/vLLM) — zwykle małe okno, dlatego ostrożna domyślna
+    "llama3.1": (8_192, 4_096),
+    "llama3.2": (8_192, 4_096),
+    "qwen2.5": (32_768, 8_192),
+    "mistral": (32_768, 8_192),
+}
+
+# gdy modelu nie ma w tabeli — zachowawczo, żeby nie obiecywać nieistniejącego okna
+_FALLBACK: dict[str, tuple[int, int]] = {
+    "anthropic": (200_000, 32_000),
+    "openai": (128_000, 16_384),
+    "local": (8_192, 4_096),
+}
+
+# ile tokenów zostawiamy jako bufor na narzut protokołu i niedokładność liczenia
+SAFETY_MARGIN = 2_000
+# poniżej tylu tokenów wyjścia nie ma sensu wołać modelu — nie zmieści horoskopu
+MIN_OUTPUT = 1_500
+# powyżej tylu tokenów promptu ostrzegamy użytkownika (nadal pozwalając wysłać)
+WARN_PROMPT_TOKENS = 90_000
+
+
+def _env_int(provider: str, suffix: str) -> int | None:
+    raw = os.getenv(f"{provider.upper()}_{suffix}")
+    if not raw:
+        return None
+    try:
+        value = int(raw)
+    except ValueError:
+        return None
+    return value if value > 0 else None
+
+
+def limits_for(provider: str, model: str) -> tuple[int, int]:
+    """(okno kontekstu, maksymalne wyjście) dla modelu — z nadpisaniem z ENV.
+
+    Dopasowanie po prefiksie, bo nazwy modeli lokalnych niosą tag (`llama3.1:8b`).
+    """
+    env_ctx = _env_int(provider, "CONTEXT_WINDOW")
+    env_out = _env_int(provider, "MAX_OUTPUT")
+
+    key = (model or "").strip().lower()
+    known: tuple[int, int] | None = _MODEL_LIMITS.get(key)
+    if known is None:
+        for name, pair in _MODEL_LIMITS.items():
+            if key.startswith(name):
+                known = pair
+                break
+    if known is None:
+        known = _FALLBACK.get(provider, _FALLBACK["local"])
+
+    return (env_ctx or known[0], env_out or known[1])
+
+
+def plan(provider: str, model: str, prompt_tokens: int,
+         want_output: int | None = None) -> dict:
+    """Ile tokenów wyjścia zamówić dla promptu tej wielkości.
+
+    Zwraca plan z jawną diagnostyką — UI ma z czego zbudować ostrzeżenie, a błąd
+    ma czym wytłumaczyć, dlaczego się nie udało.
+    """
+    context_window, model_max_output = limits_for(provider, model)
+    room = context_window - prompt_tokens - SAFETY_MARGIN
+    target = want_output or model_max_output
+    max_output = max(0, min(model_max_output, target, room))
+
+    warnings: list[str] = []
+    if prompt_tokens > WARN_PROMPT_TOKENS:
+        warnings.append(
+            f"Prompt ma ~{prompt_tokens} tokenów — to dużo. Zapytanie zostanie wysłane, "
+            f"ale potrwa dłużej i będzie odpowiednio kosztowne."
+        )
+    if max_output < MIN_OUTPUT:
+        warnings.append(
+            f"Po zmieszczeniu promptu zostaje tylko {max_output} tokenów na odpowiedź "
+            f"(minimum {MIN_OUTPUT}). Zmniejsz budżet promptu albo wybierz model "
+            f"z większym oknem kontekstu."
+        )
+
+    return {
+        "provider": provider,
+        "model": model,
+        "context_window": context_window,
+        "model_max_output": model_max_output,
+        "prompt_tokens": prompt_tokens,
+        "max_output": max_output,
+        "fits": max_output >= MIN_OUTPUT,
+        "warnings": warnings,
+    }
+
+
+def prompt_token_budget(provider: str, model: str, reserve_output: int | None = None) -> int:
+    """Ile tokenów promptu wolno wysłać, ZAWSZE zostawiając miejsce na odpowiedź.
+
+    To jest podstawa opcji „maksymalny kontekst modelu" w UI.
+    """
+    context_window, model_max_output = limits_for(provider, model)
+    reserve = reserve_output or model_max_output
+    return max(0, context_window - reserve - SAFETY_MARGIN)

services/logic/app/llm/providers.py

@@ -5,9 +5,24 @@ vLLM, llama.cpp) i OpenAI mówią **tym samym** protokołem `/chat/completions`,
 więc jedna implementacja obsługuje oba — różni je tylko adres i klucz. Anthropic
 ma własny kształt `/v1/messages`, stąd druga klasa. Mniej zależności, mniej
 powierzchni ataku, pełna kontrola nad tym, co wychodzi z sieci.
+
+**Gwarancja niepustej odpowiedzi.** Horoskop ma powstać niezależnie od objętości
+promptu, więc `generate()` nie jest pojedynczym strzałem, tylko pętlą:
+  1. wyślij turę z policzonym limitem wyjścia,
+  2. jeśli model urwał na limicie — dopisz turę „kontynuuj" i sklej tekst,
+  3. jeśli tura nie dała ani znaku tekstu — ponów z podpowiedzią,
+  4. dopiero brak tekstu po wszystkich próbach jest błędem (z diagnostyką).
+Kontynuacja jest pewniejsza niż jedno wielkie żądanie: każda tura mieści się
+w timeoucie HTTP, a długość odpowiedzi przestaje być ograniczona jedną turą.
+
+**Anthropic i myślenie.** Modele Claude potrafią mieć włączone myślenie, którego
+tokeny liczą się do `max_tokens`. Przy ciasnym limicie cała tura potrafi wyjść
+jako same bloki `thinking` z pustym tekstem — dokładnie ten objaw, który
+zgłoszono. Traktujemy taką turę jak ucięcie i kontynuujemy, zamiast zwracać pustkę.
 """
 from __future__ import annotations
 
+import os
 import time
 
 import httpx
@@ -17,6 +32,23 @@ from app.llm.base import Completion, LLMError, LLMProvider
 RETRY_STATUSES = {429, 500, 502, 503, 504}
 MAX_ATTEMPTS = 3
 
+# ile razy wolno poprosić model o dokończenie urwanej odpowiedzi
+MAX_CONTINUATIONS = 12
+# ile tokenów zamawiać na jedną turę — mieści się w timeoucie, a pętla i tak
+# dociągnie resztę; zbyt duża wartość ryzykuje zerwanie połączenia w trakcie
+TURN_TOKENS_CAP = 16_000
+
+_CONTINUE = (
+    "Kontynuuj dokładnie od miejsca, w którym przerwałeś — nie powtarzaj tego, "
+    "co już napisałeś, i nie zaczynaj od nowa. Jeśli skończyłeś całą odpowiedź, "
+    "napisz wyłącznie: KONIEC"
+)
+_NUDGE = (
+    "Nie otrzymałem żadnej treści. Napisz odpowiedź zgodnie z powyższym poleceniem, "
+    "zaczynając od razu od treści horoskopu."
+)
+_DONE_MARKER = "KONIEC"
+
 
 def _post_with_retry(url: str, headers: dict, payload: dict, timeout: float) -> dict:
     """POST z ponawianiem i backoffem — chroni przed chwilowym 429/5xx."""
@@ -37,8 +69,8 @@ def _post_with_retry(url: str, headers: dict, payload: dict, timeout: float) ->
                 time.sleep(2 ** attempt)
                 continue
             raise LLMError(
-                f"Model nie odpowiedział w czasie {timeout:.0f}s. Dłuższe horoskopy "
-                f"wymagają większego LLM_TIMEOUT albo mniejszego budżetu promptu."
+                f"Model nie odpowiedział w czasie {timeout:.0f}s. Zwiększ LLM_TIMEOUT "
+                f"albo zmniejsz budżet promptu."
             ) from e
         except httpx.HTTPError as e:
             last = e
@@ -49,7 +81,137 @@ def _post_with_retry(url: str, headers: dict, payload: dict, timeout: float) ->
     raise LLMError(f"Nie udało się wywołać modelu: {last}")
 
 
-class ChatCompletionsProvider(LLMProvider):
+def _merge_usage(total: dict, turn: dict) -> dict:
+    """Sumuje zużycie tokenów przez wszystkie tury jednej odpowiedzi."""
+    for key, value in (turn or {}).items():
+        if isinstance(value, int):
+            total[key] = total.get(key, 0) + value
+    return total
+
+
+def _join(parts: list[str]) -> str:
+    return "".join(parts).strip()
+
+
+def _explain_empty(turns: int, usage: dict, stop: str | None) -> str:
+    detail = []
+    if stop:
+        detail.append(f"powód zakończenia: {stop}")
+    for key in ("completion_tokens", "output_tokens"):
+        if usage.get(key) is not None:
+            detail.append(f"tokeny odpowiedzi: {usage[key]}")
+            break
+    suffix = f" ({', '.join(detail)})" if detail else ""
+    return (
+        f"Model nie zwrócił żadnej treści po {turns} próbach{suffix}. "
+        f"Najczęstsza przyczyna: prompt wypełnił okno kontekstu i nie zostało miejsca "
+        f"na odpowiedź. Zmniejsz budżet promptu albo wybierz model z większym oknem."
+    )
+
+
+class _Driver:
+    """Wspólna pętla: tura → ewentualna kontynuacja → sklejony tekst.
+
+    Podklasy dostarczają tylko `_turn()` — reszta (kontynuacje, ponawianie pustej
+    tury, sumowanie zużycia) jest identyczna dla obu protokołów.
+    """
+
+    name: str
+    model: str
+    leaves_lan: bool
+
+    def _turn(self, messages: list[dict], max_tokens: int):
+        """(tekst, czy_ucięta, zużycie, nazwa_modelu, powód_zakończenia)."""
+        raise NotImplementedError
+
+    def generate(self, prompt: str, max_tokens: int, on_event=None) -> Completion:
+        """`on_event(dict)` dostaje zdarzenia postępu — UI pokazuje z nich log.
+        Raportujemy KAŻDĄ turę, bo to ona trwa; bez tego pasek postępu byłby
+        ozdobnikiem, a nie informacją."""
+        def emit(kind: str, message: str, **extra):
+            if on_event:
+                on_event({"type": kind, "message": message, **extra})
+
+        messages: list[dict] = [{"role": "user", "content": prompt}]
+        parts: list[str] = []
+        usage: dict = {}
+        model_name = self.model
+        remaining = max(max_tokens, 256)
+        stop: str | None = None
+        turns = 0
+        nudged = False
+
+        while turns <= MAX_CONTINUATIONS:
+            turns += 1
+            budget = max(256, min(remaining, TURN_TOKENS_CAP))
+            emit("turn_start",
+                 f"Tura {turns}: wysyłam do modelu {self.model} (limit {budget} tokenów)…",
+                 turn=turns)
+            started = time.monotonic()
+            text, truncated, turn_usage, model_name, stop = self._turn(messages, budget)
+            took = time.monotonic() - started
+            _merge_usage(usage, turn_usage)
+
+            # Odejmujemy tokeny FAKTYCZNIE wyprodukowane, nie zamówiony limit tury.
+            # Inaczej pierwsza tura zjadałaby cały budżet i urwana odpowiedź nigdy
+            # nie doczekałaby się kontynuacji — wracałby do użytkownika fragment
+            # udający całość.
+            produced = (turn_usage or {}).get("completion_tokens")
+            if produced is None:
+                produced = (turn_usage or {}).get("output_tokens")
+            if produced is None:
+                produced = max(1, int(len(text) / 3.6))
+            remaining -= max(1, int(produced))
+
+            emit("turn_end",
+                 f"Tura {turns}: odebrano {len(text.strip())} znaków w {took:.1f}s"
+                 + (" — odpowiedź urwana, poproszę o dokończenie" if truncated else ""),
+                 turn=turns, chars=len(text.strip()), truncated=truncated)
+
+            chunk = text.strip()
+            if chunk:
+                if chunk.endswith(_DONE_MARKER):      # model zgłasza koniec
+                    parts.append(("\n" if parts else "") + chunk[: -len(_DONE_MARKER)].rstrip())
+                    break
+                parts.append(("\n" if parts else "") + chunk)
+                if not truncated:
+                    break
+            elif not truncated:
+                # pusta i NIE ucięta: jedna próba z podpowiedzią, potem koniec
+                if nudged or parts:
+                    break
+                nudged = True
+                messages = messages + [
+                    {"role": "assistant", "content": "…"},
+                    {"role": "user", "content": _NUDGE},
+                ]
+                continue
+            # ucięta (także tura złożona z samego myślenia) — poproś o dokończenie
+
+            if remaining < 256:
+                break
+            messages = [
+                {"role": "user", "content": prompt},
+                {"role": "assistant", "content": _join(parts) or "…"},
+                {"role": "user", "content": _CONTINUE},
+            ]
+
+        final = _join(parts)
+        if not final:
+            raise LLMError(_explain_empty(turns, usage, stop))
+        emit("generated", f"Gotowe: {len(final)} znaków w {turns} turach.",
+             chars=len(final), turns=turns)
+
+        usage["turns"] = turns
+        return Completion(text=final, model=model_name, provider=self.name,
+                          leaves_lan=self.leaves_lan, usage=usage)
+
+    def count_tokens(self, prompt: str) -> int:
+        """Szacunek tokenów promptu. Dostawcy z własnym licznikiem nadpisują."""
+        return int(len(prompt) / 3.6)
+
+
+class ChatCompletionsProvider(_Driver, LLMProvider):
     """Protokół OpenAI `/chat/completions` — lokalny serwer modelu ORAZ OpenAI."""
 
     def __init__(self, name: str, base_url: str, model: str, api_key: str = "",
@@ -67,24 +229,20 @@ class ChatCompletionsProvider(LLMProvider):
             h["Authorization"] = f"Bearer {self.api_key}"
         return h
 
-    def generate(self, prompt: str, max_tokens: int) -> Completion:
+    def _turn(self, messages: list[dict], max_tokens: int):
         data = _post_with_retry(
             f"{self.base_url}/chat/completions", self._headers(),
-            {
-                "model": self.model,
-                "max_tokens": max_tokens,
-                "messages": [{"role": "user", "content": prompt}],
-            },
+            {"model": self.model, "max_tokens": max_tokens, "messages": messages},
             self.timeout,
         )
         try:
-            text = data["choices"][0]["message"]["content"]
+            choice = data["choices"][0]
+            text = choice["message"].get("content") or ""
         except (KeyError, IndexError, TypeError) as e:
             raise LLMError(f"Nieoczekiwany kształt odpowiedzi modelu: {str(data)[:300]}") from e
-        return Completion(
-            text=text, model=data.get("model", self.model), provider=self.name,
-            leaves_lan=self.leaves_lan, usage=data.get("usage") or {},
-        )
+        stop = choice.get("finish_reason")
+        return (text, stop == "length", data.get("usage") or {},
+                data.get("model", self.model), stop)
 
     def health(self) -> dict:
         info = {"provider": self.name, "model": self.model, "leaves_lan": self.leaves_lan}
@@ -97,7 +255,7 @@ class ChatCompletionsProvider(LLMProvider):
         return info
 
 
-class AnthropicProvider(LLMProvider):
+class AnthropicProvider(_Driver, LLMProvider):
     """Protokół Anthropic `/v1/messages`."""
 
     leaves_lan = True
@@ -110,34 +268,68 @@ class AnthropicProvider(LLMProvider):
         self.api_key = api_key
         self.timeout = timeout
 
-    def generate(self, prompt: str, max_tokens: int) -> Completion:
+    def _headers(self) -> dict:
+        return {
+            "Content-Type": "application/json",
+            "x-api-key": self.api_key,
+            "anthropic-version": "2023-06-01",
+        }
+
+    def _thinking(self) -> dict:
+        """Konfiguracja myślenia. Domyślnie adaptacyjne — podnosi jakość tekstu.
+
+        UWAGA: tokeny myślenia liczą się do `max_tokens`, więc przy ciasnym limicie
+        cała tura potrafi wyjść jako samo myślenie z pustym tekstem. Pętla
+        kontynuacji to obsługuje, ale ANTHROPIC_THINKING=off wyłącza myślenie,
+        gdy zależy nam na przewidywalnym zużyciu tokenów.
+        """
+        mode = os.getenv("ANTHROPIC_THINKING", "adaptive").lower()
+        if mode in ("off", "disabled", "0", "false"):
+            return {"thinking": {"type": "disabled"}}
+        return {
+            "thinking": {"type": "adaptive"},
+            "output_config": {"effort": os.getenv("ANTHROPIC_EFFORT", "high")},
+        }
+
+    def _turn(self, messages: list[dict], max_tokens: int):
         if not self.api_key:
-            raise LLMError("Brak LLM_API_KEY — dostawca anthropic wymaga klucza.")
-        data = _post_with_retry(
-            f"{self.base_url}/v1/messages",
-            {
-                "Content-Type": "application/json",
-                "x-api-key": self.api_key,
-                "anthropic-version": "2023-06-01",
-            },
-            {
-                "model": self.model,
-                "max_tokens": max_tokens,
-                "messages": [{"role": "user", "content": prompt}],
-            },
-            self.timeout,
-        )
+            raise LLMError("Brak ANTHROPIC_API_KEY — dostawca anthropic wymaga klucza.")
+        payload = {"model": self.model, "max_tokens": max_tokens, "messages": messages}
+        payload.update(self._thinking())
+        data = _post_with_retry(f"{self.base_url}/v1/messages", self._headers(),
+                                payload, self.timeout)
         try:
-            text = "".join(b.get("text", "") for b in data["content"] if b.get("type") == "text")
+            blocks = data["content"]
+            text = "".join(b.get("text", "") for b in blocks if b.get("type") == "text")
         except (KeyError, TypeError) as e:
             raise LLMError(f"Nieoczekiwany kształt odpowiedzi modelu: {str(data)[:300]}") from e
-        return Completion(
-            text=text, model=data.get("model", self.model), provider=self.name,
-            leaves_lan=True, usage=data.get("usage") or {},
+
+        stop = data.get("stop_reason")
+        # tura złożona z samego myślenia = budżet poszedł na rozumowanie; traktujemy
+        # jak ucięcie, żeby pętla poprosiła o treść zamiast zwrócić pustkę
+        thinking_only = not text.strip() and any(
+            b.get("type") in ("thinking", "redacted_thinking") for b in blocks
         )
+        return (text, stop == "max_tokens" or thinking_only, data.get("usage") or {},
+                data.get("model", self.model), stop)
+
+    def count_tokens(self, prompt: str) -> int:
+        """Dokładny licznik Anthropic — nie szacunek. Od tego zależy, czy po
+        zmieszczeniu promptu zostanie miejsce na odpowiedź."""
+        if not self.api_key:
+            return super().count_tokens(prompt)
+        try:
+            data = _post_with_retry(
+                f"{self.base_url}/v1/messages/count_tokens", self._headers(),
+                {"model": self.model, "messages": [{"role": "user", "content": prompt}]},
+                min(self.timeout, 30.0),
+            )
+            return int(data.get("input_tokens") or super().count_tokens(prompt))
+        except LLMError:
+            return super().count_tokens(prompt)
 
     def health(self) -> dict:
         return {
             "provider": self.name, "model": self.model, "leaves_lan": True,
-            "status": "ok (klucz ustawiony)" if self.api_key else "brak LLM_API_KEY",
+            "status": "ok (klucz ustawiony)" if self.api_key else "brak ANTHROPIC_API_KEY",
         }

services/logic/app/main.py

@@ -12,7 +12,7 @@ import httpx
 from fastapi import FastAPI, HTTPException
 from pydantic import BaseModel
 
-from app import security
+from app import link_crypto, security
 from app.clients.data_client import DataClient
 from app.models import QueryRequest, QueryResponse
 from app.service import QueryService
@@ -20,6 +20,9 @@ from app.service import QueryService
 app = FastAPI(title="astrololo · warstwa logiczna")
 service = QueryService()
 security.install(app, "logiczna")     # token międzywarstwowy (LOG-32)
+# Szyfrowanie łącza od prezentacji. PO `security.install`, żeby także odmowa
+# tokenowa wracała zaszyfrowana — inaczej klient nie umiałby jej odczytać.
+link_crypto.install(app, link_crypto.ENV_PRESENTATION_LOGIC, "logiczna")
 
 # --- silnik efemeryd (LOG-24): budowany leniwie, by nie wymagać Skyfielda do startu ---
 _engine = None
@@ -41,6 +44,7 @@ class PositionsRequest(BaseModel):
     objects: list[str] | None = None
     house_system: str = "whole_sign"   # whole_sign | equal | porphyry
     stations: bool = False             # licz stacje (LOG-03; wolniejsze — root-findy)
+    tables: bool = False               # tabele dodatkowe (LOG-23; szuka wschodu/zachodu)
     zodiac: str = "tropical"           # LOG-04: tropical | sidereal_{lahiri,fagan_bradley,krishnamurti} | draconic
 
 
@@ -72,6 +76,10 @@ def chart_positions(req: PositionsRequest) -> dict:
             st = find_stations(engine, moment, p["name"])
             if st:
                 p["stations"] = st
+    if req.tables:
+        from app.engine.tables import build_tables
+
+        chart["tables"] = build_tables(engine, moment, chart)
     return chart
 
 
@@ -116,7 +124,8 @@ def chart_report(req: ReportRequest) -> dict:
     try:
         report = build_report(
             chart["positions"], DataClient(),
-            aspects=chart.get("aspects"), per_object_limit=req.limit, group=req.group,
+            aspects=chart.get("aspects"), parallels=chart.get("parallels"),
+            per_object_limit=req.limit, group=req.group,
         )
     except httpx.HTTPError as e:
         return {"engine": engine.name, "objects": [], "data_error": f"Warstwa danych niedostępna: {e}"}
@@ -129,8 +138,10 @@ class PromptRequest(BaseModel):
     when_utc: datetime
     lat: float = 0.0
     lon: float = 0.0
-    budget: str = "medium"             # concise | medium | extensive
+    budget: str = "medium"             # concise | medium | extensive | huge | max
     limit: int = 5000
+    provider: str | None = None        # do wyliczenia budżetu „max" wg okna modelu
+    model: str | None = None
     # tylko dla profilu period:
     from_date: str | None = None
     to_date: str | None = None
@@ -149,7 +160,7 @@ def chart_prompt(req: PromptRequest) -> dict:
     """
     from app.engine.chart import build_chart
     from app.engine.models import ChartMoment
-    from app.prompt import build_natal_prompt, build_period_prompt
+    from app.prompt import CHARS_PER_TOKEN, MAX_BUDGET, build_natal_prompt, build_period_prompt
 
     engine = get_engine()
     moment = ChartMoment(when_utc=req.when_utc, lat=req.lat, lon=req.lon)
@@ -157,6 +168,17 @@ def chart_prompt(req: PromptRequest) -> dict:
     label = req.when_utc.strftime("%Y-%m-%d %H:%M UTC")
     data_error = None
 
+    # Budżet „maksymalny kontekst modelu": limit znaków liczymy z okna kontekstu
+    # WYBRANEGO modelu, zawsze po odjęciu miejsca zarezerwowanego na odpowiedź.
+    budget_chars = None
+    if req.budget == MAX_BUDGET:
+        from app.llm.factory import resolve_model
+        from app.llm.limits import prompt_token_budget
+        # celowo bez build_provider(): budżet zależy TYLKO od okna kontekstu modelu,
+        # więc nie może wymagać skonfigurowanego klucza API
+        provider_name, model_name = resolve_model(req.provider, req.model)
+        budget_chars = int(prompt_token_budget(provider_name, model_name) * CHARS_PER_TOKEN)
+
     # Warstwa danych dokłada wyłącznie WSKAZANIA. Wyliczenia (horoskop, oś czasu) są
     # od niej niezależne — gdy padnie, prompt musi zachować wszystko, co policzyliśmy.
     try:
@@ -167,11 +189,12 @@ def chart_prompt(req: PromptRequest) -> dict:
             try:
                 report = build_report(
                     chart["positions"], DataClient(),
-                    aspects=chart.get("aspects"), per_object_limit=req.limit,
+                    aspects=chart.get("aspects"), parallels=chart.get("parallels"),
+                    per_object_limit=req.limit,
                 )
             except httpx.HTTPError as e:
                 data_error = f"Warstwa danych niedostępna: {e}"
-            out = build_natal_prompt(chart, report, req.budget, label)
+            out = build_natal_prompt(chart, report, req.budget, label, budget_chars)
 
         elif req.profile == "period":
             if not (req.from_date and req.to_date):
@@ -191,7 +214,7 @@ def chart_prompt(req: PromptRequest) -> dict:
             except httpx.HTTPError as e:
                 data_error = f"Warstwa danych niedostępna: {e}"   # oś czasu zostaje
             out = build_period_prompt(chart, events, req.from_date, req.to_date,
-                                      req.budget, label)
+                                      req.budget, label, budget_chars)
         else:
             raise HTTPException(422, f"Nieznany profil: {req.profile!r} (natal | period)")
     except ValueError as e:                      # nieznany budżet
@@ -204,8 +227,7 @@ def chart_prompt(req: PromptRequest) -> dict:
 
 
 class HoroscopeRequest(PromptRequest):
-    """Jak PromptRequest + wybór dostawcy modelu (LOG-31)."""
-    provider: str | None = None        # local (dom.) | openai | anthropic
+    """Jak PromptRequest (niesie już provider i model) + limit wyjścia (LOG-31)."""
     max_tokens: int | None = None
 
 
@@ -218,12 +240,26 @@ def chart_horoscope(req: HoroscopeRequest) -> dict:
     (LOG-32); prezentacja ma na tej podstawie ostrzegać.
     """
     from app.llm.base import LLMError
-    from app.llm.factory import build_provider, max_tokens
+    from app.llm.factory import build_provider
+    from app.llm.limits import plan
 
     out = chart_prompt(req)            # ten sam prompt co w podglądzie
     try:
-        provider = build_provider(req.provider)
-        result = provider.generate(out["prompt"], req.max_tokens or max_tokens())
+        provider = build_provider(req.provider, req.model)
+
+        # Ile tokenów ma naprawdę ten prompt i ile zostaje na odpowiedź. Anthropic
+        # liczy dokładnie (własny endpoint), reszta szacuje — od tego zależy, czy
+        # w oknie kontekstu w ogóle zmieści się miejsce na horoskop.
+        prompt_tokens = provider.count_tokens(out["prompt"])
+        budget = plan(provider.name, provider.model, prompt_tokens, req.max_tokens)
+        out["token_plan"] = budget
+        if budget["warnings"]:
+            out["warnings"] = budget["warnings"]
+        if not budget["fits"]:
+            out["llm_error"] = " ".join(budget["warnings"])
+            return out
+
+        result = provider.generate(out["prompt"], budget["max_output"])
     except LLMError as e:
         # prompt zostaje — użytkownik moze go skopiowac i uzyc recznie
         out["llm_error"] = str(e)
@@ -239,6 +275,85 @@ def chart_horoscope(req: HoroscopeRequest) -> dict:
     return out
 
 
+@app.post("/chart/horoscope/stream")
+def chart_horoscope_stream(req: HoroscopeRequest):
+    """To samo co /chart/horoscope, ale strumieniuje POSTĘP w trakcie pracy.
+
+    Pisanie horoskopu trwa minutami — bez sygnału aplikacja wygląda na zawieszoną.
+    Strumień (NDJSON, jedna linia = jedno zdarzenie) niesie RZECZYWISTE etapy:
+    budowę promptu, limity modelu i każdą turę generowania. Ostatnie zdarzenie
+    (`result`) ma identyczny kształt co odpowiedź zwykłego endpointu.
+    """
+    from fastapi.responses import StreamingResponse
+
+    from app.progress import stream
+
+    def work(emit) -> dict:
+        from app.llm.base import LLMError
+        from app.llm.factory import build_provider
+        from app.llm.limits import plan
+
+        emit({"type": "stage", "message": "Liczę horoskop i szukam wskazań w bazach…"})
+        out = chart_prompt(req)
+        st = out.get("stats", {})
+        emit({"type": "stage", "message":
+              f"Prompt gotowy: {st.get('chars', 0)} znaków, "
+              f"wskazań {st.get('included', 0)}"
+              + (f", pominięto {st['omitted']}" if st.get("omitted") else "")})
+        if out.get("data_error"):
+            emit({"type": "warn", "message": out["data_error"]})
+
+        try:
+            provider = build_provider(req.provider, req.model)
+            emit({"type": "stage", "message":
+                  f"Dostawca: {provider.name}, model: {provider.model}"
+                  + ("" if not provider.leaves_lan else " — dane opuszczają sieć")})
+
+            emit({"type": "stage", "message": "Liczę tokeny promptu…"})
+            prompt_tokens = provider.count_tokens(out["prompt"])
+            budget = plan(provider.name, provider.model, prompt_tokens, req.max_tokens)
+            out["token_plan"] = budget
+            emit({"type": "stage", "message":
+                  f"Prompt {prompt_tokens} tok. · okno modelu {budget['context_window']} · "
+                  f"na odpowiedź {budget['max_output']}"})
+            for warning in budget["warnings"]:
+                emit({"type": "warn", "message": warning})
+            if budget["warnings"]:
+                out["warnings"] = budget["warnings"]
+            if not budget["fits"]:
+                out["llm_error"] = " ".join(budget["warnings"])
+                return out
+
+            result = provider.generate(out["prompt"], budget["max_output"], on_event=emit)
+        except LLMError as e:
+            emit({"type": "warn", "message": f"Model zawiódł: {e}"})
+            out["llm_error"] = str(e)
+            return out
+
+        out.update(horoscope=result.text, provider=result.provider, model=result.model,
+                   leaves_lan=result.leaves_lan, usage=result.usage)
+        return out
+
+    return StreamingResponse(
+        stream(work),
+        media_type="application/x-ndjson",
+        headers={"Cache-Control": "no-store", "X-Accel-Buffering": "no"},
+    )
+
+
+@app.get("/llm/models")
+def llm_models() -> dict:
+    """Podpowiedzi modeli per dostawca — UI buduje z tego listę wyboru.
+
+    To nie jest lista zamknięta: pole modelu jest tekstowe, więc można wpisać
+    dowolny identyfikator, do którego konto ma dostęp.
+    """
+    from app.llm.catalog import catalog
+    from app.llm.factory import _DEFAULT_MODEL
+
+    return {"providers": catalog(), "defaults": dict(_DEFAULT_MODEL)}
+
+
 @app.get("/llm/health")
 def llm_health(provider: str | None = None) -> dict:
     """Czy model jest osiągalny i skonfigurowany (bez generowania czegokolwiek)."""

services/logic/app/progress.py

@@ -0,0 +1,70 @@
+"""Strumień postępu długiej operacji (NDJSON).
+
+Po co: pisanie horoskopu trwa — czasem minuty. Bez sygnału aplikacja wygląda na
+zawieszoną. Zamiast udawanego paska postępu strumieniujemy **rzeczywiste**
+zdarzenia z kolejnych etapów, żeby log pokazywał to, co faktycznie się dzieje.
+
+Dlaczego NDJSON, a nie SSE: `EventSource` w przeglądarce obsługuje wyłącznie GET,
+a to jest POST z ciałem. Strumień „jedna linia = jeden obiekt JSON" czyta się
+zwykłym `fetch()` i jest trywialny do sparsowania.
+
+Dlaczego wątek: właściwa praca (silnik, baza, model) jest synchroniczna. Puszczamy
+ją w wątku roboczym, a generator odpompowuje kolejkę zdarzeń — dzięki temu
+zdarzenia docierają w trakcie pracy, a nie dopiero na końcu.
+"""
+from __future__ import annotations
+
+import json
+import queue
+import threading
+import traceback
+from collections.abc import Iterator
+from typing import Any, Callable
+
+_HEARTBEAT_SECONDS = 10.0
+_DONE = object()
+
+
+def line(kind: str, message: str, **extra: Any) -> str:
+    return json.dumps({"type": kind, "message": message, **extra}, ensure_ascii=False) + "\n"
+
+
+def stream(work: Callable[[Callable[[dict], None]], dict]) -> Iterator[str]:
+    """Uruchamia `work(emit)` w wątku i strumieniuje zdarzenia w czasie rzeczywistym.
+
+    `work` dostaje funkcję `emit(zdarzenie)` i zwraca końcowy wynik, który leci
+    jako ostatnie zdarzenie typu `result`. Wyjątek zamienia się w zdarzenie `error`
+    — połączenie nigdy nie urywa się bez wyjaśnienia.
+    """
+    events: queue.Queue = queue.Queue()
+
+    def emit(event: dict) -> None:
+        events.put(event)
+
+    def run() -> None:
+        try:
+            result = work(emit)
+            events.put({"type": "result", "message": "Gotowe.", "result": result})
+        except Exception as e:                      # noqa: BLE001 — zgłaszamy KAŻDY błąd
+            events.put({
+                "type": "error",
+                "message": f"{type(e).__name__}: {e}",
+                "detail": traceback.format_exc(limit=3),
+            })
+        finally:
+            events.put(_DONE)
+
+    worker = threading.Thread(target=run, daemon=True)
+    worker.start()
+
+    while True:
+        try:
+            event = events.get(timeout=_HEARTBEAT_SECONDS)
+        except queue.Empty:
+            # cisza dłuższa niż heartbeat: dajemy znak życia, żeby pośredniki
+            # (proxy, load balancer) nie uznały połączenia za martwe
+            yield line("ping", "…")
+            continue
+        if event is _DONE:
+            break
+        yield json.dumps(event, ensure_ascii=False) + "\n"

services/logic/app/prompt.py

@@ -28,8 +28,14 @@ BUDGETS: dict[str, int] = {
     "concise": 4_000,
     "medium": 12_000,
     "extensive": 30_000,
+    "huge": 120_000,
+    # „maksymalny kontekst modelu" — wyliczany dynamicznie z okna kontekstu
+    # wybranego modelu, ZAWSZE po odjęciu miejsca zarezerwowanego na odpowiedź.
+    # Wartość poniżej jest tylko zapasem, gdy limity modelu są nieznane.
+    "max": 400_000,
 }
 DEFAULT_BUDGET = "medium"
+MAX_BUDGET = "max"
 
 MAX_EFFECT_CHARS = 320          # dłuższe opisy skracamy (krok 5 redukcji)
 CHARS_PER_TOKEN = 4.0           # zgrubny szacunek tokenów do podglądu w UI
@@ -284,11 +290,16 @@ def _assemble(task: str, chart_sec: str, ind_sec: str, output: str) -> str:
     return "\n\n".join([task, chart_sec, ind_sec, output, f"# ZASTRZEŻENIE\n{DISCLAIMER}"])
 
 
-def _budget_chars(budget: str) -> int:
+def _budget_chars(budget: str, budget_chars: int | None = None) -> int:
+    """Limit znaków promptu. `budget_chars` nadpisuje tabelę — używane dla opcji
+    „maksymalny kontekst modelu", gdzie limit zależy od wybranego modelu i musi
+    być policzony po odjęciu miejsca zarezerwowanego na odpowiedź."""
     if budget not in BUDGETS:
         raise ValueError(
             f"Nieznany budżet: {budget!r} (dostępne: {', '.join(BUDGETS)})"
         )
+    if budget_chars and budget_chars > 0:
+        return budget_chars
     return BUDGETS[budget]
 
 
@@ -305,9 +316,10 @@ def _finish(prompt: str, budget: str, limit: int, stats: dict, profile: str) ->
 
 
 def build_natal_prompt(chart: dict, report: dict, budget: str = DEFAULT_BUDGET,
-                       moment_label: str | None = None) -> dict:
+                       moment_label: str | None = None,
+                       budget_chars: int | None = None) -> dict:
     """Prompt na horoskop urodzeniowy (ekran „Interpretacje")."""
-    limit = _budget_chars(budget)
+    limit = _budget_chars(budget, budget_chars)
     chart_sec = _chart_section(chart, moment_label)
     fixed = len(_NATAL_TASK) + len(chart_sec) + len(_NATAL_OUTPUT) + len(DISCLAIMER) + 200
     chosen, stats = reduce_indications(natal_indications(report), max(limit - fixed, 500))
@@ -316,9 +328,10 @@ def build_natal_prompt(chart: dict, report: dict, budget: str = DEFAULT_BUDGET,
 
 
 def build_period_prompt(chart: dict, events: list[dict], from_date: str, to_date: str,
-                        budget: str = DEFAULT_BUDGET, moment_label: str | None = None) -> dict:
+                        budget: str = DEFAULT_BUDGET, moment_label: str | None = None,
+                        budget_chars: int | None = None) -> dict:
     """Prompt na horoskop okresowy (ekran „Kalendarz")."""
-    limit = _budget_chars(budget)
+    limit = _budget_chars(budget, budget_chars)
     chart_sec = _chart_section(chart, moment_label)
     task = f"{_PERIOD_TASK}\nZakres prognozy: **{from_date} — {to_date}**."
 

services/logic/app/significators.py

@@ -114,17 +114,24 @@ def build_report(
     positions: list[dict],
     data: DataSource,
     aspects: list[dict] | None = None,
+    parallels: list[dict] | None = None,
     per_object_limit: int = 5000,
     group: bool = False,
 ) -> dict:
     """positions: pozycje z build_chart (name, sign, direction, house).
 
