Merge branch 'ci/trivy-image-scanners-vuln'

ci: Trivy image solo con --scanners vuln (evita timeouts de 15m)
El escaneo de secretos que Trivy hace por defecto sobre toda la imagen (node_modules incluido) hizo timeout (context deadline exceeded, 15m) en el gate CRITICAL del backend el 2026-09-27; el propio log de Trivy recomienda --scanners vuln. Aplicado a los 6 pasos trivy image (CRITICAL bloqueante y HIGH informativo — un FATAL por timeout tumba el job aunque --exit-code sea 0) de build.yaml, build-medusa.yaml y deploy-docs.yaml. Sin pérdida real de cobertura (auditado por devsecops-auditor): Gitleaks ya escanea todo el árbol de cada workload antes del build (needs: gitleaks), ningún build recibe --build-arg/--secret con credenciales, los ENV build-only del backend no llegan al stage final, y 11 corridas recientes de image secret-scan tuvieron 0 hallazgos. Hueco residual aceptado: secretos en capas de imágenes base oficiales. Co-Authored-By: Claude Opus 5.5 <[email protected]> Claude-Session: https://claude.ai/code/session_018r19s4H8MBGegqToqw5guP
2026-09-27 23:38:15 +00:00 · 2026-09-27 23:38:14 +00:00
3 changed files with 6 additions and 0 deletions
@@ -235,6 +235,7 @@ jobs:
        run: |
          set -euo pipefail
          /tmp/trivy image \
+            --scanners vuln \
            --severity CRITICAL \
            --exit-code 1 \
            --ignore-unfixed \
@@ -248,6 +249,7 @@ jobs:
        run: |
          set -euo pipefail
          /tmp/trivy image \
+            --scanners vuln \
            --severity HIGH \
            --exit-code 0 \
            --ignore-unfixed \
@@ -429,6 +429,7 @@ jobs:
        run: |
          set -euo pipefail
          /tmp/trivy image \
+            --scanners vuln \
            --severity CRITICAL \
            --exit-code 1 \
            --ignore-unfixed \
@@ -442,6 +443,7 @@ jobs:
        run: |
          set -euo pipefail
          /tmp/trivy image \
+            --scanners vuln \
            --severity HIGH \
            --exit-code 0 \
            --ignore-unfixed \
@@ -231,6 +231,7 @@ jobs:
        run: |
          set -euo pipefail
          /tmp/trivy image \
+            --scanners vuln \
            --severity CRITICAL \
            --exit-code 1 \
            --ignore-unfixed \
@@ -243,6 +244,7 @@ jobs:
        run: |
          set -euo pipefail
          /tmp/trivy image \
+            --scanners vuln \
            --severity HIGH \
            --exit-code 0 \
            --ignore-unfixed \