<?xml version="1.0" encoding="utf-8"?>
<network-security-config>
    <!-- Базовые trust anchors для всех HTTPS доменов (включая новый CDN) -->
    <base-config cleartextTrafficPermitted="false">
        <trust-anchors>
            <!-- GlobalSign GCC R6 AlphaSSL CA 2025 (цепочка *.rosetta.im) -->
            <certificates src="@raw/globalsign_ca"/>
            <!-- Let's Encrypt R12 (цепочка rosetta-im.com/defaultcontent) -->
            <certificates src="@raw/letsencrypt_r12"/>
            <certificates src="system"/>
        </trust-anchors>
    </base-config>

    <!-- HTTP для локального сервера -->
    <domain-config cleartextTrafficPermitted="true">
        <domain includeSubdomains="true">46.28.71.12</domain>
    </domain-config>
</network-security-config>
