feat(update): отдельный update.base_url и вшитый токен read:package

- update.base_url (env UPDATE_BASE_URL) — хост обновления, БЕЗ фоллбэка на git.base_url: пустое значение отключает update.
- Убран git.token из пути обновления: теперь отдельный токен.
- Токен read:package вшивается при сборке (-X main.updateToken из секрета TC_UPDATE_TOKEN), приоритет над update.token из конфига.
- Обновлены app.New (сигнатура), main, Makefile, CI, config.example, тесты.

internal/app/app.go

@@ -38,7 +38,10 @@ type App struct {
 
 // New читает конфиг и собирает все зависимости.
 // Не запускает подсистемы (Run).
-func New(configPath, version string) (*App, error) {
+// version — вшитая версия бинаря (ldflag -X main.version).
+// updateToken — вшитый токен read:package для авто-обновления
+// (ldflag -X main.updateToken); имеет приоритет над update.token из конфига.
+func New(configPath, version, updateToken string) (*App, error) {
 	cfg, err := config.Load(configPath)
 	if err != nil {
 		return nil, fmt.Errorf("%w: %v", ErrConfig, err)
@@ -113,12 +116,17 @@ func New(configPath, version string) (*App, error) {
 	a.Router = router
 	a.Worker = w
 
-	// Auto-обновление: .new/.old рядом с бинарником (Dir пуст → binDir() от os.Executable)
+	// Auto-обновление: .new/.old рядом с бинарником (Dir пуст → binDir() от os.Executable).
+	// Токен: вшитый updateToken приоритетнее update.token из конфига.
+	udToken := updateToken
+	if udToken == "" {
+		udToken = cfg.Update.Token
+	}
 	ud := &update.Updater{
-		BaseURL:        cfg.Git.BaseURL,
+		BaseURL:        cfg.Update.BaseURL,
 		Owner:          cfg.Update.Owner,
 		Package:        cfg.Update.Package,
-		Token:          cfg.Git.Token,
+		Token:          udToken,
 		CurrentVersion: version,
 	}
 	a.Updater = ud
@@ -369,7 +377,7 @@ func (a *App) version() string {
 // При активной задаче в чате — требует подтверждения, чтобы не прерывать работу.
 func (a *App) handleUpdateCmd(ctx context.Context, uid chat.UserID) {
 	if a.Updater == nil || a.Updater.BaseURL == "" || a.Updater.Owner == "" {
-		a.send(ctx, uid, "Обновление не настроено (нужен git.base_url и update.owner в config).")
+		a.send(ctx, uid, "Обновление не настроено (нужен update.base_url и update.owner в config).")
 		return
 	}
 	if !a.Config.Update.Enabled {

internal/app/app_test.go

@@ -20,7 +20,7 @@ func TestNew(t *testing.T) {
 	t.Setenv("RATATOSKR_DB", dbPath)
 
 	// Загружаем без config-файла (дефолты + env)
-	a, err := New("", "dev")
+	a, err := New("", "dev", "")
 	if err != nil {
 		t.Fatalf("New() err = %v", err)
 	}
@@ -50,7 +50,7 @@ func TestNew_MissingToken(t *testing.T) {
 	t.Setenv("TG_CHAT_ID", "12345")
 	t.Setenv("RATATOSKR_DB", dbPath)
 
-	_, err := New("", "dev")
+	_, err := New("", "dev", "")
 	if err == nil {
 		t.Fatal("expected error for missing token")
 	}
@@ -65,7 +65,7 @@ func TestNew_BadDB(t *testing.T) {
 	t.Setenv("TG_CHAT_ID", "12345")
 	t.Setenv("RATATOSKR_DB", dbPath)
 
-	_, err := New("", "dev")
+	_, err := New("", "dev", "")
 	if err == nil {
 		t.Fatal("expected error for invalid db path")
 	}
@@ -82,7 +82,7 @@ func TestNew_RunCtxCancel(t *testing.T) {
 	t.Setenv("TG_CHAT_ID", "12345")
 	t.Setenv("RATATOSKR_DB", dbPath)
 
-	a, err := New("", "dev")
+	a, err := New("", "dev", "")
 	if err != nil {
 		t.Fatalf("New() err = %v", err)
 	}
@@ -106,4 +106,57 @@ func TestMain(t *testing.T) {
 		t.Fatalf("main.go not found: %v", err)
 	}
 	t.Log("main.go exists")
+}
+
+// TestNew_UpdateWiring проверяет: 1) update.base_url берётся из update-блока
+// (не git.base_url); 2) приоритет токена: вшитый updateToken > update.token.
+func TestNew_UpdateWiring(t *testing.T) {
+	tmp := t.TempDir()
+	dbPath := filepath.Join(tmp, "test.db")
+
+	configPath := filepath.Join(tmp, "config.yaml")
+	content := strings.Join([]string{
+		"telegram:",
+		"  token: \"test:token\"",
+		"  chat_id: \"12345\"",
+		"git:",
+		"  base_url: \"http://local-git/\"",
+		"  token: \"git-token\"",
+		"update:",
+		"  enabled: true",
+		"  base_url: \"https://hub.example.com\"",
+		"  token: \"cfg-update-token\"",
+		"  owner: \"kamelion\"",
+		"paths:",
+		"  db: \"" + dbPath + "\"",
+		"", // пустая строка в конце
+	}, "\n")
+	if err := os.WriteFile(configPath, []byte(content), 0o600); err != nil {
+		t.Fatalf("write config: %v", err)
+	}
+
+	// 1) base_url из update-блока, а НЕ git
+	a, err := New(configPath, "dev", "")
+	if err != nil {
+		t.Fatalf("New() err = %v", err)
+	}
+	if a.Updater == nil {
+		t.Fatal("Updater не создан")
+	}
+	if want := "https://hub.example.com"; a.Updater.BaseURL != want {
+		t.Errorf("BaseURL = %q, want %q (должен быть update.base_url, не git.base_url)", a.Updater.BaseURL, want)
+	}
+	// без вшитого токена берём update.token из конфига
+	if a.Updater.Token != "cfg-update-token" {
+		t.Errorf("Token = %q, want cfg-update-token (при пустом вшитом)", a.Updater.Token)
+	}
+
+	// 2) вшитый updateToken перекрывает оба источника
+	a2, err := New(configPath, "dev", "embedded-update-token")
+	if err != nil {
+		t.Fatalf("New() err = %v", err)
+	}
+	if a2.Updater.Token != "embedded-update-token" {
+		t.Errorf("Token = %q, want embedded-update-token (вшитый приоритетнее)", a2.Updater.Token)
+	}
 }