fix: close immutable promotion trust gaps

docs/operations/ci-quality-gates.md

@@ -32,6 +32,16 @@ full commit ID와 commit timestamp를 한 번 읽어 `SOURCE_DATE_EPOCH`를 유
 release manifest도 같은 build ID, commit SHA, release ID와 timestamp를 가져야
 한다.
 
+Release tier의 `immutable_build`는 `dist`의 hidden `.vite` entries, raw
+`pnpm-lock.yaml`, build/module inventory와 local release/security evidence를 한
+번 생성해 run ID/attempt로 구분된 archive로 게시한다. Raw lock bytes의 SHA-256은
+dependency inventory와 candidate manifest 양쪽의 `lockfileSha256`과 같아야 한다.
+Vulnerability/provenance provider job은 같은 archive를 각각 내려받고
+`CANDIDATE_LOCKFILE_PATH`, `CANDIDATE_DIST_SHA256`를 외부 command에 전달한다.
+Promotion은 같은 archive와 두 report를 별도 경로로 내려받은 뒤 local evidence를
+read-only로 다시 계산하고 Ed25519 signature/digest를 확인한다. Promotion job에는
+build/rebuild command가 없으며 검증한 archive 자체를 그대로 승격한다.
+
 Provider baseline은 Gitea 1.26.4 이상과 Gitea Runner 1.0.0 이상이다. 이
 workflow를 required check로 전환하기 전에 staging instance에서
 `permissions`, `gitea.run_attempt`, `actions/upload-artifact@v4`를 포함한 한
@@ -132,6 +142,15 @@ Repository variables required by higher tiers:
 - `HOSTING_BASE_URL` for live header verification
 - `FIELD_WEB_VITALS_INPUT` for the privacy-approved field sample document
 - `MIN_ELIGIBLE_SAMPLES` after the baseline decision
+- `VULNERABILITY_PROVIDER_COMMAND` and `PROVENANCE_PROVIDER_COMMAND` for the
+  independently operated scanner and attestor commands
+- `VULNERABILITY_PUBLIC_KEY_PATH`, `VULNERABILITY_KEY_ID`,
+  `PROVENANCE_PUBLIC_KEY_PATH`, and `PROVENANCE_KEY_ID` for separately managed
+  trusted Ed25519 verification material
+
+If any external provider command, report, trust path, or key ID is absent,
+promotion remains unavailable with `FAIL_UNVERIFIED`; there is no local
+generator/restore fallback.
 
 Branch protection must mark each `FE-GATE-* / <name>` check required for its
 declared tier. This repository cannot configure server-side protection by