diff --git a/docs/28-servidor-de-produccion.md b/docs/28-servidor-de-produccion.md
index 4c70f1de..36b92349 100644
--- a/docs/28-servidor-de-produccion.md
+++ b/docs/28-servidor-de-produccion.md
@@ -1245,6 +1245,48 @@ durante; (2) apagar el origen de verdad —los DOS supervisores— **antes** de
 comparar refs después, siempre, porque es la única prueba de que no se perdió nada; y (4) dejar el
 origen apagado un rato **antes** de borrarlo, precisamente para poder hacer esta comparación.
 
+### 6.17 ⚠ En gioser conviven arje Y OpenRC — y el prefijo `openrc-` de las cards ENGAÑA
+
+El usuario avisó: *«esa máquina la tengo con arje desde hace meses»*. Tiene razón, **y las dos cosas
+son ciertas a la vez**:
+
+| medido | |
+|---|---|
+| PID 1 | **`arje-zero`** ✓ |
+| la card `openrc-gitea` | ejecuta `sh -c "cd /var/lib/gitea && exec /usr/bin/gitea web …"` — **no llama a OpenRC** |
+| `/run/openrc/started/` | **existe y tiene servicios**: NetworkManager, dbus, dhcpcd, fsck, hostname, hwclock, local, localmount… |
+| `rc-update show default` | listaba `gitea` |
+
+⇒ **El prefijo `openrc-` es herencia del NOMBRE**, de cuando `arje-absorb` tradujo los servicios de
+OpenRC a cards: la card no pasa por `rc-service`, encarna el binario directo. Pero **OpenRC quedó
+como residuo ACTIVO** y puede arrancar servicios por su cuenta — que es lo que revivió al gitea con
+`ppid ≠ 1` después de que arje lo hubiera detenido.
+
+**La regla para el resto de la mudanza**: antes de dar un servicio de gioser por apagado, preguntar a
+los **dos**:
+
+```sh
+arjectl list-units | grep <svc>          # la capa de arje (PID 1)
+rc-update show default | grep <svc>      # el residuo de OpenRC, que también arranca
+```
+
+Es [[la-etiqueta-no-es-el-hecho]] en su forma más cara: un nombre que dice `openrc-` y no es OpenRC,
+junto a un OpenRC real que nadie esperaba que siguiera operando.
+
+### 6.18 Mudados `takana.gioser.net` y `hifas.gioser.net` *(estáticos puros)*
+
+Los dos son ficheros y nada más —sin backend—, así que mudarlos fue copiar 52 K, añadir su vhost al
+Caddyfile de la caja, mover el DNS de CNAME a **A** y quitarlos del origen. **200 con TLS válido
+desde `2.29.29.217`**, y control de que no se rompió lo demás: `sergio.gioser.net` sigue en 200 y
+gioser baja de 16 a **14 vhosts**.
+
+Se repitió el patrón de ACME: el primer intento de certificado sale ANTES de que propague el DNS,
+falla contra el origen y hay que forzar el reintento con `arjectl restart caddy`. **Conviene mover
+el DNS y recién entonces añadir el vhost** — o asumir un `restart` de más.
+
+**Quedan en gioser 14 vhosts**, todos con backend propio (uvicorn, php-fpm, `tejido`, `shuma`…) o
+fósiles sin DNS. Ésos no se mudan copiando un directorio: necesitan su servicio del otro lado.
+
 ## 7. Reusar los scripts que ya existen, y no escribir de nuevo
 
 Pedido explícito del usuario. El inventario de lo que ya hace el trabajo: