diff --git a/recipes/atuq/extension/atuq128.png b/recipes/atuq/extension/atuq128.png
deleted file mode 100644
index b058a9d7..00000000
Binary files a/recipes/atuq/extension/atuq128.png and /dev/null differ
diff --git a/recipes/atuq/extension/inicio.html b/recipes/atuq/extensions/inicio/inicio.html
similarity index 100%
rename from recipes/atuq/extension/inicio.html
rename to recipes/atuq/extensions/inicio/inicio.html
diff --git a/recipes/atuq/extension/inicio.js b/recipes/atuq/extensions/inicio/inicio.js
similarity index 100%
rename from recipes/atuq/extension/inicio.js
rename to recipes/atuq/extensions/inicio/inicio.js
diff --git a/recipes/atuq/extension/manifest.json b/recipes/atuq/extensions/inicio/manifest.json
similarity index 100%
rename from recipes/atuq/extension/manifest.json
rename to recipes/atuq/extensions/inicio/manifest.json
diff --git a/recipes/firefox.toml b/recipes/firefox.toml
index 4d16baf5..c85157b5 100644
--- a/recipes/firefox.toml
+++ b/recipes/firefox.toml
@@ -42,9 +42,16 @@
 # ══ LO DEMÁS QUE SE APAGA ══════════════════════════════════════════════════════════════════════
 #   --disable-jemalloc            musl trae su propio allocator; jemalloc encima es la receta del
 #                                 cuelgue clásico de Firefox en Alpine.
-#   --without-wasm-sandboxed-      exige el SDK de WASI, que no está en ninguna cola. Apaga el
-#     libraries                    sandbox wasm de algunas librerías de medios, no el sandbox del
-#                                 proceso de contenido.
+#   (YA NO --without-wasm-     RLBox ENCENDIDO desde 2026-09-06 (SDD 26, unidad 3.b). El flag que
+#     sandboxed-libraries)       estaba acá apagaba la jaula wasm que envuelve a los parsers de
+#                                fuentes y medios —graphite, ogg, expat, woff2—, o sea justo el
+#                                código que come entrada NO CONFIABLE de la red. Estaba apagado por
+#                                una razón honesta y ya vencida: «el SDK de WASI no está en ninguna
+#                                cola». Ahora sí está, y son cuatro recetas nuestras:
+#                                  wasi-libc-headers → wasi-compiler-rt → wasi-libc → wasi-sdk
+#                                Se reemplaza por `--with-wasi-sysroot`, que es LITERALMENTE lo que
+#                                pasa Alpine (verificado contra su mozconfig el 2026-09-06), a la
+#                                misma ruta donde instala nuestro `wasi-libc`.
 #   --disable-crashreporter       manda telemetría a Mozilla; además pide breakpad.
 #   --disable-updater             la distro actualiza por hammer, no por un updater propio.
 #   --disable-tests               no entran al artefacto.
@@ -230,7 +237,7 @@ ac_add_options --disable-debug-symbols
 ac_add_options --disable-strip
 ac_add_options --disable-install-strip
 ac_add_options --disable-cargo-incremental
-ac_add_options --without-wasm-sandboxed-libraries
+ac_add_options --with-wasi-sysroot=/usr/share/wasi-sysroot
 ac_add_options --enable-alsa
 ac_add_options --enable-pulseaudio
 ac_add_options --enable-dbus
@@ -363,4 +370,17 @@ build = [
   "wayland", "wayland-protocols", "libxkbcommon", "mesa", "libdrm",
   "dbus", "pipewire", "pulseaudio", "alsa-lib",
   "libxml2-shared", "linux-headers",
+  # ── LA CADENA WASM DE RLBOX (SDD 26 §3.b) ──────────────────────────────────────────────────────
+  # Van las TRES, y no es redundancia: las deps de hammer NO son transitivas. En el `bwrap` sólo se
+  # apilan como overlay las que están escritas acá; declarar sólo `wasi-sdk` NO arrastra al
+  # `wasi-libc` que necesita, y el fallo sería el peor de los posibles — el sysroot no existiría y
+  # el error saldría a las horas, hablando de un header de wasm que no nombra a ninguna receta.
+  #
+  #   wasi-libc         el sysroot en sí (`/usr/share/wasi-sysroot`), que es lo que apunta el flag
+  #   wasi-compiler-rt  los builtins (`libclang_rt.builtins-wasm32.a`) SIN LOS CUALES NO ENLAZA
+  #                     nada a wasm; aterrizan en el resource dir del clang del lab
+  #   wasi-sdk          el `.cfg` de `/etc/clang22`, que hace el sysroot invisible para quien no
+  #                     pasa el flag. Con `--with-wasi-sysroot` explícito es cinturón Y tirantes:
+  #                     se declara igual porque es lo que hace Alpine y porque cuesta 28 K.
+  "wasi-libc", "wasi-compiler-rt", "wasi-sdk",
 ]