diff --git a/.changesets/2026-09-05-bun-naik-ke-1-4-2.md b/.changesets/2026-09-05-bun-naik-ke-1-4-2.md
new file mode 100644
index 0000000..5414227
--- /dev/null
+++ b/.changesets/2026-09-05-bun-naik-ke-1-4-2.md
@@ -0,0 +1,37 @@
+---
+bump: patch
+tipe: dependency
+dampak: internal
+---
+
+# Bun naik dari `1.3.14` ke `1.4.2`, dan `bun.lock` ikut berganti format
+
+Pin Bun repo ini naik di kelima nilai sekaligus — `packageManager` dan
+`engines.bun` di `package.json`, `bun-version` di kedua job
+`.github/workflows/ci.yml`, dan tag `oven/bun` beserta digestnya di kedua
+stage `Dockerfile` — mengikuti aturan lima-nilai-plus-digest yang
+`tests/versi-toolchain.test.mjs` gerbangi. `bun.lock` diregenerasi penuh
+(`rm -rf node_modules bun.lock && bun install`), bukan disunting sebagian,
+sesuai aturan repo.
+
+Regenerasi itu bukan sekadar isi lockfile yang berubah — **formatnya sendiri
+berubah**: Bun 1.4 menulis `bun.lock` sebagai `lockfileVersion: 2`, sementara
+setiap `bun.lock` yang lebih tua di repo ini adalah `lockfileVersion: 1`. Bun
+yang hanya memenuhi `engines.bun` LAMA (`>=1.3.0`) tidak bisa mengurai
+`lockfileVersion: 2` sama sekali — `bun install --frozen-lockfile` gagal
+dengan `error: Unknown lockfile version at bun.lock:2:22`, sebuah pesan yang
+menyebut nama berkas dan bukan versi Bun sama sekali. `engines.bun` karena itu
+juga naik ke `>=1.4.0`: batas lama menerima versi yang justru tidak bisa
+menginstal repo ini sejak `bun.lock` berformat baru.
+
+- Tidak ada perubahan output publik situs mana pun; ini murni kenaikan
+  toolchain.
+- **Terasa oleh situs yang diturunkan dari template ini sebelum 5 September
+  2026, atau yang belum mengikuti kenaikan ini**: begitu `bun.lock` situs itu
+  sendiri diregenerasi oleh siapa pun dengan Bun ≥1.4 terpasang lokal — bukan
+  mesti oleh perubahan di template ini — instalasi `--frozen-lockfile`
+  berikutnya di CI atau `docker build` di sana gagal dengan pesan yang sama,
+  selama kelima nilai pin situs itu belum ikut naik. Gejala, sebab, dan
+  perbaikannya (lima nilai plus digest, sama seperti aturan repo ini) ditulis
+  di [`docs/deploy-coolify.md`](../docs/deploy-coolify.md#a-bun-install---frozen-lockfile-that-names-a-lockfile-not-a-bun-version)
+  dan [`docs/awcms-astro/checklist-repo-baru.md`](../docs/awcms-astro/checklist-repo-baru.md).
diff --git a/CONTRIBUTING.id.md b/CONTRIBUTING.id.md
index 7bc218c..d6ad0cc 100644
--- a/CONTRIBUTING.id.md
+++ b/CONTRIBUTING.id.md
@@ -1,6 +1,6 @@
 🇮🇩 Bahasa Indonesia · 🇬🇧 [English (source)](CONTRIBUTING.md)
 
-<!-- i18n-source-hash: sha256:487850e35d822c4eb6b10d452f3e2055997f3fd98e10ccf3fc6266ed65581c92 -->
+<!-- i18n-source-hash: sha256:37777d47a73b5f0a03a593bbeaea4e09ad3d84cdcfc4e4fc8f47a620d16f75bc -->
 
 # Panduan Kontribusi
 
@@ -35,7 +35,7 @@ Kontributor agen AI: baca [`AGENTS.md`](AGENTS.md) lebih dulu. Ia kontrak kerja
 ## Menyiapkan lingkungan
 
 ```bash
-bun --version         # >= 1.3.0, sesuai `engines.bun`
+bun --version         # >= 1.4.0, sesuai `engines.bun`
 cp .env.example .env  # isi AWCMS_API_URL, token, dan tenant
 bun install
 bun run dev           # http://localhost:4321
diff --git a/CONTRIBUTING.md b/CONTRIBUTING.md
index 0cbc6dc..5681d26 100644
--- a/CONTRIBUTING.md
+++ b/CONTRIBUTING.md
@@ -33,7 +33,7 @@ AI agent contributors: read [`AGENTS.md`](AGENTS.md) first. It is the binding te
 ## Setting up
 
