diff --git a/.gitlab-ci.yml b/.gitlab-ci.yml
index 8c03f23..1b2a44b 100644
--- a/.gitlab-ci.yml
+++ b/.gitlab-ci.yml
@@ -100,6 +100,10 @@ commit-msg-lint:
   stage: test
   image: repo.nstart.cloud/library/alpine:3.20
   script:
+    # Runner не имеет outbound к dl-cdn.alpinelinux.org (Permission denied) —
+    # переадресуем apk на internal Nexus mirror. Это нужно во всех Alpine
+    # jobs (commit-msg-lint, build-docs ниже, propose-prod-image-bump).
+    - sed -i 's|https://dl-cdn.alpinelinux.org/alpine|https://repo.nstart.cloud/repository/alpine|g' /etc/apk/repositories
     - apk add --no-cache git grep
     - |
       set -e
@@ -636,6 +640,8 @@ release:
         echo "═══════════════════════════════════════════════════════════════"
         exit 0
       fi
+    # Internal Alpine mirror — см. commit-msg-lint выше для контекста.
+    - sed -i 's|https://dl-cdn.alpinelinux.org/alpine|https://repo.nstart.cloud/repository/alpine|g' /etc/apk/repositories
     - apk add --no-cache git ca-certificates
     # Configure git remote с токеном для push. CI default remote — HTTPS с
     # CI_JOB_TOKEN scope, который НЕ может push'ить tags/commits. Переопределяем
@@ -737,6 +743,8 @@ propose-prod-image-bump:
         echo "═══════════════════════════════════════════════════════════════"
         exit 0
       fi
+    # Internal Alpine mirror — см. commit-msg-lint выше для контекста.
+    - sed -i 's|https://dl-cdn.alpinelinux.org/alpine|https://repo.nstart.cloud/repository/alpine|g' /etc/apk/repositories
     - apk add --no-cache git curl jq
   script:
     - |