staging: la web se descarga del registry, no se compila en groucho

Cloudflare ya no esta delante de git.comunes.org, asi que el registry de Forgejo acepta
la capa de 508 MB del bundle (comprobado: subida completa desde groucho, la imagen esta
en comunes/-/packages/container/tcef-web con los tags meteor3 y a24c7a567c).

- compose: `build:` -> `image: git.comunes.org/comunes/tcef-web:${TCEF_WEB_TAG:-meteor3}`.
  groucho pasa de 30 min de `meteor build` (que lo dejaron sin ssh) a un pull de segundos.
- workflow: se activa el disparo por push, y se anade una comprobacion de secretos como
  primer paso. Sin ella, faltar REGISTRY_TOKEN se descubria a los ~30 min, al intentar
  el push; ahora falla en 2 segundos diciendo exactamente que crear y donde.

docker-compose.staging.yml

@@ -58,10 +58,12 @@ services:
     logging: *default-logging
 
   web:
-    build:
-      context: .
-      dockerfile: Dockerfile
-    image: tcef-web:meteor3
+    # La imagen se construye en el CI (runner de aaron) y se publica en el registry de
+    # Forgejo; aquí solo se descarga. groucho NO compila: un `meteor build` lo dejó sin ssh
+    # (5,9 GB compartidos con Mongo 7 + el resto del stack). Ver
+    # plan-modernizacion/fase-9-ci-imagenes.md y .forgejo/workflows/build-image.yml.
+    # Para fijar una versión concreta: TCEF_WEB_TAG=<sha12> docker compose up -d web
+    image: git.comunes.org/comunes/tcef-web:${TCEF_WEB_TAG:-meteor3}
     container_name: tcef-staging-web
     depends_on:
       mongo-init: