diff --git a/.env.dev-remote.example b/.env.dev-remote.example
index d5b8e1f..6357da9 100644
--- a/.env.dev-remote.example
+++ b/.env.dev-remote.example
@@ -1,6 +1,9 @@
 # =====================================================================
-# DEV VPS (docker-compose.dev-remote.yml). Скопируй в .env прямо на
-# сервере (в DEPLOY_DIR) — файл гитигнорится, в репозиторий не попадает.
+# УСТАРЕЛО КАК ИНСТРУКЦИЯ: .env на dev VPS теперь собирает сам deploy.yml
+# (job deploy-dev) из repo Variables/Secrets — руками копировать больше не
+# нужно. Файл остаётся только как справочник по составу переменных.
+#
+# DEV VPS (docker-compose.dev-remote.yml).
 #
 # ВАЖНО: Telegram Login Widget не работает на голом IP — /setdomain в
 # BotFather принимает только доменное имя. На этот dev VPS (45.76.161.137)
diff --git a/.env.example b/.env.example
index 904ca2c..7a1c078 100644
--- a/.env.example
+++ b/.env.example
@@ -1,3 +1,13 @@
+# =====================================================================
+# ЭТОТ ФАЙЛ БОЛЬШЕ НЕ КОПИРУЕТСЯ РУКАМИ НА СЕРВЕР. .env на проде (и на
+# dev-стенде) теперь целиком собирается .gitea/workflows/deploy.yml (job
+# deploy-prod/deploy-dev) из repo Variables/Secrets этого репозитория при
+# каждом деплое — см. комментарии в самом deploy.yml, там точная карта
+# "какая переменная .env ← какой vars.*/secrets.*". Файл ниже остаётся
+# только как справочник по тому, какие ключи вообще существуют, и для
+# локальной разработки (docker-compose.yml, см. .env.dev.example).
+# =====================================================================
+
 # =====================================================================
 # === DATABASE CONFIGURATION ===
 # =====================================================================
diff --git a/.gitea/workflows/deploy.yml b/.gitea/workflows/deploy.yml
index d3974cc..1e53702 100644
--- a/.gitea/workflows/deploy.yml
+++ b/.gitea/workflows/deploy.yml
@@ -9,6 +9,11 @@ name: Deploy
 # Один пайплайн, две джобы:
 #  - deploy-dev:  авто, срабатывает после успешного "Build & Push Image" на main.
 #  - deploy-prod: вручную из вкладки Actions ("Run workflow"), как и раньше.
+#
+# .env на обоих VPS теперь полностью собирается этим workflow из repo
+# Variables/Secrets (тот же принцип, что и в netrunner-data) — руками на
+# сервере ничего не создаётся и не редактируется, весь конфиг живёт в
+# Settings → Actions этого репозитория.
 on:
   workflow_run:
     workflows: ["Build & Push Image"]
@@ -45,16 +50,43 @@ jobs:
           target: "/root/netrunner-core"
           strip_components: 0
 
-      - name: Remote deploy via SSH
+      - name: Write .env and deploy via SSH
         uses: appleboy/ssh-action@v1
         with:
           host: ${{ vars.DEV_VPS_IP }}
           username: root
           key: ${{ secrets.DEV_SSH_PRIVATE_KEY }}
+          envs: "DB_PASSWORD,CF_API_TOKEN,JWT_SECRET,ARGON_SALT,TON_MASTER_WALLET,PROXY_INTERNAL_SECRET,CRYPTOBOT_API_TOKEN,TELOXIDE_TOKEN,BOT_USERNAME"
           script: |
             set -e
             cd /root/netrunner-core
 
