feat(episode): TRAZA_diagnstico-final-de-los-2-verifyfirst-lo_S20260617.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 1 — BLINDADAS: Diagnóstico final de los 2 verify_first (lo que pediste

episodes/TRAZA_diagnstico-final-de-los-2-verifyfirst-lo_S20260617.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,43 @@
+---
+episode_id: "e1a7cdfa-f590-45d5-b145-9e3a0dc2511e"
+puente_flat: "TRAZA_diagnstico-final-de-los-2-verifyfirst-lo_S20260617.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260617.PIPELINE_FIXES"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 1 — BLINDADAS: Diagnóstico final de los 2 verify_first (lo que pediste ante"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-06-18T02:12:09.925392+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+✅ **El push recuperó** — fue un blip de DNS transitorio (nslookup seguía con timeout, pero git resolvió al reintentar). `50f9bac` ahora respaldado triple-remoto (forgejo + origin + sriyantra). **Fix 1 (count_73) cerrado y respaldado.**
+
+## Diagnóstico final de los 2 verify_first (lo que pediste antes de tocar)
+
+**Veredicto: tests STALE, NO bug.** Evidencia:
+- Los hooks `mega-hook-verify-first.py` / `mega-hook-test-before-fix.py` **existen y funcionan** — el código de deny (línea 458) es *exactamente* el mensaje "VERIFY-FIRST GATE artefacto 4" que me bloqueó a mí sobre INFRA_MANIFEST este sesión.
+- Los hooks se **refactorizaron S20260615**: el read-tracking pasó a archivos `.passport_reads_<session_id>.json` (escritos por `mega-hook-read.py`), y los **archivos nuevos/inexistentes se permiten** (línea 438: "Write y archivo no existe → creación nueva, OK").
+- Los tests (escritos para el diseño viejo S20260503) usan **paths sintéticos inexistentes** (`/home/test_d1/target1.py`) → el hook los permite → esperan `deny`, reciben `allow`.
+
+O sea: el gate protege archivos reales (probado en vivo), pero los tests lo prueban con paths fantasma que el diseño nuevo permite. Son tests desfasados, no un gate debilitado.
+
+### El residual real
+Estos gates **críticos de seguridad** (los que protegen D3) quedaron **sin cobertura de test funcional** para su diseño actual — mismo RELOJ-AP4 que cerramos en el cross-validation. Arreglarlos bien = reescribir los fixtures para usar archivos temp REALES + simular el passport_reads, contra el diseño S20260615.
+
+### 📍 PARA JOHN — R44
+**Hice:** arreglé y respaldé `count_71→73` (50f9bac, triple-remoto tras recuperar un blip DNS) + diagnostiqué los 2 verify_first leyendo hook vs test → **stale confirmado** (paths fantasma vs diseño nuevo; gates sanos).
+
+**Falta:** decidir qué hacer con los 2 tests stale de verify_first. No los toqué (pediste diagnosticar primero).
+
+**Mi consejo:** vale la pena arreglarlos bien — son los tests de los gates que protegen tus archivos D3, y ahora mismo están rojos+desfasados (cero cobertura real). Pero es trabajo de cuidado (reescribir fixtures contra el diseño passport_reads S20260615), no un one-liner.
+
+**Para avanzar, elegí:**
+- 🟢 **A** *(recomendado)* — Reescribo los 2 tests contra el diseño actual: fixture con archivo temp REAL → Edit sin leer → `deny`; luego simulo read (passport_reads) → `allow`. Tests verdes que de verdad ejercitan el gate. Commit triple-remoto.
+- 🟡 **B** — Los marco `@pytest.mark.xfail(reason="diseño S20260615 passport_reads; test S20260503 obsoleto")` — honesto y rápido, suite verde, pero sin cobertura nueva.
+- ⚪ **C** — Los dejo rojos documentados; cerramos acá.