feat(episode): TRAZA_r7-escner-de-secretos-ve-6-formas-ms_S20260924.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 1 — MEMORIA: [R7] Escáner de secretos: ve 6 formas más

episodes/TRAZA_r7-escner-de-secretos-ve-6-formas-ms_S20260924.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,43 @@
+---
+episode_id: "2e66c4ad-0ccd-4de6-bb33-5e4d49114795"
+puente_flat: "TRAZA_r7-escner-de-secretos-ve-6-formas-ms_S20260924.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260924.SIDAD7A050BC859"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 1 — MEMORIA: [R7] Escáner de secretos: ve 6 formas más"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-09-27T19:43:54.882795+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+(El aviso DLC que saltó es el mismo falso positivo de antes: se activa por la palabra «DLC-9» del mensaje de commit. Los documentos que lista no hablan del escáner.)
+
+## [R7] Escáner de secretos: ve 6 formas más
+
+**[R7.seccion1.T1] Qué cambió** (commits `54f06841` y `09572142`, en los 3 remotos):
+
+| Antes | Ahora |
+|---|---|
+| No veía claves privadas PEM, AWS, GitHub, Anthropic ni la pública de Langfuse | **Las ve las 6** |
+| Marcaba igual los datos de prueba falsos | Respeta el marcador estándar `# pragma: allowlist secret` |
+| Sin tests propios | **18 tests**, con las claves falsas construidas al ejecutar (así el escáner no se bloquea a sí mismo) |
+| La cabecera del hook y la memoria decían «no ve estas formas» | Corregidas en el mismo acto |
+
+**[R7.seccion1.I1] Qué encuentra hoy en todo el repo, medido:**
+- **Memorias: 0.**
+- **8 casos reales:** una clave pública antigua de Langfuse (`pk-lf-6972…`) que sigue escrita en 5 documentos y scripts viejos. Según tu palabra del 13, Langfuse se rotó, así que estaría muerta. No lo he verificado yo.
+- **20 falsos esperados:** los datos de prueba de los tests del detector de SHERPA y sus 4 copias de enjambre. Solo molestarían si el escáner se cableara en el pre-commit. El día que lo hagas, esos tests necesitan el marcador `pragma`.
+- **Aparte:** 191 hallazgos antiguos de los patrones de siempre, de antes de hoy y no tocados. Te lo digo porque es la razón por la que **cablear el escáner en el pre-commit (tu J13) hoy bloquearía commits**. Antes habría que limpiar eso.
+
+✅ **Hice:** 6 patrones nuevos, soporte para el marcador de datos de prueba, 18 tests, falsos positivos medidos en todo el repo y dos documentos que mentían corregidos.
+⏳ **Falta (de ti, sin prisa):**
+- ¿Borramos o dejamos la clave pública vieja de Langfuse en esos 5 documentos antiguos?
+- Tu J13 (cablear el escáner en el pre-commit) necesita antes una limpieza de los ~191 hallazgos viejos y de los tests de SHERPA.
+
+💡 **Mi consejo:** no toques el pre-commit todavía. Es mejor un plan corto de limpieza primero; si no, cada commit se bloquearía.