fix(ci): COMPOSE_PROJECT_NAME no build (carimbo correto) + deploy automático em tags

- build: fixa COMPOSE_PROJECT_NAME=scoreodontocom (imagem buildada batia com nome errado no tag/push → carimbo da Etapa 3 vazava)
- novo job deploy: só em tags v*, SSH VPS4->VPS1 roda deploy-prod.sh (push na main não deploya)
- deploy.md: Metade B + roadmap Etapa 6 = FEITO

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

.gitea/workflows/build.yml

@@ -32,6 +32,9 @@ jobs:
 
       - name: Build (compose, com carimbo de versão)
         env:
+          # Fixa o nome do projeto p/ a imagem buildada bater com o passo de tag
+          # (em modo host o diretório do checkout muda o project name por padrão).
+          COMPOSE_PROJECT_NAME: scoreodontocom
           APP_VERSION: ${{ steps.vars.outputs.version }}
           GIT_COMMIT: ${{ steps.vars.outputs.commit }}
           BUILD_TIME: ${{ steps.vars.outputs.build_time }}
@@ -63,4 +66,26 @@ jobs:
           echo "Imagens publicadas:"
           echo "  git.clube67.com/ruicesar/scoreodonto-backend:${{ steps.vars.outputs.version }}"
           echo "  git.clube67.com/ruicesar/scoreodonto-frontend:${{ steps.vars.outputs.version }}"
-          echo "Deploy NÃO foi executado (Etapa 6 trata disso)."
+          echo "Deploy só acontece em TAG (job deploy)."
+
+  # Deploy automático SÓ em tags vX.Y.Z (a tag = 'aprovado para produção').
+  # Push na main NÃO deploya — só builda. Etapa 6.
+  deploy:
+    needs: build
+    if: startsWith(github.ref, 'refs/tags/v')
+    runs-on: self-hosted
+    steps:
+      - name: Checkout
+        uses: actions/checkout@v4
+
+      - name: Promover a tag para produção (VPS1)
+        run: |
+          set -e
+          TAG="${GITHUB_REF_NAME}"
+          echo "Promovendo $TAG para a produção (VPS1)..."
+          # Garante que o mecanismo de deploy está atualizado na VPS1
+          scp -o StrictHostKeyChecking=accept-new \
+            docker-compose.prod.yml deploy-prod.sh \
+            deploy@10.99.0.1:/home/deploy/stack/scoreodonto.com/
+          ssh -o StrictHostKeyChecking=accept-new deploy@10.99.0.1 \
+            "/home/deploy/stack/scoreodonto.com/deploy-prod.sh $TAG"