[Rollout] Adopt reusable signed Docker build (cosign + SBOM) across all product repos

[BryanFRD]

Goal

Every product image is cosign-signed + has an SBOM (and Trivy + hadolint). The machinery already exists in reusable-docker-build.yml — this is about adoption: the product repos still run bespoke Buildah docker.yml and don't call it. Direction decided: migrate them to the reusable (buildx) workflow.

Blocking prerequisites (P0 — must land before touching any product repo)

1. Merge reusable-docker-build.yml to main of FerrLabs/.github. It's only on feat/reusable-ferrflow-release today, so uses: …@main can't resolve.
2. Secret build-arg support. The product builds pass NODE_AUTH_TOKEN (private GHCR npm read). The reusable workflow's build-args input is plaintext → would leak the token in logs. Add:
   • a secrets: block (e.g. packages-read) on the workflow_call,
   • pass it to build-push-action via secrets: (BuildKit --mount=type=secret), not build-args,
   • update each Dockerfile that consumes the token: ARG NODE_AUTH_TOKEN → RUN --mount=type=secret,id=packages-read ….
3. Platforms per package. Reusable defaults to linux/amd64,linux/arm64. The Rust APIs build single-arch today; multi-arch under QEMU is slow/fragile. Set platforms: linux/amd64 for API packages (revisit arm64 later).
4. Site changelog prefetch. Buildah builds clone FerrLabs/Changelog into the context first (chroot has no network). Under buildx (network available) either keep a pre-step or fetch in the Dockerfile.

Per-repo migration recipe (after P0)

For each docker.yml build job:

• Replace the inline buildah steps with uses: FerrLabs/.github/.github/workflows/reusable-docker-build.yml@main.
• Inputs: image-name, tag (from the release tag), dockerfile, context, runner: ferrlabs-k8s-large, platforms, build-args (non-secret only), extra-tags (major.minor, latest).
• secrets: packages-read: ${{ secrets.FERRFLOW_PACKAGES_READ }}.
• Keep the release-tag triggers (site@v*, app@v*, api@v*).

Repos to migrate

FerrVault-Cloud, FerrTrack-Cloud, FerrGrowth-Cloud, FerrAgents (FerrFleet-Cloud), FerrLens-Cloud, FerrGames-Cloud, FerrLabs-Cloud, FerrFlow-Cloud, Status, Finance (already partly on it).

Validation

None of this is testable in isolation — each migration is validated on that repo's next real release. Do FerrVault first as the reference; fan out only once it's proven green on a release. Don't migrate all at once (a broken release pipeline = can't ship).

Sequence

1. P0 fixes to the reusable workflow (+ Dockerfile secret-mounts) — this PR-set unblocks everything.
2. FerrVault-Cloud reference migration → validate on a release.
3. Fan out to the rest, one PR per repo.

[BryanFRD]

État au $(date +%Y-%m-%d) — P0 déjà fait, référence FerrVault ouverte

P0 (prérequis) — déjà en place sur main :

• ✅ reusable-docker-build.yml est sur main (prérequis feat(renovate): shared preset — 1 day release age, merge confidence auto-merge, FerrLabs packages fast-track #1 obsolète).
• ✅ Support secret : le workflow déclare secrets.packages-read et le passe en BuildKit secret mount (--mount=type=secret), pas en build-arg (prérequis chore(renovate): disable vulnerability alerts, defer to dependabot #2 côté workflow fait).
• ✅ Input platforms présent (défaut amd64,arm64, surchargeable par repo → linux/amd64 pour les API Rust).
• Pattern de référence dispo : workflow-templates/docker-publish.yml + FerrLabs/Finance (déjà migré) + actions-runner-image.

Adoption — état : aucun des 8 repos *-Cloud n'est migré (tous encore sur Buildah). Finance + actions-runner-image déjà sur le réutilisable.

Référence FerrVault : PR FerrLabs/FerrVault-Cloud#444 — migre site/app/api vers le réutilisable, token via secret-mount (FERRFLOW_PACKAGES_READ pour site/app, CARGO_REGISTRIES_KELLNR_TOKEN pour api), changelog fetch déplacé dans le Dockerfile site (le réutilisable re-checkout), platforms: linux/amd64. Pas en auto-merge : à valider sur la prochaine vraie release FerrVault avant de fan-out aux autres repos.

[BryanFRD]

Fan-out complet — toutes les PRs ouvertes (aucune en auto-merge)

P0 déjà en place. Migration appliquée à tous les repos cibles. Chaque PR est à valider sur la prochaine vraie release du repo (le workflow Docker ne tourne que sur release).

Repo	PR	Images	À surveiller
FerrVault-Cloud	#444	site, app, api	référence
FerrTrack-Cloud	#400	site, app, api	VITE_BFF_URL passé mais non consommé (pré-existant)
FerrGrowth-Cloud	#446	site, app, render, api	render reste couplé au tag app@v (gardé via if)
FerrFleet-Cloud (FerrAgents)	#319	site, app, api, runner	runner sans secret ; token api dormant
FerrLens-Cloud	#164	site, api, headless	headless : build-arg token mort → pas de secret
FerrGames-Cloud	#595	site, app, admin, api, gameserver	⚠️ api/Dockerfile scindé (pas d'input target dans le réutilisable) ; secrets build-args MAXMIND_LICENSE_KEY + DICO_*_URL abandonnés (le réutilisable n'expose qu'un secret)
FerrLabs-Cloud	#496	api, site, app, admin, auth, bff	bff sans secret ; playground reste désactivé
FerrFlow-Cloud	#594	site	pas de fetch Changelog (ce site n'a pas la collection)
Status	#82	(1)	aucun secret privé requis

Point bloquant à trancher

Le réutilisable n'expose qu'un seul secret (packages-read). FerrGames passait plusieurs secret-build-args (MAXMIND + dictionnaires) — ils sont droppés par cette migration (geoip/dico custom par défaut vides). Soit on étend reusable-docker-build.yml pour accepter des secrets supplémentaires, soit on accepte la dégradation. À décider avant de merger #595.

Reco : merger d'abord FerrVault #444 + valider sur une release, puis dérouler les autres.