task(iis-migration): full DNS cutover reached 2026-06-05

All 25 hostnames (tandemmebel + entire snolla.com zone) now resolve to
RUVDS (80.64.31.36) authoritatively on ns1.reg.ru; nothing left on
windows-source authoritatively. Google cache tail draining for
on./tandemmebel.snolla.com. Source kept as warm rollback per user
decision; decommission + win-acme LE renewal pending soak.

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

.tasks/NEXT_SESSION.md

@@ -1,44 +1,42 @@
 ---
-_last_updated_: 2026-06-05T00:00:00+03:00
-session_id: 2026-06-05-tandemmebel-dns-cutover
+_last_updated_: 2026-06-05T00:30:00+03:00
+session_id: 2026-06-05-iis-migration-full-cutover
 ---
 
 # Next session handoff
 
-_Сессия: tandemmebel.ru мигрировал на RUVDS (владелец сам перенастроил DNS). Проверено, зафиксировано
-в `.tasks/iis-migration-to-ruvds.md` (commit `539f1a07`). Source НЕ заглушен — user-decision держать
-как warm rollback. Ничего не висит._
+_Сессия: **FULL CUTOVER достигнут** — все 25 hostname (tandemmebel + вся зона snolla.com) authoritative
+на RUVDS `80.64.31.36`. Source НЕ заглушен (user-decision: 7-day soak warm rollback). Зафиксировано в
+`.tasks/iis-migration-to-ruvds.md`. Ничего не висит._
 
 ## Recent commits
 
 - `539f1a07` task(iis-migration): tandemmebel DNS cutover 2026-06-05
+- (+ commit этой сессии с full-cutover записью)
 
 ## Что сделано (iis-migration, 05.06)
 
-- ✅ **tandemmebel.ru / www / maljarka → RUVDS** (`80.64.31.36`) — authoritative ns1.reg.ru + 8.8.8.8 +
-  1.1.1.1 + Yandex. apex+CNAME сработал (www/maljarka follow apex). Sn: `tandemmebel.ru`/`www` 200 OK;
-  `maljarka` 502 = pre-existing CMS-дефект (на source ровно так же, не регрессия).
-- ✅ Снята scope-exception 2026-05-24 (tandemmebel больше не «остаётся на windows»).
-- ✅ **Source оставлен как rollback** — user-decision. Сайт `snolla` = общий catch-all, нельзя `Stop-Website`.
-
-## Баланс DNS (на 05.06)
-
-- **RUVDS `80.64.31.36` (14):** kupimknigi.spb.ru, emspb.ru+www, pilorama98.ru+www, labtools.pro+www,
-  labtools.ru+www, rimiz.ru+www, tandemmebel.ru+www, maljarka.tandemmebel.ru.
-- **windows-source `94.19.247.14` (11):** snolla.com + 9× `*.snolla.com` (incl `tandemmebel.snolla.com`,
-  `rimiz.snolla.com`) + … — все ещё на этой машине. Полный decommission невозможен пока они тут.
+- ✅ **Full cutover:** все 25 hostname → RUVDS на authoritative ns1.reg.ru. На windows-source
+  (`94.19.247.14`) authoritative не осталось ничего. Вся зона `snolla.com` (apex + 10 субдоменов,
+  независимые A) переехала вслед за tandemmebel.
+- ✅ Хвост кэша: `on.snolla.com` + `tandemmebel.snolla.com` ещё `94.19.247.14` на Google 8.8.8.8
+  (TTL 86400, дотекает; 1.1.1.1/Yandex уже RUVDS). Дренаж до ~24ч.
+- ✅ RUVDS smoke: `snolla.com` 200, `tandemmebel.snolla.com` 200. `maljarka` 502 (pre-existing CMS, не cutover).
 
 ## Спроси user'а
 
-- Когда переедут остальные 11 `*.snolla.com` → разом `Stop-Website snolla` + архив `C:\sites\snolla`
-  (8.66 GB) → kreknin. До тех пор source держим живым.
-- `maljarka.tandemmebel.ru` 502 — чинить CMS-тенант отдельно? (не блокер, pre-existing).
+- **Decommission `snolla` site** — ждём soak (~2026-06-12) + drain кэша, или форсировать раньше?
+  Когда решит: elevated PS → `Stop-Website snolla` → архив `C:\sites\snolla` (8.66 ГБ) → kreknin →
+  cleanup temp SSH-ключей + FW-правил (`ssh-from-source`/`smb-from-source` на RUVDS).
+- **LE-renewal на RUVDS** — теперь DNS полностью на RUVDS → можно win-acme + HTTP-01. Дедлайн ~2026-07-15
+  (certs expire 2026-07-22). Поднимать?
+- `maljarka.tandemmebel.ru` 502 — чинить CMS-тенант отдельно? (pre-existing, не блокер).
 
 ## Не делать (preemptive guards)
 
-- **Не `Stop-Website snolla`** на windows-source — 11 живых тенантов (`*.snolla.com`), включая
-  `tandemmebel.snolla.com`. Не выключать CMS-тенант tandemmebel по той же причине.
-- **Не глушить tandemmebel.ru индивидуально** без явного запроса — user выбрал warm rollback.
+- **Не `Stop-Website snolla` пока хвост кэша течёт** — `on.`/`tandemmebel.snolla.com` ещё резолвятся
+  на windows у части юзеров (Google). Остановка сейчас = частичный downtime до drain.
+- **Не глушить до soak** без явного запроса — user выбрал 7-day warm rollback.
 - IIS-правки требуют **elevated shell** (текущий `vitya` — не admin; W3SVC running).
 - **branch ahead от origin** — push без явного grant'а (Rule 4). Этой сессии grant НЕ давали.