ci: un token de release refusé doit faire échouer le job, pas passer inaperçu

Avec un NPM_TOKEN expiré, les trois workflows de release sont ressortis « réussis » alors qu'aucune
release n'avait été créée et qu'aucun asset n'était attaché : l'attache était en continue-on-error et
le script sortait en 0 quand l'API refusait le token. Diagnostiquer a demandé de comparer les assets
de releases pour comprendre ce que les logs auraient dit tout de suite.

Désormais : token ABSENT (fork, run sans secret) reste un cas légitime qui sort proprement, mais un
token PRÉSENT et refusé, ou un upload d'asset en échec, fait échouer le job avec un message qui nomme
les portées attendues. Les artefacts du run sont uploadés AVANT cette étape, donc un job rouge ne
perd aucun binaire.

L'attache du VSIX passe au même script partagé : elle dupliquait la logique, avec le même angle mort.

.gitea/workflows/desktop-release.yml

@@ -68,12 +68,13 @@ jobs:
             packages/desktop/release/*.blockmap
             packages/desktop/release/latest-linux.yml
             packages/desktop/release/SHA256SUMS-linux.txt
-      # Best-effort : attache les installeurs (+ latest-linux.yml pour l'auto-update) à la release du
-      # tag. Réutilise NPM_TOKEN (même token Gitea) : il doit porter write:repository en plus de
-      # write:package, sinon l'API release renvoie 403 (les artefacts du run restent disponibles).
+      # Attache les installeurs (+ latest-linux.yml pour l'auto-update) à la release du tag. Réutilise
+      # NPM_TOKEN (même token Gitea) : il doit porter write:repository en plus de write:package, sinon
+      # l'API release renvoie 403. Pas de continue-on-error : les artefacts du run sont déjà uploadés à
+      # l'étape précédente, donc un échec ici ne perd rien et doit être VU (avec un token expiré, la
+      # release ressortait verte et vide).
       - name: Attach installers to the tag release
         if: github.event_name == 'push'
-        continue-on-error: true
         env:
           RELEASE_TOKEN: ${{ secrets.NPM_TOKEN }}
         run: |
@@ -131,9 +132,9 @@ jobs:
             packages/desktop/release/*.blockmap
             packages/desktop/release/latest.yml
             packages/desktop/release/SHA256SUMS-windows.txt
+      # Pas de continue-on-error : cf. la note du job Linux.
       - name: Attach installers to the tag release
         if: github.event_name == 'push'
-        continue-on-error: true
         shell: bash
         env:
           RELEASE_TOKEN: ${{ secrets.NPM_TOKEN }}