mudados tawasuyu.net y gioser.net — y los padres que inventa bwrap eran 0700

Los dos sitios que quedaban con trafico real sirven desde la caja `takana`, con TLS publico y
verificados desde fuera. Los servicios viejos SIGUEN corriendo en gioser a proposito (decision del
usuario: mover el DNS y dejar el origen vivo, para poder volver en un minuto).

· `tawasuyu.net` + `www`: la raiz en gioser era EL MONOREPO ENTERO (145 G) servido por HTTP. El log
  de accesos dice que las unicas rutas con trafico son `/`, `/descargas` y `/web`, asi que se
  replicaron solo los dos subarboles que el sitio usa (1,2 M + 3,8 G) con la MISMA estructura, para
  que cada `rewrite` siga siendo el mismo.
· `gioser.net` + `www`: 428 M de estaticos + `/reencuentro`, que necesita PHP. `/hooks/*` NO se
  muda: lo atiende `webhook-deploy.py`, que redespliega aura/sigma/summa/brahman — los cuatro
  FOSILES del §6.19 — y tiene cero peticiones. Muere con la caja vieja.
· `sergio` dejo de ser `CNAME -> www` y tiene su A propio (apuntando a gioser, sin cambio visible).
  Sin eso, mover `www` se lo llevaba puesto: en esa zona casi todo cuelga de `www`.

PHP no entra al corpus y no hace falta: `php-fpm 8.5.10` corre en la instancia `gioser-php` (ADR
0015), supervisado por arje. Control contra el original en los dos sentidos: POST con la trampa
anti-robots da `{"ok":true}` 200 y GET da 405, igual que en gioser.

EL MURO, que es general y no de PHP: para montar en `/work/www/gioser-web`, bwrap crea `/work` y
`/work/www` —que la imagen no trae— y los crea **0700 root**. Adentro somos root y a mano todo
funciona; pero un servicio que BAJA de privilegio (php-fpm a `http`, o cualquier instancia con
`run_as`) no puede ni atravesarlos, y el sintoma es un «File not found» sobre un fichero que ESTA.
Medido con el control que lo separa de un problema de permisos del anfitrion: como `http`, leer un
fichero de la IMAGEN funciona y leer el directorio CONCEDIDO da Permission denied.

`grants_to_args` crea ahora los ancestros que faltan con `--perms 0755 --dir`, y SOLO los que la
imagen no trae: hacerlo sobre `/etc` o `/home` le cambiaria los modos a la imagen. Con test, y
probado rompiendolo a proposito (sale `["/etc","/etc/php"]` en vez de `["/etc/php"]`).

Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com>

docs/28-servidor-de-produccion.md

@@ -1517,6 +1517,82 @@ cron de la cosecha, y pinear HEAD re-hashearía la receta cada media hora sin qu
 | **lo que falta de `sergio.gioser.net`** | el frontend ya está copiado en `/work/www/sergioh`; falta `/shuma/*` → `shuma-gateway` (:7378), que es glibc dinámico y **cabe en esta misma jaula** (el binario está rescatado en `/work/rescate-binarios/`) pero cuelga de `shuma-daemon`, que es un sistema entero, no un binario |
 | **y los otros dos vivos** | `gioser.net`/`www` (estáticos + `/hooks/*` en :8770 + `/reencuentro` con php-fpm) y `tawasuyu.net` (estático, raíz en `/mnt/vvv/tawasuyu`) |
 
