Boa
Uso uma stack parecida no ambiente de produção no trampo e funciona muito bem, com pouquíssima manutenção.
Um ponto que você comentou, o portainer da uma licença para ate 3 nó (https://www.portainer.io/take-3) acho que vale dar uma olhada, mas se da forma atual resolve seu problema, perfeito!
Boa, não conhecia o Take 3! Para um nó só cabe com folga, e libera o webhook que eu tinha descartado.
Mesmo assim, acho que vou manter o deploy por SSH por dois motivos: a lógica do deploy fica versionada junto com o workflow (inclusive o retry do pull), e o deploy não depende do Portainer estar no ar nem de lembrar de renovar a licença. Mas para quem prefere disparar pelo webhook e acompanhar tudo pela interface, é uma ótima alternativa. Valeu pela dica!