[SebastianLopezO]

Caso

• Origen: incidente del 2026-11-01. Al fusionar el grupo de Actions de Dependabot (Bump the actions group with 7 updates #4), que subía versiones usadas
  en deploy.yml, se lanzó un despliegue real a producción
  (run 41325381365) sin aprobación.
• Problema: deploy.yml se disparaba con push a main en docker/production/** y en su propio archivo. Los
  commits de Dependabot no llevan [skip deploy], así que cualquier cambio del workflow desplegaba. Esa vez lo frenó la
  compuerta de Snyk solo porque la cuota mensual estaba agotada; el paso que toca el servidor no corrió y producción
  quedó intacta (/health todo UP).

Cambio

• on.push.paths queda solo con docker/production/**, con un comentario que explica por qué el propio archivo no
  está. Para probar el workflow tras cambiarlo se usa workflow_dispatch, que exige una acción manual.

Verificación

• YAML válido (on.push.paths = docker/production/**; jobs check, security-gatekeeper y deploy sin cambios).
• GitHub evalúa los disparadores con la versión del workflow del commit empujado, así que este mismo cambio ya no
  dispara un despliegue; además el título lleva [skip deploy], que también llega al commit de fusión.