chore: reintentar disparo del pipeline (take 3, runner reiniciado)

El fix fue en infraestructura (regla de ingress de cloudflared para
gitea.cruzcloud.net -> HTTPS con Origin Server Name correcto), no en
este repo -- este commit vacío es solo para generar un push nuevo y
validar el pipeline completo (incluida la firma de Cosign) de punta
a punta con las credenciales reales.

.gitea/workflows/build.yaml

@@ -1,10 +1,14 @@
 name: Build and Push Frontend
 
 on:
+  # NOTA: sin anchors/aliases de YAML (&x / *x) a propósito -- el parser
+  # de workflows de Gitea Actions no los resuelve en el bloque "on:" y
+  # descarta el archivo completo con "unknown on type" (visto en vivo el
+  # 2026-08-15). Las dos listas de paths quedan duplicadas literalmente.
   push:
     branches:
       - main
-    paths: &frontend_paths
+    paths:
       # Código y configuración real del frontend.
       # Los cambios exclusivos de GitOps (frontend.yaml, ingress, patches, etc.)
       # no vuelven a construir la imagen.
@@ -32,7 +36,28 @@ on:
   pull_request:
     branches:
       - main
-    paths: *frontend_paths
+    paths:
+      - 'workloads/ecommerce/Dockerfile'
+      - 'workloads/ecommerce/.dockerignore'
+      - 'workloads/ecommerce/.npmrc'
+      - 'workloads/ecommerce/package.json'
+      - 'workloads/ecommerce/package-lock.json'
+      - 'workloads/ecommerce/next.config.*'
+      - 'workloads/ecommerce/tsconfig.json'
+      - 'workloads/ecommerce/tailwind.config.*'
+      - 'workloads/ecommerce/postcss.config.*'
+      - 'workloads/ecommerce/eslint.config.*'
+      - 'workloads/ecommerce/*.js'
+      - 'workloads/ecommerce/*.mjs'
+      - 'workloads/ecommerce/*.ts'
+      - 'workloads/ecommerce/*.tsx'
+      - 'workloads/ecommerce/app/**'
+      - 'workloads/ecommerce/src/**'
+      - 'workloads/ecommerce/components/**'
+      - 'workloads/ecommerce/lib/**'
+      - 'workloads/ecommerce/public/**'
+      - 'workloads/ecommerce/styles/**'
+      - '.gitea/workflows/build.yaml'
 
 permissions:
   contents: write
@@ -260,6 +285,27 @@ jobs:
             --exit-code 0 \
             "${MANIFEST_FILE}"
 
+      # Instalado directo con pip (no como container aparte): el runner de
+      # Gitea ejecuta cada job ya dentro de un contenedor propio que habla
+      # con el daemon Docker del host (sibling containers) -- un
+      # `docker run -v "${{ github.workspace }}:/src"` desde acá intenta
+      # montar una ruta que solo existe DENTRO del contenedor del job, no
+      # en el host real, y falla con "read-only file system". Evitamos por
+      # completo el problema corriendo Semgrep nativo, igual que
+      # gitleaks/trivy/syft/cosign.
+      # venv en vez de "pip3 install --break-system-packages": la imagen del
+      # runner ya trae paquetes de Python instalados por apt (ej. PyJWT)
+      # sin metadata compatible con pip, y pip aborta al intentar
+      # reemplazarlos ("RECORD file not found"). Un venv aislado evita
+      # tocar los paquetes del sistema por completo.
+      - name: Instalar Semgrep
+        shell: bash
+        run: |
+          set -euo pipefail
+          python3 -m venv /tmp/semgrep-venv
+          /tmp/semgrep-venv/bin/pip install --quiet "semgrep==1.173.0"
+          /tmp/semgrep-venv/bin/semgrep --version
+
       # Modo auditoría: sin --error a propósito, Semgrep siempre termina
       # con exit 0 aunque reporte hallazgos. Es la primera vuelta — se
       # revisan los resultados en conjunto antes de decidir qué reglas
@@ -268,27 +314,17 @@ jobs:
         shell: bash
         run: |
           set -euo pipefail
-          SEMGREP_IMAGE="semgrep/semgrep:1.173.0"
+          /tmp/semgrep-venv/bin/semgrep scan \
-
+            --config=p/typescript \
-          docker run --rm \
+            --config=p/react \
-            -v "${{ github.workspace }}:/src" \
+            --config=p/nextjs \
-            -w /src \
+            --config=p/security-audit \
-            "${SEMGREP_IMAGE}" \
+            --json \
-            semgrep scan \
+            --output=semgrep-report.json \
-              --config=p/typescript \
+            "${APP_DIR}"
-              --config=p/react \
-              --config=p/nextjs \
-              --config=p/security-audit \
-              --json \
-              --output=semgrep-report.json \
-              "${APP_DIR}"
 
           echo "=== Resumen Semgrep ==="
-          docker run --rm \
+          /tmp/semgrep-venv/bin/python -c "
-            -v "${{ github.workspace }}:/src" \
-            -w /src \
-            "${SEMGREP_IMAGE}" \
-            python3 -c "
           import json
           data = json.load(open('semgrep-report.json'))
           results = data.get('results', [])