diff --git a/.gitea/workflows/deploy.yml b/.gitea/workflows/deploy.yml
index 1c81711..ab0eaf1 100644
--- a/.gitea/workflows/deploy.yml
+++ b/.gitea/workflows/deploy.yml
@@ -1,8 +1,17 @@
 name: Deploy
 
-# Один VPS, без сборки образов (postgres/vaultwarden — публичные образы, не наши).
-# Все значения — только из GitHub Actions secrets, .env на сервере пересобирается
-# с нуля на каждом деплое (ничего не хранится в репозитории).
+# ВАЖНО: DATA_VPS_IP/DATA_SSH_PRIVATE_KEY должны указывать на ТОТ ЖЕ VPS, что
+# и прод netrunner-backend (тот же процесс Postgres, сеть netrunner_grid —
+# см. docker-compose.yml). Деплой backend'а должен быть выполнен на этом VPS
+# РАНЬШЕ первого запуска этого workflow — иначе `docker compose up` здесь
+# упадёт с "network netrunner_grid not found".
+#
+# Без сборки образов (postgres/vaultwarden — публичные образы, не наши).
+# Несекретные значения (DATA_VPS_IP, имя/юзер БД, домен/лог-левел/SMTP-хост-порт
+# Vaultwarden) — repo Variables (vars.*), не Actions secrets: видны так же, как
+# сам код, просто не маскируются в логах. Настоящие секреты (пароли/токены/
+# приватный ключ) — только secrets.*. .env на сервере пересобирается с нуля на
+# каждом деплое (ничего не хранится в репозитории).
 on:
   push:
     branches: [main]
@@ -18,7 +27,7 @@ jobs:
       - name: Sync compose file to VPS
         uses: appleboy/scp-action@v0.1.7
         with:
-          host: ${{ secrets.DATA_VPS_IP }}
+          host: ${{ vars.DATA_VPS_IP }}
           username: root
           key: ${{ secrets.DATA_SSH_PRIVATE_KEY }}
           source: "docker-compose.yml"
@@ -28,19 +37,19 @@ jobs:
       - name: Write .env and deploy via SSH
         uses: appleboy/ssh-action@v1
         with:
-          host: ${{ secrets.DATA_VPS_IP }}
+          host: ${{ vars.DATA_VPS_IP }}
           username: root
           key: ${{ secrets.DATA_SSH_PRIVATE_KEY }}
-          envs: "DB_USER,DB_PASSWORD,DB_NAME,VAULTWARDEN_DOMAIN,VAULTWARDEN_SIGNUPS_ALLOWED,VAULTWARDEN_ADMIN_TOKEN,VAULTWARDEN_LOG_LEVEL,SMTP_HOST,SMTP_FROM,SMTP_PORT,SMTP_SECURITY,SMTP_USERNAME,SMTP_PASSWORD"
+          envs: "VW_DB_USER,VW_DB_PASSWORD,VW_DB_NAME,VAULTWARDEN_DOMAIN,VAULTWARDEN_SIGNUPS_ALLOWED,VAULTWARDEN_ADMIN_TOKEN,VAULTWARDEN_LOG_LEVEL,SMTP_HOST,SMTP_FROM,SMTP_PORT,SMTP_SECURITY,SMTP_USERNAME,SMTP_PASSWORD"
           script: |
             set -e
             cd /root/netrunner-data
             mkdir -p data
 
             cat > .env <<EOF
-            DB_USER=${DB_USER}
-            DB_PASSWORD=${DB_PASSWORD}
-            DB_NAME=${DB_NAME}
+            VW_DB_USER=${VW_DB_USER}
+            VW_DB_PASSWORD=${VW_DB_PASSWORD}
+            VW_DB_NAME=${VW_DB_NAME}
             VAULTWARDEN_DOMAIN=${VAULTWARDEN_DOMAIN}
             VAULTWARDEN_SIGNUPS_ALLOWED=${VAULTWARDEN_SIGNUPS_ALLOWED}
             VAULTWARDEN_ADMIN_TOKEN=${VAULTWARDEN_ADMIN_TOKEN}
@@ -60,16 +69,16 @@ jobs:
 