 ```bash
-bun --version         # >= 1.3.0, per `engines.bun`
+bun --version         # >= 1.4.0, per `engines.bun`
 cp .env.example .env  # fill in AWCMS_API_URL, the token, and the tenant
 bun install
 bun run dev           # http://localhost:4321
diff --git a/docs/awcms-astro/checklist-repo-baru.id.md b/docs/awcms-astro/checklist-repo-baru.id.md
index d8fb076..f72c2aa 100644
--- a/docs/awcms-astro/checklist-repo-baru.id.md
+++ b/docs/awcms-astro/checklist-repo-baru.id.md
@@ -1,6 +1,6 @@
 🇮🇩 Bahasa Indonesia · 🇬🇧 [English (source)](checklist-repo-baru.md)
 
-<!-- i18n-source-hash: sha256:63616ed2e930e90b7c2cb2e96d08847ed0dc32dc4f113bbc5d2bccf69118cb76 -->
+<!-- i18n-source-hash: sha256:650e87320ed4fe83f3bed1d8613e3487f15bb58a43611366c90b1db3060e0ab7 -->
 
 # Memulai Situs Baru di Atas awcms-astro
 
@@ -44,6 +44,8 @@ Yang **tidak** perlu disentuh: `src/lib/`, `src/layouts/`, `src/components/`, `s
 - [ ] `package.json` — `name`, `description`, `homepage`, `repository`, `engines`, dan seluruh skrip.
 - [ ] Versi Bun konsisten di **lima nilai**, bukan tiga berkas — `packageManager`, `engines.bun`, `bun-version` di **dua** job CI, dan tag image (identik di kedua stage `Dockerfile`) — ditambah digest yang dipin di sebelah tag itu, sehingga ada enam hal yang bergerak bersama ([ADR-0030](../adr/0030-aturan-tertulis-mendapat-pemeriksanya.md) §Konsekuensi). Menghitung BERKAS alih-alih NILAI adalah kesalahan yang [ADR-0030](../adr/0030-aturan-tertulis-mendapat-pemeriksanya.md) ditulis untuk mengakhirinya: duplikat kedua di tiap berkas yang paling mungkin tertinggal, dan keduanya tetap hijau sendirian. `tests/versi-toolchain.test.mjs` membandingkan seluruhnya, dan ia juga menolak satu stage dipin ke digest sementara yang lain tidak — saat tag dan digest sama-sama ada, Docker mematuhi digest dan tag hanya menjadi komentar.
 
+  **Menaikkan pin-nya belakangan punya satu jebakan yang tidak bisa dilihat gerbang di atas, karena itu soal BINER Bun yang dijalankan seseorang, bukan nilai yang tertulis di repo ini.** Sejak Bun 1.4 menulis `bun.lock` sebagai `lockfileVersion: 2` — format yang sama sekali tidak bisa diurai Bun yang hanya memenuhi `>=1.3.0` — sebuah `bun.lock` yang diregenerasi oleh siapa pun dengan Bun lebih baru terpasang di mesinnya (kontributor, PR rekan tim, Dependabot) diam-diam menaikkan formatnya sementara kelima nilai pin situsmu sendiri bisa saja masih menyebut `1.3.x`. Kelimanya tetap konsisten satu sama lain dan gerbang di atas tetap hijau, tetapi `bun install --frozen-lockfile` berikutnya di CI atau `docker build` gagal dengan `error: Unknown lockfile version at bun.lock:2:22` — pesan yang menyebut nama lockfile, tidak pernah Bun. Gejala, sebab, dan perbaikannya tertulis di [`deploy-coolify.md`](../deploy-coolify.id.md#bun-install---frozen-lockfile-yang-menyebut-nama-lockfile-bukan-versi-bun).
+
 Pertanyaan yang menentukan bentuk skema: **kesalahan apa yang paling merugikan pembaca situs ini, dan field mana yang membuat kesalahan itu sulit dilakukan?** Di repo rujukan jawabannya `cakupan` dan `biaya[].jenis` — keduanya memaksa keputusan yang kalau tidak dipaksa akan terlewat.
 
