ci(stt): images taguées par SHA + bump auto du manifest (fin du :latest) (#9)

La CI build l'image en sha-<commit> et, sur main, met à jour k8s/apps/stt/deployment.yaml
avec ce tag (commit [skip ci]). ArgoCD redéploie alors une image immuable et déterministe
— fini les races de timing et les 'kubectl rollout restart' manuels.

permissions: contents write (pour le bump). :latest gardé en parallèle sur main (fallback).


Claude-Session: https://claude.ai/code/session_013FmcxGsyXZXogiAHQLjnZT

Co-authored-by: Claude <noreply@anthropic.com>

.github/workflows/build-stt-server.yml

@@ -1,6 +1,7 @@
 name: build-stt-server
 
-# Construit et pousse l'image du STT-server vers ghcr.io quand stt/server/ change.
+# Construit l'image du STT-server, la tague par SHA de commit, et (sur main) met à jour
+# le manifest k8s avec ce tag → ArgoCD déploie une image immuable et déterministe.
 on:
   push:
     branches: ["main", "claude/**"]
@@ -16,11 +17,22 @@ jobs:
   build:
     runs-on: ubuntu-latest
     permissions:
-      contents: read
+      contents: write   # pour committer le bump du manifest sur main
       packages: write
     steps:
       - uses: actions/checkout@v4
 
+      - name: Calcule le tag (SHA court) + la liste des tags
+        id: vars
+        run: |
+          TAG="sha-$(git rev-parse --short=7 HEAD)"
+          echo "tag=${TAG}" >> "$GITHUB_OUTPUT"
+          if [ "${{ github.ref }}" = "refs/heads/main" ]; then
+            echo "tags=${IMAGE}:${TAG},${IMAGE}:latest" >> "$GITHUB_OUTPUT"
+          else
+            echo "tags=${IMAGE}:${TAG}" >> "$GITHUB_OUTPUT"
+          fi
+
       - name: Log in to GHCR
         uses: docker/login-action@v3
         with:
@@ -28,19 +40,23 @@ jobs:
           username: ${{ github.actor }}
           password: ${{ secrets.GITHUB_TOKEN }}
 
-      - name: Metadata (tags)
-        id: meta
-        uses: docker/metadata-action@v5
-        with:
-          images: ${{ env.IMAGE }}
-          tags: |
-            type=raw,value=latest,enable={{is_default_branch}}
-            type=sha,format=short
-
       - name: Build & push
         uses: docker/build-push-action@v6
         with:
           context: stt/server
           push: true
-          tags: ${{ steps.meta.outputs.tags }}
-          labels: ${{ steps.meta.outputs.labels }}
+          tags: ${{ steps.vars.outputs.tags }}
+
+      - name: Met à jour le manifest avec le tag SHA (main uniquement)
+        if: github.ref == 'refs/heads/main'
+        run: |
+          sed -i "s|image: ${IMAGE}:.*|image: ${IMAGE}:${{ steps.vars.outputs.tag }}|" \
+            k8s/apps/stt/deployment.yaml
+          git config user.name "github-actions[bot]"
+          git config user.email "github-actions[bot]@users.noreply.github.com"
+          git add k8s/apps/stt/deployment.yaml
+          if ! git diff --staged --quiet; then
+            git commit -m "ci(stt): image → ${{ steps.vars.outputs.tag }} [skip ci]"
+            git pull --rebase origin main
+            git push
+          fi