v1.0.2

- Fix CI registry login (unauthorized): use dedicated REGISTRY_TOKEN secret
  instead of GITHUB_TOKEN, fail fast with a clear error if it's unset.
- Pause ticket work-timer while a ticket is closed (won't auto-start on open
  or manual resume; stops on close via status change, quick action, API, or
  merge).
- Reject empty/blank login submissions client- and server-side instead of
  passing them straight to the auth provider.
- Closing a ticket now sends only the "ticket closed" notification instead
  of also sending a duplicate "status changed" one.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

install.md

@@ -74,7 +74,7 @@ APP_LOCALE=pl
 APP_FALLBACK_LOCALE=pl
 
 AUTHOR_CONTACT=helpdesk@twoja-domena.pl        # widoczne w Admin > O aplikacji
-VERSION=1.0.0                                   # rezerwa na przyszłość, jeszcze nigdzie nie wyświetlane
+VERSION=1.0.2                                   # rezerwa na przyszłość, jeszcze nigdzie nie wyświetlane
 
 DB_CONNECTION=mysql
 DB_HOST=mariadb                                 # nazwa serwisu z compose.yaml, NIE 127.0.0.1
@@ -136,6 +136,21 @@ kontenerów Gitea (`gitea.kzbikowski.pl/kzbkowski/servicedesk`) po każdym pushu
 przebudowa dla samego kodu byłaby marnowaniem czasu CI). Wypycha dwa tagi:
 `latest` i `<sha commita>`.
 
+Zanim to zadziała, workflow potrzebuje sekretu `REGISTRY_TOKEN` — Gitei **nie**
+ufaj domyślnemu `secrets.GITHUB_TOKEN` do logowania w jej własnym rejestrze
+kontenerów, w praktyce kończy się to błędem `unauthorized` przy
+`docker login`. Zamiast tego:
+
+1. Wygeneruj token: **Ustawienia użytkownika > Aplikacje > Generate New Token**,
+   z uprawnieniami co najmniej `write:package` i `read:package`.
+2. Dodaj go jako sekret repo: **Ustawienia repo > Actions > Secrets** →
+   nazwa `REGISTRY_TOKEN`, wartość = wygenerowany token.
+
+Jeśli ten sekret nie jest ustawiony, workflow celowo przerywa się **przed**
+próbą logowania z czytelnym komunikatem błędu (`::error::`), zamiast wysyłać
+puste/nieautoryzowane dane do rejestru i kończyć na niejasnym `unauthorized` z
+demona Dockera.
+
 To **tylko build + push** — świadomie bez auto-deployu na produkcję. Po tym jak
 CI skończy, wdrożenie nowego obrazu na serwerze wciąż jest ręcznym krokiem:
 
@@ -260,7 +275,7 @@ APP_LOCALE=pl
 APP_FALLBACK_LOCALE=pl
 
 AUTHOR_CONTACT=helpdesk@twoja-domena.pl
-VERSION=1.0.0
+VERSION=1.0.2
 
 DB_CONNECTION=mysql
 DB_HOST=127.0.0.1        # albo adres IP/hostname prawdziwego serwera DB