diff --git a/episodes/TRAZA_s2-hecha-y-verificada-la-capa-1-2-del_S20261020.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md b/episodes/TRAZA_s2-hecha-y-verificada-la-capa-1-2-del_S20261020.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md
new file mode 100644
index 00000000..30e7f5db
--- /dev/null
+++ b/episodes/TRAZA_s2-hecha-y-verificada-la-capa-1-2-del_S20261020.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md
@@ -0,0 +1,20 @@
+---
+episode_id: "a247aea1-e992-4dfc-b1b1-6fc37adb92e6"
+puente_flat: "TRAZA_s2-hecha-y-verificada-la-capa-1-2-del_S20261020.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20261020.SID31C597511801"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "FORJA"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 2 — WireGuard: S2 hecha y verificada. La capa 1-2 del..."
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-10-28T03:54:32.679595+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+**S2 hecha y verificada.** La capa 1-2 del plan de seguridad de la Z8 pasó de PLAN a HECHA con su oráculo pegado en `docs/PLAN_SEGURIDAD_Z8_S20261026.md` (sección «Acta S2»); el acta cruda vive en la carpeta de resultados del inventario. Lo que cambió en la Z8 (medido, no supuesto):
+- **Usuario `ember`** (uid 1001) sin sudo, sin docker, sin lxd; entra con `ssh ember@z8` con tu misma llave, pero esa llave solo vale desde la LAN de casa o desde WireGuard (`from=`). `sudo -n` como ember → «a password is required»; `/etc/shadow` → denegado. - **`john`** fuera del grupo `lxd`; sshd con `AllowUsers john ember` y `X11Forwarding no`; la contraseña está rechazada para `ember`, `john` y `root`. - **ufw** deny-in con 22 desde casa y desde `10.0.0.0/24` (la red WireGuard de S6); IPv6 con la misma política. - **Reinicios por parches: nunca solos** (DP-S4 escrito en `/etc/apt/apt.conf.d/52-z8-reinicio-manual`). - **Sin Wi-Fi ni Bluetooth:** módulos bloqueados por modprobe y los tres USB fuera (a las 22:47 `lsusb` solo ve el teclado). - **`multipath-tools` y `open-iscsi` purgados:** de 504 a 495 paquetes; solo escucha el puerto 22 (más el resolvedor en loopback). - Respaldo en `/root/s2_backup_20261027_223300/` y `--rollback` en el mismo script. Memoria, índice y mapa de temas ya dicen «S2 HECHA; sigue S3». Los siete archivos de S2 están sin commitear (espero tu palabra). > 🎯 **En una frase:** la Z8 quedó con acceso solo por llave, un usuario `ember` sin poderes para Claude Code, sin radios y sin servicios de más; todo medido desde dentro y desde fuera, con marcha atrás guardada.