thangldw · Sep 2, 2026 · Sep 10, 2026 · Sep 13, 2026 · Oct 7, 2026 · Oct 7, 2026
diff --git a/.github/ISSUE_TEMPLATE/bug_report.yml b/.github/ISSUE_TEMPLATE/bug_report.yml
@@ -21,7 +21,7 @@ body:
     id: version
     attributes:
       label: KakeFlow version
-      placeholder: 1.2.1
+      placeholder: 1.3.0
     validations:
       required: true
   - type: textarea

diff --git a/CHANGELOG.md b/CHANGELOG.md
@@ -5,6 +5,41 @@
 - Upgrade the Vite/React-plugin/jsdom toolchain as a compatible group and align the development Node baseline.
 - Upgrade ZIP and X25519/ChaCha dependencies; use fixed-size nonce construction and verify legacy cipher/key compatibility.
 
+## 1.3.0 — 2026-09-11
+
+### English
+
+- Rotated the updater key after loss of the previous private key. All earlier desktop versions, including v1.2.1, require one manual installation of v1.3.0; future releases use the new trust root. Application identity and data locations are unchanged by the rotation.
+
+- Added a read-only Connector Control Center that inventories native sources and makes account bindings an explicit posting-authorization boundary.
+- Added durable refresh batches with per-source cursors, backoff, version and generation fencing, fail-closed recovery, and redacted operational summaries.
+- Hardened the isolated macOS ARM64 release wrapper with canonical path checks, atomic physical-path locks, source/resource identity digests, and packaged artifact verification.
+- Removed two test-only CodeQL data flows at their source and documented the remaining generated-macro false positive; the Linux-only `glib` advisory remains disclosed.
+- Kept connector provider clients and credentials out of the PWA. This release does not claim direct bank aggregation or Money Forward parity.
+- Published the macOS ARM64 desktop build as an ad-hoc-signed, non-notarized community artifact; the account-free PWA remains the no-Gatekeeper option.
+
+### Tiếng Việt
+
+- Đổi khóa updater do mất private key cũ. Mọi bản desktop trước đó, kể cả v1.2.1, cần cài v1.3.0 thủ công một lần; các bản tiếp theo dùng khóa mới. Việc đổi khóa giữ nguyên định danh ứng dụng và vị trí dữ liệu.
+
+- Bổ sung Connector Control Center chỉ đọc để kiểm kê nguồn native và dùng account binding làm ranh giới cấp quyền ghi sổ rõ ràng.
+- Bổ sung refresh batch bền vững với cursor/backoff theo nguồn, version/generation fencing, khôi phục fail-closed và summary vận hành đã che dữ liệu nhạy cảm.
+- Củng cố wrapper release macOS ARM64 cô lập bằng kiểm tra canonical path, khóa nguyên tử theo physical path, digest nhận dạng source/resource và xác minh artifact đã đóng gói.
+- Loại hai data flow CodeQL chỉ xuất hiện trong test và ghi lại false positive còn lại từ macro sinh mã; advisory `glib` chỉ áp dụng Linux vẫn được công khai.
+- Không đưa provider client hoặc credential connector vào PWA. Bản này không tuyên bố kết nối ngân hàng trực tiếp hay tương đương Money Forward.
+- Phát hành desktop macOS ARM64 dưới dạng community artifact được ký ad-hoc và chưa notarize; PWA không cần account vẫn là lựa chọn không gặp Gatekeeper.
+
+### 日本語
+
+- 旧秘密鍵の紛失により updater 鍵を更新しました。v1.2.1 を含む旧 desktop 版からは v1.3.0 の手動インストールが一度必要です。以降の更新は新しい鍵を使用し、今回の鍵更新によるアプリ識別子とデータ保存先の変更はありません。
+
+- native source を一覧化し、account binding を明示的な記帳承認境界として扱う read-only Connector Control Center を追加しました。
+- source ごとの cursor／backoff、version／generation fencing、fail-closed recovery、秘匿化済み運用 summary を備えた durable refresh batch を追加しました。
+- canonical path 検査、physical path 単位の atomic lock、source／resource identity digest、packaged artifact 検証により、分離された macOS ARM64 release wrapper を強化しました。
+- test のみに存在した CodeQL data flow を 2 件除去し、生成 macro に残る false positive を記録しました。Linux のみ該当する `glib` advisory は引き続き開示します。
+- PWA には connector provider client と credential を含めません。本 release は銀行への直接接続や Money Forward 同等性を主張しません。
+- macOS ARM64 desktop build を ad-hoc 署名済み・未公証の community artifact として公開しました。account 不要の PWA は Gatekeeper を必要としない選択肢です。
+
 ## 1.2.1 — 2026-08-25
 
