diff --git a/.gitea/workflows/ci.yml b/.gitea/workflows/ci.yml
new file mode 100644
index 0000000..a633ae5
--- /dev/null
+++ b/.gitea/workflows/ci.yml
@@ -0,0 +1,136 @@
+name: CI
+
+on:
+  push:
+    branches: ["**"]
+    tags: ["v*"]
+  pull_request:
+  workflow_dispatch:
+
+env:
+  TARGET: x86_64-pc-windows-msvc
+  # Адрес, который вшивается в программу как источник обновлений. Берётся из
+  # самого Gitea, так что при переезде инстанса менять ничего не нужно.
+  # Контекст github, а не gitea: Gitea Actions заполняет его ради
+  # совместимости, и он поддерживается всеми версиями.
+  SYSHELPER_UPDATE_BASE: ${{ github.server_url }}
+
+jobs:
+  build:
+    runs-on: ubuntu-latest
+    # Debian с node: node нужен самому Gitea Actions, чтобы запускать
+    # JS-действия вроде actions/checkout внутри контейнера.
+    container:
+      image: node:20-bookworm
+
+    steps:
+      - uses: actions/checkout@v4
+
+      # Windows-сборка идёт кросс-компиляцией:
+      #   clang/lld    — компилятор и компоновщик для MSVC-таргета;
+      #   llvm         — даёт llvm-lib; без него падает сборка ring, который
+      #                  компилирует свой C-код и требует архиватор (проверено);
+      #   wine + i386  — под ним работает ISCC.exe, компилятор Inno Setup (он 32-битный);
+      #   xvfb + xauth — Wine дёргает X даже там, где окно не показывает, а
+      #                  xvfb-run без xauth не стартует вовсе (проверено).
+      - name: Системные зависимости
+        run: |
+          set -eux
+          dpkg --add-architecture i386
+          apt-get update -qq
+          apt-get install -y -qq --no-install-recommends \
+            ca-certificates curl jq file \
+            clang lld llvm \
+            wine wine32:i386 wine64 xvfb xauth
+
+      - name: Rust и cargo-xwin
+        run: |
+          set -eux
+          # minimal не включает clippy — без явного компонента шаг проверки упадёт
+          curl -fsSL https://sh.rustup.rs | sh -s -- -y \
+            --profile minimal --component clippy --default-toolchain stable
+          . "$HOME/.cargo/env"
+          rustup target add "$TARGET"
+          cargo install cargo-xwin --locked
+          echo "$HOME/.cargo/bin" >> "$GITHUB_PATH"
+
+      - name: Версия
+        id: meta
+        run: |
+          set -eu
+          case "$GITHUB_REF" in
+            refs/tags/v*) version="${GITHUB_REF#refs/tags/v}" ;;
+            *)            version=$(grep -m1 '^version' Cargo.toml | cut -d'"' -f2) ;;
+          esac
+          echo "version=$version" >> "$GITHUB_OUTPUT"
+          echo "версия: $version"
+
+      # Именно под Windows-таргетом: большая часть кода — служба и работа с
+      # процессами — скрыта за cfg(windows), и на линуксовой цели не проверится.
+      - name: Clippy
+        run: cargo xwin clippy --release --locked --target "$TARGET" -- -D warnings
+
+      - name: Сборка
+        run: cargo xwin build --release --locked --target "$TARGET"
+
+      # ISCC.exe — 32-битное приложение Windows, поэтому запускается под Wine.
+      # Версия закреплена: скрипту нужен минимум 6.1 (SaveStringsToUTF8File) и
+      # 6.3 (ArchitecturesAllowed=x64compatible). Качаем с GitHub — jrsoftware.org
+      # отдаёт по /download.php страницу, а не файл, а files.jrsoftware.org
+      # выкладывает только подписи (проверено).
+      - name: Inno Setup под Wine
+        env:
+          WINEPREFIX: /tmp/wine
+          WINEDEBUG: "-all"
+          INNO_URL: https://github.com/jrsoftware/issrc/releases/download/is-6_7_3/innosetup-6.7.3.exe
+        run: |
+          set -eux
+          xvfb-run -a wineboot --init
+          curl -fsSL -o /tmp/innosetup.exe "$INNO_URL"
+          xvfb-run -a wine /tmp/innosetup.exe /VERYSILENT /SUPPRESSMSGBOXES /NORESTART /SP-
+          ls "$WINEPREFIX/drive_c/Program Files (x86)/Inno Setup 6/ISCC.exe"
+
+      - name: Установщик
+        env:
+          WINEPREFIX: /tmp/wine
+          WINEDEBUG: "-all"
+        run: |
+          set -eux
+          mkdir -p dist
+          xvfb-run -a wine "$WINEPREFIX/drive_c/Program Files (x86)/Inno Setup 6/ISCC.exe" \
+            "/DAppVersion=${{ steps.meta.outputs.version }}" \
+            "/DExeSource=..\\target\\$TARGET\\release\\syshelper.exe" \
+            installer/setup.iss
+          ls -la dist
+
+      # v3, а не v4: приём артефактов v4 умеют не все версии Gitea.
+      - uses: actions/upload-artifact@v3
+        with:
+          name: syshelper-${{ steps.meta.outputs.version }}-windows-x64
+          path: dist/*.exe
+
+      # Релиз создаём через API Gitea: он совместим с GitHub по формату, но
