ci: login no registro só antes de publicar

Build, Trivy e smoke test não precisam de credencial.

Co-Authored-By: Claude Sonnet 5.5 <noreply@anthropic.com>

.gitea/workflows/ci.yml

@@ -78,13 +78,6 @@ jobs:
       - id: plano
         run: scripts/plano-imagem.sh "$REGISTRY" "${{ gitea.repository }}" >> "$GITHUB_OUTPUT"
 
-      - if: ${{ steps.plano.outputs.reuse != 'true' }}
-        uses: docker/login-action@v4
-        with:
-          registry: ${{ env.REGISTRY }}
-          username: ${{ gitea.actor }}
-          password: ${{ secrets.REGISTRY_TOKEN }}
-
       # `docker build` simples, no daemon persistente do runner: as camadas e o
       # cache mount do npm sobrevivem entre execuções. Um buildx criaria um
       # BuildKit novo, e vazio, a cada job.
@@ -109,6 +102,14 @@ jobs:
           docker rm -f pss-ci >/dev/null
           exit "$status"
 
+      # O login fica por último: build, Trivy e smoke não precisam de credencial.
+      - if: ${{ steps.plano.outputs.reuse != 'true' }}
+        uses: docker/login-action@v4
+        with:
+          registry: ${{ env.REGISTRY }}
+          username: ${{ gitea.actor }}
+          password: ${{ secrets.REGISTRY_TOKEN }}
+
       # Passou em tudo: publica a mesma imagem que foi testada, sem reconstruir.
       - name: Publica inputs-<hash>
         if: ${{ steps.plano.outputs.reuse != 'true' }}