sergio/takana

De los 13 servicios cuyo binario NADIE provee —los que se pierden al apagar gioser— DIEZ salen del
mismo repositorio (`tawasuyu`, hoy `bad13117c`): matilda, pacha (paquete `pacha-cli`),
pacha-secretos, sandokan-watch (`sandokan-seguridad-core`), shuma-daemon, shuma-gateway, tejido, tupu
(`tupu-cli`), willay-crosscheck (`willay-cruce`) y willay-daemon. Los otros tres son ajenos
(act_runner, adb, y el `puerta-…` de target/debug). Una receta cubre diez servicios.

**El tamaño real es una quinta parte del aparente.** El Cargo.lock del workspace tiene 2823 crates,
pero eso incluye su stack gráfico, audio y Android; el subárbol que esos diez binarios necesitan son
524. Y sólo CINCO traen C: `aws-lc-sys` y `ring` (criptografía, compilan C/asm y piden cmake) más
`dirs-sys`, `inotify-sys` y `netlink-sys`, que son bindings puros sin librería externa.

⚠ **Lo que hay que decidir antes de escribirla.** `tawasuyu/rust-toolchain.toml` fija 1.96.0 y lo
argumenta en el propio fichero: una distro que promete builds deterministas y atestación firmada no
puede tener el compilador flotando. El lab de takana trae 1.97.0 y es RODANTE por diseño —
`lab-toolchain.lock` detecta la deriva, no la evita. Una receta takana compilaría con un rustc
distinto del que tawasuyu exige: el binario NO sería el mismo que corre, y rompería el contrato de
atestación del otro frente. Tres salidas, y es decisión, no trámite: pinear 1.96.0 para esta receta
(como las 84 que pinean zig 0.13.0), mover el pin de tawasuyu, o llevar los binarios tal cual
sabiendo que no reproducen.

Y no se construye en el origen: 4 núcleos y ~2 G disponibles. Eso va al worker dev.gioser.net.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01RomoxEGZUhaT4pob1QSX5x

diff --git a/docs/29-mudanza.md b/docs/29-mudanza.md
index 37b94b46..9b79cfa9 100644
--- a/docs/29-mudanza.md
+++ b/docs/29-mudanza.md
@@ -301,6 +301,59 @@ reconstruyen el servidor desde cero**:
 Ninguno de los tres es un log de lo que se hizo: los tres son entradas que se vuelven a ejecutar.
 Ésa es la diferencia entre mudar un servidor y poder mudarlo otra vez.
 
+### 4.0 quaterdecies · Los 13 binarios sueltos son casi un solo árbol
+
+De los 13 servicios cuyo binario **nadie provee** —los que se pierden al apagar el origen— **diez
+salen del mismo repositorio**, `tawasuyu` (hoy en `bad13117c`):
+
+| binario | paquete del workspace |
+|---|---|
+| `matilda` | `matilda` |
+| `pacha` | `pacha-cli` |
+| `pacha-secretos` | `pacha-secretos` |
+| `sandokan-watch` | `sandokan-seguridad-core` |
+| `shuma-daemon` · `shuma-gateway` | homónimos |
+| `tejido` | `tejido` |
+| `tupu` | `tupu-cli` |
+| `willay-crosscheck` | `willay-cruce` |
+| `willay-daemon` | `willay-daemon` |
+
+(Los otros tres son ajenos: `act_runner`, `adb` y el `puerta-…` de `target/debug`.)
+
+O sea que **una receta cubre diez servicios**, y el trabajo de escribirla se paga diez veces.
+
+#### El tamaño real es una quinta parte del que aparenta
+
+El `Cargo.lock` del workspace tiene **2823 crates**, pero eso es el workspace entero —con su stack
+gráfico, audio y Android—. El subárbol que esos diez binarios necesitan de verdad son **524**. Y de
+todos ellos, sólo **cinco traen C**:
+
+```
+  aws-lc-sys   ring        ← criptografía: compilan C/asm, necesitan cmake
+  dirs-sys  inotify-sys  netlink-sys   ← bindings puros, sin librería externa
+```
+
+`aws-lc-sys` y `ring` son los conocidos de esta cadena; los otros tres no cuestan nada.
+
+#### ⚠ Lo que hay que decidir antes de escribirla: los dos pines no coinciden
+
+`tawasuyu/rust-toolchain.toml` fija **1.96.0**, y lo argumenta en el propio fichero: *una distro que
+promete builds deterministas y atestación firmada no puede tener el compilador flotando*. El lab de
+takana trae **1.97.0**, y es **rodante** por diseño — `lab-toolchain.lock` detecta la deriva, no la
+evita.
+
+Así que una receta takana de tawasuyu compilaría con un rustc distinto del que el propio tawasuyu
+exige. No es un detalle de estilo: **el binario resultante no sería el mismo que está corriendo**, y
+rompería el contrato de atestación de tawasuyu. Tres salidas, y es una decisión, no un trámite:
+
+1. **Pinear 1.96.0 para esta receta** — honra el contrato de tawasuyu; hay que meter ese rustc en el
+   lab, como ya se hace con las 84 recetas que pinean `zig_version=0.13.0`.
+2. **Mover el pin de tawasuyu a 1.97.0** — decisión del otro frente, no de éste.
+3. **Llevar los binarios tal cual** — es lo que el plan hace hoy, y significa que no reproducen.
+
+⚠ Y no se construye en el origen: 4 núcleos y ~2 G disponibles. Eso va al worker
+(`dev.gioser.net`, 6 núcleos / 16 G), que además es gratis.
+
 ### 4.0 terdecies · El cruce que nadie hacía: un dominio que se muda sin su backend
 
 La config del servidor **declara de qué servicios depende** — cada `reverse_proxy` y cada