ci: update ci: version bump, changelog

docs/backlog.md

@@ -101,9 +101,6 @@
 - [ ] Радиусы бордеров: `--radius-m` ненулевой и применён ко всем бордерам
       (`app.css`, `SchemaToolView.svelte`). Решить, где скругления реально есть
       в дизайне, а где должен быть 0
-- [ ] надо добавить версионирование и changelog (cocogitto), пример можно взять
-      отсюда -
-      [https://github.com/Ku6epXBOCTuK/XBOCT-page](https://github.com/Ku6epXBOCTuK/XBOCT-page)
 
 ## Переезд
 

docs/decisions.md

@@ -183,3 +183,27 @@ PR. Актуальные длительности — в логе прогона
 Альтернатива — `allowPaths: ["pages"]` — была бы слабее: она разрешила бы пустую
 секцию `pages` в любой локали, то есть пропущенный перевод страницы прошёл бы
 линтер молча. Пустая секция в EN и есть то, что делает правило точным.
+
+## 12. Бамп версии и changelog — при пуше в main, а не в PR
+
+Версионирование и changelog генерирует бот (`bump.yml`, cocogitto) на push в
+`main`, а не на pull request.
+
+- При PR-боте параллельные PR бампили бы одну и ту же версию и конфликтовали по
+  `CHANGELOG.md`; коммиты бота внутри чужого PR — шум, а версия росла бы за ещё
+  не влитый код. Репозиторий trunk-based: коммиты идут прямо в `main`, деплой и
+  так запускается на push.
+- Цикл: push в `main` → `verify.yml` (переиспользуемый gate) → `cog bump --auto`
+  бампит версии в обоих `package.json` (футер сайта читает `web/package.json`),
+  обновляет `CHANGELOG.md`, ставит тег и пушит без `--skip-ci`, чтобы версионный
+  коммит заново запустил деплой и сайт показал актуальную версию. Зацикливание
+  исключено dry-run проверкой: после версионного коммита conventional-коммитов
+  после тега нет, бот выходит.
+- Пуш идёт токеном GitHub App (`XBOCT_BOT_ID`/`XBOCT_BOT_PRIVATE_KEY`), а не
+  `GITHUB_TOKEN`: пуш стандартным токеном не запускает workflow, и деплой с
+  новой версией не случился бы.
+- `concurrency: bump` без `cancel-in-progress`: два бампа параллельно запушили
+  бы конфликтующие версии.
+- Пересмотреть, если появятся внешние контрибьюторы и поток пойдёт через PR —
+  тогда боту понадобится режим «черновик релиза в PR» или squash-стратегия с
+  conventional-заголовком PR.