 ### English

diff --git a/README.md b/README.md
@@ -1,12 +1,14 @@
 # KakeFlow
 
+> **v1.3.0 manual upgrade / Nâng cấp thủ công / 手動更新:** The old updater private key was lost. Users of v1.2.1 and earlier must install v1.3.0 manually once; subsequent updates use the new key. [Upgrade instructions and data-preservation precautions](docs/releases/v1.3.0.md#install).
+
 [English](#english) · [Tiếng Việt](#tiếng-việt) · [日本語](#日本語)
 
 Local-first household finance for desktop and the browser, built for Japan.
 
-Version 1.2.1 is the current stable desktop milestone.
+Version 1.3.0 is the current stable desktop milestone.
 
-[Download v1.2.1](https://github.com/thangldw/kakeflow/releases/tag/v1.2.1) · [Open the PWA](https://thangldw.github.io/kakeflow/app/) · [Product website](https://thangldw.github.io/kakeflow/) · [PWA evidence](docs/assets/demo/kakeflow-receipt-to-provenance.mp4) · [Documentation](docs/README.md) · [Changelog](CHANGELOG.md)
+[Download v1.3.0](https://github.com/thangldw/kakeflow/releases/tag/v1.3.0) · [Open the PWA](https://thangldw.github.io/kakeflow/app/) · [Product website](https://thangldw.github.io/kakeflow/) · [PWA evidence](docs/assets/demo/kakeflow-receipt-to-provenance.mp4) · [Documentation](docs/README.md) · [Changelog](CHANGELOG.md)
 
 ```mermaid
 %%{init: {"theme":"base","themeVariables":{"background":"#FFFFFF","fontFamily":"Arial, sans-serif","lineColor":"#667085","primaryTextColor":"#172B4D"}}}%%
@@ -35,7 +37,7 @@ Receipt images are processed locally with bundled PP-OCRv5 models. The receipt n
 
 The PWA foundation provides an account-free encrypted browser vault, household and account setup, local receipt OCR, source comparison, explicit approval, balanced double-entry posting, provenance, offline reload, and authenticated encrypted export/restore. IndexedDB stores encrypted events and projections; OPFS stores encrypted evidence where available, with an encrypted IndexedDB fallback. It does not yet provide desktop connectors, multi-device sync, native backup compatibility, or the complete desktop feature set.
 
-Version 1.2.1 checks the signed stable update channel after startup and also exposes a manual check in Settings. Release QA includes synthetic receipt images and the local `/ocr-regression.html` PP-OCRv5 model gate. The [public landing page](https://thangldw.github.io/kakeflow/) presents one synthetic Tanaka-family journey from receipt review through budgets and investments, with separate Japanese, English and Vietnamese animations.
+Version 1.3.0 adds a read-only Connector Control Center and durable, fail-closed refresh recovery for native sources; the PWA does not contain provider clients or credentials. It checks the signed stable update channel after startup and also exposes a manual check in Settings. Release QA includes synthetic receipt images and the local `/ocr-regression.html` PP-OCRv5 model gate. The [public landing page](https://thangldw.github.io/kakeflow/) presents one synthetic Tanaka-family journey from receipt review through budgets and investments, with separate Japanese, English and Vietnamese animations.
 
 Requirements: Node.js 22.22.2, compatible 24.15+, or 26+, Rust 1.97 and Tauri 2 platform dependencies.
 
@@ -49,7 +51,7 @@ npm run test:pwa:e2e
 cd src-tauri && cargo fmt --all -- --check && cargo clippy --all-targets -- -D warnings && cargo test
 ```
 
-KakeFlow does not initiate payments or treat extracted records as confirmed accounting. Ambiguous or unsupported data remains blocked for human review. This repository is the only canonical source and release location; verified downloads are published through [GitHub Releases](https://github.com/thangldw/kakeflow/releases/tag/v1.2.1).
+KakeFlow does not initiate payments or treat extracted records as confirmed accounting. Ambiguous or unsupported data remains blocked for human review. This repository is the only canonical source and release location; verified downloads are published through [GitHub Releases](https://github.com/thangldw/kakeflow/releases/tag/v1.3.0).
 
