6 Commits

Include renames

Author	SHA1	Message	Date
devopsandClaude Sonnet 5	29021bff70	fix(ci): condicion de carrera en el chequeo de promocion GitOps ... Con el runner corriendo 1 job a la vez (capacity: 1), cuando 2+ pipelines comparten el mismo commit disparador, el primero en terminar deja su propio commit de GitOps en main -- los siguientes veian 'main ya no es igual a mi commit' y se saltaban su propia promocion, aunque era seguro promocionar. Visto en vivo: Frontend construyo, escaneo y firmo v1.0.119 pero el manifiesto seguia en v1.0.104 (Promocion GitOps: false). Fix en los 3 workflows: git merge-base --is-ancestor en vez de comparacion exacta de SHA. Bump manual de frontend a v1.0.119 (la version que ya estaba lista, sin desplegar). Documentado el limite conocido de este fix en el playbook de la migracion. Co-Authored-By: Claude Sonnet 5 <[email protected]> Claude-Session: https://claude.ai/code/session_011FqYP3Wf1W63Qmh7qgXAAT	2026-08-17 01:47:04 -05:00
devopsandClaude Sonnet 5	42e6250adc	fix(ci): actualizar MANIFEST_FILE tras la migracion a platform-templates ... Los 3 pipelines (build.yaml, build-medusa.yaml, deploy-docs.yaml) todavia apuntaban a las rutas viejas de deployment.yaml (borradas al migrar cada app a un overlay de platform-templates) para el paso de auto-actualizacion GitOps. Se rompio en vivo en el primer build real post-migracion (docs-portal v1.0.117): la imagen se construyo, escaneo y firmo bien, pero el ultimo paso (sed sobre el manifest) fallo con 'No such file or directory'. Se corrigen las 3 rutas a patches/deployment.yaml, y se bumpea a mano el tag de docs-portal a v1.0.117 (la imagen ya existe en el registry, firmada y verificada, no hace falta reconstruirla). Co-Authored-By: Claude Sonnet 5 <[email protected]> Claude-Session: https://claude.ai/code/session_011FqYP3Wf1W63Qmh7qgXAAT	2026-08-17 01:03:41 -05:00
devopsandClaude Sonnet 5	ac095ff981	fix(devsecops): firmar y verificar imagenes por digest, no por tag ... Los 3 pipelines (frontend, commerce-backend, docs-portal) ahora capturan el digest real del docker push y lo usan como referencia para cosign sign/verify, en vez del tag mutable :VERSION. Documenta ademas la decision de mantener Rekor deshabilitado (registry privado, evita dependencia de red saliente hacia rekor.sigstore.dev via el tunel). Co-Authored-By: Claude Sonnet 5 <[email protected]> Claude-Session: https://claude.ai/code/session_011FqYP3Wf1W63Qmh7qgXAAT	2026-08-16 14:46:01 -05:00
devops	27a1e75a4c	fix(devsecops): timeout de 15m en Trivy imagen para docs-portal ... Preventivo: mismo comando que en commerce-backend, donde se vio en vivo que el timeout default de Trivy (5m) no alcanza en este host bajo carga ("context deadline exceeded" a los 4m52s, run 136). Ver fix/devsecops-trivy-timeout para el fix real en commerce-backend.	2026-08-15 13:08:24 -05:00
devops	1bcae76102	feat(devsecops): replicar pipeline de seguridad a docs-portal ... Agrega a deploy-docs.yaml las mismas 6 etapas ya validadas en build.yaml (run 134, frontend): Gitleaks, Trivy IaC, Semgrep (SAST), Trivy imagen, Syft (SBOM) y Cosign (firma + verificación). Adaptaciones de stack: - Trivy IaC escanea todo workloads/docs-portal/ (varios manifiestos K8s separados: deployment/service/ingress), no un MANIFEST_FILE único como el frontend. - Semgrep usa p/python + p/security-audit (no hay TypeScript/React acá) -- docs-portal no tiene código de aplicación propio hoy (solo Markdown + config de MkDocs), así que 0 hallazgos es el resultado esperado; el stage queda listo para el día que se agregue un hook/plugin en Python. Mismos umbrales que el resto: Trivy bloquea en CRITICAL, Semgrep en modo auditoría. Reutiliza el mismo par de llaves Cosign (secrets ya existentes a nivel de repo); se agrega workloads/docs-portal/cosign.pub.	2026-08-15 12:47:43 -05:00
devops	fb5cf8bc98	feat(docs-portal): pipeline GitOps y manifiestos K8s para el portal MkDocs ... Agrega lo que faltaba para desplegar workloads/docs-portal/ (ya existente sin commitear): deployment/service/ingress + kustomization siguiendo el patrón de workloads/nginx, Applications de workload y gobernanza separadas, y el workflow de Gitea Actions (build+push a Gitea Registry, bump de versión en el manifiesto) siguiendo el mismo patrón que build.yaml/build-medusa.yaml.	2026-08-13 21:08:04 -05:00