feat(episode): BACKFILL_q-cola-pending-memory-push-from-local-idx5_S20260423.INST16948_XX.bkf.0.warm_qdr.orphan.in.cc.es.000.BKF_J.757B3_E.B94-F

Skill: FORJA | Type: chronicle
Summary: ## 🔧 Bypass propuesto: filesystem directo + `occ files:scan`  Ruta que evita HTT

episodes/BACKFILL_q-cola-pending-memory-push-from-local-idx5_S20260423.INST16948_XX.bkf.0.warm_qdr.orphan.in.cc.es.000.BKF_J.757B3_E.B94-F.md

@@ -0,0 +1,58 @@
+---
+episode_id: "757b3b94-fb33-5e6d-a4a6-467b6e5d66fd"
+puente_flat: "BACKFILL_q-cola-pending-memory-push-from-local-idx5_S20260423.INST16948_XX.bkf.0.warm_qdr.orphan.in.cc.es.000.BKF_J.757B3_E.B94-F"
+session_code: "S20260423.INST16948"
+acto_dialogico: "informar"
+actor_flujo: "ember_internal"
+criticidad_aegis: "moderate"
+skill_dominante: "FORJA"
+fase_proyecto: "maintenance"
+tipo_semantico: "chronicle"
+summary_one_line: "## 🔧 Bypass propuesto: filesystem directo + `occ files:scan`  Ruta que evita HTTP/Cloudflare completamente:  ``` docker cp staging/*.md  →  nextcloud:/var/www/html/data/ember/files/EMBER/ docker exec"
+source_type: "claude_code"
+trust_boundary: "default"
+created_at: "2026-04-24T04:39:36.461972+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+## 🔧 Bypass propuesto: filesystem directo + `occ files:scan`
+
+Ruta que evita HTTP/Cloudflare completamente:
+
+```
+docker cp staging/*.md  →  nextcloud:/var/www/html/data/ember/files/EMBER/
+docker exec mkdir CHRONICLES/
+docker cp chronicle     →  nextcloud:/var/www/html/data/ember/files/EMBER/CHRONICLES/
+docker exec chown www-data:www-data (para que Nextcloud los acepte)
+docker exec occ files:scan (indexación canónica Nextcloud)
+```
+
+**NARRATE — Bypass filesystem:**
+
+- **QUÉ:** Copiar los 3 `.md` desde staging al filesystem interno del container Nextcloud vía `docker cp`, normalizar ownership a `www-data:www-data`, y ejecutar `occ files:scan` para que Nextcloud indexe los archivos en su base de datos.
+- **POR QUÉ:** Cloudflare bloquea cualquier upload por HTTP con un anti-bot challenge, así que HTTP PUT/WebDAV queda vetado hasta resolver Cloudflare. El filesystem directo es la ruta canónica oficial de Nextcloud para casos de import masivo o migración.
+- **CÓMO FUNCIONA:** `docker cp` transfiere bytes directo al rootfs del container (usando el Docker daemon, no red). `occ` es la CLI oficial de Nextcloud (`Open Console Commander`) que vive en `/var/www/html/occ`; `files:scan` recorre el filesystem del usuario, detecta archivos nuevos/modificados, calcula el ETag/checksum, y escribe entries en la tabla `oc_filecache` de la DB Postgres — esto hace que aparezcan en la Web UI y en la API WebDAV (cuando Cloudflare se resuelva).
+- **QUÉ ESPERAR:** 3 archivos visibles vía `ls` dentro del container, `occ files:scan` reporta "3 files scanned", y un `docker exec nextcloud ls -la data/ember/files/EMBER/` los muestra con owner `www-data`. Cuando resuelvas Cloudflare, `nc_file_read` los encontrará inmediatamente sin re-scan.
+
+¿Ejecuto el bypass ahora? Es reversible (`docker exec rm` si algo sale mal), y colateral: anota que Cloudflare tiene una rule activa que conviene revisar aparte (fuera de esta sesión).
+
+📁 BITÁCORA S20260423.INST36032.R4:
+  ⚡ BASH ssh_exec mkdir EMBER_STAGING + nc-list CHRONICLES (pre-flight)
+  ⚡ SFTP sftp_upload × 3 → staging (34.6 + 75.5 + 54.5 = 164.6 KB OK)
+  ⚡ BASH ssh_exec nc-upload × 3 + MKCOL + nc-list → **3× HTTP 403 + MKCOL 403**
+  ⚡ BASH ssh_exec diagnostic PROPFIND + HEAD + docker logs + CrowdSec → **cf-mitigated: challenge**
+  🔍 RCA identificada: Cloudflare anti-bot bloquea WebDAV público
+  🗑️ staging intact (retry-ready) + 0 archivos en Nextcloud
+
+<!-- PHI_GOLDEN:v3
+NAME: "Discovery Cloudflare bloquea WebDAV — bypass filesystem propuesto"
+RUMBO: Ejecuté plan D v2: SFTP staging × 3 OK, pero los 3 nc-upload + MKCOL devolvieron HTTP 403. Diagnóstico PROPFIND/HEAD reveló server: cloudflare + cf-mitigated: challenge — es Cloudflare anti-bot interceptando, no Nextcloud ni CrowdSec. Además descubrí bug silencioso en nc-upload.sh (imprime "éxito" sin verificar HTTP code). Propuesto bypass vía docker cp + occ files:scan (evita HTTP completamente). Pendiente confirmación de John para ejecutar bypass + decidir si abrimos un fix separado de la rule Cloudflare.
+SKILLS: COMPASS, GAUGE, CODEX, FORENSE (diagnóstico RCA), FORJA (ops-servidor)
+REFS: /home/johnember/stacks/nextcloud/nc-upload.sh | docker container nextcloud | Cloudflare response headers cf-mitigated
+NEXT: [CRITICAL] John aprueba bypass docker cp + occ files:scan ahora | [NORMAL] abrir ticket separado para revisar rule Cloudflare anti-bot en nube.brasaluz.com | [NORMAL] fix bug en nc-upload.sh (verificar HTTP code antes de "éxito") | [OPCIONAL] actualizar INFRA_MANIFEST con flag Cloudflare bloquea WebDAV (deuda técnica)
+DE: 5
+-->
+
+⛽ 🟢 ~905K | 📋 S20260423.INST36032.R4 | routing: L1 FORENSE (RCA Cloudflare) + FORJA (bypass) | pcrp: none
+[META] tokens=1361 | lexicon=[brasaluz.com, Nextcloud, MEMORIA, PostgreSQL, CrowdSec, COMPASS, Docker, Ember] | hope_ns=0.87 | tier=hot | tools=[READ, BASH, MCP, WEB]