devops
8b49ac2bc5
Agrega a build-medusa.yaml las mismas 6 etapas ya validadas en build.yaml (run 134, frontend): Gitleaks, Trivy IaC, Semgrep (SAST), Trivy imagen, Syft (SBOM) y Cosign (firma + verificación). Ruleset de Semgrep adaptado: p/typescript + p/security-audit + p/owasp-top-ten, sin p/react/p/nextjs -- commerce-backend es la API de Medusa v2 (Node/TypeScript), no una app con SSR. Mismos umbrales que el frontend: Trivy bloquea en CRITICAL, Semgrep en modo auditoría (no bloquea todavía). Reutiliza el mismo par de llaves Cosign del frontend (secrets ya existentes a nivel de repo); se agrega workloads/commerce-backend/cosign.pub con la misma llave pública para que la verificación quede local a este workflow.