licencias: el texto dentro de la imagen, con veto — y el SDD 19/20 se equivocaba de sitio

═══ LA CORRECCIÓN DE FONDO: no es `pack`, son las IMÁGENES ═══
El SDD 19 y el 20 decían «inyectar el texto de la licencia en `hammer pack`, que es aguas
abajo del ArtifactHash y sale gratis». La conclusión sobre el coste era correcta pero el
SITIO estaba mal, y por una razón que sólo se ve leyendo el código: `pack` produce un
`.swm`, que es una RECETA DE TRANSFORMACIÓN sobre fuente pública y por diseño explícito
«NUNCA transporta binarios cocidos»; e `install` REPRODUCE construyendo, con cache-hit del
corpus, en vez de bajar binarios. O sea que **el canal de paquetes de hammer no distribuye
binarios** y la obligación de acompañar-el-binario ahí casi no aplica.

Donde sí aplica, con toda su fuerza, es en la IMAGEN INSTALABLE: su rootfs se puebla con
`hammer install` sobre un prefix y de ahí sale un USB/ISO lleno de binarios que se le da a
alguien. Ése es el punto de entrega. (La obligación del espejo de FUENTES es otra y sigue
entera: las recetas apuntan a URLs de terceros que se caen.)

═══ LO QUE ENTRA ═══
· `scripts/licencias-textos.sh` + `licenses/`: los 44 textos CANÓNICOS de SPDX
  (spdx/license-list-data), uno por identificador realmente en uso — la lista se saca de las
  recetas, no de un fichero escrito a mano que se desincroniza. 764K.
· `scripts/licencias-rootfs.sh`: escribe /usr/share/licenses/<pkg>/ con el texto de CADA
  licencia de la expresión (`Unlicense OR MIT` ⇒ los DOS textos: en un OR el destinatario
  elige, y entregar uno solo le quita una opción que el autor le concedió), más un
  MANIFEST.tsv. Medido: 1,0 MB para el perfil `cli` de 44 paquetes.

═══ Y SOBRE TODO: ES UN VETO ═══
Sale ≠0 si algún paquete del rootfs no declara licencia. Un informe que no puede bloquear no
cambia lo que ocurre; esto corta el paso. Y se ganó el sueldo al primer intento: reveló que
los perfiles `base` y `cli` —los dos más simples, los que primero se publicarían— llevaban
10 y 12 paquetes con binarios y licencia desconocida. Curados los 10 que se podían afirmar
(doas, iputils, less, mandoc, procps-ng, rsync, strace, sudo, tree, usbutils); ambos perfiles
bajan a 2.

Esos 2 NO se rellenan a propósito, y quedan vetando:
 · lsof   — licencia propia del proyecto, sin identificador SPDX. Toca `LicenseRef-lsof` con
            su texto, que ya viaja en el tarball (la receta instala su COPYING).
 · tzdata — dominio público por declaración de sus autores, y SPDX no tiene identificador
            para eso (es una AUSENCIA de licencia, no una licencia). Toca
            `LicenseRef-PublicDomain` documentado, no forzar uno de la lista.

De paso: normalizado `GPL-3.0+` (sufijo antiguo) a `GPL-3.0-or-later`, misma equivalencia
documentada que la barra de Cargo. Y el caso especial que puse para `Linux-syscall-note`
(«las excepciones viven en exceptions/») era una suposición razonable y FALSA: SPDX las
publica en el mismo `text/`; ese directorio no existe.

1063 de 1141 (93%). Hashes verificados: 0 movidos.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/licencias-conocidas.tsv

@@ -422,3 +422,29 @@ mirada-ctl	MIT
 mirada-greeter	MIT
 netup	MIT
 tinkuy-sim	MIT
+
+# ── Los que BLOQUEABAN los perfiles base y cli ────────────────────────────────────────────────
+# Salieron del veto de `scripts/licencias-rootfs.sh`: son paquetes con binarios en la imagen cuya
+# licencia no conocíamos. La API de GitHub los dejó en NOASSERTION y el clasificador por texto no los
+# toca porque son familia GPL (su COPYING no distingue -only de -or-later). Curados uno a uno.
+doas	ISC
+iputils	BSD-3-Clause AND GPL-2.0-or-later
+less	GPL-3.0-or-later
+mandoc	ISC
+procps-ng	GPL-2.0-or-later AND LGPL-2.0-or-later
+rsync	GPL-3.0-or-later
+strace	LGPL-2.1-or-later AND GPL-2.0-or-later
+sudo	ISC
+tree	GPL-2.0-or-later
+usbutils	GPL-2.0-or-later
+
+# ⛔ NO PUESTOS A PROPÓSITO — dos que la lista SPDX no cubre, y que inventar sería peor:
+#   · lsof   — licencia PROPIA del proyecto (permisiva, estilo BSD, pero con su redacción). No hay
+#              identificador SPDX. Lo correcto es un `LicenseRef-lsof` con SU texto, que ya viaja en
+#              el tarball: la receta de hecho instala su COPYING en /usr/share/licenses/lsof/.
+#   · tzdata — la base de datos tz es DOMINIO PÚBLICO por declaración explícita de sus autores, y
+#              SPDX no tiene identificador para «dominio público» (es una ausencia de licencia, no
+#              una licencia). Corresponde `LicenseRef-PublicDomain` documentado, no forzar uno de la
+#              lista.
+# Los dos necesitan la vía `LicenseRef-` + texto local, que es otro ticket. Mientras tanto siguen
+# contados como deuda y siguen VETANDO la imagen, que es exactamente lo que tienen que hacer.