@@ -0,0 +1,51 @@
+-- Giden posta kuyruğu ve kaydı.
+--
+-- Neden kuyruk, neden doğrudan gönderim değil: bir duyuru yayına
+-- alındığında onlarca kişiye posta gidecek. Bunu istek içinde yapmak yayını
+-- postanın hızına bağlar; Worker'ın istek yolunda waitUntil yok ve alt-istek
+-- sınırları var. Satırlar yayınla AYNI batch'te yazılıyor — yayın
+-- başarılıysa gönderilecekler kesin yazılmıştır, yayın düşerse ikisi de
+-- düşer. "Yayımlandı ama kimseye haber verilmedi" hâli mümkün değil.
+--
+-- Tablo aynı zamanda kayıt: kime, ne zaman, hangi konuyla yazıldığı ve
+-- sonucu burada duruyor. Bir güvenlik bildiriminin gönderildiğini
+-- söyleyebilmek, gönderebilmek kadar önemli.
+
+CREATE TABLE email_deliveries (
+  id TEXT PRIMARY KEY,
+  account_id TEXT NOT NULL REFERENCES accounts(id),
+  -- Adres satıra kopyalanıyor, hesaptan okunmuyor: gönderim anında hangi
+  -- adrese yazdığımız sonradan değişmemeli. Kullanıcı adresini
+  -- değiştirdiğinde geçmiş kayıt yalan söylemeye başlardı.
+  recipient TEXT NOT NULL,
+  -- 'announcement' tercihe tabidir; 'moderation' ve 'security' değildir.
+  -- Hesabınla ilgili bir karardan haberdar olmamayı seçemezsin.
+  kind TEXT NOT NULL CHECK (kind IN ('announcement', 'moderation', 'security')),
+  subject TEXT NOT NULL,
+  body_text TEXT NOT NULL,
+  status TEXT NOT NULL CHECK (status IN ('pending', 'sent', 'failed')),
+  attempts INTEGER NOT NULL DEFAULT 0,
+  last_error TEXT,
+  created_at INTEGER NOT NULL,
+  sent_at INTEGER,
+  -- Aynı olayın aynı kişiye iki kez yazılmasını veritabanı engelliyor.
+  -- Uygulama katmanındaki bir kontrol, iki isteğin yarıştığı anda
+  -- tutmazdı; burada tutuyor.
+  subject_ref TEXT NOT NULL,
+  UNIQUE (account_id, subject_ref)
+);
+
+-- Kuyruğu boşaltan işleyicinin tek sorgusu: en eski bekleyenler önce.
+CREATE INDEX email_deliveries_pending_idx
+  ON email_deliveries (status, created_at)
+  WHERE status = 'pending';
+
+CREATE INDEX email_deliveries_account_idx
+  ON email_deliveries (account_id, created_at DESC);
+
+-- Duyuru postalarını kapatabilmek yasal bir zorunluluk değil (bunlar hizmet
+-- bildirimi, ticari ileti değil) ama kapatamadığı postayı insan spam
+-- işaretler; o da gönderim itibarını bozarak GERÇEKTEN kritik bir bildirimi
+-- göndermemiz gerektiğinde kimseye ulaşamamamıza yol açar. Anahtar bu yüzden
+-- var. Varsayılan açık: haber almak istemediğini söyleyene kadar istiyorsun.
+ALTER TABLE accounts ADD COLUMN announcement_emails_enabled INTEGER NOT NULL DEFAULT 1;
@@ -38,8 +38,8 @@
     "staging:slice5:images-cpu": "tsx scripts/orbit-slice5-images-cpu-staging-e2e.ts",
     "orbit:import:verify": "tsx scripts/orbit-slice3-manifest.ts",
     "orbit:import:local": "tsx scripts/orbit-slice3-import.ts --local --database=orbit-v6-local --config=wrangler.test.jsonc",
-    "test:d1": "tsx --test --test-concurrency=5 scripts/orbit-agent-identity-tests.ts scripts/orbit-api-contract-tests.ts scripts/orbit-d1-tests.ts scripts/orbit-mcp-authorization-tests.ts scripts/orbit-public-page-tests.ts scripts/orbit-public-repository-tests.ts scripts/orbit-single-renderer-tests.ts scripts/orbit-style-scale-tests.ts scripts/orbit-slice1-tests.ts scripts/orbit-slice1-worker-tests.ts scripts/orbit-slice3-tests.ts scripts/orbit-slice4-tests.ts scripts/orbit-slice5-tests.ts",
-    "test:d1:core": "tsx --test --test-concurrency=5 scripts/orbit-agent-identity-tests.ts scripts/orbit-api-contract-tests.ts scripts/orbit-d1-tests.ts scripts/orbit-public-page-tests.ts scripts/orbit-public-repository-tests.ts scripts/orbit-slice1-tests.ts scripts/orbit-slice1-worker-tests.ts scripts/orbit-slice3-tests.ts",
+    "test:d1": "tsx --test --test-concurrency=5 scripts/orbit-agent-identity-tests.ts scripts/orbit-api-contract-tests.ts scripts/orbit-d1-tests.ts scripts/orbit-email-tests.ts scripts/orbit-mcp-authorization-tests.ts scripts/orbit-public-page-tests.ts scripts/orbit-public-repository-tests.ts scripts/orbit-single-renderer-tests.ts scripts/orbit-style-scale-tests.ts scripts/orbit-slice1-tests.ts scripts/orbit-slice1-worker-tests.ts scripts/orbit-slice3-tests.ts scripts/orbit-slice4-tests.ts scripts/orbit-slice5-tests.ts",
+    "test:d1:core": "tsx --test --test-concurrency=5 scripts/orbit-agent-identity-tests.ts scripts/orbit-api-contract-tests.ts scripts/orbit-d1-tests.ts scripts/orbit-email-tests.ts scripts/orbit-public-page-tests.ts scripts/orbit-public-repository-tests.ts scripts/orbit-slice1-tests.ts scripts/orbit-slice1-worker-tests.ts scripts/orbit-slice3-tests.ts",
     "test:d1:publication": "tsx --test scripts/orbit-slice4-tests.ts",
     "test:d1:platform": "tsx --test scripts/orbit-slice5-tests.ts",
     "v6:check": "npm run test:d1 && npm run check && npm run worker:build",
 
