diff --git a/backend/src/services/mikrotik.ts b/backend/src/services/mikrotik.ts
index b05b5b1..e713a8b 100644
--- a/backend/src/services/mikrotik.ts
+++ b/backend/src/services/mikrotik.ts
@@ -444,8 +444,9 @@ function generateExportPassphrase(): string {
 
 const EXPORT_PASSPHRASE_HINT =
   "RouterOS отклонил пароль .p12. Экспорт приватного ключа (export-passphrase — sensitive-параметр) " +
-  "требует у пользователя RouterOS API политику «sensitive»: " +
-  "/user set <api-user> policy=api,rest-api,read,write,sensitive — и уберите скрытие sensitive в группе пользователя."
+  "разрешён только пользователю, у которого в политике группы есть «sensitive». " +
+  "Проверьте: /user print → группа API-пользователя → /user group print; добавьте sensitive в policy группы " +
+  "(в группе full она уже есть)."
 
 export class MikrotikClient {
   constructor(private readonly params: MikrotikConnectParams) {}