diff --git a/README.md b/README.md
index c7c4334..e635a7a 100644
--- a/README.md
+++ b/README.md
@@ -107,11 +107,11 @@ ENTRYPOINT ["/app"]
 - **坑**：gitea 挂在 `/gitea/` 子路径下，docker daemon 默认拼 `https://famzheng.me/v2/...` 会 404
 - 方案：加一条 ingress `registry.famzheng.me` 反代 `/v2/*` → `gitea-svc:3000/v2/*`，复用 gitea token 鉴权
 - 镜像命名：`registry.famzheng.me/mochi/<app>:<sha>`
-- **未实施**：第一个 app 上线时再搞 ingress；过渡期可本地 build 直接 `docker save` + `k3s ctr image import`
+- ingress 已落地：`apps/cube/k8s/_registry-ingress.yaml`（用 `mochi` bot 账户的 token push）
 
 ### CI/CD
 
-走 gitea Actions，复用现有 instance-level act_runner（gnoc 用户，host shell 模式，labels `*:host`，**新 repo 不用注册 runner**）。
+走 gitea Actions，复用现有 instance-level act_runner（fam 用户，host shell 模式，labels `*:host`，**新 repo 不用注册 runner**）。
 
 monorepo 每 app 一份 workflow `.gitea/workflows/deploy-<app>.yml`，按 `paths` 触发（只改 `apps/<app>/**` 和 `crates/cube-core/**` 才跑）。固定 5 步：
 
@@ -121,7 +121,9 @@ monorepo 每 app 一份 workflow `.gitea/workflows/deploy-<app>.yml`，按 `path
 4. `docker push registry.famzheng.me/mochi/<app>:$GITHUB_SHA`
 5. `kubectl -n cube-<app> set image deploy/<app> <app>=registry.famzheng.me/mochi/<app>:$GITHUB_SHA`
 
-host shell PATH 注意：workflow 第一行 `export PATH="$HOME/.cargo/bin:$PATH"`（gnoc 的 rustup 装在 `~/.cargo`）。
+host shell PATH 注意：workflow 第一行 `export PATH="$HOME/.cargo/bin:$PATH"`（fam 的 rustup 装在 `~/.cargo`）。
+
+> ⚠️ workflow `runs-on:` 只能写 label 名（`ubuntu-latest`），**不要带 `:host` 后缀** —— act_runner 注册到 gitea 时只 declare label name，写后缀会一直 queued。
 
 **不做 PR 预览环境** —— 个人小 app 不需要，徒增复杂度。
 
@@ -138,7 +140,7 @@ host shell PATH 注意：workflow 第一行 `export PATH="$HOME/.cargo/bin:$PATH
 
 ## 当前状态
 
-- 仓库刚初始化（2026-05-04），脚手架/cube-core 都还没动手。
+- **app #0 `cube` 已上线**（2026-05-04）：cube-core scaffold 完成，入口门户跑在 `cube.famzheng.me`，CI 全链路（cargo musl → npm build → docker push → kubectl rollout）通了。
 - 迁移源端清单见 [`doc/todo.md`](doc/todo.md)。
 
 ## 迁移名单（截至 2026-05-04）