- все три приложения (homepage, transcriber, remembos) собирают образы
локально ролью app_image, реестр и yc_*-переменные выведены из оборота
- ссылавшиеся задачи обновлены: narrow-secret-scopes и
no-secrets-in-playbook-output больше не ждут эту работу
- Шесть задач `secrets-file-*` вместо одной: outline, wakapi, authelia,
gramps (средний), gitea, tududi (низкий, выигрыш частичный). Wanderer
отпал — файловых секретов не умеет ни meilisearch, ни pocketbase.
- Матрица механизмов со ссылками на код уехала в
docs/drafts/secrets-file-support.md, родитель — на кладбище.
- Уход от Yandex Container Registry на роль `app_image`: homepage,
transcriber, remembos собираются локально и едут через docker save/load.
- Сужение прав секретов: `yc_oauth_token` открывает весь аккаунт ради
одного `docker login` — вторая задача зависит от первой.
av