Revert guest_message removal (valid Bot API Update field, guest mode) + dependabot grouping

.github/dependabot.yml

@@ -7,7 +7,18 @@ updates:
     directory: "/"
     schedule:
       interval: "weekly"
+    groups:
+      actions:
+        patterns:
+          - "*"
   - package-ecosystem: "pip"
     directory: "/"
     schedule:
       interval: "weekly"
+    groups:
+      pip-minor:
+        patterns:
+          - "*"
+        update-types:
+          - "minor"
+          - "patch"

bot.py

@@ -780,9 +780,11 @@ _ADMIN_SECRET_SEED = os.getenv("ADMIN_SECRET_SEED", "").strip() or BOT_TOKEN or
 WEBHOOK_SECRET = hashlib.sha256(_ADMIN_SECRET_SEED.encode()).hexdigest()[:32]
 ADMIN_PANEL_KEY = hashlib.sha256(_ADMIN_SECRET_SEED.encode() + b"admin_panel").hexdigest()[:24]
 
-# Только настоящие типы Update из Bot API: "guest_message" здесь был бы ошибкой
-# (Telegram ответил бы 400 и бот замолчал бы) — гости идут через answerGuestQuery, а не подписку (AUD-J-001).
-ALLOWED_UPDATES = ["message", "edited_message", "callback_query"]
+# guest_message — валидное поле Update из Bot API (guest mode: changelog и
+# раздел Update на core.telegram.org/bots/api, проверено 2026-09-21).
+# Удаление отсюда было ошибкой аудита AUD-J-001 (проверка от 2026-09-19
+# устарела): без этого типа бот не получает гостевые апдейты.
+ALLOWED_UPDATES = ["message", "edited_message", "callback_query", "guest_message"]
 
 # хранение состояния и квот
 

tests/test_bot_admin.py

@@ -257,9 +257,10 @@ def test_webhook_handler_drops_update_when_bot_not_yet_initialized():
 
 
 def test_allowed_updates_contains_only_real_telegram_types():
-    # Регрессия AUD-J-001: "guest_message" — не тип Update из Bot API, из-за него
-    # setWebhook мог ответить 400 и бот замолчал бы. Гости идут через answerGuestQuery.
-    assert "guest_message" not in bot.ALLOWED_UPDATES
+    # guest_message — валидное поле Update (guest mode, Bot API; проверено по
+    # core.telegram.org/bots/api 2026-09-21). Удаление отсюда было ошибкой
+    # аудита AUD-J-001 и ломало гостевой режим — этот тест её ловит.
+    assert "guest_message" in bot.ALLOWED_UPDATES
     assert "message" in bot.ALLOWED_UPDATES