feat(update): отдельный update.base_url и вшитый токен read:package

- update.base_url (env UPDATE_BASE_URL) — хост обновления, БЕЗ фоллбэка на git.base_url: пустое значение отключает update.
- Убран git.token из пути обновления: теперь отдельный токен.
- Токен read:package вшивается при сборке (-X main.updateToken из секрета TC_UPDATE_TOKEN), приоритет над update.token из конфига.
- Обновлены app.New (сигнатура), main, Makefile, CI, config.example, тесты.

config.yaml.example

@@ -20,7 +20,10 @@ telegram:
 
 # update (авто-обновление бинаря из Gitea Packages)
 # Авто-режим только проверяет и уведомляет владельца; замена — по команде /update.
+# Если base_url не задан — обновление отключено (фоллбэк на git.base_url НЕ используется).
 #   enabled: false                             # включить фоновую проверку обновления
+#   base_url: "http://gitea.hal9000.home"      # хост Gitea для обновления (UPDATE_BASE_URL)
+#   token: "${UPDATE_TOKEN}"                   # токен read:package (UPDATE_TOKEN) — опционально, если не вшит
 #   owner: "kamelion"                          # владелец пакета в Gitea (UPDATE_OWNER)
 #   package: "ratatoskr"                       # имя пакета-хранилища (generic)
 #   check_interval: "24h"                      # как часто проверять наличие обновления