smtp-relay/.metodo/metodo.md

El Método — constitución

Versión 2026-08-15. Documento autocontenido: es lo que se vendoriza, byte a byte, a cada repo (no lleva enlaces a rutas de un árbol concreto, para que funcione clonado en solitario). Cada regla lleva su cicatriz (meta-principio: un raíl se escribe con el incidente que lo enseñó, no a priori). Procedencia, fuerza (nº de repos) y partición linter/juicio: fichero constitucion-de-facto.md de la matriz.

ℹ️ Los 10 raíles base van hoy en una línea (su texto completo con cicatrices está pendiente de inlinar); lo promovido de las cosechas (2026-08-08 y 2026-08-15) va completo. El árbol redes conserva su copia redes/workflows/metodo.md hasta que se desmantele.

Raíles base (1–10)

1. Verifica el RESULTADO, no la intención (testigo independiente que sabe ponerse rojo).
2. El dato CRUDO, no el cocinado (backend mide, consumidor pinta).
3. Mutation testing: ataca el CABLEADO, no las funciones puras.
4. Ejercita el FLUJO REAL (abre el navegador, toca el device).
5. No inventes estados ni fallos no medidos ("sin dato", degrada a gris no a rojo).
6. Verifica la PREMISA del prompt (enmendar es SUSTITUIR; premisa falsa = PARAR). ← +C34
7. Fuente única + copias vendidas + red anti-deriva (--check).
8. Fallo benigno EXPLÍCITO, nunca degradación silenciosa.
9. Sesiones frescas por stack; la continuidad la lleva el orquestador.
10. Lo que "funciona por casualidad" está roto.

---

Raíles nuevos (promovidos 2026-08-08)

11. El orden de lo irreversible: añadir antes de quitar · C14 (4 fuentes)

Todo lo verificable ocurre antes del paso que no se deshace. Se añade antes de quitar, se crea antes de borrar; cada paso de una release se revierte por separado y ninguno depende de dos cosas nuevas a la vez.

• Un tercer nodo de etcd entra antes de que salga el que se retira — al revés, el quórum se queda en uno.
• "Nunca borres el IPAddressPool viejo hasta tener el nuevo sirviendo" (MetalLB).
• El cutover de un servicio con nombre: primero responde el nuevo, luego se retira el viejo.

12. Exploración solo-lectura, sin autoengaño · C35 (Solidaria)

Explorar es medir sin tocar, y sin creerte tu propia medida.

• curl con control: mira /api/health/http_code, no "parece que responde".
• "Aquí no hay nada" es un RESULTADO, no un fracaso — se anota igual que un hallazgo.
• Los falsos positivos de grep son el riesgo nº1: una lista larga de "roto" delata TU método (un patrón demasiado amplio), no el sistema. Verifica cada hit contra la fuente antes de declararlo.
• Sobre texto generado, el testigo se define sobre las líneas EJECUTABLES, no sobre el fichero: si el generador emite comentarios que documentan las ramas NO tomadas, el grep ingenuo mide el comentario — verde indistinguible de rojo. (Cicatriz: banco de render de infraserver, 2026-08-12.)
• Medir, no opinar. Sondear una escritura ES escribir (no es exploración).

---

Entrega — la parte de "sacar el trabajo" (promovido 2026-08-08)

El método nació de verificación/UI; la cicatriz de entrega (git, secretos, naming, deploy) vivía fuera, repetida en varios repos. Aquí se consolida.

Naming · C17, C32

• Ids con prefijo por ámbito, no se renumeran (romperían citas cruzadas), y antes de añadir uno se corre el grep de colisión — no basta con mirar.
• El nombre nombra DESTINOS, no rutas: ni el host, ni la IP, ni activo/reserva entran en un FQDN. Se escribe como regla, no como observación.
• Renombrar sin CNAME de cortesía: que lo viejo rompa a la vista, no en silencio.

Secretos · C20, C21, C22

• Una frontera de credenciales por dominio; aislamiento por ServiceAccount (ninguno con acceso a secretos ajenos).
• Capacidad > credencial: se actúa con el secreto, no se revela (revelar lo deja en el transcript); el estado raro se dice con la URL, nunca con el secreto.
• Nunca en git: imperativos / GPG / PushSecret, forzado por .gitignore; se documenta cómo recrearlos, no el valor.

