astrodemo: wdrożenie wersji demonstracyjnej (PRE-28/29)

Zastępuje gałąź feat/astroklient. Tamta była odbita od mastera sprzed jedenastu
commitów i miała przypięte obrazy `ee3c515d`, podczas gdy master stoi na
`320a0ab2` — merge w tamtej postaci COFNĄŁBY klaster o kilka wersji. Zamiast
przepychać cztery commity przez rebase (każdy konfliktował na README), gałąź
jest odtworzona jednym commitem na aktualnym masterze, z zachowanymi tagami.

ZMIANA NAZWY. astroklient-demo → astrodemo, wraz z nazwą obrazu, zmiennymi
(ASTRODEMO_USERS) i sekretem (astrololo-astrodemo). Nazwa „astroklient" jest
zarezerwowana dla warstwy pośredniej: pełne funkcje astrologiczne, bez
generowania tekstu i bez administracji.

BRAKOWAŁO WEJŚCIA Z ZEWNĄTRZ. Manifesty tworzyły Deployment i Service, ale żadnej
reguły w Ingressie — usługa wstałaby i nie dałoby się do niej wejść. Dołożony
host astrodemo.czernobog.pl z przekierowaniem z http, a certyfikat obejmuje teraz
oba hosty.

Osobny host, a nie ścieżka `/demo` pod adresem astrololo, CELOWO: ścieżka
dzieliłaby z pełną aplikacją pochodzenie w rozumieniu przeglądarki, czyli
i ciasteczka — wejście do jednej ruszałoby sesję w drugiej.

OBRAZ NA LIŚCIE OBSERWOWANYCH. Bez wpisu w image-updater.yaml obraz nigdy się nie
podbije, choćby CI go budowało. Tak przez chwilę wisiał render na :latest.

POPRAWKI W RUNBOOKU. Opis twierdził, że demo pracuje na produkcyjnej warstwie
danych — nieprawda od PRE-29, ma własny stos i własny udział. Ponadto zmiana nazw
rozjechała ścieżkę udziału: `zfs create Tank1/astrololo-astrodemo` przy manifeście
montującym `/mnt/Tank1/astrololo-demo` utworzyłby inny zbiór niż ten, którego pod
szuka. Ścieżka jest stanem na dysku, nie nazwą w kodzie — zostaje jak była.

Sprawdzone: `kubectl kustomize astrololo/` buduje 29 obiektów, tagi obrazów
pozostają na 320a0ab2.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

astrololo/README.md

@@ -29,6 +29,20 @@ Runbook: **[README-pliki.md](README-pliki.md)**. Ekran „Pliki" wymaga zapisu d
 udziału z bazami, więc znosi gwarancję z DAN-25, że baz nie da się zmienić przez
 NFS. Co zostaje z zabezpieczeń i jak to wdrożyć — w runbooku.
 
+## astrodemo — wersja demonstracyjna (PRE-28/29)
+
+Osobna usługa o dwóch funkcjach: dodanie pliku i pytanie o interpretację
+urodzeniową. Runbook: **[README-astrodemo.md](README-astrodemo.md)**.
+
+Ma **własną warstwę danych i logiki** (`astrodemo-stack.yaml`) oraz własny udział
+NFS, a każde konto dostaje w nim odrębną, niewidoczną dla pozostałych pulę plików
+(PRE-29). Nie sięga do produkcyjnych baz.
+
+Konta są osobne (sekret `astrololo-astrodemo`), więc usługę odcina się jedną
+zmianą, bez ruszania kont głównej aplikacji. Wchodzi się przez własny host
+`astrodemo.czernobog.pl` — nie przez ścieżkę pod adresem astrololo, bo wspólne
+pochodzenie oznaczałoby wspólne ciasteczka i wzajemne wylogowywanie.
+
 ## ⚠️ Wymóg węzłów: klient NFS
 
 Wszystkie warstwy montują udziały z NAS-a, więc **każdy węzeł, na którym może