ci: split CI by area with path filters and speed up releases

- ci.yml becomes ci-api, ci-contract, ci-recommender, ci-ts, ci-mobile and
  docker workflows, each filtered by paths; docs-only commits run nothing
- docker builds all four images in one job with plain docker build on the
  runner host, so the layer cache survives between runs
- release no longer re-runs the test suite (the tagged commit already passed
  CI on main); version and release notes are one job
- the android job mounts persistent Gradle and Android SDK caches from
  /opt/ci-cache (when the runner allows the volumes) and uses --build-cache
- RELEASE_TOKEN is optional: fall back to the built-in job token
- docs: CI layout and act_runner settings (capacity, cache, valid_volumes)

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

docs/architecture.md

@@ -114,7 +114,7 @@ pipu-music/
 ├── tests/
 │   ├── e2e/                    # Playwright
 │   └── fixtures/music/         # генерируемые тестовые аудиофайлы
-├── .gitea/workflows/           # ci.yml, release.yml
+├── .gitea/workflows/           # ci-*.yml, docker.yml (по областям), release.yml
 ├── docs/
 ├── turbo.json  pnpm-workspace.yaml  package.json
 └── README.md

docs/ci-cd.md

@@ -17,28 +17,27 @@ C++-сборка React Native). APK собирается только под `ar
   (тесты — `pnpm test:scripts`).
 - Changelog — `git-cliff` из Conventional Commits.
 
-## `ci.yml` — на каждый push и PR
+## CI — на каждый push в `main` и PR
 
-```yaml
-on:
-  push: { branches: [main] }
-  pull_request:
+Проверки разбиты на workflow по областям, у каждого фильтр путей (`on.push.paths`): запускается только то,
+что затронуто коммитом. Коммиты только в `docs/` и `*.md` CI не запускают вовсе.
 
-jobs:
-  changes:         # фильтр путей: api / recommender / web / mobile / packages / docs
-  contract:        # spectral lint openapi.yaml; регенерация Go + TS клиентов; git diff --exit-code
-  api:             # go vet, golangci-lint, go test -race ./... (testcontainers), покрытие
-  recommender:     # uv sync; ruff; mypy --strict; pytest (вкл. оффлайн-оценку качества)
-  ts:              # pnpm install --frozen-lockfile; turbo lint typecheck test; i18n:check
-  web-build:       # vite build, проверка размера бандла
-  docker:          # сборка всех Docker-образов без push (сервер собирает их сам — ADR-013)
-  mobile-check:    # tsc, jest, expo prebuild + ./gradlew assembleDebug (только если менялся mobile/)
-  e2e:             # needs: api, web-build; docker compose -f deploy/compose.test.yaml up; playwright test
-```
+| Workflow | Job | Что делает | Когда |
+|---|---|---|---|
+| `ci-api.yml` | `api` | gofmt, go vet, `go test -race`, сборка | `services/api/**`, `api/openapi.yaml` |
+| `ci-contract.yml` | `contract` | регенерация Go-сервера, TS-клиента и токенов; всё ли закоммичено | `openapi.yaml`, `gen/`, `packages/api-client`, `packages/design-tokens`, общие файлы JS |
+| `ci-recommender.yml` | `recommender` | ruff, mypy, pytest | `services/recommender/**` |
+| `ci-ts.yml` | `ts` | i18n, тесты скриптов, typecheck (вкл. mobile), vitest, сборка веба | `apps/**`, `packages/**`, `scripts/**`, общие файлы JS |
+| `ci-mobile.yml` | `mobile` | `expo-doctor`, Metro-бандл Android | `apps/mobile/**`, `packages/**`, общие файлы JS |
+| `docker.yml` | `docker` | сборка всех 4 образов без push | `Dockerfile`, `.dockerignore`, `deploy/**`, манифесты зависимостей |
 
-- Кэши: Go modules / build cache, pnpm store, uv cache, Gradle, сгенерированные тестовые аудио.
-- Ветка `main` защищена: обязательны `contract`, `api`, `recommender`, `ts`, `e2e`.
-- Ночью (`schedule`) — Maestro E2E на эмуляторе и полный прогон без фильтров путей.
+Общие файлы JS: `package.json`, `pnpm-lock.yaml`, `pnpm-workspace.yaml`, `turbo.json`, `tsconfig.base.json`.
+Изменение самого workflow запускает его. У каждого workflow своя группа `concurrency`: новый push в ту же
+ветку отменяет устаревший прогон.
+
+`docker` собирает образы обычным `docker build` через Docker хоста раннера, а не в buildx-контейнере:
+кэш слоёв переживает job, и повторная сборка занимает секунды. Кэш растёт — на хосте раннера раз в сутки:
+`docker builder prune -af --filter until=72h` (см. [настройку раннера](#настройка-раннера)).
 
