docs: реестр убран из описаний, беклог отмечен по локальной сборке

- AGENTS.md: homepage/transcriber собираются ролью app_image, registry-плейбуков
  и vars/transcriber.images.yml больше нет
- local-image-build: закрыты шаги по homepage и transcriber, остался вынос
  yc_*-переменных из vault; добавлены замеры архивов
- container-hardening-nits: снят пункт про плавающий `:latest` у homepage

docs/backlog/container-hardening-nits.md

@@ -9,10 +9,9 @@
   `/root/.gramps`), rssbridge, dozzle, homepage и valkey/postgres-сайдкары gramps.
   Дотянуть там, где образ позволяет (rssbridge, valkey) — продолжение уже принятой
   в проекте практики.
-- **homepage на `:latest`** (`vars/homepage.yml`) — плавающий тег + ночной `docker
-  image prune` может подтянуть другое содержимое без отката. Перевести на
-  иммутабельный `<sha>-<timestamp>` по образцу transcriber
-  (`vars/transcriber.images.yml`).
+- ~~**homepage на `:latest`**~~ — **снято**: переход на роль `app_image`
+  ([local-image-build](local-image-build.md)) дал каждому деплою уникальный тег
+  из `BUILD_ID`, плавающего `latest` больше нет ни у homepage, ни у остальных.
 - **Соглашение о портах**: зафиксировать в AGENTS.md, что новые `ports:` — только
   с `127.0.0.1:`. Docker публикует порты мимо UFW, поэтому дисциплина
   localhost-биндинга — единственный контроль (сейчас соблюдается: apprise, wanderer).