docs: explain SECRET_KEY and INTERNAL_TOKEN in app.ini

Made-with: Cursor

README.md

@@ -180,13 +180,24 @@ sudo nano /opt/gitea/data/gitea/conf/app.ini
 sudo docker compose restart gitea
 ```
 
-Сгенерировать секреты:
+Сгенерировать секреты и прописать их в **`app.ini`**, секция **`[security]`**:
+
+| Параметр | Назначение |
+|----------|------------|
+| **`SECRET_KEY`** | Подпись сессий и cookie веб-интерфейса; должен быть длинным случайным значением и не меняться без необходимости. |
+| **`INTERNAL_TOKEN`** | Внутренние вызовы API между компонентами Gitea; тоже случайная длинная строка, храните в секрете. |
+
+В [`gitea/app.ini.example`](gitea/app.ini.example) они заданы как плейсхолдеры `CHANGE_ME_*`. Если при первом запуске Gitea сам перезаписал `app.ini`, откройте файл и найдите блок **`[security]`** — строки могут называться так же; если секции нет, добавьте её по образцу из примера.
+
+Сгенерировать два разных значения (по одному на каждый параметр):
 
 ```bash
 openssl rand -hex 32
 openssl rand -hex 32
 ```
 
+Вставьте первую строку в `SECRET_KEY = ...`, вторую в `INTERNAL_TOKEN = ...`, без кавычек. Перезапуск: `sudo docker compose -f /opt/gitea/docker-compose.yml restart gitea`.
+
 ## 2) Установка HAProxy конфига
 
 Если HAProxy уже работает на отдельном сервере (например, `192.168.128.65`), этот раздел применяется на том сервере HAProxy, а не на хосте с Gitea.