feat(episode): TRAZA_lo-que-no-cambia_S20260728.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 2 — ember_experience: Lo que no cambia

episodes/TRAZA_lo-que-no-cambia_S20260728.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,49 @@
+---
+episode_id: "add6e46b-1936-4766-9f69-7f6492a10840"
+puente_flat: "TRAZA_lo-que-no-cambia_S20260728.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260728.REINGESTA_CRISOL_FUGAS"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 2 — ember_experience: Lo que no cambia"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-07-29T01:57:30.318036+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+**Dónde sí encajaría:** si algún día expones una búsqueda pública desde el borde, Vectorize vive donde vive el tráfico y evita exponer el servidor MEMORIA. Complemento de borde, sí. Sustituto de Qdrant, no.
+
+## Lo que no cambia
+
+Ninguna de las dos cosas cierra el bypass del origen. Ese arreglo vive en el servidor MEMORIA y se hace por SSH, que ya tengo.
+
+**Mi recomendación se mantiene y ahora está mejor respaldada: token acotado, servidores específicos, y cerrar el origen primero.**
+
+Sigue en pie la pregunta que te hice: **¿cuánto alcance me delegas sobre la cuenta que gobierna tus dominios?**
+
+🔴 **CRITICAL** · `G-001` Bypass del origen — esperando J-1 y J-2
+🟠 **HIGH** · `D-004` Alcance del acceso a Cloudflare — recomendación reforzada
+🟡 **MEDIUM** · `V-001` **Nuevo:** verificar si el límite de Vectorize se cuenta en dimensiones o en vectores
+🟡 **MEDIUM** · `B-005` **Nuevo:** el gate verify-first no reconoce la herramienta Read, solo `cat`/`head`. Mismo patrón que el defecto de ayer
+🟡 **MEDIUM** · `T-002` Commit + push del arco · `B-002`/`B-003`/`B-004` detectores
+
+### 📁 BITÁCORA S20260728.REINGESTA_CRISOL_FUGAS.R14
+
+🌐 WEB ×6 → repos oficiales Apache-2.0, servidores remotos, tokens por servidor
+🆕 WRITE `docs/EVALUACION_S20260728_cloudflare_mcp_y_vectorize.md`
+⚡ BASH Qdrant → **dim=3072** en las 3 colecciones medidas (era suposición de 768)
+🔍 VERIFY `head` del documento (el gate no acepta Read)
+✏️ EDIT evaluación → medición + incertidumbre de unidad declarada
+
+**Hice:** revisé los ocho enlaces, medí la dimensión real en vez de suponerla, y separé las dos conclusiones opuestas.
+
+**Falta:** tu respuesta sobre el alcance, y los dos clics del origen.
+
+**Mi consejo:** token acotado con servidores específicos. Y no dejes que la exploración de plataforma desplace el agujero medido: llevamos cuatro turnos analizando mientras el bypass sigue abierto.
+
+**Para avanzar:** **"token"** o **"oauth"**, y **"J1 hecho"** con el modo de cifrado.