feat(episode): TRAZA_r12seccion1l1-tu-turno-lo-mnimo-que-nec_S20260824.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: chronicle
Summary: EPISODIO 1 — brasaluz.com: [R12.seccion1.L1] Tu turno — lo mínimo que necesitas

episodes/TRAZA_r12seccion1l1-tu-turno-lo-mnimo-que-nec_S20260824.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,55 @@
+---
+episode_id: "69e4f43b-a411-4202-bfea-b508dfacd6e6"
+puente_flat: "TRAZA_r12seccion1l1-tu-turno-lo-mnimo-que-nec_S20260824.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260824.SID58C67656C4E8"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "chronicle"
+summary_one_line: "EPISODIO 1 — brasaluz.com: [R12.seccion1.L1] Tu turno — lo mínimo que necesitas en pant"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-08-28T19:39:06.319344+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+Fuente identificada, y es tranquilizadora: **la que se propaga es la clave muerta**.
+
+El mecanismo es que `INFRA_MANIFEST.yaml` contiene la clave de LiteLLM (`sk-ember-2ca4f…`), y cada vez que un hook lo auto-actualiza deja un `.bak_*` que también se commitea. Así nació el fichero número 40 ayer: `INFRA_MANIFEST.yaml.bak_fixcounts_S20260827`. Pero esa clave concreta es la que rotaste el 2026-06-12 y está declarada neutralizada — se replica un cadáver, no un riesgo.
+
+Para mí eso cambia el trabajo del jueves: **mi limpieza tiene que arreglar la fuente** (`INFRA_MANIFEST.yaml`), no solo las copias, o se regenera sola. Lo anoto.
+
+## [R12.seccion1.L1] Tu turno — lo mínimo que necesitas en pantalla
+
+Sigue [el runbook](docs/RUNBOOK_S20260824_rotacion_claves_publicadas_para_john.md). Los cinco pasos, en orden, con los identificadores:
+
+**0 · OpenRouter** → `openrouter.ai/settings/keys`. Borra lo creado **antes del 2026-08-22** que no reconozcas. Si no hay nada anterior a esa fecha, cerrado.
+
+**1 · Langfuse** → `langfuse.brasaluz.com` → tu proyecto → *Settings* → *API Keys* → *Create new API key*. **No borres nada aún.** La clave secreta se muestra una sola vez: deja la pestaña abierta.
+
+**2 · Aquí** → pega y ejecuta:
+
+Al pegar la clave secreta **no verás nada en pantalla**. Es normal, se está escribiendo.
+
+**3 · Langfuse** → ahora sí, borra la fila cuya clave pública empieza por **`pk-lf-697213df`**.
+
+**4 · Aquí** → el mismo comando con `--solo-verificar`. Debe decir `recableado hecho`.
+
+Verificado hace un minuto: `ember-mcp` sigue con la vieja, así que el paso 2 hace falta. Aquí estoy si algo no coincide con lo que describe el runbook.
+
+🔴 **EN CURSO · S-001** — Rotación de claves. *Dueño: John · en ejecución ahora.*
+🟠 **HIGH · S-002** — Limpieza de los 40 ficheros, **atacando la fuente `INFRA_MANIFEST.yaml`** y no solo las copias. *Dueño: Ember · hoy 2026-08-28, tras tu rotación.*
+🟡 **MEDIUM · G-004c** — Censo tolerante al formato OII documentado. *Dueño: Ember · 2026-08-30.*
+
+## 📁 BITÁCORA S20260828.SID58C67656C4E8.R12
+
+⚡ BASH `--solo-verificar` → `pk-lf-697213df-9`, el runbook sigue vigente
+⚡ BASH barrido de claves → 40 ficheros (eran 39), 6 raíces
+⚡ BASH ficheros con clave por fecha → fuente: `INFRA_MANIFEST.yaml` + sus `.bak_*`
+
+—
+
+> 🎯 **En una frase:** comprobé que las instrucciones siguen siendo exactas antes de mandarte a seguirlas, y descubrí que lo que se está multiplicando es una clave que ya mataste, no una viva.