diff --git a/docs/28-servidor-de-produccion.md b/docs/28-servidor-de-produccion.md
index 5b627043..6f00ade6 100644
--- a/docs/28-servidor-de-produccion.md
+++ b/docs/28-servidor-de-produccion.md
@@ -189,6 +189,49 @@ saldría N/N —completo y verde— describiendo un servidor sin hora, sin corta
 la lección de `foot` en `escritorio-sway` (121/121 sellado y sin emulador de terminal), pagada por
 adelantado. **Cuenta esperada: 5.** Un sexto `wanted` es un error de tipeo, no una receta nueva.
 
+### 3.5 La caja, creada *(2026-09-10)*
+
+| | |
+|---|---|
+| nombre / id | `takana` / `165447050` |
+| tipo | **`cx33`** — 4 c / 7,6 GiB / 76,3 G — **€8,49/mes** |
+| ubicación | **hel1** — la misma que los volúmenes `vvv` y `harkaq-cosecha` y que el Storage Box |
+| IPv4 / IPv6 | `2.29.29.217` · `2a01:4f9:c014:2f9c::/64` |
+| imagen inicial | `debian-13` — **desechable**: existe sólo para recibir ficheros hasta el `dd` del §3.2 |
+| label | `role=takana-server` |
+| protección de borrado | **NO**, a propósito: es la caja de sacrificio |
+
+⚠ **El label importa**: `farm-down.sh` y `deadman.sh` borran **sólo** lo que lleva
+`role=hammer-worker`. Esta caja no lo tiene ⇒ ninguna automatización de la granja puede tocarla.
+Es la misma capa fuerte que protege a gioser, aplicada al revés: no se protege por nombre, se
+protege por no haber nacido de `farm-up`.
+
+⚠ **`cx53` no se pudo comprar: sale `Available: no` en las TRES ubicaciones.** Y la disponibilidad
+**cambia por día** — `cx33` salió `no` en hel1 el 2026-09-09 y `yes` el 2026-09-10, con la misma
+consulta. ⇒ **el precio de la tabla no dice que la máquina exista**: `hcloud server-type list`
+devuelve precios para tipos que no se pueden crear. Consultar `Available` por ubicación, y volver a
+consultarlo el día que se compra.
+
+#### Lo que la caja confirma, medido EN ELLA y no inferido de gioser
+
+1. **Arranca por BIOS** — no existe `/sys/firmware/efi`… **y sin embargo la imagen trae un ESP**
+   (`sda15`, 244 M vfat en `/boot/efi`). O sea: **la presencia de una partición EFI no indica
+   arranque EFI**. Si el instalador decidiera la rama mirando particiones en vez de
+   `/sys/firmware/efi`, elegiría mal en esta caja exacta. `takana-live-install.sh` mira lo correcto.
+2. **`console=tty1 console=ttyS0` viene en el cmdline de Debian.** Confirma que el serial es lo que
+   Hetzner espera, y que el hueco 2 del §3.3 es real: nuestra imagen tiene que traerlo o la consola
+   web no muestra nada.
+3. **`eth0` con `/32` dinámico por DHCP** — idéntico a gioser ⇒ es exactamente el caso de `netup`.
+
+#### Dos cosas pendientes en la caja, anotadas
+
+- **7,6 GiB de RAM y CERO swap** — la misma clase de máquina que ya provocó `global_oom` en gioser.
+  Coherente con la decisión de §2.1 (la caja **publica**, el LXC muele), pero significa que **no se
+  construye pesado acá** mientras siga así.
+- **`sshd` trae `PasswordAuthentication yes`** (con `PermitRootLogin without-password`, así que root
+  por clave igual). El journal del LXC muestra fuerza bruta a root desde IPs random; esta caja está
+  igual de expuesta. Se cierra cuando se instale takana puro, o antes si se queda días con Debian.
+
 ---
 
 ## 4. La utilidad de migración: absorber lo VIVO, no lo declarado
@@ -341,7 +384,8 @@ del store a propósito. Queda anotado para que se **decida**, no para que se des
 | paso | estado |
 |---|---|
 | **0.** `perfil.servidor` + este documento + el renombre `hammer-*` de los instaladores | ✅ **2026-09-09** |
-| **1.** caja `cx53` de sacrificio: rescue → `dd` → arranca takana puro (§3) | pendiente |
+| **1a.** caja de sacrificio creada — `cx33` (no había `cx53`), hel1, §3.5 | ✅ **2026-09-10** |
+| **1b.** imagen del `perfil.servidor` + rescue → `dd` → arranca takana puro (§3) | pendiente |
 | **2.** el servidor se sirve sus paquetes y se actualiza a sí mismo (§5) | pendiente — requiere clave estable + receta de `takana` |
 | **3.** mudanza con las 8 puertas del §6, y recetas nuevas del §6.2 | pendiente |
 | **4.** la utilidad de absorción (§4), estrenándose con esta migración | pendiente |