diff --git a/astrololo/README-astrodemo.md b/astrololo/README-astrodemo.md
index 9a39f91..345a688 100644
--- a/astrololo/README-astrodemo.md
+++ b/astrololo/README-astrodemo.md
@@ -119,7 +119,25 @@ klienta nie znikają, tylko przestaje być komu je pokazywać.
 
 ---
 
-## Krok 3 — wdrożenie
+## Krok 3 — tag obrazu
+
+**Zanim wdrożysz.** CI pcha obrazy wyłącznie pod tagiem ośmioznakowym
+(`TAG=${GITHUB_SHA::8}`) i **nigdy nie pcha `latest`**. Manifest z `newTag: latest`
+zatrzyma się na `ImagePullBackOff`, co wygląda na problem z rejestrem albo siecią,
+a jest zwykłym brakiem takiego tagu.
+
+Po zmergowaniu zmian w repozytorium aplikacji i zbudowaniu obrazu:
+
+```bash
+TAG=$(git -C ~/git/astrololo rev-parse --short=8 master)
+echo "$TAG"          # ten sam ciąg musi być widoczny w logu zadania „build"
+```
+
+Wpisz go jako `newTag` przy `astrololo-astrodemo` w `kustomization.yaml`. Kolejne
+wersje podbija już image-updater sam — pod warunkiem, że obraz jest na jego liście
+(`image-updater.yaml`), co ten PR załatwia.
+
+## Krok 4 — wdrożenie
 
 ```bash
 kubectl apply -k astrololo