feat(ci): Passo 5 — Build Once / Promote / Deploy no build.yml

- build.yml dividido em 2 jobs por ref:
  • build (só push na main): builda 1x e publica por COMMIT (:<sha> + :latest), sem APP_VERSION.
  • promote (só tag vX.Y.Z): re-tagueia :<sha> -> :vX.Y.Z via 'docker buildx imagetools create'
    (SEM rebuild), valida integridade (imagem do commit existe; digest :versao == :commit;
    front+back do mesmo commit) e deploya na VPS1. Falha se o commit não foi pushado.
- Versão semântica nasce da TAG e é injetada no deploy em runtime (compose.prod).
- Removidos frontend/constants.ts e update-version.js (fim do APP_VERSION manual).

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

frontend/constants.ts

@@ -1,5 +0,0 @@
-// LEGADO (Passo 4): a APLICAÇÃO não usa mais este valor — a versão exibida vem do backend
-// (/api/version) em runtime via useAppVersion(). Permanece apenas porque o PIPELINE ainda o lê
-// (update-version.js + .gitea/workflows/build.yml). Será eliminado no Passo 5, quando a versão
-// passar a nascer da TAG git. Não referenciar no código do frontend.
-export const APP_VERSION = 'V1.0.15';