chore(k8s): Images auf CI-Build pinnen statt :latest

App, Migration und Worker zeigen auf sha-<commit> mit
imagePullPolicy IfNotPresent. Damit gibt es ein Rollback per
rollout undo, und ein Neustart zieht nicht mehr ungeprueft das
neueste Image (oder scheitert, wenn Gitea gerade nicht laeuft).
README beschreibt das Ausrollen mit kubectl set image.

Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>

k8s/07-worker-cronjob.yaml

@@ -25,8 +25,9 @@ spec:
             seccompProfile: { type: RuntimeDefault }
           containers:
             - name: worker
-              image: git.encry.de/nick.rosenloecher/artista-modelcamp-tools:latest
-              imagePullPolicy: Always
+              # Gepinnt auf einen CI-Build (sha-<commit>), nicht :latest. Ausrollen siehe README.
+              image: git.encry.de/nick.rosenloecher/artista-modelcamp-tools:sha-REPLACE_ME
+              imagePullPolicy: IfNotPresent
               command: ["tsx", "scripts/worker.ts"]
               envFrom:
                 - configMapRef: { name: artista-modelcamp-config }