diff --git a/astrololo/README.md b/astrololo/README.md
index 61e3780..34f30f8 100644
--- a/astrololo/README.md
+++ b/astrololo/README.md
@@ -12,16 +12,34 @@ Adres aplikacji: **https://astrololo.czernobog.pl** — patrz [TLS](#-tls--wymag
 
 Lista obrazów podbijanych automatycznie jest **jawna** i żyje w CRD `ImageUpdater`
 (ns `argocd`). Obraz, którego na niej nie ma, **nigdy się nie podbije**, choćby CI
-go budowało — tak przez chwilę wisiał `render` na `:latest`, zanim dopisaliśmy go do
-listy. Dodając nową usługę, dopisz jej wpis w `image-updater.yaml` i nałóż:
+go budowało — tak przez chwilę wisiał `render` na `:latest`.
 
-```bash
-kubectl apply -f astrololo/image-updater.yaml
-```
+Dodając nową usługę, dopisz jej wpis w `image-updater.yaml`. **Nic więcej nie
+trzeba**: plik jest w `kustomization.yaml`, więc ArgoCD nakłada go razem z resztą.
 
-Ten plik **celowo nie jest w `kustomization.yaml`**: resource stoi w ns `argocd`
-(poza namespace docelowym aplikacji), a to konfiguracja kontrolera, który wdraża tę
-aplikację — nakładamy go ręcznie, w repo trzymamy dla odtwarzalności i historii.
+### Dlaczego jest w kustomization, skoro kiedyś celowo nie był
+
+Wcześniej ten plik był z niej wyłączony z uzasadnieniem, że resource stoi w ns
+`argocd`, poza namespace docelowym aplikacji, i że to konfiguracja kontrolera,
+a nie samej aplikacji — więc nakłada się go ręcznie.
+
+Rozumowanie nie było głupie, ale **nie wytrzymało praktyki**. Ręczny krok
+zapomniano dwa razy w ciągu dwóch tygodni: najpierw dla `astrodemo`, potem dla
+`astroklient`. Obie usługi miały wpis w pliku i obu brakowało w klastrze, więc
+ich obrazy stały w miejscu mimo poprawnie działającego CI.
+
+Najgorsza w tym była **cichość rozjazdu**: plik w gicie wyglądał poprawnie,
+`git log` pokazywał dopisanie usługi, a objawem był obraz, który „się nie
+deployuje" — co kieruje podejrzenia na CI albo na rejestr, czyli wszędzie poza
+właściwe miejsce. Diagnoza wymaga porównania pliku ze stanem klastra, a nikt nie
+porównuje rzeczy, o której nie wie, że mogą się różnić.
+
+Przeszkody technicznej nie było: projekt ArgoCD dopuszcza dowolną przestrzeń
+nazw (`destinations: [{namespace: "*", server: "*"}]`), więc resource w ns
+`argocd` nakłada się bez zastrzeżeń.
+
+Jeśli kiedyś trzeba będzie go stamtąd wyjąć, **wyjmij razem z tym akapitem** —
+inaczej następna osoba przeczyta uzasadnienie, którego już nie ma.
 
 ## Pliki baz — udział otwarty na zapis (DAN-27)
 
diff --git a/astrololo/kustomization.yaml b/astrololo/kustomization.yaml
index 7d45a6c..cb012d4 100644
--- a/astrololo/kustomization.yaml
+++ b/astrololo/kustomization.yaml
@@ -13,6 +13,11 @@ resources:
   - render.yaml # składanie raportu PDF (PRE-24), osobny obraz z TeX Live
   - tls.yaml # certyfikat z własnego CA (wymaga cert-managera)
   - ingress.yaml # wejście po https + przekierowanie z http
+  # Definicja obserwatora obrazów — WDRAŻANA, a nie wklepywana ręcznie.
+  # Póki jej tu nie było, plik w gicie i stan klastra rozjeżdżały się w ciszy:
+  # dopisanie usługi do listy nie robiło nic, bo listy nikt nie stosował.
+  # Mieszka w przestrzeni argocd — projekt to dopuszcza (destinations: '*').
+  - image-updater.yaml
 images:
   - name: gitea.czernobog.pl/gitea/astrololo-data
     newTag: fd79513c