Con el deploy por imagen inmutable, recrear el contenedor es un efecto secundario del cambio de código, no algo que el deploy haga a propósito. Un cambio que solo toca configuración no tiene entonces nada que lo aplique. Queda escrito en el servidor, invisible, hasta el próximo deploy de código, que puede tardar semanas.
Apareció moviendo un webhook de alertas del canal equivocado al correcto. Editamos el secreto, reiniciamos el contenedor y seguimos. Un reinicio reutiliza el proceso con el entorno que ya tenía cargado: la variable nueva nunca entró. Lo notamos antes de que mordiera, revisando el cambio el mismo día.
La regla que salió de ahí: nunca recrear a mano, aunque sea lo rápido. Eso salta el CI y trae de vuelta la divergencia entre repositorio y servidor que el proceso existe para eliminar. Se fuerza un deploy por el camino normal.
Y se verifica el efecto, no la ejecución. Que el contenedor esté arriba no prueba que tomó la variable. Se compara cuándo se creó el contenedor contra cuándo se editó el archivo, y se confirma que la variable llegó, sin imprimir su valor.