feat(episode): TRAZA_dentro-de-la-imagen-de-ember-mcp-existe_S20260902.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 2 — ember-mcp: Dentro de la imagen de ember-mcp existe un...

episodes/TRAZA_dentro-de-la-imagen-de-ember-mcp-existe_S20260902.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,37 @@
+---
+episode_id: "36cf1388-9576-40f4-b325-1f5c7beed450"
+puente_flat: "TRAZA_dentro-de-la-imagen-de-ember-mcp-existe_S20260902.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260902.SID80EF6E909F98"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 2 — ember-mcp: Dentro de la imagen de ember-mcp existe un..."
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-09-06T18:35:11.429290+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+Dentro de la imagen de `ember-mcp` **existe un fichero `/app/.env` con una `OPENROUTER_API_KEY` de marzo**. En la limpieza de la parte B saqué 8 variables de entorno de esa imagen, pero no vi el fichero. Hoy es inofensivo porque las variables de entorno ganan; si algún día el `.env` del host pierde esa línea, `ember-mcp` arranca sano con una credencial muerta. Es exactamente la forma del fallo que costó cuatro días, escondida en otro sitio.
+
+> 🎯 **En una frase:** tu clave está bien y tu pegado funcionó; falló mi código por un permiso, ya está arreglado y probado contra la condición exacta que lo rompió.
+
+**✅ Hice**
+- Comprobé que no hay daño: los dos ficheros intactos, los dos servicios arriba.
+- Confirmé con evidencia que **tu Ctrl+V funcionó**: el guardián valida la clave *antes* de respaldar, y tu terminal mostró los respaldos creados.
+- Sometí el arreglo a un panel adversarial antes de escribirlo, y cerré los 21 defectos altos y críticos.
+- Probé el escritor contra un directorio sin permiso de creación: **7/7**.
+- Añadí la clase FS-8 al playbook, a la librería y a mi memoria, y corregí un consejo equivocado que el muro estaba dando.
+- Todo empujado y verificado en los tres remotos (`ee1abf0e`).
+
+**⏳ Falta** — depende de ti
+- **Volver a lanzar la rotación.** Verás **7 pasos** en vez de 6: hay uno nuevo de verificación independiente del disco.
+- Decidir sobre el fichero fantasma `/app/.env` de la imagen (sacarlo exige reconstruirla).
+- Sigue vivo lo de siempre: el token de Forgejo en texto plano (S-007).
+
+**💡 Mi consejo**
+Lánzala ahora. Si algo vuelve a fallar, el script ahora **restaura solo** y te dice si el problema es la credencial o es su propio medidor — que es lo que nos hizo perder días confundiendo «nadie contestó» con «te rechazaron».