feat(episode): TRAZA_cierre-de-la-sesin-grafo-ndice_S20260607.R24_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: AEGIS | Type: troubleshooting
Summary: EPISODIO 24 — brasaluz.com: Cierre de la sesión grafo-índice

episodes/TRAZA_cierre-de-la-sesin-grafo-ndice_S20260607.R24_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -1,26 +1,46 @@
 ---
-episode_id: "2d3ae059-b363-4a63-95a9-cb7799833a25"
+episode_id: "3a656b26-1748-48e7-b20b-cb1677d90ee2"
 puente_flat: "TRAZA_cierre-de-la-sesin-grafo-ndice_S20260607.R24_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
 session_code: "S20260607.MNEMO_BUG_FORENSE_MAP"
 acto_dialogico: "informar"
 actor_flujo: "multi_actor"
 criticidad_aegis: "low"
-skill_dominante: "NONE"
+skill_dominante: "AEGIS"
 fase_proyecto: "operations"
 tipo_semantico: "troubleshooting"
 summary_one_line: "EPISODIO 24 — brasaluz.com: Cierre de la sesión grafo-índice"
 source_type: "claude_code"
 trust_boundary: "internal"
-created_at: "2026-06-08T18:59:52.812235+00:00"
+created_at: "2026-06-08T19:40:49.383958+00:00"
 relectura_tagged: false
 forgejo_commit_sha: "pending"
 ---
 
-**Consecuencias por camino:**
-- **(1) Rotar ahora** — tú generas una key nueva en OpenRouter + revocas la vieja en su dashboard (eso es 100% tuyo, fuera de mi alcance); yo actualizo el `litellm/config.yaml` server-side a la nueva + creo `.env.local` canónico. El git history viejo sigue conteniendo la leaked, pero al estar **revocada** queda inerte. Cierra la deuda de raíz.
-- **(2) Limpieza git history además** — `git filter-repo` destructivo sobre los 3 remotos para borrar la key del historial. Es un sprint dedicado, coordinado, con riesgo (reescribe historia compartida) — NO recomendado salvo que quieras borrado total.
-- **(3) Anclar y seguir** — dejo la deuda en pila y seguimos con otra cosa. La key sigue viva hasta que la revoques.
+**Deploy COMPLETO** ✅ — el notebook está vivo en render.brasaluz.com.
 
-**Mi inclinación (y qué la cambia):** me inclino por **(1)** — revocar la key vieja en OpenRouter es el acto que de verdad neutraliza el riesgo (sin revocación, borrar del history no sirve de nada; con revocación, el history viejo es inofensivo). La parte tuya (generar+revocar) es el paso crítico; lo mío (actualizar config) es mecánico. Cambiaría a (3) si ahora no quieres entrar al dashboard de OpenRouter.
+| Paso | Resultado |
+|---|---|
+| scp al volumen | exit 0 ✅ |
+| cp a `/workspace/.compiled/` | CP_OK, 38202 bytes (appuser) ✅ |
+| marimo local health | HTTP 200 ✅ |
 
-**La pregunta esencial (solo tú):** ¿entras al dashboard de OpenRouter a generar key nueva + revocar la vieja ahora, o anclo la deuda y seguimos?
+**URL:** `https://render.brasaluz.com/?file=VP-26-SP_GRAFO_INDICE_EMBER-01-GRAFO_NAVEGABLE.py` (tras login Authelia verás: stats 304/280, barras por categoría, backbone Mermaid interactivo, y tabla filtrable de los 304 nodos por grado de conexión).
+
+**FORENSE confirmado post-mortem:** el box tiene **uptime 20 días** (nunca rebooteó) y ahora **load 0.92** → era saturación **transitoria** de sshd (hipótesis H1), no caída del box ni de recursos. Se recuperó solo. Mi diagnóstico externo ("box vivo, sshd saturado, no muerto") quedó validado.
+
+## Cierre de la sesión grafo-índice
+Las 3 opciones que pediste (a/b/c) + el FORENSE están **todas completas**:
+- ✅ (a porción + visualización) graph.json mostrado + backbone SVG/Mermaid renderizado
+- ✅ (c) commits a 3 remotos (`13b41c4`, `a258ca7`, `2e99fcb`)
+- ✅ (b) notebook desplegado y live en render.brasaluz.com
+- ✅ FORENSE SSH cx43 diagnosticado + validado
+
+**Pila pendiente (única):** 🟠 rotar la key OpenRouter leaked (`sk-or-v1-6ea27f5c…`) — deuda abierta desde la corrida graphify autorizada.
+
+Con SSH de vuelta, ¿quieres que aborde la rotación de la key OpenRouter ahora, o seguimos con otra cosa?
+
+Quedo a la espera, John. Te enmarco la única decisión pendiente (PRÓLOGO):
+
+**Reframe:** no es "¿roto la key?" — es *"hay una credencial OpenRouter comprometida viva en el git history (3 remotos); ¿la neutralizamos ahora o seguimos acumulando esa deuda de seguridad?"*.
+
+**Origen:** en la corrida graphify de ayer autorizaste usar la key leaked `sk-or-v1-6ea27f5c…` (opción B) para una corrida server-side única. Esa key ya estaba marcada en MEMORY.md como pendiente de rotar desde el commit `def4312` (S20260531) — vive en texto plano en el git history de los 3 remotos. Usarla ayer no creó el problema, pero lo mantuvo abierto.