diff --git a/.github/workflows/deploy.yml b/.github/workflows/deploy.yml
new file mode 100644
index 0000000..f257ad4
--- /dev/null
+++ b/.github/workflows/deploy.yml
@@ -0,0 +1,36 @@
+name: Deploy 🚀
+
+on:
+  push:
+    branches: [main]
+  workflow_dispatch:
+
+concurrency:
+  group: deploy-production
+  cancel-in-progress: false
+
+jobs:
+  deploy:
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v7
+
+      - uses: oven-sh/setup-bun@v2
+
+      - run: bun install --frozen-lockfile
+
+      - run: bun run build
+
+      - name: Write secrets file
+        env:
+          GITHUB_CLIENT_SECRET: ${{ secrets.APP_CLIENT_SECRET }}
+        run: printf 'GITHUB_CLIENT_SECRET=%s\n' "$GITHUB_CLIENT_SECRET" > "$RUNNER_TEMP/secrets.env"
+
+      - name: Deploy
+        uses: cloudflare/wrangler-action@v4
+        with:
+          apiToken: ${{ secrets.CLOUDFLARE_API_TOKEN }}
+          packageManager: bun
+          command: deploy --secrets-file ${{ runner.temp }}/secrets.env
diff --git a/.github/workflows/preview.yml b/.github/workflows/preview.yml
new file mode 100644
index 0000000..9235b79
--- /dev/null
+++ b/.github/workflows/preview.yml
@@ -0,0 +1,77 @@
+name: Preview 🔍
+
+on:
+  pull_request:
+    types: [opened, synchronize, reopened, closed]
+
+concurrency:
+  group: preview-${{ github.event.pull_request.number }}
+  cancel-in-progress: true
+
+jobs:
+  preview:
+    # 포크 PR에는 secret이 전달되지 않으므로 같은 저장소의 PR만 미리보기를 만든다
+    if: >
+      github.event.action != 'closed' &&
+      github.event.pull_request.head.repo.full_name == github.repository &&
+      github.actor != 'dependabot[bot]'
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+      pull-requests: write
+    steps:
+      - uses: actions/checkout@v7
+
+      - uses: oven-sh/setup-bun@v2
+
+      - run: bun install --frozen-lockfile
+
+      # 미리보기끼리 함께 쓰는 D1(feedback-preview)에 마이그레이션을 먼저 적용한다
+      - name: Migrate preview D1
+        env:
+          CLOUDFLARE_API_TOKEN: ${{ secrets.CLOUDFLARE_API_TOKEN }}
+        run: bun run db:migrate:preview
+
+      - run: bun run build
+
+      - name: Write secrets file
+        env:
+          GITHUB_CLIENT_SECRET: ${{ secrets.APP_CLIENT_SECRET }}
+        run: printf 'GITHUB_CLIENT_SECRET=%s\n' "$GITHUB_CLIENT_SECRET" > "$RUNNER_TEMP/secrets.env"
+
+      - name: Deploy preview
+        id: preview
+        uses: cloudflare/wrangler-action@v4
+        with:
+          apiToken: ${{ secrets.CLOUDFLARE_API_TOKEN }}
+          packageManager: bun
+          command: preview --name pr-${{ github.event.pull_request.number }} --secrets-file ${{ runner.temp }}/secrets.env
+
+      - name: Comment
+        if: always()
+        uses: marocchino/sticky-pull-request-comment@v3
+        with:
+          header: cloudflare-workers
+          message: |
+            ${{ steps.preview.outcome == 'success' && '✅' || '❌' }} 미리보기: https://pr-${{ github.event.pull_request.number }}.feedback-preview.dalestudy.com · [실행 로그](${{ github.server_url }}/${{ github.repository }}/actions/runs/${{ github.run_id }})
+
+  cleanup:
+    if: >
+      github.event.action == 'closed' &&
+      github.event.pull_request.head.repo.full_name == github.repository
+    runs-on: ubuntu-latest
+    permissions:
+      contents: read
+    steps:
+      - uses: actions/checkout@v7
+
+      - uses: oven-sh/setup-bun@v2
+
+      - run: bun install --frozen-lockfile
+
+      - name: Delete preview
+        uses: cloudflare/wrangler-action@v4
+        with:
+          apiToken: ${{ secrets.CLOUDFLARE_API_TOKEN }}
+          packageManager: bun
+          command: preview delete --name pr-${{ github.event.pull_request.number }} -y
diff --git a/AGENTS.md b/AGENTS.md
index cacf52c..0624b10 100644
--- a/AGENTS.md
+++ b/AGENTS.md
@@ -20,26 +20,25 @@ bun run db:seed:local <json> # 설문 JSON(편집자·문항)을 로컬 D1 에 
 bunx drizzle-kit generate --name <desc>   # 스키마 변경 후 마이그레이션 생성
 bun run db:migrate:remote   # 프로덕션 D1 마이그레이션 (아래 Gotchas 의 순서를 지킨다)
 bun run db:migrate:preview  # 미리보기 D1 마이그레이션
-bun run deploy:preview      # 지금 브랜치의 미리보기 수동 배포 (보통은 push 때 Workers Builds 가 한다)
+bun run deploy:preview      # 지금 브랜치의 미리보기 수동 배포 (보통은 PR 때 GitHub Actions 가 한다)
 ```
 
 ## Local setup
 
-- 로컬 시크릿은 `.dev.vars` (git 에 올라가지 않음): `GITHUB_CLIENT_ID`, `GITHUB_CLIENT_SECRET` — DaleStudy GitHub App 의 Client ID·secret. 없으면 로그인 대신 `users`·`sessions` 에 행을 직접 넣고 `Cookie: __Host-session=<id>` 로 요청한다. 실제 GitHub 로그인은 PR 미리보기에서 된다.
+- 로컬 시크릿은 `.dev.vars` (git 에 올라가지 않음): `GITHUB_CLIENT_SECRET` — DaleStudy GitHub App 의 client secret (Client ID 는 공개 값이라 `wrangler.jsonc` 의 `vars` 에 있다). 없으면 로그인 대신 `users`·`sessions` 에 행을 직접 넣고 `Cookie: __Host-session=<id>` 로 요청한다. 실제 GitHub 로그인은 PR 미리보기에서 된다.
 - `__Host-` 접두사 쿠키는 Secure 가 필수라, localhost 를 secure context 로 취급하는 Chrome/Firefox 에서 개발한다.
 - seed JSON(`seed/*.json`, 형식은 `seed/example.json`)은 로컬 D1 용이다. 프로덕션 설문은 화면에서 만들거나 복제한다. `editors` 가 편집자, `survey.id` 를 빼면 nanoid 로 만든다. 같은 id 가 있으면 실패한다. 문항은 `{ "common": "<key>", "required"? }`(공통 문항, 문구는 `vars` 로 채움) 또는 `{ "type", "label", "required"?, "config"? }`(이 설문만의 문항). 유형별 저장값·검증·`config` 는 `docs/questions.md`.
 
 ## Deployment
 
 - 변경은 브랜치 → PR → 미리보기에서 확인 → squash merge. `main` 에 직접 push·force push 하지 않는다 — 다른 사람과 함께 쓰는 저장소가 됐고, 머지 기록이 곧 배포 기록이다.
-- `main` 에 머지되면 Cloudflare Workers Builds 가 `bun run build` → `npx wrangler deploy`. 빌드 결과는 커밋의 check run `Workers Builds: feedback` 으로 확인한다. `bun run deploy` 는 수동 fallback.
-- **미리보기**: `main` 이 아닌 브랜치를 push 하면 Workers Builds 가 `bun run db:migrate:preview && bun run deploy:preview`(Workers Previews, `wrangler preview`)로 `https://<브랜치>.feedback-preview.dalestudy.com` 을 만든다. 모든 미리보기는 D1 `feedback-preview` 를 함께 쓴다 — 프로덕션 응답을 건드리지 않는 게 목적이다.
+- `main` 에 머지되면 GitHub Actions(`.github/workflows/deploy.yml`)가 `bun run build` → `wrangler deploy --secrets-file` 로 배포한다. `GITHUB_CLIENT_SECRET` 은 org secret `APP_CLIENT_SECRET` 에서 배포와 함께 넣는다(따로 `wrangler secret put` 하지 않는다 — 다음 배포 때 GitHub 값으로 덮인다). `bun run deploy` 는 수동 fallback.
+- **미리보기**: 같은 저장소의 PR 을 열거나 push 하면 GitHub Actions(`.github/workflows/preview.yml`)가 `bun run db:migrate:preview` → `wrangler preview --name pr-<번호> --secrets-file` 로 `https://pr-<번호>.feedback-preview.dalestudy.com` 을 만들고 PR 댓글로 알린다. PR 이 닫히면 미리보기를 지운다. 모든 미리보기는 D1 `feedback-preview` 를 함께 쓴다 — 프로덕션 응답을 건드리지 않는 게 목적이다.
   - `wrangler.jsonc` 의 `previews` 블록에 D1 을 다시 선언한다(상속되지 않는다). 마이그레이션은 마이그레이션 전용 환경 `env.migrate-preview` 로 한다 — `previews` 블록의 D1 은 `d1 migrations apply` 가 찾지 못하고, `preview_database_id` 를 쓰면 로컬 개발까지 그 id 의 빈 DB 를 쓰게 된다.
