diff --git a/.github/workflows/ci.yml b/.github/workflows/ci.yml
index 4e8ea7d..d33918a 100644
--- a/.github/workflows/ci.yml
+++ b/.github/workflows/ci.yml
@@ -3,9 +3,13 @@ name: CI
 on:
   push:
     branches: [main]
+    tags: ['v*']
   pull_request:
   workflow_dispatch:
 
+permissions:
+  contents: read
+
 jobs:
   check:
     name: Линт и типы
@@ -25,6 +29,9 @@ jobs:
     name: Сборка (Windows)
     needs: check
     runs-on: windows-latest
+    # На тег vX.Y.Z нужен contents: write — electron-builder публикует релиз через GH_TOKEN.
+    permissions:
+      contents: write
     steps:
       - uses: actions/checkout@v4
       - uses: actions/setup-node@v4
@@ -40,8 +47,12 @@ jobs:
 
       # Подпись не настроена: артефакты неподписанные.
       # Чтобы подписывать — добавьте секреты CSC_LINK, CSC_KEY_PASSWORD и передайте их в env.
+      #
+      # На пуш тега vX.Y.Z (см. on.push.tags выше) electron-builder публикует .exe в GitHub
+      # Release с этим тегом (создаёт его, если нет), используя repository из package.json.
+      # На push в main/PR публикации нет — только упаковка и загрузка в Artifacts ниже.
       - name: Build
-        run: npx --no-install electron-vite build && npx --no-install electron-builder --publish never
+        run: npx --no-install electron-vite build && npx --no-install electron-builder --publish ${{ startsWith(github.ref, 'refs/tags/v') && 'always' || 'never' }}
         env:
           GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}