Прод на Pi: качественный единый compose, все настройки в .env

- docker-compose.yml: слот туннеля параметризован (${VPS_TUNNEL_PORT:-9000}), VPS_TUNNEL_HOST
  стал обязательным (${...:?}), лимиты ресурсов из .env (APP_MEM_LIMIT/APP_CPUS),
  stop_grace_period 30s (чек-пойнт WAL SQLite), security_opt no-new-privileges на обоих сервисах;
  healthcheck/логирование/тома сохранены (имена томов не менялись — данные не осиротеют).
- .env.example: VPS_TUNNEL_PORT по умолчанию НЕ задаётся (каждый контур берёт свой слот:
  dev→9001, prod→9000, test→9001); добавлены ADMIN_NICKNAME, DEV/PROD_ACHIEVEMENTS_DIR,
  APP_MEM_LIMIT/APP_CPUS.
- deploy/pi/README: чек-лист .env для Pi; запуск одним `docker compose up -d --build`.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.env.example

@@ -22,11 +22,15 @@ LOCAL_PUBLIC=local
 # Ключ туннеля — в deploy/tunnel/id_tunnel (в git не идёт); pubkey → authorized_keys у tunnel@VPS.
 VPS_TUNNEL_HOST=186.246.51.17
 VPS_TUNNEL_USER=tunnel
-VPS_TUNNEL_PORT=9001          # слот VPS для dev-туннеля (forbidden-stars.ru); контейнеры: prod=9000, test=9001
+# VPS_TUNNEL_PORT обычно НЕ задают — каждый контур берёт свой слот по умолчанию:
+#   dev (run.ps1) → 9001, прод-контейнер → 9000, test-контейнер → 9001.
+# Раскомментируй и переопредели, только если нужен нестандартный слот.
+#VPS_TUNNEL_PORT=9001
 
 # ─── АДМИНИСТРАТОР (вход по логину/паролю, отдельно от Telegram) ──────────────
 ADMIN_USERNAME=admin
 ADMIN_PASSWORD=change-me-admin-password
+ADMIN_NICKNAME=Администратор
 ADMIN_BOOTSTRAP_ENABLED=true
 
 # ─── АУТЕНТИФИКАЦИЯ ИГРОКОВ ───────────────────────────────────────────────────
@@ -57,10 +61,20 @@ COOKIE_DOMAIN=
 DEV_DATABASE_URL=sqlite:///./data/dev/forbidden_stars.db
 PROD_DATABASE_URL=sqlite:////data/forbidden_stars.db
 
-# Каталог загрузок (зарезервировано под фото/видео), тоже раздельно.
+# Каталог загрузок (фото партий), раздельно для dev и prod.
 DEV_UPLOAD_DIR=./data/dev/uploads
 PROD_UPLOAD_DIR=/data/uploads
 
+# Каталог определений титулов (файлы: meta.json, condition.py, icon.*), раздельно.
+DEV_ACHIEVEMENTS_DIR=./data/dev/achievements
+PROD_ACHIEVEMENTS_DIR=/data/achievements
+
+# ─── РЕСУРСЫ ПРОД-КОНТЕЙНЕРА (docker-compose.yml) ─────────────────────────────
+# Лимиты под Raspberry Pi. Не заданы → дефолты compose (512m / 1.5 CPU).
+# Подними, если у Pi больше RAM/ядер.
+#APP_MEM_LIMIT=512m
+#APP_CPUS=1.5
+
 # ─── БЭКАП (оффсайт-копия на VPS; читает scripts/backup.sh на хосте Pi) ───────
 # Полный бэкап (БД + uploads + achievements) кладётся локально в backups/, и — если задан
 # BACKUP_VPS_HOST — копируется на VPS (Pi → VPS push, т.к. Pi за CGNAT). Пусто = только локально.