Merge branch 'ci/trivy-image-scanners-vuln'

El escaneo de secretos que Trivy hace por defecto sobre toda la imagen
(node_modules incluido) hizo timeout (context deadline exceeded, 15m) en
el gate CRITICAL del backend el 2026-09-27; el propio log de Trivy
recomienda --scanners vuln. Aplicado a los 6 pasos trivy image (CRITICAL
bloqueante y HIGH informativo — un FATAL por timeout tumba el job aunque
--exit-code sea 0) de build.yaml, build-medusa.yaml y deploy-docs.yaml.

Sin pérdida real de cobertura (auditado por devsecops-auditor): Gitleaks
ya escanea todo el árbol de cada workload antes del build (needs:
gitleaks), ningún build recibe --build-arg/--secret con credenciales, los
ENV build-only del backend no llegan al stage final, y 11 corridas
recientes de image secret-scan tuvieron 0 hallazgos. Hueco residual
aceptado: secretos en capas de imágenes base oficiales.

Co-Authored-By: Claude Opus 5.5 <[email protected]>
Claude-Session: https://claude.ai/code/session_018r19s4H8MBGegqToqw5guP

.gitea/workflows/build-medusa.yaml

@@ -235,6 +235,7 @@ jobs:
         run: |
           set -euo pipefail
           /tmp/trivy image \
+            --scanners vuln \
             --severity CRITICAL \
             --exit-code 1 \
             --ignore-unfixed \
@@ -248,6 +249,7 @@ jobs:
         run: |
           set -euo pipefail
           /tmp/trivy image \
+            --scanners vuln \
             --severity HIGH \
             --exit-code 0 \
             --ignore-unfixed \

.gitea/workflows/build.yaml

@@ -429,6 +429,7 @@ jobs:
         run: |
           set -euo pipefail
           /tmp/trivy image \
+            --scanners vuln \
             --severity CRITICAL \
             --exit-code 1 \
             --ignore-unfixed \
@@ -442,6 +443,7 @@ jobs:
         run: |
           set -euo pipefail
           /tmp/trivy image \
+            --scanners vuln \
             --severity HIGH \
             --exit-code 0 \
             --ignore-unfixed \

.gitea/workflows/deploy-docs.yaml

@@ -231,6 +231,7 @@ jobs:
         run: |
           set -euo pipefail
           /tmp/trivy image \
+            --scanners vuln \
             --severity CRITICAL \
             --exit-code 1 \
             --ignore-unfixed \
@@ -243,6 +244,7 @@ jobs:
         run: |
           set -euo pipefail
           /tmp/trivy image \
+            --scanners vuln \
             --severity HIGH \
             --exit-code 0 \
             --ignore-unfixed \