-    Dla każdego obiektu fasety: „w znaku", „w domu" oraz „w aspekcie" (dla każdego
-    aspektu głównego z listy `aspects`, jeśli w bazie są dopasowania). Duplikaty
-    (ten sam sygnifikator i opis) są odsiewane wewnątrz każdej fasety.
+    Dla każdego obiektu fasety: „w znaku", „w domu", „w aspekcie" (dla każdego
+    aspektu głównego z listy `aspects`) oraz „paralela deklinacji" (dla paraleli
+    z listy `parallels` — LOG-07). Duplikaty (ten sam sygnifikator i opis) są
+    odsiewane wewnątrz każdej fasety.
     """
     from app.engine.aspects import DB_TOKEN as ASP_TOKEN, PL_NAME as ASP_NAME
 
+    # W bazie paralela deklinacji zapisana jest jako fraza „P. Dec." (nie token [).
+    # UWAGA: samo „Dec." w bazie to CZĘSTO dekanat („3rd Dec. of [Gem"), więc
+    # szukamy dokładnie „P. Dec.", inaczej sypnęłoby fałszywymi trafieniami.
+    PARALLEL_MARK = "P. Dec."
+
     items: list[dict] = []
     provider = None
     for p in positions:
@@ -180,6 +187,25 @@ def build_report(
                 "count": len(asp_samples), "samples": asp_samples,
             })
 
+        # paralele deklinacji (LOG-07) — baza zna je jako „P. Dec.". Tylko `parallel`:
+        # kontrparaleli i antyscji baza nie opisuje osobnym znacznikiem.
+        for par in (parallels or []):
+            if par.get("type") != "parallel" or name not in (par.get("obj1"), par.get("obj2")):
+                continue
+            other = par["obj2"] if par["obj1"] == name else par["obj1"]
+            if other not in PLANET_ABBR:
+                continue
+            other_tok = "[" + PLANET_ABBR[other]
+            par_samples = _facet_samples(rows, [PARALLEL_MARK, other_tok])
+            if not par_samples:                       # pokazujemy tylko z trafieniami
+                continue
+            facets.append({
+                "type": "parallel", "label": f"paralela deklinacji z {other}",
+                "token": f"{PARALLEL_MARK} + {other_tok}",
+                "orb": par.get("orb"), "allowed": par.get("allowed"),
+                "count": len(par_samples), "samples": par_samples,
+            })
+
         # punktacja siły (LOG-21), opcjonalne grupowanie po opisie, ranking faset
         for f in facets:
             f["score"] = score_facet(f)

services/logic/requirements.txt

@@ -4,3 +4,5 @@ httpx>=0.28
 pydantic>=2.10
 # Silnik własny (ścieżka A, permisywny): Skyfield (MIT) + dane JPL (public domain)
 skyfield>=1.49
+# Szyfrowanie łącza między warstwami (PRE-16): AES-256-GCM + HKDF
+cryptography>=44.0

services/logic/tests/test_glyphs.py

@@ -0,0 +1,114 @@
+"""Konwersja tekst ↔ symbol astrologiczny (LOG-22).
+
+Sedno: glify muszą być KOMPLETNE (każdy obiekt/znak/aspekt, który liczymy, ma
+symbol), DWUKIERUNKOWE (symbol → tekst z powrotem) i TEKSTOWE, nigdy emoji
+(DAN-18) — inaczej na kosmogramie wyjdą kolorowe kwadraty zamiast czarno-białych
+symboli.
+"""
+import pytest
+
+from app.engine import glyphs as G
+from app.engine.aspects import MAJOR
+from app.engine.formats import SIGNS
+from app.engine.models import DEFAULT_OBJECTS
+
+VS15, VS16 = "︎", "️"
+
+
+def _all_glyphs():
+    return (list(G.PLANET.values()) + list(G.POINT.values()) + list(G.LOT.values())
+            + list(G.SIGN.values()) + list(G.ASPECT.values()) + [G.RETROGRADE])
+
+
+# ------------------------------------------------------------- kompletność
+
+def test_every_default_object_has_a_glyph():
+    """Każdy obiekt z kanonicznego zestawu musi mieć symbol — inaczej na kole
+    zostanie dziura."""
+    missing = [name for name in DEFAULT_OBJECTS if G.glyph_for(name) is None]
+    assert not missing, f"obiekty bez glifu: {missing}"
+
+
+def test_every_sign_has_a_glyph():
+    missing = [s for s in SIGNS if G.sign_glyph(s) is None]
+    assert not missing, f"znaki bez glifu: {missing}"
+
+
+def test_every_major_aspect_has_a_glyph():
+    missing = [a for a in MAJOR if G.aspect_glyph(a) is None]
+    assert not missing, f"aspekty główne bez glifu: {missing}"
+
+
+def test_fortune_and_retrograde_from_requirement():
+    """Wymóg wprost wymienia ⊗ (Fortuna) i ℞ (retrogradacja)."""
+    assert G.glyph_for("Fortune") == "⊗"
+    assert G.RETROGRADE == "℞"
+
+
+# ------------------------------------------------------ DAN-18: tekst, nie emoji
+
+def test_no_glyph_uses_emoji_variation_selector():
+    """VS16 (U+FE0F) wymusiłby prezentację emoji — nie może go być NIGDZIE."""
+    offenders = [g for g in _all_glyphs() if VS16 in g]
+    assert not offenders, f"glify z wariantem emoji (FE0F): {offenders!r}"
+
+
+def test_signs_force_text_presentation():
+    """Znaki zodiaku mają domyślnie wariant emoji → MUSZĄ nieść VS15."""
+    for s in SIGNS:
+        assert VS15 in G.sign_glyph(s), f"{s} bez wymuszenia tekstu (VS15)"
+
+
+def test_venus_mars_force_text_but_sun_does_not():
+    """♀/♂ mają wariant emoji (VS15 konieczny); ☉ nie ma (VS15 zbędny)."""
+    assert VS15 in G.glyph_for("Venus")
+    assert VS15 in G.glyph_for("Mars")
+    assert VS15 not in G.glyph_for("Sun")       # bez zaśmiecania niepotrzebnym selektorem
+
+
+# ---------------------------------------------------------- dwukierunkowość
+
+def test_object_round_trip():
+    for name in DEFAULT_OBJECTS:
+        assert G.name_for_glyph(G.glyph_for(name)) == name
+
+
+def test_sign_round_trip():
+    for s in SIGNS:
+        assert G.sign_for_glyph(G.sign_glyph(s)) == s
+
+
+def test_aspect_round_trip():
+    for a in MAJOR:
+        assert G.aspect_for_glyph(G.aspect_glyph(a)) == a
+
+
+def test_reverse_tolerates_missing_variant_selector():
+    """Symbol wklejony bez VS15 też musi się rozpoznać — bo z zewnątrz przyjdzie
+    dowolna forma (DAN-17: łańcuch znosi każdy Unicode)."""
+    assert G.sign_for_glyph("♓") == "Pisces"          # ♓ bez VS15
+    assert G.sign_for_glyph("♓" + VS15) == "Pisces"   # ♓ z VS15
+    assert G.name_for_glyph("♀") == "Venus"           # ♀ bez VS15
+
+
+# --------------------------------------------------------- glifikacja tekstu
+
+def test_glyphify_matches_requirement_example():
+    """Przykład z wymagań: [Sa [Pis 26°08' [conj [PF -> ♄ ♓ 26°08' ☌ ⊗."""
+    out = G.glyphify("[Sa [Pis 26°08' [conj [PF")
+    assert G.glyph_for("Saturn") in out
+    assert G.sign_glyph("Pisces") in out
+    assert G.aspect_glyph("conjunction") in out
+    assert G.glyph_for("Fortune") in out
+    assert "26°08'" in out                                  # stopnie nietknięte
+
+
+def test_glyphify_handles_retrograde_and_leaves_unknown():
+    out = G.glyphify("[Ma Rx w [Xyz")
+    assert G.glyph_for("Mars") in out
+    assert G.RETROGRADE in out
+    assert "[Xyz" in out                                    # nieznany token bez zmian
+
+
+def test_glyphify_empty_is_safe():
+    assert G.glyphify("") == ""

services/logic/tests/test_limits.py

@@ -0,0 +1,91 @@
+"""Okna kontekstu i planowanie budżetu tokenów (LOG-30/31).
+
+Naczelna zasada, której pilnują te testy: **zawsze zostaje miejsce na odpowiedź**.
+Prompt nigdy nie może wypełnić całego okna kontekstu, bo wtedy model kończy na
+`max_tokens` z pustą albo uciętą treścią — to był zgłoszony błąd.
+"""
+import pytest
+
+from app.llm import limits
+
+
+def test_known_models_have_documented_limits():
+    ctx, out = limits.limits_for("anthropic", "claude-opus-4-8")
+    assert ctx == 1_000_000 and out == 128_000
+    ctx, out = limits.limits_for("anthropic", "claude-haiku-4-5")
+    assert ctx == 200_000 and out == 64_000
+
+
+def test_local_model_tag_is_matched_by_prefix():
+    """Modele lokalne niosą tag (`llama3.1:8b`) — dopasowanie musi to znieść."""
+    assert limits.limits_for("local", "llama3.1:8b") == limits.limits_for("local", "llama3.1")
+
+
+def test_unknown_model_falls_back_conservatively():
+    ctx, out = limits.limits_for("local", "jakis-egzotyczny-model")
+    assert ctx == 8_192 and out == 4_096
+
+
+def test_env_overrides_win(monkeypatch):
+    """Modele wychodzą szybciej, niż aktualizuje się tabela."""
+    monkeypatch.setenv("LOCAL_CONTEXT_WINDOW", "131072")
+    monkeypatch.setenv("LOCAL_MAX_OUTPUT", "8192")
+    assert limits.limits_for("local", "llama3.1:8b") == (131_072, 8_192)
+
+
+def test_env_override_ignores_garbage(monkeypatch):
+    monkeypatch.setenv("LOCAL_CONTEXT_WINDOW", "nie-liczba")
+    assert limits.limits_for("local", "llama3.1:8b")[0] == 8_192
+
+
+# ------------------------------------------------- rezerwa miejsca na odpowiedź
+
+def test_prompt_budget_always_reserves_room_for_answer():
+    ctx, out = limits.limits_for("anthropic", "claude-opus-4-8")
+    budget = limits.prompt_token_budget("anthropic", "claude-opus-4-8")
+    assert budget + out + limits.SAFETY_MARGIN <= ctx
+    assert budget > 0
+
+
+def test_small_context_model_still_leaves_room():
+    budget = limits.prompt_token_budget("local", "llama3.1:8b")
+    ctx, out = limits.limits_for("local", "llama3.1:8b")
+    assert budget + out + limits.SAFETY_MARGIN <= ctx
+
+
+def test_plan_shrinks_output_when_prompt_is_huge():
+    """Duży prompt nie może dostać pełnego okna wyjścia — musi się zmieścić."""
+    ctx, model_out = limits.limits_for("local", "llama3.1:8b")
+    p = limits.plan("local", "llama3.1:8b", prompt_tokens=6_000)
+    assert p["max_output"] <= ctx - 6_000 - limits.SAFETY_MARGIN
+    assert p["max_output"] < model_out
+
+
+def test_plan_reports_not_fitting_instead_of_failing_silently():
+    p = limits.plan("local", "llama3.1:8b", prompt_tokens=8_000)
+    assert p["fits"] is False
+    assert any("odpowied" in w for w in p["warnings"])
+
+
+def test_plan_warns_above_90k_but_still_fits():
+    """Powyżej 90 tys. tokenów ostrzegamy — ale wysłanie MA być nadal możliwe."""
+    p = limits.plan("anthropic", "claude-opus-4-8", prompt_tokens=120_000)
+    assert p["fits"] is True, "duży prompt nadal musi dać się wysłać"
+    assert p["max_output"] >= limits.MIN_OUTPUT
+    assert any("dużo" in w for w in p["warnings"])
+
+
+def test_no_warning_below_threshold():
+    p = limits.plan("anthropic", "claude-opus-4-8", prompt_tokens=10_000)
+    assert p["warnings"] == [] and p["fits"] is True
+
+
+def test_requested_output_is_capped_by_model_maximum():
+    p = limits.plan("anthropic", "claude-haiku-4-5", prompt_tokens=1_000, want_output=999_999)
+    assert p["max_output"] == 64_000
+
+
+@pytest.mark.parametrize("tokens", [0, 1_000, 50_000, 200_000, 900_000])
+def test_plan_never_returns_negative_output(tokens):
+    p = limits.plan("anthropic", "claude-opus-4-8", prompt_tokens=tokens)
+    assert p["max_output"] >= 0

services/logic/tests/test_link_crypto.py

@@ -0,0 +1,401 @@
+"""Szyfrowanie łącza między warstwami (PRE-16).
+
+Sedno: przez to łącze płyną surowe wiersze oryginalnych baz interpretacyjnych.
+Testy nie sprawdzają więc tylko, czy „coś się zaszyfrowało i odszyfrowało" —
+sprawdzają, czy tajnego tekstu FAKTYCZNIE NIE MA w bajtach lecących po sieci
+oraz czy każda znana droga na skróty (brak szyfrowania, obcy klucz, podmieniony
+bajt, przeklejenie na inny endpoint, odtworzenie po czasie) kończy się odmową.
+"""
+import json
+import pathlib
+import time
+
+import pytest
+from fastapi import FastAPI
+from fastapi.responses import StreamingResponse
+from pydantic import BaseModel
+from starlette.testclient import TestClient
+
+from app import link_crypto
+from app.link_crypto import ENV_LOGIC_DATA, ENV_PRESENTATION_LOGIC, Link, LinkError
+
+SECRET = "Saturn w VII domu — opis z oryginalnej bazy interpretacyjnej"
+KEY_A = "11" * 32          # hex, 32 bajty
+KEY_B = "22" * 32
+
+
+class Payload(BaseModel):
+    question: str
+
+
+def _app(link: Link | None) -> FastAPI:
+    app = FastAPI()
+    if link is not None:
+        app.add_middleware(link_crypto.LinkCryptoMiddleware, link=link, layer="testowa")
+
+    @app.get("/health")
+    def health():
+        return {"status": "ok"}
+
+    @app.post("/search")
+    def search(payload: Payload):
+        return {"echo": payload.question, "interpretation": SECRET}
+
+    @app.get("/catalog")
+    def catalog():
+        return {"models": ["a", "b"]}
+
+    @app.post("/stream")
+    def stream():
+        def lines():
+            for i in range(4):
+                yield json.dumps({"step": i, "note": SECRET}).encode() + b"\n"
+
+        return StreamingResponse(lines(), media_type="application/x-ndjson")
+
+    return app
+
+
+@pytest.fixture
+def link():
+    return Link(link_crypto.parse_key(KEY_A))
+
+
+# ------------------------------------------------------------------- klucze
+
+def test_key_accepts_hex_and_base64():
+    import base64
+
+    raw = bytes(range(32))
+    assert link_crypto.parse_key(raw.hex()) == raw
+    assert link_crypto.parse_key(base64.b64encode(raw).decode()) == raw
+
+
+def test_key_of_wrong_length_is_rejected_loudly():
+    """Krótki klucz to nie „słabsze szyfrowanie", tylko błąd konfiguracji."""
+    with pytest.raises(LinkError, match="32"):
+        link_crypto.parse_key("aabb")
+
+
+def test_key_that_is_neither_hex_nor_base64_is_rejected():
+    with pytest.raises(LinkError, match="hex"):
+        link_crypto.parse_key("!!! to nie jest klucz !!!")
+
+
+def test_key_from_env_is_lazy(monkeypatch):
+    monkeypatch.delenv(ENV_PRESENTATION_LOGIC, raising=False)
+    assert link_crypto.key_from_env(ENV_PRESENTATION_LOGIC) is None
+    monkeypatch.setenv(ENV_PRESENTATION_LOGIC, KEY_A)
+    assert link_crypto.key_from_env(ENV_PRESENTATION_LOGIC) == bytes.fromhex(KEY_A)
+
+
+def test_directions_use_different_subkeys(link):
+    """Żądanie i odpowiedź nie dzielą klucza — powtórzenie jednorazówki w jedną
+    stronę nie osłabia drugiej."""
+    stamp = link_crypto.stamp_now()
+    sealed = link.seal(link_crypto.REQUEST, "/search", stamp, 0, b"tajne")
+    with pytest.raises(LinkError):
+        link.open(link_crypto.RESPONSE, "/search", stamp, 0, sealed)
+
+
+# --------------------------------------------------------- podstawowy obieg
+
+def test_round_trip_delivers_plaintext_to_the_app(link):
+    with TestClient(_app(link)) as client:
+        got = link_crypto.call_json(client, "POST", "http://testserver/search",
+                                    payload={"question": "Saturn"}, link=link)
+    assert got["echo"] == "Saturn"
+    assert got["interpretation"] == SECRET
+
+
+def test_get_without_body_also_works(link):
+    """GET nie ma ciała, ale i tak pieczętujemy pustą kopertę — to ona dowodzi,
+    że pytający ma klucz, i ona wymusza zaszyfrowanie odpowiedzi."""
+    with TestClient(_app(link)) as client:
+        got = link_crypto.call_json(client, "GET", "http://testserver/catalog", link=link)
+    assert got == {"models": ["a", "b"]}
+
+
+def test_without_key_traffic_stays_plaintext(link):
+    """Dev bez sekretów ma działać jak dotąd — inaczej nikt nie odpali projektu lokalnie."""
+    with TestClient(_app(None)) as client:
+        got = link_crypto.call_json(client, "POST", "http://testserver/search",
+                                    payload={"question": "Saturn"}, link=None)
+    assert got["interpretation"] == SECRET
+
+
+def test_health_stays_open_for_kubernetes_probes(link):
+    """Sondy k8s klucza nie mają. Gdyby /health wymagał szyfrowania, literówka
+    w sekrecie kładłaby pody zamiast pokazać błąd w aplikacji."""
+    with TestClient(_app(link)) as client:
+        assert client.get("http://testserver/health").json() == {"status": "ok"}
+
+
+# ------------------------------------------- czy na kablu naprawdę nic nie widać
+
+def _raw_exchange(client, link, payload):
+    """Wysyła zapieczętowane żądanie i zwraca SUROWE bajty obu stron."""
+    stamp = link_crypto.stamp_now()
+    body = link_crypto.frame_out(
+        link.seal(link_crypto.REQUEST, "/search", stamp, 0, json.dumps(payload).encode()))
+    response = client.request(
+        "POST", "http://testserver/search", content=body,
+        headers={link_crypto.HEADER_ENC: link_crypto.VERSION,
+                 link_crypto.HEADER_TS: stamp,
+                 "Content-Type": link_crypto.CONTENT_TYPE})
+    return body, response
+
+
+def test_request_bytes_do_not_contain_the_question(link):
+    with TestClient(_app(link)) as client:
+        body, _ = _raw_exchange(client, link, {"question": "Saturn w VII"})
+    assert b"Saturn" not in body
+    assert b"question" not in body
+
+
+def test_response_bytes_do_not_contain_the_interpretation(link):
+    """To jest właściwy powód istnienia całego modułu."""
+    with TestClient(_app(link)) as client:
+        _, response = _raw_exchange(client, link, {"question": "Saturn"})
+    assert response.status_code == 200
+    assert SECRET.encode() not in response.content
+    assert b"interpretation" not in response.content
+    assert response.headers[link_crypto.HEADER_ENC] == link_crypto.VERSION
+    assert response.headers["content-type"] == link_crypto.CONTENT_TYPE
+
+
+# ------------------------------------------------------- drogi na skróty i ataki
+
+def test_plaintext_request_is_refused_when_key_is_set(link):
+    """Fail-closed: regresja po stronie klienta nie może oznaczać cichego
+    powrotu do jawnego ruchu."""
+    with TestClient(_app(link)) as client:
+        response = client.post("http://testserver/search", json={"question": "Saturn"})
+    assert response.status_code == 400
+    assert SECRET.encode() not in response.content
+
+
+def test_foreign_key_cannot_read_the_link(link):
+    """Klucze są osobne dla każdej pary warstw — przejęcie jednego nie otwiera drugiej."""
+    intruder = Link(link_crypto.parse_key(KEY_B))
+    with TestClient(_app(link)) as client:
+        stamp = link_crypto.stamp_now()
+        body = link_crypto.frame_out(
+            intruder.seal(link_crypto.REQUEST, "/search", stamp, 0, b'{"question":"x"}'))
+        response = client.request(
+            "POST", "http://testserver/search", content=body,
+            headers={link_crypto.HEADER_ENC: link_crypto.VERSION,
+                     link_crypto.HEADER_TS: stamp,
+                     "Content-Type": link_crypto.CONTENT_TYPE})
+    assert response.status_code == 400
+    assert SECRET.encode() not in response.content
+
+
+def test_single_flipped_bit_is_rejected(link):
+    """GCM uwierzytelnia, więc nie ma wariantu „odszyfrowało się, ale zmienione"."""
+    with TestClient(_app(link)) as client:
+        stamp = link_crypto.stamp_now()
+        sealed = bytearray(link.seal(link_crypto.REQUEST, "/search", stamp, 0,
+                                     b'{"question":"x"}'))
+        sealed[-1] ^= 0x01
+        response = client.request(
+            "POST", "http://testserver/search",
+            content=link_crypto.frame_out(bytes(sealed)),
+            headers={link_crypto.HEADER_ENC: link_crypto.VERSION,
+                     link_crypto.HEADER_TS: stamp,
+                     "Content-Type": link_crypto.CONTENT_TYPE})
+    assert response.status_code == 400
+
+
+def test_frame_cannot_be_replayed_against_another_endpoint(link):
+    """Ścieżka wchodzi do materiału uwierzytelnianego, więc podsłuchanej koperty
+    nie da się przekleić tam, gdzie odpowiedź byłaby ciekawsza."""
+    stamp = link_crypto.stamp_now()
+    sealed = link.seal(link_crypto.REQUEST, "/catalog", stamp, 0, b"")
+    with pytest.raises(LinkError):
+        link.open(link_crypto.REQUEST, "/search", stamp, 0, sealed)
+
+
+def test_frames_cannot_be_reordered(link):
+    """Numer ramki jest uwierzytelniony — przestawienie kolejności w strumieniu
+    to błąd, a nie po cichu pomieszany horoskop."""
+    stamp = link_crypto.stamp_now()
+    second = link.seal(link_crypto.RESPONSE, "/stream", stamp, 1, b"druga")
+    with pytest.raises(LinkError):
+        link.open(link_crypto.RESPONSE, "/stream", stamp, 0, second)
+
+
+def test_stale_frame_is_refused(link, monkeypatch):
+    """Bez okna czasowego podsłuchane żądanie dałoby się odtworzyć kiedykolwiek."""
+    old = f"{time.time() - link_crypto.MAX_SKEW_SECONDS - 60:.3f}"
+    with TestClient(_app(link)) as client:
+        body = link_crypto.frame_out(
+            link.seal(link_crypto.REQUEST, "/search", old, 0, b'{"question":"x"}'))
+        response = client.request(
+            "POST", "http://testserver/search", content=body,
+            headers={link_crypto.HEADER_ENC: link_crypto.VERSION,
+                     link_crypto.HEADER_TS: old,
+                     "Content-Type": link_crypto.CONTENT_TYPE})
+    assert response.status_code == 400
+
+
+def test_truncated_stream_is_an_error_not_silent_loss(link):
+    stamp = link_crypto.stamp_now()
+    full = link_crypto.frame_out(link.seal(link_crypto.RESPONSE, "/x", stamp, 0, b"abc"))
+    with pytest.raises(LinkError, match="urwana"):
+        link.open_all(link_crypto.RESPONSE, "/x", stamp, full[:-2])
+
+
+def test_absurd_frame_length_does_not_allocate(link):
+    """Zadeklarowana długość pochodzi z sieci — nie wolno jej wierzyć na słowo."""
+    import struct
+
+    with pytest.raises(LinkError, match="rozmiar"):
+        list(link_crypto.frames_in(struct.pack(">I", 2 ** 31) + b"nic"))
+
+
+# ---------------------------------------------------------- odpowiedź strumieniowa
+
+def test_streaming_response_survives_encryption(link):
+    """Okno postępu dostaje kolejne linie na żywo — muszą dojść po kolei
+    i w komplecie, mimo że każda jedzie w osobnej kopercie."""
+    with TestClient(_app(link)) as client:
+        stamp = link_crypto.stamp_now()
+        body = link_crypto.frame_out(link.seal(link_crypto.REQUEST, "/stream", stamp, 0, b""))
+        with client.stream("POST", "http://testserver/stream", content=body,
+                           headers={link_crypto.HEADER_ENC: link_crypto.VERSION,
+                                    link_crypto.HEADER_TS: stamp,
+                                    "Content-Type": link_crypto.CONTENT_TYPE}) as response:
+            chunks = list(link_crypto.open_response_stream(response, link))
+
+    steps = [json.loads(line) for line in b"".join(chunks).splitlines()]
+    assert [s["step"] for s in steps] == [0, 1, 2, 3]
+    assert all(s["note"] == SECRET for s in steps)
+
+
+def test_stream_lines_helper_round_trips_ndjson(link):
+    """Wyższa warstwa (`stream_lines`) — dokładnie tej używa klient okna postępu.
+
+    Regresja, którą pilnuje ten test: strumień horoskopu powstał na gałęzi, która
+    nie widziała szyfrowania, więc szedł surowym httpx. Po scaleniu z PRE-16 przy
+    włączonym łączu żądanie było odrzucane (400) albo odpowiedź wracała jako
+    nieczytelne ramki. Tu sprawdzamy, że helper zwraca CZYSTE linie NDJSON i że
+    tajny opis nie przecieka po drodze."""
+    with TestClient(_app(link)) as client:
+        lines = list(link_crypto.stream_lines(
+            client, "http://testserver/stream", payload=None, link=link))
+    steps = [json.loads(line) for line in lines]
+    assert [s["step"] for s in steps] == [0, 1, 2, 3]
+    assert all(s["note"] == SECRET for s in steps)
+
+
+def test_stream_lines_plaintext_path_still_works(link):
+    """Bez klucza (dev) strumień ma działać jak dotąd — surowy, bez szyfrowania."""
+    with TestClient(_app(None)) as client:
+        lines = list(link_crypto.stream_lines(
+            client, "http://testserver/stream", payload=None, link=None))
+    assert [json.loads(line)["step"] for line in lines] == [0, 1, 2, 3]
+
+
+def test_stream_request_without_key_is_refused_when_required(link):
+    """Fail-closed obejmuje też strumień: nieszyfrowane żądanie na łączu z kluczem
+    dostaje odmowę, a nie cichy jawny przelot tajnych danych."""
+    with TestClient(_app(link)) as client:
+        response = client.post("http://testserver/stream", json={})
+    assert response.status_code == 400
+    assert SECRET.encode() not in response.content
+
+
+def test_stream_lines_client_is_fail_closed_when_required(monkeypatch, link):
+    """Klient strumienia też nie wypuszcza jawnego żądania — jak `call`. Bez tego
+    ciało (dane urodzenia) poszłoby w eter, zanim serwer zdążyłby odmówić."""
+    monkeypatch.setenv(link_crypto.ENV_REQUIRED, "true")
+    sent = []
+
+    class Tripwire:
+        def stream(self, *args, **kwargs):
+            sent.append(args)
+            raise AssertionError("strumień NIE powinien opuścić procesu")
+
+    with pytest.raises(LinkError, match=link_crypto.ENV_REQUIRED):
+        list(link_crypto.stream_lines(Tripwire(), "http://logic/chart/horoscope/stream",
+                                      payload={"lat": 50.0}, link=None))
+    assert not sent, "żądanie strumienia wyszłoby jawnym tekstem"
+
+
+def test_incremental_unframing_handles_split_frames(link):
+    """Ramka potrafi rozjechać się między dwa odczyty z gniazda — składamy ją
+    w buforze, zamiast zakładać, że każdy kawałek to komplet."""
+    stamp = link_crypto.stamp_now()
+    stream = b"".join(link.seal_stream(link_crypto.RESPONSE, "/x", stamp,
+                                       [b"raz", b"dwa", b"trzy"]))
+    buffer = bytearray()
+    opened, seq = [], 0
+    for i in range(0, len(stream), 5):            # ciachamy w poprzek ramek
+        buffer += stream[i:i + 5]
+        for frame in link_crypto.unframe_incremental(buffer):
+            opened.append(link.open(link_crypto.RESPONSE, "/x", stamp, seq, frame))
+            seq += 1
+    assert opened == [b"raz", b"dwa", b"trzy"]
+    assert not buffer, "bufor musi zostać pusty — inaczej gdzieś zgubiliśmy ramkę"
+
+
+# ----------------------------------------------- trzy kopie muszą być identyczne
+
+def test_all_services_share_the_same_module():
+    """Moduł jest skopiowany do KAŻDEJ usługi, która szyfruje łącze (nie mają wspólnej
+    biblioteki). Rozjazd między kopiami objawiłby się dopiero na produkcji jako
+    „nie da się odszyfrować" — więc pilnujemy tego testem."""
+    root = pathlib.Path(__file__).resolve().parents[3]
+    copies = {svc: (root / "services" / svc / "app" / "link_crypto.py")
+              for svc in ("presentation", "logic", "data", "render")}
+    missing = [svc for svc, path in copies.items() if not path.is_file()]
+    assert not missing, f"brak modułu w warstwach: {missing}"
+    contents = {svc: path.read_bytes() for svc, path in copies.items()}
+    assert len(set(contents.values())) == 1, (
+        "kopie link_crypto.py rozjechały się między warstwami: "
+        + ", ".join(f"{svc}={len(body)}B" for svc, body in contents.items())
+    )
+
+
+def test_env_names_are_two_distinct_keys():
+    """Wymóg wprost: osobny klucz dla pary prezentacja-logika i logika-dane."""
+    assert ENV_PRESENTATION_LOGIC != ENV_LOGIC_DATA
+
+
+# ------------------------------------------------- klient też musi być fail-closed
+#
+# To wyszło dopiero z podsłuchu prawdziwego gniazda, nie z testów: przy kliencie
+# BEZ klucza serwer owszem odmawiał, ale pytanie leciało po drodze otwartym
+# tekstem. Odpowiedź była chroniona — zapytanie już nie.
+
+def test_client_without_key_sends_nothing_when_encryption_required(monkeypatch):
+    monkeypatch.setenv(link_crypto.ENV_REQUIRED, "true")
+    sent = []
+
+    class Tripwire:
+        def request(self, *args, **kwargs):
+            sent.append(args)
+            raise AssertionError("żądanie NIE powinno opuścić procesu")
+
+    with pytest.raises(LinkError, match=link_crypto.ENV_REQUIRED):
+        link_crypto.call(Tripwire(), "POST", "http://logic/search",
+                         payload={"value": "[Sat"}, link=None)
+    assert not sent, "treść zapytania wyszłaby jawnym tekstem"
+
+
+def test_plaintext_still_allowed_in_dev(monkeypatch, link):
+    """Bez tej flagi lokalne uruchomienie bez sekretów ma dalej działać."""
+    monkeypatch.delenv(link_crypto.ENV_REQUIRED, raising=False)
+    with TestClient(_app(None)) as client:
+        got = link_crypto.call_json(client, "POST", "http://testserver/search",
+                                    payload={"question": "Saturn"}, link=None)
+    assert got["interpretation"] == SECRET
+
+
+def test_service_refuses_to_start_without_key_when_required(monkeypatch):
+    """Pod w CrashLoop widać od razu; usługę, która wstała i nie szyfruje — nie."""
+    monkeypatch.setenv(link_crypto.ENV_REQUIRED, "true")
+    monkeypatch.delenv(ENV_LOGIC_DATA, raising=False)
+    with pytest.raises(LinkError, match=ENV_LOGIC_DATA):
+        link_crypto.install(FastAPI(), ENV_LOGIC_DATA, "danych")

services/logic/tests/test_llm.py

@@ -3,6 +3,8 @@
 Transport podstawiamy przez httpx.MockTransport, więc testy są szybkie,
 deterministyczne i nic nie wychodzi na zewnątrz.
 """
+import json
+
 import httpx
 import pytest
 
@@ -115,7 +117,7 @@ def test_anthropic_generates(monkeypatch):
 
 
 def test_anthropic_requires_key():
-    with pytest.raises(LLMError, match="LLM_API_KEY"):
+    with pytest.raises(LLMError, match="ANTHROPIC_API_KEY"):
         AnthropicProvider("https://api.anthropic.com", "m", "").generate("p", 10)
 
 
@@ -133,7 +135,9 @@ def test_default_provider_is_local(monkeypatch):
 
 def test_openai_requires_key(monkeypatch):
     monkeypatch.delenv("LLM_API_KEY", raising=False)
-    with pytest.raises(LLMError, match="LLM_API_KEY"):
+    monkeypatch.delenv("OPENAI_API_KEY", raising=False)
+    # komunikat wskazuje ZMIENNĄ DO USTAWIENIA dla tego dostawcy, nie ogólne LLM_API_KEY
+    with pytest.raises(LLMError, match="OPENAI_API_KEY"):
         factory.build_provider("openai")
 
 
@@ -147,3 +151,287 @@ def test_env_overrides_model_and_url(monkeypatch):
     monkeypatch.setenv("LLM_BASE_URL", "http://serwer:8000/v1")
     p = factory.build_provider("local")
     assert p.model == "moj-model" and p.base_url == "http://serwer:8000/v1"
+
+
+# ---------------------------------------- konfiguracja per dostawca (regresja LOG-31)
+# UI pozwala przelaczac dostawce przy kazdym zadaniu, wiec ustawienia JEDNEGO nie moga
+# przeciekac na pozostalych. Wczesniej wspolne LLM_BASE_URL/LLM_MODEL kierowaly zadania
+# do OpenAI na adres lokalnej Ollamy i prosily Anthropic o model llama.
+
+def _clear(monkeypatch):
+    for v in ("LLM_PROVIDER", "LLM_MODEL", "LLM_BASE_URL", "LLM_API_KEY",
+              "LOCAL_MODEL", "LOCAL_BASE_URL", "LOCAL_API_KEY",
+              "OPENAI_MODEL", "OPENAI_BASE_URL", "OPENAI_API_KEY",
+              "ANTHROPIC_MODEL", "ANTHROPIC_BASE_URL", "ANTHROPIC_API_KEY"):
+        monkeypatch.delenv(v, raising=False)
+
+
+def test_local_config_does_not_leak_to_cloud(monkeypatch):
+    """Sedno bledu: skonfigurowany model lokalny przejmowal zadania do chmury."""
+    _clear(monkeypatch)
+    monkeypatch.setenv("LLM_PROVIDER", "local")
+    monkeypatch.setenv("LLM_BASE_URL", "http://ollama:11434/v1")   # konfiguracja lokalnego
+    monkeypatch.setenv("LLM_MODEL", "llama3.1:8b")
+    monkeypatch.setenv("OPENAI_API_KEY", "sk-test")
+
+    local = factory.build_provider("local")
+    assert local.base_url == "http://ollama:11434/v1" and local.model == "llama3.1:8b"
+
+    openai = factory.build_provider("openai")
+    assert openai.base_url == "https://api.openai.com/v1", "zadanie do OpenAI poszloby do Ollamy"
+    assert openai.model == "gpt-4o-mini", "OpenAI dostalby nazwe modelu llama"
+
+
+def test_provider_specific_settings_win(monkeypatch):
+    _clear(monkeypatch)
+    monkeypatch.setenv("LLM_PROVIDER", "local")
+    monkeypatch.setenv("ANTHROPIC_API_KEY", "sk-ant")
+    monkeypatch.setenv("ANTHROPIC_MODEL", "claude-opus-4-8")
+    p = factory.build_provider("anthropic")
+    assert p.model == "claude-opus-4-8" and p.api_key == "sk-ant"
+
+
+def test_generic_vars_apply_only_to_default_provider(monkeypatch):
+    """Zgodnosc wstecz: wspolne LLM_* konfiguruja dostawce domyslnego i tylko jego."""
+    _clear(monkeypatch)
+    monkeypatch.setenv("LLM_PROVIDER", "openai")
+    monkeypatch.setenv("LLM_API_KEY", "sk-generic")
+    monkeypatch.setenv("LLM_MODEL", "gpt-4o")
+    assert factory.build_provider("openai").model == "gpt-4o"
+    assert factory.build_provider("local").model == "llama3.1:8b"   # nie dziedziczy
+
+
+def test_cloud_without_key_is_rejected_clearly(monkeypatch):
+    _clear(monkeypatch)
+    monkeypatch.setenv("LLM_PROVIDER", "local")
+    for name in ("openai", "anthropic"):
+        with pytest.raises(LLMError, match=f"{name.upper()}_API_KEY"):
+            factory.build_provider(name)
+
+
+def test_local_needs_no_key(monkeypatch):
+    _clear(monkeypatch)
+    assert factory.build_provider("local").api_key == ""
+
+
+# ------------------------------------------- pusta odpowiedz modelu (cicha awaria)
+# Regresja: model potrafi oddac pusta tresc (prompt zjadl caly kontekst ->
+# finish_reason=length, completion_tokens=0). Wczesniej generate() zwracalo pusty
+# tekst BEZ bledu, widok nic nie renderowal i uzytkownik dostawal pusta strone
+# bez zadnego wyjasnienia. Pusta odpowiedz MUSI byc bledem.
+
+def test_empty_completion_raises_instead_of_silent_blank(monkeypatch):
+    monkeypatch.setattr(httpx, "Client", _mock_client(lambda r: httpx.Response(200, json={
+        "model": "llama3.1:8b",
+        "choices": [{"message": {"content": ""}, "finish_reason": "length"}],
+        "usage": {"prompt_tokens": 8000, "completion_tokens": 0},
+    })))
+    with pytest.raises(LLMError, match="nie zwrócił żadnej treści"):
+        ChatCompletionsProvider("local", "http://x/v1", "m").generate("p", 2000)
+
+
+def test_empty_completion_explains_context_window(monkeypatch):
+    """Komunikat ma prowadzic do przyczyny, a nie tylko stwierdzac fakt."""
+    monkeypatch.setattr(httpx, "Client", _mock_client(lambda r: httpx.Response(200, json={
+        "choices": [{"message": {"content": "   "}, "finish_reason": "length"}],
+        "usage": {"prompt_tokens": 8000, "completion_tokens": 0},
+    })))
+    with pytest.raises(LLMError) as ei:
+        ChatCompletionsProvider("local", "http://x/v1", "m").generate("p", 2000)
+    msg = str(ei.value)
+    assert "kontekstu" in msg and "budżet" in msg
+    assert "powód zakończenia: length" in msg      # diagnostyka w tresci bledu
+
+
+def test_whitespace_only_is_treated_as_empty(monkeypatch):
+    monkeypatch.setattr(httpx, "Client", _mock_client(lambda r: httpx.Response(200, json={
+        "choices": [{"message": {"content": "\n\n  \t "}}],
+    })))
+    with pytest.raises(LLMError, match="nie zwrócił żadnej treści"):
+        ChatCompletionsProvider("local", "http://x/v1", "m").generate("p", 100)
+
+
+def test_anthropic_empty_completion_raises(monkeypatch):
+    monkeypatch.setattr(httpx, "Client", _mock_client(lambda r: httpx.Response(200, json={
+        "model": "claude-x", "content": [], "stop_reason": "max_tokens",
+        "usage": {"input_tokens": 9000, "output_tokens": 0},
+    })))
+    with pytest.raises(LLMError, match="nie zwrócił żadnej treści"):
+        AnthropicProvider("https://api.anthropic.com", "claude-x", "klucz").generate("p", 100)
+
+
+def test_normal_response_still_passes(monkeypatch):
+    """Straznik nie moze psuc poprawnej odpowiedzi."""
+    monkeypatch.setattr(httpx, "Client", _mock_client(lambda r: httpx.Response(200, json={
+        "choices": [{"message": {"content": "Horoskop."}, "finish_reason": "stop"}],
+        "usage": {"prompt_tokens": 100, "completion_tokens": 20},
+    })))
+    assert ChatCompletionsProvider("local", "http://x/v1", "m").generate("p", 100).text == "Horoskop."
+
+
+# ------------------------------------- kontynuacja: horoskop MA powstac zawsze
+# Sedno wymagania: niezaleznie od objetosci promptu i limitu wyjscia, pelna tresc
+# ma wrocic do uzytkownika. Model urwany na max_tokens jest proszony o dokonczenie
+# w ramach tej samej rozmowy, a kawalki sa sklejane.
+
+def _scripted(responses):
+    """Transport oddajacy kolejne odpowiedzi z listy (po jednej na ture)."""
+    seq = list(responses)
+    seen = []
+
+    def handler(request):
+        seen.append(request)
+        return httpx.Response(200, json=seq.pop(0) if seq else seq_last)
+
+    seq_last = responses[-1]
+    return handler, seen
+
+
+def _chat(text, finish):
+    return {"choices": [{"message": {"content": text}, "finish_reason": finish}],
+            "usage": {"completion_tokens": 10}}
+
+
+def test_truncated_answer_is_continued_and_joined(monkeypatch):
+    handler, seen = _scripted([
+        _chat("Czesc pierwsza.", "length"),
+        _chat("Czesc druga. KONIEC", "stop"),
+    ])
+    monkeypatch.setattr(httpx, "Client", _mock_client(handler))
+    out = ChatCompletionsProvider("local", "http://x/v1", "m").generate("prompt", 40000)
+    assert "Czesc pierwsza." in out.text and "Czesc druga." in out.text
+    assert "KONIEC" not in out.text          # znacznik nie trafia do horoskopu
+    assert out.usage["turns"] == 2
+
+
+def test_continuation_asks_in_same_conversation(monkeypatch):
+    """Kontynuacja musi isc jako kolejna tura rozmowy, a ostatnia wiadomosc MUSI
+    byc od uzytkownika — Claude odrzuca prefill w turze asystenta (400)."""
+    handler, seen = _scripted([_chat("Poczatek", "length"), _chat("Reszta", "stop")])
+    monkeypatch.setattr(httpx, "Client", _mock_client(handler))
+    ChatCompletionsProvider("local", "http://x/v1", "m").generate("prompt", 40000)
+    msgs = json.loads(seen[1].content)["messages"]
+    assert msgs[-1]["role"] == "user", "ostatnia wiadomosc nie moze byc prefillem asystenta"
+    assert msgs[1]["role"] == "assistant" and "Poczatek" in msgs[1]["content"]
+
+
+def test_anthropic_thinking_only_turn_is_continued(monkeypatch):
+    """DOKLADNIE zgloszony objaw: cala tura poszla na myslenie, tekst pusty.
+    Wczesniej konczylo sie to pusta strona; teraz pytamy o tresc dalej."""
+    seq = [
+        {"content": [{"type": "thinking", "thinking": ""}], "stop_reason": "max_tokens",
+         "usage": {"output_tokens": 2000}},
+        {"content": [{"type": "text", "text": "Horoskop urodzeniowy..."}],
+         "stop_reason": "end_turn", "usage": {"output_tokens": 500}},
+    ]
+
+    def handler(request):
+        return httpx.Response(200, json=seq.pop(0) if seq else seq[-1])
+
+    monkeypatch.setattr(httpx, "Client", _mock_client(handler))
+    out = AnthropicProvider("https://api.anthropic.com", "claude-opus-4-8", "k").generate("p", 40000)
+    assert out.text == "Horoskop urodzeniowy..."
+    assert out.usage["turns"] == 2
+
+
+def test_anthropic_sends_thinking_config(monkeypatch):
+    """Bez jawnego `thinking` Sonnet 5 wlacza myslenie sam — konfigurujemy to wprost."""
+    seen = []
+
+    def handler(request):
+        seen.append(json.loads(request.content))
+        return httpx.Response(200, json={"content": [{"type": "text", "text": "ok"}],
+                                         "stop_reason": "end_turn"})
+
+    monkeypatch.setattr(httpx, "Client", _mock_client(handler))
+    monkeypatch.delenv("ANTHROPIC_THINKING", raising=False)
+    AnthropicProvider("https://api.anthropic.com", "claude-opus-4-8", "k").generate("p", 5000)
+    assert seen[0]["thinking"] == {"type": "adaptive"}
+
+    seen.clear()
+    monkeypatch.setenv("ANTHROPIC_THINKING", "off")
+    AnthropicProvider("https://api.anthropic.com", "claude-opus-4-8", "k").generate("p", 5000)
+    assert seen[0]["thinking"] == {"type": "disabled"}
+
+
+def test_complete_answer_does_not_loop(monkeypatch):
+    """Straznik nie moze mnozyc zapytan, gdy model skonczyl normalnie."""
+    calls = {"n": 0}
+
+    def handler(request):
+        calls["n"] += 1
+        return httpx.Response(200, json=_chat("Gotowe.", "stop"))
+
+    monkeypatch.setattr(httpx, "Client", _mock_client(handler))
+    out = ChatCompletionsProvider("local", "http://x/v1", "m").generate("p", 40000)
+    assert out.text == "Gotowe." and calls["n"] == 1
+
+
+# ------------------------------------------- wybor modelu przez uzytkownika (UI)
+
+def test_model_from_request_wins_over_config(monkeypatch):
+    _clear(monkeypatch)
+    monkeypatch.setenv("ANTHROPIC_MODEL", "claude-opus-4-8")
+    monkeypatch.setenv("ANTHROPIC_API_KEY", "k")
+    p = factory.build_provider("anthropic", "claude-fable-5")
+    assert p.model == "claude-fable-5", "wybor z UI musi wygrac nad konfiguracja"
+
+
+def test_blank_model_falls_back_to_configured_default(monkeypatch):
+    _clear(monkeypatch)
+    monkeypatch.setenv("ANTHROPIC_MODEL", "claude-sonnet-5")
+    monkeypatch.setenv("ANTHROPIC_API_KEY", "k")
+    assert factory.build_provider("anthropic", "   ").model == "claude-sonnet-5"
+
+
+def test_resolve_model_needs_no_api_key(monkeypatch):
+    """Budzet promptu zalezy od okna kontekstu modelu — nie moze wymagac klucza.
+
+    Wczesniej liczenie budzetu szlo przez build_provider(), ktory bez klucza
+    rzuca bledem, wiec „maksymalny kontekst" cicho spadal do wartosci zapasowej.
+    """
+    _clear(monkeypatch)
+    provider, model = factory.resolve_model("anthropic", "claude-haiku-4-5")
+    assert (provider, model) == ("anthropic", "claude-haiku-4-5")
+    with pytest.raises(LLMError):                 # samo zbudowanie nadal wymaga klucza
+        factory.build_provider("anthropic", "claude-haiku-4-5")
+
+
+def test_max_budget_differs_between_models(monkeypatch):
+    """Sedno funkcji: wieksze okno = wiekszy budzet promptu."""
+    from app.llm.limits import prompt_token_budget
+    _clear(monkeypatch)
+    opus = prompt_token_budget(*factory.resolve_model("anthropic", "claude-opus-4-8"))
+    haiku = prompt_token_budget(*factory.resolve_model("anthropic", "claude-haiku-4-5"))
+    local = prompt_token_budget(*factory.resolve_model("local", "llama3.1:8b"))
+    assert opus > haiku > local > 0
+
+
+def test_turn_budget_counts_produced_not_requested(monkeypatch):
+    """Regresja: odejmowanie ZAMOWIONEGO limitu tury zamiast wyprodukowanych
+    tokenow konczylo petle po jednej turze — urwany fragment wracal jako calosc."""
+    seq = [_chat("Fragment 1. ", "length"), _chat("Fragment 2. ", "length"),
+           _chat("Zakonczenie. KONIEC", "stop")]
+
+    def handler(request):
+        return httpx.Response(200, json=seq.pop(0) if seq else seq[-1])
+
+    monkeypatch.setattr(httpx, "Client", _mock_client(handler))
+    # budzet 8000 < TURN_TOKENS_CAP: przy starej logice byla dokladnie jedna tura
+    out = ChatCompletionsProvider("local", "http://x/v1", "m").generate("p", 8000)
+    assert out.usage["turns"] == 3, "urwana odpowiedz musi byc kontynuowana"
+    assert "Fragment 1." in out.text and "Zakonczenie." in out.text
+
+
+def test_generate_reports_progress_events(monkeypatch):
+    """Log w UI ma pokazywac RZECZYWISTE tury, nie udawany pasek postepu."""
+    seq = [_chat("Czesc. ", "length"), _chat("Reszta. KONIEC", "stop")]
+    monkeypatch.setattr(httpx, "Client", _mock_client(
+        lambda r: httpx.Response(200, json=seq.pop(0) if seq else seq[-1])))
+    events = []
+    ChatCompletionsProvider("local", "http://x/v1", "m").generate(
+        "p", 8000, on_event=events.append)
+    kinds = [e["type"] for e in events]
+    assert kinds.count("turn_start") == 2 and kinds.count("turn_end") == 2
+    assert kinds[-1] == "generated"
+    assert any("urwana" in e["message"] for e in events if e["type"] == "turn_end")