             echo "✅ netrunner-data synchronized."
         env:
-          DB_USER: ${{ secrets.DATA_DB_USER }}
-          DB_PASSWORD: ${{ secrets.DATA_DB_PASSWORD }}
-          DB_NAME: ${{ secrets.DATA_DB_NAME }}
-          VAULTWARDEN_DOMAIN: ${{ secrets.VAULTWARDEN_DOMAIN }}
-          VAULTWARDEN_SIGNUPS_ALLOWED: ${{ secrets.VAULTWARDEN_SIGNUPS_ALLOWED }}
+          VW_DB_USER: ${{ vars.DATA_VW_DB_USER }}
+          VW_DB_PASSWORD: ${{ secrets.DATA_VW_DB_PASSWORD }}
+          VW_DB_NAME: ${{ vars.DATA_VW_DB_NAME }}
+          VAULTWARDEN_DOMAIN: ${{ vars.VAULTWARDEN_DOMAIN }}
+          VAULTWARDEN_SIGNUPS_ALLOWED: ${{ vars.VAULTWARDEN_SIGNUPS_ALLOWED }}
           VAULTWARDEN_ADMIN_TOKEN: ${{ secrets.VAULTWARDEN_ADMIN_TOKEN }}
-          VAULTWARDEN_LOG_LEVEL: ${{ secrets.VAULTWARDEN_LOG_LEVEL }}
-          SMTP_HOST: ${{ secrets.VAULTWARDEN_SMTP_HOST }}
-          SMTP_FROM: ${{ secrets.VAULTWARDEN_SMTP_FROM }}
-          SMTP_PORT: ${{ secrets.VAULTWARDEN_SMTP_PORT }}
-          SMTP_SECURITY: ${{ secrets.VAULTWARDEN_SMTP_SECURITY }}
-          SMTP_USERNAME: ${{ secrets.VAULTWARDEN_SMTP_USERNAME }}
+          VAULTWARDEN_LOG_LEVEL: ${{ vars.VAULTWARDEN_LOG_LEVEL }}
+          SMTP_HOST: ${{ vars.VAULTWARDEN_SMTP_HOST }}
+          SMTP_FROM: ${{ vars.VAULTWARDEN_SMTP_FROM }}
+          SMTP_PORT: ${{ vars.VAULTWARDEN_SMTP_PORT }}
+          SMTP_SECURITY: ${{ vars.VAULTWARDEN_SMTP_SECURITY }}
+          SMTP_USERNAME: ${{ vars.VAULTWARDEN_SMTP_USERNAME }}
           SMTP_PASSWORD: ${{ secrets.VAULTWARDEN_SMTP_PASSWORD }}
diff --git a/.github/workflows/deploy.yml b/.github/workflows/deploy.yml
index 1c81711..ab0eaf1 100644
--- a/.github/workflows/deploy.yml
+++ b/.github/workflows/deploy.yml
@@ -1,8 +1,17 @@
 name: Deploy
 
-# Один VPS, без сборки образов (postgres/vaultwarden — публичные образы, не наши).
-# Все значения — только из GitHub Actions secrets, .env на сервере пересобирается
-# с нуля на каждом деплое (ничего не хранится в репозитории).
+# ВАЖНО: DATA_VPS_IP/DATA_SSH_PRIVATE_KEY должны указывать на ТОТ ЖЕ VPS, что
+# и прод netrunner-backend (тот же процесс Postgres, сеть netrunner_grid —
+# см. docker-compose.yml). Деплой backend'а должен быть выполнен на этом VPS
+# РАНЬШЕ первого запуска этого workflow — иначе `docker compose up` здесь
+# упадёт с "network netrunner_grid not found".
+#
+# Без сборки образов (postgres/vaultwarden — публичные образы, не наши).
+# Несекретные значения (DATA_VPS_IP, имя/юзер БД, домен/лог-левел/SMTP-хост-порт
+# Vaultwarden) — repo Variables (vars.*), не Actions secrets: видны так же, как
+# сам код, просто не маскируются в логах. Настоящие секреты (пароли/токены/
+# приватный ключ) — только secrets.*. .env на сервере пересобирается с нуля на
+# каждом деплое (ничего не хранится в репозитории).
 on:
   push:
     branches: [main]
@@ -18,7 +27,7 @@ jobs:
       - name: Sync compose file to VPS
         uses: appleboy/scp-action@v0.1.7
         with:
-          host: ${{ secrets.DATA_VPS_IP }}
+          host: ${{ vars.DATA_VPS_IP }}
           username: root
           key: ${{ secrets.DATA_SSH_PRIVATE_KEY }}
           source: "docker-compose.yml"
@@ -28,19 +37,19 @@ jobs:
       - name: Write .env and deploy via SSH
         uses: appleboy/ssh-action@v1
         with:
-          host: ${{ secrets.DATA_VPS_IP }}
+          host: ${{ vars.DATA_VPS_IP }}
           username: root
           key: ${{ secrets.DATA_SSH_PRIVATE_KEY }}
-          envs: "DB_USER,DB_PASSWORD,DB_NAME,VAULTWARDEN_DOMAIN,VAULTWARDEN_SIGNUPS_ALLOWED,VAULTWARDEN_ADMIN_TOKEN,VAULTWARDEN_LOG_LEVEL,SMTP_HOST,SMTP_FROM,SMTP_PORT,SMTP_SECURITY,SMTP_USERNAME,SMTP_PASSWORD"
+          envs: "VW_DB_USER,VW_DB_PASSWORD,VW_DB_NAME,VAULTWARDEN_DOMAIN,VAULTWARDEN_SIGNUPS_ALLOWED,VAULTWARDEN_ADMIN_TOKEN,VAULTWARDEN_LOG_LEVEL,SMTP_HOST,SMTP_FROM,SMTP_PORT,SMTP_SECURITY,SMTP_USERNAME,SMTP_PASSWORD"
           script: |
             set -e
             cd /root/netrunner-data
             mkdir -p data
 
