backlog: удалена задача local-image-build, она реализована

- все три приложения (homepage, transcriber, remembos) собирают образы
  локально ролью app_image, реестр и yc_*-переменные выведены из оборота
- ссылавшиеся задачи обновлены: narrow-secret-scopes и
  no-secrets-in-playbook-output больше не ждут эту работу

docs/backlog/container-hardening-nits.md

@@ -9,9 +9,9 @@
   `/root/.gramps`), rssbridge, dozzle, homepage и valkey/postgres-сайдкары gramps.
   Дотянуть там, где образ позволяет (rssbridge, valkey) — продолжение уже принятой
   в проекте практики.
-- ~~**homepage на `:latest`**~~ — **снято**: переход на роль `app_image`
-  ([local-image-build](local-image-build.md)) дал каждому деплою уникальный тег
-  из `BUILD_ID`, плавающего `latest` больше нет ни у homepage, ни у остальных.
+- ~~**homepage на `:latest`**~~ — **снято**: переход на роль `app_image` дал
+  каждому деплою уникальный тег из `BUILD_ID`, плавающего `latest` больше нет
+  ни у homepage, ни у остальных.
 - **Соглашение о портах**: зафиксировать в AGENTS.md, что новые `ports:` — только
   с `127.0.0.1:`. Docker публикует порты мимо UFW, поэтому дисциплина
   localhost-биндинга — единственный контроль (сейчас соблюдается: apprise, wanderer).