services/logic/tests/test_out_of_zodiac.py

@@ -0,0 +1,157 @@
+"""Aspekty pozazodiakalne — paralele deklinacji i antyscja (LOG-07).
+
+Walidacja wobec faktów NIEZALEŻNYCH od naszego kodu:
+  * deklinacja Słońca 30.04.1984 ≈ +14.9° (almanach; Słońce w ~10° Byka, koniec
+    kwietnia, deklinacja rośnie ku przesileniu letniemu),
+  * antyscja to czysta arytmetyka odbicia względem osi przesileń — pary znaków
+    (Rak↔Bliźnięta, Baran↔Panna) i inwolucja dają się sprawdzić na piechotę,
+  * węzły są z definicji w kontrparaleli (SN = NN+180° na ekliptyce → deklinacja
+    przeciwna), więc muszą być odsiane jako kontakt bez informacji.
+"""
+from datetime import datetime, timezone
+
+import pytest
+
+from app.engine.chart import build_chart
+from app.engine.models import ChartMoment
+from app.engine.out_of_zodiac import (
+    antiscion,
+    contra_antiscion,
+    declination,
+    find_antiscia,
+    find_declination_aspects,
+    is_out_of_bounds,
+)
+
+
+@pytest.fixture(scope="module")
+def krakow():
+    return ChartMoment(when_utc=datetime(1984, 4, 30, 9, 20, tzinfo=timezone.utc),
+                       lat=50.0647, lon=19.9450)
+
+
+@pytest.fixture(scope="module")
+def chart(own_engine, krakow):
+    return build_chart(own_engine, krakow)
+
+
+# ----------------------------------------------------------------- deklinacja
+
+def test_sun_declination_matches_almanac(chart):
+    """Deklinacja Słońca 30.04.1984 ≈ +14.9° (wartość z almanachu)."""
+    sun = next(p for p in chart["positions"] if p["name"] == "Sun")
+    assert 14.6 < sun["declination"] < 15.1
+
+
+def test_declination_uses_latitude_not_only_longitude():
+    """Pełny wzór: przy tej samej długości różna szerokość → różna deklinacja.
+    Gdyby liczyć z samej długości (β=0), obie wyszłyby identyczne."""
+    eps = 23.44
+    on_ecliptic = declination(60.0, 0.0, eps)      # β = 0
+    above = declination(60.0, 5.0, eps)            # 5° na północ od ekliptyki
+    assert abs(above - on_ecliptic) > 3.0          # szerokość realnie zmienia deklinację
+
+
+def test_obliquity_is_reasonable_for_1984(chart):
+    assert 23.43 < chart["obliquity"] < 23.45
+
+
+def test_out_of_bounds_flag():
+    eps = 23.44
+    assert is_out_of_bounds(24.0, eps) is True     # poza zakresem Słońca
+    assert is_out_of_bounds(20.0, eps) is False
+    assert is_out_of_bounds(-24.5, eps) is True    # także na południe
+
+
+# --------------------------------------------------------------- antyscja (wzór)
+
+def test_antiscion_is_reflection_across_solstitial_axis():
+    assert antiscion(0.0) == pytest.approx(180.0)      # 0° Barana → 0° Wagi
+    assert antiscion(105.0) == pytest.approx(75.0)     # 15° Raka → 15° Bliźniąt
+    assert antiscion(90.0) == pytest.approx(90.0)      # 0° Raka leży NA osi
+
+
+def test_antiscion_is_an_involution():
+    for lon in (12.3, 88.0, 200.5, 359.9):
+        assert antiscion(antiscion(lon)) == pytest.approx(lon)
+
+
+def test_contra_antiscion_across_equinoctial_axis():
+    assert contra_antiscion(0.0) == pytest.approx(0.0)     # 0° Barana leży NA osi
+    assert contra_antiscion(30.0) == pytest.approx(330.0)  # 0° Byka → 0° Ryb (odbicie)
+
+
+def test_sign_pairs_are_classic():
+    """Antyscja parami znaków: Baran↔Panna, Byk↔Lew, Bliźnięta↔Rak."""
+    # 5° Barana (5°) → 175° = 25° Panny
+    assert antiscion(5.0) == pytest.approx(175.0)
+    # 10° Byka (40°) → 140° = 20° Lwa
+    assert antiscion(40.0) == pytest.approx(140.0)
+
+
+# --------------------------------------------------- wykrywanie paraleli/antyscji
+
+def test_parallel_and_contraparallel_detection():
+    bodies = [
+        {"name": "A", "declination": 12.0},
+        {"name": "B", "declination": 12.4},    # paralela z A (0.4°)
+        {"name": "C", "declination": -11.6},   # kontrparalela z A (|12-11.6|=0.4)
+        {"name": "D", "declination": 5.0},     # nic (daleko)
+    ]
+    res = {(r["obj1"], r["obj2"]): r for r in find_declination_aspects(bodies, orb=1.0)}
+    assert res[("A", "B")]["type"] == "parallel"
+    assert res[("A", "C")]["type"] == "contraparallel"
+    assert ("A", "D") not in res
+
+
+def test_orb_is_configurable():
+    bodies = [{"name": "A", "declination": 10.0}, {"name": "B", "declination": 11.5}]
+    assert find_declination_aspects(bodies, orb=1.0) == []       # 1.5° > 1.0°
+    assert len(find_declination_aspects(bodies, orb=2.0)) == 1   # mieści się
+
+
+def test_nodes_definitional_contraparallel_is_filtered(chart):
+    """SN = NN+180° na ekliptyce → deklinacja przeciwna ZAWSZE. To kontakt bez
+    informacji, więc pary NN/SN nie może być w wynikach."""
+    decl = {p["name"]: p["declination"] for p in chart["positions"]}
+    # najpierw potwierdzamy, że deklinacje faktycznie są przeciwne
+    assert decl["North Node"] == pytest.approx(-decl["South Node"], abs=0.05)
+    # a mimo to para NN/SN nie pojawia się na liście paraleli
+    pairs = {frozenset((r["obj1"], r["obj2"])) for r in chart["parallels"]}
+    assert frozenset(("North Node", "South Node")) not in pairs
+
+
+def test_antiscia_detection_with_constructed_longitudes():
+    # A na 40°, B na 138° → antyscja A leży na 140°, więc B jest 2° od niej
+    bodies = [{"name": "A", "decimal": 40.0}, {"name": "B", "decimal": 138.0}]
+    assert find_antiscia(bodies, orb=1.0) == []                  # 2° > 1°
+    hit = find_antiscia(bodies, orb=3.0)
+    assert len(hit) == 1 and hit[0]["type"] == "antiscion"
+
+
+def test_contra_antiscion_detection():
+    # A na 40°, kontrantyscja A = 320°; B na 320.5° → kontrantyscja w orbie
+    bodies = [{"name": "A", "decimal": 40.0}, {"name": "B", "decimal": 320.5}]
+    hit = find_antiscia(bodies, orb=1.0)
+    assert len(hit) == 1 and hit[0]["type"] == "contra_antiscion"
+
+
+# ------------------------------------------------------ spójność z build_chart
+
+def test_chart_exposes_parallels_and_antiscia(chart):
+    assert "parallels" in chart and "antiscia" in chart
+    assert "obliquity" in chart
+    # znany, ciasny kontakt z tego horoskopu: Uran ~paralela~ Neptun (mid-80s)
+    un = next((r for r in chart["parallels"]
+               if {r["obj1"], r["obj2"]} == {"Uranus", "Neptune"}), None)
+    assert un is not None and un["type"] == "parallel"
+
+
+def test_declination_is_zodiac_independent(own_engine, krakow):
+    """Deklinacja jest fizyczna — nie zmienia się z wyborem zodiaku."""
+    tropical = build_chart(own_engine, krakow, zodiac="tropical")
+    sidereal = build_chart(own_engine, krakow, zodiac="sidereal_lahiri")
+    dt = {p["name"]: p["declination"] for p in tropical["positions"]}
+    ds = {p["name"]: p["declination"] for p in sidereal["positions"]}
+    for name in dt:
+        assert dt[name] == pytest.approx(ds[name], abs=1e-6)

services/logic/tests/test_significators.py

@@ -61,6 +61,42 @@ def test_aspect_facet():
     assert asp and asp[0]["count"] == 1 and "Moon" in asp[0]["label"]
 
 
+def test_parallel_facet_hits_db_and_avoids_decanate_trap():
+    """Paralela deklinacji (LOG-07): baza zna ją jako „P. Dec.". Pułapka: samo
+    „Dec." to często DEKANAT („3rd Dec. of [Gem"), który NIE może wpaść do paraleli."""
+    positions = [
+        {"name": "Mercury", "sign": "Taurus", "direction": "D", "house": 3},
+        {"name": "Saturn", "sign": "Scorpio", "direction": "Rx", "house": 9},
+    ]
+    parallels = [{"obj1": "Mercury", "obj2": "Saturn", "type": "parallel",
+                  "orb": 0.3, "allowed": 1.0}]
+    data = FakeData({"[Me": [
+        {"significator": "[Me at B. in P. Dec. [Sa and [Ma", "actioneffect": "dyscyplina umysłu"},
+        {"significator": "3rd Dec. of [Gem on Asc.", "actioneffect": "TO DEKANAT, nie paralela"},
+        {"significator": "[Me [conj [Sa", "actioneffect": "inny aspekt, nie paralela"},
+    ]})
+    par = [f for f in build_report(positions, data, parallels=parallels)["objects"][0]["facets"]
+           if f["type"] == "parallel"]
+    assert par and par[0]["count"] == 1
+    assert "Saturn" in par[0]["label"]
+    assert all("Dec. of" not in s["significator"] for s in par[0]["samples"]), "dekanat przeciekł"
+
+
+def test_contraparallel_gets_no_db_facet():
+    """Baza nie ma osobnego znacznika dla kontrparaleli — nie zmyślamy fasety."""
+    positions = [
+        {"name": "Mercury", "sign": "Taurus", "direction": "D", "house": 3},
+        {"name": "Saturn", "sign": "Scorpio", "direction": "Rx", "house": 9},
+    ]
+    parallels = [{"obj1": "Mercury", "obj2": "Saturn", "type": "contraparallel",
+                  "orb": 0.3, "allowed": 1.0}]
+    data = FakeData({"[Me": [
+        {"significator": "[Me at B. in P. Dec. [Sa", "actioneffect": "paralela, nie kontr-"},
+    ]})
+    types = [f["type"] for f in build_report(positions, data, parallels=parallels)["objects"][0]["facets"]]
+    assert "parallel" not in types
+
+
 def test_grouping_by_effect():
     positions = [{"name": "Mars", "sign": "Scorpio", "direction": "Rx", "house": 5}]
     data = FakeData({"[Ma": [

services/logic/tests/test_tables.py

@@ -0,0 +1,216 @@
+"""Tabele pomocnicze horoskopu (LOG-23).
+
+Wartości referencyjne dla horoskopu 30.04.1984 09:20 UTC, Kraków (50.0647N, 19.9450E)
+sprawdzone wobec faktów NIEZALEŻNYCH od naszego kodu:
+  * 30.04.1984 to poniedziałek → władca dnia Księżyc; 5. godzina poniedziałku
+    w porządku chaldejskim to Słońce (Mo, Sa, Ju, Ma, Su),
+  * wschód/zachód dla Krakowa końcem kwietnia ≈ 5:18 / 19:57 czasu lokalnego
+    (CEST = UTC+2), czyli 03:18 / 17:57 UTC,
+  * pełnia poprzedzająca urodzenie: 15.04.1984 ok. 19:11 UTC.
+"""
+from datetime import datetime, timezone
+
+import pytest
+
+from app.engine.chart import build_chart
+from app.engine.models import ChartMoment
+from app.engine.tables import (
+    build_tables,
+    critical_degrees,
+    dwadasamsa,
+    element_of,
+    moon_phase,
+    navamsa,
+    planetary_hours,
+    prenatal_syzygy,
+    quality_of,
+    tally,
+)
+
+
+@pytest.fixture(scope="module")
+def krakow():
+    return ChartMoment(when_utc=datetime(1984, 4, 30, 9, 20, tzinfo=timezone.utc),
+                       lat=50.0647, lon=19.9450)
+
+
+@pytest.fixture(scope="module")
+def tables(own_engine, krakow):
+    return build_tables(own_engine, krakow, build_chart(own_engine, krakow))
+
+
+# ------------------------------------------------------ żywioły i jakości
+
+def test_element_and_quality_mapping():
+    assert element_of("Aries") == "Fire" and element_of("Cancer") == "Water"
+    assert quality_of("Aries") == "Cardinal" and quality_of("Taurus") == "Fixed"
+    assert quality_of("Gemini") == "Mutable"
+
+
+def test_tally_matches_hand_count(tables):
+    """Ręcznie przeliczone dla horoskopu referencyjnego (10 planet + Asc)."""
+    base = tables["tally"]["with_modern_10_plus_asc"]
+    assert base["elements"] == {"Fire": 4, "Earth": 4, "Air": 0, "Water": 3}
+    assert base["qualities"] == {"Cardinal": 4, "Fixed": 6, "Mutable": 1}
+    assert base["total"] == 11
+
+
+def test_missing_element_detected(tables):
+    """Klasyczne „no air" — podstawa pod scoring siły (LOG-21)."""
+    assert tables["tally"]["missing_elements"] == ["Air"]
+    assert tables["tally"]["missing_qualities"] == []
+
+
+def test_tally_variants_differ_by_object_count(tables):
+    t = tables["tally"]
+    assert t["classical_7"]["total"] == 7
+    assert t["with_modern_10"]["total"] == 10
+    assert t["classical_7_plus_asc"]["total"] == 8
+    assert t["with_modern_10_plus_asc"]["total"] == 11
+
+
+def test_tally_sums_equal_counted_objects(tables):
+    for variant in ("classical_7", "with_modern_10", "with_modern_10_plus_asc"):
+        v = tables["tally"][variant]
+        assert sum(v["elements"].values()) == v["total"]
+        assert sum(v["qualities"].values()) == v["total"]
+
+
+# ---------------------------------------------------------- faza Księżyca
+
+def test_moon_phase_reference_is_balsamic_new(tables):
+    """Nów wypadł 1.05.1984, więc 30.04 Księżyc jest tuż przed nowiem."""
+    mp = tables["moon_phase"]
+    assert mp["phase"] == "New Moon"
+    assert 340.0 < mp["angle"] < 360.0
+    assert mp["illumination"] < 0.05
+    assert mp["waxing"] is False        # elongacja > 180 = ubywa
+
+
+@pytest.mark.parametrize("angle,expected", [
+    (0.0, "New Moon"), (90.0, "First Quarter"), (180.0, "Full Moon"),
+    (270.0, "Last Quarter"), (46.0, "Waxing Crescent"), (300.0, "Waning Crescent"),
+])
+def test_moon_phase_buckets(angle, expected):
+    assert moon_phase(0.0, angle)["phase"] == expected
+
+
+def test_moon_phase_illumination_extremes():
+    assert moon_phase(0.0, 0.0)["illumination"] == 0.0
+    assert moon_phase(0.0, 180.0)["illumination"] == 1.0
+    assert moon_phase(0.0, 90.0)["illumination"] == pytest.approx(0.5)
+
+
+# ------------------------------------------------------- stopnie krytyczne
+
+def test_critical_degrees_reference(tables):
+    found = {c["name"]: c["flags"] for c in tables["critical_degrees"]}
+    assert "Jupiter" in found                     # Cap 12°57' -> 13° kardynalny
+    assert any("13" in f for f in found["Jupiter"])
+    assert "Pluto" in found                       # Sco 0°28' -> wejście w znak
+
+
+def test_anaretic_degree_flagged():
+    flags = critical_degrees([{"name": "X", "sign": "Leo", "decimal": 149.5,
+                               "in_sign": "Leo 29°30'"}])
+    assert flags and any("anaretyczny" in f for f in flags[0]["flags"])
+
+
+def test_no_flags_for_ordinary_degree():
+    assert critical_degrees([{"name": "X", "sign": "Leo", "decimal": 135.0,
+                              "in_sign": "Leo 15°"}]) == []
+
+
+# --------------------------------------------------------------- podziały
+
+def test_dwadasamsa_starts_from_own_sign():
+    """12. część liczy się OD znaku, w którym stoi punkt."""
+    assert dwadasamsa(0.0) == pytest.approx(0.0)          # Ari 0 -> Ari
+    assert dwadasamsa(2.5) == pytest.approx(30.0)         # Ari 2°30' -> Tau 0
+    assert dwadasamsa(30.0) == pytest.approx(30.0)        # Tau 0 -> Tau
+
+
+def test_navamsa_classic_starts():
+    """Znaki kardynalne zaczynają od siebie, stałe od 9. znaku."""
+    assert navamsa(0.0) == pytest.approx(0.0)             # Ari -> Ari
+    assert navamsa(30.0) == pytest.approx(270.0)          # Tau -> Cap (9. od Byka)
+    assert navamsa(60.0) == pytest.approx(180.0)          # Gem -> Lib
+
+
+def test_divisional_covers_all_positions(tables, own_engine, krakow):
+    chart = build_chart(own_engine, krakow)
+    assert len(tables["divisional"]) == len(chart["positions"])
+
+
+# ------------------------------------------------- dzień i godziny planetarne
+
+def test_planetary_day_ruler_is_moon_on_monday(tables):
+    """30.04.1984 to poniedziałek → władcą dnia jest Księżyc."""
+    assert tables["planetary_hours"]["day_ruler"] == "Moon"
+
+
+def test_planetary_hour_matches_chaldean_sequence(tables):
+    """Poniedziałek: 1=Mo, 2=Sa, 3=Ju, 4=Ma, 5=Su — urodzenie w 5. godzinie dnia."""
+    ph = tables["planetary_hours"]
+    assert ph["hour_number"] == 5
+    assert ph["hour_ruler"] == "Sun"
+    assert ph["daytime"] is True
+
+
+def test_sunrise_sunset_match_krakow_late_april(tables):
+    """Wschód ≈ 03:18 UTC, zachód ≈ 17:57 UTC (5:18 i 19:57 czasu lokalnego)."""
+    ph = tables["planetary_hours"]
+    assert ph["period_start"].startswith("1984-04-30T03:1")
+    assert ph["period_end"].startswith("1984-04-30T17:5")
+
+
+def test_planetary_hours_are_unequal_and_complete(tables):
+    """Godziny są nierówne: wiosną dzienna trwa dłużej niż 60 minut."""
+    ph = tables["planetary_hours"]
+    assert ph["hour_length_minutes"] > 60.0
+    assert len(ph["hours"]) == 12
+    assert sum(1 for h in ph["hours"] if h["current"]) == 1
+
+
+def test_polar_night_returns_none(own_engine):
+    """Za kołem podbiegunowym w grudniu Słońce nie wschodzi — brak godzin."""
+    polar = ChartMoment(when_utc=datetime(2024, 12, 21, 12, 0, tzinfo=timezone.utc),
+                        lat=78.0, lon=15.0)
+    assert planetary_hours(own_engine, polar) is None
+
+
+# ------------------------------------------------------- syzygia prenatalna
+
+def test_prenatal_syzygy_is_april_1984_full_moon(tables):
+    """Rzeczywista pełnia: 15.04.1984 ok. 19:11 UTC."""
+    s = tables["prenatal_syzygy"]
+    assert s["type"] == "full_moon"
+    assert s["when_utc"].startswith("1984-04-15T19:1")
+
+
+def test_prenatal_syzygy_precedes_birth_within_a_cycle(tables):
+    days = tables["prenatal_syzygy"]["days_before_birth"]
+    assert 0 < days < 29.6, "syzygia musi być w ostatnim cyklu przed urodzeniem"
+
+
+def test_prenatal_syzygy_elongation_is_at_target(own_engine, krakow):
+    """W znalezionym momencie elongacja MUSI wynosić 0° albo 180°."""
+    from app.engine.formats import norm360
+
+    s = prenatal_syzygy(own_engine, krakow)
+    when = datetime.fromisoformat(s["when_utc"])
+    pts = {p.name: p.longitude for p in
+           own_engine.positions(ChartMoment(when_utc=when, lat=krakow.lat, lon=krakow.lon),
+                                ["Sun", "Moon"])}
+    elong = norm360(pts["Moon"] - pts["Sun"])
+    target = 0.0 if s["type"] == "new_moon" else 180.0
+    assert abs(((elong - target + 180.0) % 360.0) - 180.0) < 0.02
+
+
+# ------------------------------------------------------------------ całość
+
+def test_build_tables_light_skips_numeric_search(own_engine, krakow):
+    """heavy=False pomija to, co wymaga szukania numerycznego."""
+    light = build_tables(own_engine, krakow, build_chart(own_engine, krakow), heavy=False)
+    assert "tally" in light and "moon_phase" in light
+    assert "planetary_hours" not in light and "prenatal_syzygy" not in light

services/presentation/app/chartwheel.py

@@ -0,0 +1,255 @@
+"""Kosmogram — koło horoskopowe jako SVG (PRE-12).
+
+Rysujemy po stronie serwera, bez zależności zewnętrznych (spójne z CSP): czysty
+string SVG wstawiany do strony. Gotowe: pierścień znaków, podział na domy, osie
+oraz OBIEKTY (glify, stopień w znaku, retrogradacja). Linie aspektów w kolejnym
+kroku.
+
+Geometria (konwencja astrologiczna):
+  * Ascendent po LEWEJ (godzina 9), długość ekliptyczna rośnie PRZECIWNIE do
+    ruchu wskazówek zegara — jak na niebie i w każdym programie.
+  * Punkt o długości λ trafia na kąt φ = 180° − (λ − Asc). Zakotwiczenie:
+    λ=Asc → lewo, λ=Asc+90° → dół, λ=Asc+270° (≈MC) → góra. W SVG y rośnie w dół,
+    co ta formuła już uwzględnia (sin dodatni = w dół).
+
+Dane bierzemy z wyniku /chart/positions (warstwa logiki): `angles` (z długością
+`decimal`), `cusps` (z `decimal` — dołożone pod ten widok) i `sign_glyphs`
+(pierścień 12 znaków z glifami — LOG-22). Prezentacja niczego nie liczy sama.
+"""
+from __future__ import annotations
+
+import math
+from html import escape
+
+# ── promienie (viewBox 470×470, środek 235,235) ─────────────────────────
+# Płótno jest większe od koła CELOWO: margines poza obwodem mieści etykiety osi
+# (AC/DC/MC/IC). Wcześniej siedziały wewnątrz, w pierścieniu obiektów, i zasłaniały
+# glify w ciasnych skupiskach — widać było na renderze.
+_CX = _CY = 235.0
+_VIEW = 470
+R_OUT = 210.0        # zewnętrzny okrąg
+R_AXIS_LABEL = 222.0 # etykiety osi — w marginesie, poza kołem
+R_ZOD = 178.0        # wewnętrzna krawędź pasa znaków
+R_SIGN = 194.0       # promień glifów znaków (środek pasa)
+R_TICK = 172.0       # koniec drobnych podziałek stopni (do wewnątrz od pasa)
+R_HUB = 48.0         # centralne kółko — tu kończą się szprychy domów i osie
+R_HNUM = 64.0        # promień numerów domów (tuż przy piaście)
+R_PLANET = 150.0     # promień glifów obiektów
+R_DEG = 130.0        # promień podpisu stopnia (pod glifem)
+R_MARK = R_ZOD - 7.0 # koniec kreski wskazującej PRAWDZIWĄ pozycję na pasie
+
+# Minimalny odstęp kątowy między glifami obiektów. O ciasnocie decyduje NIE glif,
+# tylko podpis stopnia — leży bliżej środka (r=130), gdzie ten sam kąt to mniej
+# pikseli: 8° daje tam ~18 px, a dwuznakowy podpis z ℞ zajmuje ~16 px. Przy 7°
+# (pierwsze podejście) podpisy w skupiskach zlewały się — widać było na renderze.
+# Bez rozsuwania w ogóle ciasne układy (u nas Merkury i Wenus 0,4°!) rysują się
+# jeden na drugim.
+MIN_SEP = 8.0
+
+# muted kolory żywiołów — czytelne na ciemnym tle, spójne z paletą aplikacji
+_ELEMENT_COLOR = ["#d98a6a", "#8fae7a", "#cfc06a", "#6aa6c9"]  # ogień, ziemia, powietrze, woda
+
+# ── motywy ───────────────────────────────────────────────────────────────
+# „screen" korzysta ze zmiennych CSS strony, więc koło samo dostraja się do
+# motywu aplikacji. „print" MUSI mieć konkretne kolory: SVG idzie wtedy do
+# osobnego konwertera (rsvg → PDF, PRE-24), który o naszym arkuszu nic nie wie
+# i zmiennych `var(--…)` nie rozwiąże — wyszłyby czarne albo żadne kreski.
+# Przy okazji odwracamy kontrast: raport drukuje się na białym papierze.
+_THEMES = {
+    "screen": {"line": "var(--line)", "ink": "var(--ink)", "muted": "var(--muted)",
+               "accent": "var(--accent)", "disc": "#12132a", "retro": "#ff9b6a",
+               "elements": _ELEMENT_COLOR},
+    "print":  {"line": "#b9bcc9", "ink": "#111318", "muted": "#5d6270",
+               "accent": "#5a49c8", "disc": "#ffffff", "retro": "#b2452a",
+               # ciemniejsze warianty żywiołów — na białym tle jasne byłyby niewidoczne
+               "elements": ["#a8442a", "#3f6b33", "#8a6d10", "#1f5c80"]},
+}
+
+
+def _pt(lon: float, asc: float, r: float) -> tuple[float, float]:
+    phi = math.radians(180.0 - (lon - asc))
+    return _CX + r * math.cos(phi), _CY + r * math.sin(phi)
+
+
+def _line(x1: float, y1: float, x2: float, y2: float, stroke: str, w: float = 1.0,
+          opacity: float = 1.0) -> str:
+    return (f'<line x1="{x1:.2f}" y1="{y1:.2f}" x2="{x2:.2f}" y2="{y2:.2f}" '
+            f'stroke="{stroke}" stroke-width="{w}" opacity="{opacity}"/>')
+
+
+# Stack fontów z glifami astrologicznymi. Na stronie dostarcza go klasa CSS
+# `.glyph`, ale w wariancie do druku SVG jedzie do SAMODZIELNEGO konwertera, który
+# naszego arkusza nie widzi — wtedy trzeba wpisać font wprost do elementu, inaczej
+# rysunek wychodzi BEZ symboli (konwerter bierze domyślny font, a ten ich nie ma).
+GLYPH_FONT = ("Apple Symbols, Segoe UI Symbol, Noto Sans Symbols2, "
+              "DejaVu Sans, sans-serif")
+
+
+def _text(x: float, y: float, s: str, *, size: float, fill: str, cls: str = "",
+          font: str = "") -> str:
+    c = f' class="{cls}"' if cls else ""
+    f = f' font-family="{font}"' if font else ""
+    return (f'<text x="{x:.2f}" y="{y:.2f}" font-size="{size}" fill="{fill}"'
+            f' text-anchor="middle" dominant-baseline="central"{c}{f}>{escape(s)}</text>')
+
+
+def spread(lons: list[float], min_sep: float = MIN_SEP, passes: int = 300) -> list[float]:
+    """Rozsuwa kąty tak, by sąsiedzi mieli co najmniej `min_sep`, zachowując
+    KOLEJNOŚĆ obiektów na kole i trzymając je blisko prawdziwych pozycji.
+
+    Metoda: relaksacja po okręgu — każdą zbyt ciasną parę rozpychamy po połowie
+    brakującego odstępu i powtarzamy, aż nic się nie rusza. Symetryczne pchnięcie
+    sprawia, że skupisko rozkłada się wokół swojego środka, zamiast dryfować
+    w jedną stronę.
+
+    Gdy obiektów jest tyle, że nie da się ich rozsunąć (n·min_sep ≥ 360°),
+    rozkładamy je równomiernie — lepiej równo niż w nieskończonej pętli.
+    """
+    n = len(lons)
+    if n < 2:
+        return list(lons)
+    order = sorted(range(n), key=lambda i: lons[i] % 360.0)
+    a = [lons[i] % 360.0 for i in order]
+
+    if n * min_sep >= 360.0:
+        a = [(a[0] + i * 360.0 / n) % 360.0 for i in range(n)]
+    else:
+        # ROZWIJAMY kąty do osi monotonicznej. To nie kosmetyka: gdy liczyliśmy
+        # odstęp modulo 360, przesunięcie, które przerzuciło obiekt ZA sąsiada,
+        # dawało lukę ~359,9° zamiast ujemnej — algorytm uznawał, że jest luzem,
+        # i kończył z dwoma glifami na sobie (Wenus lądowała na Księżycu).
+        # Na osi rozwiniętej ujemna luka zostaje ujemna i zawsze się ją wyłapie.
+        for i in range(1, n):
+            while a[i] < a[i - 1]:
+                a[i] += 360.0
+
+        for _ in range(passes):
+            moved = False
+            for i in range(n - 1):
+                gap = a[i + 1] - a[i]
+                if gap < min_sep - 1e-9:
+                    push = (min_sep - gap) / 2.0
+                    a[i] -= push
+                    a[i + 1] += push
+                    moved = True
+            closing = (a[0] + 360.0) - a[n - 1]      # domknięcie okręgu
+            if closing < min_sep - 1e-9:
+                push = (min_sep - closing) / 2.0
+                a[n - 1] -= push
+                a[0] += push
+                moved = True
+            if not moved:
+                break
+
+    out = [0.0] * n
+    for slot, original in enumerate(order):
+        out[original] = a[slot] % 360.0
+    return out
+
+
+def _delta(a: float, b: float) -> float:
+    """Najmniejsza różnica kątów w [0,180]."""
+    return abs(((a - b + 180.0) % 360.0) - 180.0)
+
+
+def render(chart: dict, theme: str = "screen") -> str:
+    """Zwraca SVG koła albo '' gdy brakuje danych (silnik bez osi/domów).
+
+    theme='screen' — kolory ze zmiennych CSS aplikacji (dostraja się do motywu).
+    theme='print'  — konkretne kolory na białym tle; konieczne, gdy SVG trafia
+    do samodzielnego konwertera (PDF), który zmiennych CSS nie rozwiąże.
+    """
+    T = _THEMES.get(theme, _THEMES["screen"])
+    # tylko dla druku — na stronie font podaje CSS (.glyph)
+    glyph_font = GLYPH_FONT if theme == "print" else ""
+    angles = chart.get("angles")
+    cusps = chart.get("cusps")
+    signs = chart.get("sign_glyphs")
+    if not (angles and cusps and signs) or "decimal" not in (cusps[0] if cusps else {}):
+        return ""
+
+    asc = float(angles["Asc"]["decimal"])
+    parts: list[str] = []
+
+    # tło i okręgi
+    parts.append(f'<circle cx="{_CX}" cy="{_CY}" r="{R_OUT}" fill="{T["disc"]}" stroke="{T["line"]}" stroke-width="1.5"/>')
+    parts.append(f'<circle cx="{_CX}" cy="{_CY}" r="{R_ZOD}" fill="none" stroke="{T["line"]}" stroke-width="1"/>')
+    parts.append(f'<circle cx="{_CX}" cy="{_CY}" r="{R_HUB}" fill="none" stroke="{T["line"]}" stroke-width="1"/>')
+
+    # drobne podziałki co 5°, mocniejsze co 10° (na pasie znaków)
+    for deg in range(0, 360, 5):
+        r_in = R_TICK if deg % 10 else R_TICK - 4
+        x1, y1 = _pt(deg, asc, R_ZOD)
+        x2, y2 = _pt(deg, asc, r_in)
+        parts.append(_line(x1, y1, x2, y2, T["line"], 0.6, 0.7))
+
+    # pas znaków: granice co 30° + glif znaku w środku sektora, kolorem żywiołu
+    for i, sg in enumerate(signs):
+        b = 30.0 * i
+        x1, y1 = _pt(b, asc, R_ZOD)
+        x2, y2 = _pt(b, asc, R_OUT)
+        parts.append(_line(x1, y1, x2, y2, T["line"], 1.0))
+        gx, gy = _pt(b + 15.0, asc, R_SIGN)
+        parts.append(_text(gx, gy, sg.get("glyph") or "", size=17,
+                           fill=T["elements"][i % 4], cls="glyph", font=glyph_font))
+
+    # szprychy domów (od pasa do piasty) + numery domów w środku każdego domu
+    n = len(cusps)
+    for i, c in enumerate(cusps):
+        lon = float(c["decimal"])
+        x1, y1 = _pt(lon, asc, R_ZOD)
+        x2, y2 = _pt(lon, asc, R_HUB)
+        parts.append(_line(x1, y1, x2, y2, T["line"], 0.8, 0.85))
+        nxt = float(cusps[(i + 1) % n]["decimal"])
+        span = (nxt - lon) % 360.0 or 360.0
+        mid = lon + span / 2.0
+        hx, hy = _pt(mid, asc, R_HNUM)
+        parts.append(_text(hx, hy, str(c["house"]), size=11, fill=T["muted"]))
+
+    # osie: Asc–Dsc i MC–IC przez całe koło, wyróżnione akcentem
+    for a, b, la, lb in (("Asc", "Dsc", "AC", "DC"), ("MC", "IC", "MC", "IC")):
+        lon_a = float(angles[a]["decimal"])
+        ax, ay = _pt(lon_a, asc, R_ZOD)
+        bx, by = _pt(lon_a + 180.0, asc, R_ZOD)
+        parts.append(_line(ax, ay, bx, by, T["accent"], 1.6, 0.9))
+        # etykiety POZA kołem — w środku kolidowały z glifami obiektów
+        lax, lay = _pt(lon_a, asc, R_AXIS_LABEL)
+        lbx, lby = _pt(lon_a + 180.0, asc, R_AXIS_LABEL)
+        parts.append(_text(lax, lay, la, size=10, fill=T["accent"]))
+        parts.append(_text(lbx, lby, lb, size=10, fill=T["accent"]))
+
+    # ── obiekty: glify na pozycjach, stopień w znaku, retrogradacja ─────
+    # Glify rozsuwamy, ale kreska na pasie zostaje w PRAWDZIWEJ pozycji —
+    # inaczej wykres kłamałby o tym, gdzie planeta faktycznie stoi. Gdy glif
+    # jest przesunięty, łączymy go z kreską cienką linią odniesienia.
+    objects = [p for p in (chart.get("positions") or []) if p.get("decimal") is not None]
+    true_lons = [float(p["decimal"]) for p in objects]
+    draw_lons = spread(true_lons)
+
+    for obj, true_lon, draw_lon in zip(objects, true_lons, draw_lons):
+        retro = obj.get("direction") == "Rx"
+
+        mx1, my1 = _pt(true_lon, asc, R_ZOD)
+        mx2, my2 = _pt(true_lon, asc, R_MARK)
+        parts.append(_line(mx1, my1, mx2, my2, T["ink"], 1.0, 0.75))
+
+        if _delta(draw_lon, true_lon) > 0.4:
+            lx, ly = _pt(draw_lon, asc, R_PLANET + 12)
+            parts.append(_line(mx2, my2, lx, ly, T["line"], 0.7, 0.9))
+
+        gx, gy = _pt(draw_lon, asc, R_PLANET)
+        parts.append(_text(gx, gy, obj.get("glyph") or "", size=16,
+                           fill=T["ink"], cls="glyph", font=glyph_font))
+
+        # Sam stopień w znaku, bez „°" — tak robią programy astrologiczne i tylko
+        # tak podpisy mieszczą się obok siebie w skupiskach. Retrogradacja: ℞ oraz
+        # kolor, żeby dało się ją wyłapać nie czytając znaku po znaku.
+        dx, dy = _pt(draw_lon, asc, R_DEG)
+        label = f"{int(true_lon % 30)}" + ("℞" if retro else "")
+        parts.append(_text(dx, dy, label, size=8,
+                           fill=T["retro"] if retro else T["muted"]))
+
+    body = "".join(parts)
+    return (f'<svg class="wheel" viewBox="0 0 {_VIEW} {_VIEW}" role="img" '
+            f'aria-label="Kosmogram — koło horoskopowe" '
+            f'xmlns="http://www.w3.org/2000/svg">{body}</svg>')

services/presentation/app/clients/logic_client.py

@@ -10,6 +10,7 @@ from typing import Any
 
 import httpx
 
+from app import link_crypto
 from app.config import settings
 
 
@@ -19,16 +20,29 @@ def _auth_headers() -> dict[str, str]:
     return {"X-Astrololo-Token": token} if token else {}
 
 
+def _link() -> link_crypto.Link | None:
+    """Klucz łącza prezentacja↔logika. Czytany przy każdym wywołaniu, bo
+    konfiguracja może się zmienić bez restartu procesu (testy, podmiana sekretu)."""
+    key = link_crypto.key_from_env(link_crypto.ENV_PRESENTATION_LOGIC)
+    return link_crypto.Link(key) if key else None
+
+
 class LogicClient:
     def __init__(self, base_url: str | None = None) -> None:
         self.base_url = (base_url or settings.logic_url).rstrip("/")
 
+    def _post(self, path: str, payload: dict[str, Any], timeout: float) -> dict[str, Any]:
+        """Jedyna droga w dół. Celowo JEDNA: dopóki każda metoda składała żądanie
+        sama, dołożenie nowej znaczyło, że łatwo zapomnieć o tokenie albo kluczu
+        łącza — i tak się już raz stało (401 wyszedł dopiero na produkcji)."""
+        with httpx.Client(timeout=timeout) as client:
+            return link_crypto.call_json(client, "POST", f"{self.base_url}{path}",
+                                         payload=payload, headers=_auth_headers(),
+                                         link=_link())
+
     def query(self, query: str, field: str, exact: bool, limit: int) -> dict[str, Any]:
         payload = {"query": query, "field": field, "exact": exact, "limit": limit}
-        with httpx.Client(timeout=settings.http_timeout) as client:
-            r = client.post(f"{self.base_url}/api/query", json=payload, headers=_auth_headers())
-            r.raise_for_status()
-            return r.json()
+        return self._post("/api/query", payload, settings.http_timeout)
 
     def positions(
         self,
@@ -39,6 +53,7 @@ class LogicClient:
         house_system: str = "whole_sign",
         stations: bool = False,
         zodiac: str = "tropical",
+        tables: bool = False,
     ) -> dict[str, Any]:
         """Pełny horoskop dla danego momentu — woła logic /chart/positions."""
         payload = {
@@ -49,42 +64,40 @@ class LogicClient:
             "house_system": house_system,
             "stations": stations,
             "zodiac": zodiac,
+            "tables": tables,
         }
-        # stacje wymagają root-findów — dłuższy timeout
-        with httpx.Client(timeout=max(settings.http_timeout, 60.0) if stations else settings.http_timeout) as client:
-            r = client.post(f"{self.base_url}/chart/positions", json=payload, headers=_auth_headers())
-            r.raise_for_status()
-            return r.json()
+        # stacje ORAZ tabele wymagają root-findów / szukania numerycznego — dłuższy timeout
+        timeout = max(settings.http_timeout, 60.0) if (stations or tables) else settings.http_timeout
+        return self._post("/chart/positions", payload, timeout)
 
     def report(
         self, when_utc_iso: str, lat: float, lon: float, limit: int = 5000, group: bool = False
     ) -> dict[str, Any]:
         """Sygnifikatory z obliczeń szukane w bazie — woła logic /chart/report."""
         payload = {"when_utc": when_utc_iso, "lat": lat, "lon": lon, "limit": limit, "group": group}
-        with httpx.Client(timeout=max(settings.http_timeout, 30.0)) as client:
-            r = client.post(f"{self.base_url}/chart/report", json=payload, headers=_auth_headers())
-            r.raise_for_status()
-            return r.json()
+        return self._post("/chart/report", payload, max(settings.http_timeout, 30.0))
 
     def prompt(
         self, profile: str, when_utc_iso: str, lat: float, lon: float,
         budget: str = "medium", from_date: str | None = None, to_date: str | None = None,
+        provider: str | None = None, model: str | None = None,
     ) -> dict[str, Any]:
-        """Gotowy prompt do LLM z wyliczeń (LOG-29/30) — woła logic /chart/prompt."""
+        """Gotowy prompt do LLM z wyliczeń (LOG-29/30) — woła logic /chart/prompt.
+
+        `provider` jest potrzebny dla budżetu „maksymalny kontekst modelu": limit
+        znaków zależy wtedy od okna kontekstu konkretnego modelu."""
         payload: dict[str, Any] = {
             "profile": profile, "when_utc": when_utc_iso,
-            "lat": lat, "lon": lon, "budget": budget,
+            "lat": lat, "lon": lon, "budget": budget, "provider": provider,
+            "model": model,
         }
         if from_date and to_date:
             payload["from_date"], payload["to_date"] = from_date, to_date
-        with httpx.Client(timeout=max(settings.http_timeout, 60.0)) as client:
-            r = client.post(f"{self.base_url}/chart/prompt", json=payload)
-            r.raise_for_status()
-            return r.json()
+        return self._post("/chart/prompt", payload, max(settings.http_timeout, 60.0))
 
     def horoscope(
         self, profile: str, when_utc_iso: str, lat: float, lon: float,
-        budget: str = "medium", provider: str | None = None,
+        budget: str = "medium", provider: str | None = None, model: str | None = None,
         from_date: str | None = None, to_date: str | None = None,
     ) -> dict[str, Any]:
         """Napisany horoskop (LOG-31) — woła logic /chart/horoscope.
@@ -97,12 +110,33 @@ class LogicClient:
         }
         if provider:
             payload["provider"] = provider
+        if model:
+            payload["model"] = model
         if from_date and to_date:
             payload["from_date"], payload["to_date"] = from_date, to_date
-        with httpx.Client(timeout=max(settings.http_timeout, 300.0)) as client:
-            r = client.post(f"{self.base_url}/chart/horoscope", json=payload)
-            r.raise_for_status()
-            return r.json()
+        return self._post("/chart/horoscope", payload, max(settings.http_timeout, 300.0))
+
+    def horoscope_stream(self, payload: dict[str, Any]):
+        """Strumień postępu pisania horoskopu (NDJSON) — przekazywany do przeglądarki.
+
+        Timeout jest długi, bo generowanie trwa; strumień i tak niesie heartbeat,
+        więc cisza na łączu nie zostanie wzięta za zerwanie.
+
+        Idzie przez szyfrowane łącze jak reszta ruchu w dół (PRE-16). Bez tego przy
+        włączonym `LINK_ENCRYPTION_REQUIRED` serwer odrzuciłby nieszyfrowane żądanie
+        i okno postępu przestałoby działać. `stream_lines` pieczętuje żądanie i
+        odszyfrowuje odpowiedź ramka po ramce, zachowując dostarczanie na żywo.
+        """
+        with httpx.Client(timeout=httpx.Timeout(None, connect=15.0)) as client:
+            yield from link_crypto.stream_lines(
+                client, f"{self.base_url}/chart/horoscope/stream",
+                payload=payload, headers=_auth_headers(), link=_link())
+
+    def llm_models(self) -> dict[str, Any]:
+        """Katalog modeli per dostawca (podpowiedzi do pola wyboru w UI)."""
+        with httpx.Client(timeout=settings.http_timeout) as client:
+            return link_crypto.call_json(client, "GET", f"{self.base_url}/llm/models",
+                                         headers=_auth_headers(), link=_link())
 
     def timeline(
         self, when_utc_iso: str, lat: float, lon: float,
@@ -113,7 +147,4 @@ class LogicClient:
             "when_utc": when_utc_iso, "lat": lat, "lon": lon,
             "from_date": from_date, "to_date": to_date, "interpret": interpret,
         }
-        with httpx.Client(timeout=max(settings.http_timeout, 60.0)) as client:
-            r = client.post(f"{self.base_url}/chart/timeline", json=payload, headers=_auth_headers())
-            r.raise_for_status()
-            return r.json()
+        return self._post("/chart/timeline", payload, max(settings.http_timeout, 60.0))

services/presentation/app/clients/render_client.py

@@ -0,0 +1,52 @@
+"""Klient HTTP do usługi render (PRE-24).
+
+Jedyny punkt styku prezentacji z usługą składającą PDF. Idzie po szyfrowanym
+łączu, tak jak reszta ruchu wewnątrz klastra — z WŁASNYM, trzecim kluczem
+(`LINK_KEY_PRESENTATION_RENDER`). Osobny klucz, bo przez to łącze leci CAŁY
+raport: dane urodzeniowe i opisy z baz. Przejęcie go nie może otwierać łącza do
+logiki ani do danych.
+"""
+from __future__ import annotations
+
+import os
+
+import httpx
+
+from app import link_crypto
+from app.config import settings
+
+
+def _auth_headers() -> dict[str, str]:
+    """Token międzywarstwowy (LOG-32) — pusty, gdy ochrona wyłączona."""
+    token = os.getenv("INTERNAL_TOKEN", "")
+    return {"X-Astrololo-Token": token} if token else {}
+
+
+def _link() -> link_crypto.Link | None:
+    """Klucz łącza prezentacja↔render. Czytany przy każdym wywołaniu, bo
+    konfiguracja może się zmienić bez restartu procesu."""
+    key = link_crypto.key_from_env(link_crypto.ENV_PRESENTATION_RENDER)
+    return link_crypto.Link(key) if key else None
+
+
+class RenderClient:
+    def __init__(self, base_url: str | None = None) -> None:
+        self.base_url = (base_url or settings.render_url).rstrip("/")
+
+    def pdf(self, report: dict) -> bytes:
+        """Raport → bajty PDF. Timeout długi: XeLaTeX na obszernym tekście
+        potrzebuje chwili, a raport bywa na kilkadziesiąt stron."""
+        with httpx.Client(timeout=max(settings.http_timeout, 180.0)) as client:
+            return link_crypto.call(client, "POST", f"{self.base_url}/pdf",
+                                    payload=report, headers=_auth_headers(),
+                                    link=_link())
+
+    def health(self) -> dict:
+        """/health celowo poza szyfrowaniem — pukają tu sondy k8s, które klucza
+        nie mają, a nie przechodzi tędy nic z raportu."""
+        import json
+
+        with httpx.Client(timeout=settings.http_timeout) as client:
+            r = client.get(f"{self.base_url}/health", headers=_auth_headers())
+            r.raise_for_status()
+            return json.loads(r.content)

services/presentation/app/config.py

@@ -11,6 +11,8 @@ from dataclasses import dataclass, field
 @dataclass
 class Settings:
     logic_url: str = field(default_factory=lambda: os.getenv("LOGIC_URL", "http://localhost:8001"))
+    # Usługa składająca PDF (PRE-24) — osobny komponent, bo dźwiga TeX Live.
+    render_url: str = field(default_factory=lambda: os.getenv("RENDER_URL", "http://localhost:8004"))
     http_timeout: float = field(default_factory=lambda: float(os.getenv("HTTP_TIMEOUT", "10")))
 
