takana/docs/plan-barrido-perfiles-y-servicios.md

Plan — barrido de perfiles y servicios, MEDIDO

Fecha: 2026-09-13 · Catálogo contra el que se midió: 905 nodos del corpus (903 recetas selladas + 2 ajenos) y los cuatro grafos de cola · Instrumento: el campo perfiles de docs/state/build-state*.json cruzado con dependientes_total, más el [[service]] de las recetas. No se contó nada a mano.

Por qué existe este documento

Salió de una pregunta lateral. Al declarar doce recetas nuevas en targets.toml hubo que mirar qué había ya declarado, y el número no se parecía a lo que cualquiera habría dicho de memoria:

De 905 nodos, 631 no estaban en NINGÚN perfil. El 73 % del catálogo estaba sellado, íntegro, reproducible… y no viajaba en ninguna imagen.

Lo grave no es el número: es que nada lo decía. drenaje.json daba deuda 0 —y era cierto, no hay nada roto—. La métrica de perfil daba N/N —y también era cierta, porque mide la clausura de lo declarado y no puede ver lo que falta en la declaración. Es la lección de foot (un perfil 121/121 sin emulador de terminal) aplicada al catálogo entero, y llevaba meses ahí.

El método, para poder repetirlo

Tres preguntas encadenadas, y el orden importa porque cada una descarta ruido de la siguiente:

1. ¿Está en algún perfil? → campo perfiles de los cinco build-state*.json. Hay que mirar los cinco: una receta del corpus puede estar declarada desde una cola.
2. ¿Podría llegar por la clausura de otra? → dependientes_total > 0. Una librería sin perfil NO es un hueco: llega como dep de quien la usa. El hueco son las HOJAS: si nadie depende de ellas y ningún perfil las declara, no hay camino por el que entren a una imagen.
3. ¿Fue curada alguna vez? → la cabecera del importador. Las recetas de import-nix / import-alpine traen literalmente «PUNTO DE PARTIDA, no final». Es una marca objetiva y parte el montón en dos mitades con historias distintas.

905 nodos
├── 274 en algún perfil
└── 631 sin perfil
    ├──  11 con dependientes  → llegan por clausura ajena, NO son hueco
    └── 620 HOJAS             → sin camino a ninguna imagen
        ├── 529 volcado crudo del importador  (328 Go · 195 Rust · 6 C)
        └──  91 trabajadas a mano             ← éstas se triaron una por una

La política que faltaba escribir: catálogo ≠ imagen

La tentación al ver «620 hojas sin perfil» es declararlas todas. Sería peor que no haber mirado: 355 de ellas son herramientas Go de nube y desarrollo importadas en tanda, y meter kubectl, flyctl y chartmuseum en la imagen de escritorio de alguien no arregla nada — engorda cuatro imágenes para servir a nadie.

Lo que faltaba no era declarar: era decir en voz alta que el catálogo tiene dos niveles, cosa que el repo ya hacía de hecho y no había escrito en ningún lado.

nivel	qué es	cómo llega a una máquina
imagen	lo que un perfil declara, más su clausura	viene horneado; es lo que arranca
catálogo	todo lo demás que el repo sabe construir y tiene sellado	takana install <nombre> desde el repo

⇒ No estar en un perfil no es deuda. Es deuda sólo cuando lo que falta es una capacidad: algo que la imagen, tal como está, no puede hacer. Ese es el criterio con el que se triaron las 91, y es el que hay que aplicar la próxima vez.

El triaje de las 91, completo

Las seis clases suman 91 exactas; ninguna receta quedó sin clasificar.

A · Declaradas en este barrido (9)

receta	dónde	por qué
wpa_supplicant	base	la imagen no podía asociarse a un WiFi — ver abajo
wlr-randr	escritorio-sway	no había con qué cambiar resolución ni rotar una pantalla
nano	cli	base sólo trae vim
tig	cli	git en TUI
patch	cli	aplicar un diff a mano; userland clásico que faltaba
socat	cli	sockets y diagnóstico de red
pigz	cli	gzip en paralelo
miller	cli	jq para CSV/TSV — el hueco de datos tabulares
dwarves	cli	pahole: esta distro compila su propio kernel

B · Del proyecto — entran por otro camino, no por perfil (19)

arje-zero, arje-absorb, arje-installer, arje-packager, arje-getty-stub, arje-net-bring-up, arje-zero-attest, hammerd, hammer-edit, agora-cli, dominium-cli, cosmos-cli, tinkuy-sim, llimphi-counter, y los cinco kernels (linux, linux-generic, linux-metal, linux-metal-dual, linux-metal-kexec).

El init y el kernel los hornea el product-rootfs; los binarios de la suite viven en tawasuyu. Que estén fuera de los perfiles es correcto — pero conviene que esté escrito, porque «arje-zero no está en ningún perfil» se lee como alarma hasta que alguien explica por qué no lo estará nunca.

C · Andamios y pruebas (6)

adwaita-hello, gtk4-hello, sourceview-hello, poppler-render-check, firefox-instrumentado, mesa-llvmpipe. Existen para probar una cadena o para alimentar un PGO. No van a una imagen y no deberían aparecer nunca en este recuento como deuda.

D · Librerías sin consumidor todavía (10)

brotli, libarchive, libsodium, libssh2, libuv, lz4, zlib-ng, musl, bwrap, crun.

⚠ Éstas son las únicas de las 620 que merecen una segunda mirada por sí mismas, y no por falta de perfil: son librerías con cero dependientes. Alguien las escribió para algo y ese algo no llegó, o llegó y resolvió contra otra. Un libuv sellado que nadie usa es trabajo hecho y no cobrado — libuv es, por ejemplo, dep de neovim, que el catálogo no tiene.

E · Decisión abierta — NO se declaran de oficio (17)

Cada una compite con algo ya elegido, o enciende una función que nadie pidió. Declararlas por reflejo sería tomar una decisión de distro dentro de un barrido de limpieza:

receta(s)	con qué compite / qué decide
openrc	compite con arje-zero: los inits no se apilan
uutils, coreutils, diffutils, findutils, findutils-xargs, grep	compiten con los applets de busybox que hoy usan las imágenes. Reemplazarlos es una decisión de producto: cambia el tamaño, el comportamiento de las banderas y la superficie de licencias
waterfox	segundo navegador Gecko además de atuq. ¿Se shipean los dos?
valkey, opensmtpd, seaweedfs, step-ca, qdrant	el perfil servidor hoy sirve web y SSH. Añadir base de datos, MTA, almacenamiento o CA es definir qué clase de servidor es
ia-modelo-embeddings	la mitad semántica del §6.3 de atuq no viaja. llama-cpp y ia-modelo-chat sí están en los cuatro escritorios; el modelo de embeddings, no ⇒ hay motor y hay chat, y no hay búsqueda por significado
steam-runtime-sniper	es una imagen qorpa, no un paquete: entra por el ADR 0015
xorriso, mtools	hacen medios de instalación. Si el instalador los necesita en la imagen, van; si los usa el hub, no. Hay que mirar el instalador antes de decidir

F · Catálogo, no imagen (30)

amfora, anew, bom, cargo-audit, cargo-edit, cargo-hack, chartmuseum, cheat, dnsx, flyctl, fortio, git-absorb, glab, goldilocks, gomi, krew, kubectl, kubescape, melange, nancy, pint, rekor-cli, revive, sake, scorecard, temporal-cli, timetrace, topgrade, xsv, yamlfmt.

Se construyen, se sellan y se instalan por nombre. No engordan ninguna imagen. Lo mismo vale para las 529 del volcado crudo: es un catálogo, y un catálogo grande es una virtud siempre que nadie lo confunda con la imagen.

