r31 doc: estados finales de PRs (#59/#60 merged; #14/#9/#58 verdes esperando tu merge) + epílogo socket unix

WorkingDirectory=/srv/cayce-core/social · EnvironmentFile=/var/lib/cayce/promo/.env
· PROMO_STATE_HOME=/var/lib/cayce/promo (D2). El timer sigue parado hasta
que el operador reanude la campaña (r30b E3).

deploy/systemd/cayce-promo.service

@@ -0,0 +1,17 @@
+[Unit]
+Description=Cayce promo — publicación temática autónoma (FB+IG vía sfeed)
+After=network-online.target
+Wants=network-online.target
+
+[Service]
+User=ubuntu
+# r31 (P1): corre desde el checkout del repo entity; estado en /var/lib/cayce/promo
+WorkingDirectory=/srv/cayce-core/social
+Environment=NODE_ENV=production
+Environment=PROMO_STATE_HOME=/var/lib/cayce/promo
+EnvironmentFile=/var/lib/cayce/promo/.env
+ExecStart=/usr/bin/node /srv/cayce-core/social/promo.mjs
+Restart=no
+
+[Install]
+WantedBy=multi-user.target

deploy/systemd/cayce-promo.timer

@@ -0,0 +1,10 @@
+[Unit]
+Description=Cayce promo cycle — cada 6h (publica lo debido de la campaña)
+
+[Timer]
+OnCalendar=*-*-* 09,13,15,19,21,01:00:00 UTC
+RandomizedDelaySec=300
+Persistent=true
+
+[Install]
+WantedBy=timers.target

docs/bitcoinhotels-datos-btcmap.md

@@ -0,0 +1,99 @@
+# PROPUESTA (r30b, NO ejecutada) — BTC Map como fuente de verdad de alojamientos
+
+Estado: propuesta. Nada de esto está aplicado. Requiere aprobación del operador.
+
+## 1. Diagnóstico con evidencia (2026-11-03)
+
+- `src/data/hotels.json` (12 hoteles, `verified: true` en los 12) no tiene registro de
+  verificación en el repo: entró como snapshot de producción en la ronda 7 (f5f66db).
+- Cruce real contra el dump completo de BTC Map (api.btcmap.org/v2/elements, 43.349
+  elementos, 27.383 activos con nombre+coords; verificado 2026-11-03): de los 12 hoteles
+  solo **Las Verandas (Roatán)** existe en BTC Map (`node:10164144439`, tourism=hotel,
+  sin verificación reciente). **Los otros 11 NO están en BTC Map.**
+- De esos 11, hay soporte externo real para 4: los 3 de Kessler Collection (Grand Bohemian
+  Orlando, Bohemian Savannah, Casa Monica) aceptan BTC vía BitPay según su página oficial
+  (kesslercollection.com/bitpay, "notify a front desk agent upon check out", verificada
+  2026-11-03), y Circa tiene página propia de bitcoin (circalasvegas.com/bitcoin: ATM BTC
+  24/7 + paquete fin de semana a 1 BTC — no es POS Lightning). Resorts World Las Vegas
+  anunció partnership con Gemini en 2021 (8newsnow.com, 2021-06) pero su estado actual no
+  se pudo verificar. Los 6 restantes (Dolder Grand, Van Walsum, Splendide Royal,
+  InterContinental Ljubljana, Pestana CR7, Palazzo Versace Dubai): sin evidencia de que
+  acepten bitcoin.
+- Los campos `acceptsLightning: true` de RW y Circa no están respaldados por fuente alguna
+  (ver arriba: Gemini-2021 y ATM/paquete respectivamente). El news item que los atribuía
+  ("instalan POS Lightning") se retiró en el PR #13 por fabricado.
+
+## 2. Modelo de datos propuesto
+
+Dos conjuntos separados y etiquetados:
+
+```
+src/data/lodging-btcmap.json        ← fuente de verdad, generado por script
+{
+  "_meta": {
+    "fetched_at": "AAAA-MM-DD",
+    "source": "BTC Map API v2 /elements (https://btcmap.org)",
+    "license": "ODbL — atribución obligatoria",
+    "filter": "tourism in [hotel,hostel,guest_house,motel,apartment] && !deleted_at",
+    "generator": "scripts/fetch-lodging.mjs (propuesto)"
+  },
+  "hotels": [{
+    "btcmap_id": "node:10164144439",
+    "name": "Las Verandas",
+    "city": "Roatan", "country": "HN",
+    "lat": 16.31, "lon": -86.53,
+    "lightning": false, "onchain": true,          // tags payment:lightning / payment:onchain
+    "website": "...", "phone": "...",
+    "verified_at": "2025-07-15",                  // registro real del API (o null = nunca verificado)
+    "btcmap_url": "https://btcmap.org/merchant/node:10164144439"
+  }]
+}
+
+src/data/lodging-curated.json       ← excepciones, cada una con EVIDENCIA
+{
+  "_meta": { "policy": "solo hoteles con página oficial de pago en bitcoin, o marcados unverificado" },
+  "hotels": [{
+    "slug": "grand-bohemian-orlando",
+    "evidence_url": "https://www.kesslercollection.com/bitpay",
+    "evidence_checked_at": "2026-11-03",
+    "claims": { "onchain": true, "lightning": false },   // solo lo que la evidencia sostiene
+    "status": "official-source"        // "official-source" | "unverified"
+  }]
+}
+```
+
+Reglas del sello: `verified AAAA-MM-DD` se muestra solo si existe `verified_at` de BTC Map
+(registro del API) o `evidence_url` + `evidence_checked_at` (página oficial revisada). Todo
+lo demás muestra "unverified" o no se lista.
+
+UI: atribución ODbL visible con enlace a btcmap.org por venue (ya existe el patrón en las
+fichas); refresh nocturno del snapshot con PR automático o build-time fetch (hoy
+`src/lib/btcmap.ts` ya hace fetch en runtime con revalidate 24h — se unifica).
+
+## 3. Los 10+1 hoteles fuera de BTC Map — una opción por hotel
+
+| Hotel | Opción | Evidencia |
+|---|---|---|
+| Grand Bohemian Orlando (Kessler) | (a) mantener con enlace oficial | kesslercollection.com/bitpay (2026-11-03) |
+| Bohemian Savannah (Kessler) | (a) mantener con enlace oficial | idem (aparece en la lista de propiedades) |
+| Casa Monica (Kessler) | (a) mantener con enlace oficial | idem |
+| Circa Las Vegas | (a) mantener con enlace oficial | circalasvegas.com/bitcoin (ATM 24/7 + paquete 1 BTC; 2026-11-03) |
+| Resorts World Las Vegas | (b) marcar "no verificado" | partnership Gemini anunciado 2021 (8newsnow); estado actual sin verificar |
+| Dolder Grand (Zurich) | (c) retirar | sin evidencia de pago en bitcoin |
+| Hotel van Walsum (Rotterdam) | (c) retirar | sin evidencia |
+| Splendide Royal (Lugano) | (c) retirar | sin evidencia |
+| InterContinental Ljubljana | (c) retirar | sin evidencia |
+| Pestana CR7 Lisboa | (c) retirar | sin evidencia |
+| Palazzo Versace Dubai | (c) retirar | sin evidencia |
+| Las Verandas (Roatán) | pasa al set de BTC Map | ya está en BTC Map (node:10164144439) |
+
+Con las opciones (a) aplicadas el sitio queda con 5 hoteles verificables (4 oficiales +
+todo el lodging de BTC Map) en vez de 12 con sello "verified" sin registro.
+
+## 4. Migración (cuando se apruebe)
+
+1. PR 1: añadir `scripts/fetch-lodging.mjs` + `lodging-btcmap.json` generado (ODbL meta).
+2. PR 2: lodging-curated.json con la tabla de arriba; UI: sello condicionado a registro
+   real; los (c) se retiran del listado (quedan en historial git).
+3. PR 3: hoteles (a)/(b) con sus enlaces de evidencia; news.json sin items de marca.
+4. Cada PR desplegado por autodeploy normal (identidad + rollback ya existentes).

docs/bitcoinhotels-faseb.md

@@ -0,0 +1,108 @@
+# FASE B — Reconstrucción de bitcoinhotels con datos reales (propuesta B1, r31)
+
+Estado: PROPUESTA. Nada publicado. Fuente de datos: dump completo de BTC Map
+API v2 (43.349 elementos, 2026-11-03). Los alojamientos = tourism ∈
+[hotel, hostel, guest_house, motel, apartment, hotel_room], sin deleted_at,
+con nombre+coords. verified_at = registro del elemento OSM
+(check_date:currency:XBT | check_date | survey:date).
+
+## 1. Alojamientos por ciudad del plan (id | nombre | verified_at | métodos)
+
+### El Zonte / Bitcoin Beach (radio 15 km) — 32 alojamientos
+Top por frescura de verificación (lista completa en el generador `b1.py`):
+BlockHouse (node:14343058517, 2026-11-02, lightning+onchain) · Karma Muse Hotel
+(13960946876, 2026-06-23) · Coco Surf Resort (13175946946, 2026-05-05) · La
+Casona Hostal & Shop (10901547463, 2026-05-05) · Puro Surf (12395474468,
+2026-05-04) · Sunset Surf Villa (13785848180, 2026-05-01) · Canuck's Guest
+House (13171626422, 2026-04-30) · Casa Santa Emilia (13143299360, 2026-04-25) ·
+The Beach Break El Cocal (13171913793, 2026-04-25) · The Duck Dive El Tunco
+(13197838431, 2026-04-25) · Roca Sunzal (469067668, 2026-04-24) · Balance Surf
+& Yoga (13198566180, 2026-04-24) · The Bitcoin Mansion (13122887802,
+2026-04-23) · Casa Maya Resort (12657561701, 2026-04-23) · … 28-32 con
+lightning+onchain; 4 además aceptan Blink (Garten Hotel, Hotel-Tienda-Manny,
+Hotel Rancho Lokoo, Esencia Nativa). El más viejo: Lagarza Hostel (2023-04-23).
+
+### San Salvador (radio 15 km) — 11 alojamientos
+Uong Oasis (13495773566, 2026-01-26) · La Zona Hostal (4057017483, 2025-10-09)
+· Ximena's Guest House (12360076401, 2025-09-30) · Hotels by MESER
+(13143365694, 2025-09-14) · Bitcoin Landing Spot (10115300184, 2025-07-11,
+lightning+onchain+blink) · Charly's Place (12341973642, 2024-11-14) · Green
+Life (11603030384), Hostal Los Heroes (11603030990), Hostal Cielo Azul
+(11603019532), Vennua Suits (11603105662) — todos 2024-02-09 · Hotel Finca San
+Nicolás (11382056273, 2023-11-28).
+
+### Lugano (radio 15 km) — 7 alojamientos
+Locanda Castagnola (2288386755, 2026-10-01) · Acquarello (373429196,
+2025-07-23) · Zurigo Downtown (3302999281, 2025-07-02) · Pestalozzi (373420246,
+2025-06-30) · Hotel Delfino (11522524479, 2025-06-21) · Hotel Federale
+(310598863, 2025-06-20) · Hotel Gabbani (5072974692, 2025-06-15). Todos
+lightning+onchain.
+
+### Roatán / Próspera (20 km + núcleo Próspera 10 km) — 5 alojamientos
+Guava Grove Resort & Villas (10656407351, 2026-03-27) · Casa Lenca - Palmetto
+Bay (13020091551, 2026-03-27, +blink) · Vines of the Sea (13004337355,
+2025-07-16, +blink) · Las Verandas (10164144439, 2025-07-15, +blink) · Blue
+Bahia Resort (14334574164, sin verificación — mostrar "sin verificación
+ reciente").
+
+### Referencia — otras ciudades del plan
+Prague: 2 (Pragueforyou Apartments 2025-06-21; Airbnb for Bitcoin 2023-07-19).
+Lisbon: 1 (We Host, 2026-05-21). Dato honesto: la adopción lodging de BTC Map
+en Praga/Lisboa es pequeña aunque el comercio sí sea denso.
+
+## 2. Las primeras 4 guías de ciudad — SOLO datos BTC Map + fuentes primarias
+
+Regla transversal: cada cifra/fecha que se muestre viene del snapshot BTC Map
+(datado) o de una fuente primaria citada (URL + fecha de consulta). Sin
+números inventados, sin "verified" sin registro.
+
+### Guía 1 — "El Zonte on sats: where to sleep"  (/guides/el-zonte-where-to-sleep)
+- Estructura: 1) mapa de bloques de texto con la lista de alojamientos (32),
+  cada uno con nombre, id BTC Map, verified_at y métodos (lightning/onchain/
+  blink) TAL CUAL el snapshot; 2) "cómo reservar": la mayoría de estos
+  alojamientos aceptan Lightning directo (Blink/Wallet of Satoshi style) —
+  texto operativo sin cifras; 3) contexto con 2 fuentes primarias: la reforma
+  de la ley bitcoin (Reuters 2025-01-30: aceptación voluntaria) y la exención
+  de capital gains (Forbes 2025-02-28); 4) notación ODbL + fecha de snapshot +
+  enlace a btcmap.org/merchant/{id} por alojamiento.
+- Fase de estacionalidad: los verified_at muestran una ola de re-verificación
+  abril-mayo 2026 (19 alojamientos) — dato objetivo que la guía puede afirmar
+  del propio snapshot.
+
+### Guía 2 — "San Salvador base camp"  (/guides/san-salvador-base-camp)
+- 11 alojamientos con id/verified_at/métodos; destacados objetivos:
+  Bitcoin Landing Spot (acepta Blink, verificado 2025-07-11) y La Zona Hostal
+  (2025-10-09, el más reciente de la ola 2025-2026).
+- Sección "dónde estás": coordenadas del listado (zona Rosa/Colonia Médica
+  según los nodos) — describir SOLO lo que los propios datos dicen.
+- Fuentes primarias de contexto: misma base legal que la guía 1 + fuente
+  oficial de visas (sv.usembassy.gov, 90 días estándar) si se menciona
+  estadía.
+
+### Guía 3 — "Lugano: the Plan B stay"  (/guides/lugano-plan-b-stay)
+- 7 alojamientos (todos lightning+onchain, todos con verified_at 2025-06/10).
+- Contexto con fuente primaria: planb.lugano.ch (~400 comercios BTC/USD₮/LVGA
+  — ya citado en destinations.json post-#13) + la propia página municipal.
+- Nota honesta: Lugano lodging en BTC Map es PEQUEÑO (7) comparado con su
+  comercio — la guía lo dice en vez de inflar.
+
+### Guía 4 — "Roatán & Próspera"  (/guides/roatan-prospera-stay)
+- 5 alojamientos; Las Verandas ya está en el set curado con evidencia doble
+  (BTC Map 2025-07-15 + sitio oficial). Blue Bahia se lista con "sin
+  verificación reciente" — muestra el estándar honesto.
+- Contexto con fuentes primarias: el anuncio de Próspera (2022) sobre BTC en
+  su jurisdicción CITADO con URL, y la guía advierte el estado del régimen
+  ZEDE sin entrar en política (o se omite si no hay fuente limpia).
+- Nota operativa: los venues ≤50 km ya saneados en PR #12 alimentan la
+  sección "dónde gastar" de esta guía.
+
+## 3. Reglas de publicación propuestas (FASE B)
+
+1. Las guías se generan desde el snapshot lodging-btcmap.json (ya en main si
+   PR #14 mergea) — nada de tipeo manual de venues.