@@ -0,0 +1,83 @@
+import assert from 'node:assert/strict';
+import { describe, test } from 'node:test';
+import { ResendSender, createEmailSender } from '../src/server/notifications/email';
+import { announcementEmail, recordRemovedEmail } from '../src/server/notifications/messages';
+
+function sender(respond: (request: Request) => Response | Promise<Response>) {
+  const seen: Request[] = [];
+  const instance = new ResendSender(
+    { apiKey: 'test-key', from: 'orbit@example.test', replyTo: 'iletisim@example.test' },
+    async (input, init) => {
+      const request = new Request(input as never, init as never);
+      seen.push(request);
+      return await respond(request);
+    },
+  );
+  return { instance, seen };
+}
+
+describe('giden posta', { concurrency: false }, () => {
+  test('4xx kalıcıdır, 429 ve 5xx geçicidir', async () => {
+    /* Ayrım tekrar denemeyi belirliyor ve iki yönde de pahalı. Kalıcı bir
+     * hatayı geçici saymak, geçersiz bir adrese beş kez daha yazmak ve her
+     * seferinde geri dönen posta üretmek demek — geri dönen posta gönderim
+     * itibarını bozar ve sonra GERÇEK adreslere de ulaşamayız. Geçici bir
+     * hatayı kalıcı saymak ise bildirimi tek denemede kaybetmek. */
+    for (const [status, expected] of [
+      [400, 'permanent'], [403, 'permanent'], [422, 'permanent'],
+      [429, 'transient'], [500, 'transient'], [503, 'transient'],
+    ] as const) {
+      const { instance } = sender(() => new Response('nope', { status }));
+      const result = await instance.send({ to: 'a@example.test', subject: 's', bodyText: 'b', unsubscribable: false });
+      assert.equal(result.outcome, expected, `${status} yanlış sınıflandırıldı`);
+    }
+  });
+
+  test('ağa ulaşılamaması geçicidir, kalıcı değil', async () => {
+    /* Resend'e ulaşamamak, Resend'in bizi reddettiği anlamına gelmiyor. */
+    const { instance } = sender(() => { throw new Error('network down'); });
+    const result = await instance.send({ to: 'a@example.test', subject: 's', bodyText: 'b', unsubscribable: false });
+    assert.equal(result.outcome, 'transient');
+  });
+
+  test('List-Unsubscribe yalnız kapatılabilir postaya konur', async () => {
+    /* Kapatılamayan bir postaya bu başlığı koymak, tutulmayacak bir söz
+     * vermek olur: insan tıklar, hiçbir şey değişmez. */
+    const { instance, seen } = sender(() => Response.json({ id: 'x' }));
+    await instance.send({ to: 'a@example.test', subject: 's', bodyText: 'b', unsubscribable: true });
+    await instance.send({ to: 'a@example.test', subject: 's', bodyText: 'b', unsubscribable: false });
+    const bodies = await Promise.all(seen.map(async (request) => await request.json() as {
+      headers?: Record<string, string>;
+      reply_to?: string;
+    }));
+    assert.ok(bodies[0].headers?.['List-Unsubscribe'], 'duyuru postasında çıkış başlığı yok');
+    assert.equal(bodies[1].headers, undefined, 'kapatılamayan postaya çıkış başlığı konmuş');
+    assert.equal(bodies[0].reply_to, 'iletisim@example.test', 'yanıtlar insanın okuduğu kutuya gitmiyor');
+  });
+
+  test('anahtar eksikse gönderim kapalıdır ve bu bir arıza değildir', async () => {
+    /* Yerel geliştirme, test ve staging bu hâlde çalışıyor. Kuyruk
+     * yazılmaya devam eder, yalnız boşaltılmaz; gönderim açıldığında
+     * bekleyenler gider. Sessizce "gönderildi" demek yalan olurdu. */
+    assert.equal(createEmailSender({}), null);
+    assert.equal(createEmailSender({ RESEND_API_KEY: 'k' }), null, 'gönderen adresi olmadan gönderim açılmış');
+    assert.equal(createEmailSender({ RESEND_API_KEY: 'k', ORBIT_EMAIL_FROM: 'a@b.test' }), null);
+    assert.ok(createEmailSender({
+      RESEND_API_KEY: 'k', ORBIT_EMAIL_FROM: 'a@b.test', ORBIT_EMAIL_REPLY_TO: 'c@b.test',
+    }));
+  });
+
+  test('posta metinleri kapatma yolunu doğru anlatır', async () => {
+    const announcement = announcementEmail({
+      title: 'Kota değişikliği', bodyMarkdown: 'Yayın kotası arttı.', severity: 'warning',
+    });
+    assert.match(announcement.subject, /^\[Uyarı\] /u);
+    assert.match(announcement.bodyText, /dashboard adresinden kapatabilirsin/u);
+
+    const moderation = recordRemovedEmail({ agentHandle: 'nyx', reason: 'kural ihlali' });
+    /* Kapatılamayan postada sebebin yazılı olması lazım: kapatma yolunu
+     * arayıp bulamayan insan spam işaretler, o da teslim itibarını bozar. */
+    assert.match(moderation.bodyText, /kapatılamaz/u);
+    assert.doesNotMatch(moderation.bodyText, /kapatabilirsin/u);
+  });
+});
@@ -4,6 +4,7 @@ import { isDeepStrictEqual } from 'node:util';
 const files = {
   live: new URL('../wrangler.production.live.jsonc', import.meta.url),
   darkLaunch: new URL('../wrangler.production.dark-launch.jsonc', import.meta.url),
+  staging: new URL('../wrangler.staging.jsonc', import.meta.url),
   deployWorkflow: new URL('../.github/workflows/deploy-production.yml', import.meta.url),
   fullRegressionWorkflow: new URL('../.github/workflows/full-regression.yml', import.meta.url),
 };
@@ -31,6 +32,22 @@ async function readConfig(url, label) {
   }
 }
 
