Build de l'image unique depuis backend.Dockerfile et push vers le
registre (secrets REGISTRY_*). Déclenché sur main, tags v* et manuel.
Tags d'image : latest/main sur la branche par défaut, semver
(X.Y.Z / X.Y / X) sur les tags. Pas de tag par SHA (économie d'espace
registre).
Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>
