diff --git a/recipes/pacha-secretos.toml b/recipes/pacha-secretos.toml
index 5e765f63..2020014c 100644
--- a/recipes/pacha-secretos.toml
+++ b/recipes/pacha-secretos.toml
@@ -14,9 +14,28 @@ name    = "pacha-secretos"
 version = "0.1.0"
 license = "MIT OR Apache-2.0"
 
+# ── ⚠ EL PIN SUBE, Y NO ES EL DE SUS HERMANAS (2026-09-21) ────────────────────────────────────
+# De `23a292863` a `4f2b5eac7`. El motivo es un defecto de HONESTIDAD que este servicio tenía y que
+# no se ve desde ningún guardián de ficheros (SDD 26 §7.terdecies): los lectores de la seed de
+# identidad hacían `.recuperar(…).ok().flatten()`, que convierte **«el llavero de sesión no se pudo
+# consultar»** en **«no hay identidad desbloqueada»**. La primera es un error de sistema; la segunda
+# se le echa a quien está delante. Medido en el LXC del worker: `add_key` funciona y
+# `keyctl(KEYCTL_SEARCH)` da `ENOSYS`, o sea que ahí se puede SEMBRAR y no COSECHAR — y con la seed
+# presente en `/proc/keys` este daemon igual arrancaba diciendo «SIN identidad agora desbloqueada».
+# Mismo `Err` en cualquier sistema sin llavero de kernel (el caso FreeBSD, `LlaveroError::NoSoportado`).
+#
+# Ahora `pacha-llavero::SeedDeSesion` distingue los TRES estados, el `warn!` dice cuál es, y la
+# interfaz propia `net.tawasuyu.Secretos1` gana `reason` al lado de `persistent` — que existía
+# justamente porque «desde afuera es indistinguible».
+#
+# ⚠ El pin ya NO coincide con el de `puriy-costura`, `shuma-*` y `tejido` (`23a292863`), así que
+# paga un árbol de fuentes propio (~2,4 G: se comparte por `<repo>-<sha>`). Se paga a propósito y se
+# comparte con `recipes/pacha.toml`, que sube al MISMO commit por la misma razón —su `pacha-cli`
+# guardaba los dotfiles SIN CIFRAR, en silencio, cuando el llavero fallaba—, así que las dos usan un
+# solo vendoreo. El día que las hermanas suban, que suban a éste.
 [source]
 repo   = "https://git.tawasuyu.net/tawasuyu/tawasuyu.git"
-commit = "23a292863f53b355c5c02d6185904f2c33d8ab42"
+commit = "4f2b5eac779c65eae26d6bfdb26dc5effd7ac695"
 # tawasuyu COMMITEA su propio `vendor/` (smithay parcheado, enchufado por `[patch.crates-io]` POR
 # RUTA); el `cargo vendor` de takana lo pisaría y el error habla de `taffy`, no de esto.
 cargo_vendor_dir = ".hammer-cargo-vendor"
diff --git a/recipes/pacha.toml b/recipes/pacha.toml
index 44fe81e1..b963eccb 100644
--- a/recipes/pacha.toml
+++ b/recipes/pacha.toml
@@ -12,9 +12,28 @@ name    = "pacha"
 version = "0.1.0"
 license = "MIT OR Apache-2.0"
 
+# ── ⚠ EL PIN SUBE, Y NO ES EL DE SUS HERMANAS (2026-09-21) ────────────────────────────────────
+# De `23a292863` a `4f2b5eac7`. El motivo es un defecto de HONESTIDAD que este servicio tenía y que
+# no se ve desde ningún guardián de ficheros (SDD 26 §7.terdecies): los lectores de la seed de
+# identidad hacían `.recuperar(…).ok().flatten()`, que convierte **«el llavero de sesión no se pudo
+# consultar»** en **«no hay identidad desbloqueada»**. La primera es un error de sistema; la segunda
+# se le echa a quien está delante. Medido en el LXC del worker: `add_key` funciona y
+# `keyctl(KEYCTL_SEARCH)` da `ENOSYS`, o sea que ahí se puede SEMBRAR y no COSECHAR — y con la seed
+# presente en `/proc/keys` este daemon igual arrancaba diciendo «SIN identidad agora desbloqueada».
+# Mismo `Err` en cualquier sistema sin llavero de kernel (el caso FreeBSD, `LlaveroError::NoSoportado`).
+#
+# Ahora `pacha-llavero::SeedDeSesion` distingue los TRES estados, el `warn!` dice cuál es, y la
+# interfaz propia `net.tawasuyu.Secretos1` gana `reason` al lado de `persistent` — que existía
+# justamente porque «desde afuera es indistinguible».
+#
+# ⚠ El pin ya NO coincide con el de `puriy-costura`, `shuma-*` y `tejido` (`23a292863`), así que
+# paga un árbol de fuentes propio (~2,4 G: se comparte por `<repo>-<sha>`). Se paga a propósito y se
+# comparte con `recipes/pacha.toml`, que sube al MISMO commit por la misma razón —su `pacha-cli`
+# guardaba los dotfiles SIN CIFRAR, en silencio, cuando el llavero fallaba—, así que las dos usan un
+# solo vendoreo. El día que las hermanas suban, que suban a éste.
 [source]
 repo   = "https://git.tawasuyu.net/tawasuyu/tawasuyu.git"
-commit = "23a292863f53b355c5c02d6185904f2c33d8ab42"
+commit = "4f2b5eac779c65eae26d6bfdb26dc5effd7ac695"
 # tawasuyu COMMITEA su propio `vendor/` (smithay parcheado, enchufado por `[patch.crates-io]` POR
 # RUTA); el `cargo vendor` de takana lo pisaría y el error habla de `taffy`, no de esto.
 cargo_vendor_dir = ".hammer-cargo-vendor"