granja: el dead-man del worker se mata SOLO (sin hub) — 3 bugs + gioser doble-blindado

El worker DEBE matarse solo, sin depender de la laptop (es la razón de ser del
dead-man: vive en el worker; el volumen hace que morir no pierda nada). El reaper
del hub queda sólo como último recurso. El dead-man estaba TRIPLEMENTE roto:

 1. TOKEN EN EL FICHERO EQUIVOCADO: hay 2 caminos de creación con el token en
    lugares distintos (farm-up → /etc/hammer-deadman.env; harkaq-vol → /root/
    .hcloud-token). La service lee sólo el primero ⇒ un worker del otro camino
    quedaba sin token, disparaba pero salía 1 "sin HCLOUD_TOKEN". Fix: deadman.sh
    busca el token EN CADENA (volumen primero, que es lo más persistente).
 2. REGEX DEL ID ROTO: la API devuelve JSON con espacio ("id": 126, no "id":126)
    y el dead-man usaba '"id":[0-9]+' ⇒ NUNCA resolvía su id, aun con token
    válido. Fix: '"id":[[:space:]]*[0-9]+'. (Doblemente roto: por eso NUNCA murió.)
 3. FIRING ≠ CAN-DELETE: farm-up sólo verificaba que el timer dispara. Ahora
    corre `deadman.sh --puede-borrar` (token en cadena + ve su id en la API) y si
    NO puede matarse, DESTRUYE el worker ahí mismo. Un worker que no se autodestruye
    es inadmisible ⇒ jamás debe existir.

gioser DOBLE-BLINDADO en TODOS los sitios de borrado (lista negra por nombre +
label role=hammer-worker), igual que farm-down ya tenía: reaper, farm-up-destroy,
deadman, y el helper de harkaq-vol. "Ahí está nuestra vida." Verificado vivo (104d).

Co-Authored-By: Claude Opus 4.8 (1M context) <noreply@anthropic.com>

scripts/farm/farm-up.sh

@@ -139,21 +139,29 @@ for k in $(seq 1 "$N"); do
       systemctl daemon-reload && systemctl enable --now hammer-deadman.timer" >/dev/null 2>&1
     # EVIDENCIA, no fe: que el timer esté ARMADO se comprueba, no se asume (el cron de aquella vez
     # estaba "validado" y nunca disparó porque el PID 1 no tenía crond).
-    if $SSH root@"$ip" 'systemctl is-active hammer-deadman.timer' 2>/dev/null | grep -q active; then
-      echo "   ✓ dead-man armado: $($SSH root@"$ip" 'systemctl list-timers hammer-deadman.timer --no-pager 2>/dev/null | sed -n 2p' | awk '{print $1, $2, $3}')"
-      # FIRING ≠ CAN-DELETE (2026-07-23): un worker quedó idle 3.5h quemando € porque el token en
-      # /etc/hammer-deadman.env estaba vacío ⇒ el dead-man DISPARABA pero salía 1 "sin HCLOUD_TOKEN"
-      # y nunca se borraba. Que el timer esté activo NO prueba que pueda matarse. Se verifica que su
-      # token VE su propio id en la API — lo MISMO que hace al morir.
-      if $SSH root@"$ip" '. /etc/hammer-deadman.env 2>/dev/null; [ -n "${HCLOUD_TOKEN:-}" ] && curl -sS -H "Authorization: Bearer $HCLOUD_TOKEN" "https://api.hetzner.cloud/v1/servers?name=$(hostname)" 2>/dev/null | grep -q "\"id\""' 2>/dev/null; then
-        echo "   ✓ dead-man PUEDE borrarse (token válido, se ve en la API)"
-      else
-        echo "   ⛔ dead-man NO PUEDE borrarse: token vacío/inválido en /etc/hammer-deadman.env."
-        echo "      Solo, este worker quedaría idle PARA SIEMPRE. Lo cubre el reaper del hub"
-        echo "      (cosecha-cron), pero sólo si el latido corre. Arreglar la provisión del token."
-      fi
+    # FIRING ≠ CAN-DELETE (2026-07-23): un worker quedó idle 3.5h quemando € porque su token no
+    # estaba donde la service lo lee ⇒ el dead-man DISPARABA pero salía 1 "sin HCLOUD_TOKEN" y nunca
+    # se borraba. Que el timer esté activo NO prueba que pueda matarse. El worker DEBE poder matarse
+    # SOLO, sin el hub — así que si NO PUEDE, no lo dejamos vivo: lo DESTRUIMOS acá mismo. Un worker
+    # que no se puede autodestruir es exactamente lo que el usuario prohíbe. `deadman.sh --puede-borrar`
+    # busca el token en cadena (env, volumen, /root) y prueba que ve su id en la API.
+    timer_ok=$($SSH root@"$ip" 'systemctl is-active hammer-deadman.timer' 2>/dev/null | grep -q active && echo 1)
+    puede=$($SSH root@"$ip" '/usr/local/bin/deadman.sh --puede-borrar' 2>/dev/null)
+    if [ -n "$timer_ok" ] && printf '%s' "$puede" | grep -q '^SÍ'; then
+      echo "   ✓ dead-man ARMADO y PUEDE borrarse solo ($puede) — no depende del hub"
     else
-      echo "   ⚠ el timer NO quedó activo ⇒ este worker puede quedarse idle para siempre. Revisar."
+      echo "   ⛔ $name NO puede autodestruirse (timer=${timer_ok:-no} · $puede)."
+      echo "      Un worker que no se mata solo es INADMISIBLE ⇒ lo DESTRUYO ahora para no dejarlo idle."
+      # LISTA NEGRA (capa 1 de 2): gioser JAMÁS se toca. farm-up sólo crea hworker-N, pero defensa
+      # en profundidad — "ahí está nuestra vida". Segunda capa = el label check de abajo.
+      case "$name" in *gioser*) echo "      ⛔ $name en LISTA NEGRA ⇒ NO lo toco. Revisá a mano."; continue;; esac
+      if hcloud server describe "$name" -o format='{{.Labels}}' 2>/dev/null | grep -q hammer-worker; then
+        hcloud server delete "$name" >/dev/null 2>&1 && echo "      ☠ $name destruido (label verificado)."
+      else
+        echo "      ⛔ $name sin label hammer-worker ⇒ NO lo toco (protegido); borralo a mano."
+      fi
+      grep -v "^$name " "$FLEET" > "$FLEET.tmp" 2>/dev/null && mv "$FLEET.tmp" "$FLEET"
+      continue
     fi
   fi
   echo "   ✓ $name muele la cola actual"