atuq: firefox REPRODUCE — why-differs 56/56 sobre dos builds reales

La deuda de BuildID queda cerrada con la misma prueba que se le exigió al
derivado: apartar el artefacto como .ref, construir de nuevo y comparar.
56 entradas idénticas, 0 divergen. Antes de MOZ_BUILD_DATE esto no podía
salir bien, y build-state.json no lo veía porque el ArtifactHash es
input-addressed y no se mueve por la hora del build.

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_011L4H7RabF2NCxCvFPJi37r

docs/26-atuq-envoltorio-gecko.md

@@ -369,12 +369,14 @@ Tres afirmaciones que este documento venía haciendo sin medir, y cómo se cerra
 | El re-empaque del `omni.ja` es determinista | `why-differs` entre dos builds de `atuq`: **85 entradas idénticas, 0 divergen** |
 | La capa de configuración se aplica | testigo `atuq.autoconfig.ok` escrito como pref de **usuario** en el perfil |
 | El branding se ve | captura de la pantalla real con `grim` desde dentro de la jaula, y la página de inicio renderizada por el propio navegador con `--headless --screenshot` |
+| La base también reproduce | `why-differs` entre dos builds de `firefox` en el worker: **56 entradas idénticas, 0 divergen** |
 
 Y el contraste que salió de la primera: **el derivado reproducía y la base no.** El `BuildID` de
 `firefox` era la hora del build, así que dos construcciones con el mismo `ArtifactHash` daban bytes
 distintos — y `build-state.json` no lo podía ver, porque el hash es input-addressed y no se mueve
 por esto. Verde y mintiendo. Cerrado con `MOZ_BUILD_DATE` desde `SOURCE_DATE_EPOCH`, que es el
-mecanismo de hermeticidad que el sandbox ya tenía.
+mecanismo de hermeticidad que el sandbox ya tenía — y **comprobado como se comprueba esto**:
+apartando el artefacto como `.ref`, construyendo de nuevo y pasándole `why-differs`. Reproduce.
 
 **Dos guardianes nuevos en la fase `install` de `firefox`**, hermanos entre sí, porque los dos fallos
 son de la misma familia —una bandera que el `configure` acepta y el artefacto ignora, muda y a 50
@@ -411,7 +413,7 @@ siguiente.
 | 4.b | Branding + re-empaque de `omni.ja` ✅ v0.2 | el chrome de verdad | — |
 | 4.d | **Abrirlo en pantalla** — destapó EXDEV, el lanzador, el `atk` envenenado y la cadena GTK3 estática | «usable», no sólo «sellado» | — |
 | 4.e | **v0.3: página de inicio y pestaña nueva** por extensión de sistema; exigió `MOZ_REQUIRE_SIGNING` vacío | y con eso queda destrabada la unidad 6 (`sct`) | rebuild de firefox |
-| 4.c | `MOZ_BUILD_DATE` determinista ✅ — `BuildID=19700101000001`, de `SOURCE_DATE_EPOCH`, con guardián en la fase install | el invariante de reproducibilidad | — |
+| 4.c | `MOZ_BUILD_DATE` determinista ✅ — `BuildID=19700101000001`, con guardián en install y **`why-differs` 56/56 sobre dos builds reales** | el invariante de reproducibilidad | — |
 | 5 | Host de native messaging (tawasuyu) | los verbos del §6 | 4 |
 | 6 | `sct` v1 (extensión + testigo) | el diferenciador que nadie tiene | 5 |
 | 7 | Descargas al CAS | 6.2, y alimenta 6.9 | 5 |