 ## 3. i18n
diff --git a/docs/awcms-astro/checklist-repo-baru.md b/docs/awcms-astro/checklist-repo-baru.md
index 0b2a0bd..7bcc919 100644
--- a/docs/awcms-astro/checklist-repo-baru.md
+++ b/docs/awcms-astro/checklist-repo-baru.md
@@ -42,6 +42,8 @@ What does **not** need touching: `src/lib/`, `src/layouts/`, `src/components/`,
 - [ ] `package.json` — `name`, `description`, `homepage`, `repository`, `engines`, and every script.
 - [ ] The Bun version consistent across **five values**, not three files — `packageManager`, `engines.bun`, `bun-version` in **two** CI jobs, and the image tag (identical in both `Dockerfile` stages) — plus the digest pinned beside those tags, making six things that move together ([ADR-0030](../adr/0030-aturan-tertulis-mendapat-pemeriksanya.md) §Consequences). Counting files rather than values is the mistake [ADR-0030](../adr/0030-aturan-tertulis-mendapat-pemeriksanya.md) was written to end: the second duplicate in each file is the one most likely to be left behind, and each stays green on its own. `tests/versi-toolchain.test.mjs` compares all of them, and it also refuses one stage being pinned to a digest while the other is not — when a tag and a digest are both present, Docker obeys the digest and the tag becomes a comment.
 
+  **Raising the pin later has one trap that gate cannot see, because it is about a Bun BINARY someone runs, not a value written in this repo.** Since Bun 1.4 writes `bun.lock` as `lockfileVersion: 2` — a format a Bun that only satisfies `>=1.3.0` cannot parse at all — a `bun.lock` regenerated by anyone with a newer Bun installed locally (a contributor, a teammate's PR, Dependabot) silently upgrades the format while your site's own five pinned values may still say `1.3.x`. The five stay internally consistent and the gate above stays green, yet the very next `bun install --frozen-lockfile` in CI or `docker build` fails with `error: Unknown lockfile version at bun.lock:2:22` — a message naming the lockfile, never Bun. The symptom, cause, and fix are written out in [`deploy-coolify.md`](../deploy-coolify.md#a-bun-install---frozen-lockfile-that-names-a-lockfile-not-a-bun-version).
+
 The question that shapes your schema: **what mistake harms this site's readers most, and which field makes that mistake hard to make?** In the reference repo the answers were `cakupan` and `biaya[].jenis` — both force a decision that would otherwise be missed.
 
 ## 3. i18n
diff --git a/docs/awcms-astro/standar-performa-dan-keamanan.id.md b/docs/awcms-astro/standar-performa-dan-keamanan.id.md
index ad186d5..8ec0ee7 100644
--- a/docs/awcms-astro/standar-performa-dan-keamanan.id.md
+++ b/docs/awcms-astro/standar-performa-dan-keamanan.id.md
@@ -1,6 +1,6 @@
 🇮🇩 Bahasa Indonesia · 🇬🇧 [English (source)](standar-performa-dan-keamanan.md)
 
-<!-- i18n-source-hash: sha256:628726c172dafaf5d4a14f53fa3d6a4347168b7a1300087b05bcaaec271a5440 -->
+<!-- i18n-source-hash: sha256:793e6a1a6e047c99b8d32e9123455679d6c1fb45f1ec162896d14b53e95ea9f0 -->
 