Git · C24, C25, C38

• Git canónico único y MEDIDO: se empuja a un remoto y solo ahí; un fallo se mide (dry-run/reintento) antes de concluir "no hay credenciales"; el remoto muerto se elimina localmente.
• Commits Conventional (feat/fix/docs/ci + scope); el doc: registra el porqué.
• Working-tree compartido: git add con ruta explícita (nunca -A), git pull antes de deploy y antes de commitear docs, una tarea = una sesión/worktree.
• La representación en disco es parte del artefacto: cuando un hash o un runtime consume el checkout, se fija con el repo — eol por .gitattributes y bit de ejecución — o el testigo mide el checkout, no el contenido (una DERIVA falsa en un clone sin tocar entrena a ignorar el check). (Cicatrices: copia vendorizada en CRLF, 2026-08-11; git archive sale en CRLF.)

Deploy · C12, C13

• Un solo flujo de build, disparado deliberadamente, no por git push; el legacy es lápida (código muerto conservado hasta MEDIR qué lo ejecuta, no borrado a ciegas).
• Todo cambio por git → deploy declarativo; imagen pineada por DIGEST inmutable commiteado; el historial de commits ES el registro de auditoría.
• El testigo de «puedo entregar» no es el push a git: es el artefacto en el registro del que tira el destino. Una cadena de entrega tiene tantas credenciales como saltos, y la que no se ejercita se pudre en silencio — un componente que lleva semanas sin reconstruirse no se sabe si puede entregar. (Cicatriz: robot de registro con 401 en tres repos, mudo durante semanas porque nadie construía, 2026-08-12.)
• El orden de lo irreversible aplica aquí → raíl 11.

---

Adiciones a raíles base (pendientes de inlinar en su raíl)

• R6 (verifica la premisa) += C34: las premisas del encargo se numeran (P1,P2…) con veredicto explícito (verdadera / falsa / matizada + fichero:línea); el ratio de premisas falsas es el termómetro de "escribo de memoria"; "el doc lo dice" = premisa a verificar. Y hacia atrás (cosecha 2026-08-15): al escribir un hallazgo se nombra la ruta EXACTA que se midió, nunca la categoría — una categoría con una sola medición detrás se lee después como universal y se hereda como premisa falsa. (Cicatriz: «el camino Rocky» eran dos caminos y solo se había medido uno; la frase viajó por tres documentos.)
• Diseño de herramientas (R1/R8) += C39: la ausencia de una capacidad es un guardarraíl. El poder peligroso se retiene estructuralmente (no se expone porque no se construye): vocabulario cerrado, sin exec/SQL/comando libre.
• Docs / R7 += C30: el docstring/manual ES la interfaz. Cambia el comportamiento → cambia el docstring en el mismo commit; un doc que miente ES el bug.

(Cosecha 2026-08-15 — cicatrices de infraserver:)

• R3 (ataca el cableado) += el diff del artefacto: cuando un cambio de configuración pretende cambiar un comportamiento, el testigo es el artefacto generado, guardado ANTES y comparado DESPUÉS; el veredicto es su diff por caso. Un caso cuyo diff sale vacío no está construido, aunque no dé error: es un campo-señuelo. (Cicatriz: day1.mode — dos modos producían el mismo artefacto; y así llegó day0.luks a existir declarado y sin consumir.)
• R7 (fuente única) += el consumidor que se salta el merge: un defecto declarado como dato en la capa base solo es fuente única si TODOS los consumidores pasan por el merge; el que se lo salta es una segunda fuente, y hay que buscarlo explícitamente al introducir el defecto. (Cicatriz: un endpoint construía su vista sin mergear la capa base y devolvía otro valor.)
• R8 (fallo explícito) += preferencia vs identidad: distingue el default de PREFERENCIA (qué valor usar entre varios válidos) del default de IDENTIDAD (qué es esto). El segundo no existe: si el dato que identifica al artefacto no está declarado, el artefacto no se puede construir, y la respuesta es un fallo explícito con motivo — nunca el valor más común. (Cicatriz: un hueco de identidad rellenado sirvió un kickstart destructivo con HTTP 200.)

---

La estructura de sesión no vive aquí

Los dos ejes fase × persona y el handoff automático entre fases son procedimiento, no principio → viven en la capa workflows/, con la capa persona opcional (se activa solo con interlocutor no-técnico; en infra en solitario, inactiva pero documentada).