Reset API metadata on remote token sync

doc/tokens.md

@@ -96,7 +96,13 @@ Uzyj, gdy token jest w git remote i chcesz go zapisac w store:
 ```
 
 Ta komenda kopiuje sekret, usera, endpoint, org i repo z URL-a remota do
-`tokens.json`. Nie pyta API o uprawnienia.
+`tokens.json`. Nie pyta API o uprawnienia, wiec zawsze zeruje metadane API:
+`valid` ustawia na `?`, maski `scope`, `org_perm` i `repo_perm` ustawia na `?`,
+a `expires_at` usuwa. Realne uprawnienia wpisuje dopiero:
+
+```bash
+./rvctl tokens update r1
+```
 
 ### Store -> Remote
 
@@ -336,6 +342,10 @@ Pola pobierane z API przez `tokens update r1`:
 - `org_perm` - mapa praw uzytkownika w organizacji
 - `repo_perm` - mapa praw uzytkownika w repo
 
+`tokens sync remote r1` nadpisuje pola z git remota i oznacza te metadane jako
+nieznane. To celowe: po zmianie sekretu, usera albo repo stare metadane API nie
+sa juz wiarygodne.
+
 Minimalny przyklad:
 
 ```json