runtime: outbox UNICO (imports absolutos) + relay-watcher con kill switch + guard R1-R8

- outbox.mjs solo en /srv/cayce-core; daemon/social/mail/ops lo importan por ruta absoluta. deploy.sh ya no instala copias.
- relay-watcher.mjs: cada 5 min cruza eventos de la pubkey en 5 relays con outbound_drafts; sin aprobacion => PUBLISH_OFF + DM + audit. Probado: detecto 2 kind0 bypass reales (post-hoc registrados).
- guard R1-R8 (18 tests) + blocklist + check-single-outbox al check diario.
- stale duplicados archivados en forensics/scripts-archive-20261102 (nostr-daemon.mjs, dm-debug, publish-10050, dm-test2, find-followers).

runtime/guard-blocklist.txt

@@ -0,0 +1,23 @@
+# publish-guard: marcas bloqueadas (hardware wallets / cold storage) — directiva 2026-11-01
+# una marca por linea, matching por palabra completa, case-insensitive. Ampliable.
+ledger
+ledger nano
+trezor
+coldcard
+coinkite
+bitbox
+bitbox02
+keystone wallet
+blockstream jade
+passport wallet
+foundation passport
+safepal
+ngrave
+seedsigner
+cypherock
+tangem
+onekey
+d'cent
+ellipal
+opendime
+seedplate