feat(episode): TRAZA_diagnstico-qu-pas-de-verdad_S20260626.R4_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 4 — brasaluz.com: 🩺 Diagnóstico (qué pasó de verdad)

episodes/TRAZA_diagnstico-qu-pas-de-verdad_S20260626.R4_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,45 @@
+---
+episode_id: "9e8bc6b9-fa7a-4dd3-8029-40cff651375e"
+puente_flat: "TRAZA_diagnstico-qu-pas-de-verdad_S20260626.R4_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260626.PIPELINE_FIXES"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 4 — brasaluz.com: 🩺 Diagnóstico (qué pasó de verdad)"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-06-27T04:39:09.772834+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+¡Buen ojo! Eso que salió **NO es un fallo tuyo — es un dato valioso** y me alegra que pasara, porque revela algo y de paso te enseño a leer estos errores. 🔍
+
+## 🩺 Diagnóstico (qué pasó de verdad)
+
+El archivo `docker-compose.yml` es **propiedad de `root`** (el superusuario), no tuya. Tú puedes **leerlo** pero no **escribirlo**. Por eso `cp` y `sed` fueron rechazados.
+
+⚠️ **Importante — la trampa:** la última línea mostró `pk-lf-<NUEVA>` / `sk-lf-<NUEVA>` y *parecía* que funcionó. **Pero no.** Esa línea solo enmascara lo que hay en el archivo, y como las llaves vieja y nueva **ambas** empiezan con `pk-lf-`, el enmascarado las hace ver iguales. **El archivo sigue con las llaves VIEJAS — no cambió nada.** (Lección de maestro: un enmascarado puede ocultar un fallo. Por eso ahora verificamos con los **últimos 4 caracteres**, que sí distinguen vieja de nueva.)
+
+Cero daño hecho. Solo repetimos bien. 🎵
+
+## 👉 Sub-paso 2 (corregido) — pega este bloque completo
+
+Esta vez le pasamos las llaves a `root` **por una tubería interna** (no por el comando), así que **no quedan en ningún registro (`sudo` log)** ni en pantalla:
+
+### Qué hace (en cristiano):
+- `read -rs` → te pide las llaves, **invisibles**, fuera del historial.
+- `printf ... | sudo python3 -c '...'` → le entrega las llaves a `root` **por la tubería `|`** (no por el comando), y un mini-programa Python hace: **backup con fecha** → reemplaza las 2 líneas → guarda. Como `root` sí puede escribir el archivo, esta vez **sí funciona**.
+- Al final imprime los **últimos 4 caracteres** de cada llave que quedó en el archivo.
+
+## 🛡️ Verificación (la de verdad esta vez)
+Cuando termine, verás algo como:
+
+**Compara TÚ esos 4 caracteres con los de tus llaves nuevas** (las de tu bloc de notas). 
+- Si **coinciden los dos** → el cambio tomó. Dime **"coinciden"** (no me pegues los caracteres) y vamos al sub-paso 3 (recrear LiteLLM + verificar).
+- Si ves `Permission denied`, `sudo: ...` u otra cosa → pégamelo y lo resolvemos.
+
+⛽ 🟢 GREEN ~860K | Langfuse GUARDAR: file root-owned → sudo+python por tubería (sin leak) · verificación por últimos-4