ci: registra incidentes quando o deploy falha - #451

Resumo

• adiciona um workflow reutilizável chamado somente quando o job de deploy termina em failure;
• mantém o notificador sem checkout e com apenas issues: write, para que uma falha no clone do deploy não elimine o único sinal;
• reduz o contrato reutilizável a deploy_app e deriva workflow, commit, ator e URL diretamente do contexto do caller;
• reutiliza por título exato a issue aberta de cada aplicação com gh issue list, criando um incidente atribuído ao owner quando necessário;
• preserva todos os deploys com queue: max e compartilha a implementação entre frontend e backend;
• integra actionlint e um teste comportamental leve ao pre-commit.

Verificação local

• .github/scripts/test-deploy-failure-notification.sh
• actionlint v1.7.12, com ignore estreito apenas para concurrency.queue enquanto concurrency: Add support for queue key rhysd/actionlint#654 não é incorporado
• ShellCheck e bash -n
• consulta read-only do filtro exato contra as issues reais
• gitleaks e Semgrep
• pre-commit validate-config
• git diff --check

Smoke remoto

A execução controlada 29440217355 foi disparada em branch efêmera com falha antes do checkout e sem chamada ao Fly. O GitHub aceitou e montou o grafo com os dois jobs, mas recusou alocar os runners por falha recente de pagamento ou limite de gastos da conta; ambos terminaram com zero steps e o notificador não executou. Não foi criado incidente real. A branch e a worktree efêmeras já foram removidas.

O check remoto gitleaks 29440142921 foi bloqueado pela mesma condição antes do primeiro step; o gitleaks local passou.

O PR permanece draft e referencia a issue sem fechá-la até que o smoke remoto possa ser repetido depois da regularização do Actions.

Closes #414