diff --git a/.gitea/workflows/release.yaml b/.gitea/workflows/release.yaml
index 43fd713..87aacbb 100644
--- a/.gitea/workflows/release.yaml
+++ b/.gitea/workflows/release.yaml
@@ -5,7 +5,8 @@ name: release
 #
 # Byggs ALLTID på brasse-linux01 (label linux-amd64) — Pi5:n OOM:ar på
 # APK-bygget, och Gitea saknar runner-prioritet så delade labels gav slumpen.
-# Är huvuddatorn av köas jobbet tills runnern är tillbaka.
+# Är huvuddatorn av köas jobbet tills runnern är tillbaka. Första steget
+# vägrar dessutom köra på arm64 (2026-09-06), som skydd om labels ändras.
 # På arm64 används en statiskt byggd aapt2 (lzhiyong/android-sdk-tools) —
 # Googles aapt2 finns bara för linux x86_64. Resten av Android-bygget är
 # JVM-baserat och arkitekturoberoende.
@@ -22,6 +23,17 @@ jobs:
   build-release:
     runs-on: linux-amd64
     steps:
+      # Säkerhetsspärr: APK-bygget får ALDRIG köra på Pi5:n (OOM ⇒ hela servern
+      # nere). Om jobbet ändå hamnar på en arm64-runner (t.ex. om Pi-runnern
+      # fått labeln linux-amd64) avbryts det här, innan något tungt startat.
+      - name: Vägra bygga på arm64/Pi5
+        run: |
+          if [ "$(uname -m)" != "x86_64" ]; then
+            echo "::error::Fel runner ($(uname -m), $(hostname)). APK-bygget ska köras på brasse-linux01 (label linux-amd64). Avbryter för att inte ta ner Pi5:n."
+            exit 1
+          fi
+          echo "Runner OK: $(uname -m) på $(hostname)"
+
       - name: Checkout
         uses: actions/checkout@v4