create-harness-btp 0.1.1 → 0.2.1

package/AI/.opencode/agents/deploy-cf.md

@@ -3,23 +3,23 @@ description: Construye MTAR y despliega en Cloud Foundry con evidencia
 mode: subagent
 ---
 
-Cloud Foundry y despliegue MTA. Único rol que ejecuta `sap_cf` con efecto y
+Cloud Foundry y despliegue MTA. Único rol que ejecuta `cf` con efecto y
 `mbt build`.
 
 Entradas: spec con destino confirmado, `mta.yaml` revisado, criterios de la
 puerta de despliegue.
 
-Procedimiento (cargar skills `sap-cf-cli` y `mta-build` antes del primer
+Procedimiento (cargar skills `cf-cli` y `mta-build` antes del primer
 comando del turno):
 
-1. `sap_cf target` y confirmar endpoint/org/espacio contra la spec.
+1. `cf target` y confirmar endpoint/org/espacio contra la spec.
    Sin coincidencia: detenerse y pedir el dato indispensable.
 2. `mbt build`; comprobar que el `.mtar` existe en `mta_archives/`.
-3. Desplegar (`sap_cf deploy` si hay plugin multiapps, si no `sap_cf push`
-   según plan) y verificar con evidencia observable (`sap_cf apps`,
-   `sap_cf logs <app> --recent`, URL de la app).
+3. Desplegar (`cf deploy` si hay plugin multiapps, si no `cf push`
+   según plan) y verificar con evidencia observable (`cf apps`,
+   `cf logs <app> --recent`, URL de la app).
 
-Denylist: usar `cf` para Foundry, borrar orgs/espacios/apps ajenas al MVP,
+Denylist: borrar orgs/espacios/apps ajenas al MVP,
 desvincular servicios no previstos, `push --no-start` sin avisar,
 cualquier acción sobre producción sin autorización expresa. Cero secretos en
 salidas e informes.

package/AI/.opencode/agents/orchestrator.md

@@ -25,7 +25,7 @@ nunca el historial del turno. Ver `AGENTS.md` § Presupuesto anti-bloqueo):
 - `e2e-fiori`: pruebas E2E en navegador abierto (chrome-devtools/playwright) con evidencia por criterio; veredicto APTO/NO APTO sin declarar verde lo no ejecutado.
 - `documentarian`: edita solo `*.md` (specs, INICIO, informe de cierre).
 - `harness-evolution`: cosecha lecciones del MVP en etapa 10 (solo propone diffs al harness; los aplicas tú tras revisión).
-- `deploy-cf`: build MTAR y despliegue. Solo él ejecuta `sap_cf` con efecto.
+- `deploy-cf`: build MTAR y despliegue. Solo él ejecuta `cf` con efecto.
 
 Paralelo solo en tareas realmente independientes (p. ej. `researcher` +
 `analyst` en etapa 0–1). Integras y revisas todo: no delegas decisiones

package/AI/.opencode/commands/verify.md

@@ -8,7 +8,7 @@ Ejecuta solo la puerta de despliegue (etapa 7) para $ARGUMENTS
 
 Verificaciones (delegables en `qa-review` + `deploy-cf` en solo lectura):
 
-1. `sap_cf target` coincide con el destino de la spec (endpoint/org/espacio).
+1. `cf target` coincide con el destino de la spec (endpoint/org/espacio).
 2. El artefacto existe y es reciente (`.mtar` en `mta_archives/` o bundle
    para `push`).
 3. Todos los criterios de aceptación están en verde con evidencia.

