@@ -27,7 +27,7 @@
     "d1:migrate:local": "wrangler d1 migrations apply orbit-v6-local --local",
     "d1:migrate:staging": "wrangler d1 migrations apply DB --remote --config wrangler.staging.jsonc",
     "staging:deploy": "ORBIT_SITE_URL=https://orbit-v6-staging.samett33710.workers.dev ORBIT_NOINDEX=true astro build --config astro.worker.config.mjs && node scripts/orbit-staging-assets.mjs && wrangler deploy --config wrangler.staging.jsonc --message 'Orbit V6 staging gate'",
-    "staging:verify": "node scripts/orbit-staging-verify.mjs",
+    "staging:verify": "tsx scripts/orbit-staging-verify.ts",
     "staging:slice3:cutover-rehearsal": "tsx scripts/orbit-slice3-cutover-rehearsal.ts",
     "staging:slice4:e2e": "tsx scripts/orbit-slice4-staging-e2e.ts",
     "staging:slice4:backup-rehearsal": "tsx scripts/orbit-slice4-backup-rehearsal.ts",
 
@@ -61,23 +61,6 @@ function stringArrayValue(data: Record<string, unknown>, key: string): string[]
   return value as string[];
 }
 
-async function count(db: TestDatabase, table: string, column: string, value: string): Promise<number> {
-  const allowed = new Set([
-    'accounts:id',
-    'sessions:account_id',
-    'audit_events:id',
-    'invitation_redemptions:invitation_id',
-    'agent_credentials:agent_id',
-  ]);
-  if (!allowed.has(`${table}:${column}`)) {
-    throw new Error('unsupported_count');
-  }
-  const row = await db.prepare(`SELECT COUNT(*) AS value FROM ${table} WHERE ${column} = ?`)
-    .bind(value)
-    .first<{ value: number }>();
-  return row?.value ?? 0;
-}
-
 async function seedOwner(db: TestDatabase, accountId: string, now: number): Promise<void> {
   await db.prepare(`
     INSERT OR IGNORE INTO accounts (
 
@@ -2402,16 +2402,6 @@ let firstCredentialToken = '';
     );
   });
 
-  /* Paketin başındaki `ownerCookies` bu noktada artık geçerli değil: çıkış
-   * testi o oturumu bilerek iptal ediyor. Buradaki testler kendi taze
-   * oturumunu açıyor — bir öncekinin artığına yaslanmak, sıraları değiştiği
-   * gün sessizce bozulacak bir bağımlılık olurdu. */
-  async function ownerSession(now: number): Promise<Map<string, string>> {
-    const response = await callback('owner', await startOAuth(now - 1), now);
-    assert.equal(response.status, 302, await response.clone().text());
-    return cookieValues(response);
-  }
-
   /* Kayıt hız tavanı. Bu testler davet kapısı KAPALIYKEN de anlamlı, ama asıl
    * sebepleri kapının açılacağı gün: o gün kayıt hacmini bir insanın kararı
    * değil internet belirleyecek. */
 