 # awcms-astro — Standar Performa dan Keamanan
 
@@ -215,7 +215,7 @@ situs yang butuh cakupan lebih menaikkannya di berkas itu.
 | Tanpa webfont — `system-ui` sebagai `--font-sans` | Nol permintaan font, nol FOIT/FOUT, nol kontribusi ke CLS. Ia dicatat sebagai keputusan **privasi** di [`src/styles/global.css`](../../src/styles/global.css); ia juga keputusan performa | `src/styles/global.css` |
 | Tanpa framework UI, tanpa framework CSS | JS terkirim mendekati nol pada sebagian besar halaman | [`standar-teknis.md`](standar-teknis.md#the-stack) |
 | `compressHTML: true` | HTML lebih kecil sebelum kompresi transport | `astro.config.mjs` |
-| Kompresi respons memakai pustaka matang | Bukan hanya gzip: `compression` v1.8 menegosiasikan **Brotli** (RFC 7932) saat browser memintanya, dan Brotli mengalahkan gzip sekitar 15–20% pada HTML | [`server/penyaji.mjs`](../../server/penyaji.mjs) |
+| Kompresi respons memakai pustaka matang | Bukan hanya gzip: `compression` v1.8 menegosiasikan **Brotli** (RFC 7932) saat browser memintanya, dan Brotli mengalahkan gzip sekitar 15–20% pada HTML. Keberadaannya di `dependencies` adalah keputusan mempertahankan yang disengaja, bukan runtime Node.js yang menyelinap kembali — ia berjalan sepenuhnya di atas Bun, digerbangi dari sisi mempertahankan oleh [ADR-0050](../adr/0050-bun-is-this-repos-only-runtime-and-a-gate-finally-says-so.md) | [`server/penyaji.mjs`](../../server/penyaji.mjs) |
 | `Cache-Control` dua aturan | Aset ber-hash `immutable` satu tahun; HTML `max-age=0, must-revalidate` sehingga rebuild langsung terlihat. Keduanya sesuai RFC 9111, dan keduanya **dibuktikan tes** — termasuk paritas GET/HEAD yang pernah membuat `curl -I` melaporkan nilai yang salah | [`tests/penyaji.test.mjs`](../../tests/penyaji.test.mjs) |
 | Konten ditarik saat build | Nol panggilan ke CMS saat pembaca meminta halaman; situs tetap tayang saat `awcms` mati | [ADR-0018](../adr/0018-kontrak-build-token-mesin-dan-traversal-konten.md) |
 | Media di-resolve **sekali per build** | Situs 300 artikel × 2 locale tidak berubah menjadi ratusan permintaan HTTP saat render | [`src/lib/content.ts`](../../src/lib/content.ts) |
diff --git a/docs/awcms-astro/standar-performa-dan-keamanan.md b/docs/awcms-astro/standar-performa-dan-keamanan.md
index e0ccfe9..21a1bec 100644
--- a/docs/awcms-astro/standar-performa-dan-keamanan.md
+++ b/docs/awcms-astro/standar-performa-dan-keamanan.md
@@ -210,7 +210,7 @@ row 8.
 | No webfonts — `system-ui` as `--font-sans` | Zero font requests, zero FOIT/FOUT, zero contribution to CLS. It is recorded as a **privacy** decision in [`src/styles/global.css`](../../src/styles/global.css); it is also a performance decision | `src/styles/global.css` |
 | No UI framework, no CSS framework | JS shipped is near zero on most pages | [`standar-teknis.md`](standar-teknis.md#the-stack) |
 | `compressHTML: true` | Smaller HTML before transport compression | `astro.config.mjs` |
-| Response compression uses a mature library | Not only gzip: `compression` v1.8 negotiates **Brotli** (RFC 7932) when a browser asks for it, and Brotli beats gzip by roughly 15–20% on HTML | [`server/penyaji.mjs`](../../server/penyaji.mjs) |
+| Response compression uses a mature library | Not only gzip: `compression` v1.8 negotiates **Brotli** (RFC 7932) when a browser asks for it, and Brotli beats gzip by roughly 15–20% on HTML. Its presence in `dependencies` is a deliberate keep, not the Node.js runtime creeping back in — it runs entirely under Bun, gated from the keep side by [ADR-0050](../adr/0050-bun-is-this-repos-only-runtime-and-a-gate-finally-says-so.md) | [`server/penyaji.mjs`](../../server/penyaji.mjs) |
 | `Cache-Control` in two rules | Hashed assets `immutable` for a year; HTML `max-age=0, must-revalidate` so a rebuild is immediately visible. Both per RFC 9111, and both **proven by tests** — including the GET/HEAD parity that once made `curl -I` report the wrong value | [`tests/penyaji.test.mjs`](../../tests/penyaji.test.mjs) |
 | Content pulled at build time | Zero calls to the CMS when a reader asks for a page; the site stays live when `awcms` is down | [ADR-0018](../adr/0018-kontrak-build-token-mesin-dan-traversal-konten.md) |
 | Media resolved **once per build** | A 300-article × 2-locale site does not turn into hundreds of HTTP requests at render time | [`src/lib/content.ts`](../../src/lib/content.ts) |
diff --git a/docs/awcms-astro/standar-teknis.id.md b/docs/awcms-astro/standar-teknis.id.md
index 5b1f26e..e842531 100644
--- a/docs/awcms-astro/standar-teknis.id.md
+++ b/docs/awcms-astro/standar-teknis.id.md
@@ -1,6 +1,6 @@
 🇮🇩 Bahasa Indonesia · 🇬🇧 [English (source)](standar-teknis.md)
 
