feat(episode): DEPURA_terminado_S20260808.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD

Skill: NONE | Type: troubleshooting
Summary: EPISODIO 1 — SENTINEL: Terminado

episodes/DEPURA_terminado_S20260808.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

@@ -0,0 +1,37 @@
+---
+episode_id: "8ec39846-792f-41ef-8e2f-42d1351a998b"
+puente_flat: "DEPURA_terminado_S20260808.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD"
+session_code: "S20260808.AUDITOR_MEMORIA_LLM"
+acto_dialogico: "informar"
+actor_flujo: "multi_actor"
+criticidad_aegis: "low"
+skill_dominante: "NONE"
+fase_proyecto: "operations"
+tipo_semantico: "troubleshooting"
+summary_one_line: "EPISODIO 1 — SENTINEL: Terminado"
+source_type: "claude_code"
+trust_boundary: "internal"
+created_at: "2026-08-11T03:32:29.117053+00:00"
+relectura_tagged: false
+forgejo_commit_sha: "pending"
+---
+
+# Terminado
+
+El arco completo, de principio a fin. ## Lo que pasó, en orden
+
+| # | Qué | Commit |
+|---|---|---|
+| 1 | Analicé el ZIP, corrí sus tests, encontré el bug del `token` | — |
+| 2 | Lo arreglé con test-vs-oráculo | — |
+| 3 | Lo adopté como **skill #81** pasando los 6 gates | `c695fe41` |
+| 4 | Un auditor independiente me bajó de 10 a 8,6 → remedié sus 4 hallazgos | `c695fe41` |
+| 5 | Otro auditor probó que **mi parche abrió 2 agujeros peores** → los cerré | `8b7c56c2` |
+| 6 | Conteo `80→81` + declaración de cobertura honesta | `15f5453c` |
+| 7 | **Cerré los 3 residuales de seguridad + H14** | `5acd750c` |
+
+## Lo último que hice
+
+Los tres agujeros que había dejado documentados, cerrados con TDD (20 fallos antes → 26/26 después):
+
+**El detector solo miraba nombres, no contenidos.** Una contraseña pegada en un campo de texto libre llegaba intacta al auditor externo. Ahora reconoce 9 formas de credencial **por su prefijo** — y deliberadamente **no** por "parece aleatorio", porque esos documentos llevan hashes legítimos y marcarlos me devolvería al falso positivo del que salí. **Los symlinks se escapaban.** Un atajo dentro de la carpeta podía apuntar a cualquier archivo del sistema. Ahora se resuelve la ruta real y se exige que esté dentro. **Se podía colgar el validador.** Un archivo de 450 bytes forzaba miles de millones de recorridos. Medido: 6 capas 0,9s → 8 capas 33s. Ahora la suite entera corre en menos de 2 segundos. **Y la trampa H14:** el comando que viene en su propio manual re-sellaba documentos manipulados **en silencio**. Ahora deja rastro con el hash anterior y el nuevo.