chore(test): подтвердить отзыв сертификата при включённом CRL

docs/ux-ui-test-server.md

@@ -1,6 +1,6 @@
 # Тестовый сервер UX/UI — 2026-10-10
 
-Сервер161.104.46.222: выполнена диагностика12.5.125 — issued-revoke ставит revoked=true, но reconnect принят при текущем crl-use=false/crl-download=false. Блокировка отзыва НЕ принята. Native baseline17×2 (включая CRL)/credentials/Docker restored, settings не менялись, оба CHR доступны/пароли прежние. Backend ux-san121/frontend ux-ike124. Следующий126 — isolated CRL-enabled контроль/отзыв с восстановлением settings.12.5 открыт.
+Сервер161.104.46.222: завершён12.5.126 — при собственной CRL цепочке и временном crl-use/download=yes валидный client Ping3/3, отозванный reconnect AUTH_FAILED/API offline. Settings возвращены, baseline17×2/Docker/credentials restored. Первый cleanup issued leaf failed; проверенная own CA cascade recovery и итоговое повторение прошли. Backend ux-san121/frontend ux-ike124. Следующий127 — preflight удаления CRL-issued cert/CA до операций.12.5 открыт.
 
 | Параметр | Проверенное состояние |
 | --- | --- |
@@ -1050,3 +1050,17 @@ References: [issued-revoke](https://manual.mikrotik.com/docs/cli-reference/certi
 | Референс | Схема |
 | --- | --- |
 | [ReUI List9](https://reui.io/preview/base/list-9?ref=mcp) | Метка revoked → отдельная CRL policy → реальная попытка соединения → подтверждённый результат |
+
+## 12.5.126 — CRL-enabled отзыв и проверенная очистка цепочки (2026-10-11)
+
+Создана собственная CA/серверная/клиентская цепочка с CRL URL. До control IKE временно включены crl-use/crl-download на CHR1, после проверки certificates0/CRLs0 baseline. Валидный клиент установился/Ping3/3. После issued-revoke подтверждён revoked=true; действующая IKE могла остаться established. После явного terminate новый IKE тем же cert отвергнут AUTH_FAILED, native established0/API offline. Это закрывает отличие от125 для данной local CA конфигурации, не полную PKI и не мгновенный разрыв существующих SA.
+
+Все certificate/settings возвращены к точной исходной записи. Initial sign потребовал точный .id — добавлен по ответу REST. Первый cleanup остановился на удалении issued server leaf: RouterOS требует revoke для сертификата CA с CRL. Settings/Docker/network/configs к этому моменту уже восстановлены/удалены. Recovery проверил ровно три собственных имени/CN/issuer, отсутствие своих configs, исходные settings и удалил точный собственный CA ID с каскадом только этих проверенных детей. CRL/private files очищены. Повторение использовало preflight всех дочерних cert IDs/ссылок перед own CA cascade и прошло целиком; baseline17 коллекций×2, private credentials/Docker/settings restored.
+
+Наблюдение показывает риск API удаления: identity может быть удалена до native отказа удаления CRL-issued certificate. Следующий127 —409 до любых writes для защищённого leaf и CA с issued children; сохранение cert при identity-only остаётся доступным. Production source/runtime в126 не менялись. Оба CHR доступны, пароли/default/public/metadata/195.195.195.195/32 сохранены. [Все результаты/отказ cleanup/recovery](ux-ui/acceptance/ipsec-crl-revocation-2026-10-11.json).
+
+Reference: [Certificates/CRL](https://manual.mikrotik.com/docs/authentication-authorization-accounting/certificates/). Expiry, внешняя CRL загрузка/timeout, intermediate/custom PKI, клиентские ОС и долговременные нагрузки остаются открыты.
+
+| Референс | Схема |
+| --- | --- |
+| [ReUI List9](https://reui.io/preview/base/list-9?ref=mcp) | CA/CRL policy → валидный клиент → отзыв → reconnect отказ → возврат исходных settings |