+            # .env — статические значения (никогда не меняются между деплоями)
+            # зашиты здесь же литералом, секреты/domain-специфичное — из vars/secrets.
+            cat > .env <<EOF
+            DB_USER=netrunner_admin
+            DB_PASSWORD=${DB_PASSWORD}
+            DB_NAME=netrunner
+            CF_API_TOKEN=${CF_API_TOKEN}
+            JWT_SECRET=${JWT_SECRET}
+            ARGON_SALT=${ARGON_SALT}
+            TON_MASTER_WALLET=${TON_MASTER_WALLET}
+            PROXY_INTERNAL_SECRET=${PROXY_INTERNAL_SECRET}
+            CRYPTOBOT_API_TOKEN=${CRYPTOBOT_API_TOKEN}
+            CRYPTOBOT_TESTNET=true
+            BOT_ENABLED=true
+            TELOXIDE_TOKEN=${TELOXIDE_TOKEN}
+            BOT_USERNAME=${BOT_USERNAME}
+            WEB_APP_BASE_URL=https://dev.netrunner-vpn.com
+            SUBSCRIPTION_CHECK_INTERVAL=1800
+            RUST_LOG=netrunner_control_plane=debug,axum=info,tower_http=debug,sqlx=warn
+            CORS_ALLOWED_ORIGINS=http://localhost:1420,http://localhost:5173,tauri://localhost,http://tauri.localhost,http://dev.netrunner-vpn.com:3000,https://dev.netrunner-vpn.com
+            CSRF_ALLOWED_ORIGINS=http://localhost:1420,http://localhost:5173,http://dev.netrunner-vpn.com:3000,https://dev.netrunner-vpn.com
+            COOKIE_DOMAIN=
+            COOKIE_SECURE=true
+            EOF
+            chmod 600 .env
+
             export IMAGE="ghcr.io/nineap/netrunner-control-plane:latest"
             export CADDY_IMAGE="ghcr.io/nineap/netrunner-caddy-cloudflare:latest"
             echo "🚀 Deploying ${IMAGE} to DEV"
@@ -67,22 +99,75 @@ jobs:
             docker image prune -f
 
             echo "✅ Dev synchronized."
+        env:
+          DB_PASSWORD: ${{ secrets.DEV_DB_PASSWORD }}
+          CF_API_TOKEN: ${{ secrets.DEV_CF_API_TOKEN }}
+          JWT_SECRET: ${{ secrets.DEV_JWT_SECRET }}
+          ARGON_SALT: ${{ secrets.DEV_ARGON_SALT }}
+          TON_MASTER_WALLET: ${{ vars.TON_MASTER_WALLET }}
+          PROXY_INTERNAL_SECRET: ${{ secrets.DEV_PROXY_INTERNAL_SECRET }}
+          CRYPTOBOT_API_TOKEN: ${{ secrets.DEV_CRYPTOBOT_API_TOKEN }}
+          TELOXIDE_TOKEN: ${{ secrets.DEV_TELOXIDE_TOKEN }}
+          BOT_USERNAME: ${{ vars.DEV_BOT_USERNAME }}
 
   deploy-prod:
     name: Pull & restart on Prod VPS
     if: github.event_name == 'workflow_dispatch'
     runs-on: ubuntu-24.04
     steps:
-      - name: Remote deploy via SSH
+      - uses: actions/checkout@v4
+
+      - name: Sync compose file to Prod VPS
+        uses: appleboy/scp-action@v0.1.7
+        with:
+          host: ${{ vars.VPS_IP }}
+          username: root
+          key: ${{ secrets.SSH_PRIVATE_KEY }}
+          source: "docker-compose.prod.yml"
+          target: "/root/netrunner-core"
+          strip_components: 0
+
+      - name: Write .env and deploy via SSH
         uses: appleboy/ssh-action@v1
         with:
           host: ${{ vars.VPS_IP }}
           username: root
           key: ${{ secrets.SSH_PRIVATE_KEY }}
+          envs: "DB_PASSWORD,DATA_VPS_IP,JWT_SECRET,ARGON_SALT,TON_MASTER_WALLET,GRAFANA_PUBLIC_URL,PROXY_INTERNAL_SECRET,CRYPTOBOT_API_TOKEN,TELOXIDE_TOKEN,BOT_USERNAME,WEB_APP_BASE_URL"
           script: |
             set -e
             cd /root/netrunner-core
 
