feat(update): отдельный update.base_url и вшитый токен read:package

- update.base_url (env UPDATE_BASE_URL) — хост обновления, БЕЗ фоллбэка на git.base_url: пустое значение отключает update.
- Убран git.token из пути обновления: теперь отдельный токен.
- Токен read:package вшивается при сборке (-X main.updateToken из секрета TC_UPDATE_TOKEN), приоритет над update.token из конфига.
- Обновлены app.New (сигнатура), main, Makefile, CI, config.example, тесты.

.gitea/workflows/ci.yaml

@@ -58,7 +58,7 @@ jobs:
           fi
           VERSION="commit-$(echo '${{ gitea.sha }}' | cut -c1-7)"
           GOOS=${{ matrix.goos }} GOARCH=${{ matrix.goarch }} \
-            go build -ldflags="-s -w -X main.version=${VERSION}" -o "${FILENAME}" ./cmd/ratatoskr/
+            go build -ldflags="-s -w -X main.version=${VERSION} -X main.updateToken=${{ secrets.TC_UPDATE_TOKEN }}" -o "${FILENAME}" ./cmd/ratatoskr/
           echo "FILENAME=${FILENAME}" >> "${GITEA_ENV}"
           echo "VERSION=${VERSION}" >> "${GITEA_ENV}"