package/AI/.opencode/skills/cf-cli/SKILL.md

@@ -0,0 +1,41 @@
+---
+name: cf-cli
+description: Uso estándar del CLI de Cloud Foundry (cf)
+---
+
+# CLI Cloud Foundry (`cf`)
+
+El CLI de Cloud Foundry se invoca **siempre** como `cf` (instalación
+estándar del CLI; adapta rutas según tu equipo). Si `cf` en tu máquina
+corresponde a otra herramienta, define un alias propio y úsalo de forma
+consistente donde el harness diga `cf`.
+
+## Lectura segura (sin secretos)
+
+```
+cf target          # endpoint / org / espacio actuales
+cf api             # endpoint y versión API
+cf orgs            # solo nombres
+cf spaces          # solo nombres
+cf apps            # estado observable (started/stopped, rutas)
+cf services        # instancias visibles
+cf logs <app> --recent
+```
+
+`target`, `api`, `orgs`, `spaces` y `app <nombre>` nunca muestran tokens.
+Si una salida incluyera un secreto, redáctalo antes de citarla.
+
+## Mutaciones (solo `deploy-cf`, con destino confirmado)
+
+- Confirmar endpoint/org/espacio contra la spec **antes** de cada despliegue.
+- `cf push` para apps simples; `cf deploy <archivo>.mtar` para MTA
+  (requiere plugin `multiapps`, no instalado: ver skill `mta-build`).
+- Verificar después: `cf apps` + `cf logs <app> --recent` + URL.
+
+## Denylist
+
+- Borrar o renombrar orgs, espacios, apps o servicios fuera del MVP.
+- `cf login`/re-autenticaciones no solicitadas (si la sesión caduca,
+  pedir al usuario el flujo interactivo, nunca credenciales en texto).
+- `--var`/`--vars-file` con secretos en shell compartida; usar archivos ya
+  ignorados por Git y no citar sus valores.

package/AI/.opencode/skills/mta-build/SKILL.md

@@ -23,16 +23,16 @@ mbt build                # requiere mta.yaml en la raíz del proyecto
 
 ## Despliegue del MTAR
 
-`sap_cf deploy <archivo>.mtar` requiere el **plugin multiapps**. Verificar
-siempre con `sap_cf plugins` antes de asumir su ausencia (2026-10-30 resultó
+`cf deploy <archivo>.mtar` requiere el **plugin multiapps**. Verificar
+siempre con `cf plugins` antes de asumir su ausencia (2026-10-30 resultó
 ya instalado contra lo documentado). Instalarlo solo cuando un MVP necesite
 despliegue MTA:
 
 ```
-sap_cf install-plugin -r CF-Community multiapps
+cf install-plugin -r CF-Community multiapps
 ```
 
-Alternativa sin plugin para MVPs simples: `sap_cf push` por app según plan.
+Alternativa sin plugin para MVPs simples: `cf push` por app según plan.
 
 ## Notas
 

package/AI/AGENTS.md

@@ -1,33 +1,33 @@
 # Harness MVP SAP BTP — Reglas del proyecto
-> Nota portabilidad: verificado en Windows, adapta rutas a [TU_PC].
+> Nota portabilidad: verificado en Windows (PowerShell 5.1) y Git Bash; adapta rutas a tu equipo.
 
 > Flujo reutilizable especificación → despliegue en SAP BTP Cloud Foundry,
-> orquestado por OpenCode en este equipo Windows. El `AGENTS.md` global de
-> `[TU_PC]\.config\opencode` sigue cargándose; en caso de conflicto,
-> manda este archivo.
+> orquestado por tu cliente agéntico (verificado con OpenCode). Si tu cliente
+> carga un `AGENTS.md` global, en caso de conflicto manda este archivo.
 
 ## Herramientas: nombres intocables
 
 | Uso | Comando | Notas |
 |---|---|---|
-| Cloud Foundry | `sap_cf` | `sap_cf.cmd` (ruta de instalación de Cloud Foundry CLI en [TU_PC]). |
+| Cloud Foundry | `cf` | CLI estándar de Cloud Foundry (v8). |
 | MTA build | `mbt` | Cloud MTA Build Tool (binario recuperado vía su propio `install.js`). |
-| Cloudflare | `cf` | **Prohibido** usar `cf` para Cloud Foundry: ese comando es el CLI de Cloudflare en [TU_PC]. |
 
-Ver skill local `sap-cf-cli` antes del primer comando CF del turno;
+Si `cf` en tu máquina corresponde a otra herramienta, define un alias propio y úsalo donde el harness diga `cf`.
+
+Ver skill local `cf-cli` antes del primer comando CF del turno;
 ver `mta-build` antes del primer build MTAR.
 
