feat(episode): TRAZA_push-done-commit-7cdf7d6-triple-remoto_S20260621.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 3 — BLINDADAS: ✅✅ **Push DONE: commit `7cdf7d6` triple-remoto (exit=0 ×

episodes/TRAZA_push-done-commit-7cdf7d6-triple-remoto_S20260621.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,22 @@
+---
+episode_id: "b0adc09f-1a1e-4a08-b353-d6b89eaa620b"
+puente_flat: "TRAZA_push-done-commit-7cdf7d6-triple-remoto_S20260621.R3_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260621.CRONICA_SEMANAL_C15"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 3 — BLINDADAS: ✅✅ **Push DONE: commit `7cdf7d6` triple-remoto (exit=0 ×3)**"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-06-22T02:04:50.312733+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+✅✅ **Push DONE: commit `7cdf7d6` triple-remoto (exit=0 ×3)** — guardrail completo persistido (hook + REGLA doc + registro settings.json + baseline line-sync). El blocker resultó benigno: la baseline solo necesitaba re-sincronizar line-numbers (mi edit las corrió +4); los secretos ya estaban baselined. ## Estado de los 3 pendientes
+1. ✅ **Push triple-remoto** — hecho (7cdf7d6). 2. ✅ **Fix frase MAPA** — moot (no había "basura" en el doc; ya dice correctamente "episode_id NO sirve para join". La REGLA doc lo cubre). 3. ⏸️ **Sync INFRA_MANIFEST** — ver decisión abajo. ## 🚨 Hallazgo de seguridad (lo encontré al destrabar el push — lo elevo)
+En `.claude/settings.json` (trackeado, en los 3 remotos) hay **4 credenciales reales en texto plano** en los configs MCP: `NEO4J_PASSWORD` (L506), `MEILI_MASTER_KEY` (L542), `KARAKEEP_API_KEY` (L550), `PAPERLESS_API_KEY` (L562). *(No re-imprimo los valores — el pipeline ingiere mis respuestas.)* Están **en la baseline de detect-secrets** = conocidas/aceptadas (deuda asumida), no nuevas — pero son creds vivas en git history de 3 remotos. **Recomendación CUSTODIA:** rotar las 4 + moverlas a env/secret-ref (sacarlas del archivo trackeado). Es dominio CUSTODIA + decisión tuya de rotación; lo dejo flagueado, no lo toco unilateralmente. ## 📖 Decisión: INFRA_MANIFEST sync (el 3er pendiente)
+**Reframe:** no es "¿lo sincronizo?" — es *cuándo*: ahora (rushed) o en el sprint dedicado que ya existe. **Historia:** el cross-validation marca settings.json (80) vs INFRA_MANIFEST hooks_active (77) — 3 hooks drift (mi cross-store-guard + 2 pre-existentes). Pero el propio INFRA_MANIFEST **difiere este sync 4 veces** ("pending sync formal, sprint dedicated future" — líneas 593/610/626/633): la sección `hooks_active` es YAML estructurado (purpose+zone por hook por evento), y el equipo decidió hacerlo en sprint dedicado, no parcial.