 

services/presentation/app/link_crypto.py

@@ -0,0 +1,525 @@
+"""Szyfrowanie łączy między warstwami (PRE-16 / LOG-33).
+
+Do tej pory warstwy rozmawiały ze sobą zwykłym HTTP-em wewnątrz klastra. Token
+międzywarstwowy (LOG-32) mówił KTO pyta, ale nie ukrywał CZEGO dotyczy odpowiedź
+— a płyną nią surowe wiersze oryginalnych baz interpretacyjnych, czyli rdzeń
+produktu. Kto podsłuchał ruch wewnątrz sieci (drugi pod, port mirror na switchu,
+zrzut z węzła), miał je w całości.
+
+Ten moduł zamyka tę drogę: **AES-256-GCM** na ciele każdego żądania i odpowiedzi.
+GCM daje jednocześnie poufność i uwierzytelnienie — cudzy albo podmieniony bajt
+nie odszyfruje się w ogóle, więc nie ma osobnego problemu „zaszyfrowane, ale
+podatne na modyfikację".
+
+**Dwa niezależne klucze**, po jednym na parę rozmówców:
+  * ``LINK_KEY_PRESENTATION_LOGIC`` — prezentacja ↔ logika,
+  * ``LINK_KEY_LOGIC_DATA``        — logika ↔ dane.
+Dzięki temu przejęcie klucza prezentacji nie daje dostępu do warstwy danych,
+gdzie leżą całe bazy. Logika trzyma oba, bo rozmawia w obie strony.
+
+Z każdego klucza łącza wyprowadzamy **osobne podklucze na kierunek** (HKDF).
+Żądanie i odpowiedź nigdy nie szyfrują się tym samym kluczem, więc powtórzenie
+losowej jednorazówki w jedną stronę nie osłabia drugiej.
+
+Format ramki (bo strumień odpowiedzi może iść kawałkami — patrz okno postępu):
+
+    [4 bajty długości][magia "AL1"][12 bajtów jednorazówki][szyfrogram + znacznik]
+
+Do materiału uwierzytelnianego (AAD) wchodzą kierunek, ścieżka, znacznik czasu
+i numer ramki. Skutek: ramki nie da się przekleić do innego endpointu, odtworzyć
+po czasie (dopuszczalny poślizg ``MAX_SKEW``) ani przestawić w strumieniu.
+
+Bez ustawionego klucza moduł **przepuszcza ruch otwartym tekstem** (dev, zgodność
+wstecz) i krzyczy o tym przy starcie. Gdy klucz JEST ustawiony, warstwa serwerowa
+działa fail-closed: nieszyfrowane żądanie dostaje odmowę, żeby przypadkowa
+regresja po stronie klienta nie oznaczała cichego powrotu do jawnego ruchu.
+"""
+from __future__ import annotations
+
+import base64
+import binascii
+import logging
+import os
+import struct
+import time
+from typing import Iterable, Iterator
+
+from cryptography.exceptions import InvalidTag
+from cryptography.hazmat.primitives import hashes
+from cryptography.hazmat.primitives.ciphers.aead import AESGCM
+from cryptography.hazmat.primitives.kdf.hkdf import HKDF
+
+log = logging.getLogger("astrololo.link")
+
+MAGIC = b"AL1"
+VERSION = "v1"
+NONCE_BYTES = 12
+KEY_BYTES = 32                      # AES-256
+LENGTH_PREFIX = 4
+MAX_FRAME = 64 * 1024 * 1024        # zapora przed alokacją z podanej długości
+MAX_SKEW_SECONDS = 300.0
+
+HEADER_ENC = "X-Astrololo-Enc"
+HEADER_TS = "X-Astrololo-Enc-Ts"
+CONTENT_TYPE = "application/vnd.astrololo.enc"
+
+ENV_PRESENTATION_LOGIC = "LINK_KEY_PRESENTATION_LOGIC"
+ENV_LOGIC_DATA = "LINK_KEY_LOGIC_DATA"
+# Trzecia para: prezentacja ↔ render (PRE-24). Osobny klucz, jak przy pozostałych —
+# usługa render dostaje CAŁY raport (dane urodzeniowe + opisy z baz), więc przejęcie
+# jej klucza nie może otwierać łącza do logiki ani do danych.
+ENV_PRESENTATION_RENDER = "LINK_KEY_PRESENTATION_RENDER"
+ENV_REQUIRED = "LINK_ENCRYPTION_REQUIRED"
+
+REQUEST, RESPONSE = b"req", b"res"
+
+# Sondy k8s pukają tu bez klucza i tak ma zostać — inaczej pierwsza literówka
+# w sekrecie kładłaby pody zamiast pokazać błąd w aplikacji.
+PUBLIC_PATHS = frozenset({"/health"})
+
+
+class LinkError(Exception):
+    """Cokolwiek poszło nie tak z kopertą — celowo bez szczegółów na zewnątrz."""
+
+
+# --------------------------------------------------------------------- klucze
+
+def parse_key(raw: str) -> bytes:
+    """Klucz z konfiguracji: hex (64 znaki) albo base64. Zawsze 32 bajty."""
+    text = raw.strip()
+    if not text:
+        raise LinkError("pusty klucz łącza")
+    try:
+        key = bytes.fromhex(text)
+    except ValueError:
+        try:
+            key = base64.b64decode(text, validate=True)
+        except (binascii.Error, ValueError) as exc:
+            raise LinkError("klucz łącza nie jest ani hexem, ani base64") from exc
+    if len(key) != KEY_BYTES:
+        raise LinkError(
+            f"klucz łącza ma {len(key)} B zamiast {KEY_BYTES} — wygeneruj przez "
+            f"`openssl rand -hex 32`"
+        )
+    return key
+
+
+def key_from_env(env_name: str) -> bytes | None:
+    """Klucz albo None. Zły klucz to wyjątek OD RAZU — nie przy pierwszym żądaniu."""
+    raw = os.getenv(env_name, "")
+    return parse_key(raw) if raw.strip() else None
+
+
+def encryption_required() -> bool:
+    """Czy brak klucza ma być błędem, a nie cichym powrotem do jawnego ruchu.
+
+    Serwer sam z siebie broni się fail-closed, ale to za mało: klient BEZ klucza
+    wysyła pytanie otwartym tekstem i dopiero potem dostaje odmowę — czyli treść
+    zapytania zdążyła już przelecieć przez sieć. Ta flaga zatrzymuje go, zanim
+    cokolwiek opuści proces. Ustawiana razem z kluczami we wdrożeniu.
+    """
+    return os.getenv(ENV_REQUIRED, "").strip().lower() in {"1", "true", "yes", "on"}
+
+
+def _subkey(link_key: bytes, direction: bytes) -> bytes:
+    return HKDF(
+        algorithm=hashes.SHA256(), length=KEY_BYTES, salt=None,
+        info=b"astrololo/link/" + direction,
+    ).derive(link_key)
+
+
+class Link:
+    """Jedna para rozmówców: klucz plus wyprowadzone z niego podklucze."""
+
+    def __init__(self, link_key: bytes) -> None:
+        self._by_direction = {
+            REQUEST: AESGCM(_subkey(link_key, REQUEST)),
+            RESPONSE: AESGCM(_subkey(link_key, RESPONSE)),
+        }
+
+    # ---------------------------------------------------------- pojedyncza ramka
+
+    def _aad(self, direction: bytes, path: str, stamp: str, seq: int) -> bytes:
+        return b"|".join([MAGIC, direction, path.encode("utf-8"),
+                          stamp.encode("ascii"), str(seq).encode("ascii")])
+
+    def seal(self, direction: bytes, path: str, stamp: str, seq: int,
+             plaintext: bytes) -> bytes:
+        nonce = os.urandom(NONCE_BYTES)
+        sealed = self._by_direction[direction].encrypt(
+            nonce, plaintext, self._aad(direction, path, stamp, seq))
+        return MAGIC + nonce + sealed
+
+    def open(self, direction: bytes, path: str, stamp: str, seq: int,
+             frame: bytes) -> bytes:
+        if not frame.startswith(MAGIC):
+            raise LinkError("ramka bez znacznika astrololo")
+        body = frame[len(MAGIC):]
+        if len(body) <= NONCE_BYTES:
+            raise LinkError("ramka za krótka")
+        nonce, sealed = body[:NONCE_BYTES], body[NONCE_BYTES:]
+        try:
+            return self._by_direction[direction].decrypt(
+                nonce, sealed, self._aad(direction, path, stamp, seq))
+        except InvalidTag as exc:
+            # Jeden komunikat na wszystkie przypadki: zły klucz, podmieniony bajt,
+            # przeklejenie z innej ścieżki, przestawiona ramka. Rozróżnianie ich
+            # na zewnątrz podpowiadałoby atakującemu, w co trafił.
+            raise LinkError("nie udało się odszyfrować — zły klucz albo naruszone dane") from exc
+
+    # ------------------------------------------------------------ strumień ramek
+
+    def seal_stream(self, direction: bytes, path: str, stamp: str,
+                    chunks: Iterable[bytes]) -> Iterator[bytes]:
+        for seq, chunk in enumerate(chunks):
+            yield frame_out(self.seal(direction, path, stamp, seq, chunk))
+
+    def open_stream(self, direction: bytes, path: str, stamp: str,
+                    raw: bytes) -> Iterator[bytes]:
+        for seq, frame in enumerate(frames_in(raw)):
+            yield self.open(direction, path, stamp, seq, frame)
+
+    def open_all(self, direction: bytes, path: str, stamp: str, raw: bytes) -> bytes:
+        return b"".join(self.open_stream(direction, path, stamp, raw))
+
+
+# ---------------------------------------------------------------- ramkowanie
+
+def frame_out(payload: bytes) -> bytes:
+    return struct.pack(">I", len(payload)) + payload
+
+
+def frames_in(raw: bytes) -> Iterator[bytes]:
+    """Rozbiera bufor na ramki. Ucięty strumień to błąd, nie cicha strata danych."""
+    offset = 0
+    while offset < len(raw):
+        if offset + LENGTH_PREFIX > len(raw):
+            raise LinkError("urwana ramka (brak nagłówka długości)")
+        (size,) = struct.unpack(">I", raw[offset:offset + LENGTH_PREFIX])
+        if size > MAX_FRAME:
+            raise LinkError("ramka ponad dopuszczalny rozmiar")
+        offset += LENGTH_PREFIX
+        if offset + size > len(raw):
+            raise LinkError("urwana ramka (za mało danych)")
+        yield raw[offset:offset + size]
+        offset += size
+
+
+def unframe_incremental(buffer: bytearray) -> Iterator[bytes]:
+    """Wyjmuje z bufora KOMPLETNE ramki i zjada je; resztę zostawia na później.
+
+    Dla odbioru na żywo: kawałki przychodzą podzielone dowolnie i ramka potrafi
+    rozjechać się między dwa odczyty.
+    """
+    while True:
+        if len(buffer) < LENGTH_PREFIX:
+            return
+        (size,) = struct.unpack(">I", buffer[:LENGTH_PREFIX])
+        if size > MAX_FRAME:
+            raise LinkError("ramka ponad dopuszczalny rozmiar")
+        if len(buffer) < LENGTH_PREFIX + size:
+            return
+        frame = bytes(buffer[LENGTH_PREFIX:LENGTH_PREFIX + size])
+        del buffer[:LENGTH_PREFIX + size]
+        yield frame
+
+
+# ------------------------------------------------------------- świeżość ruchu
+
+def stamp_now() -> str:
+    return f"{time.time():.3f}"
+
+
+def check_stamp(stamp: str) -> None:
+    """Odrzuca ramki spoza okna czasowego — inaczej podsłuchane żądanie dałoby się
+    odtworzyć w dowolnym momencie w przyszłości."""
+    try:
+        sent = float(stamp)
+    except (TypeError, ValueError) as exc:
+        raise LinkError("brak albo błędny znacznik czasu") from exc
+    if abs(time.time() - sent) > MAX_SKEW_SECONDS:
+        raise LinkError("znacznik czasu poza dopuszczalnym oknem")
+
+
+# =========================================================== strona serwerowa
+
+class LinkCryptoMiddleware:
+    """Rozszyfrowuje wchodzące żądania i zaszyfrowuje wychodzące odpowiedzi.
+
+    Napisane jako czyste ASGI, nie ``@app.middleware("http")``, bo trzeba
+    podmienić CIAŁO żądania jeszcze zanim zobaczy je FastAPI, oraz przepuścić
+    odpowiedź strumieniową kawałek po kawałku, bez zbierania jej w pamięci.
+    """
+
+    def __init__(self, app, link: Link | None, layer: str) -> None:
+        self.app = app
+        self.link = link
+        self.layer = layer
+
+    async def __call__(self, scope, receive, send):
+        if scope["type"] != "http" or self.link is None or scope["path"] in PUBLIC_PATHS:
+            return await self.app(scope, receive, send)
+
+        path = scope["path"]
+        headers = {k.decode("latin-1").lower(): v.decode("latin-1") for k, v in scope["headers"]}
+
+        if headers.get(HEADER_ENC.lower()) != VERSION:
+            # Fail-closed. Klucz jest ustawiony, więc jawne żądanie oznacza albo
+            # pomyłkę w konfiguracji, albo kogoś obcego — w obu wypadkach nie
+            # chcemy po cichu wrócić do jawnego ruchu.
+            log.warning("warstwa %s: odrzucone żądanie bez szyfrowania łącza (%s)",
+                        self.layer, path)
+            return await _refuse(send, "Łącze międzywarstwowe wymaga szyfrowania.")
+
+        stamp = headers.get(HEADER_TS.lower(), "")
+        try:
+            check_stamp(stamp)
+            plaintext = self.link.open_all(REQUEST, path, stamp, await _read_body(receive))
+        except LinkError as exc:
+            log.warning("warstwa %s: %s (%s)", self.layer, exc, path)
+            return await _refuse(send, "Nie udało się odczytać zaszyfrowanego żądania.")
+
+        scope = dict(scope)
+        scope["headers"] = _rewritten_headers(scope["headers"], len(plaintext))
+        await self.app(scope, _replay(plaintext, receive), self._sealing_send(send, path))
+
+    def _sealing_send(self, send, path: str):
+        state: dict = {"stamp": "", "seq": 0}
+
+        async def sealing(message):
+            if message["type"] == "http.response.start":
+                state["stamp"] = stamp_now()
+                keep = [(k, v) for k, v in message.get("headers", [])
+                        if k.lower() not in (b"content-length", b"content-type")]
+                message = dict(message)
+                message["headers"] = keep + [
+                    (b"content-type", CONTENT_TYPE.encode()),
+                    (HEADER_ENC.lower().encode(), VERSION.encode()),
+                    (HEADER_TS.lower().encode(), state["stamp"].encode()),
+                ]
+                return await send(message)
+
+            if message["type"] == "http.response.body":
+                chunk = message.get("body", b"")
+                sealed = b""
+                if chunk:
+                    sealed = frame_out(self.link.seal(
+                        RESPONSE, path, state["stamp"], state["seq"], chunk))
+                    state["seq"] += 1
+                return await send({"type": "http.response.body", "body": sealed,
+                                   "more_body": message.get("more_body", False)})
+
+            return await send(message)
+
+        return sealing
+
+
+def _rewritten_headers(raw: Iterable[tuple[bytes, bytes]], length: int):
+    """Po odszyfrowaniu ciało ma inną długość i zwykły typ — inaczej FastAPI
+    próbowałby sparsować JSON o cudzej deklarowanej wielkości."""
+    kept = [(k, v) for k, v in raw if k.lower() not in (b"content-length", b"content-type")]
+    kept.append((b"content-length", str(length).encode()))
+    if length:
+        kept.append((b"content-type", b"application/json"))
+    return kept
+
+
+async def _read_body(receive) -> bytes:
+    body = bytearray()
+    while True:
+        message = await receive()
+        if message["type"] == "http.disconnect":
+            raise LinkError("rozłączenie w trakcie odbioru żądania")
+        body += message.get("body", b"")
+        if not message.get("more_body", False):
+            return bytes(body)
+
+
+def _replay(body: bytes, original):
+    """Podstawia odszyfrowane ciało jako jedyną porcję wejścia dla aplikacji.
+
+    Po oddaniu ciała oddajemy głos ORYGINALNEMU `receive`, zamiast od razu
+    zgłaszać rozłączenie. Odpowiedź strumieniowa nasłuchuje bowiem rozłączenia
+    równolegle do wysyłania i przerywa się, gdy je zobaczy — na skróconej wersji
+    okno postępu dostawało pustą odpowiedź, choć zwykłe żądania działały.
+    """
+    delivered = False
+
+    async def receive():
+        nonlocal delivered
+        if delivered:
+            return await original()
+        delivered = True
+        return {"type": "http.request", "body": body, "more_body": False}
+
+    return receive
+
+
+async def _refuse(send, detail: str) -> None:
+    """Odmowa leci JAWNIE — rozmówca właśnie pokazał, że nie umie odszyfrować,
+    więc zaszyfrowany komunikat o błędzie byłby dla niego nieczytelny."""
+    payload = f'{{"detail":"{detail}"}}'.encode("utf-8")
+    await send({"type": "http.response.start", "status": 400, "headers": [
+        (b"content-type", b"application/json"),
+        (b"content-length", str(len(payload)).encode()),
+    ]})
+    await send({"type": "http.response.body", "body": payload})
+
+
+def install(app, env_name: str, layer: str):
+    """Podpina szyfrowanie łącza. Wołać PO `security.install`, żeby także odmowa
+    tokenowa (401) wracała zaszyfrowana — inaczej klient by jej nie odczytał."""
+    link_key = key_from_env(env_name)
+    if link_key is None and encryption_required():
+        # Celowo wywracamy start. Ta sama zasada co przy sekrecie logowania:
+        # wolimy widoczną awarię niż usługę, która wstała i po cichu nie chroni
+        # niczego. Pod w CrashLoop widać od razu, jawny ruch — nie.
+        raise LinkError(
+            f"{ENV_REQUIRED} jest włączone, ale {env_name} nie ustawiony — "
+            f"warstwa {layer} nie wystartuje bez klucza łącza"
+        )
+    if link_key is None:
+        log.warning(
+            "UWAGA: %s nie ustawiony — warstwa %s rozmawia z sąsiadem JAWNYM tekstem, "
+            "więc treść baz interpretacyjnych jest widoczna dla każdego, kto podsłucha "
+            "ruch wewnątrz sieci.", env_name, layer,
+        )
+        return None
+    link = Link(link_key)
+    app.add_middleware(LinkCryptoMiddleware, link=link, layer=layer)
+    log.info("warstwa %s: łącze szyfrowane (AES-256-GCM, klucz z %s)", layer, env_name)
+    return link
+
+
+# ============================================================ strona kliencka
+
+def call(client, method: str, url: str, *, payload=None,
+         headers: dict[str, str] | None = None, link: Link | None) -> bytes:
+    """Żądanie do sąsiedniej warstwy; zwraca odszyfrowane ciało odpowiedzi.
+
+    Ścieżkę do materiału uwierzytelnianego bierzemy Z URL-a, a nie z osobnego
+    argumentu — gdyby klient i serwer liczyły ją inaczej, każde żądanie kończyłoby
+    się niejasnym błędem odszyfrowania.
+    """
+    import json as _json
+
+    import httpx
+
+    request_headers = dict(headers or {})
+    if link is None:
+        if encryption_required():
+            # Zatrzymujemy się PRZED wysłaniem. Gdyby polecieć jawnie i dopiero
+            # zebrać odmowę, pytanie byłoby już na kablu — a to właśnie ono niesie
+            # sygnifikatory, o które pytamy bazę.
+            raise LinkError(
+                f"{ENV_REQUIRED} jest włączone, ale brak klucza łącza — żądanie "
+                f"NIE zostało wysłane, żeby jego treść nie poszła jawnym tekstem"
+            )
+        response = client.request(method, url, json=payload, headers=request_headers)
+        response.raise_for_status()
+        return response.content
+
+    path = httpx.URL(url).path
+    stamp = stamp_now()
+    plaintext = b"" if payload is None else _json.dumps(payload).encode("utf-8")
+    body = frame_out(link.seal(REQUEST, path, stamp, 0, plaintext))
+    request_headers.update({HEADER_ENC: VERSION, HEADER_TS: stamp,
+                            "Content-Type": CONTENT_TYPE})
+
+    response = client.request(method, url, content=body, headers=request_headers)
+    if response.status_code >= 400 and response.headers.get(HEADER_ENC) != VERSION:
+        log.error("łącze %s odmówiło: %s", path, response.text[:200])
+    response.raise_for_status()
+    if response.headers.get(HEADER_ENC) != VERSION:
+        raise LinkError("odpowiedź przyszła nieszyfrowana, choć klucz łącza jest ustawiony")
+    reply_stamp = response.headers.get(HEADER_TS, "")
+    check_stamp(reply_stamp)
+    return link.open_all(RESPONSE, path, reply_stamp, response.content)
+
+
+def call_json(client, method: str, url: str, *, payload=None,
+              headers: dict[str, str] | None = None, link: Link | None):
+    import json as _json
+
+    return _json.loads(call(client, method, url, payload=payload,
+                            headers=headers, link=link))
+
+
+def open_response_stream(response, link: Link | None) -> Iterator[bytes]:
+    """Odbiór odpowiedzi płynącej kawałkami (okno postępu).
+
+    Ramka potrafi rozjechać się między dwa odczyty z gniazda, więc składamy ją
+    w buforze zamiast zakładać, że każdy kawałek to komplet.
+    """
+    if link is None:
+        yield from response.iter_bytes()
+        return
+    if response.headers.get(HEADER_ENC) != VERSION:
+        raise LinkError("strumień przyszedł nieszyfrowany, choć klucz łącza jest ustawiony")
+    stamp = response.headers.get(HEADER_TS, "")
+    check_stamp(stamp)
+    path = response.request.url.path
+    buffer = bytearray()
+    seq = 0
+    for chunk in response.iter_bytes():
+        buffer += chunk
+        for frame in unframe_incremental(buffer):
+            yield link.open(RESPONSE, path, stamp, seq, frame)
+            seq += 1
+    if buffer:
+        raise LinkError("strumień urwał się w połowie ramki")
+
+
+def stream_lines(client, url: str, *, payload, headers: dict[str, str] | None = None,
+                 link: Link | None) -> Iterator[str]:
+    """Strumieniowe POST zwracające kolejne NIEPUSTE linie NDJSON — na żywo.
+
+    Dla okna postępu: linie muszą docierać w trakcie pracy, nie na końcu, więc
+    czytamy strumień, a nie całe ciało. Gdy łącze ma klucz, żądanie jest
+    pieczętowane, a odpowiedź odszyfrowywana ramka po ramce; granice ramek NIE
+    pokrywają się z granicami linii, więc sklejamy bajty w buforze i tniemy je
+    dopiero na znakach nowej linii.
+
+    Bez klucza zachowuje się jak dotąd (surowy strumień), żeby dev bez sekretów
+    działał bez zmian.
+    """
+    import json as _json
+
+    import httpx as _httpx
+
+    request_headers = dict(headers or {})
+    if link is None:
+        if encryption_required():
+            # Ten sam kontrakt co w `call`: nie wypuszczamy jawnego żądania, gdy
+            # szyfrowanie jest wymagane. Bez tego serwer owszem odrzuca (400), ale
+            # ciało żądania — tu dane urodzenia — zdążyłoby już pójść w eter.
+            raise LinkError(
+                f"{ENV_REQUIRED} jest włączone, ale brak klucza łącza — strumień "
+                f"NIE został wysłany, żeby jego treść nie poszła jawnym tekstem"
+            )
+        with client.stream("POST", url, json=payload, headers=request_headers) as response:
+            response.raise_for_status()
+            for text_line in response.iter_lines():
+                if text_line:
+                    yield text_line
+        return
+
+    path = _httpx.URL(url).path
+    stamp = stamp_now()
+    body = frame_out(link.seal(REQUEST, path, stamp, 0, _json.dumps(payload).encode("utf-8")))
+    request_headers.update({HEADER_ENC: VERSION, HEADER_TS: stamp, "Content-Type": CONTENT_TYPE})
+    with client.stream("POST", url, content=body, headers=request_headers) as response:
+        response.raise_for_status()
+        buffer = bytearray()
+        for plain in open_response_stream(response, link):
+            buffer += plain
+            while True:
+                nl = buffer.find(b"\n")
+                if nl < 0:
+                    break
+                text_line = bytes(buffer[:nl])
+                del buffer[:nl + 1]
+                if text_line:
+                    yield text_line.decode("utf-8")
+        if buffer:
+            yield bytes(buffer).decode("utf-8")

services/presentation/app/main.py

@@ -9,11 +9,12 @@ Strona główna „/" = wprowadzenie danych horoskopu i podgląd policzonych poz
 """
 from __future__ import annotations
 
+import json
 from datetime import datetime, timedelta, timezone
 
 import httpx
 from fastapi import FastAPI, Form, HTTPException, Query, Request
-from fastapi.responses import HTMLResponse
+from fastapi.responses import HTMLResponse, JSONResponse
 from fastapi.staticfiles import StaticFiles
 from fastapi.templating import Jinja2Templates
 
@@ -39,6 +40,15 @@ def _build_utc(date: str, time: str, tz_offset: float) -> tuple[str, str]:
     return utc.isoformat(), label
 
 
+def _llm_catalog() -> dict:
+    """Podpowiedzi modeli dla pola wyboru. Awaria logiki nie może wywrócić strony —
+    pole modelu jest tekstowe, więc bez katalogu nadal da się wpisać model ręcznie."""
+    try:
+        return logic.llm_models()
+    except httpx.HTTPError:
+        return {"providers": {}, "defaults": {}}
+
+
 def _logic_error(e: Exception) -> str:
     if isinstance(e, httpx.HTTPStatusError) and e.response.status_code == 404:
         return (
@@ -53,13 +63,15 @@ def _logic_error(e: Exception) -> str:
 def chart_form(request: Request):
     return templates.TemplateResponse(
         request, "chart.html",
-        {"result": None, "form": default_form(), "location_label": DEFAULT_LOCATION_LABEL},
+        {"result": None, "form": default_form(), "location_label": DEFAULT_LOCATION_LABEL,
+         "llm_catalog": _llm_catalog()},
     )
 
 
 @app.post("/", response_class=HTMLResponse)
 def chart_compute(
     request: Request,
+    person: str = Form(""),          # imie i nazwisko — do naglowka raportu (PRE-21/24)
     date: str = Form(...),
     time: str = Form(...),
     tz_offset: float = Form(0.0),
@@ -68,18 +80,21 @@ def chart_compute(
     house_system: str = Form("whole_sign"),
     stations: bool = Form(False),
     zodiac: str = Form("tropical"),
+    tables: bool = Form(False),
 ):
-    form = {"date": date, "time": time, "tz_offset": tz_offset,
+    form = {"person": person, "date": date, "time": time, "tz_offset": tz_offset,
             "lat": lat, "lon": lon, "house_system": house_system, "stations": stations,
-            "zodiac": zodiac}
+            "zodiac": zodiac, "tables": tables}
     ctx: dict = {"form": form, "result": None, "error": None, "moment": None}
     try:
         iso_utc, label = _build_utc(date, time, tz_offset)
         ctx["moment"] = label
         ctx["result"] = logic.positions(
             when_utc_iso=iso_utc, lat=lat, lon=lon,
-            house_system=house_system, stations=stations, zodiac=zodiac,
+            house_system=house_system, stations=stations, zodiac=zodiac, tables=tables,
         )
+        from app import chartwheel                    # kosmogram (PRE-12), SVG po stronie serwera
+        ctx["wheel_svg"] = chartwheel.render(ctx["result"])
     except (httpx.HTTPError,) as e:
         ctx["error"] = _logic_error(e)
     except ValueError as e:
@@ -87,6 +102,112 @@ def chart_compute(
     return templates.TemplateResponse(request, "chart.html", ctx)
 
 
+# ---------------- Skompiluj: zbiorczy raport (PRE-23) ----------------
+@app.get("/compile", response_class=HTMLResponse)
+def compile_form(request: Request):
+    return templates.TemplateResponse(
+        request, "compile.html",
+        {"result": None, "form": default_form(), "location_label": DEFAULT_LOCATION_LABEL},
+    )
+
+
+@app.post("/compile", response_class=HTMLResponse)
+def compile_build(
+    request: Request,
+    person: str = Form(""),
+    date: str = Form(...),
+    time: str = Form(...),
+    tz_offset: float = Form(0.0),
+    lat: float = Form(0.0),
+    lon: float = Form(0.0),
+    house_system: str = Form("whole_sign"),
+    zodiac: str = Form("tropical"),
+):
+    """Składa raport: horoskop liczymy TU NA NOWO, a części od AI (interpretacja
+    natalna i predykcje okresowe) dokłada przeglądarka z magazynu (PRE-22/23).
+
+    Dlaczego horoskop liczymy ponownie, zamiast go zapamiętywać: to czysta funkcja
+    danych wejściowych — tanio ją powtórzyć, a odpada trzymanie w przeglądarce
+    dużego wyniku, który mógłby się rozjechać z aktualnym formularzem.
+    """
+    form = {"person": person, "date": date, "time": time, "tz_offset": tz_offset,
+            "lat": lat, "lon": lon, "house_system": house_system, "zodiac": zodiac}
+    ctx: dict = {"form": form, "result": None, "error": None, "moment": None}
+    try:
+        iso_utc, label = _build_utc(date, time, tz_offset)
+        ctx["moment"] = label
+        ctx["result"] = logic.positions(
+            when_utc_iso=iso_utc, lat=lat, lon=lon,
+            house_system=house_system, zodiac=zodiac,
+        )
+        from app import chartwheel
+        ctx["wheel_svg"] = chartwheel.render(ctx["result"])
+    except (httpx.HTTPError,) as e:
+        ctx["error"] = _logic_error(e)
+    except ValueError as e:
+        ctx["error"] = f"Niepoprawne dane wejściowe: {e}"
+    return templates.TemplateResponse(request, "compile.html", ctx)
+
+
+@app.post("/compile/pdf")
+def compile_pdf(payload: dict):
+    """Składa raport PDF (PRE-24) — woła usługę render po szyfrowanym łączu.
+
+    Wejście z przeglądarki, bo części od AI (interpretacja natalna i predykcje)
+    mieszkają w magazynie lokalnym. Kosmogram i tabele liczymy TU, żeby PDF
+    zawierał dokładnie to, co widać na stronie.
+
+    Kosmogram idzie w motywie DRUKU: samodzielny konwerter SVG→PDF nie zna
+    naszego arkusza, więc zmienne CSS i font glifów muszą być w samym rysunku.
+    """
+    from fastapi.responses import Response
+
+    from app.clients.render_client import RenderClient
+
+    data = payload.get("data") or {}
+    try:
+        iso_utc, label = _build_utc(
+            str(data.get("date") or ""), str(data.get("time") or ""),
+            float(data.get("tz_offset") or 0.0),
+        )
+    except (ValueError, TypeError) as e:
+        return JSONResponse({"detail": f"Niepoprawne dane wejściowe: {e}"}, status_code=422)
+
+    wheel_svg = ""
+    try:
+        chart = logic.positions(
+            when_utc_iso=iso_utc,
+            lat=float(data.get("lat") or 0.0), lon=float(data.get("lon") or 0.0),
+            house_system=str(data.get("house_system") or "whole_sign"),
+            zodiac=str(data.get("zodiac") or "tropical"),
+        )
+        from app import chartwheel
+
+        wheel_svg = chartwheel.render(chart, theme="print")
+    except httpx.HTTPError as e:
+        # Brak rysunku nie może zablokować raportu — tekst jest ważniejszy.
+        log_note = _logic_error(e)
+        chart, wheel_svg = None, ""
+        data = {**data, "wheel_error": log_note}
+
+    report = {
+        "person": payload.get("person") or "",
+        "data": {**data, "moment_utc": label},
+        "wheel_svg": wheel_svg,
+        "natal": payload.get("natal") or {},
+        "predictions": payload.get("predictions") or [],
+    }
+    try:
+        pdf = RenderClient().pdf(report)
+    except httpx.HTTPError as e:
+        return JSONResponse(
+            {"detail": f"Usługa render niedostępna albo nie złożyła PDF-a: {e}"},
+            status_code=502,
+        )
+    return Response(content=pdf, media_type="application/pdf",
+                    headers={"Content-Disposition": 'attachment; filename="raport.pdf"'})
+
+
 # ---------------- Sygnifikatory (wyszukiwarka w bazach) ----------------
 @app.get("/significators", response_class=HTMLResponse)
 def significators_form(request: Request):
@@ -115,13 +236,15 @@ def significators_search(
 def interpret_form(request: Request):
     return templates.TemplateResponse(
         request, "interpret.html",
-        {"result": None, "form": default_form(), "location_label": DEFAULT_LOCATION_LABEL},
+        {"result": None, "form": default_form(), "location_label": DEFAULT_LOCATION_LABEL,
+         "llm_catalog": _llm_catalog()},
     )
 
 
 @app.post("/interpret", response_class=HTMLResponse)
 def interpret_run(
     request: Request,
+    person: str = Form(""),          # imie i nazwisko — do naglowka raportu (PRE-21/24)
     date: str = Form(...),
     time: str = Form(...),
     tz_offset: float = Form(0.0),
@@ -131,22 +254,25 @@ def interpret_run(
     action: str = Form("report"),
     prompt_budget: str = Form("medium"),
     llm_provider: str = Form("local"),
+    llm_model: str = Form(""),
 ):
-    form = {"date": date, "time": time, "tz_offset": tz_offset,
+    form = {"person": person, "date": date, "time": time, "tz_offset": tz_offset,
             "lat": lat, "lon": lon, "group": group, "prompt_budget": prompt_budget,
-            "llm_provider": llm_provider}
-    ctx: dict = {"form": form, "result": None, "error": None, "moment": None}
+            "llm_provider": llm_provider, "llm_model": llm_model}
+    ctx: dict = {"form": form, "result": None, "error": None, "moment": None,
+                 "llm_catalog": _llm_catalog()}
     try:
         iso_utc, label = _build_utc(date, time, tz_offset)
         ctx["moment"] = label
         if action == "prompt":
             ctx["prompt_result"] = logic.prompt(
                 profile="natal", when_utc_iso=iso_utc, lat=lat, lon=lon, budget=prompt_budget,
+                provider=llm_provider, model=llm_model,
             )
         elif action == "horoscope":
             ctx["prompt_result"] = logic.horoscope(
                 profile="natal", when_utc_iso=iso_utc, lat=lat, lon=lon,
-                budget=prompt_budget, provider=llm_provider,
+                budget=prompt_budget, provider=llm_provider, model=llm_model,
             )
         else:
             ctx["result"] = logic.report(when_utc_iso=iso_utc, lat=lat, lon=lon, group=group)
@@ -162,13 +288,15 @@ def interpret_run(
 def timeline_form(request: Request):
     return templates.TemplateResponse(
         request, "timeline.html",
-        {"result": None, "form": default_form(), "location_label": DEFAULT_LOCATION_LABEL},
+        {"result": None, "form": default_form(), "location_label": DEFAULT_LOCATION_LABEL,
+         "llm_catalog": _llm_catalog()},
     )
 
 
 @app.post("/timeline", response_class=HTMLResponse)
 def timeline_run(
     request: Request,
+    person: str = Form(""),          # imie i nazwisko — do naglowka raportu (PRE-21/24)
     date: str = Form(...),
     time: str = Form(...),
     tz_offset: float = Form(0.0),
@@ -179,11 +307,13 @@ def timeline_run(
     action: str = Form("timeline"),
     prompt_budget: str = Form("medium"),
     llm_provider: str = Form("local"),
+    llm_model: str = Form(""),
 ):
-    form = {"date": date, "time": time, "tz_offset": tz_offset, "lat": lat, "lon": lon,
+    form = {"person": person, "date": date, "time": time, "tz_offset": tz_offset, "lat": lat, "lon": lon,
             "from_date": from_date, "to_date": to_date, "prompt_budget": prompt_budget,
-            "llm_provider": llm_provider}
-    ctx: dict = {"form": form, "result": None, "error": None, "moment": None}
+            "llm_provider": llm_provider, "llm_model": llm_model}
+    ctx: dict = {"form": form, "result": None, "error": None, "moment": None,
+                 "llm_catalog": _llm_catalog()}
     try:
         iso_utc, label = _build_utc(date, time, tz_offset)
         ctx["moment"] = label
@@ -191,11 +321,12 @@ def timeline_run(
             ctx["prompt_result"] = logic.prompt(
                 profile="period", when_utc_iso=iso_utc, lat=lat, lon=lon,
                 budget=prompt_budget, from_date=from_date, to_date=to_date,
+                provider=llm_provider, model=llm_model,
             )
         elif action == "horoscope":
             ctx["prompt_result"] = logic.horoscope(
                 profile="period", when_utc_iso=iso_utc, lat=lat, lon=lon,
-                budget=prompt_budget, provider=llm_provider,
+                budget=prompt_budget, provider=llm_provider, model=llm_model,
                 from_date=from_date, to_date=to_date,
             )
         else:
@@ -210,6 +341,61 @@ def timeline_run(
     return templates.TemplateResponse(request, "timeline.html", ctx)
 
 
+# ---------------- Postęp pisania horoskopu (strumień do okna z logiem) ----------------
+@app.post("/horoscope/stream")
+def horoscope_stream(
+    profile: str = Form("natal"),
+    date: str = Form(...),
+    time: str = Form(...),
+    tz_offset: float = Form(0.0),
+    lat: float = Form(0.0),
+    lon: float = Form(0.0),
+    prompt_budget: str = Form("medium"),
+    llm_provider: str = Form("local"),
+    llm_model: str = Form(""),
+    from_date: str = Form(""),
+    to_date: str = Form(""),
+):
+    """Przekazuje strumień postępu z logiki i DOKLEJA gotowy HTML wyniku.
+
+    Dzięki temu okno postępu wstawia dokładnie ten sam widok, który wyrenderowałoby
+    przeładowanie strony — jedno źródło prawdy dla wyglądu wyniku.
+    """
+    from fastapi.responses import StreamingResponse
+
+    try:
+        iso_utc, _ = _build_utc(date, time, tz_offset)
+    except ValueError as e:
+        return JSONResponse({"detail": f"Niepoprawne dane wejściowe: {e}"}, status_code=422)
+
+    payload: dict = {
+        "profile": profile, "when_utc": iso_utc, "lat": lat, "lon": lon,
+        "budget": prompt_budget, "provider": llm_provider, "model": llm_model,
+    }
+    if profile == "period" and from_date and to_date:
+        payload["from_date"], payload["to_date"] = from_date, to_date
+
+    def relay():
+        try:
+            for raw in logic.horoscope_stream(payload):
+                try:
+                    event = json.loads(raw)
+                except ValueError:
+                    continue
+                if event.get("type") == "result":
+                    html = templates.get_template("_prompt_result.html").render(
+                        prompt_result=event.get("result") or {}
+                    )
+                    event["html"] = html
+                yield json.dumps(event, ensure_ascii=False) + "\n"
+        except httpx.HTTPError as e:
+            yield json.dumps({"type": "error", "message": _logic_error(e)},
+                             ensure_ascii=False) + "\n"
+
+    return StreamingResponse(relay(), media_type="application/x-ndjson",
+                             headers={"Cache-Control": "no-store", "X-Accel-Buffering": "no"})
+
+
 # ---------------- Geokoder (proxy OSM/Nominatim dla wyszukiwarki lokalizacji) ----------------
 @app.get("/geocode")
 def geocode_search(q: str = Query("", description="Nazwa / adres / POI do wyszukania")):

services/presentation/app/security.py

@@ -7,7 +7,9 @@ jakiegokolwiek modelu językowego. Ten moduł zamyka tę drogę.
 
 Dwa mechanizmy:
   * **HTTP Basic** — wejście do aplikacji; włącza się, gdy ustawiono APP_PASSWORD.
-  * **limit żądań** — hamuje masowe odpytywanie (eksfiltrację przez pętlę zapytań).
+  * **limit żądań** — hamuje masowe odpytywanie (eksfiltrację przez pętlę zapytań);
+    rozliczany per adres klienta, a za odwrotnym proxy — po TRUST_PROXY=true —
+    per adres z nagłówka, nie per adres proxy (patrz `client_ip`).
 
 Świadomie NIE logujemy treści żądań ani promptów — logi to kolejny nośnik wycieku.
 
@@ -46,6 +48,11 @@ def app_password() -> str:
 def rate_limit_per_min() -> int:
     return int(os.getenv("RATE_LIMIT_PER_MIN", "120"))
 
+
+def trust_proxy() -> bool:
+    return os.getenv("TRUST_PROXY", "").strip().lower() in {"1", "true", "yes", "on"}
+
+
 PUBLIC_PATHS = frozenset({"/health"})
 PUBLIC_PREFIXES = ("/static/",)
 
@@ -74,6 +81,31 @@ def _authorized(header: str | None) -> bool:
     return ok_user and ok_pass
 
 
+def client_ip(request: Request) -> str:
+    """Adres, po którym rozliczamy limit żądań.
+
+    Za odwrotnym proxy (u nas: Ingress/Traefik po włączeniu TLS — PRE-16)
+    `request.client.host` to adres POD-a proxy, jednakowy dla wszystkich. Bez
+    poprawki cały ruch trafiałby do jednego wiadra i pierwsza osoba, która
+    wyklika limit, odcięłaby pozostałe.
+
+    Nagłówkom wierzymy WYŁĄCZNIE przy TRUST_PROXY — bo inaczej wystarczyłoby
+    dopisać własny `X-Forwarded-For`, żeby przy każdym żądaniu wyglądać na kogoś
+    innego i ominąć limit całkowicie. Z tego samego powodu bierzemy OSTATNI wpis
+    listy: to jedyny, który dopisał nasz proxy. Wcześniejsze mógł podstawić
+    klient, więc nie znaczą nic.
+    """
+    peer = request.client.host if request.client else "?"
+    if not trust_proxy():
+        return peer
+    forwarded = request.headers.get("x-forwarded-for", "")
+    if forwarded:
+        last = forwarded.rsplit(",", 1)[-1].strip()
+        if last:
+            return last
+    return request.headers.get("x-real-ip", "").strip() or peer
+
+
 def _rate_limited(client: str) -> bool:
     cap = rate_limit_per_min()
     if cap <= 0:
@@ -105,8 +137,7 @@ def install(app) -> None:
         if _is_public(request.url.path):
             return await call_next(request)
 
-        client = request.client.host if request.client else "?"
-        if _rate_limited(client):
+        if _rate_limited(client_ip(request)):
             return JSONResponse(
                 {"detail": "Zbyt wiele żądań — spróbuj za chwilę."},
                 status_code=429, headers={"Retry-After": "60"},

services/presentation/app/static/compile.js

@@ -0,0 +1,159 @@
+// Zakładka „Skompiluj" — składanie raportu (PRE-23).
+//
+// Raport ma trzy kawałki liczone w różnych miejscach:
+//   1. horoskop        — liczy serwer przy wysłaniu tego formularza,
+//   2. interpretacja natalna — z zakładki Interpretacje (natal.js),
+//   3. predykcje okresowe    — z zakładki Kalendarz (predictions.js).
+//
+// Punkty 2 i 3 mieszkają w magazynie przeglądarki, więc to tutaj je dokładamy.
+// Odczytujemy je przez API tamtych modułów, a nie sięgając wprost do
+// localStorage — dzięki temu format danych ma JEDNEGO właściciela.
+//
+// Pokazujemy też, CZEGO BRAKUJE. Bez tego użytkownik złożyłby niekompletny raport
+// i dowiedział się o tym dopiero po otwarciu PDF-a.
+(function () {
+  'use strict';
+
+  function esc(s) {
+    return String(s == null ? '' : s)
+      .replace(/&/g, '&amp;').replace(/</g, '&lt;').replace(/>/g, '&gt;');
+  }
+
+  function readNatal() {
+    return (window.astrololoNatal && window.astrololoNatal.read()) || null;
+  }
+
+  function readPredictions() {
+    return (window.astrololoPredictions && window.astrololoPredictions.read()) || [];
+  }
+
+  function item(ok, label, hint) {
+    return '<li class="' + (ok ? 'rdy-ok' : 'rdy-missing') + '">' +
+      (ok ? '✓ ' : '✗ ') + esc(label) +
+      (ok ? '' : ' <span class="muted small">— ' + esc(hint) + '</span>') + '</li>';
+  }
+
+  function renderReadiness(hasChart) {
+    var host = document.getElementById('readiness');
+    if (!host) return;
+    var natal = readNatal();
+    var preds = readPredictions();
+    var parts = [
+      item(hasChart, 'Policzony horoskop', 'wypełnij dane i kliknij „Złóż podsumowanie"'),
+      item(!!natal, 'Interpretacja natalna',
+           'wygeneruj ją na zakładce Interpretacje — zapamięta się sama'),
+      item(preds.length > 0,
+           'Predykcje okresowe' + (preds.length ? ' (' + preds.length + ')' : ''),
+           'policz horoskop na wybrany okres w Kalendarzu')
+    ];
+    host.innerHTML = '<div class="meta">Materiał do raportu</div><ul class="readiness">' +
+      parts.join('') + '</ul>';
+  }
+
+  function renderNatal() {
+    var host = document.getElementById('reportNatal');
+    if (!host) return;
+    var natal = readNatal();
+    if (!natal) {
+      host.innerHTML = '<div class="meta">Interpretacja natalna</div>' +
+        '<p class="muted small">Brak — wygeneruj ją na zakładce Interpretacje.</p>';
+      return;
+    }
+    host.innerHTML = '<div class="meta">Interpretacja natalna ' +
+      '<span class="muted small">· zapamiętana ' + esc(String(natal.saved_at).slice(0, 10)) +
+      '</span></div><div class="report-text">' + esc(natal.text) + '</div>';
+  }
+
+  function renderPredictions() {
+    var host = document.getElementById('reportPredictions');
+    if (!host) return;
+    var preds = readPredictions();
+    if (!preds.length) {
+      host.innerHTML = '<div class="meta">Predykcje okresowe</div>' +
+        '<p class="muted small">Brak — policz horoskop na wybrany okres w Kalendarzu.</p>';
+      return;
+    }
+    var blocks = preds.map(function (p) {
+      return '<div class="meta">' + esc(p.from_date) + ' – ' + esc(p.to_date) + '</div>' +
+             '<div class="report-text">' + esc(p.text) + '</div>';
+    }).join('');
+    host.innerHTML = '<div class="meta">Predykcje okresowe (' + preds.length + ')</div>' + blocks;
+  }
+
+  function ready(fn) {
+    if (document.readyState !== 'loading') fn();
+    else document.addEventListener('DOMContentLoaded', fn);
+  }
+
+  // ── PDF (PRE-24) ────────────────────────────────────────────────────
+  // Części od AI mieszkają w przeglądarce, więc raport składamy TU i wysyłamy
+  // do serwera, który dokłada kosmogram i woła usługę render.
+  function formData() {
+    function v(name) {
+      var el = document.querySelector('[name=' + name + ']');
+      return el ? el.value : '';
+    }
+    return {
+      date: v('date'), time: v('time'), tz_offset: v('tz_offset'),
+      lat: v('lat'), lon: v('lon'),
+      house_system: v('house_system'), zodiac: v('zodiac'),
+      place: (document.querySelector('#geoSearch') || {}).value || ''
+    };
+  }
+
+  function download(blob) {
+    var url = URL.createObjectURL(blob);
+    var a = document.createElement('a');
+    a.href = url;
+    a.download = 'raport.pdf';
+    document.body.appendChild(a);
+    a.click();
+    a.remove();
+    // Zwalniamy obiekt dopiero po kliknięciu — wcześniej przeglądarka nie zdąży
+    // rozpocząć pobierania.
+    setTimeout(function () { URL.revokeObjectURL(url); }, 4000);
+  }
+
+  function buildPdf(btn, note) {
+    var person = (document.querySelector('[name=person]') || {}).value || '';
+    var payload = {
+      person: person,
+      data: formData(),
+      natal: readNatal() || {},
+      predictions: readPredictions()
+    };
+    btn.disabled = true;
+    note.textContent = 'Składam PDF — LaTeX potrzebuje chwili przy obszernym tekście…';
+    fetch('/compile/pdf', {
+      method: 'POST',
+      headers: { 'Content-Type': 'application/json' },
+      body: JSON.stringify(payload)
+    }).then(function (r) {
+      if (!r.ok) {
+        return r.json().catch(function () { return {}; }).then(function (d) {
+          throw new Error(d.detail || ('HTTP ' + r.status));
+        });
+      }
+      return r.blob();
+    }).then(function (blob) {
+      download(blob);
+      note.textContent = 'Gotowe — PDF pobrany.';
+    }).catch(function (e) {
+      note.textContent = 'Nie udało się złożyć PDF-a: ' + e.message;
+    }).finally(function () {
+      btn.disabled = false;
+    });
+  }
+
+  ready(function () {
+    if (!document.getElementById('readiness')) return;     // nie ta zakładka
+    // Horoskop jest w dokumencie tylko po wysłaniu formularza.
+    renderReadiness(!!document.getElementById('reportPerson'));
+    renderNatal();
+    renderPredictions();
+
+    var btn = document.getElementById('pdfBtn');
+    var note = document.getElementById('pdfNote');
+    if (btn && note) btn.addEventListener('click', function () { buildPdf(btn, note); });
+  });
+})();

services/presentation/app/static/formsync.js

@@ -0,0 +1,98 @@
+// Wspólne dane formularza między zakładkami (PRE-21).
+//
+// Problem: każdą zakładkę (Horoskop / Interpretacje / Kalendarz) wypełniało się
+// od nowa — te same imię, data, godzina, strefa i miejsce. Teraz raz wpisane
+// dane wędrują za użytkownikiem.
+//
+// Dlaczego localStorage, a nie sesja na serwerze: serwer zostaje BEZSTANOWY
+// (żadnego magazynu sesji, żadnych danych urodzeniowych trzymanych po stronie
+// usługi), a przy okazji dane synchronizują się też między osobnymi kartami
+// przeglądarki — zdarzenie `storage` daje to za darmo.
+//
+// UWAGA na kolejność: ten skrypt ładujemy w <head> z `defer`, więc wykonuje się
+// PO sparsowaniu dokumentu, ale PRZED geo.js (skrypty defer idą w kolejności
+// dokumentu). Dzięki temu mapa startuje już z odtworzonymi współrzędnymi i nie
+// trzeba jej potem przestawiać.
+(function () {
+  'use strict';
+
+  var KEY = 'astrololo.form.v1';
+
+  // Pola wspólne dla zakładek. Nazwa pola formularza -> jak je znaleźć.
+  // `geoSearch` (nazwa miejsca) nie ma atrybutu name — szukamy po id.
+  var FIELDS = [
+    { key: 'person',       sel: 'input[name=person]' },
+    { key: 'date',         sel: 'input[name=date]' },
+    { key: 'time',         sel: 'input[name=time]' },
+    { key: 'tz_offset',    sel: 'input[name=tz_offset]' },
+    { key: 'lat',          sel: 'input[name=lat]' },
+    { key: 'lon',          sel: 'input[name=lon]' },
+    { key: 'house_system', sel: 'select[name=house_system]' },
+    { key: 'zodiac',       sel: 'select[name=zodiac]' },
+    { key: 'place',        sel: '#geoSearch' }
+  ];
+
+  function load() {
+    try {
+      return JSON.parse(localStorage.getItem(KEY) || '{}') || {};
+    } catch (e) {
+      return {};                       // uszkodzony wpis nie może zablokować strony
+    }
+  }
+
+  function save(state) {
+    try {
+      localStorage.setItem(KEY, JSON.stringify(state));
+    } catch (e) {
+      /* tryb prywatny albo brak miejsca — trudno, formularz ma działać dalej */
+    }
+  }
+
+  function apply(state) {
+    FIELDS.forEach(function (f) {
+      var el = document.querySelector(f.sel);
+      if (!el) return;
+      var v = state[f.key];
+      if (v === undefined || v === null || v === '') return;
+      if (el.value !== v) el.value = v;
+    });
+  }
+
+  function collect() {
+    var state = load();
+    FIELDS.forEach(function (f) {
+      var el = document.querySelector(f.sel);
+      if (!el) return;                 // pola nieobecnego na tej zakładce nie kasujemy
+      if (el.value === '' || el.value === null) return;
+      state[f.key] = el.value;
+    });
+    return state;
+  }
+
+  // 1) odtwórz to, co użytkownik wpisał gdzie indziej
+  apply(load());
+
+  // 2) zapisuj każdą zmianę (input dla wpisywania, change dla list i kalendarzy)
+  FIELDS.forEach(function (f) {
+    var el = document.querySelector(f.sel);
+    if (!el) return;
+    ['input', 'change'].forEach(function (ev) {
+      el.addEventListener(ev, function () { save(collect()); });
+    });
+  });
+
+  // 3) zapisz stan po wysłaniu formularza — po przeładowaniu strony pola mają
+  //    pokazywać to, co faktycznie policzyliśmy
+  document.addEventListener('submit', function () { save(collect()); }, true);
+
+  // 4) druga otwarta karta zmieniła dane -> dociągnij je tutaj na żywo
+  window.addEventListener('storage', function (e) {
+    if (e.key === KEY) apply(load());
+  });
+
+  // 5) geo.js ustawia lat/lon z mapy poza polami formularza — po takiej zmianie
+  //    też chcemy zapamiętać (zdarzenie leci z „Tu i teraz" oraz z mapy)
+  document.addEventListener('astrololo:coords', function () {
+    setTimeout(function () { save(collect()); }, 0);
+  });
+})();

services/presentation/app/static/geo.js

@@ -38,18 +38,32 @@
     // Kontener mógł być renderowany zanim ustaliła się jego szerokość — poprawka.
     setTimeout(function () { map.invalidateSize(); }, 60);
 
+    // Ustawienie `.value` z kodu NIE wywołuje zdarzeń, więc synchronizacja
+    // między zakładkami (formsync.js) przegapiłaby zmiany z mapy. Zgłaszamy je
+    // jawnie przez `change`.
+    function setVal(el, value) {
+      if (!el) return;
+      el.value = value;
+      el.dispatchEvent(new Event('change', { bubbles: true }));
+    }
+
     function setCoords(lat, lon, fromMap) {
-      latEl.value = lat.toFixed(4);
-      lonEl.value = lon.toFixed(4);
+      setVal(latEl, lat.toFixed(4));
+      setVal(lonEl, lon.toFixed(4));
       marker.setLatLng([lat, lon]);
       if (!fromMap) map.setView([lat, lon], Math.max(map.getZoom(), 12));
       if (fromMap) reverseName(lat, lon);
     }
 
     function reverseName(lat, lon) {
+      // Czyścimy pole OD RAZU. Dopóki nie znamy nazwy nowego punktu, stara jest
+      // po prostu nieprawdziwa — pokazywałaby inne miejsce niż współrzędne obok.
+      // Dotyczy też sytuacji, gdy /reverse nie odpowie (brak sieci): lepiej puste
+      // pole i poprawne współrzędne niż nazwa, która kłamie.
+      if (searchEl) setVal(searchEl, '');
       fetch('/reverse?lat=' + lat + '&lon=' + lon)
         .then(function (r) { return r.ok ? r.json() : null; })
-        .then(function (d) { if (d && d.name) searchEl.value = d.name; })
+        .then(function (d) { if (d && d.name && searchEl) setVal(searchEl, d.name); })
         .catch(function () {});
     }
 
@@ -68,7 +82,7 @@
         li.textContent = it.name;
         li.addEventListener('click', function () {
           setCoords(it.lat, it.lon, false);
-          searchEl.value = it.name;
+          setVal(searchEl, it.name);
           resultsEl.hidden = true;
         });
         resultsEl.appendChild(li);
@@ -108,9 +122,14 @@
     });
 
     // ---- synchronizacja z „Tu i teraz" ----
+    // Poza przesunięciem pineski MUSIMY odświeżyć pole tekstowe: po „Tu i teraz"
+    // zostawała w nim stara, ręcznie wpisana nazwa, więc formularz pokazywał jedno
+    // miejsce, a współrzędne wskazywały już inne. reverseName pyta o nazwę punktu,
+    // na który faktycznie ustawiła się mapa.
     document.addEventListener('astrololo:coords', function () {
       marker.setLatLng([curLat(), curLon()]);
       map.setView([curLat(), curLon()], Math.max(map.getZoom(), 12));
+      reverseName(curLat(), curLon());
     });
   });
 })();

services/presentation/app/static/models.js

@@ -0,0 +1,58 @@
+// Podpowiedzi modeli zależne od wybranego dostawcy.
+//
+// Pole modelu jest CELOWO tekstowe (input + datalist), a nie zamkniętym <select>:
+// katalog to tylko wygoda, a konto może mieć dostęp do modeli, o których kod nie
+// wie. Puste pole = model domyślny dostawcy.
+document.addEventListener('DOMContentLoaded', function () {
+  const providerEl = document.getElementById('llmProvider');
+  const modelEl = document.getElementById('llmModel');
+  const listEl = document.getElementById('llmModelList');
+  const hintEl = document.getElementById('llmModelHint');
+  const dataEl = document.getElementById('llmCatalog');
+  if (!providerEl || !modelEl || !listEl || !dataEl) return;
+
+  let catalog = {};
+  let defaults = {};
+  try {
+    const parsed = JSON.parse(dataEl.textContent || '{}');
+    catalog = parsed.providers || {};
+    defaults = parsed.defaults || {};
+  } catch (e) {
+    return;                       // brak katalogu — pole nadal działa jako wolny tekst
+  }
+
+  const fmt = n =>
+    n >= 1000000 ? (n / 1000000) + 'M' : (n >= 1000 ? Math.round(n / 1000) + 'k' : String(n));
+
+  function refresh(resetValue) {
+    const provider = providerEl.value;
+    const models = catalog[provider] || [];
+
+    listEl.innerHTML = '';
+    models.forEach(m => {
+      const opt = document.createElement('option');
+      opt.value = m.id;
+      opt.label = m.label + '  ·  kontekst ' + fmt(m.context_window);
+      listEl.appendChild(opt);
+    });
+
+    const fallback = defaults[provider] || '';
+    modelEl.placeholder = fallback ? 'domyślny: ' + fallback : 'domyślny dostawcy';
+
+    // po zmianie dostawcy stary model nie ma sensu (np. gpt-4o u Anthropica)
+    if (resetValue) modelEl.value = '';
+
+    if (hintEl) {
+      const chosen = models.find(m => m.id === modelEl.value.trim());
+      hintEl.textContent = chosen
+        ? chosen.label + ' — okno kontekstu ' + fmt(chosen.context_window) +
+          ' tokenów, maksymalna odpowiedź ' + fmt(chosen.max_output) + '.'
+        : 'Zostaw puste, by użyć modelu domyślnego. Możesz też wpisać dowolny ' +
+          'identyfikator modelu, do którego Twoje konto ma dostęp.';
+    }
+  }
+
+  providerEl.addEventListener('change', () => refresh(true));
+  modelEl.addEventListener('input', () => refresh(false));
+  refresh(false);
+});

services/presentation/app/static/natal.js

@@ -0,0 +1,97 @@
+// Zapamiętana interpretacja natalna (PRE-23).
+//
+// Odpowiednik predictions.js, tylko że natalna jest JEDNA — dotyczy momentu
+// urodzenia, nie wybranego okresu. Ponowne wygenerowanie podmienia poprzednią.
+//
+// Po co magazyn: zakładka „Skompiluj" składa raport z trzech kawałków liczonych
+// w różnych miejscach (horoskop, interpretacja natalna, predykcje okresowe).
+// Bez zapamiętania trzeba by je generować od nowa na jednej stronie.
+//
+// localStorage, tak jak reszta stanu (PRE-21/22) — serwer zostaje bezstanowy.
+(function () {
+  'use strict';
+
+  var KEY = 'astrololo.natal.v1';
+
+  function read() {
+    try {
+      var v = JSON.parse(localStorage.getItem(KEY) || 'null');
+      return (v && typeof v === 'object' && v.text) ? v : null;
+    } catch (e) {
+      return null;                     // uszkodzony wpis nie może zablokować strony
+    }
+  }
+
+  function clear() {
+    try { localStorage.removeItem(KEY); } catch (e) { /* trudno */ }
+  }
+
+  function val(sel) {
+    var el = document.querySelector(sel);
+    return el ? el.value.trim() : '';
+  }
+
+  function save() {
+    var text = val('#horoscopeText');
+    if (!text) return false;           // nie ma czego zapamiętać
+    var entry = {
+      text: text,
+      person: val('input[name=person]'),
+      date: val('input[name=date]'),
+      time: val('input[name=time]'),
+      tz_offset: val('input[name=tz_offset]'),
+      lat: val('input[name=lat]'),
+      lon: val('input[name=lon]'),
+      saved_at: new Date().toISOString()
+    };
+    try {
+      localStorage.setItem(KEY, JSON.stringify(entry));
+      return true;
+    } catch (e) {
+      return false;                    // przepełniony magazyn — zgłaszamy wyżej
+    }
+  }
+
+  function note(msg) {
+    var el = document.getElementById('natalNote');
+    if (el) el.textContent = msg;
+  }
+
+  function saveCurrent() {
+    var text = val('#horoscopeText');
+    if (!text) return;
+    if (save()) {
+      note('Interpretacja natalna zapamiętana — trafi do raportu (zakładka Skompiluj).');
+    } else {
+      // Interpretacje bywają długie; cicha strata byłaby najgorsza.
+      note('Nie udało się zapamiętać — magazyn przeglądarki pełny. '
+         + 'Usuń starsze predykcje i spróbuj ponownie.');
+    }
+  }
+
+  function ready(fn) {
+    if (document.readyState !== 'loading') fn();
+    else document.addEventListener('DOMContentLoaded', fn);
+  }
+
+  ready(function () {
+    if (!document.getElementById('natalNote')) return;    // nie ta zakładka
+
+    // 1) interpretacja policzona przez okno postępu (strumień)
+    document.addEventListener('astrololo:horoscope', function (e) {
+      if (!e.detail || e.detail.profile === 'natal') saveCurrent();
+    });
+
+    // 2) wariant bez strumienia: strona wróciła z gotowym wynikiem po zwykłym
+    //    POST. Zapis nadpisuje jeden slot, więc odświeżenie niczego nie mnoży.
+    if (document.querySelector('#horoscopeText')) saveCurrent();
+
+    var status = read();
+    if (status) {
+      note('W raporcie jest zapamiętana interpretacja natalna z '
+         + String(status.saved_at).slice(0, 10) + '.');
+    }
+  });
+
+  window.astrololoNatal = { read: read, clear: clear, key: KEY };
+})();

services/presentation/app/static/predictions.js

@@ -0,0 +1,150 @@
+// Zapamiętane predykcje okresowe (PRE-22).
+//
+// Kalendarz pozwala policzyć horoskop na wybrany okres. Partnerzy chcą kilku
+// okresów naraz — i żeby wszystkie trafiły potem do raportu (zakładka
+// „Skompiluj", PRE-23/24). Tu jest magazyn i lista.
+//
+// Trzymamy w localStorage, tak jak wspólne dane formularza (PRE-21): serwer
+// zostaje bezstanowy, żadne dane urodzeniowe ani treści z baz nie lądują po
+// stronie usługi. Zakładka „Skompiluj" odczyta to samo miejsce.
+(function () {
+  'use strict';
+
+  var KEY = 'astrololo.predictions.v1';
+
+  function read() {
+    try {
+      var v = JSON.parse(localStorage.getItem(KEY) || '[]');
+      return Array.isArray(v) ? v : [];
+    } catch (e) {
+      return [];                       // uszkodzony wpis nie może zablokować strony
+    }
+  }
+
+  function write(list) {
+    try {
+      localStorage.setItem(KEY, JSON.stringify(list));
+      return true;
+    } catch (e) {
+      return false;                    // najczęściej przepełniony magazyn
+    }
+  }
+
+  function byPeriod(a, b) {
+    return String(a.from_date).localeCompare(String(b.from_date));
+  }
+
+  // Klucz tożsamości to OKRES. Ponowne policzenie tego samego zakresu ma
+  // podmienić wpis, a nie dokładać duplikat — inaczej lista puchłaby przy
+  // każdej próbie z innym modelem.
+  function upsert(entry) {
+    var list = read().filter(function (p) {
+      return !(p.from_date === entry.from_date && p.to_date === entry.to_date);
+    });
+    list.push(entry);
+    list.sort(byPeriod);
+    return write(list) ? list : null;
+  }
+
+  function remove(id) {
+    var list = read().filter(function (p) { return p.id !== id; });
+    write(list);
+    return list;
+  }
+
+  function val(sel) {
+    var el = document.querySelector(sel);
+    return el ? el.value.trim() : '';
+  }
+
+  /** Wyciąga świeżo policzony horoskop okresowy ze strony. */
+  function capture() {
+    var text = val('#horoscopeText');
+    var from = val('input[name=from_date]');
+    var to = val('input[name=to_date]');
+    if (!text || !from || !to) return null;
+    return {
+      id: from + '..' + to,
+      from_date: from,
+      to_date: to,
+      person: val('input[name=person]'),
+      text: text,
+      saved_at: new Date().toISOString()
+    };
+  }
+
+  function fmtDate(iso) {
+    return String(iso || '').slice(0, 10);
+  }
+
+  function render() {
+    var host = document.getElementById('savedPredictions');
+    if (!host) return;
+    var list = read();
+    if (!list.length) {
+      host.innerHTML = '<p class="muted small">Brak zapamiętanych predykcji. ' +
+        'Policz horoskop na wybrany okres — zapamięta się sam i trafi do raportu.</p>';
+      return;
+    }
+    var rows = list.map(function (p) {
+      var chars = (p.text || '').length;
+      return '<tr>' +
+        '<td class="nowrap">' + fmtDate(p.from_date) + ' – ' + fmtDate(p.to_date) + '</td>' +
+        '<td class="muted small">' + fmtDate(p.saved_at) + '</td>' +
+        '<td class="muted small">' + chars.toLocaleString('pl-PL') + ' znaków</td>' +
+        '<td><button type="button" class="ghost" data-drop="' +
+          String(p.id).replace(/"/g, '&quot;') + '">Usuń</button></td>' +
+      '</tr>';
+    }).join('');
+    host.innerHTML =
+      '<div class="meta">Zapamiętane predykcje (' + list.length + ') — wejdą do raportu</div>' +
+      '<table class="angles"><thead><tr><th>Okres</th><th>Zapisano</th>' +
+      '<th>Objętość</th><th></th></tr></thead><tbody>' + rows + '</tbody></table>';
+
+    Array.prototype.forEach.call(host.querySelectorAll('[data-drop]'), function (btn) {
+      btn.addEventListener('click', function () {
+        remove(btn.getAttribute('data-drop'));
+        render();
+      });
+    });
+  }
+
+  function saveCurrent() {
+    var entry = capture();
+    if (!entry) return;
+    var note = document.getElementById('predictionsNote');
+    if (upsert(entry)) {
+      if (note) note.textContent = 'Zapamiętano predykcję ' +
+        entry.from_date + ' – ' + entry.to_date + '.';
+    } else if (note) {
+      // Horoskopy bywają długie; gdy magazyn się przepełni, trzeba powiedzieć
+      // wprost, zamiast po cichu zgubić wynik.
+      note.textContent = 'Nie udało się zapamiętać — magazyn przeglądarki pełny. ' +
+        'Usuń starsze predykcje i spróbuj ponownie.';
+    }
+    render();
+  }
+
+  function ready(fn) {
+    if (document.readyState !== 'loading') fn();
+    else document.addEventListener('DOMContentLoaded', fn);
+  }
+
+  ready(function () {
+    if (!document.getElementById('savedPredictions')) return;   // nie ta zakładka
+    render();
+
+    // 1) horoskop policzony przez okno postępu (strumień)
+    document.addEventListener('astrololo:horoscope', function (e) {
+      if (!e.detail || e.detail.profile === 'period') saveCurrent();
+    });
+
+    // 2) wariant bez strumienia: strona wróciła z gotowym wynikiem po zwykłym
+    //    POST. Zapis jest idempotentny (klucz = okres), więc odświeżenie strony
+    //    niczego nie duplikuje.
+    if (document.querySelector('#horoscopeText')) saveCurrent();
+  });
+
+  // Udostępniamy magazyn zakładce „Skompiluj" (PRE-23) — jedno źródło prawdy.
+  window.astrololoPredictions = { read: read, remove: remove, key: KEY };
+})();

services/presentation/app/static/progress.js

@@ -0,0 +1,138 @@
+// Okno postępu przy pisaniu horoskopu.
+//
+// Problem: generowanie trwa minutami, a zwykły POST formularza nie daje żadnego
+// sygnału — aplikacja wygląda na zawieszoną. Zamiast udawanego paska postępu
+// czytamy strumień RZECZYWISTYCH zdarzeń z serwera (NDJSON) i wypisujemy je
+// jako log: budowa promptu, limity modelu, każda tura generowania.
+//
+// Degradacja: jeśli przeglądarka nie umie strumieniować `fetch`, nie przechwytujemy
+// wysyłki — formularz idzie klasycznie i wszystko działa jak wcześniej, tylko bez okna.
+document.addEventListener('DOMContentLoaded', function () {
+  const canStream = typeof fetch === 'function' && typeof ReadableStream === 'function' &&
+                    typeof TextDecoder === 'function';
+  const form = document.querySelector('form[action="/interpret"], form[action="/timeline"]');
+  if (!canStream || !form) return;
+
+  const profile = form.getAttribute('action') === '/timeline' ? 'period' : 'natal';
+  const btn = form.querySelector('button[value="horoscope"]');
+  if (!btn) return;
+
+  // --- okno ---------------------------------------------------------------
+  const overlay = document.createElement('div');
+  overlay.className = 'progress-overlay';
+  overlay.hidden = true;
+  overlay.innerHTML =
+    '<div class="progress-box" role="dialog" aria-modal="true" aria-label="Postęp generowania">' +
+      '<div class="progress-head">' +
+        '<span class="progress-spinner" aria-hidden="true"></span>' +
+        '<strong id="progressTitle">Piszę horoskop…</strong>' +
+        '<span class="progress-clock" id="progressClock">0:00</span>' +
+      '</div>' +
+      '<ol class="progress-log" id="progressLog"></ol>' +
+      '<p class="muted small">Nie zamykaj tej karty — generowanie trwa na serwerze.</p>' +
+      '<div class="actions"><button type="button" class="ghost" id="progressClose" hidden>Zamknij</button></div>' +
+    '</div>';
+  document.body.appendChild(overlay);
+
+  const logEl = overlay.querySelector('#progressLog');
+  const clockEl = overlay.querySelector('#progressClock');
+  const titleEl = overlay.querySelector('#progressTitle');
+  const closeEl = overlay.querySelector('#progressClose');
+  let timer = null;
+
+  function addLine(text, kind) {
+    const li = document.createElement('li');
+    if (kind) li.className = 'log-' + kind;
+    const now = new Date();
+    li.textContent = String(now.getHours()).padStart(2, '0') + ':' +
+                     String(now.getMinutes()).padStart(2, '0') + ':' +
+                     String(now.getSeconds()).padStart(2, '0') + '  ' + text;
+    logEl.appendChild(li);
+    logEl.scrollTop = logEl.scrollHeight;
+  }
+
+  function startClock() {
+    const t0 = Date.now();
+    timer = setInterval(function () {
+      const s = Math.floor((Date.now() - t0) / 1000);
+      clockEl.textContent = Math.floor(s / 60) + ':' + String(s % 60).padStart(2, '0');
+    }, 1000);
+  }
+
+  function finish(title, allowClose) {
+    if (timer) { clearInterval(timer); timer = null; }
+    titleEl.textContent = title;
+    overlay.querySelector('.progress-spinner').style.visibility = 'hidden';
+    if (allowClose) closeEl.hidden = false;
+  }
+
+  closeEl.addEventListener('click', function () { overlay.hidden = true; });
+
+  // --- przechwycenie wysyłki ----------------------------------------------
+  btn.addEventListener('click', function (event) {
+    event.preventDefault();
+
+    if (!form.reportValidity()) return;      // te same reguły co przy zwykłej wysyłce
+
+    const data = new FormData(form);
+    data.set('profile', profile);
+
+    logEl.innerHTML = '';
+    closeEl.hidden = true;
+    overlay.querySelector('.progress-spinner').style.visibility = '';
+    titleEl.textContent = 'Piszę horoskop…';
+    overlay.hidden = false;
+    startClock();
+    addLine('Wysyłam żądanie…');
+
+    fetch('/horoscope/stream', { method: 'POST', body: data })
+      .then(function (response) {
+        if (!response.ok || !response.body) throw new Error('HTTP ' + response.status);
+        const reader = response.body.getReader();
+        const decoder = new TextDecoder();
+        let buffer = '';
+
+        function pump() {
+          return reader.read().then(function (chunk) {
+            if (chunk.done) return;
+            buffer += decoder.decode(chunk.value, { stream: true });
+            const lines = buffer.split('\n');
+            buffer = lines.pop();                       // ostatni może być niepełny
+            lines.forEach(function (raw) {
+              if (!raw.trim()) return;
+              let ev;
+              try { ev = JSON.parse(raw); } catch (e) { return; }
+              if (ev.type === 'ping') return;           // sam heartbeat, nie logujemy
+              if (ev.type === 'result') {
+                addLine(ev.message || 'Gotowe.', 'ok');
+                if (ev.html) {
+                  const host = document.getElementById('promptResult');
+                  if (host) host.innerHTML = ev.html;
+                }
+                finish('Gotowe', true);
+                overlay.hidden = true;
+                const host = document.getElementById('promptResult');
+                if (host) host.scrollIntoView({ behavior: 'smooth', block: 'start' });
+                // Gotowy horoskop ogłaszamy zdarzeniem, zamiast zapisywać go tutaj:
+                // to okno postępu, a nie magazyn. Nasłuchuje predictions.js (PRE-22).
+                document.dispatchEvent(new CustomEvent('astrololo:horoscope', {
+                  detail: { profile: profile }
+                }));
+                return;
+              }
+              addLine(ev.message || ev.type, ev.type === 'error' ? 'err'
+                                          : ev.type === 'warn' ? 'warn' : null);
+              if (ev.type === 'error') finish('Nie udało się', true);
+            });
+            return pump();
+          });
+        }
+        return pump();
+      })
+      .catch(function (e) {
+        addLine('Połączenie przerwane: ' + e.message, 'err');
+        addLine('Możesz spróbować ponownie — nic nie zostało utracone.');
+        finish('Nie udało się', true);
+      });
+  });
+});

services/presentation/app/static/styles.css

@@ -32,6 +32,42 @@ h1 { margin: 0; font-size: 2rem; letter-spacing: .5px; }
 button.ghost { background: transparent; color: var(--accent); border: 1px solid var(--line); }
 .mono { font-family: ui-monospace, SFMono-Regular, Menlo, monospace; font-size: .92em; }
 td.retro { color: #ff9b6a; font-weight: 600; }
+/* Glify astrologiczne (LOG-22). Trzy warstwy obrony przed prezentacją emoji
+   (DAN-18: kolorowe kwadraty są nieczytelne i niesterowalne kolorem):
+   1) selektor wariantu U+FE0E w samych danych (glyphs.py),
+   2) font-variant-emoji:text — nowsza własność CSS,
+   3) font-family celujący w MONOCHROMATYCZNE fonty symboli PRZED jakimkolwiek
+      fontem emoji. Bez tego macOS/Chromium i tak sięga po Apple Color Emoji dla
+      znaków zodiaku (♈–♓), mimo VS15 — potwierdzone wizualnie. „Apple Symbols",
+      „Segoe UI Symbol", „Noto Sans Symbols2" mają te glify w wersji tekstowej. */
+.glyph { font-size: 1.15em; line-height: 1; font-variant-emoji: text;
+         font-family: "Apple Symbols", "Segoe UI Symbol", "Noto Sans Symbols2",
+                      "DejaVu Sans", sans-serif; }
+td.glyph { color: var(--accent); white-space: nowrap; }
+/* Kosmogram (PRE-12) — SVG skaluje się do szerokości, ale nie rośnie w nieskończoność. */
+.wheel-fig { margin: 1.5rem 0 .5rem; text-align: center; }
+.wheel-fig svg.wheel { width: 100%; max-width: 460px; height: auto; }
+.wheel-fig figcaption { margin-top: .4rem; }
+/* glify wewnątrz SVG dziedziczą monochromatyczny stack fontów (DAN-18) */
+svg.wheel text.glyph { font-size: inherit; }
+
+/* Powiększenie na pełne okno (PRE-25). Kliknięcie rozciąga wykres na cały ekran,
+   ponowne wraca. z-index 1100 CELOWO pomiędzy: ponad kontrolki Leafleta (1000),
+   ale PONIŻEJ okna postępu (1200) — gdy trwa pisanie horoskopu, log operacji ma
+   zostać na wierzchu. */
+.wheel-fig svg.wheel { cursor: zoom-in; }
+.wheel-fig svg.wheel:focus-visible { outline: 2px solid var(--accent); outline-offset: 4px; }
+.wheel-fig.zoomed {
+  position: fixed; inset: 0; z-index: 1100; margin: 0;
+  display: flex; flex-direction: column; align-items: center; justify-content: center;
+  gap: .5rem; padding: 1rem; background: var(--bg);
+}
+/* min() po obu wymiarach: koło jest kwadratowe, więc ograniczamy je krótszym
+   bokiem okna — inaczej na szerokim ekranie wystawałoby w pionie. */
+.wheel-fig.zoomed svg.wheel {
+  max-width: min(96vw, 92vh); width: min(96vw, 92vh); height: auto; cursor: zoom-out;
+}
+body.wheel-zoom-open { overflow: hidden; }   /* nie przewijaj treści pod spodem */
 form { background: var(--panel); border: 1px solid var(--line); border-radius: 12px; padding: 1.25rem; }
 .row { display: flex; gap: .5rem; }
 .row input[type=text] { flex: 1; }
@@ -88,3 +124,43 @@ textarea.prompt { width: 100%; margin-top: .5rem; padding: .7rem .8rem; box-sizi
                   border-radius: 10px; font-family: ui-monospace, SFMono-Regular, Menlo, monospace;
                   font-size: .82rem; line-height: 1.45; resize: vertical; white-space: pre; }
 textarea.prompt:focus { outline: 2px solid var(--accent); outline-offset: 1px; }
+
+/* Okno postępu przy generowaniu horoskopu */
+/* z-index ponad Leaflet: jego kontrolki (.leaflet-top/.leaflet-bottom — zoom,
+   atrybucja) siedzą na z-index:1000 i — bo .leaflet-container nie tworzy własnego
+   kontekstu stackowania — trafiają wprost do korzenia. Przy z-index:50 mapa
+   wychodziła NA WIERZCH modala. 1200 daje zapas nad 1000. */
+.progress-overlay { position: fixed; inset: 0; background: rgba(8,9,20,.72);
+                    display: flex; align-items: center; justify-content: center;
+                    z-index: 1200; padding: 1rem; }
+.progress-overlay[hidden] { display: none; }
+.progress-box { background: var(--panel); border: 1px solid var(--line); border-radius: 14px;
+                padding: 1rem 1.1rem; width: min(38rem, 100%); box-shadow: 0 18px 48px rgba(0,0,0,.45); }
+.progress-head { display: flex; align-items: center; gap: .6rem; margin-bottom: .6rem; }
+.progress-clock { margin-left: auto; font-family: ui-monospace, Menlo, monospace;
+                  color: var(--muted); font-size: .9rem; }
+.progress-spinner { width: 14px; height: 14px; border-radius: 50%; flex: none;
+                    border: 2px solid var(--line); border-top-color: var(--accent);
+                    animation: spin .8s linear infinite; }
+@keyframes spin { to { transform: rotate(360deg); } }
+@media (prefers-reduced-motion: reduce) { .progress-spinner { animation: none; } }
+.progress-log { list-style: none; margin: 0 0 .6rem; padding: .6rem .7rem;
+                background: #12132a; border: 1px solid var(--line); border-radius: 10px;
+                max-height: 15rem; overflow-y: auto;
+                font-family: ui-monospace, Menlo, monospace; font-size: .78rem; line-height: 1.6; }
+.progress-log li { color: var(--ink); white-space: pre-wrap; }
+.progress-log li.log-ok { color: #7fd18b; }
+.progress-log li.log-warn { color: #e0c060; }
+.progress-log li.log-err { color: #ef6b6b; }
+
+/* Zakładka „Skompiluj" (PRE-23) — składanie raportu z trzech źródeł. */
+.readiness { list-style: none; margin: .3rem 0 1rem; padding: 0; }
+.readiness li { padding: .2rem 0; }
+.readiness .rdy-ok { color: #7fd18b; }
+.readiness .rdy-missing { color: #e0c060; }
+.report-head { margin: 1.5rem 0 .5rem; }
+.report-head h2 { margin: 0; font-size: 1.4rem; }
+/* Treść od AI bywa długa — white-space:pre-wrap zachowuje akapity modelu,
+   bez przepisywania ich na HTML. */
+.report-text { white-space: pre-wrap; background: var(--panel); border: 1px solid var(--line);
+               border-radius: 10px; padding: .8rem 1rem; margin-top: .4rem; line-height: 1.6; }

services/presentation/app/static/wheelzoom.js

@@ -0,0 +1,60 @@
+// Powiększanie kosmogramu na pełne okno (PRE-25).
+//
+// Koło rysujemy w kolumnie tekstu, więc na małym ekranie glify i stopnie robią
+// się nieczytelne. Kliknięcie rozciąga wykres na całe okno, ponowne wraca do
+// strony. SVG skaluje się bez utraty jakości, więc nie potrzeba drugiej wersji
+// rysunku ani żadnej biblioteki.
+//
+// Podpięte globalnie i osłonięte sprawdzeniem, czy koło w ogóle jest na stronie
+// — dzięki temu zadziała też na przyszłej zakładce „Skompiluj", bez zmian tutaj.
+(function () {
+  'use strict';
+
+  var ZOOMED = 'zoomed';
+
+  function ready(fn) {
+    if (document.readyState !== 'loading') fn();
+    else document.addEventListener('DOMContentLoaded', fn);
+  }
+
+  ready(function () {
+    var figures = document.querySelectorAll('.wheel-fig');
+    if (!figures.length) return;
+
+    Array.prototype.forEach.call(figures, function (fig) {
+      var svg = fig.querySelector('svg.wheel');
+      if (!svg) return;
+
+      // Klawiatura ma działać tak samo jak mysz — to nie jest ozdobnik, tylko
+      // jedyny sposób na obejrzenie szczegółów wykresu.
+      svg.setAttribute('tabindex', '0');
+      svg.setAttribute('role', 'button');
+      svg.setAttribute('aria-label', 'Kosmogram — kliknij, aby powiększyć na całe okno');
+
+      function toggle() {
+        var on = fig.classList.toggle(ZOOMED);
+        // Blokujemy przewijanie strony pod spodem: inaczej scroll „przecieka"
+        // na treść, której i tak nie widać.
+        document.body.classList.toggle('wheel-zoom-open', on);
+        svg.setAttribute('aria-label', on
+          ? 'Kosmogram powiększony — kliknij lub naciśnij Esc, aby wrócić'
+          : 'Kosmogram — kliknij, aby powiększyć na całe okno');
+        if (on) svg.focus();
+      }
+
+      svg.addEventListener('click', toggle);
+      svg.addEventListener('keydown', function (e) {
+        if (e.key === 'Enter' || e.key === ' ') { e.preventDefault(); toggle(); }
+      });
+
+      // Klik w tło (poza samym rysunkiem) też zamyka — naturalne dla nakładki.
+      fig.addEventListener('click', function (e) {
+        if (e.target === fig && fig.classList.contains(ZOOMED)) toggle();
+      });
+
+      document.addEventListener('keydown', function (e) {
+        if (e.key === 'Escape' && fig.classList.contains(ZOOMED)) toggle();
+      });
+    });
+  });
+})();

services/presentation/app/templates/_prompt_block.html

@@ -1,3 +1,6 @@
+{# Katalog modeli wstrzykiwany przez handler — pole jest tekstowe, więc
+   można wpisać dowolny model, do którego konto ma dostęp. #}
+<script type="application/json" id="llmCatalog">{{ llm_catalog | tojson }}</script>
 {# Wspólny blok: sterowanie generowaniem + prompt (LOG-29/30) + horoskop (LOG-31).
    Używany na ekranach Interpretacje i Kalendarz. #}
 <div class="opts">
@@ -7,80 +10,30 @@
       <option value="concise" {{ 'selected' if pb == 'concise' else '' }}>zwięzły (~4 tys. znaków)</option>
       <option value="medium" {{ 'selected' if pb == 'medium' else '' }}>średni (~12 tys.)</option>
       <option value="extensive" {{ 'selected' if pb == 'extensive' else '' }}>obszerny (~30 tys.)</option>
+      <option value="huge" {{ 'selected' if pb == 'huge' else '' }}>bardzo obszerny (~120 tys.)</option>
+      <option value="max" {{ 'selected' if pb == 'max' else '' }}>maksymalny kontekst modelu</option>
     </select>
   </label>
-  <label>Model
-    <select name="llm_provider">
+  <label>Dostawca
+    <select name="llm_provider" id="llmProvider">
       {% set lp = form.llm_provider or 'local' %}
       <option value="local" {{ 'selected' if lp == 'local' else '' }}>lokalny — nic nie opuszcza sieci</option>
       <option value="anthropic" {{ 'selected' if lp == 'anthropic' else '' }}>Anthropic — dane wychodzą</option>
       <option value="openai" {{ 'selected' if lp == 'openai' else '' }}>OpenAI — dane wychodzą</option>
     </select>
   </label>
+  <label>Model
+    <input type="text" name="llm_model" id="llmModel" list="llmModelList"
+           value="{{ form.llm_model or '' }}" placeholder="domyślny dostawcy"
+           autocomplete="off">
+    <datalist id="llmModelList"></datalist>
+  </label>
 </div>
+<p class="muted small" id="llmModelHint"></p>
 <p class="muted small">
   Prompt zawiera <strong>oryginalne opisy z baz</strong> oraz dane urodzeniowe. Model lokalny
   przetwarza je u nas; wybór dostawcy w chmurze oznacza, że ta treść <strong>opuszcza naszą
   sieć</strong>. Możesz najpierw obejrzeć prompt, a dopiero potem wysłać.
 </p>
 
