fix(k8s): Wabenhain-Image per Tag und Digest pinnen

Sicherheitsreview: ein Tag ist in der Registry ueberschreibbar. Tag plus Digest bleibt lesbar und unveraenderlich; Cluster auf denselben Stand gebracht, kubectl diff leer. Co-Authored-By: Claude Opus 5.5 (1M context) <[email protected]>
2026-10-12 09:41:34 +02:00
1 parent eda2c11fe3
commit dfa5c97491
@@ -82,9 +82,11 @@ spec:
          # Fest auf einen Build gepinnt (Tag sha-<kurzer Commit> aus der
          # Gitea-Pipeline), nie :latest: ein "rollout restart" holt damit
          # kein ungeprueftes neues Image. Neuer Build:
-          #   kubectl -n wabenhain set image deploy/wabenhain-app app=git.encry.de/nick.rosenloecher/wabenhain:sha-<commit>
-          # und den Tag hier nachziehen.
-          image: git.encry.de/nick.rosenloecher/wabenhain:sha-4827c8f
+          #   kubectl -n wabenhain set image deploy/wabenhain-app app=git.encry.de/nick.rosenloecher/wabenhain:sha-<commit>@sha256:<digest>
+          # und hier nachziehen. Tag plus Digest: der Tag ist lesbar, der
+          # Digest macht das Image unveraenderlich (Tags lassen sich in der
+          # Registry ueberschreiben).
+          image: git.encry.de/nick.rosenloecher/wabenhain:sha-4827c8f@sha256:f2433b83f308a80c011844d30539cd798a60574b6065781145bd7638f35d8b12
          imagePullPolicy: IfNotPresent
          securityContext:
            allowPrivilegeEscalation: false