Build de l'image unique depuis backend.Dockerfile et push vers le registre (secrets REGISTRY_*). Déclenché sur main, tags v* et manuel. Tags d'image : latest/main sur la branche par défaut, semver (X.Y.Z / X.Y / X) sur les tags. Pas de tag par SHA (économie d'espace registre). Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>