chore(gitops): deploy Medusa v1.0.295 [skip ci]

Medido en vivo (run 296): en la imagen del backend el análisis de capas
toma ~14 min en el runner del NAS (descarga de DB 8 s, detección 9 s); con
15m hizo timeout una vez (run 294). No era el secret-scan. Solo este paso:
el HIGH reusa el análisis cacheado (~2 s) y frontend/docs tardan ~2 min.
No cambia qué se revisa ni que CRITICAL bloquea.

Co-Authored-By: Claude Opus 5.5 <[email protected]>
Claude-Session: https://claude.ai/code/session_018r19s4H8MBGegqToqw5guP

.gitea/workflows/build-medusa.yaml

@@ -234,11 +234,17 @@ jobs:
         shell: bash
         run: |
           set -euo pipefail
+          # --timeout 30m (no 15m): medido en vivo 2026-09-27, el analisis de
+          # capas de esta imagen (node_modules de Medusa) toma ~14 min en
+          # el runner del NAS -- con 15m hizo timeout una vez. El paso HIGH
+          # de abajo reusa ese analisis cacheado (~2 s), por eso no lo
+          # necesita. No cambia que revisa ni que bloquea.
           /tmp/trivy image \
+            --scanners vuln \
             --severity CRITICAL \
             --exit-code 1 \
             --ignore-unfixed \
-            --timeout 15m0s \
+            --timeout 30m0s \
             --ignorefile "${APP_DIR}/.trivyignore" \
             "${IMAGE_NAME}:${{ steps.vars.outputs.VERSION }}"
 
@@ -248,6 +254,7 @@ jobs:
         run: |
           set -euo pipefail
           /tmp/trivy image \
+            --scanners vuln \
             --severity HIGH \
             --exit-code 0 \
             --ignore-unfixed \

.gitea/workflows/build.yaml

@@ -429,6 +429,7 @@ jobs:
         run: |
           set -euo pipefail
           /tmp/trivy image \
+            --scanners vuln \
             --severity CRITICAL \
             --exit-code 1 \
             --ignore-unfixed \
@@ -442,6 +443,7 @@ jobs:
         run: |
           set -euo pipefail
           /tmp/trivy image \
+            --scanners vuln \
             --severity HIGH \
             --exit-code 0 \
             --ignore-unfixed \

.gitea/workflows/deploy-docs.yaml

@@ -231,6 +231,7 @@ jobs:
         run: |
           set -euo pipefail
           /tmp/trivy image \
+            --scanners vuln \
             --severity CRITICAL \
             --exit-code 1 \
             --ignore-unfixed \
@@ -243,6 +244,7 @@ jobs:
         run: |
           set -euo pipefail
           /tmp/trivy image \
+            --scanners vuln \
             --severity HIGH \
             --exit-code 0 \
             --ignore-unfixed \

workloads/commerce-backend/src/api/admin/product-import/route.ts

@@ -115,6 +115,15 @@ function normalizeTitleForMatch(title: string): string {
     .toLowerCase();
 }
 
+// Categorias/colecciones: ademas de lo anterior, ignora tildes y eñes
+// ("Figuras de accion" == "Figuras de acción"). Desde 2026-09-27 los
+// nombres reales en Medusa llevan tildes; sin esto, un CSV escrito sin
+// tildes (o viejo) crearia una categoria DUPLICADA en vez de reusar la
+// existente. Los titulos de producto siguen con normalizeTitleForMatch.
+function normalizeNameForMatch(name: string): string {
+  return normalizeTitleForMatch(name).normalize("NFD").replace(/[\u0300-\u036f]/g, "");
+}
+
 function slugify(title: string, uniquePart: string): string {
   const base = title
     .normalize("NFD")
@@ -166,7 +175,7 @@ export async function GET(req: MedusaRequest, res: MedusaResponse) {
   // ofrece descargar y lo que realmente se procesa.
   const header = "titulo,descripcion,precio,categoria,coleccion,cantidad,fotos";
   const example =
-    '"Muñeco Buzz Lightyear","Figura articulada de 30cm, edición coleccionista.",89900,"Figuras de accion","Toy Story",3,"https://ejemplo.com/foto1.jpg;https://ejemplo.com/foto2.jpg"';
+    '"Muñeco Buzz Lightyear","Figura articulada de 30cm, edición coleccionista.",89900,"Figuras de acción","Toy Story",3,"https://ejemplo.com/foto1.jpg;https://ejemplo.com/foto2.jpg"';
   const csv = `${header}\n${example}\n`;
   res.setHeader("Content-Type", "text/csv; charset=utf-8");
   res.setHeader("Content-Disposition", 'attachment; filename="plantilla-importacion.csv"');
@@ -217,10 +226,10 @@ export async function POST(req: MedusaRequest<{ csv: string }>, res: MedusaRespo
   }
 
   const categoryByName = new Map(
-    categories.filter((c) => c.name).map((c) => [normalizeTitleForMatch(c.name), c.id]),
+    categories.filter((c) => c.name).map((c) => [normalizeNameForMatch(c.name), c.id]),
   );
   const collectionByName = new Map(
-    collections.filter((c) => c.title).map((c) => [normalizeTitleForMatch(c.title), c.id]),
+    collections.filter((c) => c.title).map((c) => [normalizeNameForMatch(c.title), c.id]),
   );
   const productByTitle = new Map(
     existingProducts.filter((p) => p.title).map((p) => [normalizeTitleForMatch(p.title), p]),
@@ -289,7 +298,7 @@ export async function POST(req: MedusaRequest<{ csv: string }>, res: MedusaRespo
       if (!inventoryItemId) throw new Error("No se pudo crear el registro de inventario");
 