+            cat > .env <<EOF
+            DB_USER=netrunner_admin
+            DB_NAME=netrunner
+            DB_PASSWORD=${DB_PASSWORD}
+            DB_HOST=${DATA_VPS_IP}
+            DB_PORT=5432
+            REDIS_URL=redis://redis:6379
+            JWT_SECRET=${JWT_SECRET}
+            ARGON_SALT=${ARGON_SALT}
+            TON_MASTER_WALLET=${TON_MASTER_WALLET}
+            LOKI_PUSH_URL=http://${DATA_VPS_IP}:3100
+            GRAFANA_PUBLIC_URL=${GRAFANA_PUBLIC_URL}
+            CRYPTOBOT_API_TOKEN=${CRYPTOBOT_API_TOKEN}
+            BOT_ENABLED=true
+            TELOXIDE_TOKEN=${TELOXIDE_TOKEN}
+            BOT_USERNAME=${BOT_USERNAME}
+            WEB_APP_BASE_URL=${WEB_APP_BASE_URL}
+            PROXY_INTERNAL_SECRET=${PROXY_INTERNAL_SECRET}
+            PORT=8080
+            SUBSCRIPTION_CHECK_INTERVAL=1800
+            NODE_HEALTH_CHECK_INTERVAL=60
+            APP_ENV=production
+            RUST_LOG=netrunner_control_plane=info,axum=info,tower_http=info,sqlx=warn
+            CORS_ALLOWED_ORIGINS=https://netrunner-vpn.com,https://account.netrunner-vpn.com,tauri://localhost,http://tauri.localhost
+            CSRF_ALLOWED_ORIGINS=https://netrunner-vpn.com,https://account.netrunner-vpn.com
+            COOKIE_DOMAIN=.netrunner-vpn.com
+            COOKIE_SECURE=true
+            EOF
+            chmod 600 .env
+
             export IMAGE="ghcr.io/nineap/netrunner-control-plane:${{ github.event.inputs.image_tag }}"
             echo "🚀 Deploying ${IMAGE}"
 
@@ -96,3 +181,15 @@ jobs:
             docker image prune -f
 
             echo "✅ Uplink synchronized."
+        env:
+          DB_PASSWORD: ${{ secrets.DB_PASSWORD }}
+          DATA_VPS_IP: ${{ vars.DATA_VPS_IP }}
+          JWT_SECRET: ${{ secrets.JWT_SECRET }}
+          ARGON_SALT: ${{ secrets.ARGON_SALT }}
+          TON_MASTER_WALLET: ${{ vars.TON_MASTER_WALLET }}
+          GRAFANA_PUBLIC_URL: ${{ vars.GRAFANA_PUBLIC_URL }}
+          PROXY_INTERNAL_SECRET: ${{ secrets.PROXY_INTERNAL_SECRET }}
+          CRYPTOBOT_API_TOKEN: ${{ secrets.CRYPTOBOT_API_TOKEN }}
+          TELOXIDE_TOKEN: ${{ secrets.TELOXIDE_TOKEN }}
+          BOT_USERNAME: ${{ vars.BOT_USERNAME }}
+          WEB_APP_BASE_URL: ${{ vars.WEB_APP_BASE_URL }}
diff --git a/.github/workflows/deploy.yml b/.github/workflows/deploy.yml
index c547018..fb1b79a 100644
--- a/.github/workflows/deploy.yml
+++ b/.github/workflows/deploy.yml
@@ -3,6 +3,11 @@ name: Deploy
 # Один пайплайн, две джобы:
 #  - deploy-dev:  авто, срабатывает после успешного "Build & Push Image" на main.
 #  - deploy-prod: вручную из вкладки Actions ("Run workflow"), как и раньше.
+#
+# .env на обоих VPS теперь полностью собирается этим workflow из repo
+# Variables/Secrets (тот же принцип, что и в netrunner-data) — руками на
+# сервере ничего не создаётся и не редактируется, весь конфиг живёт в
+# Settings → Actions этого репозитория.
 on:
   workflow_run:
     workflows: ["Build & Push Image"]
@@ -39,16 +44,43 @@ jobs:
           target: "/root/netrunner-core"
           strip_components: 0
 
