Кирилл

Да, сокет привилегированный. Поэтому агент не выполняет произвольный Docker API: только start/stop/restart/kill уже существующего контейнера. run и exec нет — майнер или зачистку диска так не раскатать.

Команда уходит исходящим опросом. Секрет живёт на хосте, на нашей стороне не хранится. Без него очередь с бэкенда не пройдёт

Да, watchdog есть. Агент сам стучится наружу, открывать порты на вашей стороне не нужно. Нет пульса дольше порога — бот пишет, что хост пропал.

Свой контур мы тоже держим на дежурстве: HostPulse крутится на наших же машинах, поэтому простой бэкенда видим сразу. Отдельный публичный SLA пока не показываем: не хотим обещать цифру, которую ещё не отдаём наружу как измеряемый статус.