Merge pull request 'r30b doc: auditoria r26-28 + E1-E3 + propuesta F1 + G1' (#56) from r30b-docs into main

docs/DECISIONS.md

@@ -1,146 +1,19 @@
-# Architectural decisions
+# DECISIONES del operador (binding para todos los agentes)
 
-Each entry: decision, why, and what it costs us. Newest last.
+## D1 (r26): Cuentas y tokens
+NINGUN agente puede: modificar permisos de la cuenta del operador (pattern),
+promoverla/degradarla de admin, ni crear tokens a su nombre — ni con fines de
+prueba. Para pruebas de API: cuentas de prueba propias (p.ej. ci-bot o una
+dedicada), creadas y revocadas por el agente. Antecedente: en r25 se generó un
+token de pattern para una prueba; práctica prohibida desde esta decisión.
 
-## D1 — uv + uv.lock as the lockfile
+## D2 (r26): Estado del runtime
-`uv` manages the pinned interpreter (3.12) and produces `uv.lock`. CI installs
+Ningún proceso escribe estado dentro de los checkouts de deploy. El estado
-with `uv sync --frozen`; nothing runs against unpinned trees.
+vive en /var/lib/cayce/ (lessons.md y similares). Los árboles de
-*Cost:* contributors need uv (single static binary).
+/srv/cayce-core, /srv/bitcoinhotels y /srv/hardcap-news quedan limpios sin
+excepciones (check-clean-trees en verde).
 
-## D2 — Tests on SQLite; migrations authoritative for Postgres
+## D3 (r26): Trazabilidad de pushes
-Tests run on file-backed SQLite via `metadata.create_all` (fast, no service
+Todo push queda identificado por autor; el reporte diario lista los pushes
-dependency). The Alembic chain is the production schema path; `make
+del día por autor, y todo merge a main que toque archivos de CODEOWNERS
-migrate-check` (CI job) smoke-runs `alembic upgrade head` on SQLite.
+dispara DM urgente si no lo mergeó pattern.
-*Cost:* Postgres-specific features (e.g. JSONB, partial indexes) stay unused —
-the schema uses portable `sa.JSON` instead.
-
-## D3 — LLM behind an in-repo provider interface; null by default
-`cayceops.llm.LLMProvider` is the only seam. `null` provider raises — components
-fall back to deterministic rules. `openai-compat` uses stdlib `urllib` against
-any OpenAI-shaped endpoint; no SDK dependency.
-*Cost:* no retries/streaming/tool-calls — acceptable for classification and
-draft drafting. Add providers by implementing `complete()`.
-
-## D4 — Nostr client implemented in-repo (coincurve + websockets)
-NIP-01 event build/sign/publish is ~150 auditable lines vs. a black-box SDK.
-Keys accepted as 32-byte hex only. Relays are plain env config; publish is
-fire-and-wait with a timeout; the event id is stored as `post_ref`.
-*Cost:* no NIP-05, no retries across relay pools — fine for kind-1 notes.
-
-## D5 — AUTONOMOUS_MODE semantics (the only non-human approval path)
-Default **false**: only human-approved proposals execute, only
-human-approved drafts are sendable/publishable.
-**true** adds exactly one capability: the executor may auto-approve
-`proposed` items whose `kind` is in `CAYCE_OPS_AUTONOMOUS_KINDS`, up to
-`CAYCE_OPS_AUTONOMOUS_DAILY_CAP` per day, recording actor `auto:policy` in the
-audit log. Everything else still requires a human. Auto-approval never touches
-mail drafts or content items.
-*Cost:* two code paths; both audited; the autonomous one is off by default and
-cap-bounded.
-
-## D6 — CI workflow files ship now; enforcement gate is `make check` until a runner exists
-`.gitea/workflows/ci.yml` (Gitea Actions) and `.github/workflows/ci.yml`
-(identical) run ruff, alembic smoke, pytest, gitleaks on every PR/push. The
-current host runs no Gitea Actions runner, so until one is provisioned the
-same gate is enforced locally: `scripts/pre-push` runs `make check` (lint +
-tests + migration smoke + full-history secret scan) before every push, and the
-audited commit hash in `AUDIT.md` is the one that passed it.
-*Cost:* CI results are deferred on the current host; the gate itself is
-identical to CI.
-
-## D7 — gitleaks allowlist for test fixtures
-`tests/` contains invented data (fake Nostr key, fake merchant mail). It is
-allowlisted in `.gitleaks.toml` so the history scan stays signal-only.
-*Cost:* a real secret committed under `tests/` would not trip the scanner —
-compensating control: fixtures are reviewed in PRs, and no fixture ever reads
-the environment.
-
-## D8 — Proposal history kept when retiring the grant text
-The repo began as a grant proposal; the retirement commit replaces it with the
-project README (no grant references in the tree). The old commits stay — the
-audit story ("this started as X, the operator mandated Y, here is the diff") is
-more honest than a rewritten birth.
-*Cost:* `git log` still shows the word "OpenSats" in old messages. The tree and
-README carry none.
-
-## D9 — Executor plugins are in-process registrations
-An action plugin is a Python function registered in
-`cayceops.components.executor.plugins.REGISTRY`, mapped by proposal `kind`.
-`http_post` exists but is inert unless `CAYCE_OPS_ENABLE_HTTP_ACTIONS=true`.
-*Cost:* no sandboxing of plugins — plugins are repo code, reviewed like
-everything else.
-
-## D10 — Audit chain is hash-chained; approval can require operator signature (post-audit)
-`audit_log` rows chain sha256(prev_hash|fields); `verify_audit_chain` walks it,
-the monitor can surface breaks. With `CAYCE_OPS_OPERATOR_PUBKEY` set,
-`executor approve` REQUIRES a BIP-340 signature over
-sha256("cayce-ops:approve:<id>") from the operator key — `--actor` becomes a
-label, the key is the proof (the audit's "anyone can sign as anyone").
-*Cost:* without a pubkey configured the gate degrades to the old free-text
-actor; separate DB roles per daemon remain a deployment TODO (SQL to tighten
-ships in deploy/roles.sql).
-
-## D11 — Mail threading now has a real first-contact path (post-audit)
-Sends create an OUTBOUND row (own Message-ID, In-Reply-To -> inbound);
-inbound rows keep their original Message-ID. `maild compose` creates the
-initial outreach draft for a proposal. Approval is bound to the draft text
-via sha256 (`approved_hash`): an edited draft refuses to send until
-re-approved. Each send commits in its own transaction — SMTP failure on
-message N can no longer resurrect 1..N-1 as duplicates.
-
-## D12 — IMAP \\Seen only after commit; content gates tighten (post-audit)
-Messages are fetched unmarked and flagged \\Seen after the processing
-transaction commits (crash mid-batch no longer loses mail). Publisher:
-caption hash-bound at approval, disabled channels are terminal (`SKIPPED`),
-publish failures burn a bounded attempt budget before abandonment.
-`risk_score` renamed `match_score` (keyword relevance) and auto-approval
-takes the HIGHEST score first.
-
-## D13 — No non-human approval path (round 2, supersedes D5)
-Operator signatures are mandatory for approvals AND re-verified at
-execution/send/publish time against current content + deployment id. With
-that gate, the AUTONOMOUS_MODE auto-approval path cannot exist: it would
-produce unsigned approvals the gate refuses. `_auto_approve` is inert and
-audits `autonomy_disabled` when invoked. *Cost:* AUTONOMOUS_MODE is now
-inert by design.
-
-## D14 — Signatures bind content + deployment (round 2)
-message = sha256("cayce-ops:<type>:<deployment_id>:<id>:<content_hash>").
-content_hash is canonical-json of the fields that matter per type. Full
-signatures live on the row (operator_signature) and in the audit detail.
-Verification happens again at run time: unsigned rows (raw SQL approval)
-revert to their pre-approval state with an error audit. *Cost:* a deployment
-id env var is mandatory; signatures must be recomputed if content changes.
-
-## D15 — Approval classifier veto (round 2)
-Any negation token anywhere in a mail vetoes an `approval` classification →
-needs_review. Simpler and strictly conservative vs. per-pattern negation
-lists. *Cost:* genuinely-positive approvals containing stray negations
-(e.g. "we have no reason not to welcome you") need human triage.
-
-## D16 — La clave del operador nunca es una identidad de agente
-
-**Fecha:** 2026-10-28
-
-**Contexto:** se descubrió que `CAYCE_OPS_OPERATOR_PUBKEY` estaba configurada
-con la pubkey de Cayce — es decir, Cayce se aprobaba a sí misma. La firma
-BIP-340 era técnicamente válida pero semánticamente nula: "aprobación humana"
-firmada por el agente no es aprobación humana.
-
-**Regla:** los daemons y el CLI se niegan a operar si la pubkey del operador
-coincide con:
-1. La pubkey derivada de cualquier clave privada cargada en la config
-   (`CAYCE_OPS_NOSTR_PRIVATE_KEY` u otra identidad de agente futura), o
-2. Cualquier pubkey en `CAYCE_OPS_FORBIDDEN_OPERATOR_PUBKEYS` (deny-list
-   explícita, para claves fuera de este proceso).
-
-**Implementación:** `cayceops.signing.validate_no_self_approval()`, llamada
-desde `_signing()` en executor/maild/publisher. Lanza `SelfApprovalError`.
-
-**La firma del operador se produce FUERA de la VPS.** El CLI `approve-*`
-acepta la firma como parámetro (ya lo hace); nunca la genera él. Mientras
-no exista el signer externo, `CAYCE_OPS_OPERATOR_PUBKEY` debe permanecer
-vacía — los daemons se niegan a operar y eso es lo correcto.
-
-**La nsec de Cayce NO se toca:** sigue siendo la identidad del agente para
-publicar y anclar. Lo que se prohíbe es usarla como clave de operador.

docs/bitcoinhotels-datos-btcmap.md

@@ -0,0 +1,99 @@
+# PROPUESTA (r30b, NO ejecutada) — BTC Map como fuente de verdad de alojamientos
+
+Estado: propuesta. Nada de esto está aplicado. Requiere aprobación del operador.
+
+## 1. Diagnóstico con evidencia (2026-11-03)
+
+- `src/data/hotels.json` (12 hoteles, `verified: true` en los 12) no tiene registro de
+  verificación en el repo: entró como snapshot de producción en la ronda 7 (f5f66db).
+- Cruce real contra el dump completo de BTC Map (api.btcmap.org/v2/elements, 43.349
+  elementos, 27.383 activos con nombre+coords; verificado 2026-11-03): de los 12 hoteles
+  solo **Las Verandas (Roatán)** existe en BTC Map (`node:10164144439`, tourism=hotel,
+  sin verificación reciente). **Los otros 11 NO están en BTC Map.**
+- De esos 11, hay soporte externo real para 4: los 3 de Kessler Collection (Grand Bohemian
+  Orlando, Bohemian Savannah, Casa Monica) aceptan BTC vía BitPay según su página oficial
+  (kesslercollection.com/bitpay, "notify a front desk agent upon check out", verificada
+  2026-11-03), y Circa tiene página propia de bitcoin (circalasvegas.com/bitcoin: ATM BTC
+  24/7 + paquete fin de semana a 1 BTC — no es POS Lightning). Resorts World Las Vegas
+  anunció partnership con Gemini en 2021 (8newsnow.com, 2021-06) pero su estado actual no
+  se pudo verificar. Los 6 restantes (Dolder Grand, Van Walsum, Splendide Royal,
+  InterContinental Ljubljana, Pestana CR7, Palazzo Versace Dubai): sin evidencia de que
+  acepten bitcoin.
+- Los campos `acceptsLightning: true` de RW y Circa no están respaldados por fuente alguna
+  (ver arriba: Gemini-2021 y ATM/paquete respectivamente). El news item que los atribuía
+  ("instalan POS Lightning") se retiró en el PR #13 por fabricado.
+
+## 2. Modelo de datos propuesto
+
+Dos conjuntos separados y etiquetados:
+
+```
+src/data/lodging-btcmap.json        ← fuente de verdad, generado por script
+{
+  "_meta": {
+    "fetched_at": "AAAA-MM-DD",
+    "source": "BTC Map API v2 /elements (https://btcmap.org)",
+    "license": "ODbL — atribución obligatoria",
+    "filter": "tourism in [hotel,hostel,guest_house,motel,apartment] && !deleted_at",
+    "generator": "scripts/fetch-lodging.mjs (propuesto)"
+  },
+  "hotels": [{
+    "btcmap_id": "node:10164144439",
+    "name": "Las Verandas",
+    "city": "Roatan", "country": "HN",
+    "lat": 16.31, "lon": -86.53,
+    "lightning": false, "onchain": true,          // tags payment:lightning / payment:onchain
+    "website": "...", "phone": "...",
+    "verified_at": "2025-07-15",                  // registro real del API (o null = nunca verificado)
+    "btcmap_url": "https://btcmap.org/merchant/node:10164144439"
+  }]
+}
+
+src/data/lodging-curated.json       ← excepciones, cada una con EVIDENCIA
+{
+  "_meta": { "policy": "solo hoteles con página oficial de pago en bitcoin, o marcados unverificado" },
+  "hotels": [{
+    "slug": "grand-bohemian-orlando",
+    "evidence_url": "https://www.kesslercollection.com/bitpay",
+    "evidence_checked_at": "2026-11-03",
+    "claims": { "onchain": true, "lightning": false },   // solo lo que la evidencia sostiene
+    "status": "official-source"        // "official-source" | "unverified"
+  }]
+}
+```
+
+Reglas del sello: `verified AAAA-MM-DD` se muestra solo si existe `verified_at` de BTC Map
+(registro del API) o `evidence_url` + `evidence_checked_at` (página oficial revisada). Todo
+lo demás muestra "unverified" o no se lista.
+
+UI: atribución ODbL visible con enlace a btcmap.org por venue (ya existe el patrón en las
+fichas); refresh nocturno del snapshot con PR automático o build-time fetch (hoy
+`src/lib/btcmap.ts` ya hace fetch en runtime con revalidate 24h — se unifica).
+
+## 3. Los 10+1 hoteles fuera de BTC Map — una opción por hotel
+
+| Hotel | Opción | Evidencia |
+|---|---|---|
+| Grand Bohemian Orlando (Kessler) | (a) mantener con enlace oficial | kesslercollection.com/bitpay (2026-11-03) |
+| Bohemian Savannah (Kessler) | (a) mantener con enlace oficial | idem (aparece en la lista de propiedades) |
+| Casa Monica (Kessler) | (a) mantener con enlace oficial | idem |
+| Circa Las Vegas | (a) mantener con enlace oficial | circalasvegas.com/bitcoin (ATM 24/7 + paquete 1 BTC; 2026-11-03) |
+| Resorts World Las Vegas | (b) marcar "no verificado" | partnership Gemini anunciado 2021 (8newsnow); estado actual sin verificar |
+| Dolder Grand (Zurich) | (c) retirar | sin evidencia de pago en bitcoin |
+| Hotel van Walsum (Rotterdam) | (c) retirar | sin evidencia |
+| Splendide Royal (Lugano) | (c) retirar | sin evidencia |
+| InterContinental Ljubljana | (c) retirar | sin evidencia |
+| Pestana CR7 Lisboa | (c) retirar | sin evidencia |
+| Palazzo Versace Dubai | (c) retirar | sin evidencia |
+| Las Verandas (Roatán) | pasa al set de BTC Map | ya está en BTC Map (node:10164144439) |
+
+Con las opciones (a) aplicadas el sitio queda con 5 hoteles verificables (4 oficiales +
+todo el lodging de BTC Map) en vez de 12 con sello "verified" sin registro.
+
+## 4. Migración (cuando se apruebe)
+
+1. PR 1: añadir `scripts/fetch-lodging.mjs` + `lodging-btcmap.json` generado (ODbL meta).
+2. PR 2: lodging-curated.json con la tabla de arriba; UI: sello condicionado a registro
+   real; los (c) se retiran del listado (quedan en historial git).
+3. PR 3: hoteles (a)/(b) con sus enlaces de evidencia; news.json sin items de marca.
+4. Cada PR desplegado por autodeploy normal (identidad + rollback ya existentes).

docs/sessions/2026-11-03-r30b-auditoria-r26-28-factual.md

@@ -0,0 +1,131 @@
+# Ronda 30b — Auditoría r26–28 + auditoría factual + saneos (OpenCode/GLM, operador patternn)
+
+> Nota: la ronda 30a cerró su informe A1–A3 pero **no alcanzó a escribir su doc de sesión**
+> ni a abrir PR de documentación. Resumen r30a (de su informe): los 3 commits vacíos de
+> prueba nunca llegaron al remoto (protección de rama OK; reset local aplicado); conflicto
+> DU de lessons.md resuelto (el estado vive en /var/lib/cayce/lessons.md); news-sitemap
+> huérfano de hardcap respaldado en forensics/r30 y descartado; los 4 árboles quedaron
+> limpios en origin/main. Este doc cubre r30b y cierra el hueco documental de r30a.
+
+## D1 — Auditoría rondas 26–28 (ventana auditada: 2026-11-02 20:30Z → r30a)
+
+Mergeado/desplegado en la ventana (git log + PRs de Gitea y GitHub + journal de autodeploy):
+
+| Cambio | Veredicto | Evidencia |
+|---|---|---|
+| cayce-ops PR #55 (DECISIONS D1-D3) mergeado 20:40Z, desplegado 20:42Z | CORRECTO — solo docs de política | `git log` 845609e; journal `cayce-ops → 845609e` |
+| entity PR #8 (lessons.md fuera del checkout) mergeado 20:40Z, deploy 20:42Z tests 27/27 | CORRECTO — r30a verificó árboles limpios y /var/lib/cayce/lessons.md (3309 B) | journal `entity → d6bbf67 (tests 27/27…)` |
+| bitcoinhotels PR #11 (fichas batch 1, 20 venues/ciudad) mergeado 21:00Z, deploy 21:09Z | **FALSO — revert abierto (PR #12)**: la búsqueda por TEXTO de BTC Map v4 devolvía matches de nombre en otros países presentados como "Nearby/Places around {city}". 19/177 rows >50 km (hasta 13.634 km), + duplicados que inflaban conteos. La herencia de #9 (12/61 rows >50 km) también se sanea en el mismo PR | Auditoría contra lat/lon real del API v4 (tabla completa en el PR #12); journal: 2 ROLLBACK por build-id mismatch (21:03, 21:06) antes del deploy OK 21:09:20 |
+| hardcap-news PR #7 (pieza-hub-security) ABIERTO 20:52Z, NO mergeado | No desplegado. Su CI rojo es HEREDADO de main (ver G1): el home devolvía 500 sin API desde antes del PR | runs 41513621707 (#6, rojo) y 41523126329 (#7, rojo); repro local: `/` = 500 ECONNREFUSED, `/topics/security` = 200 |
+| Promos publicadas en la ventana (d2-fb-wrench 09:04Z… d4-ig-device 01:04Z) | Textos con sellos "(verified 2026-11-02)" sin registro de verificación y claims sin fuente → E1/E2/E3 | posts_log ids 20-27 con URLs reales a FB/IG |
+
+Sin más deploys 21:10Z→r30a (journal del timer: solo runs vacíos). Los commits vacíos de
+prueba de r28 nunca llegaron a remoto (ya resuelto en r30a).
+
+## E1 — Auditoría factual (afirmación → archivo → fuente primaria | SIN FUENTE)
+
+### Guías bitcoinhotels (src/data/guides.json, "updated 2026-10-16")
+
+| Afirmación | Archivo | Fuente primaria |
+|---|---|---|
+| "foreign transaction fees (1-3%), DCC (3-8%)" | guides.json · how-to-pay… | SIN FUENTE → genérico, cifras fuera (PR #13) |
+| "settles in under two seconds" | idem | SIN FUENTE → "settles in seconds" (PR #13) |
+| "directory.btcpayserver.org sell airline/hotel/Uber gift cards… app" | guides.json · how-to-pay… | FALSO (scrub de marcas sobre "Bitrefill") → Bitrefill + bitrefill.com (2026-11-03) (PR #13) |
+| ATM: "operator commission 6-12% + spread 1-4%", "tourist pays 10-15%", "prepared 4-6%" | guides.json · best-bitcoin-atms… | Parcial: 10-15%/mediana ~16% con fuente (coinatmradar.com, spark.money, cash2bitcoin.com, 2026-11-03); el resto SIN FUENTE → fuera (PR #13) |
+| "€200-900 no-KYC" + tabla por ciudad (Amsterdam €250-750/GN ~8%, Praga CZK 5k-25k, Miami $200-800, etc.) | idem | SIN FUENTE (por operador) → reemplazada por checklist de verificación (PR #13) |
+| "2021 Bitcoin Law, BTC legal tender… capital gains exempt" | guides.json · living-on-sats… | Reuters 2025-01-30 + Forbes 2025-02-28 (aceptación voluntaria desde ene-2025; exención se mantiene) → matiz (PR #13) |
+| "$400-800/mes apartamento El Zonte", "$20-45/noche hostales", "$500-900/mes SS" | idem | SIN FUENTE → fuera (PR #13) |
+| "airport 45 minutes away" | idem | SIN FUENTE → fuera (PR #13) |
+| "Travala lists dozens of Salvadoran properties taking BTC directly" | idem | Fuente real travala.com/payment/bitcoin-btc (2026-11-03) pero "directly" es inexacto (paga la plataforma) → reescrito (PR #13) |
+| Presupuesto semanal en sats ("17-29k sats noche", "1.05-1.5M sats/mes", "late 2026 prices") | idem | SIN FUENTE (implica BTC≈$105k sin cita) → fuera; guía manda a derivar el propio número (PR #13) |
+| "tourist visa (180 days for most nationalities)" | idem | sv.usembassy.gov (90 días estándar, hasta 180 según nacionalidad/pasaporte; 2026-11-03) → corregido (PR #13) |
+| "community lived on sats since 2019" (El Zonte) | idem | Bitcoin Beach documentado desde 2019 — se mantiene sin cifra nueva |
+| "Benjamin Reich (BERLIN) district leads" | idem | SIN FUENTE (dato garbleado) → fuera (PR #13) |
+| Sello "— verified AAAA-MM-DD" en venues de fichas | HotelDetail.tsx + hotels-btcmap.json | Registro REAL: `verified_at` del API de BTC Map → se mantiene (los datos falsos asociados se quitan en PR #12) |
+| Sello "Verified" (badge, 12/12 hoteles) | hotels.json | SIN REGISTRO en el repo (snapshot ronda 7) → propuesta de rediseño en F1 (no ejecutada) |
+
+### hardcap (frontend/src/app/learn/travel-security-kit/page.tsx, "updated Oct 2026")
+
+| Afirmación | Fuente primaria |
+|---|---|
+| "The 2026 wrench-attack dataset we track at hardcap" | SIN FUENTE (no existe tal dataset; el backend clasifica notas con pilar security) → reescrito (PR GitHub #8) |
+| "Every wrench attack we've tracked started with a public display" | SIN FUENTE → "reported… typically" (PR GitHub #8) |
+| "airlines lose [bags] 2% of the time" | FALSO — SITA Baggage IT Insights 2026: 4.9/1.000 (0,49%, incluye demora/daño) → corregido (PR GitHub #8) |
+| "Bitrefill … 186 countries" | bitrefill.com ("over 186 countries", 2026-11-03) → se mantiene |
+
+### Textos de promo (/home/ubuntu/cayce-social/promo.mjs — 12 captions)
+
+| Afirmación | Post | Fuente primaria |
+|---|---|---|
+| "Cards charge 2-4% on FX…; Lightning route usually stays under 0.5%" | d1-fb-lightning | SIN FUENTE |
+| "(verified 2026-11-02)" / "(checked/updated/data through 2026-11-02)" ×12 | todos | SIN REGISTRO — no existe log de verificación de estos claims; el guard R9 solo exigía "fuente y fecha" en el texto (rechazó 90day-protocol por eso: posts_log id 13) |
+| "The 2026 wrench-attack dataset is blunt…" | d2-fb-wrench, d5-ig-mistakes | SIN FUENTE (idem hardcap) |
+| "Sats to gift card in seconds across 186 countries" | d3-ig-rescue | bitrefill.com (real) — sin cita en el caption |
+| "first machine charges 10-15%… operator map runs 4-6%" | d2-ig-atm-fees | 10-15% con fuente; "4-6%" SIN FUENTE |
+| "surf hostel 17-29k sats a night, meals 11-17k…" | d3-fb-budget | SIN FUENTE (espejo de la guía) |
+| "Amsterdam EUR 250-750, Prague CZK 5k-25k, Miami USD 200-800" | d5-fb-kyc | SIN FUENTE |
+| "bitcoin circulates as legal tender inside the jurisdiction" (Prospera/Roatán) | d4-fb-roatann | Parcial: Próspera adoptó BTC en 2022 (anuncios propios); "the island takes Lightning natively" SIN FUENTE por venue — ya corregido en destinos (PR #13) |
+| "Blink funded to 500k sats… most land near 70/30" | d6-ig-protocol | SIN FUENTE (protocolo editorial propio, presentado como dato) |
+
+**Nota:** promo.mjs NO está versionado (no es repo git) — hallazgo adicional de la ronda.
+Los captions publicados (8) son editables solo en plataforma; los 4 pendientes están
+pausados (E3). Corrección de textos pendiente de decidir dónde versionar (ver pendientes).
+
+## E2 — Correcciones (por PR)
+
+- **bitcoinhotels PR #13** (abierto): guías/news/destinos — SIN FUENTE fuera o con fuente
+  real (tabla arriba). news fabricados (#1 e-visas Lightning, #4 RW+Circa POS) quitados/
+  reescritos con fuentes.
+- **hardcap-news PR #8 GitHub** (abierto): travel-security-kit corregido.
+- **Sellos**: los "verified AAAA-MM-DD" con registro real (BTC Map) se mantienen; los de
+  promo quedan cubiertos por E3 hasta reposicionar los textos.
+
+## E3 — Promo pausada (sin borrar nada)
+
+`systemctl stop + disable cayce-promo.timer` (inactive/disabled verificado). Nada borrado:
+promo.mjs, promo-state.json, campaign-start.json intactos. Próximos posts de la campaña
+(d5, d6) quedan en pausa. Reanudar: `sudo systemctl enable --now cayce-promo.timer`.
+Pendiente: los 8 ya publicados siguen en FB/IG (no se borran por regla del operador).
+
+## F1 — Propuesta de modelo de datos (NO ejecutada)
+
+Ver `docs/bitcoinhotels-datos-btcmap.md` (nuevo, en este PR). Resumen: BTC Map como fuente
+de verdad para lodging (ODbL, verified_at real); de los 12 actuales solo Las Verandas está
+en BTC Map; propuesta (a)/(b)/(c) para los otros: 4×(a) con página oficial de pago
+(Kessler×3 + Circa), 1×(b) RW "no verificado", 6×(c) retirar.
+
+## G1 — hardcap-news PR #7: causa del fallo de build-lighthouse + fix en rama (NO mergeado)
+
+Causa raíz (log del job 125543910450, run 41523126329):
+1. `npm start` + Lighthouse → "Runtime error… (Status code: 500)" ×3 pasadas: el home
+   (`page.tsx`) llama `getArticles/getBubbles` server-side SIN catch; sin API (CI no levanta
+   backend) el fetch lanza ECONNREFUSED → SSR 500.
+2. Bug del propio script de CI: con los 3 scores en null, `sorted([None,None,None])[1]`
+   revienta con `TypeError: '<' not supported between instances of 'NoneType'…` en vez de
+   fallar limpio.
+3. NO es culpa del diff de #7: el mismo job ya estaba rojo en main (run 41514558872 del
+   push del merge de #6, 19:56Z) y en el propio PR #6 (run 41513621707) — #6 se mergeó con
+   CI en rojo. La página nueva de #7 (/topics/[slug]) SÍ tiene .catch() y sirve 200.
+
+Fix (commit ab6a0c7 en pieza-hub-security, pusheado, PR #7 actualizado — NO mergeado):
+`page.tsx` con catch → estado vacío (verificado local: `/` 500→200 "No articles yet";
+Lighthouse móvil 0.92/0.92/0.92, mediana 0.92 ≥ 0.90) + ci.yml ignora scores null (<2
+válidas = fallo limpio).
+
+## PRs abiertos al cierre
+
+| PR | Repo | Estado |
+|---|---|---|
+| #12 revert venues #11 (+saneo #9) | Gitea cayce/bitcoinhotels | CI corriendo |
+| #13 e2 guías/news/destinos | Gitea cayce/bitcoinhotels | CI corriendo |
+| #7 fix build-lighthouse | GitHub patternn/hardcap-news | CI corriendo |
+| #8 e2 travel-security-kit | GitHub patternn/hardcap-news | CI corriendo |
+| #55-style: este doc + propuesta F1 | Gitea cayce/cayce-ops | este PR |
+
+## Pendientes del operador
+
+1. Merge de #12 y #13 (bitcoinhotels) cuando CI verde; el deploy es automático.
+2. Merge de #7 y #8 (hardcap) — #7 arregla además el rojo heredado de main.
+3. Decidir dónde versionar promo.mjs (hoy sin repo) y si se retocan los captions ya publicados.
+4. Reanudar promo solo tras merges de E2 (comando arriba).
+5. F1: aprobar/rechazar la propuesta de docs/bitcoinhotels-datos-btcmap.md.