feat(observability): токен алертов приходит из секретов Actions, а не только с машины (#3078)

Стек наблюдаемости был готов ещё вчера, но Alertmanager не поднимался:
профиль alerts включается, только когда заданы METRICS_TELEGRAM_BOT_TOKEN и
METRICS_TELEGRAM_CHAT_ID, а читались они ИСКЛЮЧИТЕЛЬНО из файла окружения на
инфраструктурной машине. То есть включить алерты можно было только правкой
прод-файла руками по ssh — в обход репозитория, без следа в истории и без
возможности сделать это из CI.

Именно это и держало задачу открытой дольше нужного. Цена промедления
измерена: 27.08 продукты лежали 10 часов, и ни одно звено оповещения не
сработало (#3119); в тот же день сутки не доезжал деплой, и об этом тоже
никто не узнал (#3029).

Теперь три переменные форвардятся в ssh-шаг из секретов Actions. Порядок
разрешения сохранён осознанно: инжектированные значения ставятся ДО того,
как скрипт подхватит окружение машины, поэтому хост, если ключи заданы на
нём, переопределяет секреты — последнее слово остаётся за машиной, а
секреты работают как разумный дефолт.

Канал проверен вживую: бот MERAsupport_bot, форум «МЕРА», тема «алерты»
(message_thread_id=158) — пробное сообщение доставлено.

.forgejo/workflows/deploy-metrics.yml

@@ -71,9 +71,25 @@ jobs:
             echo "::warning title=SSH без проверки подлинности хоста::${SRC} не задан — ключ хоста НЕ проверяется (#3029)."
           fi
 
+      # #3078: канал доставки алертов приходит ИЗ СЕКРЕТОВ ACTIONS, а не только
+      # из окружения инфраструктурного хоста. Раньше эти три переменные брались
+      # исключительно из файла окружения на машине — то есть включить алерты
+      # можно было только правкой прод-файла руками по ssh. Это и держало #3078
+      # открытым дольше нужного: стек был готов, а положить в него токен было
+      # некуда, кроме как в обход репозитория.
+      #
+      # Порядок разрешения важен: инжектированные значения ставятся ДО того, как
+      # скрипт подхватит окружение машины, поэтому файл на хосте, если ключи в
+      # нём заданы, ПЕРЕОПРЕДЕЛЯЕТ секреты. Так и задумано — у машины остаётся
+      # последнее слово, а секреты работают как разумный дефолт.
       - name: Поднять серверный стек
         uses: appleboy/ssh-action@v1.0.3
+        env:
+          METRICS_TELEGRAM_BOT_TOKEN: ${{ secrets.METRICS_TELEGRAM_BOT_TOKEN }}
+          METRICS_TELEGRAM_CHAT_ID: ${{ secrets.METRICS_TELEGRAM_CHAT_ID }}
+          METRICS_TELEGRAM_TOPIC_ID: ${{ secrets.METRICS_TELEGRAM_TOPIC_ID }}
         with:
+          envs: METRICS_TELEGRAM_BOT_TOKEN,METRICS_TELEGRAM_CHAT_ID,METRICS_TELEGRAM_TOPIC_ID
           host: ${{ secrets.INFRA_DEPLOY_HOST || secrets.DEPLOY_HOST }}
           username: ${{ secrets.INFRA_DEPLOY_USER || secrets.DEPLOY_USER }}
           key: ${{ secrets.INFRA_DEPLOY_SSH_KEY || secrets.DEPLOY_SSH_KEY }}