+2. Cada guía declara su snapshot date y enlaza el merchant en btcmap.org
+   (atribución ODbL).
+3. Un lodging sin verified_at en >12 meses se lista con aviso "verificación
+   antigua" (no se oculta: es información).
+4. Controles de frescura: regenerar snapshot al publicar; si el snapshot
+   cambia, la guía se marca para revisión (no auto-republish).

docs/sessions/2026-11-03-r30b-auditoria-r26-28-factual.md

@@ -0,0 +1,139 @@
+# Ronda 30b — Auditoría r26–28 + auditoría factual + saneos (OpenCode/GLM, operador patternn)
+
+> Nota: la ronda 30a cerró su informe A1–A3 pero **no alcanzó a escribir su doc de sesión**
+> ni a abrir PR de documentación. Resumen r30a (de su informe): los 3 commits vacíos de
+> prueba nunca llegaron al remoto (protección de rama OK; reset local aplicado); conflicto
+> DU de lessons.md resuelto (el estado vive en /var/lib/cayce/lessons.md); news-sitemap
+> huérfano de hardcap respaldado en forensics/r30 y descartado; los 4 árboles quedaron
+> limpios en origin/main. Este doc cubre r30b y cierra el hueco documental de r30a.
+
+## D1 — Auditoría rondas 26–28 (ventana auditada: 2026-11-02 20:30Z → r30a)
+
+Mergeado/desplegado en la ventana (git log + PRs de Gitea y GitHub + journal de autodeploy):
+
+| Cambio | Veredicto | Evidencia |
+|---|---|---|
+| cayce-ops PR #55 (DECISIONS D1-D3) mergeado 20:40Z, desplegado 20:42Z | CORRECTO — solo docs de política | `git log` 845609e; journal `cayce-ops → 845609e` |
+| entity PR #8 (lessons.md fuera del checkout) mergeado 20:40Z, deploy 20:42Z tests 27/27 | CORRECTO — r30a verificó árboles limpios y /var/lib/cayce/lessons.md (3309 B) | journal `entity → d6bbf67 (tests 27/27…)` |
+| bitcoinhotels PR #11 (fichas batch 1, 20 venues/ciudad) mergeado 21:00Z, deploy 21:09Z | **FALSO — revert (PR #12) abierto 02:02Z, auto-mergeado por ci-bot 02:05:15Z (CI verde, sin paths protegidos) y desplegado: build-id servido 95fd5597 == main. Verificación viva post-deploy: en /hotels/resorts-world-las-vegas ya no aparece "Tienda las Vegas" (0 matches) y /hotels/bohemian-hotel-savannah muestra solo venues ≤50 km (sin "Shell"/"Pick n Pay"). El detalle: la búsqueda por TEXTO de BTC Map v4 devolvía matches de nombre en otros países presentados como "Nearby/Places around {city}". 19/177 rows >50 km (hasta 13.634 km), + duplicados que inflaban conteos. La herencia de #9 (12/61 rows >50 km) también se sanea en el mismo PR | Auditoría contra lat/lon real del API v4 (tabla completa en el PR #12); journal: 2 ROLLBACK por build-id mismatch (21:03, 21:06) antes del deploy OK 21:09:20 |
+| hardcap-news PR #7 (pieza-hub-security) ABIERTO 20:52Z, NO mergeado | No desplegado. Su CI rojo es HEREDADO de main (ver G1): el home devolvía 500 sin API desde antes del PR | runs 41513621707 (#6, rojo) y 41523126329 (#7, rojo); repro local: `/` = 500 ECONNREFUSED, `/topics/security` = 200 |
+| Promos publicadas en la ventana (d2-fb-wrench 09:04Z… d4-ig-device 01:04Z) | Textos con sellos "(verified 2026-11-02)" sin registro de verificación y claims sin fuente → E1/E2/E3 | posts_log ids 20-27 con URLs reales a FB/IG |
+
+Sin más deploys 21:10Z→r30a (journal del timer: solo runs vacíos). Los commits vacíos de
+prueba de r28 nunca llegaron a remoto (ya resuelto en r30a).
