diff --git a/.gitea/workflows/renovate.yaml b/.gitea/workflows/renovate.yaml
index 9fd8195..3be160c 100644
--- a/.gitea/workflows/renovate.yaml
+++ b/.gitea/workflows/renovate.yaml
@@ -21,5 +21,6 @@ jobs:
           RENOVATE_AUTODISCOVER: "false"
           RENOVATE_GIT_AUTHOR: "Renovate Bot <renovate-bot@creative-dragonslayer.de>"
           RENOVATE_HOST_RULES: >-
-            [{"hostType":"cargo","matchHost":"gitea.creative-dragonslayer.de","token":"${{ secrets.RENOVATE_TOKEN }}"}]
+            [{"hostType":"cargo","matchHost":"${{ gitea.server_url || github.server_url }}","token":"${{ secrets.RENOVATE_TOKEN }}"}]
+          GITHUB_COM_TOKEN: ${{ secrets.GH_RENOVATE_TOKEN }}
           LOG_LEVEL: info
diff --git a/AGENTS.md b/AGENTS.md
index a804b3c..5c128d2 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -148,6 +148,7 @@ Pro CI-Lauf wird genau **eine** Build-Nummer ermittelt und identisch an `cargo d
 - `PACKAGE_TOKEN` (bzw. Fallback-Token-Namen wie `RELEASE_TOKEN`, `GITEA_TOKEN`) wird für API-Zugriffe auf Gitea Packages, Container Registry und Releases verwendet.
 - `SECURITY_TOKEN` für die Security-Scan-Workflows (Gitea-Issue-Erstellung).
 - `RENOVATE_TOKEN` für den Renovate-Workflow.
+- `GH_RENOVATE_TOKEN` (optional, Renovate-Workflow, als `GITHUB_COM_TOKEN` an Renovate durchgereicht) – GitHub-PAT (Public-Repo-Read genügt), damit Renovate Release-Infos für GitHub-gehostete Dependencies (u.a. `github-actions`-Manager) authentifiziert statt rate-limitiert abfragt.
 
 ### 5.5 Renovate (`renovate.json`)
 - `baseBranches: ["dev"]` – Renovate liest Dependency-Dateien ausschließlich von `dev` und öffnet PRs nur dort, passend zum `dev → testing → main`-Promotion-Flow. Die Konfigurationsdatei selbst muss trotzdem über den Gitea-Default-Branch auffindbar sein.
diff --git a/renovate.json b/renovate.json
index f6417c7..9f7ce67 100644
--- a/renovate.json
+++ b/renovate.json
@@ -4,6 +4,7 @@
   "timezone": "Europe/Berlin",
   "schedule": ["before 6am on monday"],
   "baseBranches": ["dev"],
+  "allowCustomCrateRegistries": true,
   "packageRules": [
     {
       "matchFileNames": [".gitea/workflows/**"],