feat(episode): TRAZA_r7seccion1t1-tu-delegacin-materializada_S20260814.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: AEGIS | Type: chronicle
Summary: EPISODIO 1 — Vaultwarden: [R7.seccion1.T1] Tu delegación, materializada

episodes/TRAZA_r7seccion1t1-tu-delegacin-materializada_S20260814.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,38 @@
+---
+episode_id: "8fcf67e2-f6fa-40b2-a9b2-0eba9c49d1bf"
+puente_flat: "TRAZA_r7seccion1t1-tu-delegacin-materializada_S20260814.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260814.SHERPA_CLONACION_SERVIDOR"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "AEGIS"
+fase_proyecto: "operations"
+tipo_semantico: "chronicle"
+summary_one_line: "EPISODIO 1 — Vaultwarden: [R7.seccion1.T1] Tu delegación, materializada"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-08-15T04:21:33.501677+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+**Sesión 1 del plan: EJECUTADA y el oráculo del pre-commit la aprobó.** Commit `677f764b` — 64 archivos, 3.602 líneas — en los 3 remotos. El clonador volvió a tener entrada.
+
+## [R7.seccion1.T1] Tu delegación, materializada
+
+| Decisión | Resuelta como |
+|---|---|
+| P-1 VM de ensayo | VM de nube por horas, Ubuntu 24.04, ≥16GiB/80GB — **la compra sigue siendo tuya** (es lo único que no puedo hacer por ti) |
+| P-2 Cortafuegos | **El clon nace endurecido** — tu mandato lo ratifica: la ausencia de cortafuegos del origen es EL error que no se clona (nueva tarea T-18) |
+| P-3 Claves externas | Al promover, no en el ensayo |
+| P-4 Red aislada | Realidad de 4 redes + corrección documental; aislamiento como ítem futuro |
+| P-5 Repos espejo | Nacen vacíos |
+
+Y tu mandato "mejorar todo lo mejorable" quedó **acotado con política** en el plan (para que no degenere en alcance infinito): una mejora entra si no toca el origen sin GO, no rompe la paridad antes de la línea base, y cierra un defecto documentado o medido.
+
+## [R7.seccion2.I1] Lo que la Sesión 1 encontró y arregló
+
+1. **El 38→40 explicado y cerrado:** 4 proyectos vivían fuera de las rutas que el exportador barre (`ember-analysis` + crawl4ai/hound/scrapegraph en `/opt/search-stack`). Dos bases nuevas en `COMPOSE_BASES` y el export fresco capturó **40 de 40** (verificado, con re-calibración de mi propio instrumento: el primer chequeo dio un falso 0/40 por un prefijo omitido — la lección O-9 del plan, aplicada a mí mismo el primer día).
+2. **Hallazgo sistémico de seguridad:** el origen lleva **secretos hardcodeados en ~15 stacks** (langfuse, karakeep, forgejo, crowdsec, n8n×2, nextcloud, umami, paperless, vaultwarden…). Mi escáner de prefijos vio 2; **el pre-commit hook del repo, por entropía, bloqueó el commit dos veces y reveló el resto**. Redactor a ciegas de valores en 2 pasadas: **75 redacciones en 22+ archivos** — y la pasada 2 existió porque mi lista de exclusión para puertos abría una evasión a valores que empiezan por dígito (la lección de tu memoria "estrechar un detector abre falsos negativos", cazada en vivo). El bundle versionado está limpio **según el oráculo más duro disponible**.
+3. **Mejora estructural (T-19):** el exportador ganó la fase `7.5 Sanitización anti-fuga` con oráculo de secreto plantado — los exports futuros nacen limpios.
+4. **`bundle-latest/` + `MANIFEST_BUNDLE.yaml` versionados** — la fuente de los números del oráculo del clon ya existe en el repo.