Регистрация: utm с лендинга из cookie sb_utm, если в адресе меток нет

Кнопки лендингов ведут на /register без меток, поэтому utmCampaign не был
записан ни у одного пользователя. Caddy кладёт строку запроса с utm_* в cookie
sb_utm на .second-brain.ru; страница регистрации берёт метки из адреса, а если
их нет — из cookie. Значения: [A-Za-z0-9._-], до 100 символов.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

src/app/(auth)/register/page.tsx

@@ -1,6 +1,8 @@
 import { redirect } from "next/navigation";
+import { cookies } from "next/headers";
 import { getSettings } from "@/lib/settings";
 import { RegisterForm } from "./register-form";
+import { UTM_COOKIE, parseUtmCookie, pickUtm } from "@/lib/utm-cookie";
 
 export default async function RegisterPage({
   searchParams,
@@ -15,6 +17,11 @@ export default async function RegisterPage({
 
   const sp = await searchParams;
   const str = (v: string | string[] | undefined) => (Array.isArray(v) ? v[0] : v) ?? "";
+  // Метки: из адреса, а если их нет — из cookie лендинга (src/lib/utm-cookie.ts).
+  const utm = pickUtm(
+    { utmSource: str(sp.utm_source), utmMedium: str(sp.utm_medium), utmCampaign: str(sp.utm_campaign) },
+    parseUtmCookie((await cookies()).get(UTM_COOKIE)?.value),
+  );
 
   return (
     <div className="min-h-screen flex items-center justify-center" style={{ backgroundColor: "var(--background)" }}>
@@ -34,9 +41,9 @@ export default async function RegisterPage({
             termsUrl={settings.termsUrl}
             offerUrl={settings.offerUrl}
             archetype={str(sp.archetype)}
-            utmSource={str(sp.utm_source)}
-            utmMedium={str(sp.utm_medium)}
-            utmCampaign={str(sp.utm_campaign)}
+            utmSource={utm.utmSource}
+            utmMedium={utm.utmMedium}
+            utmCampaign={utm.utmCampaign}
             gclid={str(sp.gclid)}
           />
         </div>

src/lib/__tests__/utm-cookie.test.ts

@@ -0,0 +1,40 @@
+import { describe, it, expect } from "vitest";
+import { cleanUtm, parseUtmCookie, pickUtm } from "../utm-cookie";
+
+describe("utm-cookie", () => {
+  it("разбирает сырую строку запроса из cookie", () => {
+    expect(parseUtmCookie("utm_source=youtube&utm_medium=video&utm_campaign=test-20261103&fbclid=x")).toEqual({
+      utmSource: "youtube",
+      utmMedium: "video",
+      utmCampaign: "test-20261103",
+    });
+  });
+
+  it("понимает percent-кодирование", () => {
+    expect(parseUtmCookie("utm_campaign=a%2Db_c.d").utmCampaign).toBe("a-b_c.d");
+  });
+
+  it("пустая и битая cookie — пустые метки", () => {
+    expect(parseUtmCookie(undefined)).toEqual({ utmSource: "", utmMedium: "", utmCampaign: "" });
+    expect(parseUtmCookie("")).toEqual({ utmSource: "", utmMedium: "", utmCampaign: "" });
+    expect(parseUtmCookie("%%%")).toEqual({ utmSource: "", utmMedium: "", utmCampaign: "" });
+  });
+
+  it("отбрасывает значения не из белого списка символов и слишком длинные", () => {
+    expect(cleanUtm("ok-1")).toBe("ok-1");
+    expect(cleanUtm("<script>")).toBe("");
+    expect(cleanUtm("с пробелом")).toBe("");
+    expect(cleanUtm("a".repeat(150))).toBe("a".repeat(100));
+    expect(parseUtmCookie("utm_source=x;Domain=evil").utmSource).toBe("");
+  });
+
+  it("метки из адреса важнее cookie, поля не смешиваются", () => {
+    const cookie = { utmSource: "vk", utmMedium: "video", utmCampaign: "old" };
+    expect(pickUtm({ utmSource: "", utmMedium: "", utmCampaign: "new" }, cookie)).toEqual({
+      utmSource: "",
+      utmMedium: "",
+      utmCampaign: "new",
+    });
+    expect(pickUtm({ utmSource: "", utmMedium: "", utmCampaign: "" }, cookie)).toEqual(cookie);
+  });
+});

src/lib/utm-cookie.ts

@@ -0,0 +1,48 @@
+// Метки utm с лендингов (20261103, задание CMO «utm_campaign в LMS»).
+//
+// Лендинги второго мозга — поддомены second-brain.ru за общим Caddy на проде.
+// Caddy при заходе с utm_* в адресе кладёт сырую строку запроса в cookie
+// `sb_utm` на домен .second-brain.ru (см. фрагмент `(sb_utm)` в prod.caddy).
+// Кнопка лендинга ведёт на /register без меток, поэтому страница регистрации
+// берёт их из адреса, а если там пусто — из этой cookie.
+
+export const UTM_COOKIE = "sb_utm";
+
+export type Utm = { utmSource: string; utmMedium: string; utmCampaign: string };
+
+const EMPTY: Utm = { utmSource: "", utmMedium: "", utmCampaign: "" };
+
+// Значение метки: только латиница, цифры, точка, дефис, подчёркивание; до 100 символов.
+// Остальное (кириллица, пробелы, кавычки) отбрасываем целиком — в отчёт идут слаги.
+export function cleanUtm(v: string | null | undefined): string {
+  if (!v) return "";
+  const s = v.trim().slice(0, 100);
+  return /^[A-Za-z0-9._-]+$/.test(s) ? s : "";
+}
+
+export function parseUtmCookie(raw: string | null | undefined): Utm {
+  if (!raw) return EMPTY;
+  let q: URLSearchParams;
+  try {
+    q = new URLSearchParams(raw.length > 2000 ? raw.slice(0, 2000) : raw);
+  } catch {
+    return EMPTY;
+  }
+  return {
+    utmSource: cleanUtm(q.get("utm_source")),
+    utmMedium: cleanUtm(q.get("utm_medium")),
+    utmCampaign: cleanUtm(q.get("utm_campaign")),
+  };
+}
+
+// Метки из адреса важнее cookie: прямой переход на /register?utm_… — самый свежий.
+// Берём набор целиком из одного источника, не смешиваем поля.
+export function pickUtm(fromQuery: Utm, fromCookie: Utm): Utm {
+  const q = {
+    utmSource: cleanUtm(fromQuery.utmSource),
+    utmMedium: cleanUtm(fromQuery.utmMedium),
+    utmCampaign: cleanUtm(fromQuery.utmCampaign),
+  };
+  if (q.utmSource || q.utmMedium || q.utmCampaign) return q;
+  return fromCookie;
+}