diff --git a/docs/state/mudanza-decisiones.txt b/docs/state/mudanza-decisiones.txt
index 1e5f2c5c..a93246b6 100644
--- a/docs/state/mudanza-decisiones.txt
+++ b/docs/state/mudanza-decisiones.txt
@@ -51,3 +51,13 @@
 #   rsync -aHn --mkpath --out-format='%n' -e 'ssh -p 23 -i ~/.ssh/github5' \
 #     /mnt/cosecha/respaldo-mudanza/ u647150@u647150.your-storagebox.de:respaldo-mudanza/ \
 #     | grep -v '/$' | wc -l
+
+# ── ⚠ PENDIENTE DE SEGURIDAD, COMPROBADO (2026-09-16) ───────────────────────────────────────────
+# `/etc/arje/cards.d/openrc-openclaw.json` de gioser contiene **una credencial en claro** (2
+# coincidencias con patrón `api_key`/`token`/`sk-…`; comprobado sin imprimir el contenido). Ese
+# directorio está en la lista `fuera_de_git`, o sea que la mudanza lo copia, y un respaldo lo
+# multiplica. Lo nombró primero el `INSTALAR.md` de thasnuna y acá se verificó.
+#
+# NO lo toco: rotar una credencial es decisión del dueño. Las dos salidas son rotarla y sacarla del
+# JSON (el patrón de thasnuna: fichero 600 del usuario + la Card lo EXIGE), o decidir que openclaw
+# muere con la máquina y que la clave se revoca igual. Lo que no es una opción es copiarla tal cual.