From 2cbca9a665fc8d4946bb89d7d49094ea7bf999e3 Mon Sep 17 00:00:00 2001
From: mikl <mikl@iscg.dev>
Date: Sat, 11 Jul 2026 22:57:29 +0300
Subject: [PATCH] heather: add root rescue ssh key (mikl.keys) to avoid lockout

---
 hosts/heather/default.nix | 11 +++++++++++
 1 file changed, 11 insertions(+)

diff --git a/hosts/heather/default.nix b/hosts/heather/default.nix
index 6a7775b..a0d0c8b 100644
--- a/hosts/heather/default.nix
+++ b/hosts/heather/default.nix
@@ -34,6 +34,17 @@
     })
   ];
 
+  # Rescue-канал: root с тем же poppy-ключом. PermitRootLogin = prohibit-password
+  # (см. image.nix) пускает root только по ключу — парольного root-логина нет.
+  # Нужен, чтобы не оказаться запертым без root, если passwordless sudo сломается
+  # (как произошло на первом образе heather): ssh root@heather и nixos-rebuild.
+  users.users.root.openssh.authorizedKeys.keyFiles = [
+    (pkgs.fetchurl {
+      url = "https://git.iscg.dev/mikl.keys";
+      sha256 = "sha256-Omc/3NJn0nM8SWeF33trFwOAVgSX0fXB5dfEakcRoTA=";
+    })
+  ];
+
   # После первой установки 25.11 не трогаем (NixOS convention)
   system.stateVersion = "25.11";
 }
\ No newline at end of file