feat(episode): TRAZA_para-john-r1_S20260616.R22_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 22 — Vaultwarden: 📍 PARA JOHN — R1

episodes/TRAZA_para-john-r1_S20260616.R22_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,43 @@
+---
+episode_id: "167cb829-632c-4467-96c9-e7f21868e219"
+puente_flat: "TRAZA_para-john-r1_S20260616.R22_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260616.LOOP_WRITE_BACKLOG_DISCARD"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 22 — Vaultwarden: 📍 PARA JOHN — R1"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-06-17T21:21:02.745093+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+Mientras el workflow diseña el roadmap curado, te adelanto el **esqueleto** que ya veo (para que vayas reaccionando) — y respondo tus 2 ejemplos en una frase cada uno:
+
+- **Tu #1 (almacenamiento con técnica adecuada):** la cura es **estandarizar a pocos patrones canónicos + cifrado + sacar el plaintext** de `MEMORY.md`/`config.yaml`. Hoy conviven 5 patrones por acumulación; excelencia = 1-2 patrones decididos por tipo de secreto.
+- **Tu #2 (almacén central coordinado y consultable seguro):** la decisión arquitectónica grande. Mi opinión firme **para un operador solo**: HashiCorp Vault es *overkill*. Lo realista es una de: **(a)** Vaultwarden ya desplegado, consultado programáticamente por su CLI/API; **(b)** **SOPS+age** (secretos cifrados, git-friendly, encaja con tu ecosistema git-céntrico); **(c)** **Docker file-secrets** en todos los stacks (ya lo usa `ember-cc-server`). El workflow las pesa y recomienda una con rationale.
+
+**El arco del plan** que la síntesis va a ordenar en fases:
+- **P0 urgente:** la key OpenAI VIVA + el plaintext de keys en `MEMORY.md` (lo que toda instancia lee al boot).
+- **P1 fundacional:** decidir el almacén central + inventario exhaustivo verificado + SSoT única.
+- **P2 endurecimiento:** cifrado-at-rest, file-secrets, audit trail JSONL, prevención de nuevos hardcoded.
+- **P3 excelencia:** liveness automatizado, política de rotación con cadencia/TTL, runbook de incidente + rollback parcial.
+
+El **crítico adversarial** está cazando el gold-plating para entregarte el *camino mínimo a la excelencia*, no la versión-empresa. Te traigo el roadmap completo + curado cuando vuelva.
+
+### 📍 PARA JOHN — R1
+- **Hice:** lancé un workflow D-ARCH (4 arquitectos + síntesis por fases + crítico anti-sobre-ingeniería) para diseñar el roadmap de secretos a la excelencia, anclado en la tríada de docs + INFRA_MANIFEST.
+- **Falta:** el roadmap curado (llega por notificación) + tu decisión sobre el almacén central. Y sigue abierto el 🔴 CRÍTICO independiente: **la key OpenAI viva** (tu revocación).
+- **Mi consejo:** mientras llega, dime tu inclinación sobre el almacén central (¿te atrae Vaultwarden ya-desplegado, SOPS+age git-friendly, o file-secrets?) — así curo el roadmap alineado a tu preferencia, no a la mía.
+- **¿Cómo seguimos?** Espero el roadmap + tu inclinación del almacén; el P0 (key OpenAI) lo puedes disparar en paralelo cuando quieras.
+
+📌 **PILA-PENDIENTES (R1)**
+- 🔴 CRITICAL — key OpenAI VIVA (HTTP 200) → rotar [John en OpenAI, independiente del plan]
+- 🔴 CRITICAL — roadmap secretos→excelencia (workflow `wtzi4ykea` corriendo)
+- 🟠 HIGH — decidir almacén central (Vaultwarden / SOPS+age / file-secrets)
+- 🟡 MEDIUM — commitear los docs nuevos (cuento + taxonomía + audit) BLINDADA-29
+- ✅ RESUELTAS — tríada exemplar secretos · verificación bombazos · rotación plex · Fase C