feat(episode): DEPURA_el-hallazgo-central_S20260616.R17_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: FORJA | Type: chronicle
Summary: EPISODIO 17 — brasaluz.com: El hallazgo central

episodes/DEPURA_el-hallazgo-central_S20260616.R17_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,34 @@
+---
+episode_id: "43b45eb2-189d-44a2-861d-8d562093abe5"
+puente_flat: "DEPURA_el-hallazgo-central_S20260616.R17_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260616.LOOP_WRITE_BACKLOG_DISCARD"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "FORJA"
+fase_proyecto: "operations"
+tipo_semantico: "chronicle"
+summary_one_line: "EPISODIO 17 — brasaluz.com: El hallazgo central"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-06-17T21:21:02.710533+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+**Dossier entregado:** [AUDIT_SISTEMA_SECRETOS_TAXONOMIA_S20260616.md](docs/AUDIT_SISTEMA_SECRETOS_TAXONOMIA_S20260616.md). Te lo resumo ejecutivamente, John — porque lo que esto revela es exactamente lo que tú intuías.
+
+## El hallazgo central
+
+Mi dossier "fresco" de ayer resultó ser **"la crónica de UNA rotación exitosa, no un sistema de gestión de secretos auditable"** (palabras de la síntesis). Las 5 lentes leyeron `INFRA_MANIFEST.yaml` + `STATE.md` y encontraron **18 dimensiones / ~50 preguntas**, de las cuales **~13 dimensiones son gap total**. Esto **prueba tu punto del Alzheimer de manera contundente**: un dossier que solo narra una operación exitosa da **falsa cobertura** — y yo iba a actuar creyendo que tenía el panorama.
+
+## 4 bombazos que yo NO sabía (workflow-sourced — pendientes de mi verificación empírica)
+
+1. 🔓 **Vaultwarden existe** — hay un **password-manager desplegado** (`vault.brasaluz.com`, ADMIN_TOKEN argon2id) en `INFRA_MANIFEST` L1219/1312 que mi dossier **ignora por completo**. ¿Es la solución canónica y los `.env` son deuda, o infra muerta? Sin esto, una instancia futura no sabe dónde guardar un secreto.
+2. 📋 **Inventario incompleto** — listé 6 secretos; faltan **≥6 vivos**: Docker file-secret anthropic, passphrase `ember_authenticate`, Vaultwarden ADMIN_TOKEN, `.restic-password`, redis, tokens Forgejo/Ghost/n8n. Y **no hay comando de enumeración**.
+3. 🚨 **Incidente CRÍTICO-AEGIS ABIERTO** — API key OpenAI `sk-proj-aDhNJlu...` expuesta **desde 2026-04-19** (disco 2× + 9% de un transcript), marcada CRÍTICO en `STATE.md` L170, **invisible en el dossier, estado de rotación desconocido**. La exposición más grave documentada, sin cerrar.
+4. 🛡️ **`ember-cc-server` ya usa Docker file-secret** (`/run/secrets/`, no visible en `printenv`) — patrón **más seguro** que el `env_file` del resto. Ya existe el patrón bueno; no se ha generalizado.
+
+## Lo que esto significa para tu visión del skill matriz
+
+Las **18 dimensiones son el molde**. El skill matriz debe exigir, para *cualquier* dominio, que el dossier responda no solo "estructura + estado" sino: inventario exhaustivo · ciclo de vida · blast-radius · seguridad transversal (reposo/tránsito/least-privilege/acceso/audit) · liveness verificable · incidente/rollback · SPOF · meta-freshness del propio doc. **Este ejercicio acaba de demostrar por qué el skill matriz importa:** la completitud forzada de preguntas es lo único que rompe el Alzheimer.