             cat > .env <<EOF
-            DB_USER=${DB_USER}
-            DB_PASSWORD=${DB_PASSWORD}
-            DB_NAME=${DB_NAME}
+            VW_DB_USER=${VW_DB_USER}
+            VW_DB_PASSWORD=${VW_DB_PASSWORD}
+            VW_DB_NAME=${VW_DB_NAME}
             VAULTWARDEN_DOMAIN=${VAULTWARDEN_DOMAIN}
             VAULTWARDEN_SIGNUPS_ALLOWED=${VAULTWARDEN_SIGNUPS_ALLOWED}
             VAULTWARDEN_ADMIN_TOKEN=${VAULTWARDEN_ADMIN_TOKEN}
@@ -60,16 +69,16 @@ jobs:
 
             echo "✅ netrunner-data synchronized."
         env:
-          DB_USER: ${{ secrets.DATA_DB_USER }}
-          DB_PASSWORD: ${{ secrets.DATA_DB_PASSWORD }}
-          DB_NAME: ${{ secrets.DATA_DB_NAME }}
-          VAULTWARDEN_DOMAIN: ${{ secrets.VAULTWARDEN_DOMAIN }}
-          VAULTWARDEN_SIGNUPS_ALLOWED: ${{ secrets.VAULTWARDEN_SIGNUPS_ALLOWED }}
+          VW_DB_USER: ${{ vars.DATA_VW_DB_USER }}
+          VW_DB_PASSWORD: ${{ secrets.DATA_VW_DB_PASSWORD }}
+          VW_DB_NAME: ${{ vars.DATA_VW_DB_NAME }}
+          VAULTWARDEN_DOMAIN: ${{ vars.VAULTWARDEN_DOMAIN }}
+          VAULTWARDEN_SIGNUPS_ALLOWED: ${{ vars.VAULTWARDEN_SIGNUPS_ALLOWED }}
           VAULTWARDEN_ADMIN_TOKEN: ${{ secrets.VAULTWARDEN_ADMIN_TOKEN }}
-          VAULTWARDEN_LOG_LEVEL: ${{ secrets.VAULTWARDEN_LOG_LEVEL }}
-          SMTP_HOST: ${{ secrets.VAULTWARDEN_SMTP_HOST }}
-          SMTP_FROM: ${{ secrets.VAULTWARDEN_SMTP_FROM }}
-          SMTP_PORT: ${{ secrets.VAULTWARDEN_SMTP_PORT }}
-          SMTP_SECURITY: ${{ secrets.VAULTWARDEN_SMTP_SECURITY }}
-          SMTP_USERNAME: ${{ secrets.VAULTWARDEN_SMTP_USERNAME }}
+          VAULTWARDEN_LOG_LEVEL: ${{ vars.VAULTWARDEN_LOG_LEVEL }}
+          SMTP_HOST: ${{ vars.VAULTWARDEN_SMTP_HOST }}
+          SMTP_FROM: ${{ vars.VAULTWARDEN_SMTP_FROM }}
+          SMTP_PORT: ${{ vars.VAULTWARDEN_SMTP_PORT }}
+          SMTP_SECURITY: ${{ vars.VAULTWARDEN_SMTP_SECURITY }}
+          SMTP_USERNAME: ${{ vars.VAULTWARDEN_SMTP_USERNAME }}
           SMTP_PASSWORD: ${{ secrets.VAULTWARDEN_SMTP_PASSWORD }}