feat(episode): TRAZA_el-manifiesto-ya-no-miente_S20260727.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: advisory
Summary: EPISODIO 1 — MNEMO_PRE_DIGEST: El manifiesto ya no miente

episodes/TRAZA_el-manifiesto-ya-no-miente_S20260727.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,41 @@
+---
+episode_id: "1fcdea76-bd74-4607-8182-5a7c43565808"
+puente_flat: "TRAZA_el-manifiesto-ya-no-miente_S20260727.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260727.ARCO_CICLO4_AUTOMEJORA"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "advisory"
+summary_one_line: "EPISODIO 1 — MNEMO_PRE_DIGEST: El manifiesto ya no miente"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-07-27T06:32:30.653347+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+Manifiesto corregido y verificado. Y de paso encontré algo que merece tu atención.
+
+## El manifiesto ya no miente
+
+`INFRA_MANIFEST.yaml:1607` decía `ufw: "deny incoming, 5 ports"`. Ahora dice **`🔴 NO EXISTE`**, y añadí cuatro claves nuevas: la ausencia del cortafuegos de nube (con el método de medición), la única regla real que hay, el estado del bypass del origen, y un aviso explícito para instancias futuras que las manda al documento canónico antes de razonar sobre exposición de red.
+
+**Verificado, no declarado:** el YAML parsea (27 claves de primer nivel), hay **cero asignaciones** con el valor falso, y un consumidor del fichero ahora lee `🔴 NO EXISTE`. La cadena vieja aparece una sola vez, **dentro** del texto nuevo, citada a propósito para que se vea qué se corrigió.
+
+Una corrección de método sobre mí mismo: escribí el criterio de éxito como "0 coincidencias de la cadena vieja" y salió 1. El criterio estaba mal formulado —confundía *citar* con *asignar*—, así que lo re-verifiqué distinguiendo ambas cosas en vez de dar por buena una respuesta que me convenía.
+
+Seguí el procedimiento del cerrojo completo: presencia declarada, respaldo (`INFRA_MANIFEST.yaml.bak_pre_fix_ufw_S20260727`), flag firmado con marca de tiempo dinámica, edición, verificación, y **flag eliminado** — un permiso sin consumir es una autorización viva colgando.
+
+## Lo que encontré de paso: el guardián de ayer no separa instancias de hoy
+
+Mi declaración de presencia **desapareció**. En su lugar hay otra tarea, con **mi mismo código de sesión**, que yo no hice.
+
+La causa: `get_instance_tag()` devuelve `'ARCO_CICLO4_AUTOMEJORA'` — el nombre del **arco**, no de la instancia. Y el guard de Ley Zero compara así:
+
+Con un flag firmado `S20260727.ARCO_CICLO4_AUTOMEJORA` y una instancia que se identifica como `ARCO_CICLO4_AUTOMEJORA`, la comparación **da verdadero para cualquier instancia del mismo arco**.
+
+Ese guard se construyó **hoy**, y su propio comentario dice que existe para que la autorización deje de ser *"un permiso al portador"*. Y lo consiguió a medias: **sí** bloquea un flag de otro arco o de otra fecha —su prueba lo demuestra—, pero **no** separa dos instancias concurrentes del mismo arco, que es justo el escenario de concurrencia que lo motivó. Mide el arco, no la instancia.
+
+La evidencia de que eso pasa de verdad, no en teoría: mi declaración fue sustituida por la de otra instancia, y mis archivos preparados acabaron dentro de su commit `cc8db803`.