feat(update): отдельный update.base_url и вшитый токен read:package

- update.base_url (env UPDATE_BASE_URL) — хост обновления, БЕЗ фоллбэка на git.base_url: пустое значение отключает update.
- Убран git.token из пути обновления: теперь отдельный токен.
- Токен read:package вшивается при сборке (-X main.updateToken из секрета TC_UPDATE_TOKEN), приоритет над update.token из конфига.
- Обновлены app.New (сигнатура), main, Makefile, CI, config.example, тесты.

internal/config/types.go

@@ -50,12 +50,17 @@ type GitCfg struct {
 
 // UpdateCfg — автообновление.
 // Enabled=false отключает и авто-проверку, и /update.
+// BaseURL — хост Gitea для обновления (обязателен: без него update отключён,
+// фоллбэк на git.base_url НЕ используется).
+// Token — токен read:package. Приоритет: вшитый -X main.updateToken > этот.
 // Owner — владелец Gitea-пакета (обязателен для работы обновления).
 // Package — имя пакета-хранилища (по умолчанию ratatoskr).
 // CheckInterval — как часто авто-проверять наличие обновления
 // (по умолчанию 24h). Авто-режим ТОЛЬКО уведомляет; замена — по /update.
 type UpdateCfg struct {
 	Enabled       bool     `yaml:"enabled"        default:"false"`
+	BaseURL       string   `yaml:"base_url"       env:"UPDATE_BASE_URL"`
+	Token         string   `yaml:"token"          env:"UPDATE_TOKEN"`
 	Owner         string   `yaml:"owner"          env:"UPDATE_OWNER"`
 	Package       string   `yaml:"package"        default:"ratatoskr"`
 	CheckInterval Duration `yaml:"check_interval" default:"24h"`