-{% if prompt_result %}
-  {% set st = prompt_result.stats %}
-
-  {# --- wynik: napisany horoskop (LOG-31) + transparentność (PRE-15) --- #}
-  {% if prompt_result.horoscope %}
-    <div class="meta">
-      Horoskop napisany przez: <strong>{{ prompt_result.provider }}</strong> ·
-      model: {{ prompt_result.model }}
-      {% if prompt_result.usage and prompt_result.usage.completion_tokens %}
-        · tokeny odpowiedzi: {{ prompt_result.usage.completion_tokens }}
-      {% endif %}
-      {% if prompt_result.leaves_lan %}
-        · <strong class="retro">dane opuściły sieć</strong>
-      {% else %}
-        · dane nie opuściły sieci
-      {% endif %}
-    </div>
-    <div class="actions">
-      <button type="button" class="ghost" data-copy="#horoscopeText">Kopiuj horoskop</button>
-    </div>
-    <textarea id="horoscopeText" class="prompt" rows="20" readonly>{{ prompt_result.horoscope }}</textarea>
-    <p class="muted small">
-      Treść wygenerował model językowy na podstawie {{ st.included }} wskazań z baz.
-      <strong>Nie stanowi porady medycznej, prawnej ani finansowej.</strong>
-    </p>
-  {% endif %}
-
-  {% if prompt_result.llm_error %}
-    <div class="error">
-      Nie udało się napisać horoskopu: {{ prompt_result.llm_error }}<br>
-      Prompt poniżej jest gotowy — możesz go skopiować i użyć ręcznie.
-    </div>
-  {% endif %}
-
-  {# --- prompt: zawsze dostępny do podglądu i skopiowania --- #}
-  <div class="meta">
-    Prompt · {{ st.chars }} znaków (~{{ st.est_tokens }} tokenów) ·
-    budżet: {{ st.budget }} ·
-    wskazań: <strong>{{ st.included }}</strong>
-    {% if st.omitted %}· pominięto: <strong>{{ st.omitted }}</strong>{% endif %}
-    {% if st.deduplicated %}· scalono powtórek: {{ st.deduplicated }}{% endif %}
-  </div>
-
-  {% if st.omitted %}
-    <p class="muted small">
-      Pominięto {{ st.omitted }} najsłabszych wskazań (próg wagi {{ st.min_score_included }}).
-      Chcesz komplet — wybierz obszerniejszy budżet i wygeneruj ponownie.
-    </p>
-  {% endif %}
-
-  {% if prompt_result.data_error %}
-    <div class="error">{{ prompt_result.data_error }} — prompt złożony z samych wyliczeń.</div>
-  {% endif %}
-
-  <div class="actions">
-    <button type="button" class="ghost" data-copy="#promptText">Kopiuj prompt</button>
-    <span class="muted small">Możesz też wkleić go samodzielnie do ChatGPT lub Claude.</span>
-  </div>
-  <textarea id="promptText" class="prompt" rows="14" readonly>{{ prompt_result.prompt }}</textarea>
-{% endif %}
+<div id="promptResult">{% include "_prompt_result.html" %}</div>

services/presentation/app/templates/_prompt_result.html

@@ -0,0 +1,80 @@
+{# Blok WYNIKU generowania (prompt/horoskop). Wydzielony, bo wstawia go także
+   okno postępu po zakończeniu strumienia — dzięki temu jest jedno źródło
+   prawdy dla wyglądu wyniku, niezależnie od drogi, którą przyszedł. #}
+{% if prompt_result %}
+  {% set st = prompt_result.stats %}
+
+  {# --- wynik: napisany horoskop (LOG-31) + transparentność (PRE-15) --- #}
+  {% if prompt_result.horoscope %}
+    <div class="meta">
+      Horoskop napisany przez: <strong>{{ prompt_result.provider }}</strong> ·
+      model: {{ prompt_result.model }}
+      {% if prompt_result.usage and prompt_result.usage.completion_tokens %}
+        · tokeny odpowiedzi: {{ prompt_result.usage.completion_tokens }}
+      {% endif %}
+      {% if prompt_result.leaves_lan %}
+        · <strong class="retro">dane opuściły sieć</strong>
+      {% else %}
+        · dane nie opuściły sieci
+      {% endif %}
+    </div>
+    <div class="actions">
+      <button type="button" class="ghost" data-copy="#horoscopeText">Kopiuj horoskop</button>
+    </div>
+    <textarea id="horoscopeText" class="prompt" rows="20" readonly>{{ prompt_result.horoscope }}</textarea>
+    <p class="muted small">
+      Treść wygenerował model językowy na podstawie {{ st.included }} wskazań z baz.
+      <strong>Nie stanowi porady medycznej, prawnej ani finansowej.</strong>
+    </p>
+  {% endif %}
+
+  {% if prompt_result.warnings %}
+    {% for w in prompt_result.warnings %}
+      <p class="muted small"><strong>Uwaga:</strong> {{ w }}</p>
+    {% endfor %}
+  {% endif %}
+
+  {% if prompt_result.token_plan %}
+    {% set tp = prompt_result.token_plan %}
+    <p class="muted small">
+      Tokeny: prompt {{ tp.prompt_tokens }} · okno modelu {{ tp.context_window }} ·
+      zarezerwowane na odpowiedź {{ tp.max_output }}
+      {% if prompt_result.usage and prompt_result.usage.turns and prompt_result.usage.turns > 1 %}
+        · odpowiedź złożona z {{ prompt_result.usage.turns }} tur (model dokańczał urwany tekst)
+      {% endif %}
+    </p>
+  {% endif %}
+
+  {% if prompt_result.llm_error %}
+    <div class="error">
+      Nie udało się napisać horoskopu: {{ prompt_result.llm_error }}<br>
+      Prompt poniżej jest gotowy — możesz go skopiować i użyć ręcznie.
+    </div>
+  {% endif %}
+
+  {# --- prompt: zawsze dostępny do podglądu i skopiowania --- #}
+  <div class="meta">
+    Prompt · {{ st.chars }} znaków (~{{ st.est_tokens }} tokenów) ·
+    budżet: {{ st.budget }} ·
+    wskazań: <strong>{{ st.included }}</strong>
+    {% if st.omitted %}· pominięto: <strong>{{ st.omitted }}</strong>{% endif %}
+    {% if st.deduplicated %}· scalono powtórek: {{ st.deduplicated }}{% endif %}
+  </div>
+
+  {% if st.omitted %}
+    <p class="muted small">
+      Pominięto {{ st.omitted }} najsłabszych wskazań (próg wagi {{ st.min_score_included }}).
+      Chcesz komplet — wybierz obszerniejszy budżet i wygeneruj ponownie.
+    </p>
+  {% endif %}
+
+  {% if prompt_result.data_error %}
+    <div class="error">{{ prompt_result.data_error }} — prompt złożony z samych wyliczeń.</div>
+  {% endif %}
+
+  <div class="actions">
+    <button type="button" class="ghost" data-copy="#promptText">Kopiuj prompt</button>
+    <span class="muted small">Możesz też wkleić go samodzielnie do ChatGPT lub Claude.</span>
+  </div>
+  <textarea id="promptText" class="prompt" rows="14" readonly>{{ prompt_result.prompt }}</textarea>
+{% endif %}

services/presentation/app/templates/base.html

@@ -5,6 +5,14 @@
   <meta name="viewport" content="width=device-width, initial-scale=1">
   <title>astrololo · {% block title %}{% endblock %}</title>
   <link rel="stylesheet" href="/static/styles.css">
+  {# Wspólne dane formularza między zakładkami (PRE-21). W <head> z `defer`
+     CELOWO: skrypty defer wykonują się w kolejności dokumentu, więc ten zdąży
+     odtworzyć współrzędne, ZANIM geo.js zbuduje mapę — mapa startuje od razu
+     we właściwym miejscu, bez przestawiania. #}
+  <script defer src="/static/formsync.js"></script>
+  {# Powiększanie kosmogramu (PRE-25) — globalnie, bo koło pojawi się też na
+     zakładce „Skompiluj"; skrypt sam sprawdza, czy jest co powiększać. #}
+  <script defer src="/static/wheelzoom.js"></script>
 </head>
 <body>
   <main>
@@ -15,6 +23,7 @@
         <a href="/interpret" class="{% block nav_interp %}{% endblock %}">Interpretacje</a>
         <a href="/timeline" class="{% block nav_timeline %}{% endblock %}">Kalendarz</a>
         <a href="/significators" class="{% block nav_sig %}{% endblock %}">Sygnifikatory</a>
+        <a href="/compile" class="{% block nav_compile %}{% endblock %}">Skompiluj</a>
       </nav>
     </header>
     {% block content %}{% endblock %}

services/presentation/app/templates/chart.html

@@ -6,6 +6,12 @@
 <p class="sub">Wpisz dane momentu i miejsca — program policzy pozycje obiektów, osie i domy (silnik efemeryd warstwy logicznej).</p>
 
 <form method="post" action="/">
+  <div class="grid">
+    <label title="Trafia do nagłówka raportu PDF (PRE-24). Nie jest nigdzie wysyłane poza aplikację ani zapisywane na serwerze.">Imię i nazwisko
+      <input type="text" name="person" autocomplete="name" placeholder="np. Jan Kowalski"
+             value="{{ form.person or '' }}">
+    </label>
+  </div>
   <div class="grid">
     <label>Data
       <input type="date" name="date" value="{{ form.date or '' }}" required>
@@ -13,8 +19,9 @@
     <label>Godzina (lokalna)
       <input type="time" name="time" value="{{ form.time or '' }}" required>
     </label>
-    <label>Strefa (offset h)
-      <input type="number" name="tz_offset" step="0.25" value="{{ form.tz_offset if form.tz_offset is not none else 0 }}">
+    <label title="Przesunięcie czasu lokalnego względem GMT/UTC. Krok 15 minut (0,25 h) — bo część stref ma przesunięcie o pół lub ćwierć godziny, np. Indie +5:30, Nepal +5:45.">Offset względem GMT (h)
+      <input type="number" name="tz_offset" step="0.25" min="-12" max="14"
+             value="{{ form.tz_offset if form.tz_offset is not none else 0 }}">
     </label>
   </div>
   <div class="grid">
@@ -47,6 +54,8 @@
   <div class="opts">
     <label><input type="checkbox" name="stations" value="true" {{ 'checked' if form.stations else '' }}>
       licz stacje planet (wolniejsze)</label>
+    <label><input type="checkbox" name="tables" value="true" {{ 'checked' if form.tables else '' }}>
+      tabele dodatkowe: żywioły, faza Księżyca, godziny planetarne (wolniejsze)</label>
   </div>
   {% if location_label %}<p class="muted small">Wstępnie wpisano lokalizację: <strong>{{ location_label }}</strong> ({{ form.lat }}, {{ form.lon }}). Zmień pola lub kliknij „Tu i teraz".</p>{% endif %}
   <div class="actions">
@@ -69,6 +78,13 @@
     {% if moment %}· moment: {{ moment }}{% endif %}
   </div>
 
+  {% if wheel_svg %}
+  <figure class="wheel-fig">
+    {{ wheel_svg | safe }}
+    <figcaption class="muted small">Kosmogram — znaki, domy, osie i obiekty. Kreska na pasie wskazuje dokładną pozycję; glif bywa odsunięty, gdy obiekty stoją ciasno. Linie aspektów w kolejnym kroku.</figcaption>
+  </figure>
+  {% endif %}
+
   {% if result.angles %}
   <table class="angles">
     <thead><tr><th>Oś</th><th>Znak</th><th>W znaku</th></tr></thead>
@@ -84,18 +100,22 @@
   <table>
     <thead>
       <tr>
+        <th title="Symbol astrologiczny (LOG-22)">Sym.</th>
         <th>Obiekt</th><th>Znak</th><th>W znaku</th><th>Dom</th><th>Kier.</th><th>Prędkość °/d</th>
+        <th title="Deklinacja — odległość od równika niebieskiego. OOB = poza zakresem Słońca">Dekl.</th>
       </tr>
     </thead>
     <tbody>
       {% for p in result.positions %}
         <tr>
+          <td class="glyph">{{ p.glyph or '' }}{% if p.sign_glyph %} {{ p.sign_glyph }}{% endif %}</td>
           <td>{{ p.name }}</td>
           <td>{{ p.sign }}</td>
           <td class="mono">{{ p.in_sign }}</td>
           <td>{{ p.house if p.house is defined else '—' }}</td>
           <td class="{{ 'retro' if p.direction == 'Rx' else '' }}">{{ p.direction }}</td>
           <td class="mono">{{ '%+.4f' | format(p.speed) }}</td>
+          <td class="mono">{% if p.declination is defined %}{{ '%+.2f°' | format(p.declination) }}{% if p.out_of_bounds %} <span class="badge" title="Out of bounds — deklinacja poza zakresem Słońca">OOB</span>{% endif %}{% else %}—{% endif %}</td>
         </tr>
       {% endfor %}
     </tbody>
@@ -136,12 +156,129 @@
     <thead><tr><th>Obiekt 1</th><th>Aspekt</th><th>Obiekt 2</th><th>Orb</th><th title="A = aplikacyjny (dokładność nastąpi), S = separacyjny (już minęła)">A/S</th></tr></thead>
     <tbody>
       {% for a in result.aspects %}
-        <tr><td>{{ a.obj1 }}</td><td>{{ a.aspect }}</td><td>{{ a.obj2 }}</td><td class="mono">{{ '%.2f'|format(a.orb) }}°</td><td>{{ a['as'] if a['as'] is defined else '—' }}</td></tr>
+        <tr><td>{{ a.obj1 }}</td><td>{% if a.glyph %}<span class="glyph">{{ a.glyph }}</span> {% endif %}{{ a.aspect }}</td><td>{{ a.obj2 }}</td><td class="mono">{{ '%.2f'|format(a.orb) }}°</td><td>{{ a['as'] if a['as'] is defined else '—' }}</td></tr>
       {% endfor %}
     </tbody>
   </table>
   {% endif %}
 
+  {# Aspekty pozazodiakalne (LOG-07): paralele deklinacji i antyscja #}
+  {% if result.parallels %}
+  <div class="meta" title="Ciała na tej samej (paralela) lub przeciwnej (kontrparalela) deklinacji — działają jak koniunkcja / opozycja poza ekliptyką">Paralele deklinacji ({{ result.parallels | length }})</div>
+  <table class="angles">
+    <thead><tr><th>Obiekt 1</th><th>Rodzaj</th><th>Obiekt 2</th><th>Orb</th><th>Dekl.</th></tr></thead>
+    <tbody>
+      {% for r in result.parallels %}
+        <tr>
+          <td>{{ r.obj1 }}</td>
+          <td>{{ 'paralela' if r.type == 'parallel' else 'kontrparalela' }}</td>
+          <td>{{ r.obj2 }}</td>
+          <td class="mono">{{ '%.2f'|format(r.orb) }}°</td>
+          <td class="mono">{{ '%+.2f'|format(r.dec1) }} / {{ '%+.2f'|format(r.dec2) }}</td>
+        </tr>
+      {% endfor %}
+    </tbody>
+  </table>
+  {% endif %}
+
+  {% if result.antiscia %}
+  <div class="meta" title="Odbicie względem osi przesileń (antyscja) lub równonocy (kontrantyscja) — punkty „dzielące” tę samą długość dnia">Antyscja ({{ result.antiscia | length }})</div>
+  <table class="angles">
+    <thead><tr><th>Obiekt 1</th><th>Rodzaj</th><th>Obiekt 2</th><th>Orb</th></tr></thead>
+    <tbody>
+      {% for r in result.antiscia %}
+        <tr>
+          <td>{{ r.obj1 }}</td>
+          <td>{{ 'antyscja' if r.type == 'antiscion' else 'kontrantyscja' }}</td>
+          <td>{{ r.obj2 }}</td>
+          <td class="mono">{{ '%.2f'|format(r.orb) }}°</td>
+        </tr>
+      {% endfor %}
+    </tbody>
+  </table>
+  {% endif %}
+
+  {% if result.tables %}
+    {% set tb = result.tables %}
+    <div class="meta">Tabele dodatkowe (LOG-23)</div>
+
+    {% set bal = tb.tally.with_modern_10_plus_asc %}
+    <table class="angles">
+      <thead><tr><th>Bilans (10 planet + Asc)</th><th colspan="4">Rozkład</th></tr></thead>
+      <tbody>
+        <tr><td>Żywioły</td>
+          {% for e, n in bal.elements.items() %}
+            <td>{{ tb.tally.labels.elements[e] }}: <strong>{{ n }}</strong></td>
+          {% endfor %}
+        </tr>
+        <tr><td>Jakości</td>
+          {% for q, n in bal.qualities.items() %}
+            <td>{{ tb.tally.labels.qualities[q] }}: <strong>{{ n }}</strong></td>
+          {% endfor %}
+          <td></td>
+        </tr>
+      </tbody>
+    </table>
+    {% if tb.tally.missing_elements or tb.tally.missing_qualities %}
+      <p class="muted small">Brak:
+        {% for e in tb.tally.missing_elements %}<strong>{{ tb.tally.labels.elements[e] }}</strong>{{ ", " if not loop.last }}{% endfor %}
+        {% for q in tb.tally.missing_qualities %}<strong>{{ tb.tally.labels.qualities[q] }}</strong>{{ ", " if not loop.last }}{% endfor %}
+      </p>
+    {% endif %}
+
+    {% if tb.moon_phase %}
+      <p class="muted small">
+        <strong>Faza Księżyca:</strong> {{ tb.moon_phase.phase_pl }} ·
+        elongacja {{ '%.2f'|format(tb.moon_phase.angle) }}° ·
+        oświetlenie {{ '%.1f'|format(tb.moon_phase.illumination * 100) }}% ·
+        {{ 'przybywa' if tb.moon_phase.waxing else 'ubywa' }}
+      </p>
+    {% endif %}
+
+    {% if tb.planetary_hours %}
+      {% set ph = tb.planetary_hours %}
+      <p class="muted small">
+        <strong>Godziny planetarne:</strong> władca dnia {{ ph.day_ruler }} ·
+        {{ ph.hour_number }}. godzina ({{ ph.period }}), władca {{ ph.hour_ruler }} ·
+        godzina trwa {{ ph.hour_length_minutes }} min
+      </p>
+    {% endif %}
+
+    {% if tb.prenatal_syzygy %}
+      {% set s = tb.prenatal_syzygy %}
+      <p class="muted small">
+        <strong>Syzygia prenatalna:</strong> {{ s.type_pl }} {{ s.when_utc }}
+        ({{ s.days_before_birth }} dni przed) w {{ s.in_sign }}
+      </p>
+    {% endif %}
+
+    {% if tb.critical_degrees %}
+      <div class="meta">Stopnie krytyczne</div>
+      <table class="angles">
+        <thead><tr><th>Obiekt</th><th>Pozycja</th><th>Uwaga</th></tr></thead>
+        <tbody>
+          {% for c in tb.critical_degrees %}
+            <tr><td>{{ c.name }}</td><td class="mono">{{ c.in_sign }}</td>
+                <td class="muted small">{{ c.flags | join('; ') }}</td></tr>
+          {% endfor %}
+        </tbody>
+      </table>
+    {% endif %}
+
+    <details class="loc">
+      <summary>Podziały: dwunastniki (D12) i nawamsa (D9)</summary>
+      <table>
+        <thead><tr><th>Obiekt</th><th>D12</th><th>D9</th></tr></thead>
+        <tbody>
+          {% for d in tb.divisional %}
+            <tr><td>{{ d.name }}</td><td class="mono">{{ d.d12_in_sign }}</td>
+                <td class="mono">{{ d.d9_in_sign }}</td></tr>
+          {% endfor %}
+        </tbody>
+      </table>
+    </details>
+  {% endif %}
+
   {% if result.cusps %}
   <details class="loc">
     <summary>Cusps domów ({{ result.house_system }})</summary>

services/presentation/app/templates/compile.html

@@ -0,0 +1,127 @@
+{% extends "base.html" %}
+{% block title %}Skompiluj{% endblock %}
+{% block nav_compile %}active{% endblock %}
+
+{% block content %}
+<p class="sub">Składa w jedno: policzony horoskop, interpretację natalną z AI oraz wszystkie
+zapamiętane predykcje okresowe. Dane pobiera z pozostałych zakładek — nie trzeba nic przepisywać.</p>
+
+{# Gotowość materiału — wypełniana po stronie przeglądarki (compile.js), bo część
+   kawałków (AI) mieszka w magazynie lokalnym, nie na serwerze. #}
+<div id="readiness"></div>
+
+<form method="post" action="/compile">
+  <div class="grid">
+    <label title="Trafia do nagłówka raportu PDF (PRE-24). Nie jest nigdzie wysyłane poza aplikację ani zapisywane na serwerze.">Imię i nazwisko
+      <input type="text" name="person" autocomplete="name" placeholder="np. Jan Kowalski"
+             value="{{ form.person or '' }}">
+    </label>
+  </div>
+  <div class="grid">
+    <label>Data
+      <input type="date" name="date" value="{{ form.date or '' }}" required>
+    </label>
+    <label>Godzina (lokalna)
+      <input type="time" name="time" value="{{ form.time or '' }}" required>
+    </label>
+    <label title="Przesunięcie czasu lokalnego względem GMT/UTC. Krok 15 minut (0,25 h) — bo część stref ma przesunięcie o pół lub ćwierć godziny, np. Indie +5:30, Nepal +5:45.">Offset względem GMT (h)
+      <input type="number" name="tz_offset" step="0.25" min="-12" max="14"
+             value="{{ form.tz_offset if form.tz_offset is not none else 0 }}">
+    </label>
+  </div>
+  <div class="grid">
+    <label>Szerokość (lat, + N)
+      <input type="number" name="lat" step="0.0001" value="{{ form.lat if form.lat is not none else 0 }}">
+    </label>
+    <label>Długość (lon, + E)
+      <input type="number" name="lon" step="0.0001" value="{{ form.lon if form.lon is not none else 0 }}">
+    </label>
+    <label>System domów
+      <select name="house_system">
+        {% set hs = form.house_system or 'whole_sign' %}
+        <option value="whole_sign" {{ 'selected' if hs == 'whole_sign' else '' }}>Whole Sign</option>
+        <option value="equal" {{ 'selected' if hs == 'equal' else '' }}>Equal</option>
+        <option value="porphyry" {{ 'selected' if hs == 'porphyry' else '' }}>Porphyry</option>
+      </select>
+    </label>
+    <label>Zodiak
+      <select name="zodiac">
+        {% set zd = form.zodiac or 'tropical' %}
+        <option value="tropical" {{ 'selected' if zd == 'tropical' else '' }}>Tropikalny</option>
+        <option value="sidereal_lahiri" {{ 'selected' if zd == 'sidereal_lahiri' else '' }}>Syderyczny (Lahiri)</option>
+        <option value="sidereal_fagan_bradley" {{ 'selected' if zd == 'sidereal_fagan_bradley' else '' }}>Syderyczny (Fagan-Bradley)</option>
+        <option value="sidereal_krishnamurti" {{ 'selected' if zd == 'sidereal_krishnamurti' else '' }}>Syderyczny (Krishnamurti)</option>
+        <option value="draconic" {{ 'selected' if zd == 'draconic' else '' }}>Draconic</option>
+      </select>
+    </label>
+  </div>
+  <div class="actions">
+    <button type="submit">Złóż podsumowanie</button>
+    <button type="button" id="pdfBtn" class="ghost"
+            title="Generuje plik pośredni LaTeXa i kompiluje go do PDF (usługa render)">Pobierz PDF</button>
+    <span id="pdfNote" class="muted small"></span>
+  </div>
+</form>
+
+{% if error %}<div class="error">{{ error }}</div>{% endif %}
+
+{% if result %}
+  {# ── 1. Nagłówek: kto ──────────────────────────────────────────────── #}
+  <div class="report-head">
+    <h2 id="reportPerson">{{ form.person or 'Bez podanego imienia' }}</h2>
+    <p class="muted small">
+      {{ form.date }} {{ form.time }} · offset {{ form.tz_offset }} h względem GMT ·
+      {{ '%.4f'|format(form.lat|float) }}, {{ '%.4f'|format(form.lon|float) }}
+      {% if moment %}· {{ moment }}{% endif %}
+    </p>
+  </div>
+
+  {# ── 2. Kosmogram ─────────────────────────────────────────────────── #}
+  {% if wheel_svg %}
+  <figure class="wheel-fig">
+    {{ wheel_svg | safe }}
+    <figcaption class="muted small">Kosmogram — kliknij, aby powiększyć.</figcaption>
+  </figure>
+  {% endif %}
+
+  {# ── 3. Dane policzone ────────────────────────────────────────────── #}
+  <div class="meta">Horoskop · silnik {{ result.engine }}
+    {% if result.house_system %}· domy {{ result.house_system }}{% endif %}
+    {% if result.zodiac %}· zodiak {{ result.zodiac }}{% endif %}</div>
+  <table>
+    <thead><tr><th>Sym.</th><th>Obiekt</th><th>Znak</th><th>W znaku</th><th>Dom</th><th>Kier.</th></tr></thead>
+    <tbody>
+      {% for p in result.positions %}
+        <tr>
+          <td class="glyph">{{ p.glyph or '' }}{% if p.sign_glyph %} {{ p.sign_glyph }}{% endif %}</td>
+          <td>{{ p.name }}</td><td>{{ p.sign }}</td><td class="mono">{{ p.in_sign }}</td>
+          <td>{{ p.house if p.house is defined else '—' }}</td>
+          <td class="{{ 'retro' if p.direction == 'Rx' else '' }}">{{ p.direction }}</td>
+        </tr>
+      {% endfor %}
+    </tbody>
+  </table>
+
+  {% if result.angles %}
+  <table class="angles">
+    <thead><tr><th>Oś</th><th>Znak</th><th>W znaku</th></tr></thead>
+    <tbody>
+      {% for key in ["Asc", "MC", "Dsc", "IC"] %}
+        {% set a = result.angles[key] %}
+        <tr><td>{{ a.name }}</td><td>{{ a.sign }}</td><td class="mono">{{ a.in_sign }}</td></tr>
+      {% endfor %}
+    </tbody>
+  </table>
+  {% endif %}
+
+  {# ── 4. i 5. Części od AI — wstawia przeglądarka z magazynu ───────── #}
+  <div id="reportNatal"></div>
+  <div id="reportPredictions"></div>
+{% endif %}
+
+{# Magazyny wczytujemy dla ich API odczytu. Ich własne UI samo się wyłącza —
+   każdy sprawdza, czy jego kontener jest na stronie (tu go nie ma). #}
+<script src="/static/natal.js"></script>
+<script src="/static/predictions.js"></script>
+<script src="/static/compile.js"></script>
+{% endblock %}

services/presentation/app/templates/interpret.html

@@ -6,6 +6,12 @@
 <p class="sub">Program policzy horoskop i wyszuka w bazie interpretacje pasujące do obliczeń (pierwsza wersja: planeta w swoim znaku).</p>
 
 <form method="post" action="/interpret">
+  <div class="grid">
+    <label title="Trafia do nagłówka raportu PDF (PRE-24). Nie jest nigdzie wysyłane poza aplikację ani zapisywane na serwerze.">Imię i nazwisko
+      <input type="text" name="person" autocomplete="name" placeholder="np. Jan Kowalski"
+             value="{{ form.person or '' }}">
+    </label>
+  </div>
   <div class="grid">
     <label>Data
       <input type="date" name="date" value="{{ form.date or '' }}" required>
@@ -13,8 +19,9 @@
     <label>Godzina (lokalna)
       <input type="time" name="time" value="{{ form.time or '' }}" required>
     </label>
-    <label>Strefa (offset h)
-      <input type="number" name="tz_offset" step="0.25" value="{{ form.tz_offset if form.tz_offset is not none else 0 }}">
+    <label title="Przesunięcie czasu lokalnego względem GMT/UTC. Krok 15 minut (0,25 h) — bo część stref ma przesunięcie o pół lub ćwierć godziny, np. Indie +5:30, Nepal +5:45.">Offset względem GMT (h)
+      <input type="number" name="tz_offset" step="0.25" min="-12" max="14"
+             value="{{ form.tz_offset if form.tz_offset is not none else 0 }}">
     </label>
     <label>Szerokość (lat)
       <input type="number" name="lat" step="0.0001" value="{{ form.lat if form.lat is not none else 0 }}">
@@ -29,6 +36,7 @@
   </div>
   {% if location_label %}<p class="muted small">Wstępnie wpisano lokalizację: <strong>{{ location_label }}</strong> ({{ form.lat }}, {{ form.lon }}). Zmień pola lub kliknij „Tu i teraz".</p>{% endif %}
   {% include "_prompt_block.html" %}
+<p class="muted small" id="natalNote"></p>
   <div class="actions">
     <button type="button" id="nowBtn" class="ghost">Tu i teraz</button>
     <button type="submit" name="action" value="report">Szukaj interpretacji</button>
@@ -90,4 +98,8 @@
 
 <script src="/static/now.js"></script>
 <script src="/static/copy.js"></script>
+<script src="/static/models.js"></script>
+<script src="/static/progress.js"></script>
+{# po progress.js — nasłuchuje zdarzenia o gotowej interpretacji (PRE-23) #}
+<script src="/static/natal.js"></script>
 {% endblock %}

services/presentation/app/templates/timeline.html

@@ -6,6 +6,12 @@
 <p class="sub">Zbiorcza oś czasu technik predykcyjnych (profekcje, solariusze, dyrekcje solar-arc) z interpretacjami z bazy dla dat.</p>
 
 <form method="post" action="/timeline">
+  <div class="grid">
+    <label title="Trafia do nagłówka raportu PDF (PRE-24). Nie jest nigdzie wysyłane poza aplikację ani zapisywane na serwerze.">Imię i nazwisko
+      <input type="text" name="person" autocomplete="name" placeholder="np. Jan Kowalski"
+             value="{{ form.person or '' }}">
+    </label>
+  </div>
   <div class="grid">
     <label>Data urodzenia
       <input type="date" name="date" value="{{ form.date or '' }}" required>
@@ -13,8 +19,9 @@
     <label>Godzina (lokalna)
       <input type="time" name="time" value="{{ form.time or '' }}" required>
     </label>
-    <label>Strefa (offset h)
-      <input type="number" name="tz_offset" step="0.25" value="{{ form.tz_offset if form.tz_offset is not none else 0 }}">
+    <label title="Przesunięcie czasu lokalnego względem GMT/UTC. Krok 15 minut (0,25 h) — bo część stref ma przesunięcie o pół lub ćwierć godziny, np. Indie +5:30, Nepal +5:45.">Offset względem GMT (h)
+      <input type="number" name="tz_offset" step="0.25" min="-12" max="14"
+             value="{{ form.tz_offset if form.tz_offset is not none else 0 }}">
     </label>
     <label>Szerokość (lat)
       <input type="number" name="lat" step="0.0001" value="{{ form.lat if form.lat is not none else 0 }}">
@@ -78,6 +85,16 @@
   {% endfor %}
 {% endif %}
 
+{# Zapamiętane predykcje okresowe (PRE-22) — materiał dla zakładki „Skompiluj" #}
+<section id="predictionsBox">
+  <div id="savedPredictions"></div>
+  <p class="muted small" id="predictionsNote"></p>
+</section>
+
 <script src="/static/now.js"></script>
 <script src="/static/copy.js"></script>
+<script src="/static/models.js"></script>
+<script src="/static/progress.js"></script>
+{# po progress.js — nasłuchuje zdarzenia, które tamten wysyła po gotowym horoskopie #}
+<script src="/static/predictions.js"></script>
 {% endblock %}

services/presentation/requirements.txt

@@ -3,3 +3,5 @@ uvicorn[standard]>=0.34
 httpx>=0.28
 jinja2>=3.1
 python-multipart>=0.0.20
+# Szyfrowanie łącza między warstwami (PRE-16): AES-256-GCM + HKDF
+cryptography>=44.0

services/presentation/tests/test_chartwheel.py

@@ -0,0 +1,195 @@
+"""Kosmogram — koło horoskopowe jako SVG (PRE-12).
+
+Sprawdzamy, że SVG jest POPRAWNY (parsuje się jako XML — inaczej wstawiony do
+strony rozjedzie render) i że niesie to, co ma nieść: pierścień 12 znaków, cztery
+osie, numery domów i obiekty. Geometria (Asc po lewej) oraz rozsuwanie ciasnych
+skupisk sprawdzone liczbowo, nie na oko.
+"""
+import pytest
+import xml.dom.minidom as minidom
+
+from app import chartwheel
+
+
+def _sample_chart(asc=128.9, mc=5.0):
+    """Minimalny wynik z warstwy logiki: osie + cuspy (whole sign) + pierścień znaków."""
+    signs = ["Aries", "Taurus", "Gemini", "Cancer", "Leo", "Virgo",
+             "Libra", "Scorpio", "Sagittarius", "Capricorn", "Aquarius", "Pisces"]
+    glyphs = ["♈", "♉", "♊", "♋", "♌", "♍", "♎", "♏", "♐", "♑", "♒", "♓"]
+    asc_sign = int(asc // 30)
+    cusps = [{"house": i + 1, "sign": signs[(asc_sign + i) % 12],
+              "decimal": (asc_sign * 30 + i * 30) % 360, "sign_glyph": glyphs[(asc_sign + i) % 12]}
+             for i in range(12)]
+    return {
+        "angles": {
+            "Asc": {"name": "Asc", "decimal": asc, "sign": signs[asc_sign]},
+            "MC": {"name": "MC", "decimal": mc},
+            "Dsc": {"name": "Dsc", "decimal": (asc + 180) % 360},
+            "IC": {"name": "IC", "decimal": (mc + 180) % 360},
+        },
+        "cusps": cusps,
+        "sign_glyphs": [{"sign": s, "glyph": g} for s, g in zip(signs, glyphs)],
+    }
+
+
+def _rendered():
+    return chartwheel.render(_sample_chart())
+
+
+def test_output_is_well_formed_xml():
+    """Wstawiamy surowy SVG do strony — musi być poprawnym XML, bo inaczej
+    zepsuje cały dokument."""
+    svg = _rendered().replace("var(--line)", "#000").replace(
+        "var(--accent)", "#000").replace("var(--muted)", "#000")
+    doc = minidom.parseString(svg)                 # rzuci wyjątkiem, gdy błędny
+    assert doc.documentElement.tagName == "svg"
+
+
+def test_has_twelve_sign_glyphs():
+    assert _rendered().count('class="glyph"') == 12
+
+
+def test_has_all_four_axis_labels():
+    svg = _rendered()
+    for label in (">AC<", ">DC<", ">MC<", ">IC<"):
+        assert label in svg
+
+
+def test_has_house_numbers_one_to_twelve():
+    svg = _rendered()
+    for h in range(1, 13):
+        assert f">{h}<" in svg
+
+
+def test_ascendant_is_on_the_left():
+    """Konwencja: Asc po lewej. Sprawdzamy oś AC–DC liczbowo — punkt Asc musi mieć
+    x wyraźnie mniejszy od środka (220), a Dsc większy."""
+    chart = _sample_chart(asc=128.9)
+    asc = chart["angles"]["Asc"]["decimal"]
+    ax, ay = chartwheel._pt(asc, asc, chartwheel.R_ZOD)
+    dx, dy = chartwheel._pt(asc + 180, asc, chartwheel.R_ZOD)
+    assert ax < chartwheel._CX - 100, "Asc powinien być po lewej"
+    assert dx > chartwheel._CX + 100, "Dsc powinien być po prawej"
+    assert abs(ay - chartwheel._CY) < 1e-6, "oś Asc–Dsc jest pozioma"
+
+
+def test_longitude_increases_counterclockwise():
+    """Asc+90° (II dom) ląduje na DOLE koła (y > środek, bo w SVG y rośnie w dół)."""
+    asc = 100.0
+    _, y = chartwheel._pt(asc + 90, asc, chartwheel.R_ZOD)
+    assert y > chartwheel._CY + 100
+
+
+def test_empty_when_no_angles():
+    """Silnik bez osi/domów (brak sidereal) → brak koła, nie wyjątek."""
+    assert chartwheel.render({"positions": []}) == ""
+    assert chartwheel.render({"angles": {}, "cusps": [], "sign_glyphs": []}) == ""
+
+
+# ───────────────────────── rozsuwanie nakładających się obiektów ─────────
+
+# Prawdziwe długości z horoskopu referencyjnego (1984-04-30, Kraków), w kolejności
+# DEFAULT_OBJECTS. Merkury i Wenus dzieli 0,41°, Wenus i Księżyc 3,68° — bez
+# rozsuwania glify rysują się jeden na drugim.
+_REAL = [40.210, 31.449, 27.355, 27.767, 234.520, 282.962, 223.306,
+         252.811, 271.220, 210.477, 68.158, 248.158, 345.667]
+
+
+def _min_gap(angles):
+    s = sorted(a % 360.0 for a in angles)
+    return min((s[(i + 1) % len(s)] - s[i]) % 360.0 for i in range(len(s)))
+
+
+def test_spread_separates_real_chart_cluster():
+    """REGRESJA: przy liczeniu odstępu modulo 360 przesunięcie, które przerzucało
+    obiekt ZA sąsiada, dawało lukę ~359,9° zamiast ujemnej — algorytm uznawał, że
+    jest luzem, i kończył z Wenus dokładnie na Księżycu (0,3 px od siebie)."""
+    out = chartwheel.spread(_REAL)
+    assert _min_gap(out) >= chartwheel.MIN_SEP - 1e-6
+
+
+def test_spread_preserves_order():
+    out = chartwheel.spread(_REAL)
+    by_new = [i for i, _ in sorted(enumerate(out), key=lambda p: p[1])]
+    by_old = [i for i, _ in sorted(enumerate(_REAL), key=lambda p: p[1] % 360.0)]
+    assert by_new == by_old
+
+
+def test_spread_leaves_roomy_objects_untouched():
+    """Obiekty, które nikomu nie wchodzą w drogę, mają zostać na swoim miejscu —
+    wykres ma kłamać jak najmniej."""
+    out = chartwheel.spread(_REAL)
+    node = _REAL.index(68.158)                      # Węzeł Płn. — 28° od najbliższego
+    assert out[node] == pytest.approx(_REAL[node], abs=1e-6)
+
+
+def test_spread_handles_wrap_around_zero():
+    """Skupisko na styku 0/360° też musi się rozsunąć."""
+    out = chartwheel.spread([358.0, 359.0, 1.0, 2.0])
+    assert _min_gap(out) >= chartwheel.MIN_SEP - 1e-6
+
+
+def test_spread_falls_back_to_even_layout_when_impossible():
+    """Gdy obiektów jest tyle, że min. odstęp się nie zmieści — rozkładamy równo,
+    zamiast kręcić się w pętli."""
+    many = [10.0] * 60                              # 60 × 8° = 480° > 360°
+    out = chartwheel.spread(many)
+    assert _min_gap(out) == pytest.approx(360.0 / 60, abs=1e-6)
+
+
+def test_spread_single_object_is_identity():
+    assert chartwheel.spread([42.0]) == [42.0]
+
+
+# ─────────────────────────────── obiekty na kole ─────────────────────────
+
+def _chart_with_objects():
+    chart = _sample_chart()
+    chart["positions"] = [
+        {"name": "Sun", "decimal": 40.21, "glyph": "☉", "direction": "D"},
+        {"name": "Moon", "decimal": 31.45, "glyph": "☽", "direction": "D"},
+        {"name": "Venus", "decimal": 27.77, "glyph": "♀", "direction": "D"},
+        {"name": "Mercury", "decimal": 27.36, "glyph": "☿", "direction": "Rx"},
+    ]
+    return chart
+
+
+def test_all_objects_are_drawn():
+    svg = chartwheel.render(_chart_with_objects())
+    for glyph in ("☉", "☽", "♀", "☿"):
+        assert glyph in svg
+
+
+def test_degree_in_sign_is_labelled():
+    """Stopień W ZNAKU (nie długość absolutna): Słońce 40,21° → 10 Byka."""
+    svg = chartwheel.render(_chart_with_objects())
+    assert ">10<" in svg                            # Słońce
+    assert ">1<" in svg                             # Księżyc (31,45 → 1 Byka)
+
+
+def test_retrograde_is_marked():
+    svg = chartwheel.render(_chart_with_objects())
+    assert "℞" in svg
+
+
+def test_no_retrograde_marker_when_all_direct():
+    chart = _chart_with_objects()
+    for p in chart["positions"]:
+        p["direction"] = "D"
+    assert "℞" not in chartwheel.render(chart)
+
+
+def test_objects_without_longitude_are_skipped():
+    """Niekompletny obiekt nie może wywalić całego rysunku."""
+    chart = _chart_with_objects()
+    chart["positions"].append({"name": "Broken", "glyph": "?"})
+    svg = chartwheel.render(chart)
+    assert svg and "☉" in svg
+
+
+def test_empty_when_cusps_lack_longitude():
+    """Starsze wyniki bez `decimal` w cuspach — degradujemy do pustego, nie sypiemy."""
+    chart = _sample_chart()
+    for c in chart["cusps"]:
+        del c["decimal"]
+    assert chartwheel.render(chart) == ""