 ## `release.yml` — по тегу
 
@@ -48,12 +47,14 @@ on:
     tags: ['v*.*.*']
 
 jobs:
-  verify:          # все проверки ci.yml
-  release:         # needs: verify — сразу создаёт Gitea Release (scripts/release.mjs create)
-  android:         # needs: verify, release — собирает APK и докладывает его в релиз
+  release:         # версия из тега (scripts/version.mjs) и сразу Gitea Release (scripts/release.mjs create)
+  android:         # needs: release — собирает APK и докладывает его в релиз
 ```
 
-Релиз появляется сразу после проверок, не дожидаясь APK. Текст строит `scripts/release.mjs`:
+Тесты в релизе не повторяются: тег ставится на коммит, который CI уже проверил в `main`. **Ставьте тег
+после зелёного CI** — релиз сам этого не проверяет.
+
+Релиз появляется в первую же минуту, не дожидаясь APK. Текст строит `scripts/release.mjs`:
 
 - **статус Android** вверху: «⏳ собирается» со ссылкой на ход сборки → «✅ собран» (имя файла, размер,
   versionCode, SHA-256; предупреждение, если подпись отладочная) или «❌ не удалась» со ссылкой на лог;
@@ -62,7 +63,7 @@ jobs:
   финального, а не от последнего `-rc`; ссылка на полный diff;
 - **обновление сервера** — бэкап, `./update.sh vX.Y.Z`, проверка версии; **установка APK** и проверка SHA-256.
 
-Job `android`: Android SDK, `expo prebuild`, `./gradlew assembleRelease` (только arm64-v8a), подпись `apksigner`,
+Job `android`: Android SDK, `expo prebuild`, `./gradlew assembleRelease --build-cache` (только arm64-v8a), подпись `apksigner`,
 затем `release.mjs android success <apk>` прикладывает APK и `.sha256` и меняет статус. При любом сбое —
 `release.mjs android failure`. Перезапуск job безопасен: статус снова «собирается», файлы заменяются.
 Перезапуск всего workflow обновляет текст существующего релиза, а не создаёт второй.
@@ -70,11 +71,39 @@ Job `android`: Android SDK, `expo prebuild`, `./gradlew assembleRelease` (тол
 Docker-образы **не публикуются**: сервер собирает их сам из клонированного репозитория (ADR-013).
 Чтобы сборка на сервере не ломалась, job `docker` в `ci.yml` собирает все образы без push на каждый PR.
 
+## Настройка раннера
+
+Раннер — `act_runner` на отдельной VM. Что ускоряет CI/CD (`config.yaml` раннера, затем перезапуск сервиса):
+
+```yaml
+runner:
+  capacity: 2            # два job параллельно; только если у VM ≥ 8 ГБ RAM (иначе APK-сборка упирается в OOM)
+cache:
+  enabled: true          # кэш actions/cache: pnpm store, Go-модули, uv
+  host: 10.10.1.x        # IP хоста раннера, доступный из job-контейнеров (не 127.0.0.1)
+  port: 8088             # фиксированный порт; открыть его для docker-сетей
+container:
+  valid_volumes:
+    - /opt/ci-cache/**   # постоянные кэши Gradle и Android SDK для job android в release.yml
+```
+
+Без `valid_volumes` раннер пропускает тома из `release.yml`, и каждый релиз заново качает Gradle
+и NDK (~4 мин). Признак выключенного кэша actions в логах — `Cache action is only supported on GHES…`.
+
+Обслуживание хоста раннера (cron, раз в сутки):
+
+```
+0 4 * * * docker image prune -af --filter "until=72h"; docker builder prune -af --filter "until=72h"
+```
+
+Кэши в `/opt/ci-cache` занимают ~5–6 ГБ (Gradle, SDK, NDK); если место кончается — их можно удалить целиком,
+следующий релиз скачает всё заново.
+
 ## Секреты
 
 | Секрет | Назначение |
 |---|---|
-| `RELEASE_TOKEN` | Создание и редактирование релиза, загрузка ассетов (scope `write:repository`) |
+| `RELEASE_TOKEN` | Необязательно. Создание и редактирование релиза, загрузка ассетов (scope `write:repository`). Без него используется встроенный токен job (`GITHUB_TOKEN`), у которого есть права на запись в этот репозиторий |
 | `ANDROID_KEYSTORE_BASE64`, `ANDROID_KEYSTORE_PASSWORD`, `ANDROID_KEY_ALIAS`, `ANDROID_KEY_PASSWORD` | Подпись APK. **Ключ один на всю жизнь приложения** — хранить резервную копию вне Gitea. Без них финальный релиз падает; `-rc` собирается с отладочной подписью. |
 
 ## Деплой