Проверка Было Стало Статус
Воспроизводимость сборкиСравнение lockfile и команд установки npm install в Dockerfile и CI, lockfile не обязателен npm ci по lockfile, кэш npm в CI и в Docker исправлено
Что задеплоеноСравнение образа из CI и образа на сервере compose собирал образ на сервере, мимо GHCR compose тянет из GHCR тот же образ, что прошёл CI исправлено
Версии и откатСвязь тега образа с коммитом тег build-<run_id> не указывает на коммит теги sha-<коммит> и vX.Y.Z, откат сменой тега исправлено
Кэширование статикиРазбор заголовков ответа нет Cache-Control для хешированных файлов /_astro/* immutable на год, HTML всегда проверяется исправлено
Здоровье контейнераПроверка healthcheck и ошибок нет healthcheck, нет страницы 404 HEALTHCHECK в образе, 404 оформлена как инцидент исправлено
Секреты и права CIПоиск секретов, разбор прав токена packages:write только в задаче publish без изменений, замечаний нет в норме