+/* Staging dosyası yorum taşıyor ve taşımalı: oradaki cron kısıtının SEBEBİ
+ * dosyanın kendisinde yazmazsa, biri onu iyi niyetle geri ekler. Katı JSON
+ * kuralı yalnız iki production dosyası için geçerli — orada yorum yok ki
+ * gözden kaçan bir alan yorum arkasına saklanamasın. */
+async function readJsonc(url, label) {
+  const text = await readFile(url, 'utf8');
+  const stripped = text
+    .replace(/\/\*[\s\S]*?\*\//gu, '')
+    .replace(/(^|[^:])\/\/.*$/gmu, '$1');
+  try {
+    return JSON.parse(stripped);
+  } catch (error) {
+    fail(`${label} could not be parsed: ${error.message}`);
+  }
+}
+
 function findForbiddenKeys(value, path = '$') {
   const found = [];
 
@@ -79,6 +96,12 @@ const expectedCommonVars = {
   ORBIT_PLATFORM_OWNER_GITHUB_ID: '126420524',
   ORBIT_BACKUP_ENABLED: 'true',
   ORBIT_MEDIA_ENABLED: 'true',
+  /* Gönderen adresi doğrulanmış alan adıyla eşleşmek zorunda: Resend'de
+   * sametbasbug.dev doğrulandı, orbit@ ondan türüyor. Yanıt adresi ise
+   * gizlilik ve iletişim sayfalarında yazan adresin aynısı — kullanıcıya
+   * "cevap verme" denmeyen bir kutu göstermek zorundayız. */
+  ORBIT_EMAIL_FROM: 'Orbit <orbit@sametbasbug.dev>',
+  ORBIT_EMAIL_REPLY_TO: 'iletisim@sametbasbug.dev',
 };
 
 const expectedResources = {
@@ -124,7 +147,10 @@ const expectedResources = {
     },
   },
   triggers: {
-    crons: ['17 3 * * *', '0 4 * * *'],
+    /* Üçüncü tetikleyici giden posta kuyruğunu boşaltıyor. Günlük bakıma
+     * bağlanamaz: bir güvenlik bildiriminin ertesi sabahı beklemesi,
+     * bildirimi anlamsız kılar. Kuyruk boşken maliyeti tek bir SELECT. */
+    crons: ['17 3 * * *', '0 4 * * *', '*/5 * * * *'],
   },
 };
 
@@ -161,6 +187,8 @@ function validateConfig(config, expected) {
       ORBIT_PLATFORM_OWNER_GITHUB_ID: '126420524',
       ORBIT_BACKUP_ENABLED: 'true',
       ORBIT_MEDIA_ENABLED: 'true',
+      ORBIT_EMAIL_FROM: 'Orbit <orbit@sametbasbug.dev>',
+      ORBIT_EMAIL_REPLY_TO: 'iletisim@sametbasbug.dev',
     },
     `${expected.label} vars drifted`,
   );
@@ -181,6 +209,7 @@ function normalizeModeDifferences(config) {
 
 const live = await readConfig(files.live, 'live config');
 const darkLaunch = await readConfig(files.darkLaunch, 'dark-launch config');
+const staging = await readJsonc(files.staging, 'staging config');
 const deployWorkflow = await readFile(files.deployWorkflow, 'utf8');
 const fullRegressionWorkflow = await readFile(files.fullRegressionWorkflow, 'utf8');
 
@@ -204,6 +233,22 @@ assertDeepEqual(
   'live and dark-launch configs differ outside the reviewed mode surface',
 );
 
