docs(runbook): mappa — gotcha 7 E2 backfill прогон с воркстейшена (task:1274)

.wiki/concepts/mappa-vds-deploy-runbook.md

@@ -100,3 +100,10 @@ ssh vds.kzntsv.site 'docker ps --filter name=mappa --format "{{.Status}}"'
 5. **Внешний DATABASE_URL** — контейнерный `@postgres:5432` валиден только внутри docker-сети;
    для импорта с воркстейшена — `postgres.vds.kzntsv.site:5432` (+ TLS-verify-skip, self-signed).
 6. **Закрытие деплоя** — всегда пара «таска + письмо mappa» (канон `mappa-deploy-workflow`).
+7. **E2 backfill с воркстейшена (task:1274, 2026-08-26)** — скрипт `scripts/backfill-frontmatter-tags.ts`
+   в репо (tsx). Нужен ВНЕШНИЙ DATABASE_URL (не docker-сетевой):
+   `postgres://mappa:<MAPPA_DB_PASS>@postgres.vds.kzntsv.site:5432/mappa?sslmode=require` +
+   `NODE_TLS_REJECT_UNAUTHORIZED=0` (self-signed, gotcha 5). dry-run → `--apply`.
+   Идемпотентен (ON CONFLICT DO NOTHING); повторный прогон добавляет только новые страницы.
+   Первый прогон: 2539 тегов / 6555 рёбер; проверку «секреты не стали тегами» — скан имён
+   на sk-/AKIA/JWT перед apply (имена password/token — теги-темы, не значения).