anotado el secreto en claro de la card de openclaw, comprobado sin imprimirlo

`/etc/arje/cards.d/openrc-openclaw.json` de gioser tiene una credencial en claro adentro del JSON —
2 coincidencias con patrón de api_key/token. Ese directorio está en `fuera_de_git`, así que la
mudanza lo copia y un respaldo lo multiplica.

No lo toco: rotar una credencial es del dueño. Queda anotado con las dos salidas (rotarla y moverla
a un fichero 600 que la Card EXIJA, como hace thasnuna; o que openclaw muera y se revoque igual), y
con la que no es opción: copiarla tal cual.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/state/mudanza-decisiones.txt

@@ -51,3 +51,13 @@
 #   rsync -aHn --mkpath --out-format='%n' -e 'ssh -p 23 -i ~/.ssh/github5' \
 #     /mnt/cosecha/respaldo-mudanza/ u647150@u647150.your-storagebox.de:respaldo-mudanza/ \
 #     | grep -v '/$' | wc -l
+
+# ── ⚠ PENDIENTE DE SEGURIDAD, COMPROBADO (2026-09-16) ───────────────────────────────────────────
+# `/etc/arje/cards.d/openrc-openclaw.json` de gioser contiene **una credencial en claro** (2
+# coincidencias con patrón `api_key`/`token`/`sk-…`; comprobado sin imprimir el contenido). Ese
+# directorio está en la lista `fuera_de_git`, o sea que la mudanza lo copia, y un respaldo lo
+# multiplica. Lo nombró primero el `INSTALAR.md` de thasnuna y acá se verificó.
+#
+# NO lo toco: rotar una credencial es decisión del dueño. Las dos salidas son rotarla y sacarla del
+# JSON (el patrón de thasnuna: fichero 600 del usuario + la Card lo EXIGE), o decidir que openclaw
+# muere con la máquina y que la clave se revoca igual. Lo que no es una opción es copiarla tal cual.