fix: verify production deployments and runtime health

Author: hjosugi

.github/workflows/ci.yml

@@ -67,6 +67,21 @@ jobs:
       cancel-in-progress: false
 
     steps:
+      - name: Check deployment credentials
+        env:
+          CLOUDFLARE_API_TOKEN: ${{ secrets.CLOUDFLARE_API_TOKEN }}
+          CLOUDFLARE_ACCOUNT_ID: ${{ secrets.CLOUDFLARE_ACCOUNT_ID }}
+        run: |
+          set -euo pipefail
+          missing=0
+          for name in CLOUDFLARE_API_TOKEN CLOUDFLARE_ACCOUNT_ID; do
+            if [ -z "${!name}" ]; then
+              echo "::error::Missing Actions secret ${name} in $GITHUB_REPOSITORY. See CLOUDFLARE.md; production was not deployed."
+              missing=1
+            fi
+          done
+          exit "$missing"
+
       - name: Checkout
         uses: actions/checkout@v4
 
@@ -81,37 +96,11 @@ jobs:
           name: dist
           path: dist
 
-      # public/_redirects sends the apex root to the company site, which is
-      # a different Pages project. Deploying that redirect before the
-      # target hostname exists would point the bare domain at nothing —
-      # and since the deploy lands before the verification below runs, a
-      # failed check would not undo it. So refuse up front instead.
-      - name: Confirm the redirect target exists
-        run: |
-          set -euo pipefail
-          status="$(curl -sS -o /dev/null -w '%{http_code}' --max-time 10 "$COMPANY_SITE_URL" || true)"
-          if [ "${status:-000}" != "200" ]; then
-            echo "::error::${COMPANY_SITE_URL} answered ${status:-000}. public/_redirects points the apex root there, so it has to be live before this deploys. Attach the hostname to the company site's Pages project first."
-            exit 1
-          fi
-          echo "ok: ${COMPANY_SITE_URL}"
-        env:
-          COMPANY_SITE_URL: https://www.avishaikofun.com/
+      - name: Install deployment dependencies
+        run: bun install --frozen-lockfile
 
-      - name: Deploy to Cloudflare Pages
-        run: bunx wrangler pages deploy dist --project-name=avishai-kofun --branch=main
+      - name: Deploy and verify Cloudflare Pages
+        run: bun run deploy:cloudflare:artifact
         env:
           CLOUDFLARE_API_TOKEN: ${{ secrets.CLOUDFLARE_API_TOKEN }}
           CLOUDFLARE_ACCOUNT_ID: ${{ secrets.CLOUDFLARE_ACCOUNT_ID }}
-
-      # A deploy can report success while the host still serves the previous
-      # build, and that silent case is the whole reason this job exists, so
-      # confirm the version is actually live before calling the deploy done.
-      # The propagation is not instant, hence the attempts.
-      - name: Confirm the host serves this build
-        run: |
-          set -euo pipefail
-          version="$(bun scripts/manifest-version.js dist/manifest.xml)"
-          bun scripts/heartbeat.js --attempts=10 --expect-version="$version"
-        env:
-          ADDIN_HOST_URL: https://avishaikofun.com

CLOUDFLARE.md

@@ -21,7 +21,9 @@ repo の **Settings** → **Secrets and variables** → **Actions** に登録し
 - `CLOUDFLARE_API_TOKEN`: **Cloudflare Pages — Edit** 権限を持つ API token
 - `CLOUDFLARE_ACCOUNT_ID`: Cloudflare account ID
 
-この2つが無いと `deploy` job は失敗します。
+この2つが無いと `deploy` job は最初のステップで不足している secret 名を表示して失敗します。チェックやビルドの成功だけでは、本番への反映は確認できません。
+
+2026-09-23 の調査では `CLOUDFLARE_ACCOUNT_ID` のみが登録されており、API token 不足で自動デプロイが停止していました。手元の `wrangler login` による OAuth 認証は GitHub Actions には引き継がれません。CI 用には上記の API token を登録してください。token の値をログやチャットに貼り付ける必要はありません。
 
 ### dashboard の Git 連携は使わない
 
@@ -35,6 +37,10 @@ CI を経由せず手元から上げる場合のみ使います。
 bun run deploy:cloudflare
 ```
 
+手動・CI ともに `scripts/deploy-cloudflare.js` を使い、www の応答を確認してから `main` の本番環境に公開し、公開後に manifest のバージョンと各 URL を検証します。Wrangler は `package.json` と `bun.lock` に固定したバージョンを使います。
+
+検証済みの `dist/` をそのまま公開する場合は `bun run deploy:cloudflare:artifact` を使います。GitHub Actions もこのコマンドでビルド済み artifact を公開します。
+
 ## Environment variables
 
 必要に応じて Cloudflare Pages の build variables に設定します。
@@ -54,8 +60,7 @@ bun run deploy:cloudflare
 サイトは [hjosugi/avishaikofun-site](https://github.com/hjosugi/avishaikofun-site)
 に分離し、別の Pages project（`avishaikofun-site`）から www で配信します。
 
-**順序に注意。** 2026-07-28 時点で `www.avishaikofun.com` は DNS に存在
-しません（apex のみ）。apex の `/` は www へ 308 するので、**www を先に
+**順序に注意。** apex の `/` は www へ 308 するので、**www を先に
 用意しないと、素のドメインが解決しないホストへの行き止まりになります。**
 
 1. 新しい Pages project `avishaikofun-site` に `www.avishaikofun.com` を
@@ -84,3 +89,5 @@ curl -I https://avishaikofun.com/
 curl -I https://avishaikofun.com/manifest.xml
 bun run heartbeat
 ```
+
+監視は設定画面と実行用 JavaScript も確認します。JavaScript の URL が HTML の代替ページを返す場合や、www が 404・500 を返す場合も失敗として検出します。