-<!-- i18n-source-hash: sha256:443754b41579a6f6444ca0dd833f689698f5ac54709ad1d4f7d1227657c4e3ba -->
+<!-- i18n-source-hash: sha256:fe3a6f44f5a59fda850b7ab4cfd1f719503a06859b685964301a96222d66b0ba -->
 
 # awcms-astro — Standar Teknis
 
@@ -13,7 +13,7 @@ Kata **wajib** di dokumen ini berarti pelanggarannya menggagalkan gerbang mutu,
 | Aspek | Keputusan | Alasan |
 | --- | --- | --- |
 | Framework | Astro 7, `output: 'static'` | Nol JavaScript pengiriman default; halaman tetap terbaca penuh tanpa JS |
-| Runtime | Bun `>=1.3.0`, ditegakkan `engines.bun` + `packageManager` | Satu runtime untuk seluruh keluarga AWCMS (ADR-0015); `bun.lock` satu-satunya lockfile |
+| Runtime | Bun `>=1.4.0`, ditegakkan `engines.bun` + `packageManager` | Satu runtime untuk seluruh keluarga AWCMS (ADR-0015); `bun.lock` satu-satunya lockfile. Batas bawahnya naik dari `>=1.3.0` pada 5 September 2026: Bun 1.4 menulis `bun.lock` sebagai `lockfileVersion: 2`, yang tidak bisa diurai sama sekali oleh Bun yang hanya memenuhi `>=1.3.0` — jadi batas lama menerima versi yang justru tidak bisa menginstal repo ini |
 | Framework UI | **Tidak ada** | Interaktivitas ditulis DOM vanilla. Tidak ada React/Vue/Svelte |
 | Styling | Satu berkas CSS global + design token | Tanpa framework CSS; token di `:root`, tema gelap lewat `data-theme` |
 | Konten | **Ditarik dari `awcms` saat build** (ADR-0018); standar keluarga menyebut markdown per koleksi per locale | Kontraknya `LocalizedArticle` di `src/lib/content.ts`, bukan frontmatter |
@@ -190,7 +190,7 @@ Cara mencapainya — dan ini yang mengikat:
 - **Tidak ada webfont.** `--font-sans` adalah `system-ui`: nol permintaan font, nol FOIT/FOUT, nol kontribusi ke CLS. Ia dicatat sebagai keputusan privasi di `src/styles/global.css`; ia juga keputusan performa, dan sebuah situs yang menambahkan font wajib men-self-host-nya di `public/` alih-alih menambah origin ke jalur render kritis.
 - Gambar layar pertama `loading="eager"` + `fetchpriority="high"`; sisanya `loading="lazy"`. Keduanya dibutuhkan dan tidak saling menggantikan: `eager` hanya berarti "jangan tunda", sementara prioritas bawaan sebuah `<img>` tetap **Low** sampai layout membuktikan ia di viewport. Ditegakkan `bun run audit:konten` atas keluaran, jadi `<img>` yang tidak lewat `src/components/Ilustrasi.astro` ikut tertangkap.
 - **Tema dipasang berkas eksternal `public/tema.js` yang dimuat `<script src>` klasik**, bukan skrip inline. Sejak [ADR-0019](../adr/0019-csp-ketat-dikirim-penyaji.md) penyaji mengirim `script-src 'self'` tanpa `'unsafe-inline'`, jadi skrip inline bukan "kurang rapi" — ia mati di browser pembaca. Bundel Astro selalu `type="module"` dan modul selalu ditunda, jadi ia bukan pengganti untuk kasus sebelum-paint.
-- Kompresi respons bukan hanya gzip: `compression` menegosiasikan **Brotli** (RFC 7932) saat browser memintanya, dan Brotli mengalahkan gzip sekitar 15–20% pada HTML.
+- Kompresi respons bukan hanya gzip: `compression` menegosiasikan **Brotli** (RFC 7932) saat browser memintanya, dan Brotli mengalahkan gzip sekitar 15–20% pada HTML. Mempertahankan `compression` di `dependencies` adalah keputusan yang disengaja, bukan runtime Node.js yang menyelinap kembali — ia berjalan sepenuhnya di atas Bun, dan [ADR-0050](../adr/0050-bun-is-this-repos-only-runtime-and-a-gate-finally-says-so.md) menggerbangi keberadaannya dari sisi mempertahankan.
 - `Cache-Control` dua aturan sesuai RFC 9111: aset ber-hash `immutable` satu tahun, HTML `max-age=0, must-revalidate` sehingga rebuild langsung terlihat pembaca.
 - Anggaran yang terbukti di repo rujukan: **beranda ≤ 250 KB gambar, halaman konten ≤ 100 KB.** Sejak 4 Agustus 2026 ia **diukur** `bun run audit:konten` atas `dist/client`, per halaman. Yang ditimbang hanya gambar yang benar-benar diterbitkan build ini — media `awcms` tidak ada di sana, jadi angka ini menjaga seni lokal dan bukan seluruh berat halaman.
 - **Byte skrip dan stylesheet punya plafonnya sendiri**, diperiksa `bun run audit:aset`: 13.000 B skrip dan 40.000 B total per halaman, ditambah 8.000 B untuk satu berkas skrip terbit. Semuanya pengukuran berikut ruang di atasnya, bukan angka bulat, dan pengukurannya dicatat di `scripts/audit-aset.mjs` di sebelah masing-masing angka. Pelanggarannya menyebut berkas mana yang membesar, dan itu seluruh alasan ia berdiri di sebelah Lighthouse alih-alih di dalamnya — skor lab tidak bisa menyebut berkas mana yang harus dilihat. **Di mana sebuah aturan TINGGAL adalah bagian dari anggaran ini**: `src/styles/global.css` dimuat setiap halaman, jadi aturan yang hanya dipakai satu komponen adalah byte yang dibayar setiap halaman lain.
diff --git a/docs/awcms-astro/standar-teknis.md b/docs/awcms-astro/standar-teknis.md