services/presentation/tests/test_client_auth.py

@@ -0,0 +1,158 @@
+"""Niezmiennik: KAŻDE wyjście HTTP w dół niesie token międzywarstwowy (LOG-32)
+oraz klucz szyfrujący łącze (PRE-16).
+
+Powód istnienia tego testu: token dodano do klienta na gałęzi, która odbiła się od
+mastera zanim powstały metody `prompt()` i `horoscope()`. Git zmergował obie zmiany
+czysto (różne linie), ale nowe metody wyszły BEZ tokenu — i dostawały 401 dopiero na
+produkcji. Zwykły test jednej metody by tego nie złapał, więc sprawdzamy regułę
+strukturalnie.
+
+Po dołożeniu szyfrowania ta sama klasa błędu ma gorszy objaw: wywołanie bez `link=`
+nie wywala się widocznie, tylko po cichu wysyła treść JAWNYM tekstem. Dlatego dla
+wywołań przez `link_crypto` wymagamy obu argumentów naraz.
+"""
+import ast
+import pathlib
+
+CLIENT = pathlib.Path(__file__).resolve().parents[1] / "app" / "clients" / "logic_client.py"
+
+HTTP_VERBS = ("post", "get", "put", "patch", "delete")
+# Wszystkie drogi w dół przez link_crypto — także strumień postępu (stream_lines),
+# który dołożono po scaleniu okna postępu z szyfrowaniem. Każda musi nieść i token,
+# i klucz łącza.
+LINK_CALLS = ("call", "call_json", "stream_lines")
+
+
+def _http_calls(path: pathlib.Path) -> list[tuple[str, int, bool, bool]]:
+    """(opis, linia, czy_ma_headers, czy_wymaga_i_ma_link) dla każdego wyjścia w dół."""
+    tree = ast.parse(path.read_text(encoding="utf-8"))
+    out = []
+    for node in ast.walk(tree):
+        if not isinstance(node, ast.Call) or not isinstance(node.func, ast.Attribute):
+            continue
+        target = node.func.value
+        has_headers = any(kw.arg == "headers" for kw in node.keywords)
+        has_link = any(kw.arg == "link" for kw in node.keywords)
+
+        if (node.func.attr in HTTP_VERBS
+                and isinstance(target, ast.Name) and target.id == "client"):
+            # Surowe wywołanie httpx — omija szyfrowanie, więc dopuszczalne tylko
+            # dla ścieżek wyjętych spod niego (patrz link_crypto.PUBLIC_PATHS).
+            out.append((f"client.{node.func.attr}()", node.lineno, has_headers, True))
+        elif (node.func.attr in LINK_CALLS
+              and isinstance(target, ast.Name) and target.id == "link_crypto"):
+            out.append((f"link_crypto.{node.func.attr}()", node.lineno, has_headers, has_link))
+    return out
+
+
+def test_client_module_exists():
+    assert CLIENT.is_file()
+
+
+def test_every_outbound_call_sends_auth_header():
+    calls = _http_calls(CLIENT)
+    assert calls, "nie znaleziono żadnego wywołania HTTP — test przestał cokolwiek pilnować"
+    missing = [f"{CLIENT.name}:{line} {what}" for what, line, ok, _ in calls if not ok]
+    assert not missing, (
+        "Wywołania w dół bez tokenu międzywarstwowego (dostaną 401 przy włączonej "
+        "ochronie): " + ", ".join(missing)
+    )
+
+
+def test_every_outbound_call_passes_link_key():
+    """Brak `link=` nie boli od razu — po prostu treść leci jawnym tekstem."""
+    calls = _http_calls(CLIENT)
+    missing = [f"{CLIENT.name}:{line} {what}" for what, line, _, ok in calls if not ok]
+    assert not missing, (
+        "Wywołania w dół bez klucza łącza — poszłyby NIEZASZYFROWANE: " + ", ".join(missing)
+    )
+
+
+def test_raw_http_calls_only_on_paths_exempt_from_encryption():
+    """Surowe `client.get/post` wolno wołać wyłącznie tam, gdzie szyfrowania nie ma
+    z założenia (`/health` dla sond k8s). Każde inne to obejście PRE-16."""
+    import re
+
+    from app import link_crypto
+
+    source = CLIENT.read_text(encoding="utf-8").splitlines()
+    offenders = []
+    for what, line, _, _ in _http_calls(CLIENT):
+        if not what.startswith("client."):
+            continue
+        url = re.search(r'f"\{self\.base_url\}([^"]*)"', source[line - 1])
+        if url is None or url.group(1) not in link_crypto.PUBLIC_PATHS:
+            offenders.append(f"{CLIENT.name}:{line} {what}")
+    assert not offenders, (
+        "Surowe wywołania HTTP poza ścieżkami wyjętymi spod szyfrowania: "
+        + ", ".join(offenders)
+    )
+
+
+def test_auth_headers_helper_is_lazy():
+    """Token czytany przy wywołaniu, nie przy imporcie — inaczej pod wystartowałby
+    z pustym tokenem, gdyby zmienna pojawiła się później."""
+    import os
+
+    from app.clients.logic_client import _auth_headers
+
+    old = os.environ.get("INTERNAL_TOKEN")
+    try:
+        os.environ["INTERNAL_TOKEN"] = "abc"
+        assert _auth_headers() == {"X-Astrololo-Token": "abc"}
+        os.environ.pop("INTERNAL_TOKEN")
+        assert _auth_headers() == {}          # ochrona wyłączona = brak nagłówka
+    finally:
+        if old is not None:
+            os.environ["INTERNAL_TOKEN"] = old
+        else:
+            os.environ.pop("INTERNAL_TOKEN", None)
+
+
+# --------------------------------------------- wybor modelu musi dojsc do logiki
+# Ta sama klasa bledu co przy tokenie: dokladajac nowa sciezke latwo zapomniec
+# przekazac parametr, a objaw (cichy powrot do modelu domyslnego) jest niewidoczny.
+
+def _calls_to(path_fragment: str) -> list[int]:
+    """Linie wywolan logic.<metoda>(...) w handlerach prezentacji."""
+    main = CLIENT.parent.parent / "main.py"
+    tree = ast.parse(main.read_text(encoding="utf-8"))
+    out = []
+    for node in ast.walk(tree):
+        if (isinstance(node, ast.Call) and isinstance(node.func, ast.Attribute)
+                and node.func.attr == path_fragment
+                and isinstance(node.func.value, ast.Name) and node.func.value.id == "logic"):
+            out.append(node.lineno)
+    return out
+
+
+def _has_kwarg(main_src: str, lineno: int, name: str) -> bool:
+    tree = ast.parse(main_src)
+    for node in ast.walk(tree):
+        if isinstance(node, ast.Call) and node.lineno == lineno:
+            return any(kw.arg == name for kw in node.keywords)
+    return False
+
+
+def test_every_llm_call_passes_selected_model():
+    main = CLIENT.parent.parent / "main.py"
+    src = main.read_text(encoding="utf-8")
+    missing = []
+    for method in ("prompt", "horoscope"):
+        for line in _calls_to(method):
+            if not _has_kwarg(src, line, "model"):
+                missing.append(f"main.py:{line} logic.{method}()")
+    assert not missing, (
+        "Wywołania bez wybranego modelu — po cichu użyją domyślnego: " + ", ".join(missing)
+    )
+
+
+def test_every_llm_call_passes_provider():
+    main = CLIENT.parent.parent / "main.py"
+    src = main.read_text(encoding="utf-8")
+    missing = []
+    for method in ("prompt", "horoscope"):
+        for line in _calls_to(method):
+            if not _has_kwarg(src, line, "provider"):
+                missing.append(f"main.py:{line} logic.{method}()")
+    assert not missing, "Wywołania bez dostawcy: " + ", ".join(missing)

services/presentation/tests/test_compile.py

@@ -0,0 +1,134 @@
+"""Zakładka „Skompiluj" — zbiorczy raport (PRE-23).
+
+Raport składa się z trzech kawałków liczonych w różnych miejscach: horoskopu
+(serwer), interpretacji natalnej i predykcji okresowych (magazyn przeglądarki).
+Pilnujemy, żeby zakładka umiała je zebrać, a przede wszystkim — żeby POWIEDZIAŁA,
+czego brakuje. Niekompletny raport, o którym dowiadujesz się dopiero z PDF-a,
+byłby najgorszym wynikiem.
+"""
+import pathlib
+
+from starlette.testclient import TestClient
+
+APP = pathlib.Path(__file__).resolve().parents[1] / "app"
+TPL = (APP / "templates" / "compile.html").read_text(encoding="utf-8")
+BASE = (APP / "templates" / "base.html").read_text(encoding="utf-8")
+JS = (APP / "static" / "compile.js").read_text(encoding="utf-8")
+NATAL_JS = (APP / "static" / "natal.js").read_text(encoding="utf-8")
+INTERPRET = (APP / "templates" / "interpret.html").read_text(encoding="utf-8")
+MAIN = (APP / "main.py").read_text(encoding="utf-8")
+
+
+def _client():
+    import os
+
+    os.environ.pop("APP_PASSWORD", None)          # bez bramki logowania w teście
+    from app.main import app
+
+    return TestClient(app)
+
+
+# ───────────────────────────────── nawigacja i trasa ─────────────────────
+
+def test_tab_is_in_the_menu():
+    assert 'href="/compile"' in BASE and "Skompiluj" in BASE
+
+
+def test_get_renders_empty_form():
+    r = _client().get("/compile")
+    assert r.status_code == 200
+    assert "Złóż podsumowanie" in r.text
+
+
+def test_routes_exist():
+    assert '@app.get("/compile"' in MAIN and '@app.post("/compile"' in MAIN
+
+
+# ─────────────────────────── kolejność w raporcie ────────────────────────
+
+def test_report_order_matches_the_brief():
+    """Prośba partnerów: najpierw imię i nazwisko, potem wprowadzone dane, potem
+    RYSUNEK kosmogramu, a dopiero po nim interpretacja natalna i predykcje."""
+    person = TPL.index('id="reportPerson"')
+    wheel = TPL.index("wheel_svg")
+    natal = TPL.index('id="reportNatal"')
+    preds = TPL.index('id="reportPredictions"')
+    assert person < wheel < natal < preds
+
+
+def test_person_name_heads_the_report():
+    assert 'id="reportPerson"' in TPL
+    assert "form.person" in TPL
+
+
+# ──────────────────────── zbieranie materiału z magazynów ────────────────
+
+def test_reads_stores_through_their_api_not_raw_storage():
+    """Format danych ma jednego właściciela — moduł, który je zapisuje.
+    Sięganie tu wprost do localStorage rozjechałoby się przy pierwszej zmianie."""
+    assert "window.astrololoNatal" in JS
+    assert "window.astrololoPredictions" in JS
+    # chodzi o brak BEZPOŚREDNIEGO dostępu, nie o samo słowo (pada w komentarzu)
+    assert "localStorage.getItem" not in JS
+    assert "localStorage.setItem" not in JS
+
+
+def test_stores_are_loaded_on_the_tab():
+    for src in ("natal.js", "predictions.js", "compile.js"):
+        assert src in TPL, f"brak {src} na zakładce"
+
+
+def test_stores_load_before_the_assembler():
+    """Szukamy TAGÓW skryptów, nie samych nazw — te padają też w komentarzach."""
+    def tag(name):
+        return TPL.index('src="/static/' + name + '"')
+
+    assert tag("natal.js") < tag("compile.js")
+    assert tag("predictions.js") < tag("compile.js")
+
+
+# ─────────────────────────── mówi, czego brakuje ─────────────────────────
+
+def test_shows_what_is_missing():
+    assert 'id="readiness"' in TPL
+    assert "rdy-missing" in JS
+    for hint in ("Interpretacje", "Kalendarz"):
+        assert hint in JS, f"brak podpowiedzi, gdzie uzupełnić: {hint}"
+
+
+def test_all_three_parts_are_checked():
+    for label in ("Policzony horoskop", "Interpretacja natalna", "Predykcje okresowe"):
+        assert label in JS
+
+
+# ───────────────────────────── natalna zapamiętywana ─────────────────────
+
+def test_natal_is_captured_on_interpret_tab():
+    assert "natal.js" in INTERPRET
+    assert 'id="natalNote"' in INTERPRET
+
+
+def test_natal_store_keeps_a_single_entry():
+    """Natalna jest JEDNA — dotyczy momentu urodzenia, nie okresu. Ponowne
+    wygenerowanie ma podmienić, nie dokładać."""
+    assert "setItem" in NATAL_JS and "push" not in NATAL_JS
+
+
+def test_natal_only_stores_natal_profile():
+    assert "'natal'" in NATAL_JS
+
+
+def test_full_storage_is_reported():
+    assert "pełny" in NATAL_JS
+
+
+# ─────────────────────────────── bezpieczeństwo ──────────────────────────
+
+def test_ai_text_is_escaped_before_injection():
+    """Treść od modelu wstawiamy do DOM — bez ucieczki byłby to wektor wstrzyknięcia."""
+    assert "function esc" in JS
+    assert "replace(/</g, '&lt;')" in JS
+
+
+def test_does_nothing_on_other_tabs():
+    assert "if (!document.getElementById('readiness')) return;" in JS

services/presentation/tests/test_formsync.py

@@ -0,0 +1,94 @@
+"""Wspólne dane formularza między zakładkami + pole imienia (PRE-21).
+
+Znów test strukturalny na źródle: synchronizacja żyje w JS, a jej awaria jest
+CICHA — formularz po prostu przestaje pamiętać dane i użytkownik wpisuje je od
+nowa. Pilnujemy więc reguł, które łatwo zgubić przy kolejnych zmianach.
+"""
+import pathlib
+
+import pytest
+
+APP = pathlib.Path(__file__).resolve().parents[1] / "app"
+TEMPLATES = APP / "templates"
+SYNC_JS = (APP / "static" / "formsync.js").read_text(encoding="utf-8")
+GEO_JS = (APP / "static" / "geo.js").read_text(encoding="utf-8")
+BASE_HTML = (TEMPLATES / "base.html").read_text(encoding="utf-8")
+MAIN_PY = (APP / "main.py").read_text(encoding="utf-8")
+
+WITH_FORM = ("chart.html", "interpret.html", "timeline.html")
+
+# Pola, które mają wędrować między zakładkami. Gdy dojdzie nowe wspólne pole,
+# ten wykaz ma się nie rozjechać z formsync.js.
+SHARED = ("person", "date", "time", "tz_offset", "lat", "lon",
+          "house_system", "zodiac", "place")
+
+
+# ─────────────────────────────── pole imienia ────────────────────────────
+
+@pytest.mark.parametrize("name", WITH_FORM)
+def test_person_field_present_on_every_form(name):
+    """Imię i nazwisko trafia do nagłówka raportu PDF (PRE-24) — musi dać się
+    je wpisać z każdej zakładki, bo dane są wspólne."""
+    html = (TEMPLATES / name).read_text(encoding="utf-8")
+    assert 'name="person"' in html, f"{name}: brak pola imienia"
+
+
+@pytest.mark.parametrize("name", WITH_FORM)
+def test_person_value_survives_submit(name):
+    """Po wysłaniu formularza pole ma pokazywać to, co wpisano — inaczej znikałoby
+    przy każdym przeliczeniu."""
+    html = (TEMPLATES / name).read_text(encoding="utf-8")
+    assert "form.person" in html, f"{name}: wartość imienia nie wraca po POST"
+
+
+def test_handlers_accept_and_echo_person():
+    """Każdy handler renderujący formularz przyjmuje `person` i wkłada go
+    z powrotem do `form` — inaczej imię znikałoby po przeliczeniu.
+    Cztery: Horoskop, Interpretacje, Kalendarz, Skompiluj (PRE-23)."""
+    assert MAIN_PY.count("person: str = Form") == 4
+    assert MAIN_PY.count('"person": person') == 4
+
+
+# ─────────────────────── synchronizacja między zakładkami ────────────────
+
+@pytest.mark.parametrize("key", SHARED)
+def test_every_shared_field_is_synced(key):
+    assert f"'{key}'" in SYNC_JS, f"pole {key} nie jest synchronizowane"
+
+
+def test_sync_script_loaded_before_map_script():
+    """KOLEJNOŚĆ MA ZNACZENIE: formsync w <head> z `defer` wykonuje się przed
+    geo.js (skrypty defer idą w kolejności dokumentu), więc mapa startuje już
+    z odtworzonymi współrzędnymi zamiast skakać po chwili."""
+    assert "formsync.js" in BASE_HTML, "formsync.js nie jest ładowany globalnie"
+    assert "defer" in BASE_HTML.split("formsync.js")[0].rsplit("<script", 1)[-1] + "defer"
+
+
+def test_sync_reacts_to_other_browser_tab():
+    """Zmiana w drugiej otwartej karcie ma dociągnąć się tutaj (zdarzenie storage)."""
+    assert "'storage'" in SYNC_JS
+
+
+def test_sync_persists_on_submit():
+    assert "'submit'" in SYNC_JS
+
+
+def test_corrupt_storage_does_not_break_the_page():
+    """Uszkodzony wpis w localStorage nie może zablokować formularza."""
+    assert "catch" in SYNC_JS and "JSON.parse" in SYNC_JS
+
+
+def test_map_changes_are_reported_to_sync():
+    """geo.js ustawia pola z KODU (`.value = ...`), co samo z siebie nie wywołuje
+    zdarzeń — bez jawnego `change` synchronizacja przegapiłaby wybór z mapy."""
+    assert "function setVal" in GEO_JS
+    assert "dispatchEvent(new Event('change'" in GEO_JS
+    # wszystkie miejsca ustawiające pola idą przez setVal
+    assert "latEl.value =" not in GEO_JS.replace("el.value = value", "")
+    assert "searchEl.value = d.name" not in GEO_JS
+
+
+def test_sync_does_not_wipe_fields_missing_on_a_tab():
+    """Zakładka bez danego pola (np. Sygnifikatory) nie może wyczyścić wartości
+    zapamiętanej z innej zakładki."""
+    assert "if (!el) return;" in SYNC_JS

services/presentation/tests/test_predictions.py

@@ -0,0 +1,91 @@
+"""Zapamiętane predykcje okresowe (PRE-22).
+
+Magazyn żyje w JS (localStorage), więc znów pilnujemy go strukturalnie. Sedno:
+predykcje mają PRZEŻYĆ przejście na inną zakładkę i trafić do raportu, a lista
+nie może puchnąć od powtórzonych prób na tym samym okresie.
+"""
+import pathlib
+
+APP = pathlib.Path(__file__).resolve().parents[1] / "app"
+JS = (APP / "static" / "predictions.js").read_text(encoding="utf-8")
+PROGRESS = (APP / "static" / "progress.js").read_text(encoding="utf-8")
+TIMELINE = (APP / "templates" / "timeline.html").read_text(encoding="utf-8")
+
+
+# ─────────────────────────────── podpięcie ───────────────────────────────
+
+def test_script_loaded_on_calendar_tab():
+    assert "predictions.js" in TIMELINE
+
+
+def test_loaded_after_progress_script():
+    """Nasłuchuje zdarzenia, które wysyła progress.js — musi być załadowany po nim,
+    inaczej przegapi pierwsze wywołanie."""
+    assert TIMELINE.index("progress.js") < TIMELINE.index("predictions.js")
+
+
+def test_calendar_has_container_for_the_list():
+    assert 'id="savedPredictions"' in TIMELINE
+
+
+def test_progress_announces_finished_horoscope():
+    """Okno postępu ogłasza gotowy horoskop zdarzeniem, zamiast samo go zapisywać
+    — to okno postępu, a nie magazyn."""
+    assert "astrololo:horoscope" in PROGRESS
+    assert "profile" in PROGRESS.split("astrololo:horoscope")[1][:200]
+
+
+# ─────────────────────────────── zachowanie ──────────────────────────────
+
+def test_only_period_horoscopes_are_stored():
+    """Interpretacja natalna ma NIE trafiać na listę predykcji okresowych."""
+    assert "'period'" in JS
+
+
+def test_same_period_replaces_instead_of_duplicating():
+    """Ponowne policzenie tego samego zakresu podmienia wpis. Inaczej lista
+    puchłaby przy każdej próbie z innym modelem."""
+    assert "function upsert" in JS
+    assert "p.from_date === entry.from_date" in JS
+    assert "p.to_date === entry.to_date" in JS
+
+
+def test_entry_carries_period_and_text():
+    for field in ("from_date", "to_date", "text", "saved_at"):
+        assert field in JS, f"wpis nie niesie pola {field}"
+
+
+def test_incomplete_result_is_not_stored():
+    """Bez tekstu albo bez dat nie ma czego zapamiętać — nie zapisujemy śmieci."""
+    assert "if (!text || !from || !to) return null;" in JS
+
+
+def test_list_can_be_pruned():
+    assert "function remove" in JS
+    assert "data-drop" in JS
+
+
+def test_full_storage_is_reported_not_swallowed():
+    """Horoskopy bywają długie. Gdy magazyn się przepełni, użytkownik musi się
+    o tym dowiedzieć, zamiast po cichu stracić wynik."""
+    assert "pełny" in JS or "pelny" in JS
+    assert "return false;" in JS
+
+
+def test_corrupt_storage_does_not_break_the_page():
+    assert "catch" in JS and "Array.isArray" in JS
+
+
+def test_storage_is_exposed_for_the_compile_tab():
+    """Zakładka „Skompiluj" (PRE-23) ma czytać to samo miejsce — jedno źródło prawdy."""
+    assert "window.astrololoPredictions" in JS
+
+
+def test_does_nothing_on_other_tabs():
+    assert "if (!document.getElementById('savedPredictions')) return;" in JS
+
+
+def test_reload_does_not_duplicate():
+    """Wariant bez strumienia zapisuje przy wczytaniu strony — klucz to okres,
+    więc odświeżenie nie mnoży wpisów."""
+    assert "id: from + '..' + to" in JS

services/presentation/tests/test_render_link.py

@@ -0,0 +1,149 @@
+"""Łącze do usługi render i wariant kosmogramu do druku (PRE-24).
+
+Przez to łącze leci CAŁY raport: dane urodzeniowe i opisy z baz. Musi być
+szyfrowane tak samo jak pozostałe, WŁASNYM kluczem — i musi obowiązywać ten sam
+niezmiennik co dla klienta logiki: żadnego wyjścia w dół bez tokenu i klucza.
+"""
+import pathlib
+
+import pytest
+
+APP = pathlib.Path(__file__).resolve().parents[1] / "app"
+CLIENT = APP / "clients" / "render_client.py"
+SRC = CLIENT.read_text(encoding="utf-8")
+WHEEL = (APP / "chartwheel.py").read_text(encoding="utf-8")
+MAIN = (APP / "main.py").read_text(encoding="utf-8")
+COMPILE_JS = (APP / "static" / "compile.js").read_text(encoding="utf-8")
+
+
+# ─────────────────────────── szyfrowanie łącza ───────────────────────────
+
+def test_uses_its_own_third_key():
+    """Osobny klucz na parę rozmówców. Przejęcie klucza renderu nie może otwierać
+    łącza do logiki ani do danych."""
+    from app import link_crypto
+
+    assert link_crypto.ENV_PRESENTATION_RENDER == "LINK_KEY_PRESENTATION_RENDER"
+    assert link_crypto.ENV_PRESENTATION_RENDER != link_crypto.ENV_PRESENTATION_LOGIC
+    assert link_crypto.ENV_PRESENTATION_RENDER != link_crypto.ENV_LOGIC_DATA
+    assert "ENV_PRESENTATION_RENDER" in SRC
+
+
+def test_report_goes_through_the_encrypted_link():
+    assert "link_crypto.call(" in SRC
+    assert "link=_link()" in SRC
+
+
+def test_every_outbound_call_carries_token_and_key():
+    """Ten sam niezmiennik co przy kliencie logiki — tam brak nagłówka wyszedł
+    dopiero na produkcji (401)."""
+    import ast
+
+    tree = ast.parse(SRC)
+    calls = [n for n in ast.walk(tree)
+             if isinstance(n, ast.Call) and isinstance(n.func, ast.Attribute)
+             and n.func.attr in ("call", "call_json")]
+    assert calls, "nie znaleziono wywołania przez link_crypto"
+    for c in calls:
+        kwargs = {k.arg for k in c.keywords}
+        assert "headers" in kwargs and "link" in kwargs
+
+
+def test_health_is_the_only_unencrypted_path():
+    """/health musi zostać otwarty dla sond k8s — ale nic poza nim."""
+    from app import link_crypto
+
+    assert "/health" in link_crypto.PUBLIC_PATHS
+    raw = [line for line in SRC.splitlines() if "client.get(" in line or "client.post(" in line]
+    assert all("/health" in line for line in raw), f"surowe wywołania poza /health: {raw}"
+
+
+def test_key_is_read_lazily():
+    """Konfiguracja może się zmienić bez restartu procesu (podmiana sekretu)."""
+    assert "def _link()" in SRC and "key_from_env" in SRC
+
+
+# ──────────────────────── kosmogram w wariancie do druku ─────────────────
+
+def test_pdf_route_uses_print_theme():
+    """Samodzielny konwerter SVG→PDF nie zna naszego arkusza stylów."""
+    assert 'chartwheel.render(chart, theme="print")' in MAIN
+
+
+def test_print_theme_has_no_css_variables():
+    """`var(--…)` w SVG poza stroną nie rozwiąże się — wyszłyby czarne albo
+    żadne kreski."""
+    from app import chartwheel
+
+    chart = _sample_chart()
+    printed = chartwheel.render(chart, theme="print")
+    assert printed and "var(--" not in printed
+
+
+def test_screen_theme_still_uses_css_variables():
+    """Na stronie koło ma się dostrajać do motywu aplikacji."""
+    from app import chartwheel
+
+    assert "var(--" in chartwheel.render(_sample_chart(), theme="screen")
+
+
+def test_print_theme_embeds_the_glyph_font():
+    """Font glifów podaje CSS klasy `.glyph` — poza stroną trzeba go wpisać
+    W SAM rysunek, inaczej kosmogram w PDF wyszedłby BEZ symboli."""
+    from app import chartwheel
+
+    printed = chartwheel.render(_sample_chart(), theme="print")
+    assert 'font-family=' in printed
+    assert "DejaVu Sans" in printed          # font obecny w obrazie usługi render
+
+
+def test_screen_theme_leaves_font_to_css():
+    from app import chartwheel
+
+    assert "font-family=" not in chartwheel.render(_sample_chart(), theme="screen")
+
+
+def test_unknown_theme_falls_back_to_screen():
+    from app import chartwheel
+
+    assert chartwheel.render(_sample_chart(), theme="cokolwiek") == \
+        chartwheel.render(_sample_chart(), theme="screen")
+
+
+# ─────────────────────────── składanie po stronie klienta ────────────────
+
+def test_browser_sends_all_three_parts():
+    for field in ("person", "natal", "predictions"):
+        assert field in COMPILE_JS, f"raport wysyłany bez części: {field}"
+
+
+def test_pdf_button_exists():
+    tpl = (APP / "templates" / "compile.html").read_text(encoding="utf-8")
+    assert 'id="pdfBtn"' in tpl
+
+
+def test_wheel_failure_does_not_block_the_report():
+    """Brak rysunku ma dać raport bez kosmogramu, a nie brak raportu — tekst
+    kosztował wywołanie modelu, rysunek policzymy zawsze."""
+    assert "wheel_svg = \"\"" in MAIN or 'wheel_svg, = ""' in MAIN
+    assert "Brak rysunku nie może zablokować raportu" in MAIN
+
+
+# ─────────────────────────────────── pomocnicze ──────────────────────────
+
+def _sample_chart():
+    signs = ["Aries", "Taurus", "Gemini", "Cancer", "Leo", "Virgo",
+             "Libra", "Scorpio", "Sagittarius", "Capricorn", "Aquarius", "Pisces"]
+    glyphs = ["♈", "♉", "♊", "♋", "♌", "♍", "♎", "♏", "♐", "♑", "♒", "♓"]
+    asc = 128.9
+    asc_sign = int(asc // 30)
+    return {
+        "angles": {"Asc": {"name": "Asc", "decimal": asc, "sign": signs[asc_sign]},
+                   "MC": {"name": "MC", "decimal": 5.0},
+                   "Dsc": {"name": "Dsc", "decimal": (asc + 180) % 360},
+                   "IC": {"name": "IC", "decimal": 185.0}},
+        "cusps": [{"house": i + 1, "sign": signs[(asc_sign + i) % 12],
+                   "decimal": (asc_sign * 30 + i * 30) % 360} for i in range(12)],
+        "sign_glyphs": [{"sign": s, "glyph": g} for s, g in zip(signs, glyphs)],
+        "positions": [{"name": "Sun", "decimal": 40.2, "glyph": "☉", "direction": "D"}],
+    }

services/presentation/tests/test_security.py

@@ -131,3 +131,71 @@ def test_rate_limit_disabled_when_zero(monkeypatch):
     monkeypatch.delenv("APP_PASSWORD", raising=False)
     client = TestClient(_app())
     assert all(client.get("/significators").status_code == 200 for _ in range(30))
+
+
+# ------------------------------------------ adres klienta za odwrotnym proxy
+#
+# Po włączeniu TLS (PRE-16) aplikacja stoi za Ingressem, więc bezpośredni peer
+# to zawsze POD proxy. Te testy pilnują obu stron kompromisu: żeby limit dalej
+# rozróżniał ludzi, a jednocześnie żeby nagłówek nie stał się furtką do jego
+# ominięcia.
+
+class _Req:
+    """Minimalny zamiennik Request — `client_ip` czyta tylko te dwa pola."""
+
+    def __init__(self, peer: str | None, **headers: str):
+        self.client = type("C", (), {"host": peer})() if peer else None
+        self.headers = {k.replace("_", "-"): v for k, v in headers.items()}
+
+
+def test_client_ip_ignores_headers_without_trust_proxy(monkeypatch):
+    """Bez TRUST_PROXY nagłówek jest bezwartościowy — każdy może go dopisać."""
+    monkeypatch.delenv("TRUST_PROXY", raising=False)
+    req = _Req("10.42.0.7", x_forwarded_for="1.2.3.4", x_real_ip="5.6.7.8")
+    assert security.client_ip(req) == "10.42.0.7"
+
+
+def test_client_ip_takes_last_forwarded_entry(monkeypatch):
+    """Ostatni wpis dopisał NASZ proxy; wcześniejsze mógł podstawić klient."""
+    monkeypatch.setenv("TRUST_PROXY", "true")
+    req = _Req("10.42.0.7", x_forwarded_for="1.1.1.1, 2.2.2.2, 192.168.1.50")
+    assert security.client_ip(req) == "192.168.1.50"
+
+
+def test_client_ip_falls_back_to_real_ip(monkeypatch):
+    monkeypatch.setenv("TRUST_PROXY", "true")
+    req = _Req("10.42.0.7", x_real_ip="192.168.1.50")
+    assert security.client_ip(req) == "192.168.1.50"
+
+
+def test_client_ip_falls_back_to_peer_when_headers_missing(monkeypatch):
+    monkeypatch.setenv("TRUST_PROXY", "true")
+    assert security.client_ip(_Req("10.42.0.7")) == "10.42.0.7"
+
+
+def test_spoofed_forwarded_header_cannot_dodge_the_limit(monkeypatch):
+    """Sedno sprawy: bez zaufania do proxy podszywanie się NIE resetuje wiadra.
+
+    Gdyby limiter brał pierwszy lepszy `X-Forwarded-For`, wystarczyłoby zmieniać
+    go co żądanie, żeby pompować bazę bez ograniczeń.
+    """
+    monkeypatch.delenv("TRUST_PROXY", raising=False)
+    monkeypatch.setenv("RATE_LIMIT_PER_MIN", "3")
+    monkeypatch.delenv("APP_PASSWORD", raising=False)
+    client = TestClient(_app())
+    codes = [client.get("/significators", headers={"X-Forwarded-For": f"9.9.9.{i}"}).status_code
+             for i in range(6)]
+    assert 429 in codes
+
+
+def test_proxied_clients_get_separate_buckets(monkeypatch):
+    """Za proxy dwie różne osoby nie mogą się nawzajem odcinać."""
+    monkeypatch.setenv("TRUST_PROXY", "true")
+    monkeypatch.setenv("RATE_LIMIT_PER_MIN", "3")
+    monkeypatch.delenv("APP_PASSWORD", raising=False)
+    client = TestClient(_app())
+    first = [client.get("/significators", headers={"X-Forwarded-For": "192.168.1.50"}).status_code
+             for _ in range(5)]
+    second = client.get("/significators", headers={"X-Forwarded-For": "192.168.1.51"})
+    assert 429 in first, "limit musi zadziałać dla pierwszego adresu"
+    assert second.status_code == 200, "drugi adres ma własne wiadro"

services/presentation/tests/test_static_js.py

@@ -0,0 +1,88 @@
+"""Poprawki zgłoszone przez partnerów: offset względem GMT i lokalizacja po
+kliknięciu „Tu i teraz" (PRE-19, PRE-20).
+
+JS-a tu nie uruchomimy, więc pilnujemy tego strukturalnie — tak samo jak
+niezmienników klienta HTTP. Obie regresje są ciche (nic się nie wywala, tylko
+formularz pokazuje nieprawdę), więc test na źródle jest tu wart więcej niż zwykle.
+"""
+import pathlib
+
+import pytest
+
+APP = pathlib.Path(__file__).resolve().parents[1] / "app"
+TEMPLATES = APP / "templates"
+GEO_JS = APP / "static" / "geo.js"
+
+WITH_OFFSET = ("chart.html", "interpret.html", "timeline.html")
+
+
+# ───────────────────────────── PRE-19: offset względem GMT ───────────────
+
+@pytest.mark.parametrize("name", WITH_OFFSET)
+def test_offset_label_says_relative_to_gmt(name):
+    """Etykieta musi mówić, WZGLĘDEM CZEGO liczymy przesunięcie."""
+    html = (TEMPLATES / name).read_text(encoding="utf-8")
+    assert "Offset względem GMT" in html, f"{name}: etykieta nie mówi o GMT"
+
+
+@pytest.mark.parametrize("name", WITH_OFFSET)
+def test_offset_step_is_quarter_hour(name):
+    """Krok 15 minut = 0,25 h. Strefy pół- i ćwierćgodzinne (Indie +5:30,
+    Nepal +5:45) są realne — przy kroku 1 h nie dało się ich ustawić."""
+    html = (TEMPLATES / name).read_text(encoding="utf-8")
+    assert 'name="tz_offset" step="0.25"' in html, f"{name}: krok inny niż 15 minut"
+
+
+@pytest.mark.parametrize("name", WITH_OFFSET)
+def test_offset_range_covers_real_zones(name):
+    html = (TEMPLATES / name).read_text(encoding="utf-8")
+    assert 'min="-12"' in html and 'max="14"' in html, f"{name}: brak sensownego zakresu stref"
+
+
+# ──────────────────── PRE-20: „Tu i teraz" odświeża nazwę miejsca ────────
+
+def _geo_source() -> str:
+    return GEO_JS.read_text(encoding="utf-8")
+
+
+def _handler_body() -> str:
+    """Ciało handlera zdarzenia astrololo:coords (wysyłanego przez „Tu i teraz").
+
+    Szukamy KONKRETNIE `addEventListener`, nie samej nazwy zdarzenia — ta pada
+    także w komentarzu nagłówkowym pliku i wtedy wycięlibyśmy komentarz zamiast
+    kodu (test przechodziłby albo padał z niewłaściwego powodu).
+    """
+    src = _geo_source()
+    start = src.index("addEventListener('astrololo:coords'")
+    end = src.index("});", start)
+    return src[start:end]
+
+
+def test_now_button_handler_refreshes_place_name():
+    """REGRESJA: po „Tu i teraz" pineska i współrzędne skakały na nowe miejsce,
+    a w polu tekstowym zostawała stara nazwa — formularz pokazywał jedno miejsce,
+    a liczył dla innego."""
+    assert "reverseName(" in _handler_body(), (
+        "handler astrololo:coords nie odświeża nazwy miejsca (reverseName)"
+    )
+
+
+def test_reverse_name_clears_field_before_lookup():
+    """Nazwa jest czyszczona ZANIM przyjdzie odpowiedź. Gdyby /reverse nie
+    odpowiedziało (brak sieci), zostałaby stara nazwa — czyli pole kłamałoby
+    o lokalizacji. Lepiej puste pole niż nieprawdziwe."""
+    src = _geo_source()
+    start = src.index("function reverseName")
+    body = src[start:src.index("\n    }", start)]
+    # sposób zapisu może się zmienić (bezpośrednie .value albo setVal, które
+    # dodatkowo zgłasza `change`) — pilnujemy KOLEJNOŚCI, nie składni
+    clear_at = max(body.find("searchEl.value = ''"), body.find("setVal(searchEl, '')"))
+    fetch_at = body.find("fetch(")
+    assert clear_at != -1, "reverseName nie czyści pola nazwy"
+    assert clear_at < fetch_at, "pole czyszczone dopiero po zapytaniu — stara nazwa zdąży zostać"
+
+
+def test_now_button_still_syncs_map():
+    """Odświeżenie nazwy nie może zastąpić przesunięcia pineski i widoku mapy."""
+    body = _handler_body()
+    assert "marker.setLatLng" in body and "map.setView" in body

services/presentation/tests/test_wheelzoom.py

@@ -0,0 +1,64 @@
+"""Powiększanie kosmogramu na pełne okno (PRE-25).
+
+Test strukturalny, jak przy pozostałych rzeczach żyjących w JS/CSS. Osobno
+pilnujemy warstwy nakładki: to jedyna liczba w tym pliku, którą łatwo zmienić
+bez zastanowienia i zepsuć coś, czego się nie widzi na pierwszy rzut oka.
+"""
+import pathlib
+import re
+
+APP = pathlib.Path(__file__).resolve().parents[1] / "app"
+JS = (APP / "static" / "wheelzoom.js").read_text(encoding="utf-8")
+CSS = (APP / "static" / "styles.css").read_text(encoding="utf-8")
+BASE = (APP / "templates" / "base.html").read_text(encoding="utf-8")
+
+
+def test_script_is_loaded_globally():
+    """Ładowane w base.html, bo koło pojawi się też na zakładce Skompiluj."""
+    assert "wheelzoom.js" in BASE
+
+
+def test_toggles_on_click():
+    assert "addEventListener('click'" in JS
+    assert "classList.toggle" in JS
+
+
+def test_closes_with_escape():
+    assert "'Escape'" in JS
+
+
+def test_reachable_from_keyboard():
+    """Bez tego jedyny sposób na obejrzenie szczegółów wykresu wymagałby myszy."""
+    assert "tabindex" in JS
+    assert "'Enter'" in JS
+
+
+def test_page_scroll_is_locked_while_zoomed():
+    """Inaczej przewijanie „przecieka" na treść pod spodem, której i tak nie widać."""
+    assert "wheel-zoom-open" in JS
+    assert re.search(r"body\.wheel-zoom-open\s*\{[^}]*overflow:\s*hidden", CSS)
+
+
+def test_zoomed_layer_sits_above_map_but_below_progress():
+    """Warstwy: kontrolki Leafleta 1000 < kosmogram < okno postępu 1200.
+    Gdy trwa pisanie horoskopu, log operacji ma zostać na wierzchu."""
+    zoom = re.search(r"\.wheel-fig\.zoomed\s*\{[^}]*z-index:\s*(\d+)", CSS)
+    progress = re.search(r"\.progress-overlay\s*\{[^}]*z-index:\s*(\d+)", CSS)
+    assert zoom and progress, "nie znaleziono warstw w CSS"
+    assert 1000 < int(zoom.group(1)) < int(progress.group(1))
+
+
+def test_zoomed_wheel_is_bounded_by_shorter_window_side():
+    """Koło jest kwadratowe — ograniczamy je krótszym bokiem okna, inaczej na
+    szerokim ekranie wystawałoby w pionie."""
+    block = re.search(r"\.wheel-fig\.zoomed svg\.wheel\s*\{[^}]*\}", CSS)
+    assert block and "vh" in block.group(0) and "vw" in block.group(0)
+
+
+def test_cursor_signals_the_affordance():
+    assert "zoom-in" in CSS and "zoom-out" in CSS
+
+
+def test_does_nothing_without_a_wheel():
+    """Na zakładkach bez kosmogramu skrypt ma po prostu wyjść."""
+    assert "if (!figures.length) return;" in JS

services/render/Dockerfile

@@ -0,0 +1,31 @@
+# Usługa render: składa raport PDF (PRE-24).
+#
+# Obraz jest CIĘŻKI (TeX Live) i właśnie dlatego stoi osobno — patrz app/main.py.
+# Dobieramy pakiety wąsko, zamiast brać texlive-full (kilka GB):
+#   texlive-xetex              — silnik XeLaTeX (unicode + fonty systemowe),
+#   texlive-latex-recommended  — geometry, graphicx,
+#   texlive-fontspec... (w xetex) — wybór fontu systemowego,
+#   fonts-dejavu-core          — polskie znaki ORAZ glify astrologiczne (♄ ♓ ☉),
+#   librsvg2-bin               — rsvg-convert: SVG kosmogramu → PDF.
+FROM python:3.12-slim
+
+ENV DEBIAN_FRONTEND=noninteractive
+RUN apt-get update && apt-get install -y --no-install-recommends \
+        texlive-xetex \
+        texlive-latex-recommended \
+        fonts-dejavu-core \
+        librsvg2-bin \
+    && rm -rf /var/lib/apt/lists/*
+
+WORKDIR /app
+COPY requirements.txt .
+RUN pip install --no-cache-dir -r requirements.txt
+COPY . .
+
+# Sprawdzenie przy budowie: brak narzędzia ma wyjść TERAZ, nie przy pierwszym
+# raporcie na produkcji.
+RUN xelatex --version > /dev/null && rsvg-convert --version > /dev/null \
+    && echo "xelatex + rsvg-convert OK"
+
+EXPOSE 8004
+CMD ["uvicorn", "app.main:app", "--host", "0.0.0.0", "--port", "8004"]

