diff --git a/.gitea/workflows/deploy-docs.yaml b/.gitea/workflows/deploy-docs.yaml
index 31a3b4b..cafd898 100644
--- a/.gitea/workflows/deploy-docs.yaml
+++ b/.gitea/workflows/deploy-docs.yaml
@@ -220,6 +220,12 @@ jobs:
 
       # CRITICAL bloquea el pipeline: no se sube una imagen con una CVE
       # crítica conocida y con fix disponible.
+      # --timeout 15m0s: agregado preventivamente. Se vio en vivo, al
+      # correr este mismo comando sin el flag en commerce-backend, que
+      # el default de Trivy (5m) no alcanza en este host bajo carga
+      # ("context deadline exceeded" a los 4m52s) -- la imagen de
+      # docs-portal es chica, pero no cuesta nada blindar el mismo
+      # comando en los tres pipelines.
       - name: Escanear imagen (Trivy) — CRITICAL bloquea
         shell: bash
         run: |
@@ -228,6 +234,7 @@ jobs:
             --severity CRITICAL \
             --exit-code 1 \
             --ignore-unfixed \
+            --timeout 15m0s \
             "${IMAGE_NAME}:${{ steps.vars.outputs.VERSION }}"
 
       # HIGH solo informa por ahora — mismo criterio que el resto.
@@ -239,6 +246,7 @@ jobs:
             --severity HIGH \
             --exit-code 0 \
             --ignore-unfixed \
+            --timeout 15m0s \
             "${IMAGE_NAME}:${{ steps.vars.outputs.VERSION }}"
 
       - name: Instalar Syft