       const categoryName = row.categoria?.trim();
-      let categoryId = categoryName ? categoryByName.get(normalizeTitleForMatch(categoryName)) : undefined;
+      let categoryId = categoryName ? categoryByName.get(normalizeNameForMatch(categoryName)) : undefined;
       if (categoryName && !categoryId) {
         const { result: createdCategories } = await createProductCategoriesWorkflow(req.scope).run({
           input: {
@@ -299,11 +308,11 @@ export async function POST(req: MedusaRequest<{ csv: string }>, res: MedusaRespo
           },
         });
         categoryId = createdCategories[0].id;
-        categoryByName.set(normalizeTitleForMatch(categoryName), categoryId);
+        categoryByName.set(normalizeNameForMatch(categoryName), categoryId);
       }
 
       const collectionName = row.coleccion?.trim();
-      let collectionId = collectionName ? collectionByName.get(normalizeTitleForMatch(collectionName)) : undefined;
+      let collectionId = collectionName ? collectionByName.get(normalizeNameForMatch(collectionName)) : undefined;
       if (collectionName && !collectionId) {
         const { result: createdCollections } = await createCollectionsWorkflow(req.scope).run({
           input: {
@@ -313,7 +322,7 @@ export async function POST(req: MedusaRequest<{ csv: string }>, res: MedusaRespo
           },
         });
         collectionId = createdCollections[0].id;
-        collectionByName.set(normalizeTitleForMatch(collectionName), collectionId);
+        collectionByName.set(normalizeNameForMatch(collectionName), collectionId);
       }
 
       await createProductsWorkflow(req.scope).run({

workloads/docs-portal/patches/deployment.yaml

@@ -25,7 +25,7 @@ spec:
         runAsNonRoot: false
       containers:
         - name: app
-          image: gitea.cruzcloud.net/devops/docs-portal:v1.0.283
+          image: gitea.cruzcloud.net/devops/docs-portal:v1.0.294
           # El base saca TODAS las capabilities. Probado en vivo y
           # revertido: con drop: ALL (aunque se agregue NET_BIND_SERVICE
           # de vuelta) el propio entrypoint de nginx:1.27-alpine falla al

workloads/ecommerce-staging/frontend/patches/deployment.yaml

@@ -26,11 +26,11 @@ spec:
         runAsUser: 1001
       containers:
         - name: app
-          image: gitea.cruzcloud.net/devops/ecommerce-frontend:v1.0.286
+          image: gitea.cruzcloud.net/devops/ecommerce-frontend:v1.0.293
           env:
             # Ver comentario en workloads/ecommerce/frontend/patches/deployment.yaml
             - name: APP_VERSION
-              value: v1.0.286
+              value: v1.0.293
             - name: HEADLESS_PROVIDER
               value: medusa
             # Backend COMPARTIDO con Producción a propósito (decisión del

workloads/ecommerce/app/catalog/page.tsx

@@ -11,6 +11,13 @@ type CatalogPageProps = {
   searchParams: Promise<Record<string, string | string[] | undefined>>;
 };
 
+// Sin tildes/eñes ni mayusculas: los links viejos (o escritos a mano)
+// como ?category=Munecas y peluches siguen llevando a la categoria real
+// "Muñecas y peluches" (renombrada con tildes el 2026-09-27).
+function normalizeName(value: string): string {
+  return value.normalize("NFD").replace(/[\u0300-\u036f]/g, "").trim().toLowerCase();
+}
+
 function single(value: string | string[] | undefined): string {
   return Array.isArray(value) ? value[0] ?? "" : value ?? "";
 }
@@ -19,7 +26,9 @@ export default async function CatalogPage({ searchParams }: CatalogPageProps) {
   const params = await searchParams;
   const [products, categories] = await Promise.all([getProducts(), getCategories()]);
 
-  const category = single(params.category) || "Todos";
+  const requestedCategory = single(params.category) || "Todos";
+  const category =
+    categories.find((node) => normalizeName(node.name) === normalizeName(requestedCategory))?.name ?? requestedCategory;
   const collection = single(params.collection);
   const query = single(params.q);
   const taxonomy = {

workloads/ecommerce/commerce/medusa/patches/deployment.yaml

@@ -65,7 +65,7 @@ spec:
               memory: 64Mi
 
         - name: migrations
-          image: gitea.cruzcloud.net/devops/ecommerce-medusa:v1.0.287
+          image: gitea.cruzcloud.net/devops/ecommerce-medusa:v1.0.295
           imagePullPolicy: IfNotPresent
           command:
             - node
@@ -86,7 +86,7 @@ spec:
 
       containers:
         - name: app
-          image: gitea.cruzcloud.net/devops/ecommerce-medusa:v1.0.287
+          image: gitea.cruzcloud.net/devops/ecommerce-medusa:v1.0.295
           imagePullPolicy: IfNotPresent
           envFrom:
             - configMapRef:

workloads/ecommerce/frontend/patches/deployment.yaml

@@ -25,14 +25,14 @@ spec:
         runAsUser: 1001
       containers:
         - name: app
-          image: gitea.cruzcloud.net/devops/ecommerce-frontend:v1.0.286
+          image: gitea.cruzcloud.net/devops/ecommerce-frontend:v1.0.293
           env:
             # La actualiza el mismo paso del CD (.gitea/workflows/build.yaml)
             # que bumpea el tag de la imagen -- el footer la lee
             # (process.env.APP_VERSION) para mostrar la versión real
             # desplegada en vez de un "v4.1" fijo.
             - name: APP_VERSION
-              value: v1.0.286
+              value: v1.0.293
             - name: HEADLESS_PROVIDER
               value: medusa
             - name: MEDUSA_BACKEND_URL