   - `versions upload` 의 버전 URL 은 프로덕션 D1 을 써서 쓰지 않는다(`preview_urls` 도 끔).
-  - 브랜치별 트리거와 시크릿은 브랜치가 처음 빌드될 때의 base config 를 복사한다. 대시보드의 미리보기 명령이나 `wrangler preview base-config secret put` 을 바꾼 뒤에는 기존 브랜치에 따로 넣는다(`wrangler preview secret put <KEY> --name <브랜치>`). 증상은 GitHub 로 `client_id=undefined` 가 가는 것.
-- 이미 설정된 것: D1 `feedback`·`feedback-preview`(APAC, id 는 `wrangler.jsonc`), 시크릿 `GITHUB_CLIENT_ID`·`GITHUB_CLIENT_SECRET`, 커스텀 도메인(`wrangler.jsonc` 의 `routes`), 빌드 변수 `BUN_VERSION=1.4.0`(빌드 이미지 기본 bun 은 lockfile v2 를 못 읽는다. 로컬 bun 을 올리면 같이 올린다).
+  - 미리보기 시크릿도 배포할 때마다 `--secrets-file` 로 넣으므로 Previews base config 에는 시크릿을 두지 않는다.
+- 이미 설정된 것: D1 `feedback`·`feedback-preview`(APAC, id 는 `wrangler.jsonc`), org secret `CLOUDFLARE_API_TOKEN`·`APP_CLIENT_SECRET`, 커스텀 도메인(`wrangler.jsonc` 의 `routes`).
 - GitHub App 의 Callback URL 은 localhost, `https://feedback.dalestudy.com/auth/callback`, `https://feedback-preview.dalestudy.com/auth/callback`(와일드카드) 셋. 앱은 **공개(public)** 여야 한다 — 비공개 앱은 소유 조직 멤버만 authorize 할 수 있어서 조직 밖 참가자가 GitHub 의 authorize 페이지에서 404 를 본다(우리 로그에는 안 남는다).
-- 저장소를 새로 만들면 Workers Builds 연결이 끊긴다(대시보드에는 이름이 그대로 보여도). 대시보드에서 Disconnect → Connect 로 다시 잇는다.
 
 ## Architecture
 
diff --git a/src/env.d.ts b/src/env.d.ts
index 4689db8..d5c7a8c 100644
--- a/src/env.d.ts
+++ b/src/env.d.ts
@@ -1,7 +1,6 @@
-// wrangler secret put 으로 등록하는 값들. wrangler types 는 시크릿을 모르므로 여기서 보강한다.
+// 배포할 때 GitHub secret에서 넣는 값. wrangler types 는 시크릿을 모르므로 여기서 보강한다.
 declare namespace Cloudflare {
   interface Env {
-    GITHUB_CLIENT_ID: string
     GITHUB_CLIENT_SECRET: string
   }
 }
diff --git a/wrangler.jsonc b/wrangler.jsonc
index 0b1a270..e14ac3f 100644
--- a/wrangler.jsonc
+++ b/wrangler.jsonc
@@ -7,6 +7,8 @@
   "main": "@tanstack/react-start/server-entry",
   "observability": { "enabled": true },
   "upload_source_maps": true,
+  // GitHub App(dalestudy)의 Client ID. 로그인 URL에 그대로 드러나는 공개 값이다.
+  "vars": { "GITHUB_CLIENT_ID": "Iv23liwu6Ob75w8NcAX9" },
   "routes": [
     { "pattern": "feedback.dalestudy.com", "custom_domain": true },
     // 미리보기 전용 도메인: 프로덕션 트래픽은 받지 않는다(enabled: false)
@@ -23,6 +25,7 @@
   // PR 미리보기(Workers Previews). 브랜치마다 <브랜치>.feedback-preview.dalestudy.com 에 뜬다.
   // D1 은 미리보기끼리 함께 쓰는 feedback-preview 로 — 프로덕션 응답을 건드리지 않게.
   "previews": {
+    "vars": { "GITHUB_CLIENT_ID": "Iv23liwu6Ob75w8NcAX9" },
     "d1_databases": [
       {
         "binding": "DB",
@@ -36,6 +39,7 @@
   // `preview_database_id` 로 하면 로컬 개발도 그 id 의 빈 DB 를 쓰게 돼서 이렇게 둔다. 배포에는 쓰지 않는다.
   "env": {
     "migrate-preview": {
+      "vars": { "GITHUB_CLIENT_ID": "Iv23liwu6Ob75w8NcAX9" },
       "d1_databases": [
         {
           "binding": "DB",