chore(test): подтвердить границы аутентификации сертификатов IPsec

docs/ux-ui-test-server.md

@@ -1,6 +1,6 @@
 # Тестовый сервер UX/UI — 2026-10-10
 
-Сервер161.104.46.222: backend ux-san121/frontend ux-bound116.122: CHILD/IKE rekey и reconnect Ping3/3/API online, terminate offline; первый reconnect Ping failure сохранён. Baseline16×2/credentials/Docker restored, оба CHR доступны/пароли прежние. Следующий123 — certificate authentication boundaries.
+Сервер161.104.46.222: backend ux-san121/frontend ux-bound116.123: control Ping3/3, wrong server pin/unbound same-CA client отвергнуты, catalog online0 после каждой попытки. Baseline16×2/Docker/credentials restored, оба CHR доступны/пароли прежние. Следующий124 — reauth/CHILD SA loss.
 
 | Параметр | Проверенное состояние |
 | --- | --- |
@@ -1012,3 +1012,15 @@ Reference: [strongSwan rekey6.0](https://docs.strongswan.org/docs/6.0/swanctl/sw
 | Референс | Схема |
 | --- | --- |
 | [ReUI Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Новые SA → подтверждённый online → terminate/offline → reconnect/online |
+
+## 12.5.123 — server pin и привязка клиентского сертификата (2026-10-11)
+
+Три реальные Linux strongSwan→CHR попытки без ослабления проверки сертификатов. Контрольный клиент с private CA/точным server pin/привязанным remote-certificate установил туннель и дал Ping3/3. Замена server pin на другой собственный certificate привела к отказу на клиенте. Второй RSA client certificate, подписанный тем же CA, но не указанный в remote-certificate identity, отвергнут RouterOS. Общий доверенный CA не подменяет точную native привязку. Отказы проверялись как ожидаемые, а не success tunnel.
+
+После каждой попытки native established0 и catalog online0; неподключённые клиенты не получили active session. Все собственные Docker clients/network/private credentials и native objects удалены;16 исходных коллекций×2 совпали, пароли/default/public/metadata/195.195.195.195/32 сохранены. Оба CHR доступны. Source/runtime не менялись, профильная общая регрессия и UI не повторялись. [Протокол](ux-ui/acceptance/ipsec-certificate-auth-boundaries-2026-10-11.json).
+
+Это ограниченная certificate authentication приёмка, не полная PKI: revocation/expiry, прочие client OS/custom OIDs/ID namespaces остаются открыты. Следующий124 — полноценный reauth и наблюдаемая граница IKE online при отсутствии CHILD SA.
+
+| Референс | Схема |
+| --- | --- |
+| [ReUI Filtering2](https://reui.io/preview/base/data-grid-filtering-2?ref=mcp) | Сертификат и привязка подтверждены → online; ошибка pin/привязки → отказ без ложного online |