+
+## E1 — Auditoría factual (afirmación → archivo → fuente primaria | SIN FUENTE)
+
+### Guías bitcoinhotels (src/data/guides.json, "updated 2026-10-16")
+
+| Afirmación | Archivo | Fuente primaria |
+|---|---|---|
+| "foreign transaction fees (1-3%), DCC (3-8%)" | guides.json · how-to-pay… | SIN FUENTE → genérico, cifras fuera (PR #13) |
+| "settles in under two seconds" | idem | SIN FUENTE → "settles in seconds" (PR #13) |
+| "directory.btcpayserver.org sell airline/hotel/Uber gift cards… app" | guides.json · how-to-pay… | FALSO (scrub de marcas sobre "Bitrefill") → Bitrefill + bitrefill.com (2026-11-03) (PR #13) |
+| ATM: "operator commission 6-12% + spread 1-4%", "tourist pays 10-15%", "prepared 4-6%" | guides.json · best-bitcoin-atms… | Parcial: 10-15%/mediana ~16% con fuente (coinatmradar.com, spark.money, cash2bitcoin.com, 2026-11-03); el resto SIN FUENTE → fuera (PR #13) |
+| "€200-900 no-KYC" + tabla por ciudad (Amsterdam €250-750/GN ~8%, Praga CZK 5k-25k, Miami $200-800, etc.) | idem | SIN FUENTE (por operador) → reemplazada por checklist de verificación (PR #13) |
+| "2021 Bitcoin Law, BTC legal tender… capital gains exempt" | guides.json · living-on-sats… | Reuters 2025-01-30 + Forbes 2025-02-28 (aceptación voluntaria desde ene-2025; exención se mantiene) → matiz (PR #13) |
+| "$400-800/mes apartamento El Zonte", "$20-45/noche hostales", "$500-900/mes SS" | idem | SIN FUENTE → fuera (PR #13) |
+| "airport 45 minutes away" | idem | SIN FUENTE → fuera (PR #13) |
+| "Travala lists dozens of Salvadoran properties taking BTC directly" | idem | Fuente real travala.com/payment/bitcoin-btc (2026-11-03) pero "directly" es inexacto (paga la plataforma) → reescrito (PR #13) |
+| Presupuesto semanal en sats ("17-29k sats noche", "1.05-1.5M sats/mes", "late 2026 prices") | idem | SIN FUENTE (implica BTC≈$105k sin cita) → fuera; guía manda a derivar el propio número (PR #13) |
+| "tourist visa (180 days for most nationalities)" | idem | sv.usembassy.gov (90 días estándar, hasta 180 según nacionalidad/pasaporte; 2026-11-03) → corregido (PR #13) |
+| "community lived on sats since 2019" (El Zonte) | idem | Bitcoin Beach documentado desde 2019 — se mantiene sin cifra nueva |
+| "Benjamin Reich (BERLIN) district leads" | idem | SIN FUENTE (dato garbleado) → fuera (PR #13) |
+| Sello "— verified AAAA-MM-DD" en venues de fichas | HotelDetail.tsx + hotels-btcmap.json | Registro REAL: `verified_at` del API de BTC Map → se mantiene (los datos falsos asociados se quitan en PR #12) |
+| Sello "Verified" (badge, 12/12 hoteles) | hotels.json | SIN REGISTRO en el repo (snapshot ronda 7) → propuesta de rediseño en F1 (no ejecutada) |
+
+### hardcap (frontend/src/app/learn/travel-security-kit/page.tsx, "updated Oct 2026")
+
+| Afirmación | Fuente primaria |
+|---|---|
+| "The 2026 wrench-attack dataset we track at hardcap" | SIN FUENTE (no existe tal dataset; el backend clasifica notas con pilar security) → reescrito (PR GitHub #8) |
+| "Every wrench attack we've tracked started with a public display" | SIN FUENTE → "reported… typically" (PR GitHub #8) |
+| "airlines lose [bags] 2% of the time" | FALSO — SITA Baggage IT Insights 2026: 4.9/1.000 (0,49%, incluye demora/daño) → corregido (PR GitHub #8) |
+| "Bitrefill … 186 countries" | bitrefill.com ("over 186 countries", 2026-11-03) → se mantiene |
+
+### Textos de promo (/home/ubuntu/cayce-social/promo.mjs — 12 captions)
+
+| Afirmación | Post | Fuente primaria |
+|---|---|---|
+| "Cards charge 2-4% on FX…; Lightning route usually stays under 0.5%" | d1-fb-lightning | SIN FUENTE |
+| "(verified 2026-11-02)" / "(checked/updated/data through 2026-11-02)" ×12 | todos | SIN REGISTRO — no existe log de verificación de estos claims; el guard R9 solo exigía "fuente y fecha" en el texto (rechazó 90day-protocol por eso: posts_log id 13) |
+| "The 2026 wrench-attack dataset is blunt…" | d2-fb-wrench, d5-ig-mistakes | SIN FUENTE (idem hardcap) |
+| "Sats to gift card in seconds across 186 countries" | d3-ig-rescue | bitrefill.com (real) — sin cita en el caption |
+| "first machine charges 10-15%… operator map runs 4-6%" | d2-ig-atm-fees | 10-15% con fuente; "4-6%" SIN FUENTE |
+| "surf hostel 17-29k sats a night, meals 11-17k…" | d3-fb-budget | SIN FUENTE (espejo de la guía) |
+| "Amsterdam EUR 250-750, Prague CZK 5k-25k, Miami USD 200-800" | d5-fb-kyc | SIN FUENTE |
+| "bitcoin circulates as legal tender inside the jurisdiction" (Prospera/Roatán) | d4-fb-roatann | Parcial: Próspera adoptó BTC en 2022 (anuncios propios); "the island takes Lightning natively" SIN FUENTE por venue — ya corregido en destinos (PR #13) |
+| "Blink funded to 500k sats… most land near 70/30" | d6-ig-protocol | SIN FUENTE (protocolo editorial propio, presentado como dato) |
+
+**Nota:** promo.mjs NO está versionado (no es repo git) — hallazgo adicional de la ronda.
+Los captions publicados (8) son editables solo en plataforma; los 4 pendientes están
+pausados (E3). Corrección de textos pendiente de decidir dónde versionar (ver pendientes).
+
+## E2 — Correcciones (por PR)
+
+- **bitcoinhotels PR #13** (abierto): guías/news/destinos — SIN FUENTE fuera o con fuente
+  real (tabla arriba). news fabricados (#1 e-visas Lightning, #4 RW+Circa POS) quitados/
+  reescritos con fuentes.
+- **hardcap-news PR #8 GitHub** (abierto): travel-security-kit corregido.
+- **Sellos**: los "verified AAAA-MM-DD" con registro real (BTC Map) se mantienen; los de
+  promo quedan cubiertos por E3 hasta reposicionar los textos.
+
+## E3 — Promo pausada (sin borrar nada)
+
+`systemctl stop + disable cayce-promo.timer` (inactive/disabled verificado). Nada borrado:
+promo.mjs, promo-state.json, campaign-start.json intactos. Próximos posts de la campaña
+(d5, d6) quedan en pausa. Reanudar: `sudo systemctl enable --now cayce-promo.timer`.
+Pendiente: los 8 ya publicados siguen en FB/IG (no se borran por regla del operador).
+
+## F1 — Propuesta de modelo de datos (NO ejecutada)
+
+Ver `docs/bitcoinhotels-datos-btcmap.md` (nuevo, en este PR). Resumen: BTC Map como fuente
+de verdad para lodging (ODbL, verified_at real); de los 12 actuales solo Las Verandas está
+en BTC Map; propuesta (a)/(b)/(c) para los otros: 4×(a) con página oficial de pago
+(Kessler×3 + Circa), 1×(b) RW "no verificado", 6×(c) retirar.
+
+## G1 — hardcap-news PR #7: causa del fallo de build-lighthouse + fix en rama (NO mergeado)
+
+Causa raíz (log del job 125543910450, run 41523126329):
+1. `npm start` + Lighthouse → "Runtime error… (Status code: 500)" ×3 pasadas: el home
+   (`page.tsx`) llama `getArticles/getBubbles` server-side SIN catch; sin API (CI no levanta
+   backend) el fetch lanza ECONNREFUSED → SSR 500.
+2. Bug del propio script de CI: con los 3 scores en null, `sorted([None,None,None])[1]`
+   revienta con `TypeError: '<' not supported between instances of 'NoneType'…` en vez de
+   fallar limpio.
+3. NO es culpa del diff de #7: el mismo job ya estaba rojo en main (run 41514558872 del
+   push del merge de #6, 19:56Z) y en el propio PR #6 (run 41513621707) — #6 se mergeó con
+   CI en rojo. La página nueva de #7 (/topics/[slug]) SÍ tiene .catch() y sirve 200.
+
+Fix (commit ab6a0c7 en pieza-hub-security, pusheado, PR #7 actualizado — NO mergeado):
+`page.tsx` con catch → estado vacío (verificado local: `/` 500→200 "No articles yet";
+Lighthouse móvil 0.92/0.92/0.92, mediana 0.92 ≥ 0.90) + ci.yml ignora scores null (<2
+válidas = fallo limpio).
+
+## PRs abiertos al cierre
+
+| PR | Repo | Estado al cierre |
+|---|---|---|
+| #12 revert venues #11 (+saneo #9) | Gitea cayce/bitcoinhotels | **MERGEADO (ci-bot 02:05:15Z) y desplegado** (build-id 95fd5597 verificado) |
+| #13 e2 guías/news/destinos | Gitea cayce/bitcoinhotels | CI build-e2e-lighthouse corriendo (head b3fad57, re-basado sobre main post-#12) |
+| #7 fix build-lighthouse | GitHub patternn/hardcap-news | **CI VERDE** (build-lighthouse SUCCESS tras ab6a0c7) — esperando merge del operador |
+| #8 e2 travel-security-kit | GitHub patternn/hardcap-news | CI rojo por fallo HEREDADO de main (home 500 sin API; ver G1); comentario en el PR: mergear #7 primero |
+| #56 este doc + propuesta F1 | Gitea cayce/cayce-ops | CI verde (lint-test + isolation-test) |
+
+## Incidente propio de la ronda (transparencia)
+
+A las 02:06:29Z la rama local e2-fuentes-y-sellos fue reseteada a ea83ae6 (head del revert)
+7 segundos después de mi commit b3fad57 — probable carrera con el runner de CI en modo
+host o con el automerger compartiendo /srv/bitcoinhotels. Detectado via reflog; rama
+restaurada a b3fad57 y pusheada (origin verificado). Riesgo a vigilar: CI y autodeploy
+comparten árbol de deploy (hipótesis; no confirmado — NO VERIFICADO el actor exacto).
+
+## Pendientes del operador
+
+1. #12 ya mergeado/desplegado. Merge de #13 (bitcoinhotels) cuando CI verde; el deploy es automático.
+2. Merge de #7 y #8 (hardcap) — #7 arregla además el rojo heredado de main.
+3. Decidir dónde versionar promo.mjs (hoy sin repo) y si se retocan los captions ya publicados.
+4. Reanudar promo solo tras merges de E2 (comando arriba).
+5. F1: aprobar/rechazar la propuesta de docs/bitcoinhotels-datos-btcmap.md.

docs/sessions/2026-11-03-r31-s1-s2-f1-p1-p2-b1.md

@@ -0,0 +1,146 @@
+# Ronda 31 — S1 seguridad, S2 branch protection, F1 datos reales, P1/P2 promo, B1 FASE B (OpenCode/GLM, operador patternn)
+
+Decisiones del operador aplicadas en esta ronda: F1 aprobada tal cual; ~/cayce-social se versiona en entity; los 8 posts con sello "verified 2026-11-02" se eliminan.
+
+## S1 — El reseteo externo de la rama e2 (02:06:29Z del 2026-11-03)
+
+**Causa raíz (identificada con journal + reflog): NO fue el CI.** El job 201 del
+runner corrió 02:08:08 con "Working directory is /root/.cache/act/…/hostexecutor"
+(log del job) — nunca en /srv. La secuencia real:
+- 02:05:15 el auto-merger mergea #12; 02:06:00 el AUTODEPLOY empieza a desplegar
+  (captura OLD=ea83ae6 — HEAD del árbol, que estaba en la rama del revert).
+- 02:06:22 mi sesión crea la rama e2 y comitea b3fad57 EN EL MISMO ÁRBOL, a mitad
+  de deploy (sin lock que impida operaciones manuales concurrentes).
+- 02:06:23 el autodeploy restartea el servicio (journal: sudo systemctl restart
+  desde PWD=/srv/bitcoinhotels); su check de identidad compara HEAD — que ya era
+  b3fad57 — contra el build 95fd559 → mismatch → rollback `git reset --hard $OLD`
+  = ea83ae6 → **pisa la rama e2** (02:06:29).
+
+**Fixes aplicados y probados:**
+1. **flock compartido** `/run/lock/cayce-git-ops.lock` (tmpfiles.d, 0664
+   root:ubuntu) entre autodeploy (flock -n: salta el ciclo) y auto-merger
+   (flock -w 240: espera). Scripts versionados en cayce-ops (PR #58). Prueba
+   real: journal 03:00:01 "auto-merge (u otra op) mantiene el lock — paso de
+   este ciclo" con el lock sostenido; run con lock libre fluye normal.
+2. **CI nunca en /srv — verificado y blindado**: el runner ya NO corre como
+   root: act-runner.service User=ci-runner + config
+   /etc/cayce/act-runner.yaml con workdir_parent=/var/lib/gitea-act/work
+   (dedicado). Jobs verificados: "workspace OK:
+   /var/lib/gitea-act/work/<id>/hostexecutor" (guard en los workflows de los
+   3 repos Gitea). El probe de isolation.yml ahora da OK-INACCESIBLE para
+   /srv/cayce-core/.env y /srv/cayce-nostr/.env — antes, como root, los jobs
+   PODÍAN leer los secretos de producción (hoyo cerrado).
+3. **Zombies**: bitcoinhotels.service (legacy, 10.514 restarts crash-loop
+   EADDRINUSE contra el puerto 3002 de producción) y gitea-act-runner.service
+   (8.679 restarts por lock del .runner) → stop+disable (reversible).
+   Producción verificada 200 antes/después.
+4. **Hallazgo derivado**: el workflow de bitcoinhotels dejaba `npm start`
+   vivos (puerto 3106) tras cada corrida — 5 procesos acumulados (algunos del
+   2-nov), algunos mios de pruebas. Limpieza + `fuser -k 3106/tcp` antes y
+   después del paso de lighthouse (PR #14). Esto además desestabilizaba el
+   gate (0.78-0.83 con procesos vivos; verde tras limpiar).
+
+## S2 — Branch protection GitHub patternn/hardcap-news
+
+`main` protegida: required_status_checks strict + **build-lighthouse**
+obligatorio, enforce_admins=true, no force-push, no deletes.
+**Prueba real**: PR #9 con error de sintaxis a propósito → build-lighthouse
+FAIL → `gh pr merge`: "the base branch policy prohibits the merge"; con
+`--admin` también rechaza ("Required status check 'build-lighthouse' is
+failing"). PR cerrado y rama borrada tras la prueba. Esto cierra la clase del
+incidente #6 (mergeado con CI rojo).
+
+## F1 — Ejecutada (PR #14 bitcoinhotels, CI verde)
+
+- `src/data/lodging-btcmap.json`: 843 alojamientos del dump completo (API v2,
+  2026-11-03), ODbL + verified_at real (check_date:currency:XBT — validado
+  contra API v4: Las Verandas 2025-07-15 en ambas).
+- `src/data/lodging-curated.json`: Kessler×3 (kesslercollection.com/bitpay,
+  2026-11-03, quote) + Circa (circalasvegas.com/bitcoin: ATM 24/7 + paquete
+  1 BTC) + RW unverified (Gemini 2021, 8newsnow).
+- hotels.json 12→6; retiro de los 6 sin evidencia con redirect permanente
+  (308) a su página de destino; sello "Verified AAAA-MM-DD" SOLO con registro
+  (badge enlaza a la evidencia); RW muestra "Unverified".
+- Probado en copia aislada /tmp: badges correctos, 6 redirects OK, build 200.
+
+**Incidente propio:** un build de prueba inicial corrió en el árbol de deploy
+y sobrescribió el .next de producción ~7 min (contenido F1 sin merge).
+Restaurado en el acto (build-id servido 2fda9852 == main, home 200). Desde
+entonces toda prueba va en copias /tmp. Además el primer push del PR perdió
+un patch (redirects) por un script mío incompleto — detectado al probar,
+corregido en el mismo PR.
+
+## P1 — cayce-social versionado en entity (PR #9 entity + PR #59 cayce-ops)
+
+- entity `social/` {promo.mjs, guard12.mjs, social.mjs, .env.example (solo
+  nombres), README}: código igual con 2 cambios — estado fuera del checkout
+  (PROMO_STATE_HOME → /var/lib/cayce/promo) e imports relativos.
+- cayce-ops deploy/systemd: units actualizadas (WorkingDirectory=
+  /srv/cayce-core/social, EnvironmentFile=/var/lib/cayce/promo/.env).
+- Campaña SIGUE PAUSADA (timer stop+disable). Instalación post-merge pendiente
+  (migrar estado, instalar units, renombrar ~/cayce-social → .pre-repo).
+
+**Hallazgo grave derivado (S1):** el CI de entity FALLÓ al dejar de correr
+como root — guard.test.mjs leía `/srv/cayce-core/.env`, los node_modules y
+guard.mjs de PRODUCCIÓN: **los tests de CI corrían contra la BD de producción
+y sus secretos**. Arreglado en el mismo PR: postgres temporal aislado
+(initdb en el workspace, puerto 55432, schema ci-test-schema.sql), require
+relativo y PGURL por env. Verificado 27/27 aislado y 27/27 local. Ambos
+PRs tocan paths protegidos → requieren TU merge.
+
+## P2 — Los 8 posts con sello "verified 2026-11-02"
+
+- **4 Facebook BORRADOS** vía `sfeed posts delete --yes` (verificado:
+  `sfeed posts list` ya no los muestra):
+  1013900045145494_{122134510088947378, 122134520570947378,
+  122134544900947378, 122134572668947378}
+- **4 Instagram NO se pueden borrar** con las herramientas actuales: sfeed
+  solo gestiona FB Page posts; tokens.json guarda tokens del servicio sfeed,
+  no tokens Meta directos. URLs para borrado manual:
+  - https://www.instagram.com/p/DfOtHrGER3P/ (d1-ig-seed)
+  - https://www.instagram.com/p/DfPXaOcluHv/ (d2-ig-atm-fees)
+  - https://www.instagram.com/p/DfQAnd7FLxK/ (d3-ig-rescue)
+  - https://www.instagram.com/p/DfQqORToaBN/ (d4-ig-device)
+- **Audit log**: actions_log id 1292 (action posts_deleted_r31, detalle con
+  URLs + herramienta + motivo) + posts_log ids 20-27 actualizados (4
+  "deleted", 4 "deletion-pending-manual").
+- Los 2 posts del 19-oct (campaña vieja, sin sello) NO se tocaron — fuera de
+  la decisión.
+
+## B1 — FASE B: propuesta (NO publicada)
+
+`docs/bitcoinhotels-faseb.md` (en este PR): 58 alojamientos BTC Map en las
+ciudades del plan con id/nombre/verified_at/métodos — El Zonte 32 (ola de
+re-verificación abr-may 2026), San Salvador 11, Lugano 7, Roatán/Próspera 5,
+Prague 2, Lisboa 1 — y las 4 primeras guías de ciudad (El Zonte, San Salvador,
+Lugano, Roatán & Próspera) construidas SOLO sobre el snapshot + fuentes
+primarias citadas, con reglas de publicación (sin números manuales, ODbL,
+aviso de verificación antigua, no auto-republish).
+
+## PRs abiertos al cierre
+
+| PR | Repo | Estado al cierre |
+|---|---|---|
+| #58 s1: flock versionado + guard | cayce/cayce-ops | CI verde; toca paths protegidos → TU merge |
+| #59 p1: units promo | cayce/cayce-ops | **MERGED** (auto, verde) |
+| #60 este doc | cayce/cayce-ops | **MERGED** |
+| #14 f1: datos reales + redirects + sello | cayce/bitcoinhotels | **CI verde** (lighthouse 0.9x tras limpiar procesos fugados; toca workflows → TU merge) |
+| #9 p1: cayce-social en entity | cayce/entity | **CI verde** (postgres temporal por socket unix; 27/27 aislados) — toca guard* → TU merge |
+
+Epílogo técnico de entity#9 (3 iteraciones de CI, todas documentadas en el PR):
+postgres del CI por TCP fallaba con EADDRINUSE en 127.0.0.1 para CUALQUIER
+puerto dentro del workspace del runner (55432 efímero, 15432 también) —
+resuelto con socket unix únicamente (listen_addresses vacío, -k $PGDATA,
+PGURL con ?host=$PGDATA). Verificado 27/27 aislados.
+
+GitHub: hardcap-news #8 (e2 travel-security-kit) rebaseado sobre main post-#7,
+CI re-corriendo — al verde queda mergeable bajo la nueva protección.
+
+## Pendientes del operador
+
+1. Merges: bh #14, entity #9, cayce-ops #58/#59 (todos tocan paths protegidos).
+2. Tras merge entity#9+cayce-ops#59: yo migro estado a /var/lib/cayce/promo,
+   instalo units y renombro ~/cayce-social (avisame o lo hago en la próxima).
+3. Borrar a mano los 4 posts de IG (URLs arriba).
+4. B1: aprobar/gestionar las 4 guías propuestas.
+5. Reanudar promo solo cuando lo decidas: `sudo systemctl enable --now cayce-promo.timer`.