De host heeft Docker iptables uitgeschakeld, dus build-containers op bridge hebben geen outbound internet; 'npm install -g pnpm' in de builder-stage hing daardoor. Met --network=host krijgt de build wel registry-toegang. Contract-test vergrendelt de flag.