diff --git a/recipes/python3.toml b/recipes/python3.toml
index 9768d703..a616e31e 100644
--- a/recipes/python3.toml
+++ b/recipes/python3.toml
@@ -37,7 +37,20 @@ link        = "dynamic"
 zig_version = "0.13.0"
 
 [deps]
-build = ["zlib", "pkgconf"]
+# `libffi` NO es opcional aunque el build no falle sin él: sin libffi el `configure` de CPython
+# construye un intérprete SIN el módulo `_ctypes`, y lo hace en SILENCIO — sella un python3 que
+# arranca perfectamente y revienta más tarde, en otra receta, con
+# `ModuleNotFoundError: No module named '_ctypes'` (destapado 2026-08-11 en gjs y en el build de
+# mozjs). **310 recetas dependen de python3**, así que el fallo no se parece a su causa ni de lejos.
+#
+# Por qué aparece AHORA: el rootfs del lab trae `libffi` (runtime) pero NO sus headers — no hay
+# `libffi-dev` en el lock. El artefacto viejo de python3 sí tenía `_ctypes` porque el rootfs de
+# entonces los traía, y el cache-hit lo mantuvo congelado hasta que el corpus se re-hasheó entero.
+# Mismo patrón que `make`/`--disable-load`: reconstruir destapa lo que la caché sostenía.
+#
+# El arreglo va en `[deps]`, NUNCA engordando el rootfs: `recipes/libffi.toml` instala los headers
+# y el `.pc`, y `pkgconf` (ya declarado) los encuentra en la capa overlay.
+build = ["zlib", "pkgconf", "libffi"]
 
 [build.phases]
 configure = "./configure --prefix=/usr --without-ensurepip --disable-test-modules --with-ensurepip=no CFLAGS=\"-Wno-error=date-time\""