diff --git a/.github/workflows/publish.yml b/.github/workflows/publish.yml
index 94df670..2dd80f8 100644
--- a/.github/workflows/publish.yml
+++ b/.github/workflows/publish.yml
@@ -42,10 +42,10 @@ jobs:
       # из какого коммита он собран. Для пакета, который люди ставят глобально
       # и дают агенту, это единственный способ доказать происхождение.
       #
-      # NODE_AUTH_TOKEN тут запасной путь. Когда у пакета будет прописан
-      # доверенный издатель, npm сам возьмёт ключ у GitHub и токен не тронет;
-      # прямую публикацию токеном npm отключает в январе 2027.
+      # Токена тут больше нет: у пакета прописан доверенный издатель, и npm
+      # берёт короткий ключ у GitHub по OIDC (проверено выпуском 0.1.1).
+      # Запасной путь через NODE_AUTH_TOKEN убран сознательно: долгоживущий
+      # секрет в релизном прогоне это ровно тот риск, ради которого затевался
+      # переезд, а прямую публикацию токеном npm отключает в январе 2027.
       - if: steps.registry.outputs.skip == 'false'
         run: npm publish --provenance --access public
-        env:
-          NODE_AUTH_TOKEN: ${{ secrets.NPM_TOKEN }}