+/* Hesap genelinde cron bütçesi. Workers Free planı 5 tetikleyiciye izin
+ * veriyor ve aynı anda yalnız iki worker yayında: production ile staging.
+ * Bütçe aşılınca dağıtım sessizce yarım kalıyor — worker yükleniyor, cron
+ * güncellemesi API'den dönüyor. Bunu bir kez staging'de ödedim; buradan
+ * sonra derlemede yakalanır. */
+const CLOUDFLARE_FREE_CRON_BUDGET = 5;
+const deployedCrons = live.triggers.crons.length + staging.triggers.crons.length;
+assert(
+  deployedCrons <= CLOUDFLARE_FREE_CRON_BUDGET,
+  `production and staging together request ${deployedCrons} cron triggers, over the account limit of ${CLOUDFLARE_FREE_CRON_BUDGET}`,
+);
+assert(
+  !staging.triggers.crons.includes('*/5 * * * *'),
+  'staging claims the outbound email cron: it cannot send without a key and it costs production its third trigger',
+);
+
 assert(
   deployWorkflow.includes('ORBIT_LIVE_OAUTH_CLIENT_ID: ${{ secrets.ORBIT_LIVE_OAUTH_CLIENT_ID }}'),
   'production deploy does not source the live OAuth client ID from the production environment',
 
@@ -722,6 +722,80 @@ async function testRoute(request: Request, env: TestEnv): Promise<Response | nul
     return Response.json(await runIdentityCleanup(env, now));
   }
 
+  /* Giden posta testleri kurulumlarını BURADAN yapıyor, CLI'dan değil.
+   * wrangler dev veritabanını açık tutarken dışarıdan yazmaya kalkmak
+   * worker'ı ECONNRESET ile düşürüyor; bir kez ödeyerek öğrendim. */
+  if (url.pathname === '/__test/seed-email-world') {
+    /* Test kendi dünyasını TAMAMEN kuruyor: üç hesap, üç kimlik satırı.
+     * Fikstürdeki hesaplara yaslanmayı denedim ve testi boşa çıkardı —
+     * onların auth_identities satırı yok, dolayısıyla sorgudaki JOIN
+     * zaten eliyordu ve tercih süzgecini bozduğumda test yine geçiyordu.
+     *
+     *   wants      → adresi var, istiyor   → kuyruğa girmeli
+     *   refuses    → adresi var, istemiyor → girmemeli (tercih süzgeci)
+     *   no-email   → adresi yok, istiyor   → girmemeli (adres süzgeci)
+     */
+    const account = (id: string, handle: string) => env.DB.prepare(`
+      INSERT OR IGNORE INTO accounts (
+        id, handle, handle_normalized, display_name, avatar_url,
+        status, created_at, updated_at, last_login_at
+      ) VALUES (?, ?, ?, ?, NULL, 'active', ?, ?, ?)
+    `).bind(id, handle, handle, handle, now, now, now);
+    const identity = (id: string, accountId: string, providerId: string, email: string | null) =>
+      env.DB.prepare(`
+        INSERT OR IGNORE INTO auth_identities (
+          id, account_id, provider, provider_user_id,
+          provider_login_snapshot, provider_email_snapshot, created_at, last_seen_at
+        ) VALUES (?, ?, 'github', ?, ?, ?, ?, ?)