 ## Destino Cloud Foundry conocido (sin secretos)
 
-- Endpoint verificado: `[TU_ENDPOINT_CF]` (p. ej. `https://api.cf.<region>.hana.ondemand.com`;
+- Endpoint: el de tu paisaje (p. ej. `https://api.cf.<region>.hana.ondemand.com`;
   registrar el valor real en la spec del MVP, nunca aquí).
-- Org y espacio objetivo (ver `sap_cf target`;
+- Org y espacio objetivo (ver `cf target`;
   no se transcriben aquí por higiene). Antes de **cada despliegue**, el
   orquestador re-verifica endpoint/org/espacio contra la especificación del
   MVP. Si no coinciden o no pueden deducirse, se pide solo el dato
   indispensable y no se despliega.
-- Despliegue MTA (`sap_cf deploy *.mtar`) requiere el plugin **multiapps**.
-  Antes de asumir su ausencia o instalarlo, verificar con `sap_cf plugins`
+- Despliegue MTA (`cf deploy *.mtar`) requiere el plugin **multiapps**.
+  Antes de asumir su ausencia o instalarlo, verificar con `cf plugins`
   (lección: verificar siempre antes de asumir su ausencia).
   Instalarlo solo cuando un MVP lo requiera (ver `mta-build`).
 - Placeholders MTA a credenciales: antes de diseñar un placeholder, verificar
@@ -47,13 +47,13 @@ ver `mta-build` antes del primer build MTAR.
 > poseer. Objetivo: portar un MVP entre espacios/cuentas sin intervención
 > humana salvo decisiones de coste/acceso.
 
-| En MTA (`mta.yaml`) | Fuera del MTA (agentes por `sap_cf`, una vez por espacio) |
+| En MTA (`mta.yaml`) | Fuera del MTA (agentes por `cf`, una vez por espacio) |
 |---|---|
 | `managed-service`: xsuaa, destination, html5-repo-host/runtime, todo lo que el deploy puede crear/actualizar | `existing-service`: bindings a instancias pre-existentes (p. ej. DIE trial, `it-rt` integration-flow), espacios, roles `SpaceDeveloper`, entitlements/cuotas |
 | Keys DECLARADAS por nombre (`service-key: name:`); el deploy reutiliza la key existente del espacio, nunca la crea con secretos | Creación idempotente de espacio/instancias/roles vía `scripts/provision-<espacio>.ps1` (ver § Paisajes); cero secretos en repo, solo nombres |
 | Destinos versionados con referencias por nombre (`TokenServiceInstanceName/KeyName`, `~{srv-api/srv-url}`); ninguna credencial literal | Lo que el deploy-service rechace (p. ej. placeholders a keys anidadas `credentials.oauth`) NO se reintenta igual: fallback = binding nativo o destino MANUAL en cockpit registrado como pendiente conocido con su causa |
 
-- `sap_cf` siempre; `cf` prohibido (es Cloudflare en [TU_PC]).
+- El CLI de Cloud Foundry se invoca siempre como `cf`.
 - Keys rotadas por deploy (el deploy-service puede borrar la
   `service-key` en cada deploy): el runtime NUNCA lee keys; solo binding/VCAP.
   Las keys son solo de diseño (temporal borrable, solo nombre documentado).
@@ -63,10 +63,10 @@ ver `mta-build` antes del primer build MTAR.
 ## Paisajes .mtaext y pre-provisión idempotente
 
 - Cada paisaje = un `<paisaje>.mtaext` en la raíz del MVP (`dev.mtaext`, `prd.mtaext`): `extends: <mta-id>`, overrides SOLO por paisaje (nombres de `existing-service`, `service-key`, URL del iFlow). `mta.yaml` guarda el default (= dev vivo). Cero secretos.
-- Cadena de deploy: `sap_cf target -s <paisaje>` → `sap_cf deploy mta_archives/<mtar> -e <paisaje>.mtaext`. Sin `-e` no hay deploy multi-paisaje.
+- Cadena de deploy: `cf target -s <paisaje>` → `cf deploy mta_archives/<mtar> -e <paisaje>.mtaext`. Sin `-e` no hay deploy multi-paisaje.
 - Puerta `/verify` (etapa 7) exige en verde: `mbt mtad-gen -e <paisaje>.mtaext` por cada `.mtaext` afectado + target coincide con spec + instancia/key esperadas existen verificadas (comando o cockpit, nunca heredadas de notas).
 - Persistencia efímera (p. ej. SQLite `:memory:` se vacía en cada redeploy/restart): la spec lo declara; el E2E resiembra tras cada deploy y ningún CA exige datos supervivientes salvo que la spec defina persistencia real.
-- Pre-provisión: `scripts/provision-<espacio>.ps1` por paisaje no-dev, idempotente (cada paso comprueba y emite `SKIP:` si existe), NO despliega nada. Plantilla obligatoria: preflight de target (endpoint+org, aborta si no coinciden) → crea espacio si falta → guardia de marketplace (aborta antes de crear si falta un offering) → crea instancias solo si faltan → asigna rol solo si falta. Allowlist cerrada: `target, spaces, space-users, services, marketplace, create-space, create-service, set-space-role`. PROHIBIDO: `delete-*`, `unbind-*`, `purge-*`, `restage-*`. Usa `sap_cf` (nunca `cf`).
+- Pre-provisión: `scripts/provision-<espacio>.ps1` por paisaje no-dev, idempotente (cada paso comprueba y emite `SKIP:` si existe), NO despliega nada. Plantilla obligatoria: preflight de target (endpoint+org, aborta si no coinciden) → crea espacio si falta → guardia de marketplace (aborta antes de crear si falta un offering) → crea instancias solo si faltan → asigna rol solo si falta. Allowlist cerrada: `target, spaces, space-users, services, marketplace, create-space, create-service, set-space-role`. PROHIBIDO: `delete-*`, `unbind-*`, `purge-*`, `restage-*`. Usa `cf`.
 
 ## Flujo por etapas (`/flow <ruta-spec>`)
 
@@ -76,6 +76,7 @@ ver `mta-build` antes del primer build MTAR.
 9. Git → 10. Documentación (+ cosecha de lecciones: `harness-evolution`
    propone, el orquestador aplica tras revisión).
 
+- En etapa 0, si la spec exige builds o despliegues, el orquestador pide al usuario el resultado de `AI/scripts/check-prereqs.ps1` (o `.sh`) antes de planificar.
 - Cada etapa tiene entregable verificable; el orquestador define el criterio
   de avance en el plan y lo exige antes de continuar.
 - Rigor proporcional al MVP: saltar etapas irrelevantes está permitido y se
@@ -88,7 +89,7 @@ ver `mta-build` antes del primer build MTAR.
   vueltas y presupuesto explícito por vuelta:
   1. El MVP tiene al menos un despliegue anterior con éxito al MISMO
      endpoint/org/espacio, registrado en la spec;
-  2. `sap_cf target` re-verificado coincide con la spec;
+  2. `cf target` re-verificado coincide con la spec;
   3. El cambio no puede verificarse por completo en local (integraciones
      que solo existen en SAP: DIE, iFlow, XSUAA, HTML5 Repo…) o el usuario
      ordenó el despliegue.
@@ -130,8 +131,8 @@ ver `mta-build` antes del primer build MTAR.
 
 ## Local frente a BAS
 
-Este harness corre en Windows local ([TU_PC]). No presuponer que una instalación local
-(`sap_cf`, `mbt`, Node, Java, Python) existe en un dev space
+Este harness corre en tu máquina local (verificado en Windows + Git Bash). No presuponer que una instalación local
+(`cf`, `mbt`, Node, Java, Python) existe en un dev space
 remoto de BAS, ni viceversa. `cds` y `ui5` CLIs no están instalados
 globalmente: se instalan por proyecto cuando la especificación los exija.
 
@@ -176,7 +177,7 @@ encadenarlo en pipes.
   la ruta `temp/<tarea>/` en cada delegación que implique tests, builds o
   navegador; la evidencia que deba conservarse se mueve a `evidencia/` con su
   referencia en docs. Al cerrar la tarea se borra lo transitorio.
-- El target CF puede cambiar entre sesiones: re-verificar `sap_cf target`
+- El target CF puede cambiar entre sesiones: re-verificar `cf target`
   en cada puerta y registrar el cambio en la spec antes de desplegar.
 - Higiene de navegador y CDP (regla irrestricta, ver § Higiene obligatoria de
   navegador y CDP): matar procesos solo por PID con filtro de perfil temporal
@@ -228,14 +229,14 @@ el `ECONNREFUSED`. `chrome-devtools` usa canal propio y no necesita `:9222`.
 
