diff --git a/README.md b/README.md
index be5b1bf..ce4075d 100644
--- a/README.md
+++ b/README.md
@@ -180,13 +180,24 @@ sudo nano /opt/gitea/data/gitea/conf/app.ini
 sudo docker compose restart gitea
 ```
 
-Сгенерировать секреты:
+Сгенерировать секреты и прописать их в **`app.ini`**, секция **`[security]`**:
+
+| Параметр | Назначение |
+|----------|------------|
+| **`SECRET_KEY`** | Подпись сессий и cookie веб-интерфейса; должен быть длинным случайным значением и не меняться без необходимости. |
+| **`INTERNAL_TOKEN`** | Внутренние вызовы API между компонентами Gitea; тоже случайная длинная строка, храните в секрете. |
+
+В [`gitea/app.ini.example`](gitea/app.ini.example) они заданы как плейсхолдеры `CHANGE_ME_*`. Если при первом запуске Gitea сам перезаписал `app.ini`, откройте файл и найдите блок **`[security]`** — строки могут называться так же; если секции нет, добавьте её по образцу из примера.
+
+Сгенерировать два разных значения (по одному на каждый параметр):
 
 ```bash
 openssl rand -hex 32
 openssl rand -hex 32
 ```
 
+Вставьте первую строку в `SECRET_KEY = ...`, вторую в `INTERNAL_TOKEN = ...`, без кавычек. Перезапуск: `sudo docker compose -f /opt/gitea/docker-compose.yml restart gitea`.
+
 ## 2) Установка HAProxy конфига
 
 Если HAProxy уже работает на отдельном сервере (например, `192.168.128.65`), этот раздел применяется на том сервере HAProxy, а не на хосте с Gitea.
diff --git a/scripts/bootstrap-own-git.sh b/scripts/bootstrap-own-git.sh
index 8216aac..940e55a 100644
--- a/scripts/bootstrap-own-git.sh
+++ b/scripts/bootstrap-own-git.sh
@@ -306,9 +306,9 @@ print_checklist() {
   cat <<EOF
 
 ==================== POST-INSTALL CHECKLIST ====================
-1) Отредактируйте:
-   - ${GITEA_BASE_DIR}/data/gitea/conf/app.ini
-   - замените SECRET_KEY / INTERNAL_TOKEN
+1) Отредактируйте ${GITEA_BASE_DIR}/data/gitea/conf/app.ini:
+   - секция [security]: SECRET_KEY и INTERNAL_TOKEN — длинные случайные строки (не оставляйте CHANGE_ME_*).
+     Сгенерировать: два раза openssl rand -hex 32, подставить в SECRET_KEY и INTERNAL_TOKEN.
    - проверьте ROOT_URL=https://${SERVER_DOMAIN}/
 
 2) Проверьте DNS: