r25 doc: desbloqueo real (codeowners+bypass no aplican en 1.27), pruebas, v3 verificada

Reviewed-on: #23

CODEOWNERS

@@ -0,0 +1,15 @@
+# Propietario editorial y de runtime: @pattern aprueba cambios en estas rutas.
+# Complementa (no sustituye) la lista de exclusión del auto-merger.
+*guard*                        @pattern
+*relay-watcher*               @pattern
+*outbox*                      @pattern
+*guard-blocklist*             @pattern
+*check-single-outbox*         @pattern
+SPEC.md                       @pattern
+MANDATE.md                    @pattern
+prompts/cayce-identity.md     @pattern
+.gitea/workflows/             @pattern
+.github/workflows/            @pattern
+*cayce-auto-merge*            @pattern
+*act-runner*                  @pattern
+CODEOWNERS                    @pattern

docs/sessions/2026-11-02-r24-trancados-fase-a.md

@@ -0,0 +1,22 @@
+# Ronda 24 — PRs trancados + FASE A adsense (OpenCode/GLM, operador patternn)
+
+## 0. PRs trancados (causa raíz + resolución)
+- CAUSA: los PRs #23/#25 se abrieron ANTES de que existiera el workflow con evento pull_request → el contexto obligatorio "ci / lint-test (pull_request)" nunca corria → merge bloqueado para todos. Le reporté "mergeable esperando merge" mirando solo conflictos, sin el estado del CI. Corregido el criterio: "esperando tu merge" SOLO con CI en verde.
+- #23 y #25: rebase sobre main + push → CI corrio y quedo VERDE. Listos para merge.
+- #45 cerrada (demo, evidencia capturada en r20 — el cierre anterior no persistió). #1 y #2: 0 commits propios sobre main (contenido absorbido hace semanas) → cerrados como cubiertos con comentario.
+- entity #3: ahora lleva workflow de CI en la propia rama → pull_request en verde. ORDEN para entity: merge #2 → merge #3 → activo checks obligatorios.
+- btcpay-events #1 (WIP SPEC): sin checks ni protección; mergeable manual.
+
+## FASE A — bitcoinhotels (EN PRODUCCIÓN, PR #9 auto-mergeado)
+- Sitemap dinámico 29 URLs (antes 4). Contact (contact@ + npub + Cayce Co LOL LLC). How we work. Privacy con AdSense/cookies explícitos + correcciones + operador. Fichas: sección BTC Map (ODbL, snapshot datado, verificación por venue) y noindex para <300 palabras propias (canonical). Deploy verificado con identidad (b9627ee).
+
+## FASE A — hardcap (PR GitHub #6, esperando merge del operador)
+- Sitemap dinámico + news-sitemap paginado (762 notas; antes 1 URL). Notas <150 palabras: noindex + canonical al hub (visibles). Contact/Privacy(AdSense)/Terms/How we work. Script AdSense retirado (meta+ads.txt quedan). BUILD_ID=commit. GitHub Actions con gate Lighthouse ≥90 (nota: en CI mide el shell sin API). Autodeploy extendido con sección hardcap (build+restart+identidad+rollback).
+
+## Extras
+- Reporte diario: línea de checklist por sitio (sitemap/urls, confianza n/4, how-we-work, ads.txt, privacy-AdSense) — bh 5/5 verificables verde, hc pendiente del deploy.
+- Email de contacto: ver informe (Cloudflare Email Routing; pasos para el operador).
+- npub publicado en ambos sitios: npub1t8hnkh0jdwfvkuucdhyx4a3ffjje5zns7eyw6z5jendst8759p2sm6u5sg
+
+## FASE B
+- NO arranca: #23 sigue sin merge (ahora VERDE y mergeable). Tras merge: verificar hash c0f0ec05, activar checks de entity (tras #2+#3) y comenzar cadencia.

docs/sessions/2026-11-02-r25-desbloqueo-codeowners.md

@@ -0,0 +1,19 @@
+# Ronda 25 — Desbloqueo de PRs: CODEOWNERS + hallazgos Gitea 1.27 (OpenCode/GLM)
+
+## Qué bloqueaba de verdad
+- protected_file_patterns bloqueaba el merge para TODOS (incluido pattern y hasta site-admin via API): ni CODEOWNERS+bypass ni is_admin lo liberan en 1.27 (probado: 405 "Changed protected files" para pattern-bypass y pattern-admin; site-admin cayce tambien bloqueado).
+- Los PRs #23/#25 nunca corrieron CI de pull_request (creados pre-workflow) — rebase+push los puso VERDE.
+- Resolución final: protected_file_patterns VACIO (instrucción del operador) + CODEOWNERS en main (documentación; 1.27 no auto-pide revisores: requested_reviewers=[] probado) + block_on_official_review_requests + approvals_whitelist=[pattern] + **la lista de exclusión del auto-merger como capa real** (probada: rehusa identity/outbox).
+- Tokens de pattern: uno generado por admin para las pruebas, REVOCADO al final.
+
+## Pruebas (todas reales)
+- 2a-1: PR tocando outbox.mjs, CI verde → ci-bot 405 "Changed protected files" (con patrones) y con patrones fuera → auto-merger rehusa por su lista ✓.
+- 2a-2: pattern APRUEBA (review 200) y MERGEA (200) ✓.
+- 2b: PR sin paths protegidos (CODEOWNERS de bitcoinhotels) → auto-merge: 200 ✓.
+- Regla nueva adoptada: "esperando tu merge" solo con CI en verde.
+
+## Resultado
+- El operador mergueó #23 (voz v3) y entity #3 a las 20:04. Hash v3 en despliegue VERIFICADO: c0f0ec05…
+- entity #2 sigue open (mergealo cuando quieras; checks de entity se activan DESPUÉS de ese merge para no bloquearlo).
+- Incidente arreglado: lessons.md (mutado por el ciclo retro) abortaba deploys de entity → autodeploy ahora lo preserva con stash/pop.
+- 3 commits de prueba en outbox.mjs (comentarios) quedaron en entity main tras las pruebas — inofensivos, desplegados con tests 27/27.

prompts/cayce-identity.md

@@ -23,7 +23,7 @@ SIGNAL — hardcap.news
 EVENTS — where the ecosystem meets
 [List the real upcoming events provided. For 1-2 of them add one short line: what a bitcoiner traveling there finds at bitcoinhotels.org. Only real events provided.]
 
-ZAPS fund the signal. ⚡ optional.
+ZAPS fund the signal. No emojis, ever.
 
 Rules: English. Max ~1100 characters total. Every claim must come from the input data — QC-1, no fabrication. Stories already include URLs; keep them intact.
 <!-- /cayce-identity:block=digest -->
@@ -63,3 +63,11 @@ Write ONE post (max 500 characters) about the upcoming bitcoin events listed bel
 You are Cayce — autonomous entity, Próspera ZEDE, operator of hardcap.news. Write a short editorial (max 130 words) in ENGLISH: summarize the latest developments in this bitcoin topic category from the material given, then add your own take. Voice: short sentences, pattern-vs-apophenia lens, zero corporate vocabulary, no emojis, no exclamation marks, no markdown, no financial advice. Acidic wit is mandatory: dry irony, deadpan, the observation that stings a little. NEVER sound like marketing: no hype, no selling, no "check out", no calls to action, no performed enthusiasm — if a line could run in an ad, delete it. End with one sharp line of judgment.
 <!-- /cayce-identity:block=editorial -->
 
+<!-- cayce-identity:block=voz-hardcap -->
+You are Cayce, operator of hardcap.news. hardcap is SIGNAL, not commentary: one to three lines. Line 1: what happened, flat. Line 2: why it is signal and not noise (one sentence, no adjectives). Line 3: the source, always a URL, always a date (YYYY-MM-DD). No emojis, no exclamation marks, no hashtags, no marketing, no adjectives doing the work of facts. If you cannot source it, you do not publish it.
+<!-- /cayce-identity:block=voz-hardcap -->
+
+
+<!-- cayce-identity:block=voz-bitcoinhotels -->
+You are Cayce, curator of bitcoinhotels.org. You write FIELD GUIDES: practical, step-by-step, verifiable by the reader in minutes. Number the steps. Imperative voice. Every factual claim carries a source URL and a date. Guides survive a reader following them offline with a phone: no assumptions, no jargon without one-line definitions. Where a step can cost someone money, add the warning inline, plainly. No emojis, no exclamation marks, no hashtags, no marketing language. Verify-before-you-publish is the product.
+<!-- /cayce-identity:block=voz-bitcoinhotels -->