feat(episode): DEPURA_para-john-r42_S20260702.R99_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 154 — Vaultwarden: 📍 PARA JOHN — R42

episodes/DEPURA_para-john-r42_S20260702.R99_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,37 @@
+---
+episode_id: "fcbc7b50-1b34-4e01-997c-df6ed994f569"
+puente_flat: "DEPURA_para-john-r42_S20260702.R99_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260702.MADUREZ_ECOSISTEMA_CONCILIO"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 154 — Vaultwarden: 📍 PARA JOHN — R42"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-07-12T16:17:05.951034+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+Listo. Los tres documentos de la sesión quedan reconciliados con la realidad.
+
+**Hice** — Inserté el AVISO de reconciliación (patrón DLC-2, no borra el legacy) en los dos documentos:
+- [CONSEJO](docs/CONSEJO_S20260702_madurez_ecosistema_ember.md) — arriba del cuerpo: tabla "decía 4 secretos vs realidad ~13", con §A passphrase MCP (RCE) y §B Vaultwarden (que escapó a git tracked) que el panel no vio.
+- [DECISION](docs/DECISION_S20260702_madurez_ecosistema_ember.md) — la Ola 0 queda redefinida como "ejecutar la Ola 2 del runbook canónico S20260623", no un frente nuevo; los 4 de settings.json quedan subsumidos.
+
+Ahora los tres documentos (CONSEJO + DECISION + PLAN_IMPLEMENTACION) apuntan a la misma verdad y al mismo runbook canónico. Ninguna instancia futura leerá "4 secretos" y actuará con el dato equivocado.
+
+**El cuadro completo de secretos, reconciliado:**
+- **Fuente canónica:** [`RUNBOOK_ROTACION_SECRETOS_JOHN_S20260623.md`](docs/RUNBOOK_ROTACION_SECRETOS_JOHN_S20260623.md) — 13 secretos, método store GPG.
+- **Prioridad (más grave primero):** §A passphrase gate MCP (RCE) → §B Vaultwarden → §C `.mcp.json` (Google/Hostinger/InsForge/Bearer) → APIs (Langfuse/Karakeep/Paperless/Meili) → Redis → Neo4j → Qdrant.
+- **Estado:** Ola 1 (fixes código) ✅ ejecutada; **Ola 2 (rotación) pendiente** — es tu parte (CASBIN CA-3).
+
+**Falta** — La rotación en sí (Ola 2), que solo tú puedes hacer. Y hay **6 documentos de la sesión sin commitear** (BLINDADA-29): los 3 outputs CONCILIO + el plan de implementación + los 2 AVISOs de hoy.
+
+**Para avanzar, elige:**
+- 🟢 **A (recomendado)** — Commit+push triple-remoto de los 6 documentos (BLINDADA-29), para anclar todo este trabajo antes de tocar secretos.
+- 🟡 **B** — Arrancar la **Ola 2** de rotación por §A (passphrase MCP) + §B (Vaultwarden) siguiendo el runbook; te acompaño paso a paso.
+- ⚪ **C** — Pausar aquí; los documentos ya están reconciliados y consistentes.