feat(episode): TRAZA_listo-lo-no-secreto-john_S20260607.R34_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: TESSERA | Type: chronicle
Summary: EPISODIO 34 — BLINDADAS: Listo lo no-secreto, John ✅:

episodes/TRAZA_listo-lo-no-secreto-john_S20260607.R34_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,55 @@
+---
+episode_id: "949bae26-7127-4515-892e-1f9c4a38b372"
+puente_flat: "TRAZA_listo-lo-no-secreto-john_S20260607.R34_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260607.MNEMO_BUG_FORENSE_MAP"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "TESSERA"
+fase_proyecto: "operations"
+tipo_semantico: "chronicle"
+summary_one_line: "EPISODIO 34 — BLINDADAS: Listo lo no-secreto, John ✅:"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-06-08T20:51:36.545149+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+Listo lo no-secreto, John ✅:
+- `config.yaml`: 3 ocurrencias OpenRouter → `os.environ/OPENROUTER_API_KEY`, **0** referencias a la key revocada.
+- `docker-compose.yml`: `env_file: .env` agregado.
+- Backups `*.bak.S20260607_OROUTER_ROTATE_*` creados (reversible).
+- **NO reinicié** litellm aún (espera tu `.env`; sin él, `os.environ` no resolvería).
+
+**Tu único paso manual** — pega esto en tu terminal de cx43 (la dir es root-owned, por eso `sudo tee`; tu key nunca toca el chat):
+
+Cuando me digas "listo", **verifico embeddings** server-side (test real al endpoint litellm) + confirmo que la ruta OpenRouter quedó sana. Rollback si algo falla: `sudo cp config.yaml.bak.S20260607_OROUTER_ROTATE_* config.yaml` + restart.
+
+**Deuda de seguridad flagged (NO tocada hoy, fuera de tu rotación):** `config.yaml` server-side tiene en texto plano la **Anthropic `sk-ant-…`**, **Google `AIzaSy…`** y **master_key `sk-ember-…`** (esta última ya en MEMORY.md como leaked). Son server-only (no en git). ¿Las migramos a env var en un sprint dedicado después, o las dejo solo anotadas?
+
+En espera de que corras el one-liner del `.env`, John. Cuando me digas "listo" verifico embeddings server-side. Y dime si las otras keys plaintext (Anthropic/Google/master_key) las migramos a env var en sprint dedicado o solo las dejo anotadas.
+
+✅ Plan entregado: `docs/PENDIENTES_EJECUTABLES_S20260607_R10.md` (~2K tokens). AEGIS-CAP ALLOW MUTATE.
+
+## Resumen denso 200K ORANGE — Qué hay por hacer
+
+**Ejecutable AHORA caben ~85K** (deja 115K buffer):
+
+| # | Tarea | Tokens | Aggregate post |
+|---|-------|--------|----------------|
+| 1 | **D-NEW01** re-bump `_verification.*` stamps INFRA_MANIFEST | ~10K | C1 STALE→FRESH |
+| 2 | **D-NEW02** hook PreCompact wiki heartbeat auto-fresh | ~40K | C6 PARCIAL→OK |
+| 3 | **B15 LEXICON_COSECHA** hoy (4 PRE_DIGEST blocks) | ~30K | cierra deuda cosecha |
+| 4 | Commit triple-remoto unificado | ~5K | BLINDADA-29 |
+| **=** | **Resultado**: aggregate **5.2 → 6.0/6.0** ✅ 100% medidor + cierra 3 deudas | **~85K** | |
+
+**Diferidos justificados** (NO caben o bloqueados):
+- 🟠 **T-F2-ESCALATE** (50K) — bloqueado timer dogfooding F1 (~12h restantes)
+- 🔴 **Q-002 tierb_fix→master** (5K) — bloqueado decisión tuya
+- 🟡 **LOOP_WRITE 36 episodios** (40K) — bloqueado status MCP ember-memory
+- 🟡 **T-F3-FULL** (50K) — cascade post-F2
+
+**Pregunta a vos**: ¿OK proceder Paso 1+2+3+4 secuencial (~85K, ~60min) → aggregate 6.0/6.0 + 3 deudas cerradas + commit triple-remoto?
+
+⚙️ PROTOCOLOS R10: NARRATE 4 pilares pre-Write · GAUGE ORANGE calibración (formato compacto, NO operar costoso) · PROCEDENCIA v1.1 · ZERO-DEUDA-TECNICA ZD-2 (priorización ejecutable inmediata) · B13 cumplido (.md + resumen chat).