 - `context7` (`resolve-library-id` → `query-docs`): docs de CAP, UI5, CF CLI,
   MTA y cualquier librería antes de suponer APIs. Lo usan `researcher` y los
-  especialistas. Ante un error de servicio con código (p. ej. EP003) o un
+  especialistas. En etapa 1 el `researcher` re-verifica con `AI/scripts/check-docs` las fuentes de `AI/docs/fuentes-oficiales.md` que la spec vaya a usar y registra la fecha. Ante un error de servicio con código (p. ej. EP003) o un
   payload dudoso, contrastar el payload contra el tutorial oficial vigente +
   el error real antes de asumir; las docs viejas o el scaffold no mandan.
 - `codebase-memory`: contexto del índice cuando el MVP viva en un proyecto
   indexado (`index_status`/`detect_changes` para frescura al arrancar;
   `index_repository` tras cambios si hay novedades); nada que asumir si
   puede recuperarse del grafo. `graphify-code` local como complemento
-  cuando esté `connected` (ver `opencode.jsonc`); índice local por defecto,
+  cuando esté `connected` (ver fragmento `opencode.fragment.jsonc`, opcional); índice local por defecto,
   sin reindexar redundante en ambos en el mismo turno.
 - `github`: solo si la especificación pide repo remoto/PR. Sin spec que lo
   pida, trabajo local.

package/AI/INICIO.md

@@ -1,23 +1,35 @@
 # Guía de inicio — Harness MVP SAP BTP
 
-> Nota portabilidad: verificado en Windows, adapta rutas a [TU_PC].
+> Nota portabilidad: verificado en Windows (PowerShell 5.1) y Git Bash; adapta rutas a tu equipo.
 
-Entorno local Windows para llevar MVPs SAP de especificación a despliegue en
-Cloud Foundry, con OpenCode como orquestador.
+Entorno local (Windows/Linux/macOS) para llevar MVPs SAP de especificación a despliegue en
+Cloud Foundry, con tu cliente agéntico como orquestador.
 
-## Estado verificado (Windows, [TU_PC])
+## Antes de empezar
+
+Verifica qué tienes instalado **antes** de usar el harness (el flujo asume
+que tu máquina cumple los prerrequisitos):
+
+```powershell
+powershell -ExecutionPolicy Bypass -File AI/scripts/check-prereqs.ps1
+```
+
+Tabla Herramienta | Necesaria para | Estado (OK/FALTA) | Cómo instalarla.
+`exit 1` = falta algo REQUERIDO; `exit 0` con avisos = solo faltan opcionales.
+Detalle por caso y re-verificación: `docs/prerequisitos.md`.
+
+## Estado verificado de referencia
 
 | Herramienta | Resultado |
 |---|---|
-| `sap_cf --version` | CF CLI, sesión activa contra `[TU_ENDPOINT_CF]` |
+| `cf --version` | CLI de Cloud Foundry, sesión activa contra tu endpoint (ver `cf target`) |
 | `mbt --version` | Cloud MTA Build Tool (binario recuperado; el `install.js` del paquete npm pedía `cloud-mta-build-tool`, no `mbt`) |
-| `node` / `npm` | versión instalada en [TU_PC] |
-| `java` | versión instalada en [TU_PC] — sirve para builds MTA Java si la spec los pide |
-| `cf` | CLI de Cloudflare — no usar para Foundry |
-| OpenCode | agente `orchestrator` por defecto (este proyecto) |
+| `node` / `npm` | versión 18+ (verifica con `check-prereqs`) |
+| `java` | versión instalada en tu equipo — sirve para builds MTA Java si la spec los pide |
+| Cliente agéntico | agente `orchestrator` por defecto (verificado con OpenCode) |
 | MCP heredados (global) | `context7`, `codebase-memory`, `github`, `playwright`, `eslint`, `chrome-devtools` |
 | Skill instalada útil | `sapui5` (global) |
-| Pendiente (a propósito) | CLIs `cds`/`ui5`, skills SAP externas — se instalan solo si una spec los exige. Plugin CF `multiapps`: verificar con `sap_cf plugins` antes de asumir |
+| Pendiente (a propósito) | CLIs `cds`/`ui5`, skills SAP externas — se instalan solo si una spec los exige. Plugin CF `multiapps`: verificar con `cf plugins` antes de asumir |
 
 ## Cómo proporcionar una especificación
 
@@ -47,20 +59,27 @@ proporcional al tamaño del MVP. Comando de apoyo:
 ## Comandos locales de referencia
 
 ```
-sap_cf target            # endpoint/org/espacio actuales (sin secretos)
-sap_cf apps              # estado observable tras desplegar
-sap_cf logs <app> --recent
+cf target            # endpoint/org/espacio actuales (sin secretos)
+cf apps              # estado observable tras desplegar
+cf logs <app> --recent
 mbt build                # genera .mtar en mta_archives/ (requiere mta.yaml)
 ```
 
-Nunca `cf ...` para Foundry. Nunca pegar tokens en terminal ni en specs.
+Nunca pegar tokens en terminal ni en specs.
 
