diff --git a/scripts/cosmic/metal-desktop-image.sh b/scripts/cosmic/metal-desktop-image.sh
index 7a5a20f1..ef98c4fa 100755
--- a/scripts/cosmic/metal-desktop-image.sh
+++ b/scripts/cosmic/metal-desktop-image.sh
@@ -252,7 +252,12 @@ done
 [ -n "$IF" ] || { echo "no apareció interfaz wifi. Mirá: dmesg | grep -i ath10k"; exit 1; }
 echo "interfaz: $IF"
 ip link set "$IF" up
-printf 'network={\n\tssid="%s"\n\tpsk="%s"\n}\n' "$SSID" "$PSK" > /tmp/wpa.conf
+# ctrl_interface NO es opcional: sin esa línea wpa_supplicant no abre socket de control y `wpa_cli`
+# no tiene con qué hablar — el síntoma es «wpa_cli no conecta», que parece un fallo de red y es
+# simplemente que no hay puerta. Y sin wpa_cli no se puede saber si asoció, que es el único dato que
+# distingue «clave mal» de «DHCP mudo».
+mkdir -p /run/wpa_supplicant
+printf 'ctrl_interface=/run/wpa_supplicant\nupdate_config=1\nnetwork={\n\tssid="%s"\n\tpsk="%s"\n}\n' "$SSID" "$PSK" > /tmp/wpa.conf
 wpa_supplicant -B -i "$IF" -c /tmp/wpa.conf -Dnl80211 || { echo "wpa_supplicant falló"; exit 1; }
 # Esperar a la ASOCIACIÓN, no al reloj. Con `sleep 6` fijo, udhcpc salía a preguntar antes de que
 # hubiera enlace y devolvía «sin IPv4», que se lee como «clave equivocada» cuando la clave está bien.