+### 6.26 ✅ `tawasuyu.net` y `gioser.net` MUDADOS — y el PHP que no existe en el corpus *(2026-09-15)*
+
+**Los dos sitios que quedaban con tráfico real sirven desde la caja `takana`**, con TLS público y
+verificados desde fuera. Los servicios viejos **siguen corriendo en gioser a propósito** (decisión del
+usuario: mudar el DNS y dejar el origen vivo, para poder volver en un minuto).
+
+| dominio | qué es | estado |
+|---|---|---|
+| `tawasuyu.net`, `www.` | landing + `/pkg` wasm + `/descargas` (3,8 G) | **200 desde 2.29.29.217** |
+| `gioser.net`, `www.` | 5 raíces estáticas (428 M) + `/reencuentro` con PHP | **200 desde 2.29.29.217** |
+| `sergio.gioser.net` | frontend + `/shuma/*` | **se queda en gioser**: su consola no tiene camino todavía |
+
+**`sergio` dejó de ser un `CNAME → www` y tiene su A propio** (apuntando a gioser, sin cambio
+visible). Sin eso, mover `www` se lo habría llevado puesto — es la trampa del §6.14 vista a tiempo:
+en esta zona **casi todo cuelga de `www`**. Lo que sí quedó colgando son tres fósiles (`api`,
+`mail.sigma`, `monitor`): antes daban 502 desde gioser y ahora fallan el TLS contra la caja. Están
+muertos hace meses; se anotan, no se mudan.
+
+**Dos cosas que el log de accesos decidió mejor que cualquier intuición:**
+- La raíz de `tawasuyu.net` en gioser era **el monorepo entero (145 G) servido por HTTP**. El log
+  dice que las únicas rutas con tráfico son `/`, `/descargas` y `/web` ⇒ se replicaron **sólo** los
+  dos subárboles que el sitio usa (1,2 M + 3,8 G), con la MISMA estructura para que cada `rewrite`
+  siga siendo el mismo.
+- **`/hooks/*` NO se muda**: lo atiende `webhook-deploy.py`, que redespliega `aura_*`, `sigma_*`,
+  `summa_*` y `brahman` — **los cuatro son fósiles del §6.19**, y tiene cero peticiones. Muere con la
+  caja vieja. Un servicio vivo que sólo sirve a muertos es basura, no deuda.
+
+#### PHP: la segunda jaula, y por qué no entra al corpus
+
+`/reencuentro/` es una página con **un** `guardar.php`. PHP no está en el corpus y no tiene por qué
+estar: lo sirve **`php-fpm 8.5.10` dentro de la instancia `gioser-php`** (ADR 0015), por
+`127.0.0.1:9000`, supervisado por arje. Control contra el original, en los dos sentidos: `POST` con la
+trampa anti-robots → `{"ok":true}` 200 igual que en gioser; `GET` → **405** igual que en gioser.
+
+⚠ **El webroot entra a la jaula EN LA MISMA RUTA** (`/work/www/gioser-web`): el `SCRIPT_FILENAME` de
+FastCGI es una ruta absoluta del anfitrión, y si adentro viviera en otro sitio php-fpm contesta
+«File not found» sin decir cuál. Y la config de php-fpm vive en el ANFITRIÓN
+(`/work/etc/gioser-php/php-fpm.d/`) y entra por concesión: el `upper` de la instancia es caché y
+`recreate` se la llevaría.
+
+#### 🧨 Los padres que inventa bwrap son **0700** — y eso deja la concesión fuera de alcance
+
+El muro real del día, y es general, no de PHP:
+
+    $ curl -X POST https://gioser.net/reencuentro/guardar.php
+    File not found.          ← y el fichero ESTÁ, montado, con sus modos correctos
+
+Para montar en `/work/www/gioser-web`, bwrap tiene que crear `/work` y `/work/www` —que la imagen de
+Arch no trae— y **los crea `drwx------ root`**. Adentro somos root, así que todo a mano funciona; pero
+**un servicio que baja de privilegio** (php-fpm a `http`, o cualquier instancia con `run_as`) no puede
+ni atravesarlos. Medido con el control que lo separa de una confusión de permisos del anfitrión: como
+`http`, leer un fichero **de la imagen** funciona y leer el **directorio concedido** da
+`Permission denied`.
+
+⇒ `grants_to_args` crea ahora los ancestros que faltan con `--perms 0755 --dir`, y **sólo los que la
+imagen no trae**: hacerlo sobre `/etc` o `/home` le cambiaría los modos a la imagen. Con test que
+falla a propósito si la condición se rompe (`left: ["/etc","/etc/php"]` contra `right: ["/etc/php"]`).
+Misma familia que el `--perms 1777` que ya hacía falta antes del `--tmpfs /tmp`.
+
+⚠ La caja corre el `takana` del `commit` pineado en `recipes/takana.toml`, así que **allá el arreglo
+todavía no está**: el camino se abrió a mano en el `upper` de la instancia (`chmod 755 /work
+/work/www`). Es exactamente lo que el arreglo vuelve innecesario en el próximo `takana upgrade`.
+
+#### Y el estado de `rust` y de `claude`, que no es el que parece
+
+- **`rust` está en la caja pero no instalado**: `rust-toolchain-bin` está **sellado en el store** y
+  declarado en `perfil.servidor`, y `rustc 1.97.0` corre invocándolo por su ruta del store — pero
+  **no está en el `PATH`** porque la caja se instaló antes de esa declaración. Proyectarlo son 798 M
+  sobre una raíz de **5,8 G con 2,9 G libres**: entra, pero el layout de la imagen (§6.24) merece la
+  revisión primero.
+- **`claude` no está mudado**, y es otro caso de jaula: el binario de gioser es **glibc dinámico**
+  (`/lib64/ld-linux-x86-64.so.2`), o sea el mismo montón que el backend de `sergio`. Lo que pesa no
+  es el binario sino su estado: **6,8 G de `~/.claude`**, de los cuales 5,3 G son `jobs` y 976 M
+  `projects` — y ahí vive la memoria, **indexada POR RUTA del repo**. Mudarlo es una decisión sobre
+  qué se lleva, no una copia.
+
 ## 7. Reusar los scripts que ya existen, y no escribir de nuevo
 
 Pedido explícito del usuario. El inventario de lo que ya hace el trabajo: