Merge fix/devsecops-trivy-timeout: fix real tras primer intento fallido (run 136)

.gitea/workflows/build-medusa.yaml

@@ -211,6 +211,15 @@ jobs:
 
       # CRITICAL bloquea el pipeline: no se sube una imagen con una CVE
       # crítica conocida y con fix disponible.
+      # --timeout 15m0s: el default de Trivy (5m) no alcanza para esta
+      # imagen -- a diferencia del frontend, commerce-backend arrastra
+      # el node_modules completo de Medusa v2 (framework + admin-sdk +
+      # cli), muchos más archivos que escanear tanto para vulnerabilidades
+      # como para el escaneo de secretos que Trivy corre por default
+      # dentro de la imagen. Visto en vivo: "context deadline exceeded"
+      # a los 4m52s con el timeout default, en un run donde el host
+      # venía de terminar el docker build (ver hallazgo de rendimiento
+      # de Gitea/runner en docs/playbooks).
       - name: Escanear imagen (Trivy) — CRITICAL bloquea
         shell: bash
         run: |
@@ -219,6 +228,7 @@ jobs:
             --severity CRITICAL \
             --exit-code 1 \
             --ignore-unfixed \
+            --timeout 15m0s \
             "${IMAGE_NAME}:${{ steps.vars.outputs.VERSION }}"
 
       # HIGH solo informa por ahora — mismo criterio que el frontend.
@@ -230,6 +240,7 @@ jobs:
             --severity HIGH \
             --exit-code 0 \
             --ignore-unfixed \
+            --timeout 15m0s \
             "${IMAGE_NAME}:${{ steps.vars.outputs.VERSION }}"
 
       - name: Instalar Syft