+      `).bind(id, accountId, providerId, accountId, email, now, now);
+
+    await env.DB.batch([
+      env.DB.prepare('DELETE FROM email_deliveries'),
+      account('acc-wants', 'posta-isteyen'),
+      account('acc-refuses', 'posta-istemeyen'),
+      account('acc-no-email', 'adressiz'),
+      identity('ident-wants', 'acc-wants', '900000001', null),
+      identity('ident-refuses', 'acc-refuses', '900000002', null),
+      identity('ident-no-email', 'acc-no-email', '900000003', null),
+      /* Önce herkesi adressiz yap: fikstürde adres taşıyan bir hesap
+       * kalırsa beklenen sayı tutmaz ve testin ne ölçtüğü belirsizleşir. */
+      env.DB.prepare('UPDATE auth_identities SET provider_email_snapshot = NULL'),
+      env.DB.prepare('UPDATE accounts SET announcement_emails_enabled = 1'),
+      env.DB.prepare("UPDATE auth_identities SET provider_email_snapshot = 'alan@example.test' WHERE account_id = 'acc-wants'"),
+      env.DB.prepare("UPDATE auth_identities SET provider_email_snapshot = 'istemeyen@example.test' WHERE account_id = 'acc-refuses'"),
+      env.DB.prepare("UPDATE accounts SET announcement_emails_enabled = 0 WHERE id = 'acc-refuses'"),
+    ]);
+    return Response.json({ wants: 'acc-wants', refuses: 'acc-refuses', withoutEmail: 'acc-no-email' });
+  }
+
+  /* Bir fikstür hesabına bildirim adresi verir. Yayın reddi testinin
+   * ihtiyacı bu: reddi veren moderatör ile ajanın sponsoru farklı olmalı
+   * ve sponsorun adresi bulunmalı, yoksa kuyruk boş kalır ve test hiçbir
+   * şey ölçmez. */
+  if (url.pathname === '/__test/set-account-email') {
+    await env.DB.batch([
+      env.DB.prepare('DELETE FROM email_deliveries'),
+      env.DB.prepare(`
+        INSERT INTO auth_identities (
+          id, account_id, provider, provider_user_id,
+          provider_login_snapshot, provider_email_snapshot, created_at, last_seen_at
+        ) VALUES (?, ?, 'github', ?, ?, ?, ?, ?)
+        ON CONFLICT (account_id, provider) DO UPDATE SET provider_email_snapshot = excluded.provider_email_snapshot
+      `).bind(
+        `ident-${String(body.accountId)}`, String(body.accountId), `95${String(body.accountId).slice(-7)}`,
+        String(body.accountId), String(body.email), now, now,
+      ),
+    ]);
+    return Response.json({ ok: true });
+  }
+
+  if (url.pathname === '/__test/email-deliveries') {
+    const rows = await env.DB.prepare(`
+      SELECT recipient, kind, status, subject FROM email_deliveries ORDER BY created_at ASC
+    `).all<{ recipient: string; kind: string; status: string; subject: string }>();
+    return Response.json({ deliveries: rows.results ?? [] });
+  }
+
   if (url.pathname === '/__test/seed-idempotency') {
     await env.DB.prepare(`
       INSERT INTO idempotency_keys (
 
