diff --git a/.forgejo/workflows/publish-docker.yml b/.forgejo/workflows/publish-docker.yml
index f536d91..594e5a3 100644
--- a/.forgejo/workflows/publish-docker.yml
+++ b/.forgejo/workflows/publish-docker.yml
@@ -5,6 +5,9 @@
 # - push sur `master`     -> tags `latest` + `<sha court>`
 # - push d'un tag `vX.Y.Z` -> tags `X.Y.Z`, `X.Y`, `latest`
 # - déclenchement manuel possible (Actions -> Run workflow)
+# - PR vers `master`      -> job `test` seul (voir `if` du job `publish` -
+#   sans ça, une PR depuis une branche non fusionnée pousserait quand même
+#   une vraie image sur le registre, `latest` compris)
 #
 # Repris de mediaDrop (.forgejo/workflows/publish-docker.yml) - mêmes
 # prérequis côté instance :
@@ -31,6 +34,8 @@ on:
   push:
     branches: [master]
     tags: ['v*']
+  pull_request:
+    branches: [master]
   workflow_dispatch:
 
 permissions:
@@ -85,6 +90,7 @@ jobs:
 
   publish:
     needs: test
+    if: github.event_name != 'pull_request'
     runs-on: ubuntu-latest
     container:
       image: docker:27-cli