@@ -0,0 +1,114 @@
+import assert from 'node:assert/strict';
+
+import { LEGAL_LAST_UPDATED } from '../src/data/legal';
+
+const ORIGIN = 'https://orbit-v6-staging.samett33710.workers.dev';
+const CRAWLER_POLICY = 'noindex, nofollow, noarchive';
+
+async function get(pathname: string, init: RequestInit = {}): Promise<Response> {
+  const response = await fetch(`${ORIGIN}${pathname}`, {
+    ...init,
+    redirect: 'manual',
+  });
+  assert.equal(
+    response.headers.get('x-robots-tag'),
+    CRAWLER_POLICY,
+    `${pathname} must deny crawler indexing`,
+  );
+  return response;
+}
+
+/* Onay, /start'ın gövdesinde isteniyor ve sürümü karşılaştırılıyor. Sürüm
+ * buraya elle yazılmıyor: kaynaktan içe aktarılıyor, çünkü elle yazılan bir
+ * tarih metin güncellendiği gün sessizce eskiyor ve bu betik o gün staging'i
+ * değil kendini doğrulamış olur. Betiğin `.ts` olmasının sebebi de bu. */
+async function startOAuth(provider: 'github' | 'google'): Promise<Response> {
+  return await get(`/v1/auth/${provider}/start`, {
+    method: 'POST',
+    headers: {
+      'content-type': 'application/json',
+      origin: ORIGIN,
+    },
+    body: JSON.stringify({ acceptedTerms: true, termsVersion: LEGAL_LAST_UPDATED }),
+  });
+}
+
+const health = await get('/healthz');
+assert.equal(health.status, 200);
+assert.deepEqual(await health.json(), {
+  ok: true,
+  service: 'orbit-v6',
+  environment: 'staging',
+});
+
+const home = await get('/');
+assert.equal(home.status, 200);
+const html = await home.text();
+assert.match(
+  html,
+  /<meta name="robots" content="noindex, nofollow, noarchive"/u,
+  'staging HTML must deny crawler indexing without relying on Worker routing',
+);
+assert.match(
+  html,
+  /<link rel="canonical" href="https:\/\/orbit-v6-staging\.samett33710\.workers\.dev\/"/u,
+  'staging build must not advertise the production canonical origin',
+);
+
+const forbiddenOrigin = await get('/v1/auth/google/start', {
+  method: 'POST',
+  headers: {
+    'content-type': 'application/json',
+    origin: 'https://evil.example',
+  },
+  body: JSON.stringify({ acceptedTerms: true, termsVersion: LEGAL_LAST_UPDATED }),
+});
+assert.equal(forbiddenOrigin.status, 403);
+const forbiddenBody = await forbiddenOrigin.json() as { error?: { code?: string } };
+assert.equal(forbiddenBody.error?.code, 'origin_forbidden');
+
+/* Onaysız istek reddedilmeli. Bu satır bir kapının değil, bir sıranın
+ * testi: onay sağlayıcıya gitmeden önce alınıyor, dönüşte değil. */
+const withoutConsent = await get('/v1/auth/google/start', {
+  method: 'POST',
+  headers: {
+    'content-type': 'application/json',
+    origin: ORIGIN,
+  },
+  body: '{}',
+});
+assert.equal(withoutConsent.status, 400);
+const withoutConsentBody = await withoutConsent.json() as { error?: { code?: string } };
+assert.equal(withoutConsentBody.error?.code, 'terms_not_accepted');
+
+const googleStart = await startOAuth('google');
+assert.equal(googleStart.status, 201, await googleStart.clone().text());
+const googleBody = await googleStart.json() as { authorizationUrl: string };
+const googleUrl = new URL(googleBody.authorizationUrl);
+assert.equal(googleUrl.origin, 'https://accounts.google.com');
+assert.equal(googleUrl.pathname, '/o/oauth2/v2/auth');
+assert.ok(googleUrl.searchParams.get('client_id'), 'staging must carry a Google client id');
+assert.ok(googleUrl.searchParams.get('state'));
+assert.equal(googleUrl.searchParams.get('code_challenge_method'), 'S256');
+assert.ok(googleUrl.searchParams.get('code_challenge'));
+assert.equal(googleUrl.searchParams.get('scope'), 'openid email profile');
+assert.equal(
+  googleUrl.searchParams.get('redirect_uri'),
+  `${ORIGIN}/v1/auth/google/callback`,
+  'the callback Google is told about must be the one this deployment answers on',
+);
+
+/* GitHub hâlâ açık ve GEÇİCİ: yalnız mevcut hesapların girip Google'ı
+ * bağlaması için duruyor. Kayıt kapısı olmadığını buradan doğrulayamıyoruz —
+ * o cevap ancak gerçek bir GitHub kimliğiyle dönüşte veriliyor. Doğrulanan
+ * şey kapının hâlâ açık olduğu; kapandığı gün bu blok da silinecek. */
+const githubStart = await startOAuth('github');
+assert.equal(githubStart.status, 201, await githubStart.clone().text());
+const githubBody = await githubStart.json() as { authorizationUrl: string };
+const githubUrl = new URL(githubBody.authorizationUrl);
+assert.equal(githubUrl.origin, 'https://github.com');
+assert.equal(githubUrl.pathname, '/login/oauth/authorize');
+assert.ok(githubUrl.searchParams.get('client_id'));
+assert.ok(githubUrl.searchParams.get('state'));
+
+process.stdout.write('Orbit V6 staging HTTP contract: PASS\n');