@@ -3,6 +3,7 @@ import { describe, test } from 'node:test';
 import worker, {
   BACKUP_CRON,
   BACKUP_RECONCILIATION_CRON,
+  EMAIL_DRAIN_CRON,
   runScheduledMaintenance,
 } from '../src/worker';
 import {
@@ -383,6 +384,7 @@ describe('Orbit V6 deployment-mode contract', () => {
           async reconcileStaleBackupRuns() {
             calls.push('reconciliation');
           },
+          async drainEmailQueue() { calls.push('email_drain'); },
         },
       ),
       /scheduled_maintenance_failed:identity_cleanup/u,
@@ -404,8 +406,33 @@ describe('Orbit V6 deployment-mode contract', () => {
           assert.equal(now, scheduledTime);
           calls.push('reconciliation');
         },
+        async drainEmailQueue() { calls.push('email_drain'); },
       },
     );
     assert.deepEqual(calls, ['reconciliation']);
   });
+
+  test('the five-minute cron drains email and touches nothing else', async () => {
+    /* Posta turu kendi başına dönmeli. Günlük bakımla aynı sepete
+     * girseydi, yedekleme düştüğünde posta da gönderilmemiş sayılırdı — ve
+     * o posta bir güvenlik bildirimi olabilir. Ters yönü de önemli: beş
+     * dakikada bir yedek almaya kalkmak felaket olurdu. */
+    const calls: string[] = [];
+    const scheduledTime = 1_785_729_900_000;
+    await runScheduledMaintenance(
+      { cron: EMAIL_DRAIN_CRON, scheduledTime },
+      productionBindings('live'),
+      {
+        async runIdentityCleanup() { calls.push('identity_cleanup'); },
+        async runScheduledBackups() { calls.push('backup'); },
+        async cleanupMedia() { calls.push('media_cleanup'); },
+        async reconcileStaleBackupRuns() { calls.push('reconciliation'); },
+        async drainEmailQueue(_env, now) {
+          assert.equal(now, scheduledTime);
+          calls.push('email_drain');
+        },
+      },
+    );
+    assert.deepEqual(calls, ['email_drain']);
+  });
 });