Enligt server-config ci/jobbstorm-2026-11-10 §4–5:
- masterplan-lock.yml: push bara på main (pull_request täcker feature-grenar,
ingen dubbelkörning) och kanonisk grupp ${{ gitea.workflow }}-${{ gitea.ref }}.
Gruppen ${{ github.head_ref || github.ref }} slog inte ihop push- och
PR-körningen (refs/heads/<gren> mot <gren>), jobbstorm orsak C.
- ci.yml, security.yml: kanonisk grupp ${{ gitea.workflow }}-${{ gitea.ref }}.
Bara concurrency och push-filter ändras (workflow-diff-guard.py ok=true).
Grenskyddet kräver sedan bara "masterplan-lock / check (pull_request)",
som fortsatt rapporteras på varje PR (regel b).
Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>