feat(episode): TRAZA_para-john-r1_S20260616.R20_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 20 — Vaultwarden: 📍 PARA JOHN — R1

episodes/TRAZA_para-john-r1_S20260616.R20_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,33 @@
+---
+episode_id: "2f7f3342-24b0-4cad-811d-a8a15fae63cc"
+puente_flat: "TRAZA_para-john-r1_S20260616.R20_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260616.LOOP_WRITE_BACKLOG_DISCARD"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 20 — Vaultwarden: 📍 PARA JOHN — R1"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-06-17T21:21:02.682183+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+### 📍 PARA JOHN — R1
+- **Hice:** verifiqué empíricamente ambos bombazos. Vaultwarden = silo personal (no urgente). **La key OpenAI está VIVA (HTTP 200) en `litellm/config.yaml`** — incidente CRÍTICO real, confirmado.
+- **La historia de la decisión:** elegiste verificar antes de seguir — y bien que sí: hay una credencial de facturación viva expuesta. La rotación es tuya (cuenta OpenAI), pero el lado servidor (config + git + inertizar) es mío.
+- **Mi consejo:** **atender esto ahora**, es lo responsable — una key de facturación viva expuesta 2 meses no debería esperar al skill matriz. Flujo: tú **revocas/rotas en `platform.openai.com`** (1 min), yo **actualizo `litellm/config.yaml` con la nueva + verifico si está en los 3 repos git + dejo la vieja inerte + reinicio LiteLLM**. Luego seguimos al skill matriz con tranquilidad.
+- **Para avanzar, elige:**
+  - 🟢 **A (recomendado):** rotamos la key OpenAI YA (tú revocas en OpenAI, yo hago el lado servidor) → luego skill matriz.
+  - 🟡 **B:** documento el hallazgo como hard_fact y agendas la rotación tú aparte; seguimos al skill matriz ahora.
+  - ⚪ **C:** primero profundizo el blast-radius (¿`config.yaml` está en los 3 repos git? ¿qué otras keys vivas hay en él?) para que rotes todo de una.
+
+📌 **PILA-PENDIENTES (R1)**
+- 🔴 CRITICAL — **key OpenAI VIVA expuesta en `litellm/config.yaml`** (HTTP 200, ~2 meses) → rotar [requiere John en OpenAI]
+- 🔴 CRITICAL — diseñar skill matriz (molde = 18 dimensiones)
+- 🟠 HIGH — decidir rol de Vaultwarden (¿migrar secretos de servicio a él?) + completar inventario
+- 🟡 MEDIUM — SEC-D2/D3 hardcoded · blast-radius/liveness/audit por secreto
+- ✅ RESUELTAS (verificadas) — Vaultwarden=silo personal · taxonomía 18-dim · SEC-D1 · rotación plex · Fase C