diff --git a/docs/superpowers/plans/2026-10-03-slice-0-skeleton.md b/docs/superpowers/plans/2026-10-03-slice-0-skeleton.md
index fdd83b6..6b116da 100644
--- a/docs/superpowers/plans/2026-10-03-slice-0-skeleton.md
+++ b/docs/superpowers/plans/2026-10-03-slice-0-skeleton.md
@@ -85,7 +85,7 @@
 
 ### Task 17: [4.2] `src/repositories/users.py` (пользователь по email, эффективные права одним запр
 
-- [ ] `src/repositories/users.py` (пользователь по email, эффективные права одним запросом), `api/dependencies/auth.py` (`current_user` → 401/403, `require(code)`), `src/schemas/me.py`; проверка: тесты на dev-пользователях seed — сценарии «Право есть», «Права нет», «Две роли»
+- [x] `src/repositories/users.py` (пользователь по email, эффективные права одним запросом), `api/dependencies/auth.py` (`current_user` → 401/403, `require(code)`), `src/schemas/me.py`; проверка: тесты на dev-пользователях seed — сценарии «Право есть», «Права нет», «Две роли»
 
 ### Task 18: [4.3] `api/endpoints/me.py` (`GET /api/v1/me`), `api/endpoints/dev_auth.py` (`POST /ap
 
diff --git a/openspec/changes/slice-0-skeleton/tasks.md b/openspec/changes/slice-0-skeleton/tasks.md
index b2913da..f2a973f 100644
--- a/openspec/changes/slice-0-skeleton/tasks.md
+++ b/openspec/changes/slice-0-skeleton/tasks.md
@@ -70,7 +70,7 @@
 - [x] 4.1 `src/core/auth.py`: `Claims`, протокол `TokenVerifier`, `DevHs256Verifier`, `JwksVerifier` (PyJWT, RS256/ES256,
       кэш JWKS), фабрика по настройкам; проверка: unit-тесты — валидный/истёкший/чужой ключ, dev-verifier не создаётся при
       `AUTH_DEV_ISSUER=false`
-- [ ] 4.2 `src/repositories/users.py` (пользователь по email, эффективные права одним запросом), `api/dependencies/auth.py`
+- [x] 4.2 `src/repositories/users.py` (пользователь по email, эффективные права одним запросом), `api/dependencies/auth.py`
       (`current_user` → 401/403, `require(code)`), `src/schemas/me.py`; проверка: тесты на dev-пользователях seed —
       сценарии «Право есть», «Права нет», «Две роли»
 - [ ] 4.3 `api/endpoints/me.py` (`GET /api/v1/me`), `api/endpoints/dev_auth.py` (`POST /api/v1/dev/token`, подключается