-      - name: Remote deploy via SSH
+      - name: Write .env and deploy via SSH
         uses: appleboy/ssh-action@v1
         with:
           host: ${{ vars.DEV_VPS_IP }}
           username: root
           key: ${{ secrets.DEV_SSH_PRIVATE_KEY }}
+          envs: "DB_PASSWORD,CF_API_TOKEN,JWT_SECRET,ARGON_SALT,TON_MASTER_WALLET,PROXY_INTERNAL_SECRET,CRYPTOBOT_API_TOKEN,TELOXIDE_TOKEN,BOT_USERNAME"
           script: |
             set -e
             cd /root/netrunner-core
 
+            # .env — статические значения (никогда не меняются между деплоями)
+            # зашиты здесь же литералом, секреты/domain-специфичное — из vars/secrets.
+            cat > .env <<EOF
+            DB_USER=netrunner_admin
+            DB_PASSWORD=${DB_PASSWORD}
+            DB_NAME=netrunner
+            CF_API_TOKEN=${CF_API_TOKEN}
+            JWT_SECRET=${JWT_SECRET}
+            ARGON_SALT=${ARGON_SALT}
+            TON_MASTER_WALLET=${TON_MASTER_WALLET}
+            PROXY_INTERNAL_SECRET=${PROXY_INTERNAL_SECRET}
+            CRYPTOBOT_API_TOKEN=${CRYPTOBOT_API_TOKEN}
+            CRYPTOBOT_TESTNET=true
+            BOT_ENABLED=true
+            TELOXIDE_TOKEN=${TELOXIDE_TOKEN}
+            BOT_USERNAME=${BOT_USERNAME}
+            WEB_APP_BASE_URL=https://dev.netrunner-vpn.com
+            SUBSCRIPTION_CHECK_INTERVAL=1800
+            RUST_LOG=netrunner_control_plane=debug,axum=info,tower_http=debug,sqlx=warn
+            CORS_ALLOWED_ORIGINS=http://localhost:1420,http://localhost:5173,tauri://localhost,http://tauri.localhost,http://dev.netrunner-vpn.com:3000,https://dev.netrunner-vpn.com
+            CSRF_ALLOWED_ORIGINS=http://localhost:1420,http://localhost:5173,http://dev.netrunner-vpn.com:3000,https://dev.netrunner-vpn.com
+            COOKIE_DOMAIN=
+            COOKIE_SECURE=true
+            EOF
+            chmod 600 .env
+
             export IMAGE="ghcr.io/nineap/netrunner-control-plane:latest"
             export CADDY_IMAGE="ghcr.io/nineap/netrunner-caddy-cloudflare:latest"
             echo "🚀 Deploying ${IMAGE} to DEV"
@@ -61,22 +93,75 @@ jobs:
             docker image prune -f
 
             echo "✅ Dev synchronized."
+        env:
+          DB_PASSWORD: ${{ secrets.DEV_DB_PASSWORD }}
+          CF_API_TOKEN: ${{ secrets.DEV_CF_API_TOKEN }}
+          JWT_SECRET: ${{ secrets.DEV_JWT_SECRET }}
+          ARGON_SALT: ${{ secrets.DEV_ARGON_SALT }}
+          TON_MASTER_WALLET: ${{ vars.TON_MASTER_WALLET }}
+          PROXY_INTERNAL_SECRET: ${{ secrets.DEV_PROXY_INTERNAL_SECRET }}
+          CRYPTOBOT_API_TOKEN: ${{ secrets.DEV_CRYPTOBOT_API_TOKEN }}
+          TELOXIDE_TOKEN: ${{ secrets.DEV_TELOXIDE_TOKEN }}
+          BOT_USERNAME: ${{ vars.DEV_BOT_USERNAME }}
 
