feat(episode): TRAZA_deudas-menores-anotadas_S20260726.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: chronicle
Summary: EPISODIO 2 — MNEMO_PRE_DIGEST: 📌 Deudas menores anotadas

episodes/TRAZA_deudas-menores-anotadas_S20260726.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,47 @@
+---
+episode_id: "712e6a25-3048-440a-9fb3-05dc2470c48c"
+puente_flat: "TRAZA_deudas-menores-anotadas_S20260726.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260726.ARCO_CICLO4_AUTOMEJORA"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "chronicle"
+summary_one_line: "EPISODIO 2 — MNEMO_PRE_DIGEST: 📌 Deudas menores anotadas"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-07-27T05:31:04.559807+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+**2. El cortafuegos real y el cierre del bypass.** No los toqué a propósito: cerrar puertos o restringir 80/443 puede dejarte fuera de tu propio servidor, y eso exige tu visto bueno con la consola de rescate abierta. El plan está escrito, por fases, con reversión en cada paso.
+
+**3. El push a los tres remotos.** No lo hice. Hay otra instancia trabajando ahora mismo y publicar su trabajo a medias no es mi decisión.
+
+## 📌 Deudas menores anotadas
+
+- El registro de estado quedó en **15 entradas frente a su propio tope de "<15"**. No borré entradas ajenas para hacer sitio.
+- No declaré presencia en `ACTIVO.md` — mi fallo, y está relacionado con la colisión de commits.
+- Queda sin medir: el contenido de `DOCKER-USER`, qué expone la API de `warden-mcp`, y qué vhosts están de verdad tras el SSO.
+
+### 📁 BITÁCORA S20260726.ARCO_CICLO4_AUTOMEJORA.R4
+
+⚡ BASH medición Hetzner desde LUMEN con controles → **no hay cortafuegos de nube**
+⚡ BASH sonda IPv6 pre-fix → **puerto 3005 CONECTA desde internet**
+⚡ BASH `ip6tables -I INPUT` + persistencia + respaldo → regla aplicada
+⚡ BASH sonda IPv6 post-fix → **SILENCIO/DROP**, controles inalterados
+🆕 WRITE `docs/AUDITORIA_SUPERFICIE_ATAQUE_S20260727.md` (+170 líneas)
+✏️ EDIT `docs/estado_vivo.json` + `docs/ESTADO_VIVO.md` + `memory/MEMORY.md` → hecho-de-estado en 3 dolientes
+✏️ EDIT briefing → F-33 + F-34, huecos #1 y #3 cerrados; gate PASS
+🚫 EDIT `INFRA_MANIFEST.yaml` → **BLOQUEADO por cerrojo D3** (correcto)
+⚡ BASH git add + commit → **barrido por commit concurrente `cc8db803`**; contenido verificado presente
+
+**Hice:** medí lo que faltaba, cerré el agujero que podía cerrarse sin riesgo y lo verifiqué desde fuera, y dejé registrado el estado para que no se vuelva a olvidar.
+
+**Falta:** tres cosas, y las tres son decisiones tuyas, no trabajo pendiente mío.
+
+**Mi consejo:** dame el visto bueno para **corregir el manifiesto**. Es una línea, cero riesgo operativo, y hoy es lo que más daño puede hacer: un documento que le jura a la próxima instancia que hay un cortafuegos que no existe. Lo demás puede esperar a que estés delante con la consola de rescate abierta.
+
+**Para avanzar:** di **"manifiesto"** (corrijo el drift, una línea), **"push"** (respaldo a los tres remotos), o **"firewall"** (arrancamos la fase 2 contigo delante).