sergio/takana

1# Rutas que NO viajan con ningún repo y sin las cuales la máquina nueva no funciona.
2#
3# Estaban cableadas dentro de `censar.py` y eso costó dos agujeros (medidos 2026-09-14):
4#
5#   1. La lista traía `~/.config/hammer`, ruta muerta desde el renombre (ADR 0016). Existe vacía;
6#      lo vivo es `~/.config/takana`, que es donde está la CLAVE PRIVADA de release. El renombre no
7#      rompió nada: dejó de mirar.
8#   2. El censo corre como root, así que `~` era `/root` y el home de la persona no se miraba nunca
9#      — la huella en el censo viejo es que `~/.ssh` y `/root/.ssh` salen IDÉNTICOS.
10#
11# Formato: `ruta # por qué importa`. Una ruta que empieza con `~/` se expande por CADA home real de
12# `/etc/passwd` (root incluido); una ruta absoluta se mira una sola vez. El motivo no es adorno: se
13# emite al censo y al plan, porque «copiá ~/.config/takana» sin decir qué hay dentro no se prioriza.
14#
15# Se reporta EXISTENCIA y nombres de entrada, nunca contenido: un censo no copia secretos.
16
17~/.ssh                    # llaves privadas, `authorized_keys` y `known_hosts`: el acceso a y desde esta máquina
18~/.ssh/config             # los alias de host — el bloque `git.gioser.net` con `Port 2345` sin el cual no se clona del gitea
19~/.config/takana          # ⚠ la CLAVE PRIVADA de release (`keys/release.ed25519`). El `.pub` está en el repo; esto NO
20~/.config/gh              # el token de GitHub: el que crea y empuja los espejos de los repos que sólo existen acá
21~/.gitconfig              # identidad de commit y los `insteadOf`, que REESCRIBEN remotos y pueden esconder que un repo es local
22~/.npmrc                  # tokens de registries privados
23~/.claude                 # la memoria y los transcripts del proyecto — no es config, es trabajo acumulado
24~/.local/bin              # binarios instalados a mano que ningún paquete provee
25/etc/caddy                # la configuración del servidor web: los vhosts, que son el mapa de lo que esta máquina sirve
26/etc/nginx                # ídem, si quedó algo del servidor anterior
27/etc/letsencrypt          # certificados y cuentas ACME
28/etc/gitea                # el `app.ini` del gitea: dónde está su DB, con qué dominio se sirve y sus SECRETOS generados
29/var/lib/gitea            # los repos servidos, la sqlite y las claves del gitea
30/etc/arje/cards.d         # las tarjetas de arje: qué arranca esta máquina
31/ente                     # la Semilla de arje-zero
32
33# ── AMPLIACIÓN 2026-09-16: el barrido del frente tawasuyu ───────────────────────────────────────
34# El agente de tawasuyu barrió SU home y encontró 572 KB de secretos que ninguna de las 15 rutas de
35# arriba miraba. Son identidades y semillas: no se «vuelven a generar», porque generar otras
36# significa ser OTRA máquina para el resto de la flota. Van acá para que el censo las vea sin que
37# nadie tenga que acordarse — que es el modo de fallo que esta lista existe para cerrar.
38~/.wawa/seeds             # ⚠ el anillo de la ceremonia de capacidades del génesis: sin él NINGUNA app nueva de wawa nace
39~/.config/wawa            # las tres llaves del operador de wawa (primaria, secundaria, recuperación)
40~/.tejido                 # la IDENTIDAD de esta máquina en tejido + el padrón de teléfonos dados de alta
41~/.local/share/agora      # el grafo de confianza de ágora: el mismo padrón que usa `minga listen --admission`
42~/.config/minga           # la frase del espejo (16 B): sin ella el post-commit se aparta EN SILENCIO
43~/.config/thasnuna        # el token de telegram y el roster: INSTALAR.md dice que esto no va al repo a propósito
44~/.config/shuma           # identidad x25519, token del gateway y pares conocidos de shuma
45~/.config/mirada          # el escritorio afinado a mano: `perfiles-escritorio.ron` (178 KB) no lo genera nada
46~/.config/hcloud          # credenciales de Hetzner Cloud
47~/.config/hammer          # ⚠ ruta VIEJA del renombre, pero acá viven los `storagebox*.env` del respaldo
48~/.rumi/seeds             # semillas de rumi
49~/keys                    # ⚠ claves de FIRMA DE APPS (`rizoma.p12`): perderlas impide ACTUALIZAR lo ya instalado
50~/fdroid                  # ⚠ `keystore.p12` firma el índice del repo F-Droid, y `config.yml` trae su contraseña
51~/.gnupg                  # el llavero GPG
52~/.pgpass                 # contraseñas de postgres
53~/.local/share/keyrings   # llavero del escritorio
54~/.local/share/pki        # certificados de cliente
55~/kkk                     # la credencial de deepseek (46 B): sin ella `scripts/agentes/deepseek` deja de existir
56~/.zshrc                  # el entorno de trabajo de la persona, afinado a mano
57~/.zshenv                 # ídem — y define rutas de las que dependen los guiones sueltos
58/etc/wireguard            # ⚠ `server.key` y `wg0.conf`: la VPN de la flota. Otra clave = otros pares
59/etc/shuma                # `gateway.env` del gateway de shuma
60/etc/sandokan             # `cerebro.json`
61/etc/tawasuyu/agente      # las autoridades del agente
62/etc/local.d              # los `*.start` de OpenRC escritos a mano (tejido-relay, arje-boot-guard)