 ## Tiếng Việt
 
@@ -61,7 +63,7 @@ KakeFlow nhập dữ liệu ngân hàng, thẻ, ví, chứng khoán, bảng tín
 
 PWA foundation có vault trình duyệt mã hóa, không cần account; hỗ trợ tạo household/account, OCR biên lai local, đối chiếu nguồn, duyệt rõ ràng, bút toán kép cân bằng, provenance, reload offline và export/restore mã hóa có xác thực. Event/projection được mã hóa trong IndexedDB; evidence dùng OPFS khi có và fallback sang IndexedDB mã hóa. PWA chưa có connector desktop, đồng bộ đa thiết bị, tương thích backup native hoặc toàn bộ tính năng desktop.
 
-Bản v1.2.1 tự kiểm tra kênh cập nhật ổn định có chữ ký sau khi khởi động và cho phép kiểm tra thủ công trong Cài đặt. QA release có ảnh biên lai tổng hợp cùng trang `/ocr-regression.html` chạy trực tiếp PP-OCRv5. [Landing page chính thức](https://thangldw.github.io/kakeflow/) trình bày một hành trình giả lập của gia đình Tanaka từ duyệt biên lai đến ngân sách và đầu tư, với GIF riêng cho Nhật, Anh và Việt.
+Bản v1.3.0 bổ sung Connector Control Center chỉ đọc và cơ chế refresh native bền vững, khôi phục fail-closed; PWA không chứa provider client hoặc credential. Ứng dụng tự kiểm tra kênh cập nhật ổn định có chữ ký sau khi khởi động và cho phép kiểm tra thủ công trong Cài đặt. QA release có ảnh biên lai tổng hợp cùng trang `/ocr-regression.html` chạy trực tiếp PP-OCRv5. [Landing page chính thức](https://thangldw.github.io/kakeflow/) trình bày một hành trình giả lập của gia đình Tanaka từ duyệt biên lai đến ngân sách và đầu tư, với GIF riêng cho Nhật, Anh và Việt.
 
 Ứng dụng không thực hiện thanh toán và không coi dữ liệu trích xuất là bút toán đã xác nhận. Dữ liệu mơ hồ hoặc chưa hỗ trợ luôn bị khóa để người dùng duyệt. Repo này là nguồn mã và nơi phát hành canonical duy nhất. Dùng các lệnh ở phần English để kiểm thử và build.
 
@@ -75,7 +77,7 @@ KakeFlow は、ユーザーが提供した銀行、カード、ウォレット
 
 PWA foundation は account 不要の暗号化 browser vault、household／account 設定、端末内 receipt OCR、原本比較、明示的承認、貸借一致の複式記帳、provenance、offline reload、認証付き暗号化 export／restore を提供します。event／projection は IndexedDB、evidence は利用可能な場合 OPFS、fallback は暗号化 IndexedDB に保存します。desktop connector、multi-device sync、native backup 互換、desktop 全機能は未対応です。
 
-v1.2.1 は起動後に署名済み stable update channel を確認し、設定画面からの手動確認にも対応します。release QA には合成レシート画像と、PP-OCRv5 を直接実行する `/ocr-regression.html` を含みます。[公式 landing page](https://thangldw.github.io/kakeflow/) は、田中家の合成シナリオをレシート確認から予算・投資まで、日本語・英語・ベトナム語別 GIF で紹介します。
+v1.3.0 は read-only Connector Control Center と、fail-closed recovery を備えた durable native refresh を追加しました。PWA に provider client と credential は含まれません。起動後に署名済み stable update channel を確認し、設定画面からの手動確認にも対応します。release QA には合成レシート画像と、PP-OCRv5 を直接実行する `/ocr-regression.html` を含みます。[公式 landing page](https://thangldw.github.io/kakeflow/) は、田中家の合成シナリオをレシート確認から予算・投資まで、日本語・英語・ベトナム語別 GIF で紹介します。
 
 支払いを開始せず、抽出結果を確定仕訳として扱いません。曖昧または未対応のデータは人による確認までブロックされます。本 repository が唯一の canonical source／release location です。テストとビルドには English セクションのコマンドを使用してください。