+      # готовых действий для него в самоподнятом инстансе может не оказаться.
+      - name: Релиз
+        if: startsWith(github.ref, 'refs/tags/v')
+        env:
+          TOKEN: ${{ secrets.GITHUB_TOKEN }}
+          API: ${{ github.server_url }}/api/v1/repos/${{ github.repository }}
+          TAG: ${{ github.ref_name }}
+        run: |
+          # pipefail обязателен: без него провал curl потерялся бы за успешным
+          # jq, id стал бы null, и ассеты полетели бы в несуществующий релиз.
+          # Без -x: в команде участвует токен.
+          set -euo pipefail
+          id=$(curl -fsS -X POST "$API/releases" \
+            -H "Authorization: token $TOKEN" \
+            -H "Content-Type: application/json" \
+            -d "{\"tag_name\":\"$TAG\",\"name\":\"$TAG\"}" | jq -r .id)
+          echo "релиз $TAG (id $id)"
+
+          for file in dist/*.exe; do
+            echo "загружаю $(basename "$file")"
+            curl -fsS -X POST "$API/releases/$id/assets?name=$(basename "$file")" \
+              -H "Authorization: token $TOKEN" \
+              -F "attachment=@$file" > /dev/null
+          done
diff --git a/.github/workflows/ci.yml b/.github/workflows/ci.yml
deleted file mode 100644
index 6886f92..0000000
--- a/.github/workflows/ci.yml
+++ /dev/null
@@ -1,85 +0,0 @@
-name: CI
-
-on:
-  push:
-    branches: ["**"]
-    tags: ["v*"]
-  pull_request:
-  workflow_dispatch:
-
-concurrency:
-  group: ci-${{ github.ref }}
-  cancel-in-progress: true
-
-permissions:
-  contents: read
-
-jobs:
-  build:
-    name: Build
-    runs-on: windows-latest
-    permissions:
-      contents: write # publish release on tag
-
-    steps:
-      - uses: actions/checkout@v4
-
-      - uses: dtolnay/rust-toolchain@stable
-
-      - uses: Swatinem/rust-cache@v2
-
-      - name: Resolve version
-        id: meta
-        shell: pwsh
-        run: |
-          if ($env:GITHUB_REF -like 'refs/tags/v*') {
-            $version = $env:GITHUB_REF_NAME -replace '^v', ''
-          } else {
-            $version = (Select-String -Path Cargo.toml -Pattern '^version\s*=\s*"([^"]+)"' |
-                        Select-Object -First 1).Matches[0].Groups[1].Value
-          }
-          "version=$version" >> $env:GITHUB_OUTPUT
-          Write-Host "version: $version"
-
-      - name: Build
-        run: cargo build --release --locked
-
-      # Install unconditionally: the script uses ArchitecturesAllowed=x64compatible,
-      # which needs Inno Setup 6.3+. The version in the runner image is not guaranteed.
-      - name: Install Inno Setup
-        shell: pwsh
-        run: choco install innosetup --no-progress -y
-
-      - name: Build installer
-        shell: pwsh
-        run: |
-          $iscc = Get-ChildItem -ErrorAction SilentlyContinue -Path @(
-            "${env:ProgramFiles(x86)}\Inno Setup 6\ISCC.exe",
-            "${env:ProgramFiles}\Inno Setup 6\ISCC.exe"
-          ) | Select-Object -First 1
-          if (-not $iscc) { throw "ISCC.exe not found" }
-
-          New-Item -ItemType Directory -Force -Path dist | Out-Null
-          Copy-Item target\release\syshelper.exe dist\
-
-          & $iscc.FullName /DAppVersion=${{ steps.meta.outputs.version }} installer\setup.iss
-          if ($LASTEXITCODE -ne 0) { throw "ISCC exited with $LASTEXITCODE" }
-
-          Get-ChildItem dist | Format-Table Name, Length
-
-      - name: Upload artifacts
-        uses: actions/upload-artifact@v4
-        with:
-          name: syshelper-${{ steps.meta.outputs.version }}-windows-x64
-          path: dist/*.exe
-          if-no-files-found: error
-          retention-days: 30
-
-      - name: Publish release
-        if: startsWith(github.ref, 'refs/tags/v')
-        shell: pwsh
-        env:
-          GH_TOKEN: ${{ github.token }}
-        run: |
-          $files = (Get-ChildItem dist\*.exe).FullName
-          gh release create $env:GITHUB_REF_NAME $files --generate-notes
diff --git a/src/update.rs b/src/update.rs
index 5496b82..53145f9 100644
--- a/src/update.rs
+++ b/src/update.rs
@@ -1,4 +1,4 @@
-//! Автообновление через GitHub Releases.
+//! Автообновление через релизы Gitea.
 //!
 //! Служба и так работает от SYSTEM, поэтому скачивает и ставит обновление
 //! сама: ни задач Планировщика, ни отдельного привилегированного режима больше
@@ -8,6 +8,9 @@
 //!
 //! Останавливает и поднимает службу сам установщик (см. `[Code]` в setup.iss),
 //! так что возвращать панель на место после обновления не требуется.
+//!
+//! API релизов у Gitea совпадает с GitHub по нужным нам полям (`tag_name`,
+//! `assets[].browser_download_url`), поэтому разбор один на оба.
 
