fix(site): закрыта выдача сайта по IP

- Зачем:
  - стандартный nginx-vhost отдавал welcome page по IP, а HTTPS по IP получал сертификат de.dementev.space.
- Что:
  - default vhost настроен на HTTP 404 и отказ TLS для IP и неизвестного SNI.
  - runbook дополнен точной процедурой Certbot, восстановлением и проверками.
  - завершённая задача публикации перенесена в раздел «Сделано».
- Проверка:
  - live и bootstrap-конфигурации прошли nginx -t; доменный HTTPS отдаёт 200, неизвестный Host — 404, TLS по IP отклоняется.
  - mkdocs build --strict выполнен через persistent venv пользователя gitea-runner.

project/TODO.md

@@ -2,12 +2,6 @@
 
 Приоритеты: P1 — делаем в первую очередь; P2 — полезно, когда дойдут руки; P3 — идеи под вопросом.
 
-## P1
-
-- [ ] **Перенести публикацию сайта на Gitea Actions и VPS.**
-  Настроить repository-scoped host runner, строгую сборку MkDocs, атомарные
-  релизы, nginx и TLS для `de.dementev.space` по согласованной спецификации.
-
 ## P2
 
 - [ ] **Перенос учебника Airflow в de-roadmap.**
@@ -45,6 +39,11 @@
 
 ## Сделано
 
+- [x] **Публикация сайта перенесена на Gitea Actions и VPS** —
+  2026-08-05: настроены repository-scoped host runner, строгая сборка MkDocs,
+  атомарные релизы, nginx и TLS для `de.dementev.space`; GitHub Pages сохранён
+  как неактивный резерв.
+
 - [x] **Подраздел «Linux и терминал» в блоке базовых инструментов** —
   2026-07-12: видео-интро («Девопс на троечку», покрытие проверено по
   субтитрам) + три статьи (навигация и grep — habr, права — FirstVDS,