chore(gitops): deploy Medusa v1.0.295 [skip ci]

Merge branch 'ci/trivy-backend-timeout'
ci(medusa): timeout de Trivy CRITICAL 15m -> 30m (análisis de capas ~14 min)
2026-09-28 01:29:53 +00:00 · 2026-09-28 01:12:17 +00:00 · 2026-09-28 01:12:16 +00:00 · 2026-09-28 00:42:39 +00:00 · 2026-09-28 00:34:16 +00:00 · 2026-09-28 00:34:14 +00:00
7 changed files with 19 additions and 8 deletions
@@ -234,11 +234,17 @@ jobs:
        shell: bash
        run: |
          set -euo pipefail
+          # --timeout 30m (no 15m): medido en vivo 2026-09-27, el analisis de
+          # capas de esta imagen (node_modules de Medusa) toma ~14 min en
+          # el runner del NAS -- con 15m hizo timeout una vez. El paso HIGH
+          # de abajo reusa ese analisis cacheado (~2 s), por eso no lo
+          # necesita. No cambia que revisa ni que bloquea.
          /tmp/trivy image \
+            --scanners vuln \
            --severity CRITICAL \
            --exit-code 1 \
            --ignore-unfixed \
-            --timeout 15m0s \
+            --timeout 30m0s \
            --ignorefile "${APP_DIR}/.trivyignore" \
            "${IMAGE_NAME}:${{ steps.vars.outputs.VERSION }}"

@@ -248,6 +254,7 @@ jobs:
        run: |
          set -euo pipefail
          /tmp/trivy image \
+            --scanners vuln \
            --severity HIGH \
            --exit-code 0 \
            --ignore-unfixed \
@@ -429,6 +429,7 @@ jobs:
        run: |
          set -euo pipefail
          /tmp/trivy image \
+            --scanners vuln \
            --severity CRITICAL \
            --exit-code 1 \
            --ignore-unfixed \
@@ -442,6 +443,7 @@ jobs:
        run: |
          set -euo pipefail
          /tmp/trivy image \
+            --scanners vuln \
            --severity HIGH \
            --exit-code 0 \
            --ignore-unfixed \
@@ -231,6 +231,7 @@ jobs:
        run: |
          set -euo pipefail
          /tmp/trivy image \
+            --scanners vuln \
            --severity CRITICAL \
            --exit-code 1 \
            --ignore-unfixed \
@@ -243,6 +244,7 @@ jobs:
        run: |
          set -euo pipefail
          /tmp/trivy image \
+            --scanners vuln \
            --severity HIGH \
            --exit-code 0 \
            --ignore-unfixed \
@@ -25,7 +25,7 @@ spec:
        runAsNonRoot: false
      containers:
        - name: app
-          image: gitea.cruzcloud.net/devops/docs-portal:v1.0.283
+          image: gitea.cruzcloud.net/devops/docs-portal:v1.0.294
          # El base saca TODAS las capabilities. Probado en vivo y
          # revertido: con drop: ALL (aunque se agregue NET_BIND_SERVICE
          # de vuelta) el propio entrypoint de nginx:1.27-alpine falla al
@@ -26,11 +26,11 @@ spec:
        runAsUser: 1001
      containers:
        - name: app
-          image: gitea.cruzcloud.net/devops/ecommerce-frontend:v1.0.291
+          image: gitea.cruzcloud.net/devops/ecommerce-frontend:v1.0.293
          env:
            # Ver comentario en workloads/ecommerce/frontend/patches/deployment.yaml
            - name: APP_VERSION
-              value: v1.0.291
+              value: v1.0.293
            - name: HEADLESS_PROVIDER
              value: medusa
            # Backend COMPARTIDO con Producción a propósito (decisión del
@@ -65,7 +65,7 @@ spec:
              memory: 64Mi

        - name: migrations
-          image: gitea.cruzcloud.net/devops/ecommerce-medusa:v1.0.290
+          image: gitea.cruzcloud.net/devops/ecommerce-medusa:v1.0.295
          imagePullPolicy: IfNotPresent
          command:
            - node
@@ -86,7 +86,7 @@ spec:

      containers:
        - name: app
-          image: gitea.cruzcloud.net/devops/ecommerce-medusa:v1.0.290
+          image: gitea.cruzcloud.net/devops/ecommerce-medusa:v1.0.295
          imagePullPolicy: IfNotPresent
          envFrom:
            - configMapRef:
@@ -25,14 +25,14 @@ spec:
        runAsUser: 1001
      containers:
        - name: app
-          image: gitea.cruzcloud.net/devops/ecommerce-frontend:v1.0.291
+          image: gitea.cruzcloud.net/devops/ecommerce-frontend:v1.0.293
          env:
            # La actualiza el mismo paso del CD (.gitea/workflows/build.yaml)
            # que bumpea el tag de la imagen -- el footer la lee
            # (process.env.APP_VERSION) para mostrar la versión real
            # desplegada en vez de un "v4.1" fijo.
            - name: APP_VERSION
-              value: v1.0.291
+              value: v1.0.293
            - name: HEADLESS_PROVIDER
              value: medusa
            - name: MEDUSA_BACKEND_URL
Author	SHA1	Message	Date
gitea-actions	55fbf3524b	chore(gitops): deploy Medusa v1.0.295 [skip ci]	2026-09-28 01:29:53 +00:00
devops	17dc9a5133	Merge branch 'ci/trivy-backend-timeout' Build and Push Medusa / Escaneo de Secretos (Gitleaks) (push) Successful in 37s Details Build and Push Medusa / Construir y publicar Medusa (push) Successful in 17m6s Details	2026-09-28 01:12:17 +00:00
devopsandClaude Opus 5.5	ba96a50a42	ci(medusa): timeout de Trivy CRITICAL 15m -> 30m (análisis de capas ~14 min) Medido en vivo (run 296): en la imagen del backend el análisis de capas toma ~14 min en el runner del NAS (descarga de DB 8 s, detección 9 s); con 15m hizo timeout una vez (run 294). No era el secret-scan. Solo este paso: el HIGH reusa el análisis cacheado (~2 s) y frontend/docs tardan ~2 min. No cambia qué se revisa ni que CRITICAL bloquea. Co-Authored-By: Claude Opus 5.5 <[email protected]> Claude-Session: https://claude.ai/code/session_018r19s4H8MBGegqToqw5guP	2026-09-28 01:12:16 +00:00
gitea-actions	91335ce023	chore(gitops): deploy Docs Portal v1.0.294 [skip ci]	2026-09-28 00:42:39 +00:00
devops	43c47d99fb	chore: promote v1.0.293 to production [skip ci]	2026-09-28 00:34:16 +00:00
devops	4baabf36ce	chore: release v1.0.293 [skip ci]	2026-09-28 00:34:14 +00:00
gitea-actions	3cc0a7c861	chore(gitops): deploy Medusa v1.0.292 [skip ci]	2026-09-28 00:20:14 +00:00
devops	a3e9580348	Merge branch 'ci/trivy-image-scanners-vuln' Build and Push Medusa / Escaneo de Secretos (Gitleaks) (push) Successful in 43s Details Build and Push Frontend / Escaneo de Secretos (Gitleaks) (push) Successful in 33s Details Build and Push Docs Portal / Escaneo de Secretos (Gitleaks) (push) Successful in 31s Details Build and Push Medusa / Construir y publicar Medusa (push) Successful in 40m7s Details Build and Push Frontend / Construir y Subir Imagen (push) Successful in 13m58s Details Build and Push Docs Portal / Construir y publicar Docs Portal (push) Successful in 8m35s Details	2026-09-27 23:38:15 +00:00
devopsandClaude Opus 5.5	aaf6e14742	ci: Trivy image solo con --scanners vuln (evita timeouts de 15m) El escaneo de secretos que Trivy hace por defecto sobre toda la imagen (node_modules incluido) hizo timeout (context deadline exceeded, 15m) en el gate CRITICAL del backend el 2026-09-27; el propio log de Trivy recomienda --scanners vuln. Aplicado a los 6 pasos trivy image (CRITICAL bloqueante y HIGH informativo — un FATAL por timeout tumba el job aunque --exit-code sea 0) de build.yaml, build-medusa.yaml y deploy-docs.yaml. Sin pérdida real de cobertura (auditado por devsecops-auditor): Gitleaks ya escanea todo el árbol de cada workload antes del build (needs: gitleaks), ningún build recibe --build-arg/--secret con credenciales, los ENV build-only del backend no llegan al stage final, y 11 corridas recientes de image secret-scan tuvieron 0 hallazgos. Hueco residual aceptado: secretos en capas de imágenes base oficiales. Co-Authored-By: Claude Opus 5.5 <[email protected]> Claude-Session: https://claude.ai/code/session_018r19s4H8MBGegqToqw5guP	2026-09-27 23:38:14 +00:00