 use std::{
     path::PathBuf,
@@ -24,9 +27,17 @@ use crate::Shared;
 /// Версия из Cargo.toml — её же CI подставляет в тег релиза и имя установщика.
 const CURRENT_VERSION: &str = env!("CARGO_PKG_VERSION");
 
-// Координаты репозитория.
-const GITHUB_OWNER: &str = "robonen";
-const GITHUB_REPO: &str = "syshelper";
+// Координаты репозитория в Gitea.
+const DEFAULT_BASE: &str = "https://git.robonen.ru";
+const REPO_OWNER: &str = "robonen";
+const REPO_NAME: &str = "syshelper";
+
+/// Базовый адрес Gitea: из переменной окружения на этапе сборки, иначе из
+/// константы выше. CI подставляет собственный адрес инстанса.
+const BASE_URL: &str = match option_env!("SYSHELPER_UPDATE_BASE") {
+    Some(url) => url,
+    None => DEFAULT_BASE,
+};
 
 const CHECK_INTERVAL: Duration = Duration::from_secs(6 * 60 * 60);
 /// Даём службе подняться, прежде чем лезть в сеть.
@@ -129,11 +140,12 @@ fn client() -> Result<&'static reqwest::Client, String> {
 }
 
 async fn fetch_latest(client: &reqwest::Client) -> Result<Latest, String> {
-    let url = format!("https://api.github.com/repos/{GITHUB_OWNER}/{GITHUB_REPO}/releases/latest");
+    let base = BASE_URL.trim_end_matches('/');
+    let url = format!("{base}/api/v1/repos/{REPO_OWNER}/{REPO_NAME}/releases/latest");
 
     let release: Release = client
         .get(url)
-        .header("Accept", "application/vnd.github+json")
+        .header("Accept", "application/json")
         .send()
         .await
         .map_err(|e| e.to_string())?