diff --git a/astrololo/README-astrodemo.md b/astrololo/README-astrodemo.md
index 9a39f91..345a688 100644
--- a/astrololo/README-astrodemo.md
+++ b/astrololo/README-astrodemo.md
@@ -119,7 +119,25 @@ klienta nie znikają, tylko przestaje być komu je pokazywać.
 
 ---
 
-## Krok 3 — wdrożenie
+## Krok 3 — tag obrazu
+
+**Zanim wdrożysz.** CI pcha obrazy wyłącznie pod tagiem ośmioznakowym
+(`TAG=${GITHUB_SHA::8}`) i **nigdy nie pcha `latest`**. Manifest z `newTag: latest`
+zatrzyma się na `ImagePullBackOff`, co wygląda na problem z rejestrem albo siecią,
+a jest zwykłym brakiem takiego tagu.
+
+Po zmergowaniu zmian w repozytorium aplikacji i zbudowaniu obrazu:
+
+```bash
+TAG=$(git -C ~/git/astrololo rev-parse --short=8 master)
+echo "$TAG"          # ten sam ciąg musi być widoczny w logu zadania „build"
+```
+
+Wpisz go jako `newTag` przy `astrololo-astrodemo` w `kustomization.yaml`. Kolejne
+wersje podbija już image-updater sam — pod warunkiem, że obraz jest na jego liście
+(`image-updater.yaml`), co ten PR załatwia.
+
+## Krok 4 — wdrożenie
 
 ```bash
 kubectl apply -k astrololo
diff --git a/astrololo/kustomization.yaml b/astrololo/kustomization.yaml
index 9ab84e0..07da701 100644
--- a/astrololo/kustomization.yaml
+++ b/astrololo/kustomization.yaml
@@ -21,4 +21,10 @@ images:
   - name: gitea.czernobog.pl/gitea/astrololo-presentation
     newTag: 320a0ab2
   - name: gitea.czernobog.pl/gitea/astrololo-astrodemo
+    # ⚠️ PODMIEŃ NA REALNY SHA PRZED PIERWSZYM WDROŻENIEM. CI pcha wyłącznie tag
+    # ośmioznakowy (TAG=${GITHUB_SHA::8}) i NIGDY nie pcha `latest`, więc pod
+    # zatrzyma się na ImagePullBackOff — a wygląda to jak problem z rejestrem
+    # albo z siecią, nie jak brak tagu. Po zbudowaniu obrazu:
+    #   TAG=$(git -C <repo astrololo> rev-parse --short=8 master)
+    # i wpisz go poniżej. Kolejne wersje podbija już image-updater sam.
     newTag: latest