sergio/takana

`pass` lo necesita para `pass -q` (el secreto como código QR) y vive en `cli`,
que resuelve del corpus; qrencode existía SÓLO en la cola de KDE, así que la
clausura decía «declara sin receta».

Promoción gratis, y se comprobó en vez de suponerlo. Aplicando la regla
medida —la cascada la causan las deps PROPIAS del promovido, no sus
consumidores—: sus cuatro deps (cmake, samurai, python3, pkgconf) no tienen
versión propia en la cola, o sea que resuelven al MISMO artefacto desde los
dos sitios.

    desde la cola  : b3:bde5597881d3160042b5db981f2efb7170ab432105813bfc9d0943e1a452a0f5
    desde el corpus: b3:bde5597881d3160042b5db981f2efb7170ab432105813bfc9d0943e1a452a0f5

Hash IDÉNTICO ⇒ el artefacto ya sellado sigue valiendo, cero builds. Sus dos
consumidores de KDE (prison, prison-scanner) lo siguen encontrando: la
resolución es hermano-primero y luego catálogo padre.

`pass` + `qrencode` quedan declarados en `perfil.cli`, que cubre CINCO
imágenes por herencia (cli, kde, gnome, cosmic, sway) más servidor. Coste
medido ~400 KB: el paquete caro de la cadena es gnupg (40 MB) y ya viajaba en
`base` desde antes.

⚠ Los dos nodos nuevos aún no tienen entrada en los grafos, así que la
clausura los cuenta como pendientes hasta la próxima cosecha — el mismo
desfase de contabilidad que tuvo py3-setuptools, que se cerró solo. NO se
regeneran los grafos a mano: hacerlo acá convirtió 47 nodos sellados en
34 debt + 14 never, porque `build-state.py` corrido en esta caja evalúa
distinto que la cosecha del hub. El grafo bueno es el que commitea el latido.

diff --git a/docs/state/targets.toml b/docs/state/targets.toml
index a82453b8..fb0fb9f0 100644
--- a/docs/state/targets.toml
+++ b/docs/state/targets.toml
@@ -369,6 +369,21 @@ paquetes = [
   "bat", "fd", "ripgrep", "jq", "zoxide", "dust", "procs", "htop", "less", "tree",
   "hyperfine", "delta", "eza", "sd", "tokei", "fzf", "skim", "git-cliff", "gitui",
   "starship",
+  # ── EL GESTOR DE CONTRASEÑAS (2026-10-21) ────────────────────────────────────────────────────
+  # `pass` cierra la fila «contraseñas» del censo, que decía *«nada: la gente guarda sus claves en
+  # un .txt o no usa la distro»*. Era de los pocos huecos SIN ningún camino alternativo.
+  #
+  # Va en `cli` y no en cada escritorio porque kde/gnome/cosmic/sway heredan de acá: una sola
+  # declaración cubre CINCO imágenes. (`escritorio-mirada` no hereda, es slim a propósito.)
+  #
+  # Coste medido ≈ 400 KB: `pass` son 136 KB y `qrencode` 272 KB; `tree` ya está en esta misma
+  # lista y `gnupg` (40 MB), `git`, `pinentry` y `util-linux` ya viajan en `base`. O sea que el
+  # paquete caro de la cadena estaba pagado desde antes y esto es calderilla.
+  #
+  # ⚠ `pass -c` (copiar al portapapeles) necesita `wl-clipboard`, que hoy sólo declara
+  # `escritorio-sway`. En las otras imágenes el resto de `pass` funciona y `-c` muere con un
+  # mensaje claro, que es el comportamiento de upstream, no una avería nuestra.
+  "pass", "qrencode",
   # ── SELLADAS DESDE HACE MESES Y EN NINGUNA IMAGEN (2026-09-12) ───────────────────────────────
   # editor, multiplexor, gestor de ficheros e historial de shell: las cuatro piezas con las que se
   # VIVE en una terminal. `helix` estaba declarada sólo en escritorio-gnome, que es donde menos
diff --git a/recipes/incoming-kde/qrencode.toml b/recipes/qrencode.toml
similarity index 100%
rename from recipes/incoming-kde/qrencode.toml
rename to recipes/qrencode.toml