feat(episode): TRAZA_para-john-r5_S20260618.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 2 — BLINDADAS: 📍 PARA JOHN — R5

episodes/TRAZA_para-john-r5_S20260618.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,40 @@
+---
+episode_id: "c59ef50a-e394-4c85-ad9a-5c3cfb136419"
+puente_flat: "TRAZA_para-john-r5_S20260618.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260618.VERIFY_FIRST_PASSPORT_FIX"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 2 — BLINDADAS: 📍 PARA JOHN — R5"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-06-18T19:28:02.568804+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+✅ **Respaldado en tu Drive, John.** El plan B-001 está ahora en la carpeta **EMBER**.
+
+🔗 **Enlace directo:** https://drive.google.com/file/d/1s9cZ0PQhjqZ6_stDQDPlDoqIlz4etK2K/view?usp=drivesdk
+
+- **Archivo:** `PLAN_REMEDIACION_B001_SECRETOS_SETTINGS_JSON_S20260618.md`
+- **Ubicación:** carpeta EMBER (`1LCeOujZD05V9Cj...`, dentro del scope R-DRIVE-1) ✓
+- **Formato:** markdown crudo (backup fiel, re-descargable) · value-clean (0 valores de secretos) ✓
+
+**⚠️ Aviso de seguridad (reporto la detección del hook):** la subida funcionó, pero un hook marcó el MCP `google-workspace` como **server no-whitelisteado** (riesgo teórico de "tool hijacking"). Lo validé:
+- La herramienta hizo **exactamente** lo que dice (crear archivo en Drive) — descripción coherente, sin patrones raros. ✓
+- El contenido lo **redacté yo**, no vino de una fuente externa → **sin riesgo de "confused deputy"**. ✓
+- **Recomendación:** confirma cuando puedas que añadiste `google-workspace` a tu config de MCP a propósito (no está en `.mcp.json`; debe venir de tu config global de Claude Code). Si lo reconoces, todo en orden.
+
+### 📍 PARA JOHN — R5
+
+**Hice:** subí el plan B-001 a tu Drive (carpeta EMBER) y te entregué el enlace. El doc no lleva ningún secreto, solo el procedimiento.
+
+**Falta (nada urgente):** la ejecución real de B-001 (mover las 4 llaves + cambiarlas en los servicios) sigue diferida al sprint de seguridad, con tu permiso servicio por servicio. Cuando quieras, me dices **"ejecuta el plan B-001"**.
+
+**Mi consejo:** queda cerrado este hilo. El plan está triple-guardado en la práctica: en tu PC + en Drive + en tu memoria de la decisión. Lo siguiente solo cuando decidas abrir el sprint de seguridad.
+
+**Para avanzar, elige:** 🟢 **A** *(recomendado)* — cerramos aquí, B-001 documentado y respaldado · 🟡 **B** — confirmamos juntos que `google-workspace` MCP es autorizado · ⚪ **C** — arrancamos ya el sprint B-001 (scrub + rotación HITL).