ember-memory-test/episodes/TRAZA_para-john-r5_S20260618.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD.md

episode_id	puente_flat	session_code	acto_dialogico	actor_flujo	criticidad_aegis	skill_dominante	fase_proyecto	tipo_semantico	summary_one_line	source_type	trust_boundary	created_at	relectura_tagged	forgejo_commit_sha
c59ef50a-e394-4c85-ad9a-5c3cfb136419	TRAZA_para-john-r5_S20260618.R2_XX.ops.2.hot_inf.in.cc.es.000.MGQ_J.PMCFK_E.SGNFD	S20260618.VERIFY_FIRST_PASSPORT_FIX	informar	multi_actor	low	NONE	operations	troubleshooting	EPISODIO 2 — BLINDADAS: 📍 PARA JOHN — R5	claude_code	internal	2026-06-18T19:28:02.568804+00:00	false	pending

✅ Respaldado en tu Drive, John. El plan B-001 está ahora en la carpeta EMBER.

🔗 Enlace directo: https://drive.google.com/file/d/1s9cZ0PQhjqZ6_stDQDPlDoqIlz4etK2K/view?usp=drivesdk

• Archivo: PLAN_REMEDIACION_B001_SECRETOS_SETTINGS_JSON_S20260618.md
• Ubicación: carpeta EMBER (1LCeOujZD05V9Cj..., dentro del scope R-DRIVE-1) ✓
• Formato: markdown crudo (backup fiel, re-descargable) · value-clean (0 valores de secretos) ✓

⚠️ Aviso de seguridad (reporto la detección del hook): la subida funcionó, pero un hook marcó el MCP google-workspace como server no-whitelisteado (riesgo teórico de "tool hijacking"). Lo validé:

• La herramienta hizo exactamente lo que dice (crear archivo en Drive) — descripción coherente, sin patrones raros. ✓
• El contenido lo redacté yo, no vino de una fuente externa → sin riesgo de "confused deputy". ✓
• Recomendación: confirma cuando puedas que añadiste google-workspace a tu config de MCP a propósito (no está en .mcp.json; debe venir de tu config global de Claude Code). Si lo reconoces, todo en orden.

📍 PARA JOHN — R5

Hice: subí el plan B-001 a tu Drive (carpeta EMBER) y te entregué el enlace. El doc no lleva ningún secreto, solo el procedimiento.

Falta (nada urgente): la ejecución real de B-001 (mover las 4 llaves + cambiarlas en los servicios) sigue diferida al sprint de seguridad, con tu permiso servicio por servicio. Cuando quieras, me dices "ejecuta el plan B-001".

Mi consejo: queda cerrado este hilo. El plan está triple-guardado en la práctica: en tu PC + en Drive + en tu memoria de la decisión. Lo siguiente solo cuando decidas abrir el sprint de seguridad.

Para avanzar, elige: 🟢 A (recomendado) — cerramos aquí, B-001 documentado y respaldado · 🟡 B — confirmamos juntos que google-workspace MCP es autorizado · ⚪ C — arrancamos ya el sprint B-001 (scrub + rotación HITL).