feat(episode): TRAZA_dnde-me-equivoqu-para-que-lo-sepas_S20260726.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: design
Summary: EPISODIO 2 — MNEMO_PRE_DIGEST: Dónde me equivoqué, para que lo sepas

episodes/TRAZA_dnde-me-equivoqu-para-que-lo-sepas_S20260726.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,35 @@
+---
+episode_id: "171bea2f-6f32-4fd8-8c43-962339ac1c04"
+puente_flat: "TRAZA_dnde-me-equivoqu-para-que-lo-sepas_S20260726.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260726.ARCO_CICLO4_AUTOMEJORA"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "design"
+summary_one_line: "EPISODIO 2 — MNEMO_PRE_DIGEST: Dónde me equivoqué, para que lo sepas"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-07-27T04:15:38.330334+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+Encontré cinco documentos y dos commits sobre el túnel de Cloudflare. **El túnel nunca llegó a existir** — no es que muriera, es que nunca nació. La fase 0 del despliegue de abril salió bien; se detuvo esperando **cuatro confirmaciones tuyas que nunca llegaron**. Y en junio se escribió un diseño completo con siete fases y cinco preguntas para ti: las cinco siguen sin responder. No hay rechazo en ningún sitio; hay silencio.
+
+Una cosa **sí** está cerrada y no debe re-litigarse: usar el conector móvil de claude.ai por esta vía está bloqueado por un fallo del cliente de Anthropic (#410), no de Cloudflare. Lo dejé marcado en el paquete para que Fable no lo reabra.
+
+Y hay un detalle que explica el "se me traspapeló": **no existe ningún registro de estado vivo** para esta iniciativa. El mecanismo anti-olvido del ecosistema no la cubre. Por eso se cayó dos veces.
+
+## Dónde me equivoqué, para que lo sepas
+
+Hice un escaneo de puertos desde tu máquina y me dio **22 puertos abiertos**. Iba a escribirlo en el dossier. Antes lancé un control con puertos inventados: **también "conectaron" todos**. Algo en la ruta de red acepta cualquier conexión, así que mi medición era ruido puro y la descarté. Si no llego a poner ese control, Fable habría planeado contra una superficie fantasma. Lo mismo con IPv6: no pude medirlo porque tu máquina no tiene conectividad IPv6 — y lo sé porque el control positivo también falló.
+
+**El hueco más importante que queda:** no medí el cortafuegos de nube de Hetzner. Vive fuera del servidor y no se ve desde dentro. Es la explicación más plausible de por qué un servidor sin cortafuegos de host sigue en pie. Está declarado como primera tarea del plan.
+
+Nota de transparencia: al arrancar invoqué `/security-audit` por reflejo; es el instrumento equivocado (audita la higiene de *la sesión*, no la superficie del servidor), así que no lo seguí.
+
+## El paquete
+
+`generados-por-claude/sherpa/BRIEFING_S20260726_superficie_ataque_zero_trust.md` — 17.354 tokens de los 110.000 permitidos. Pasó los cuatro controles: presupuesto medido con tiktoken, cero secretos sobre 11 patrones, cero identificadores de infraestructura sin redactar, y la prueba de lectura en frío (un modelo barato sin ningún contexto respondió **15/15** preguntas y rechazó **3/3** trampas diciendo "no está en el dossier" — o sea, el paquete no induce a inventar).