index 350e59d..7fa2ca6 100644
--- a/docs/awcms-astro/standar-teknis.md
+++ b/docs/awcms-astro/standar-teknis.md
@@ -11,7 +11,7 @@ The word **must** in this document means that breaking it fails a quality gate,
 | Aspect | Decision | Reason |
 | --- | --- | --- |
 | Framework | Astro 7, `output: 'static'` | Zero JavaScript shipped by default; pages stay fully readable without JS |
-| Runtime | Bun `>=1.3.0`, enforced by `engines.bun` + `packageManager` | One runtime for the whole AWCMS family (ADR-0015); `bun.lock` the only lockfile |
+| Runtime | Bun `>=1.4.0`, enforced by `engines.bun` + `packageManager` | One runtime for the whole AWCMS family (ADR-0015); `bun.lock` the only lockfile. The floor moved up from `>=1.3.0` on 5 September 2026: Bun 1.4 writes `bun.lock` as `lockfileVersion: 2`, which a `>=1.3.0`-satisfying Bun cannot parse at all — so the old floor accepted a version that could not install this repo |
 | UI framework | **None** | Interactivity is written in vanilla DOM. No React/Vue/Svelte |
 | Styling | One global CSS file + design tokens | No CSS framework; tokens on `:root`, the dark theme through `data-theme` |
 | Content | **Pulled from `awcms` at build time** (ADR-0018); the family standard says markdown per collection per locale | Its contract is `LocalizedArticle` in `src/lib/content.ts`, not frontmatter |
@@ -189,7 +189,7 @@ How they are achieved — and this is what binds:
 - **No webfonts.** `--font-sans` is `system-ui`: zero font requests, zero FOIT/FOUT, zero contribution to CLS. It is recorded as a privacy decision in `src/styles/global.css`; it is also a performance decision, and a site adding a font must self-host it in `public/` rather than adding an origin to the critical render path.
 - A first-screen image is `loading="eager"` + `fetchpriority="high"`; the rest are `loading="lazy"`. Both are needed and do not substitute for each other: `eager` only means "do not defer", while an `<img>`'s default priority stays **Low** until layout proves it is in the viewport. Enforced by `bun run audit:konten` over the output, so an `<img>` that did not go through `src/components/Ilustrasi.astro` is caught too.
 - **The theme is installed by the external file `public/tema.js` loaded through a classic `<script src>`**, not an inline script. Since [ADR-0019](../adr/0019-csp-ketat-dikirim-penyaji.md) the server sends `script-src 'self'` without `'unsafe-inline'`, so an inline script is not "less tidy" — it is dead in a reader's browser. An Astro bundle is always `type="module"` and modules are always deferred, so it is not a substitute for the before-paint case.
-- Response compression is not only gzip: `compression` negotiates **Brotli** (RFC 7932) when a browser asks for it, and Brotli beats gzip by roughly 15–20% on HTML.
+- Response compression is not only gzip: `compression` negotiates **Brotli** (RFC 7932) when a browser asks for it, and Brotli beats gzip by roughly 15–20% on HTML. Keeping `compression` in `dependencies` is a deliberate decision, not the Node.js runtime creeping back in — it runs entirely under Bun, and [ADR-0050](../adr/0050-bun-is-this-repos-only-runtime-and-a-gate-finally-says-so.md) gates its presence from the keep side.
 - `Cache-Control` in two rules per RFC 9111: hashed assets `immutable` for a year, HTML `max-age=0, must-revalidate` so a rebuild is immediately visible to a reader.
 - The budgets proven in the reference repo: **home ≤ 250 KB of images, content page ≤ 100 KB.** Since 4 August 2026 they are **measured** by `bun run audit:konten` over `dist/client`, per page. What is weighed is only the images this build actually publishes — `awcms` media are not there, so this figure guards local artwork rather than the whole page weight.
 - **Script and stylesheet bytes have their own ceilings**, checked by `bun run audit:aset`: 13,000 B of script and 40,000 B in total per page, plus 8,000 B for one published script file. They are measurements with headroom rather than round numbers, and the measurement is recorded in `scripts/audit-aset.mjs` beside each one. A violation names the file that grew, which is the whole reason it exists next to Lighthouse rather than inside it — a lab score cannot say which file to look at. **Where a rule LIVES is part of this budget**: `src/styles/global.css` is loaded by every page, so a rule only one component uses is bytes every other page pays for.
diff --git a/docs/deploy-coolify.id.md b/docs/deploy-coolify.id.md
index a950458..b9f1a3a 100644
--- a/docs/deploy-coolify.id.md
+++ b/docs/deploy-coolify.id.md
@@ -1,6 +1,6 @@
 🇮🇩 Bahasa Indonesia · 🇬🇧 [English (source)](deploy-coolify.md)
 