   deploy-prod:
     name: Pull & restart on Prod VPS
     if: github.event_name == 'workflow_dispatch'
     runs-on: ubuntu-24.04
     steps:
-      - name: Remote deploy via SSH
+      - uses: actions/checkout@v4
+
+      - name: Sync compose file to Prod VPS
+        uses: appleboy/scp-action@v0.1.7
+        with:
+          host: ${{ vars.VPS_IP }}
+          username: root
+          key: ${{ secrets.SSH_PRIVATE_KEY }}
+          source: "docker-compose.prod.yml"
+          target: "/root/netrunner-core"
+          strip_components: 0
+
+      - name: Write .env and deploy via SSH
         uses: appleboy/ssh-action@v1
         with:
           host: ${{ vars.VPS_IP }}
           username: root
           key: ${{ secrets.SSH_PRIVATE_KEY }}
+          envs: "DB_PASSWORD,DATA_VPS_IP,JWT_SECRET,ARGON_SALT,TON_MASTER_WALLET,GRAFANA_PUBLIC_URL,PROXY_INTERNAL_SECRET,CRYPTOBOT_API_TOKEN,TELOXIDE_TOKEN,BOT_USERNAME,WEB_APP_BASE_URL"
           script: |
             set -e
             cd /root/netrunner-core
 
+            cat > .env <<EOF
+            DB_USER=netrunner_admin
+            DB_NAME=netrunner
+            DB_PASSWORD=${DB_PASSWORD}
+            DB_HOST=${DATA_VPS_IP}
+            DB_PORT=5432
+            REDIS_URL=redis://redis:6379
+            JWT_SECRET=${JWT_SECRET}
+            ARGON_SALT=${ARGON_SALT}
+            TON_MASTER_WALLET=${TON_MASTER_WALLET}
+            LOKI_PUSH_URL=http://${DATA_VPS_IP}:3100
+            GRAFANA_PUBLIC_URL=${GRAFANA_PUBLIC_URL}
+            CRYPTOBOT_API_TOKEN=${CRYPTOBOT_API_TOKEN}
+            BOT_ENABLED=true
+            TELOXIDE_TOKEN=${TELOXIDE_TOKEN}
+            BOT_USERNAME=${BOT_USERNAME}
+            WEB_APP_BASE_URL=${WEB_APP_BASE_URL}
+            PROXY_INTERNAL_SECRET=${PROXY_INTERNAL_SECRET}
+            PORT=8080
+            SUBSCRIPTION_CHECK_INTERVAL=1800
+            NODE_HEALTH_CHECK_INTERVAL=60
+            APP_ENV=production
+            RUST_LOG=netrunner_control_plane=info,axum=info,tower_http=info,sqlx=warn
+            CORS_ALLOWED_ORIGINS=https://netrunner-vpn.com,https://account.netrunner-vpn.com,tauri://localhost,http://tauri.localhost
+            CSRF_ALLOWED_ORIGINS=https://netrunner-vpn.com,https://account.netrunner-vpn.com
+            COOKIE_DOMAIN=.netrunner-vpn.com
+            COOKIE_SECURE=true
+            EOF
+            chmod 600 .env
+
             export IMAGE="ghcr.io/nineap/netrunner-control-plane:${{ github.event.inputs.image_tag }}"
             echo "🚀 Deploying ${IMAGE}"
 
@@ -90,3 +175,15 @@ jobs:
             docker image prune -f
 
             echo "✅ Uplink synchronized."
+        env:
+          DB_PASSWORD: ${{ secrets.DB_PASSWORD }}
+          DATA_VPS_IP: ${{ vars.DATA_VPS_IP }}
+          JWT_SECRET: ${{ secrets.JWT_SECRET }}
+          ARGON_SALT: ${{ secrets.ARGON_SALT }}
+          TON_MASTER_WALLET: ${{ vars.TON_MASTER_WALLET }}
+          GRAFANA_PUBLIC_URL: ${{ vars.GRAFANA_PUBLIC_URL }}
+          PROXY_INTERNAL_SECRET: ${{ secrets.PROXY_INTERNAL_SECRET }}
+          CRYPTOBOT_API_TOKEN: ${{ secrets.CRYPTOBOT_API_TOKEN }}
+          TELOXIDE_TOKEN: ${{ secrets.TELOXIDE_TOKEN }}
+          BOT_USERNAME: ${{ vars.BOT_USERNAME }}
+          WEB_APP_BASE_URL: ${{ vars.WEB_APP_BASE_URL }}