record the Bazaar re-authorization: personal-account token cleared, new link out, 7d205ca live

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

CLAUDE.md

@@ -420,11 +420,14 @@ anyone who can read this repo can forge a token for any user.**
 
 ## وضعیت ۲۰۲۶-۰۹-۲۶ — اتصالِ API بازار
 
-`bdd5aba` روی سرور است (ری‌استارت ۲۲:۰۱، migration `payment.0008`؛ `/api/health` → `integrations.bazaar`). Client ID/Secretِ بازار
+`7d205ca` روی سرور است (ری‌استارت ۲۲:۲۱، migration `payment.0008`؛ `/api/health` → `integrations.bazaar`). Client ID/Secretِ بازار
 در `.env` سرور است (بکاپِ پیشش: `.deploy-backups/env-before-bazaar-20260926-213108`).
 Redirect URIِ ثبت‌شده در پنلِ بازار خودِ `/api/payment/bazaar/verify` است: GET کدِ بازار را
-می‌گیرد، POST خریدِ اپ. لینکِ «اجازه» ۲۶ سپتامبر ۲۱:۳۳ ساخته شد، ۷۲ ساعت باز است و همان شب برای سنیور فرستاده شد؛
-تا صاحبِ حسابِ بازار تأیید نزند refresh token نداریم (`bazaar: false`). **هنوز نداریم:** اسمِ پکیجِ اپ (کد حدسِ
+می‌گیرد، POST خریدِ اپ. اولین تأیید با حسابِ شخصیِ صاحبِ پروژه زده شد: توکن کار کرد ولی به هیچ اپی دسترسی نداشت (۴۰۳
+«You don't have access to this app») و همین نشان داد بازار `Bearer` را نمی‌پذیرد. **هر حسابِ
+بازاری می‌تواند تأیید بزند؛ فقط حسابِ شرکت به کار می‌آید.** توکن پاک شد و لینکِ تازه (۲۲:۱۸، ۷۲ ساعت)
+برای سنیور رفت؛ تا تأییدِ حسابِ شرکت `bazaar: false` است. اسم‌های حدسیِ `ir.tadrisino.app` /
+`ir.tadrisino` / `com.tadrisino` روی بازار وجود ندارند. **هنوز نداریم:** اسمِ پکیجِ اپ (کد حدسِ
 `ir.tadrisino.app` را دارد)، SKUِ پلن‌ها، و اپِ اندرویدیِ دارای Poolakey. آدرسِ سنجشِ خرید با
 سندِ فعلیِ بازار مقایسه شد و **هر دو آدرسِ سنجشِ خرید غلط بودند** (یعنی هیچ خریدِ واقعی‌ای
 تأیید نمی‌شد)؛ درست شدند، به‌علاوه‌ی روشِ جدیدِ بازار (توکنِ ثابتِ پیشخان در