-<!-- i18n-source-hash: sha256:1122a0757929a0e6284d9b6f75e874855e7a418816225bd84a9324602dc608cf -->
+<!-- i18n-source-hash: sha256:c5691cc56e9da1cb44043ce02d233b9bf64c5ddbfbf18cb4d01690fc661af9da -->
 
 # Deploy dan rebuild lewat webhook (Coolify)
 
@@ -227,6 +227,45 @@ dikerjakan berbeda-beda:
 Ketiganya menghasilkan build gagal **total** — nol berkas terbit — sehingga
 situs tetap tayang dengan konten lama, dan itulah yang membuatnya sunyi.
 
+### `bun install --frozen-lockfile` yang menyebut nama lockfile, bukan versi Bun
+
+Kegagalan build keempat, tak terkait tiga di atas dan pantas punya judulnya
+sendiri karena pesannya menunjuk jauh dari sebab sesungguhnya:
+
+```
+error: Unknown lockfile version  at bun.lock:2:22
+error: lockfile had changes, but lockfile is frozen
+```
+
+**Sebab:** repo template ini menaikkan pin Bun-nya sendiri dari `1.3.14` ke
+`1.4.2` pada 5 September 2026, dan `bun.lock` diregenerasi penuh — Bun 1.4
+menulis `bun.lock` sebagai `lockfileVersion: 2`, format yang **sama sekali**
+tidak bisa diurai Bun yang hanya memenuhi `>=1.3.0`. Situs yang diturunkan
+dari template ini sebelum tanggal itu, atau yang belum mengikutinya, membawa
+`bun.lock` dalam format LAMA; tidak ada yang gagal sampai suatu saat ada yang
+— kontributor yang meregenerasinya secara lokal, PR rekan tim, Dependabot —
+menulis `bun.lock` baru dengan Bun yang lebih baru sudah terpasang di
+mesinnya. Commit yang dihasilkan terbaca persis seperti pembaruan lockfile
+biasa, dan tidak ada yang menyebut "ini sekarang butuh Bun 1.4". Kegagalannya
+muncul belakangan dan di tempat lain: di langkah `bun install
+--frozen-lockfile` CI, atau di `RUN bun install --frozen-lockfile` dalam
+`docker build` — keduanya menjalankan versi Bun apa pun yang masih dinyatakan
+`bun-version`/tag image milik situs ini SENDIRI, yang bisa saja masih
+`1.3.x`. Pesan errornya menyebut nama berkas (`bun.lock`) dan offset byte,
+tidak pernah kata "Bun" atau nomor versi, jadi ia terbaca seperti lockfile
+yang rusak, bukan toolchain yang tertinggal.
+
+**Perbaikan:** naikkan pin Bun situs ini sendiri supaya sejalan — aturan lima-
+nilai-plus-digest yang sama yang didokumentasikan repo ini untuk dirinya
+sendiri ([`AGENTS.md`](../AGENTS.id.md#konfigurasi),
+[`checklist-repo-baru.md`](awcms-astro/checklist-repo-baru.id.md) langkah 2):
+naikkan `packageManager` **dan** `engines.bun` di `package.json`,
+`bun-version` di KEDUA job `.github/workflows/ci.yml`, dan tag image **dan**
+digestnya di KEDUA stage `Dockerfile`. Menaikkan hanya nilai yang menghasilkan
+lockfile baru (biasanya Bun lokal seorang kontributor) sementara keempat nilai
+lain tetap di `1.3.x` mengulang persis kegagalan ini di mana pun di antara
+keempatnya yang berjalan berikutnya.
+
 **Menerbitkan dan MENCABUT token itu kini sebuah layar**, bukan panggilan API
 yang harus diingat seseorang di bawah tekanan: `/admin/machine-credentials` di
 awcms (sejak 13 Agustus 2026). Plaintext token hanya muncul **sekali**, pada
diff --git a/docs/deploy-coolify.md b/docs/deploy-coolify.md
index 598c59a..6760518 100644
--- a/docs/deploy-coolify.md
+++ b/docs/deploy-coolify.md
@@ -219,6 +219,43 @@ all three read like a revoked token — while what has to be done differs:
 All three produce a **total** build failure — zero files published — so the site
 stays live with its old content, and that is what makes it silent.
 
