sergio/takana

El usuario avisó de que esa máquina está con arje desde hace meses. Tiene razón, y las dos cosas son
ciertas: PID 1 **es** `arje-zero`, la card `openrc-gitea` **no** llama a `rc-service` (ejecuta el
binario directo — el prefijo es herencia del nombre que le puso `arje-absorb` al traducir), y sin
embargo **`/run/openrc/started/` existe con servicios dentro** (NetworkManager, dbus, dhcpcd,
localmount…) y `rc-update show default` listaba gitea. OpenRC quedó como residuo ACTIVO, capaz de
arrancar por su cuenta: eso fue lo que revivió al gitea con ppid ≠ 1 después de que arje lo parara.

Regla para el resto de la mudanza: antes de dar un servicio por apagado, preguntar a los DOS —
`arjectl list-units` y `rc-update show default`. Un nombre que dice `openrc-` y no es OpenRC, al
lado de un OpenRC real que nadie esperaba que siguiera operando.

Y mudados `takana.gioser.net` y `hifas.gioser.net`: estáticos puros, 52 K, vhost en la caja, DNS de
CNAME a A, fuera del origen. 200 con TLS válido desde 2.29.29.217; `sergio.gioser.net` sigue en 200
y gioser baja de 16 a 14 vhosts.

Se repitió lo del ACME: el primer certificado se pide antes de que propague el DNS y falla contra el
origen. Conviene mover el DNS y RECIÉN ENTONCES añadir el vhost, o asumir un `restart` de más.

Los 14 que quedan tienen backend propio o son fósiles: no se mudan copiando un directorio.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_016Tf9T4vGzsMoT7eS8YzMFn

diff --git a/docs/28-servidor-de-produccion.md b/docs/28-servidor-de-produccion.md
index 4c70f1de..36b92349 100644
--- a/docs/28-servidor-de-produccion.md
+++ b/docs/28-servidor-de-produccion.md
@@ -1245,6 +1245,48 @@ durante; (2) apagar el origen de verdad —los DOS supervisores— **antes** de
 comparar refs después, siempre, porque es la única prueba de que no se perdió nada; y (4) dejar el
 origen apagado un rato **antes** de borrarlo, precisamente para poder hacer esta comparación.
 
+### 6.17 ⚠ En gioser conviven arje Y OpenRC — y el prefijo `openrc-` de las cards ENGAÑA
+
+El usuario avisó: *«esa máquina la tengo con arje desde hace meses»*. Tiene razón, **y las dos cosas
+son ciertas a la vez**:
+
+| medido | |
+|---|---|
+| PID 1 | **`arje-zero`** ✓ |
+| la card `openrc-gitea` | ejecuta `sh -c "cd /var/lib/gitea && exec /usr/bin/gitea web …"` — **no llama a OpenRC** |
+| `/run/openrc/started/` | **existe y tiene servicios**: NetworkManager, dbus, dhcpcd, fsck, hostname, hwclock, local, localmount… |
+| `rc-update show default` | listaba `gitea` |
+
+⇒ **El prefijo `openrc-` es herencia del NOMBRE**, de cuando `arje-absorb` tradujo los servicios de
+OpenRC a cards: la card no pasa por `rc-service`, encarna el binario directo. Pero **OpenRC quedó
+como residuo ACTIVO** y puede arrancar servicios por su cuenta — que es lo que revivió al gitea con
+`ppid ≠ 1` después de que arje lo hubiera detenido.
+
+**La regla para el resto de la mudanza**: antes de dar un servicio de gioser por apagado, preguntar a
+los **dos**:
+
+```sh
+arjectl list-units | grep <svc>          # la capa de arje (PID 1)
+rc-update show default | grep <svc>      # el residuo de OpenRC, que también arranca
+```
+
+Es [[la-etiqueta-no-es-el-hecho]] en su forma más cara: un nombre que dice `openrc-` y no es OpenRC,
+junto a un OpenRC real que nadie esperaba que siguiera operando.
+
+### 6.18 Mudados `takana.gioser.net` y `hifas.gioser.net` *(estáticos puros)*
+
+Los dos son ficheros y nada más —sin backend—, así que mudarlos fue copiar 52 K, añadir su vhost al
+Caddyfile de la caja, mover el DNS de CNAME a **A** y quitarlos del origen. **200 con TLS válido
+desde `2.29.29.217`**, y control de que no se rompió lo demás: `sergio.gioser.net` sigue en 200 y
+gioser baja de 16 a **14 vhosts**.
+
+Se repitió el patrón de ACME: el primer intento de certificado sale ANTES de que propague el DNS,
+falla contra el origen y hay que forzar el reintento con `arjectl restart caddy`. **Conviene mover
+el DNS y recién entonces añadir el vhost** — o asumir un `restart` de más.
+
+**Quedan en gioser 14 vhosts**, todos con backend propio (uvicorn, php-fpm, `tejido`, `shuma`…) o
+fósiles sin DNS. Ésos no se mudan copiando un directorio: necesitan su servicio del otro lado.
+
 ## 7. Reusar los scripts que ya existen, y no escribir de nuevo
 
 Pedido explícito del usuario. El inventario de lo que ya hace el trabajo: