config: simplify runtime environment model

docs/deployment.md

@@ -165,17 +165,10 @@ services:
 - поднимать `postgres`, `admin-api`, `mcp-server`, `ui`;
 - использовать env vars вместо hardcoded config;
 - иметь persistent storage для БД и artifacts;
-- поддерживать настраиваемый bind host для published ports;
-- публиковать `ui`, `admin-api` и `mcp-server` на loopback, если reverse proxy живет на том же хосте;
-- публиковать `ui`, `admin-api` и `mcp-server` на LAN bind address или `0.0.0.0`, если reverse proxy вынесен на отдельный хост;
+- публиковать `ui`, `admin-api` и `mcp-server` на loopback по умолчанию;
 - не публиковать внутренние сервисы наружу без необходимости;
 - содержать healthchecks.
 
-Практически это должно быть управляемо через env вроде `CRANK_PUBLISH_HOST`:
-
-- `127.0.0.1` для local reverse proxy на том же Linux host;
-- конкретный внутренний IP или `0.0.0.0` для отдельного центрального reverse proxy в LAN.
-
 ## 10. Healthchecks
 
 Нужны как минимум:
@@ -238,20 +231,18 @@ CD для MVP должен:
 Workflow собирает `.env` на сервере из отдельных GitHub secrets. Для runtime-переменных нужно
 создавать secrets с теми же именами, что и у приложений:
 
+- `POSTGRES_HOST`
+- `POSTGRES_PORT`
 - `POSTGRES_DB`
 - `POSTGRES_USER`
 - `POSTGRES_PASSWORD`
-- `CRANK_DATABASE_URL`
 - `CRANK_STORAGE_ROOT`
-- `CRANK_PUBLISH_HOST`
 - `CRANK_ADMIN_BIND`
 - `CRANK_MCP_BIND`
 - `CRANK_MCP_REFRESH_MS`
 - `CRANK_LOG_LEVEL`
-- `CRANK_SECRET_PROVIDER`
 - `CRANK_MASTER_KEY`
-- `CRANK_PUBLIC_BASE_URL`
-- `CRANK_MCP_PUBLIC_URL`
+- `CRANK_BASE_URL`
 - `CRANK_SESSION_SECRET`
 - `CRANK_PASSWORD_PEPPER`
 - `CRANK_SESSION_TTL_HOURS`