+### A `bun install --frozen-lockfile` that names a lockfile, not a Bun version
+
+A fourth build failure, unrelated to the three above and worth its own heading
+because its message points nowhere near its actual cause:
+
+```
+error: Unknown lockfile version  at bun.lock:2:22
+error: lockfile had changes, but lockfile is frozen
+```
+
+**Cause:** this template repo raised its own Bun pin from `1.3.14` to `1.4.2`
+on 5 September 2026, and `bun.lock` was regenerated in full — Bun 1.4 writes
+`bun.lock` as `lockfileVersion: 2`, a format a Bun that only satisfies
+`>=1.3.0` cannot parse **at all**. A site derived from this template before
+that date, or one that has not yet followed it, carries a `bun.lock` in the
+OLD format; nothing breaks until the moment somebody — a contributor
+regenerating it locally, a teammate's PR, Dependabot — writes a fresh
+`bun.lock` with a newer Bun already installed on their machine. The commit
+that results reads exactly like any other lockfile update, and nothing about
+it says "this now needs Bun 1.4". The failure surfaces later and elsewhere:
+in CI's `bun install --frozen-lockfile` step, or in `RUN bun install
+--frozen-lockfile` inside `docker build` — both running whatever Bun version
+this site's OWN `bun-version`/image tag still says, which may still be
+`1.3.x`. The error names the file (`bun.lock`) and a byte offset, never the
+word "Bun" or a version number, so it reads like lockfile corruption rather
+than a toolchain that has fallen behind.
+
+**Fix:** raise this site's own Bun pin to match — the same five-values-plus-
+digest rule this repo documents for itself
+([`AGENTS.md`](../AGENTS.md#configuration),
+[`checklist-repo-baru.md`](awcms-astro/checklist-repo-baru.md) step 2): bump
+`packageManager` **and** `engines.bun` in `package.json`, `bun-version` in
+BOTH jobs of `.github/workflows/ci.yml`, and the image tag **and** its digest
+in BOTH stages of `Dockerfile`. Raising only the value that produced the new
+lockfile (typically a contributor's local Bun) while leaving the other four
+at `1.3.x` reproduces this exact failure in whichever of them runs next.
+
 **Issuing and REVOKING that token is now a screen**, not an API call somebody has
 to remember under pressure: `/admin/machine-credentials` in awcms (since 13 August
 2026). A token's plaintext appears **once**, in its issuing response — reloading
diff --git a/package.json b/package.json
index ff98213..252736f 100644
--- a/package.json
+++ b/package.json
@@ -12,7 +12,7 @@
   "license": "MIT",
   "packageManager": "bun@1.4.2",
   "engines": {
-    "bun": ">=1.3.0"
+    "bun": ">=1.4.0"
   },
   "scripts": {
     "dev": "bun --bun astro dev",