Як у вас влаштований деплой?

Merge у main автоматично деплоїть на staging. Annotated-тег v* запускає workflow з environment: production, який чекає ручного підтвердження, збирає артефакт і викладає його на сервер. Після деплою — smoke-тест.

Як ви відкочуєте невдалий реліз?

Швидко — передеплоєм попереднього тега: повторний запуск workflow для старого релізу або перемикання на попередній реліз на сервері. Далі виправлення: git revert у main і новий patch-реліз.