feat(episode): TRAZA_cierre-de-la-sesin-grafo-ndice_S20260607.R16_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 16 — brasaluz.com: Cierre de la sesión grafo-índice

episodes/TRAZA_cierre-de-la-sesin-grafo-ndice_S20260607.R16_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -1,5 +1,5 @@
 ---
-episode_id: "d4e34403-f864-4e3f-99cb-5fd1d18f0019"
+episode_id: "6235c66b-64ca-487c-9e7d-82fd74e17f43"
 puente_flat: "TRAZA_cierre-de-la-sesin-grafo-ndice_S20260607.R16_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
 session_code: "S20260607.MNEMO_BUG_FORENSE_MAP"
 acto_dialogico: "informar"
@@ -11,18 +11,36 @@ tipo_semantico: "troubleshooting"
 summary_one_line: "EPISODIO 16 — brasaluz.com: Cierre de la sesión grafo-índice"
 source_type: "claude_code"
 trust_boundary: "internal"
-created_at: "2026-06-07T23:13:26.344794+00:00"
+created_at: "2026-06-09T00:14:35.268540+00:00"
 relectura_tagged: false
 forgejo_commit_sha: "pending"
 ---
 
-**Consecuencias por camino:**
-- **(1) Rotar ahora** — tú generas una key nueva en OpenRouter + revocas la vieja en su dashboard (eso es 100% tuyo, fuera de mi alcance); yo actualizo el `litellm/config.yaml` server-side a la nueva + creo `.env.local` canónico. El git history viejo sigue conteniendo la leaked, pero al estar **revocada** queda inerte. Cierra la deuda de raíz.
-- **(2) Limpieza git history además** — `git filter-repo` destructivo sobre los 3 remotos para borrar la key del historial. Es un sprint dedicado, coordinado, con riesgo (reescribe historia compartida) — NO recomendado salvo que quieras borrado total.
-- **(3) Anclar y seguir** — dejo la deuda en pila y seguimos con otra cosa. La key sigue viva hasta que la revoques.
+**Deploy COMPLETO** ✅ — el notebook está vivo en render.brasaluz.com.
 
-**Mi inclinación (y qué la cambia):** me inclino por **(1)** — revocar la key vieja en OpenRouter es el acto que de verdad neutraliza el riesgo (sin revocación, borrar del history no sirve de nada; con revocación, el history viejo es inofensivo). La parte tuya (generar+revocar) es el paso crítico; lo mío (actualizar config) es mecánico. Cambiaría a (3) si ahora no quieres entrar al dashboard de OpenRouter.
+| Paso | Resultado |
+|---|---|
+| scp al volumen | exit 0 ✅ |
+| cp a `/workspace/.compiled/` | CP_OK, 38202 bytes (appuser) ✅ |
+| marimo local health | HTTP 200 ✅ |
 
-**La pregunta esencial (solo tú):** ¿entras al dashboard de OpenRouter a generar key nueva + revocar la vieja ahora, o anclo la deuda y seguimos?
+**URL:** `https://render.brasaluz.com/?file=VP-26-SP_GRAFO_INDICE_EMBER-01-GRAFO_NAVEGABLE.py` (tras login Authelia verás: stats 304/280, barras por categoría, backbone Mermaid interactivo, y tabla filtrable de los 304 nodos por grado de conexión).
 
-En espera de tu decisión, John: ¿entras al dashboard de OpenRouter a generar key nueva + revocar la vieja ahora, o anclo la deuda y seguimos con otra cosa?
+**FORENSE confirmado post-mortem:** el box tiene **uptime 20 días** (nunca rebooteó) y ahora **load 0.92** → era saturación **transitoria** de sshd (hipótesis H1), no caída del box ni de recursos. Se recuperó solo. Mi diagnóstico externo ("box vivo, sshd saturado, no muerto") quedó validado.
+
+## Cierre de la sesión grafo-índice
+Las 3 opciones que pediste (a/b/c) + el FORENSE están **todas completas**:
+- ✅ (a porción + visualización) graph.json mostrado + backbone SVG/Mermaid renderizado
+- ✅ (c) commits a 3 remotos (`13b41c4`, `a258ca7`, `2e99fcb`)
+- ✅ (b) notebook desplegado y live en render.brasaluz.com
+- ✅ FORENSE SSH cx43 diagnosticado + validado
+
+**Pila pendiente (única):** 🟠 rotar la key OpenRouter leaked (`sk-or-v1-6ea27f5c…`) — deuda abierta desde la corrida graphify autorizada.
+
+Con SSH de vuelta, ¿quieres que aborde la rotación de la key OpenRouter ahora, o seguimos con otra cosa?
+
+Quedo a la espera, John. Te enmarco la única decisión pendiente (PRÓLOGO):
+
+**Reframe:** no es "¿roto la key?" — es *"hay una credencial OpenRouter comprometida viva en el git history (3 remotos); ¿la neutralizamos ahora o seguimos acumulando esa deuda de seguridad?"*.
+
+**Origen:** en la corrida graphify de ayer autorizaste usar la key leaked `sk-or-v1-6ea27f5c…` (opción B) para una corrida server-side única. Esa key ya estaba marcada en MEMORY.md como pendiente de rotar desde el commit `def4312` (S20260531) — vive en texto plano en el git history de los 3 remotos. Usarla ayer no creó el problema, pero lo mantuvo abierto.