services/render/app/compile.py

@@ -0,0 +1,77 @@
+"""Kompilacja raportu do PDF (PRE-24).
+
+Dwa kroki zewnętrzne, oba w katalogu tymczasowym, który po sobie sprzątamy:
+  1. SVG kosmogramu → PDF (`rsvg-convert`). LaTeX nie wstawia SVG wprost;
+     zamiana na PDF zachowuje wektor, więc rysunek zostaje ostry przy dowolnym
+     powiększeniu.
+  2. .tex → PDF (`xelatex`).
+
+Świadomie NIE logujemy treści raportu — to dane urodzeniowe i opisy z baz.
+Do logu idzie wyłącznie ogon komunikatów LaTeXa przy błędzie, bo bez niego
+diagnoza jest niemożliwa.
+"""
+from __future__ import annotations
+
+import logging
+import pathlib
+import shutil
+import subprocess
+import tempfile
+
+from app.latex import build
+
+log = logging.getLogger("astrololo.render")
+
+WHEEL_SVG = "wheel.svg"
+WHEEL_PDF = "wheel.pdf"
+DOC = "report"
+TIMEOUT = 120          # xelatex na dużym tekście potrzebuje chwili
+
+
+class RenderError(Exception):
+    """Kompilacja się nie udała — z komunikatem nadającym się do pokazania."""
+
+
+def _run(cmd: list[str], cwd: pathlib.Path) -> subprocess.CompletedProcess:
+    return subprocess.run(cmd, cwd=cwd, capture_output=True, text=True, timeout=TIMEOUT)
+
+
+def _svg_to_pdf(svg: str, work: pathlib.Path) -> str | None:
+    """Zwraca nazwę pliku PDF z kosmogramem albo None, gdy nie ma czego rysować."""
+    if not svg or not svg.strip():
+        return None
+    (work / WHEEL_SVG).write_text(svg, encoding="utf-8")
+    proc = _run(["rsvg-convert", "-f", "pdf", "-o", WHEEL_PDF, WHEEL_SVG], work)
+    if proc.returncode != 0 or not (work / WHEEL_PDF).exists():
+        # Brak rysunku nie może wywalić całego raportu — tekst jest ważniejszy.
+        log.warning("konwersja kosmogramu nie udała się: %s", (proc.stderr or "")[-300:])
+        return None
+    return WHEEL_PDF
+
+
+def to_pdf(report: dict) -> bytes:
+    """Raport (dict) → bajty PDF. Rzuca RenderError, gdy LaTeX nie zbuduje pliku."""
+    with tempfile.TemporaryDirectory(prefix="astrololo-render-") as tmp:
+        work = pathlib.Path(tmp)
+        wheel = _svg_to_pdf(report.get("wheel_svg") or "", work)
+        (work / f"{DOC}.tex").write_text(build(report, wheel), encoding="utf-8")
+
+        proc = _run(
+            ["xelatex", "-interaction=nonstopmode", "-halt-on-error", f"{DOC}.tex"],
+            work,
+        )
+        pdf = work / f"{DOC}.pdf"
+        if not pdf.exists():
+            tail = (proc.stdout or "")[-1200:]
+            log.error("xelatex nie zbudował PDF-a; ogon logu: %s", tail)
+            raise RenderError("LaTeX nie zbudował dokumentu. Ogon logu: " + tail[-400:])
+        return pdf.read_bytes()
+
+
+def toolchain_ready() -> dict:
+    """Czy narzędzia są na miejscu — do /health, żeby awarię obrazu widzieć od razu,
+    a nie przy pierwszym raporcie."""
+    return {
+        "xelatex": bool(shutil.which("xelatex")),
+        "rsvg-convert": bool(shutil.which("rsvg-convert")),
+    }

services/render/app/latex.py

@@ -0,0 +1,131 @@
+"""Budowa dokumentu LaTeX raportu (PRE-24).
+
+Układ wg prośby partnerów:
+  1. imię i nazwisko,
+  2. wprowadzone dane,
+  3. rysunek kosmogramu,
+  4. interpretacja natalna,
+  5. predykcje okresowe.
+
+Silnik: XeLaTeX. Nie pdflatex — tekst zawiera polskie znaki ORAZ glify
+astrologiczne (♄ ♓ ☉ …), a te wymagają silnika unicode'owego z fontem systemowym.
+DejaVu Sans ma jedno i drugie, dlatego jest fontem głównym.
+"""
+from __future__ import annotations
+
+# Znaki, które w LaTeXu mają własne znaczenie.
+#
+# Odwrotnego ukośnika NIE MA na tej liście celowo. Jego zamiennik
+# (`\textbackslash{}`) sam zawiera nawiasy klamrowe, więc gdyby szedł w tej samej
+# pętli, kolejne podmiany uciekłyby nawiasy, które dopiero co wstawiliśmy —
+# i zamiast ukośnika wyszedłby dosłowny tekst `\textbackslash\{\}`. Dlatego
+# ukośnik chowamy najpierw pod znacznik zastępczy, a rozwijamy na samym końcu.
+_ESCAPES = [
+    ("{", r"\{"),
+    ("}", r"\}"),
+    ("$", r"\$"),
+    ("&", r"\&"),
+    ("#", r"\#"),
+    ("_", r"\_"),
+    ("%", r"\%"),
+    ("~", r"\textasciitilde{}"),
+    ("^", r"\textasciicircum{}"),
+]
+
+# Znak spoza tekstu użytkownika — nie da się go wpisać, więc nie da się nim
+# oszukać ucieczki.
+_BACKSLASH_MARK = "\x00astrololo-backslash\x00"
+
+
+def esc(text: object) -> str:
+    """Ucieka znaki specjalne LaTeXa.
+
+    Najgroźniejszy jest `%`: bez ucieczki komentuje RESZTĘ LINII, więc tekst od
+    modelu urwałby się w środku zdania i nikt by tego nie zauważył — PDF
+    powstałby normalnie, tylko krótszy. Dlatego to nie kosmetyka, a warunek
+    poprawności raportu.
+    """
+    out = "" if text is None else str(text)
+    out = out.replace("\\", _BACKSLASH_MARK)      # schowaj, żeby nie ucierpiał niżej
+    for ch, rep in _ESCAPES:
+        out = out.replace(ch, rep)
+    return out.replace(_BACKSLASH_MARK, r"\textbackslash{}")
+
+
+def _paragraphs(text: str) -> str:
+    """Tekst od modelu → akapity LaTeXa.
+
+    Model oddziela akapity pustą linią. Zamieniamy je na osobne akapity, a same
+    złamania wiersza w środku akapitu zostawiamy LaTeXowi do złożenia.
+    """
+    blocks = [b.strip() for b in str(text or "").split("\n\n")]
+    return "\n\n".join(esc(b).replace("\n", " ") for b in blocks if b)
+
+
+PREAMBLE = r"""\documentclass[11pt,a4paper]{article}
+\usepackage{fontspec}
+\usepackage[margin=2.4cm]{geometry}
+\usepackage{graphicx}
+% DejaVu Sans ma i polskie znaki, i glify astrologiczne — jeden font na oba
+% zadania oszczędza nam dobierania fontu zapasowego.
+\setmainfont{DejaVu Sans}
+\setlength{\parindent}{0pt}
+\setlength{\parskip}{0.6em}
+\pagestyle{plain}
+\begin{document}
+"""
+
+
+def build(report: dict, wheel_pdf: str | None = None) -> str:
+    """Składa źródło .tex. `wheel_pdf` to nazwa pliku z kosmogramem (już PDF)."""
+    person = str(report.get("person") or "").strip()
+    data = report.get("data") or {}
+    natal = report.get("natal") or {}
+    predictions = report.get("predictions") or []
+
+    parts = [PREAMBLE]
+
+    # ── 1. imię i nazwisko ──────────────────────────────────────────────
+    parts.append(r"{\Huge\bfseries " + esc(person or "Raport astrologiczny") + r"\par}")
+    parts.append(r"\vspace{0.3em}")
+
+    # ── 2. wprowadzone dane ─────────────────────────────────────────────
+    rows = [
+        ("Data urodzenia", data.get("date")),
+        ("Godzina (lokalna)", data.get("time")),
+        ("Offset względem GMT", data.get("tz_offset")),
+        ("Szerokość", data.get("lat")),
+        ("Długość", data.get("lon")),
+        ("Miejsce", data.get("place")),
+        ("System domów", data.get("house_system")),
+        ("Zodiak", data.get("zodiac")),
+    ]
+    parts.append(r"\begin{tabular}{@{}ll@{}}")
+    for label, value in rows:
+        if value not in (None, ""):
+            parts.append(esc(label) + r" & " + esc(value) + r"\\")
+    parts.append(r"\end{tabular}")
+    parts.append(r"\vspace{1em}")
+
+    # ── 3. kosmogram ────────────────────────────────────────────────────
+    if wheel_pdf:
+        parts.append(r"\begin{center}")
+        parts.append(r"\includegraphics[width=0.82\textwidth]{" + wheel_pdf + r"}")
+        parts.append(r"\end{center}")
+        parts.append(r"\vspace{0.5em}")
+
+    # ── 4. interpretacja natalna ────────────────────────────────────────
+    if natal.get("text"):
+        parts.append(r"\section*{Interpretacja natalna}")
+        parts.append(_paragraphs(natal["text"]))
+
+    # ── 5. predykcje okresowe ───────────────────────────────────────────
+    if predictions:
+        parts.append(r"\section*{Predykcje okresowe}")
+        for p in predictions:
+            span = f"{p.get('from_date', '')} – {p.get('to_date', '')}"
+            parts.append(r"\subsection*{" + esc(span) + r"}")
+            parts.append(_paragraphs(p.get("text")))
+
+    parts.append(r"\end{document}")
+    return "\n".join(parts) + "\n"

services/render/app/link_crypto.py

@@ -0,0 +1,525 @@
+"""Szyfrowanie łączy między warstwami (PRE-16 / LOG-33).
+
+Do tej pory warstwy rozmawiały ze sobą zwykłym HTTP-em wewnątrz klastra. Token
+międzywarstwowy (LOG-32) mówił KTO pyta, ale nie ukrywał CZEGO dotyczy odpowiedź
+— a płyną nią surowe wiersze oryginalnych baz interpretacyjnych, czyli rdzeń
+produktu. Kto podsłuchał ruch wewnątrz sieci (drugi pod, port mirror na switchu,
+zrzut z węzła), miał je w całości.
+
+Ten moduł zamyka tę drogę: **AES-256-GCM** na ciele każdego żądania i odpowiedzi.
+GCM daje jednocześnie poufność i uwierzytelnienie — cudzy albo podmieniony bajt
+nie odszyfruje się w ogóle, więc nie ma osobnego problemu „zaszyfrowane, ale
+podatne na modyfikację".
+
+**Dwa niezależne klucze**, po jednym na parę rozmówców:
+  * ``LINK_KEY_PRESENTATION_LOGIC`` — prezentacja ↔ logika,
+  * ``LINK_KEY_LOGIC_DATA``        — logika ↔ dane.
+Dzięki temu przejęcie klucza prezentacji nie daje dostępu do warstwy danych,
+gdzie leżą całe bazy. Logika trzyma oba, bo rozmawia w obie strony.
+
+Z każdego klucza łącza wyprowadzamy **osobne podklucze na kierunek** (HKDF).
+Żądanie i odpowiedź nigdy nie szyfrują się tym samym kluczem, więc powtórzenie
+losowej jednorazówki w jedną stronę nie osłabia drugiej.
+
+Format ramki (bo strumień odpowiedzi może iść kawałkami — patrz okno postępu):
+
+    [4 bajty długości][magia "AL1"][12 bajtów jednorazówki][szyfrogram + znacznik]
+
+Do materiału uwierzytelnianego (AAD) wchodzą kierunek, ścieżka, znacznik czasu
+i numer ramki. Skutek: ramki nie da się przekleić do innego endpointu, odtworzyć
+po czasie (dopuszczalny poślizg ``MAX_SKEW``) ani przestawić w strumieniu.
+
+Bez ustawionego klucza moduł **przepuszcza ruch otwartym tekstem** (dev, zgodność
+wstecz) i krzyczy o tym przy starcie. Gdy klucz JEST ustawiony, warstwa serwerowa
+działa fail-closed: nieszyfrowane żądanie dostaje odmowę, żeby przypadkowa
+regresja po stronie klienta nie oznaczała cichego powrotu do jawnego ruchu.
+"""
+from __future__ import annotations
+
+import base64
+import binascii
+import logging
+import os
+import struct
+import time
+from typing import Iterable, Iterator
+
+from cryptography.exceptions import InvalidTag
+from cryptography.hazmat.primitives import hashes
+from cryptography.hazmat.primitives.ciphers.aead import AESGCM
+from cryptography.hazmat.primitives.kdf.hkdf import HKDF
+
+log = logging.getLogger("astrololo.link")
+
+MAGIC = b"AL1"
+VERSION = "v1"
+NONCE_BYTES = 12
+KEY_BYTES = 32                      # AES-256
+LENGTH_PREFIX = 4
+MAX_FRAME = 64 * 1024 * 1024        # zapora przed alokacją z podanej długości
+MAX_SKEW_SECONDS = 300.0
+
+HEADER_ENC = "X-Astrololo-Enc"
+HEADER_TS = "X-Astrololo-Enc-Ts"
+CONTENT_TYPE = "application/vnd.astrololo.enc"
+
+ENV_PRESENTATION_LOGIC = "LINK_KEY_PRESENTATION_LOGIC"
+ENV_LOGIC_DATA = "LINK_KEY_LOGIC_DATA"
+# Trzecia para: prezentacja ↔ render (PRE-24). Osobny klucz, jak przy pozostałych —
+# usługa render dostaje CAŁY raport (dane urodzeniowe + opisy z baz), więc przejęcie
+# jej klucza nie może otwierać łącza do logiki ani do danych.
+ENV_PRESENTATION_RENDER = "LINK_KEY_PRESENTATION_RENDER"
+ENV_REQUIRED = "LINK_ENCRYPTION_REQUIRED"
+
+REQUEST, RESPONSE = b"req", b"res"
+
+# Sondy k8s pukają tu bez klucza i tak ma zostać — inaczej pierwsza literówka
+# w sekrecie kładłaby pody zamiast pokazać błąd w aplikacji.
+PUBLIC_PATHS = frozenset({"/health"})
+
+
+class LinkError(Exception):
+    """Cokolwiek poszło nie tak z kopertą — celowo bez szczegółów na zewnątrz."""
+
+
+# --------------------------------------------------------------------- klucze
+
+def parse_key(raw: str) -> bytes:
+    """Klucz z konfiguracji: hex (64 znaki) albo base64. Zawsze 32 bajty."""
+    text = raw.strip()
+    if not text:
+        raise LinkError("pusty klucz łącza")
+    try:
+        key = bytes.fromhex(text)
+    except ValueError:
+        try:
+            key = base64.b64decode(text, validate=True)
+        except (binascii.Error, ValueError) as exc:
+            raise LinkError("klucz łącza nie jest ani hexem, ani base64") from exc
+    if len(key) != KEY_BYTES:
+        raise LinkError(
+            f"klucz łącza ma {len(key)} B zamiast {KEY_BYTES} — wygeneruj przez "
+            f"`openssl rand -hex 32`"
+        )
+    return key
+
+
+def key_from_env(env_name: str) -> bytes | None:
+    """Klucz albo None. Zły klucz to wyjątek OD RAZU — nie przy pierwszym żądaniu."""
+    raw = os.getenv(env_name, "")
+    return parse_key(raw) if raw.strip() else None
+
+
+def encryption_required() -> bool:
+    """Czy brak klucza ma być błędem, a nie cichym powrotem do jawnego ruchu.
+
+    Serwer sam z siebie broni się fail-closed, ale to za mało: klient BEZ klucza
+    wysyła pytanie otwartym tekstem i dopiero potem dostaje odmowę — czyli treść
+    zapytania zdążyła już przelecieć przez sieć. Ta flaga zatrzymuje go, zanim
+    cokolwiek opuści proces. Ustawiana razem z kluczami we wdrożeniu.
+    """
+    return os.getenv(ENV_REQUIRED, "").strip().lower() in {"1", "true", "yes", "on"}
+
+
+def _subkey(link_key: bytes, direction: bytes) -> bytes:
+    return HKDF(
+        algorithm=hashes.SHA256(), length=KEY_BYTES, salt=None,
+        info=b"astrololo/link/" + direction,
+    ).derive(link_key)
+
+
+class Link:
+    """Jedna para rozmówców: klucz plus wyprowadzone z niego podklucze."""
+
+    def __init__(self, link_key: bytes) -> None:
+        self._by_direction = {
+            REQUEST: AESGCM(_subkey(link_key, REQUEST)),
+            RESPONSE: AESGCM(_subkey(link_key, RESPONSE)),
+        }
+
+    # ---------------------------------------------------------- pojedyncza ramka
+
+    def _aad(self, direction: bytes, path: str, stamp: str, seq: int) -> bytes:
+        return b"|".join([MAGIC, direction, path.encode("utf-8"),
+                          stamp.encode("ascii"), str(seq).encode("ascii")])
+
+    def seal(self, direction: bytes, path: str, stamp: str, seq: int,
+             plaintext: bytes) -> bytes:
+        nonce = os.urandom(NONCE_BYTES)
+        sealed = self._by_direction[direction].encrypt(
+            nonce, plaintext, self._aad(direction, path, stamp, seq))
+        return MAGIC + nonce + sealed
+
+    def open(self, direction: bytes, path: str, stamp: str, seq: int,
+             frame: bytes) -> bytes:
+        if not frame.startswith(MAGIC):
+            raise LinkError("ramka bez znacznika astrololo")
+        body = frame[len(MAGIC):]
+        if len(body) <= NONCE_BYTES:
+            raise LinkError("ramka za krótka")
+        nonce, sealed = body[:NONCE_BYTES], body[NONCE_BYTES:]
+        try:
+            return self._by_direction[direction].decrypt(
+                nonce, sealed, self._aad(direction, path, stamp, seq))
+        except InvalidTag as exc:
+            # Jeden komunikat na wszystkie przypadki: zły klucz, podmieniony bajt,
+            # przeklejenie z innej ścieżki, przestawiona ramka. Rozróżnianie ich
+            # na zewnątrz podpowiadałoby atakującemu, w co trafił.
+            raise LinkError("nie udało się odszyfrować — zły klucz albo naruszone dane") from exc
+
+    # ------------------------------------------------------------ strumień ramek
+
+    def seal_stream(self, direction: bytes, path: str, stamp: str,
+                    chunks: Iterable[bytes]) -> Iterator[bytes]:
+        for seq, chunk in enumerate(chunks):
+            yield frame_out(self.seal(direction, path, stamp, seq, chunk))
+
+    def open_stream(self, direction: bytes, path: str, stamp: str,
+                    raw: bytes) -> Iterator[bytes]:
+        for seq, frame in enumerate(frames_in(raw)):
+            yield self.open(direction, path, stamp, seq, frame)
+
+    def open_all(self, direction: bytes, path: str, stamp: str, raw: bytes) -> bytes:
+        return b"".join(self.open_stream(direction, path, stamp, raw))
+
+
+# ---------------------------------------------------------------- ramkowanie
+
+def frame_out(payload: bytes) -> bytes:
+    return struct.pack(">I", len(payload)) + payload
+
+
+def frames_in(raw: bytes) -> Iterator[bytes]:
+    """Rozbiera bufor na ramki. Ucięty strumień to błąd, nie cicha strata danych."""
+    offset = 0
+    while offset < len(raw):
+        if offset + LENGTH_PREFIX > len(raw):
+            raise LinkError("urwana ramka (brak nagłówka długości)")
+        (size,) = struct.unpack(">I", raw[offset:offset + LENGTH_PREFIX])
+        if size > MAX_FRAME:
+            raise LinkError("ramka ponad dopuszczalny rozmiar")
+        offset += LENGTH_PREFIX
+        if offset + size > len(raw):
+            raise LinkError("urwana ramka (za mało danych)")
+        yield raw[offset:offset + size]
+        offset += size
+
+
+def unframe_incremental(buffer: bytearray) -> Iterator[bytes]:
+    """Wyjmuje z bufora KOMPLETNE ramki i zjada je; resztę zostawia na później.
+
+    Dla odbioru na żywo: kawałki przychodzą podzielone dowolnie i ramka potrafi
+    rozjechać się między dwa odczyty.
+    """
+    while True:
+        if len(buffer) < LENGTH_PREFIX:
+            return
+        (size,) = struct.unpack(">I", buffer[:LENGTH_PREFIX])
+        if size > MAX_FRAME:
+            raise LinkError("ramka ponad dopuszczalny rozmiar")
+        if len(buffer) < LENGTH_PREFIX + size:
+            return
+        frame = bytes(buffer[LENGTH_PREFIX:LENGTH_PREFIX + size])
+        del buffer[:LENGTH_PREFIX + size]
+        yield frame
+
+
+# ------------------------------------------------------------- świeżość ruchu
+
+def stamp_now() -> str:
+    return f"{time.time():.3f}"
+
+
+def check_stamp(stamp: str) -> None:
+    """Odrzuca ramki spoza okna czasowego — inaczej podsłuchane żądanie dałoby się
+    odtworzyć w dowolnym momencie w przyszłości."""
+    try:
+        sent = float(stamp)
+    except (TypeError, ValueError) as exc:
+        raise LinkError("brak albo błędny znacznik czasu") from exc
+    if abs(time.time() - sent) > MAX_SKEW_SECONDS:
+        raise LinkError("znacznik czasu poza dopuszczalnym oknem")
+
+
+# =========================================================== strona serwerowa
+
+class LinkCryptoMiddleware:
+    """Rozszyfrowuje wchodzące żądania i zaszyfrowuje wychodzące odpowiedzi.
+
+    Napisane jako czyste ASGI, nie ``@app.middleware("http")``, bo trzeba
+    podmienić CIAŁO żądania jeszcze zanim zobaczy je FastAPI, oraz przepuścić
+    odpowiedź strumieniową kawałek po kawałku, bez zbierania jej w pamięci.
+    """
+
+    def __init__(self, app, link: Link | None, layer: str) -> None:
+        self.app = app
+        self.link = link
+        self.layer = layer
+
+    async def __call__(self, scope, receive, send):
+        if scope["type"] != "http" or self.link is None or scope["path"] in PUBLIC_PATHS:
+            return await self.app(scope, receive, send)
+
+        path = scope["path"]
+        headers = {k.decode("latin-1").lower(): v.decode("latin-1") for k, v in scope["headers"]}
+
+        if headers.get(HEADER_ENC.lower()) != VERSION:
+            # Fail-closed. Klucz jest ustawiony, więc jawne żądanie oznacza albo
+            # pomyłkę w konfiguracji, albo kogoś obcego — w obu wypadkach nie
+            # chcemy po cichu wrócić do jawnego ruchu.
+            log.warning("warstwa %s: odrzucone żądanie bez szyfrowania łącza (%s)",
+                        self.layer, path)
+            return await _refuse(send, "Łącze międzywarstwowe wymaga szyfrowania.")
+
+        stamp = headers.get(HEADER_TS.lower(), "")
+        try:
+            check_stamp(stamp)
+            plaintext = self.link.open_all(REQUEST, path, stamp, await _read_body(receive))
+        except LinkError as exc:
+            log.warning("warstwa %s: %s (%s)", self.layer, exc, path)
+            return await _refuse(send, "Nie udało się odczytać zaszyfrowanego żądania.")
+
+        scope = dict(scope)
+        scope["headers"] = _rewritten_headers(scope["headers"], len(plaintext))
+        await self.app(scope, _replay(plaintext, receive), self._sealing_send(send, path))
+
+    def _sealing_send(self, send, path: str):
+        state: dict = {"stamp": "", "seq": 0}
+
+        async def sealing(message):
+            if message["type"] == "http.response.start":
+                state["stamp"] = stamp_now()
+                keep = [(k, v) for k, v in message.get("headers", [])
+                        if k.lower() not in (b"content-length", b"content-type")]
+                message = dict(message)
+                message["headers"] = keep + [
+                    (b"content-type", CONTENT_TYPE.encode()),
+                    (HEADER_ENC.lower().encode(), VERSION.encode()),
+                    (HEADER_TS.lower().encode(), state["stamp"].encode()),
+                ]
+                return await send(message)
+
+            if message["type"] == "http.response.body":
+                chunk = message.get("body", b"")
+                sealed = b""
+                if chunk:
+                    sealed = frame_out(self.link.seal(
+                        RESPONSE, path, state["stamp"], state["seq"], chunk))
+                    state["seq"] += 1
+                return await send({"type": "http.response.body", "body": sealed,
+                                   "more_body": message.get("more_body", False)})
+
+            return await send(message)
+
+        return sealing
+
+
+def _rewritten_headers(raw: Iterable[tuple[bytes, bytes]], length: int):
+    """Po odszyfrowaniu ciało ma inną długość i zwykły typ — inaczej FastAPI
+    próbowałby sparsować JSON o cudzej deklarowanej wielkości."""
+    kept = [(k, v) for k, v in raw if k.lower() not in (b"content-length", b"content-type")]
+    kept.append((b"content-length", str(length).encode()))
+    if length:
+        kept.append((b"content-type", b"application/json"))
+    return kept
+
+
+async def _read_body(receive) -> bytes:
+    body = bytearray()
+    while True:
+        message = await receive()
+        if message["type"] == "http.disconnect":
+            raise LinkError("rozłączenie w trakcie odbioru żądania")
+        body += message.get("body", b"")
+        if not message.get("more_body", False):
+            return bytes(body)
+
+
+def _replay(body: bytes, original):
+    """Podstawia odszyfrowane ciało jako jedyną porcję wejścia dla aplikacji.
+
+    Po oddaniu ciała oddajemy głos ORYGINALNEMU `receive`, zamiast od razu
+    zgłaszać rozłączenie. Odpowiedź strumieniowa nasłuchuje bowiem rozłączenia
+    równolegle do wysyłania i przerywa się, gdy je zobaczy — na skróconej wersji
+    okno postępu dostawało pustą odpowiedź, choć zwykłe żądania działały.
+    """
+    delivered = False
+
+    async def receive():
+        nonlocal delivered
+        if delivered:
+            return await original()
+        delivered = True
+        return {"type": "http.request", "body": body, "more_body": False}
+
+    return receive
+
+
+async def _refuse(send, detail: str) -> None:
+    """Odmowa leci JAWNIE — rozmówca właśnie pokazał, że nie umie odszyfrować,
+    więc zaszyfrowany komunikat o błędzie byłby dla niego nieczytelny."""
+    payload = f'{{"detail":"{detail}"}}'.encode("utf-8")
+    await send({"type": "http.response.start", "status": 400, "headers": [
+        (b"content-type", b"application/json"),
+        (b"content-length", str(len(payload)).encode()),
+    ]})
+    await send({"type": "http.response.body", "body": payload})
+
+
+def install(app, env_name: str, layer: str):
+    """Podpina szyfrowanie łącza. Wołać PO `security.install`, żeby także odmowa
+    tokenowa (401) wracała zaszyfrowana — inaczej klient by jej nie odczytał."""
+    link_key = key_from_env(env_name)
+    if link_key is None and encryption_required():
+        # Celowo wywracamy start. Ta sama zasada co przy sekrecie logowania:
+        # wolimy widoczną awarię niż usługę, która wstała i po cichu nie chroni
+        # niczego. Pod w CrashLoop widać od razu, jawny ruch — nie.
+        raise LinkError(
+            f"{ENV_REQUIRED} jest włączone, ale {env_name} nie ustawiony — "
+            f"warstwa {layer} nie wystartuje bez klucza łącza"
+        )
+    if link_key is None:
+        log.warning(
+            "UWAGA: %s nie ustawiony — warstwa %s rozmawia z sąsiadem JAWNYM tekstem, "
+            "więc treść baz interpretacyjnych jest widoczna dla każdego, kto podsłucha "
+            "ruch wewnątrz sieci.", env_name, layer,
+        )
+        return None
+    link = Link(link_key)
+    app.add_middleware(LinkCryptoMiddleware, link=link, layer=layer)
+    log.info("warstwa %s: łącze szyfrowane (AES-256-GCM, klucz z %s)", layer, env_name)
+    return link
+
+
+# ============================================================ strona kliencka
+
+def call(client, method: str, url: str, *, payload=None,
+         headers: dict[str, str] | None = None, link: Link | None) -> bytes:
+    """Żądanie do sąsiedniej warstwy; zwraca odszyfrowane ciało odpowiedzi.
+
+    Ścieżkę do materiału uwierzytelnianego bierzemy Z URL-a, a nie z osobnego
+    argumentu — gdyby klient i serwer liczyły ją inaczej, każde żądanie kończyłoby
+    się niejasnym błędem odszyfrowania.
+    """
+    import json as _json
+
+    import httpx
+
+    request_headers = dict(headers or {})
+    if link is None:
+        if encryption_required():
+            # Zatrzymujemy się PRZED wysłaniem. Gdyby polecieć jawnie i dopiero
+            # zebrać odmowę, pytanie byłoby już na kablu — a to właśnie ono niesie
+            # sygnifikatory, o które pytamy bazę.
+            raise LinkError(
+                f"{ENV_REQUIRED} jest włączone, ale brak klucza łącza — żądanie "
+                f"NIE zostało wysłane, żeby jego treść nie poszła jawnym tekstem"
+            )
+        response = client.request(method, url, json=payload, headers=request_headers)
+        response.raise_for_status()
+        return response.content
+
+    path = httpx.URL(url).path
+    stamp = stamp_now()
+    plaintext = b"" if payload is None else _json.dumps(payload).encode("utf-8")
+    body = frame_out(link.seal(REQUEST, path, stamp, 0, plaintext))
+    request_headers.update({HEADER_ENC: VERSION, HEADER_TS: stamp,
+                            "Content-Type": CONTENT_TYPE})
+
+    response = client.request(method, url, content=body, headers=request_headers)
+    if response.status_code >= 400 and response.headers.get(HEADER_ENC) != VERSION:
+        log.error("łącze %s odmówiło: %s", path, response.text[:200])
+    response.raise_for_status()
+    if response.headers.get(HEADER_ENC) != VERSION:
+        raise LinkError("odpowiedź przyszła nieszyfrowana, choć klucz łącza jest ustawiony")
+    reply_stamp = response.headers.get(HEADER_TS, "")
+    check_stamp(reply_stamp)
+    return link.open_all(RESPONSE, path, reply_stamp, response.content)
+
+
+def call_json(client, method: str, url: str, *, payload=None,
+              headers: dict[str, str] | None = None, link: Link | None):
+    import json as _json
+
+    return _json.loads(call(client, method, url, payload=payload,
+                            headers=headers, link=link))
+
+
+def open_response_stream(response, link: Link | None) -> Iterator[bytes]:
+    """Odbiór odpowiedzi płynącej kawałkami (okno postępu).
+
+    Ramka potrafi rozjechać się między dwa odczyty z gniazda, więc składamy ją
+    w buforze zamiast zakładać, że każdy kawałek to komplet.
+    """
+    if link is None:
+        yield from response.iter_bytes()
+        return
+    if response.headers.get(HEADER_ENC) != VERSION:
+        raise LinkError("strumień przyszedł nieszyfrowany, choć klucz łącza jest ustawiony")
+    stamp = response.headers.get(HEADER_TS, "")
+    check_stamp(stamp)
+    path = response.request.url.path
+    buffer = bytearray()
+    seq = 0
+    for chunk in response.iter_bytes():
+        buffer += chunk
+        for frame in unframe_incremental(buffer):
+            yield link.open(RESPONSE, path, stamp, seq, frame)
+            seq += 1
+    if buffer:
+        raise LinkError("strumień urwał się w połowie ramki")
+
+
+def stream_lines(client, url: str, *, payload, headers: dict[str, str] | None = None,
+                 link: Link | None) -> Iterator[str]:
+    """Strumieniowe POST zwracające kolejne NIEPUSTE linie NDJSON — na żywo.
+
+    Dla okna postępu: linie muszą docierać w trakcie pracy, nie na końcu, więc
+    czytamy strumień, a nie całe ciało. Gdy łącze ma klucz, żądanie jest
+    pieczętowane, a odpowiedź odszyfrowywana ramka po ramce; granice ramek NIE
+    pokrywają się z granicami linii, więc sklejamy bajty w buforze i tniemy je
+    dopiero na znakach nowej linii.
+
+    Bez klucza zachowuje się jak dotąd (surowy strumień), żeby dev bez sekretów
+    działał bez zmian.
+    """
+    import json as _json
+
+    import httpx as _httpx
+
+    request_headers = dict(headers or {})
+    if link is None:
+        if encryption_required():
+            # Ten sam kontrakt co w `call`: nie wypuszczamy jawnego żądania, gdy
+            # szyfrowanie jest wymagane. Bez tego serwer owszem odrzuca (400), ale
+            # ciało żądania — tu dane urodzenia — zdążyłoby już pójść w eter.
+            raise LinkError(
+                f"{ENV_REQUIRED} jest włączone, ale brak klucza łącza — strumień "
+                f"NIE został wysłany, żeby jego treść nie poszła jawnym tekstem"
+            )
+        with client.stream("POST", url, json=payload, headers=request_headers) as response:
+            response.raise_for_status()
+            for text_line in response.iter_lines():
+                if text_line:
+                    yield text_line
+        return
+
+    path = _httpx.URL(url).path
+    stamp = stamp_now()
+    body = frame_out(link.seal(REQUEST, path, stamp, 0, _json.dumps(payload).encode("utf-8")))
+    request_headers.update({HEADER_ENC: VERSION, HEADER_TS: stamp, "Content-Type": CONTENT_TYPE})
+    with client.stream("POST", url, content=body, headers=request_headers) as response:
+        response.raise_for_status()
+        buffer = bytearray()
+        for plain in open_response_stream(response, link):
+            buffer += plain
+            while True:
+                nl = buffer.find(b"\n")
+                if nl < 0:
+                    break
+                text_line = bytes(buffer[:nl])
+                del buffer[:nl + 1]
+                if text_line:
+                    yield text_line.decode("utf-8")
+        if buffer:
+            yield bytes(buffer).decode("utf-8")

services/render/app/main.py

@@ -0,0 +1,62 @@
+"""Warstwa RENDER — usługa składająca raport PDF (PRE-24).
+
+OSOBNA usługa, nie część prezentacji, z tego samego powodu co silnik swisseph
+(LOG-27): TeX Live waży setki megabajtów. Trzymanie go w obrazie produktu
+spowalniałoby każdy build i deploy, a tak aktualizuje się niezależnie i awaria
+renderu nie kładzie aplikacji.
+
+Rozmawia TYLKO z prezentacją, po szyfrowanym łączu (własny, trzeci klucz —
+dostaje cały raport: dane urodzeniowe i opisy z baz). W klastrze wystawiona jako
+ClusterIP, bez wejścia z zewnątrz.
+
+Świadomie nie zapisuje niczego na dysk poza katalogiem tymczasowym, który sprząta
+po sobie — raport nie może zostawiać śladu w kontenerze.
+"""
+from __future__ import annotations
+
+import logging
+
+from fastapi import FastAPI, HTTPException
+from fastapi.responses import Response
+
+from app import link_crypto, security
+from app.compile import RenderError, to_pdf, toolchain_ready
+
+log = logging.getLogger("astrololo.render")
+
+app = FastAPI(title="astrololo · usługa render (PDF)")
+security.install(app, "render")            # token międzywarstwowy (LOG-32)
+# Szyfrowanie łącza od prezentacji. PO security.install, żeby także odmowa
+# tokenowa wracała zaszyfrowana — inaczej klient nie umiałby jej odczytać.
+link_crypto.install(app, link_crypto.ENV_PRESENTATION_RENDER, "render")
+
+
+@app.post("/pdf")
+def build_pdf(report: dict) -> Response:
+    """Raport (JSON) → PDF. Wejście: person, data, wheel_svg, natal, predictions.
+
+    Zwracamy surowe bajty PDF-a, nie base64 — łącze i tak jest szyfrowane, więc
+    kodowanie tylko rozdmuchałoby odpowiedź o trzecią część.
+    """
+    if not isinstance(report, dict):
+        raise HTTPException(422, "Oczekiwano obiektu JSON z raportem.")
+    try:
+        pdf = to_pdf(report)
+    except RenderError as e:
+        raise HTTPException(500, str(e))
+    except FileNotFoundError as e:                 # brak xelatex/rsvg w obrazie
+        raise HTTPException(503, f"Brak narzędzia w obrazie usługi render: {e}")
+    return Response(
+        content=pdf,
+        media_type="application/pdf",
+        headers={"Content-Disposition": 'attachment; filename="raport.pdf"'},
+    )
+
+
+@app.get("/health")
+def health() -> dict:
+    """Raportuje też obecność narzędzi — dzięki temu zepsuty obraz widać od razu,
+    a nie dopiero przy pierwszym raporcie."""
+    tools = toolchain_ready()
+    return {"status": "ok" if all(tools.values()) else "degraded",
+            "layer": "render", "tools": tools}

services/render/app/security.py

@@ -0,0 +1,50 @@
+"""Uwierzytelnianie międzywarstwowe (LOG-32).
+
+Warstwa logiczna oddaje treść baz interpretacyjnych, więc samo zalogowanie w
+prezentacji nie wystarczy — bez tego kontrolera wystarczyłoby uderzyć w logikę
+z pominięciem UI. Gdy ustawiono INTERNAL_TOKEN, każde żądanie (poza /health)
+musi go przynieść w nagłówku X-Astrololo-Token.
+
+Bez INTERNAL_TOKEN kontrola jest wyłączona (dev / zgodność wstecz) — wtedy przy
+starcie leci ostrzeżenie.
+"""
+from __future__ import annotations
+
+import logging
+import os
+import secrets
+
+from fastapi import Request
+from fastapi.responses import JSONResponse
+
+log = logging.getLogger("astrololo.security")
+
+HEADER = "X-Astrololo-Token"
+PUBLIC_PATHS = frozenset({"/health"})
+
+
+def token() -> str:
+    """Czytany leniwie — konfiguracja może się zmienić bez importu modułu."""
+    return os.getenv("INTERNAL_TOKEN", "")
+
+
+def enabled() -> bool:
+    return bool(token())
+
+
+def install(app, layer: str) -> None:
+    if not enabled():
+        log.warning(
+            "UWAGA: INTERNAL_TOKEN nie ustawiony — warstwa %s przyjmuje żądania od "
+            "kogokolwiek, kto ma do niej dostęp sieciowy.", layer,
+        )
+
+    @app.middleware("http")
+    async def _guard(request: Request, call_next):
+        if request.url.path in PUBLIC_PATHS or not enabled():
+            return await call_next(request)
+        got = request.headers.get(HEADER, "")
+        if not secrets.compare_digest(got, token()):
+            return JSONResponse({"detail": "Brak lub błędny token międzywarstwowy."},
+                                status_code=401)
+        return await call_next(request)

services/render/requirements.txt

@@ -0,0 +1,4 @@
+fastapi>=0.115
+uvicorn[standard]>=0.34
+# Szyfrowanie łącza z prezentacją (PRE-16/PRE-24): AES-256-GCM + HKDF
+cryptography>=44.0

services/render/tests/test_latex.py

@@ -0,0 +1,130 @@
+"""Generowanie źródła LaTeX raportu (PRE-24).
+
+Najważniejsza część to UCIECZKA znaków specjalnych. Kompilacji tu nie
+uruchomimy (brak TeX Live w tym środowisku), ale to i tak nie ona jest tu
+najbardziej krucha: błędna ucieczka nie wywala kompilacji, tylko po cichu psuje
+treść — najgorszy możliwy wynik, bo PDF powstaje i wygląda poprawnie.
+"""
+import pytest
+
+from app.latex import build, esc
+
+
+# ─────────────────────────── ucieczka znaków specjalnych ────────────────
+
+def test_percent_is_escaped():
+    """NAJGROŹNIEJSZY przypadek: `%` bez ucieczki komentuje resztę linii, więc
+    zdanie urywa się w środku, a PDF powstaje normalnie — tylko krótszy."""
+    out = esc("wzrost o 50% w tym okresie")
+    assert r"50\%" in out
+    assert "w tym okresie" in out
+
+
+def test_backslash_is_escaped_first():
+    """Odwrotny ukośnik musi iść pierwszy, inaczej zepsulibyśmy ucieczki
+    wstawione później (np. `\\%` zamieniłoby się w coś innego)."""
+    assert esc("a\\b") == r"a\textbackslash{}b"
+
+
+def test_all_specials_are_escaped():
+    for ch in ("$", "&", "#", "_", "%", "{", "}"):
+        assert ch not in esc(ch).replace("\\" + ch, ""), f"{ch} nie zostało uciec­zone"
+
+
+def test_tilde_and_caret_use_commands():
+    assert esc("~") == r"\textasciitilde{}"
+    assert esc("^") == r"\textasciicircum{}"
+
+
+def test_polish_and_glyphs_pass_through():
+    """XeLaTeX bierze unicode wprost — polskich znaków ani glifów nie ruszamy."""
+    text = "Zażółć gęślą jaźń ♄ ♓ ☉"
+    assert esc(text) == text
+
+
+def test_escape_handles_none_and_numbers():
+    assert esc(None) == ""
+    assert esc(42) == "42"
+
+
+# ─────────────────────────────── układ dokumentu ─────────────────────────
+
+def _report(**over):
+    base = {
+        "person": "Jan Kowalski",
+        "data": {"date": "1984-04-30", "time": "11:20", "tz_offset": 2,
+                 "lat": 50.0647, "lon": 19.945, "place": "Kraków",
+                 "house_system": "whole_sign", "zodiac": "tropical"},
+        "natal": {"text": "Interpretacja natalna.\n\nDrugi akapit."},
+        "predictions": [
+            {"from_date": "2026-01-01", "to_date": "2026-03-31", "text": "Pierwszy kwartał."},
+            {"from_date": "2026-07-01", "to_date": "2026-09-30", "text": "Trzeci kwartał."},
+        ],
+    }
+    base.update(over)
+    return base
+
+
+def test_document_is_complete():
+    tex = build(_report())
+    assert tex.startswith(r"\documentclass")
+    assert tex.rstrip().endswith(r"\end{document}")
+
+
+def test_uses_unicode_engine_setup():
+    """XeLaTeX + fontspec — bez tego polskie znaki i glify nie wyjdą."""
+    tex = build(_report())
+    assert r"\usepackage{fontspec}" in tex
+    assert r"\setmainfont" in tex
+
+
+def test_section_order_matches_the_brief():
+    """Prośba partnerów: imię → dane → rysunek → natalna → predykcje."""
+    tex = build(_report(), wheel_pdf="wheel.pdf")
+    person = tex.index("Jan Kowalski")
+    data = tex.index("Data urodzenia")
+    wheel = tex.index("includegraphics")
+    natal = tex.index("Interpretacja natalna")
+    preds = tex.index("Predykcje okresowe")
+    assert person < data < wheel < natal < preds
+
+
+def test_person_name_opens_the_document():
+    tex = build(_report())
+    body = tex.split(r"\begin{document}")[1]
+    assert body.index("Jan Kowalski") < 80, "imię ma być na samym początku"
+
+
+def test_all_predictions_are_included():
+    tex = build(_report())
+    assert "2026-01-01" in tex and "2026-07-01" in tex
+    assert "Pierwszy kwartał" in tex and "Trzeci kwartał" in tex
+
+
+def test_paragraphs_are_preserved():
+    """Model oddziela akapity pustą linią — mają zostać akapitami, nie zlepkiem."""
+    tex = build(_report())
+    assert "Interpretacja natalna." in tex and "Drugi akapit." in tex
+    assert "Interpretacja natalna.\n\nDrugi akapit." in tex
+
+
+def test_hostile_text_cannot_break_the_document():
+    """Tekst od modelu jest wejściem z ZEWNĄTRZ — nie może wstrzyknąć polecenia
+    ani urwać dokumentu."""
+    nasty = r"100% \end{document} \input{/etc/passwd} $x_1$ #& {}"
+    tex = build(_report(natal={"text": nasty}))
+    body = tex.split(r"\begin{document}")[1]
+    assert body.count(r"\end{document}") == 1, "tekst urwał dokument"
+    assert r"\input{" not in body
+
+
+def test_missing_parts_are_simply_absent():
+    """Niekompletny materiał ma dać krótszy raport, nie wyjątek."""
+    tex = build({"person": "", "data": {}})
+    assert r"\begin{document}" in tex and r"\end{document}" in tex
+    assert "Raport astrologiczny" in tex          # zapas, gdy brak imienia
+
+
+def test_wheel_is_optional():
+    assert "includegraphics" not in build(_report())
+    assert "includegraphics" in build(_report(), wheel_pdf="wheel.pdf")