ember-memory-test/episodes/TRAZA_r7seccion1t1-tu-delegacin-materializada_S20260814.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

episode_id	puente_flat	session_code	acto_dialogico	actor_flujo	criticidad_aegis	skill_dominante	fase_proyecto	tipo_semantico	summary_one_line	source_type	trust_boundary	created_at	relectura_tagged	forgejo_commit_sha
8fcf67e2-f6fa-40b2-a9b2-0eba9c49d1bf	TRAZA_r7seccion1t1-tu-delegacin-materializada_S20260814.R1_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD	S20260814.SHERPA_CLONACION_SERVIDOR	informar	multi_actor	low	AEGIS	operations	chronicle	EPISODIO 1 — Vaultwarden: [R7.seccion1.T1] Tu delegación, materializada	claude_code	internal	2026-08-15T04:21:33.501677+00:00	false	pending

Sesión 1 del plan: EJECUTADA y el oráculo del pre-commit la aprobó. Commit 677f764b — 64 archivos, 3.602 líneas — en los 3 remotos. El clonador volvió a tener entrada.

[R7.seccion1.T1] Tu delegación, materializada

Decisión	Resuelta como
P-1 VM de ensayo	VM de nube por horas, Ubuntu 24.04, ≥16GiB/80GB — la compra sigue siendo tuya (es lo único que no puedo hacer por ti)
P-2 Cortafuegos	El clon nace endurecido — tu mandato lo ratifica: la ausencia de cortafuegos del origen es EL error que no se clona (nueva tarea T-18)
P-3 Claves externas	Al promover, no en el ensayo
P-4 Red aislada	Realidad de 4 redes + corrección documental; aislamiento como ítem futuro
P-5 Repos espejo	Nacen vacíos

Y tu mandato "mejorar todo lo mejorable" quedó acotado con política en el plan (para que no degenere en alcance infinito): una mejora entra si no toca el origen sin GO, no rompe la paridad antes de la línea base, y cierra un defecto documentado o medido.

[R7.seccion2.I1] Lo que la Sesión 1 encontró y arregló

1. El 38→40 explicado y cerrado: 4 proyectos vivían fuera de las rutas que el exportador barre (ember-analysis + crawl4ai/hound/scrapegraph en /opt/search-stack). Dos bases nuevas en COMPOSE_BASES y el export fresco capturó 40 de 40 (verificado, con re-calibración de mi propio instrumento: el primer chequeo dio un falso 0/40 por un prefijo omitido — la lección O-9 del plan, aplicada a mí mismo el primer día).
2. Hallazgo sistémico de seguridad: el origen lleva secretos hardcodeados en ~15 stacks (langfuse, karakeep, forgejo, crowdsec, n8n×2, nextcloud, umami, paperless, vaultwarden…). Mi escáner de prefijos vio 2; el pre-commit hook del repo, por entropía, bloqueó el commit dos veces y reveló el resto. Redactor a ciegas de valores en 2 pasadas: 75 redacciones en 22+ archivos — y la pasada 2 existió porque mi lista de exclusión para puertos abría una evasión a valores que empiezan por dígito (la lección de tu memoria "estrechar un detector abre falsos negativos", cazada en vivo). El bundle versionado está limpio según el oráculo más duro disponible.
3. Mejora estructural (T-19): el exportador ganó la fase 7.5 Sanitización anti-fuga con oráculo de secreto plantado — los exports futuros nacen limpios.
4. bundle-latest/ + MANIFEST_BUNDLE.yaml versionados — la fuente de los números del oráculo del clon ya existe en el repo.