diff --git a/ansible/arcodange/factory/inventory/group_vars/all/gitea.yml b/ansible/arcodange/factory/inventory/group_vars/all/gitea.yml
index 825e5f1..2381e8d 100644
--- a/ansible/arcodange/factory/inventory/group_vars/all/gitea.yml
+++ b/ansible/arcodange/factory/inventory/group_vars/all/gitea.yml
@@ -31,4 +31,19 @@ gitea_secret_propagation_users:
 # 0.6.1, soit 3 à 4 versions mineures devant tout ce qui est éprouvé ici. Le
 # runner exécute TOUTE la CI de la forge — une montée subie, non datée et non
 # choisie, s'y paie cher. Une version épinglée se relit, se date et se recule.
-gitea_runner_version: "0.3.1"
+# ⚠ L'IMAGE A CHANGÉ DE NOM. `gitea/act_runner` est gelée à 0.6.1 ; le
+# successeur officiel est `gitea/runner`, et son binaire s'appelle désormais
+# `gitea-runner` (plus `act_runner`).
+# Vérifié avant de basculer — c'est un REMPLACEMENT DIRECT pour ce compose :
+#   • entrypoint identique : /sbin/tini -- run.sh
+#   • mêmes variables lues : CONFIG_FILE, GITEA_INSTANCE_URL,
+#     GITEA_RUNNER_{REGISTRATION_TOKEN,NAME,LABELS}
+#   • config.yaml compatible : capacity, labels, cache.*, container.force_pull,
+#     options, valid_volumes, host.workdir_parent — AUCUNE clé utilisée ici n'a
+#     disparu (comparé à `gitea-runner generate-config` de la 2.3.0).
+# Le blog de Gitea 1.27 recommande « Gitea Runner 2.0.0 » ; 2.3.0 est la même
+# lignée majeure, en plus récent. Gitea reste par ailleurs compatible fil-à-fil
+# avec les runners plus anciens — il désactive simplement les fonctionnalités
+# qu'ils n'annoncent pas.
+gitea_runner_image: "gitea/runner"
+gitea_runner_version: "2.3.0"
diff --git a/ansible/arcodange/factory/inventory/group_vars/gitea/gitea.yml b/ansible/arcodange/factory/inventory/group_vars/gitea/gitea.yml
index ed88c9a..6b0ac9f 100644
--- a/ansible/arcodange/factory/inventory/group_vars/gitea/gitea.yml
+++ b/ansible/arcodange/factory/inventory/group_vars/gitea/gitea.yml
@@ -1,4 +1,13 @@
-gitea_version: 1.25.5
+# ⚠ Montée 1.25.5 → 1.27.1 : DEUX versions mineures, avec migrations de base
+# IRRÉVERSIBLES (Gitea ne sait pas redescendre après migration). Sauvegardes du
+# jour vérifiées avant la bascule (pg_dumpall 13 Mo intègre + archive fichiers
+# 1,7 Go intègre, /mnt/backups).
+# Changements cassants relevés dans les notes de version, et leur portée ICI :
+#   • workflows réutilisables externes retirés → AUCUN dans nos trois dépôts (vérifié)
+#   • nonce CSP exigé pour les scripts inline → concerne les templates
+#     personnalisés ; nous n'en avons pas
+#   • X-Content-Type-Options: nosniff par défaut
+gitea_version: 1.27.1
 
 gitea_database:
   db_name: gitea
diff --git a/ansible/arcodange/factory/playbooks/03_cicd.yml b/ansible/arcodange/factory/playbooks/03_cicd.yml
index c0cf3d5..532ddf8 100644
--- a/ansible/arcodange/factory/playbooks/03_cicd.yml
+++ b/ansible/arcodange/factory/playbooks/03_cicd.yml
@@ -37,7 +37,7 @@
               # équivalentes (114 s d'écart mesurés sur le même job).
               # Avec un tag épinglé, `pull: missing` redevient CORRECT : changer la
               # version change le tag, donc l'image est absente, donc elle est tirée.
-              image: gitea/act_runner:{{ gitea_runner_version }}
+              image: "{{ gitea_runner_image }}:{{ gitea_runner_version }}"
               container_name: gitea_action
               restart: always
               environment: