audit runtime image in CI

docs/quality/evidence/qa-container-runtime.json

@@ -4,6 +4,7 @@
   "checks": {
     "nginxConfigTest": "successful",
     "apiHealth": {"status": 200, "body": {"ok": true}},
+    "apiReady": {"status": 200, "body": {"ok": true, "ready": true, "checks": {"userData": {"ok": true}, "sharedData": {"ok": true}}}},
     "runtimeNpmAudit": {"high": 0, "critical": 0, "total": 0},
     "staticSecurityHeaders": {
       "x-content-type-options": "nosniff",

docs/quality/uygulama-durumu.md

@@ -2083,9 +2083,11 @@ Docker runtime image’ında backend’in kullandığı ortak `src/` klasörün
 
 İlk container doğrulamasında runtime npm audit, `@huggingface/transformers` üzerinden `sharp` için iki yüksek önem dereceli ve otomatik düzeltmesi olmayan uyarı bildirdi. Dockerfile semantic embedding paketini artık varsayılan olarak kurmuyor (`ENABLE_SEMANTIC_MATCH=1` ile açıkça opt-in); varsayılan image audit sonucu 0 açık ve `UYUM_GOMME=0`. Embedding açılacaksa ayrı güvenlik incelemesi ve bağımlılık yükseltmesi gerekir.
 
+Yerel image yeniden oluşturulduktan sonra `npm audit --omit=dev --audit-level=high` sonucu 0 açık, `nginx -t` başarılı ve `/api/ready` 200 döndü; ayrıntı [`qa-container-runtime.json`](evidence/qa-container-runtime.json) içinde.
+
 ### 2026-09-06 · CI kalite kapıları
 
-GitHub Actions iş akışı eklendi. Her push ve pull request’te test/üretim derlemesi; ayrıca Docker image build’i, nginx yapılandırma testi ve `/api/ready` çalışma zamanı kontrolü otomatik çalışacak. Bu iş akışı gerçek production rollout kanıtının yerine geçmez.
+GitHub Actions iş akışı eklendi. Her push ve pull request’te test/üretim derlemesi; ayrıca Docker image build’i, nginx yapılandırma testi, varsayılan runtime bağımlılık audit’i ve `/api/ready` çalışma zamanı kontrolü otomatik çalışacak. Bu iş akışı gerçek production rollout kanıtının yerine geçmez.
 
 ### 2026-09-06 · Production readiness endpoint’i