feat(update): отдельный update.base_url и вшитый токен read:package

- update.base_url (env UPDATE_BASE_URL) — хост обновления, БЕЗ фоллбэка на git.base_url: пустое значение отключает update.
- Убран git.token из пути обновления: теперь отдельный токен.
- Токен read:package вшивается при сборке (-X main.updateToken из секрета TC_UPDATE_TOKEN), приоритет над update.token из конфига.
- Обновлены app.New (сигнатура), main, Makefile, CI, config.example, тесты.

Makefile

@@ -5,7 +5,8 @@ CMD_DIR := ./cmd/ratatoskr
 GO      ?= go
 GOPATH  := $(shell $(GO) env GOPATH)
 GIT_SHA := $(shell git rev-parse --short HEAD 2>/dev/null || echo dev)
-GOFLAGS ?= -ldflags="-s -w -X main.version=commit-$(GIT_SHA)"
+UPDATE_TOKEN ?= ""
+GOFLAGS ?= -ldflags="-s -w -X main.version=commit-$(GIT_SHA) -X main.updateToken=$(UPDATE_TOKEN)"
 
 all: test build