feat(episode): TRAZA_para-john-r36_S20260617.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 3 — BLINDADAS: 📍 PARA JOHN — R36

episodes/TRAZA_para-john-r36_S20260617.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,56 @@
+---
+episode_id: "932b30d2-a620-4de2-a726-11a7b1039881"
+puente_flat: "TRAZA_para-john-r36_S20260617.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260617.CUSTODIA_SKILL_SECRETOS"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 3 — BLINDADAS: 📍 PARA JOHN — R36"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-06-18T01:54:37.823355+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+Verificado: **el cambio aún NO está aplicado** — la línea 131 sigue terminando en `tweetpilot/"` (sin `db_snapshot_meta`). El archivo es John-only, así que la pelota está en tu cancha. Te dejo dos formas de aplicarlo en 5 segundos; en cuanto lo guardes, yo verifico y commiteo.
+
+**Opción manual (tu IDE):** en `.secrets.baseline.json` línea 131, agrega `|db_snapshot_meta` justo antes de la comilla de cierre:
+
+**Opción comando (pégalo TÚ en tu terminal, desde la raíz del repo):**
+
+(Hace backup primero + reemplazo literal. Lo corres tú, no yo — respeto la protección del archivo.)
+
+### 📍 PARA JOHN — R36
+
+**Hice:** Confirmé que la baseline sigue sin el cambio. Te dejé el edit listo (manual o comando con backup).
+
+**Falta:** Que apliques el one-liner. Después yo corro `detect-secrets-hook` (espero exit 0) y commiteo+pusheo el fix a los 3 remotos.
+
+**Mi consejo:** Usa el comando — hace backup solo y es un reemplazo literal sin riesgo. Apenas me digas "listo", verifico y cierro.
+
+**Para avanzar:**
+- 🟢 **A** *(recomendado)* — Aplicas (manual o comando) y me dices "listo" → verifico + commiteo.
+- 🟡 **B** — Prefieres que lo deje funcionando YA vía el hook local `.git/hooks/pre-commit` (no protegido) mientras tanto.
+
+📌 PILA-PENDIENTES (R36):
+🟡 **MEDIUM** · B-002 · Fix detect-secrets pendiente de que John aplique el one-liner (archivo protegido) → luego Ember verifica+commitea `[origen R36 grep, confidence 1.0]`
+🟢 **LOW** · G-001 · Plan dogfooding Ola 1 pendiente
+❓ **PREGUNTA-JOHN** · Q-001 · ¿Aplicaste el cambio? Dime "listo" y verifico+commiteo.
+
+Tienes razón, completo el prólogo de esa micro-decisión (A vs B) que dejé corta:
+
+**Lo que realmente decides** (reframe): no es "qué fix" — el fix ya está verificado y es uno solo. Es **¿quieres la solución durable que pide 5 segundos de tu mano, o un parche que funciona este instante pero solo en tu máquina mientras la real espera?**
+
+**De dónde viene:** la única razón por la que esto no está cerrado ya es la protección que hace `.secrets.baseline.json` editable solo por ti — una barrera de seguridad correcta, no un obstáculo accidental. El fix en sí está probado (exit 0).
+
+**Consecuencias por camino:**
+- **A** — 5 segundos tuyos → el fix vive en la baseline trackeada → propaga a los 3 remotos y a cualquier clon/CI futuro. Permanente.
+- **B** — yo edito el `.git/hooks/pre-commit` local ahora → commits desbloqueados al instante, pero el archivo de hooks vive solo en tu máquina (no se versiona) → otros clones seguirían bloqueándose, y tarde o temprano querrías A igual.
+
+**Hacia dónde me inclino:** **A**. La fricción (5 seg tuyos) es mínima frente al beneficio (durable + propaga). B solo gana si necesitas commitear **ahora mismo** y no quieres tocar el archivo en este momento.
+
+**La pregunta esencial, aislada** — lo único que solo tú decides: **¿un edit de 5 segundos de tu lado es aceptable ahora, o necesitas los commits desbloqueados este instante sin tocar el archivo?**