feat(astroklient): wdrożenie wersji demonstracyjnej (PRE-28)

Deployment + Service (ClusterIP), wpięcie w kustomization, obraz dopisany do
image-updatera i runbook.

Obraz na liście image-updatera CELOWO od razu: obraz, którego tam nie ma, nigdy
się nie podbije, choćby CI go budowało — tak przez chwilę wisiał render na :latest.

Token międzywarstwowy i klucz łącza brane z TYCH SAMYCH sekretów co prezentacja:
demo nie jest furtką omijającą ochronę warstwy logicznej. Hasło demo natomiast
z OSOBNEGO sekretu astrololo-demo — demo odcina się jego skasowaniem, bez ruszania
kont głównej aplikacji.

Limit żądań niższy niż w pełnej aplikacji (60/min): demo bywa udostępniane szerzej,
a każde zapytanie sięga do treści baz.

Runbook zaczyna się od ostrzeżenia, bo to jedyna rzecz, którą trzeba pamiętać za
każdym razem: demo pracuje na PRODUKCYJNEJ warstwie danych, więc kto dostaje adres,
czyta oryginalne bazy, a jego wgrania trafiają do produkcyjnego zbioru. Pełna
izolacja wymagałaby osobnej warstwy danych i nie jest dziś zrobiona.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

astrololo/kustomization.yaml

@@ -6,6 +6,7 @@ resources:
   - data.yaml
   - logic.yaml
   - presentation.yaml
+  - astroklient.yaml # wersja demo (PRE-28) — sekret astrololo-demo POZA repo
   - render.yaml # składanie raportu PDF (PRE-24), osobny obraz z TeX Live
   - tls.yaml # certyfikat z własnego CA (wymaga cert-managera)
   - ingress.yaml # wejście po https + przekierowanie z http
@@ -16,5 +17,7 @@ images:
     newTag: ee3c515d
   - name: gitea.czernobog.pl/gitea/astrololo-render
     newTag: latest
+  - name: gitea.czernobog.pl/gitea/astrololo-astroklient
+    newTag: latest
   - name: gitea.czernobog.pl/gitea/astrololo-presentation
     newTag: ee3c515d