⚠ Una de ellas merece una nota: topgrade actualiza el sistema llamando a gestores de paquetes ajenos. En una distro declarativa eso no es una comodidad, es un pie de cabra. Que esté en el catálogo está bien; que entre en una imagen, no.

Lo que el barrido destapó, que era el punto

1. La imagen no podía conectarse a un WiFi

wpa_supplicant estaba sellado y en cero perfiles. dhcpcd —que sí estaba en base— resuelve la IP de un cable; el handshake WPA2 de 4 vías lo hace un supplicant en userspace y busybox no lo trae. La receta llevaba meses escrita, con una cabecera que dice literalmente «para asociar el WiFi del medio live al AP», y nadie la había declarado.

Es el modo de fallo de esta casa en estado puro: nada falla. La imagen arranca, la métrica da N/N, ip link ve la interfaz — y no hay forma de asociarse. Sólo se ve usándolo, o cruzando dos ficheros que nadie cruzaba.

⚠ Y esto NO cierra la red inalámbrica, sólo la destraba. networkmanager existe sólo en incoming-kde: GNOME, COSMIC y sway no lo alcanzan (cola hermana; una receta resuelve sibling-first y después el catálogo padre, nunca una cola de al lado). O sea que en tres de los cuatro escritorios la WiFi se configura a mano con wpa_cli, y el indicador de red del escritorio no tiene con qué hablar. Promover networkmanager al corpus es su propia unidad de trabajo.

2. Tres de los cuatro escritorios no arrancaban NADA

paquetes dice qué se instala; servicios dice qué se levanta. Son dos hechos distintos y sólo escritorio-gnome tenía el segundo. KDE, COSMIC y sway salían con dbus, pipewire, upower —y desde ayer cupsd y bluetoothd— instalados y apagados, con la métrica de clausura dando N/N igual.

Las tres listas se escribieron computando qué ofrece cada clausura: se cruzaron los [[service]] de las 11 recetas que los declaran (accountsservice, arje-logind-compat, arje-polkit-compat, bluez, colord, cups, dbus, openssh, pipewire, upower, wireplumber) contra el campo perfiles de los cinco grafos. Contra la clausura y no contra las raíces: scripts/targets.py imprime raíces, y la mitad de los demonios llegan como dependencia — mirar la lista equivocada dejaba fuera a pipewire y colord en GNOME, que sí están en la imagen.

3. Y ese mismo cruce destapó tres ausencias de verdad

Ninguna se arregla declarando servicios; quedan escritas en targets.toml donde toca:

perfil	ausencia	consecuencia
KDE, sway	no hay wireplumber	pipewire sin gestor de sesión no encamina nada: los nodos existen y nadie los conecta
COSMIC	no hay upowerd	dibuja un indicador de batería que no tiene de dónde leerla
KDE, sway	no hay logind-compat	hoy lo cubren seatd y el propio compositor, pero es una suplencia, no un diseño

Cómo repetirlo

# 1. hojas sin perfil, por clase
python3 - <<'PY'
import json, collections
d=json.load(open('docs/state/build-state.json')); n=d['nodes']
hojas=[k for k,v in n.items() if not v.get('perfiles') and v.get('dependientes_total',0)==0]
print(len(hojas), collections.Counter(n[k]['cls'] for k in hojas))
PY

# 2. partir crudas / trabajadas por la marca del importador
grep -L 'PUNTO DE PARTIDA' recipes/*.toml

# 3. servicios que ofrece la clausura de un perfil (NO las raíces)
#    cruzar los [[service]] de recipes/**.toml con el campo `perfiles` de build-state*.json

La regla que sale de todo esto, y es la que conviene recordar cuando el recuento vuelva a subir:

Una receta sellada y no declarada no es deuda: es catálogo. Se vuelve deuda el día que lo que falta es una capacidad — y eso no lo dice ninguna métrica de build, porque las métricas miden lo declarado. Hay que preguntarle a la imagen qué no puede hacer, no al grafo qué le falta.