diff --git a/.woodpecker/release-backend.yml b/.woodpecker/release-backend.yml
index 71c94da..e68d4f3 100644
--- a/.woodpecker/release-backend.yml
+++ b/.woodpecker/release-backend.yml
@@ -41,13 +41,13 @@ steps:
         from_secret: registry_username
       ZOT_PASSWORD:
         from_secret: registry_password
-      ZOT_REGISTRY: zot.oeo.one
+      ZOT_REGISTRY: 192.168.2.162:5000
     commands:
       - set -euo pipefail
       - release_tag="${CI_COMMIT_TAG:-${RELEASE_TAG:-}}"
       - test -n "$release_tag"
-      - printf '%s' "$ZOT_PASSWORD" | buildah login "$ZOT_REGISTRY" --username "$ZOT_USERNAME" --password-stdin
+      - printf '%s' "$ZOT_PASSWORD" | buildah login --tls-verify=false "$ZOT_REGISTRY" --username "$ZOT_USERNAME" --password-stdin
       - trap 'buildah logout "$ZOT_REGISTRY" >/dev/null 2>&1 || true' EXIT
       - image="$ZOT_REGISTRY/justme/webdrop-api:$release_tag"
       - buildah bud --format docker --platform linux/amd64 --tag "$image" --file server/Dockerfile .
-      - buildah push "$image" "docker://$image"
+      - buildah push --tls-verify=false "$image" "docker://$image"
diff --git a/docs/deployment.md b/docs/deployment.md
index 5097fa7..1f6c860 100644
--- a/docs/deployment.md
+++ b/docs/deployment.md
@@ -38,7 +38,7 @@ CAPTCHA_SECRET=<server-side-secret>
 
 两条流水线固定到 `ci: domain-linux-native` 的 `linux/amd64` Agent；该主机需要 Node 24、.NET 10 和 Buildah。Gitea webhook 走同 Docker 网络中的 `woodpecker-server:8000`，代码 clone 走公网 Git 域名。
 
-后端镜像发布到 `zot.oeo.one/justme/webdrop-api`。在 Woodpecker 仓库配置 tag 事件可用的 secrets `registry_username`、`registry_password`。发布步骤要求 Linux native agent 安装 Buildah；使用已发布镜像时，在 `.env` 中设置 `WEBDROP_IMAGE_TAG`，仓库名已填入 `.env.example`。
+后端镜像发布到 `zot.oeo.one/justme/webdrop-api`。Woodpecker Linux agent 通过内网 `192.168.2.162:5000` 访问同一 Zot 仓库，发布需要 Buildah 与 tag/manual 事件可用的 secrets `registry_username`、`registry_password`。使用已发布镜像时，在 `.env` 中设置 `WEBDROP_IMAGE_TAG`，仓库名已填入 `.env.example`。
 
 API 契约版本以 `contracts/api-contract.json` 为准，并同步到 OpenAPI 与后端 `/api/v1/info`。加字段等向后兼容更新递增 minor，兼容性修复递增 patch，破坏性更新递增 major。前端声明支持的契约主版本；后端主版本变化时，前端 CI 契约检查和运行时连接检查都会失败，直到前端同步支持该主版本。