CI: токен реестра и моделей из секрета ACTION_PAT

Co-Authored-By: Claude Sonnet 5.5 <[email protected]>

docs/docker.md

@@ -199,10 +199,9 @@ Workflow `.gitea/workflows/docker.yml` собирает образ и публи
 
    | Секрет | Значение |
    |---|---|
-   | `REGISTRY_USER` | пользователь Gitea, под которым публикуется образ |
-   | `REGISTRY_TOKEN` | токен этого пользователя с правами `write:package` (и `read:package`) |
+   | `ACTION_PAT` | токен Gitea (Settings → Applications → Access Tokens) с правами `write:package` и `read:package`; им образ публикуется в реестр и скачиваются модели. Имена секретов не могут начинаться с `GITEA_` и `GITHUB_`, поэтому не `GITEA_TOKEN` |
+   | `REGISTRY_USER` | необязательно: владелец токена; по умолчанию — владелец репозитория (`denozord`) |
    | `MODELS_URL` | необязательно: ссылка на `models-bundle.tar.gz`; нет — образ без моделей |
-   | `MODELS_TOKEN` | необязательно: токен с `read:package` для скачивания по `MODELS_URL` |
 
 3. Реестр контейнеров Gitea доступен по HTTPS. Если Gitea по HTTP, добавьте её адрес в
    `insecure-registries` Docker на раннере и на VPS (`/etc/docker/daemon.json`).
@@ -261,7 +260,7 @@ Workflow `.gitea/workflows/docker.yml` собирает образ и публи
 | 401 | не передан токен или он отличается от `DUB_API_TOKEN` |
 | Контейнер `unhealthy` в первые минуты | модель ещё грузится; `docker logs dub-ai`. Если не проходит — не хватает памяти (`docker stats`) |
 | CI: `Cannot connect to the Docker daemon` | у раннера нет доступа к Docker (см. «Что настроить один раз») |
-| CI: `unauthorized` при push | у `REGISTRY_TOKEN` нет `write:package` или `REGISTRY_USER` не владелец/участник пространства имён репозитория |
+| CI: `unauthorized` при push | у `ACTION_PAT` нет `write:package` или токен принадлежит не владельцу/участник пространства имён репозитория |
 | CI: образ без моделей, хотя ждали с ними | секрет `MODELS_URL` пуст или шаг скачивания пропущен — смотрите лог шага «Модели» |
 
 ## Что проверено, а что нет