✨ feat(updates): обновление установки из интерфейса

Установка раз в шесть часов и по кнопке проверяет страницу релизов
GitHub. Администратор установки видит баннер о новой версии и ставит
её одной кнопкой; карточка «Обновления» — в «Настройки → Платформа».

Установку выполняет отдельный сервис updater с Docker-сокетом:
backend-app общается с ним только файлами в томе chatballs-updates
(heartbeat, request.json, status.json). Updater принимает лишь релизы
своего репозитория с образами по digest и применяет compose.yaml в
одноразовом контейнере-помощнике, после чего кладёт файл в каталог
установки. Запрос установки попадает в аудит.

Релизный workflow собирает образ updater и пришпиливает его в
compose.yaml; версия бэкенда зашивается в образ (CHATBALLS_VERSION).
Миграции updates.0001 и tenancy.0034 (гранты на таблицу состояния).

Co-Authored-By: Claude Fable 5.1 <noreply@anthropic.com>

compose.dev.yaml

@@ -116,6 +116,13 @@ services:
       - ./apps/backend:/app/apps/backend
       - ./data/media:/app/apps/backend/media
 
+  # Dev: образ сервиса обновления собирается локально; сам сервис в dev
+  # бесполезен (стек поднят из исходников), но должен собираться и стартовать.
+  updater:
+    build:
+      context: .
+      dockerfile: deploy/docker/updater.Dockerfile
+
   # Dev: frontend-сервис превращается в Vite dev-сервер internal-ui (HMR).
   frontend:
     build: