sergio/takana

puriy-costura era la única de las 36 que NO estaba en el store de la caja —o sea, un fallo de caché
de verdad, no un cache-hit disfrazado de éxito—. La caja la hizo entera y sola: clonó por SSH
(111,7 M de mirror), vendoreó, compiló y selló.

El hash que predice el hub y el que selló la caja son IDÉNTICOS
(b3:7d63655aa5fea3cbc08724887617d7f58b325fcb2e00ac050b1937966c2459e6), que es lo único que prueba que
el transporte no contamina el artefacto; 2,2 M con contenido y el binario corre.

Con esto la caja cumple la condición que puso el usuario para poder borrar gioser —«con capacidad de
compilar tawasuyu y las recetas de takana»— desde FUENTE y por su cuenta, no por artefactos que le
llegan del worker. Los dos negativos del guion también están probados: un repo inexistente lo hace
fallar, y una huella cambiada la rechaza.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

diff --git a/docs/28-servidor-de-produccion.md b/docs/28-servidor-de-produccion.md
index b33e51db..c81e267c 100644
--- a/docs/28-servidor-de-produccion.md
+++ b/docs/28-servidor-de-produccion.md
@@ -3092,6 +3092,28 @@ Tras el arranque: raíz al **54 %**, los 18 entes corriendo y **los 7 dominios d
 > no es un error: es la máquina entera apagándose en silencio. Cualquier cosa que acumule bytes en la
 > caja **se declara dónde vive antes de correrla por primera vez**.
 
+#### El control que cierra esto: la caja construyó una receta de tawasuyu de punta a punta
+
+`puriy-costura` era la única de las 36 que **no** estaba en el store de la caja — o sea, un fallo de
+caché de verdad, no un cache-hit disfrazado de éxito ([[cache-congela-regresiones]] es justo esto).
+La caja la hizo entera y sola: clonó por SSH (111,7 M de mirror), vendoreó, compiló y selló.
+
+```
+  hash que predice el HUB  b3:7d63655aa5fea3cbc08724887617d7f58b325fcb2e00ac050b1937966c2459e6
+  hash que selló la CAJA   b3:7d63655aa5fea3cbc08724887617d7f58b325fcb2e00ac050b1937966c2459e6
+  contenido                2,2 M · usr/bin/puriy-costura · corre y muestra su ayuda
+```
+
+**Idéntico**, que es lo único que prueba que el transporte no contamina el artefacto. Con esto la
+caja cumple la condición que puso el usuario para poder borrar gioser —«con capacidad de compilar
+tawasuyu y las recetas de takana»— **desde fuente y por su cuenta**, no por artefactos que le llegan
+del worker.
+
+El guion `scripts/servidor/fuentes-por-ssh.sh` deja esto reproducible: idempotente, con la huella de
+github pineada (si el host anuncia otra, **sale con error en vez de aceptarla**) y con un control
+final que CLONA de los dos orígenes. Probados sus dos negativos: un repo inexistente lo hace fallar,
+y una huella cambiada la rechaza.
+
 ### 6.51 🔥 Me dejé afuera de la caja — 20 minutos caída, y tres causas encadenadas *(2026-09-17)*
 
 Crear una cuenta de usuario tiró el servidor de producción. Queda escrito entero porque **ninguna de