 ## Lecturas CF seguras (broker cf-safe)
 
 Toda lectura CF con secreto potencial vía `scripts/cf-safe.ps1`
-(nunca `sap_cf` directo en agentes/scripts si la salida puede traer
+(nunca `cf` directo en agentes/scripts si la salida puede traer
 credenciales). Detalle: `docs/cf-safe.md`.
 
+## Papeles guía
+
+Documentación oficial que respalda las guías del harness:
+`docs/fuentes-oficiales.md` (tabla Fuente | URL oficial | Qué cubre | Última
+verificación). Antes de usar una fuente, refresca su estado con
+`AI/scripts/check-docs.ps1` (o `.sh`).
+
 ## Skills candidatas (no instaladas)
 
 Inspeccionadas solo por procedencia; adoptar **únicamente** si

package/AI/VERSION

@@ -0,0 +1 @@
+0.2.1

package/AI/docs/cf-safe.md

@@ -1,6 +1,6 @@
 # cf-safe — broker determinista para Cloud Foundry
 
-Punto único de salida hacia `sap_cf`. Fail-closed: nada ejecuta sin pasar
+Punto único de salida hacia `cf`. Fail-closed: nada ejecuta sin pasar
 denylist → allowlist → validación de target.
 
 Fuentes: `scripts/cf-safe.ps1` (cabecera, líneas 1-34), `scripts/cf-safe-patterns.ps1`,
@@ -13,7 +13,7 @@ redacción 24/24. Sin E2E real contra CF todavía (pendiente).
 ## Qué es
 
 - `scripts/cf-safe.ps1`: broker. Recibe `-CfArgs`, valida, ejecuta solo
-  `sap_cf` (`sap_cf.cmd`, ruta fija) y devuelve UNA línea JSON
+  `cf` (binario estándar, resuelto en `PATH`) y devuelve UNA línea JSON
   `{ok, exit, verb, redacted, rawLog, names, output}`.
 - `scripts/cf-safe-patterns.ps1`: tabla central de redacción (6 regex +
   marcador `***REDACTED***`, fail-closed: ante error devuelve el marcador,
@@ -27,7 +27,7 @@ redacción 24/24. Sin E2E real contra CF todavía (pendiente).
 
 ## Por qué (sin LLM ejecutor)
 
-Ningún agente/LLM invoca `sap_cf` directamente para lecturas con secreto
+Ningún agente/LLM invoca `cf` directamente para lecturas con secreto
 potencial: el broker aplica las reglas de forma determinista (código, no
 criterio del modelo). El LLM solo recibe `output` ya redactado y truncado;
 el crudo nunca llega a stdout ni a prompts.
@@ -57,12 +57,12 @@ Invoke-SapCfSeguro -CfArgs @('services') -ExpectedApi 'https://api.cf.us10-001.h
 ```
 
 Regla: **toda lectura CF con secreto potencial vía cf-safe** (nunca
-`sap_cf` directo en agentes/scripts cuando la salida pueda traer
+`cf` directo en agentes/scripts cuando la salida pueda traer
 credenciales: `env`, `service-key` con valores, `logs --recent`).
 
 ## Allowlist / denylist y códigos
 
-Orden: 1) binario fijo (`cf` de Cloudflare se rechaza) → 2) denylist →
+Orden: 1) binario (`cf` resuelto en `PATH`) → 2) denylist →
 3) allowlist → 4) target → 5) ejecución.
 
 - Denylist (exit 1): `delete-*`, `unbind-*`, `purge-*`, `restage-*`,

package/AI/docs/flujo-etapas.md

@@ -8,7 +8,7 @@
 | 0 | Evaluación | `analyst` | Veredicto + supuestos + CA verificables | Spec completable; bloqueos con dato mínimo pedido |
 | 1 | Investigación | `researcher` | Tabla fuente\|fecha\|evidencia (documentado/pendiente/coste) | Ninguna API/servicio supuesto sin fuente |
 | 2 | Plan/Arquitectura | `architect` | Topología + esqueleto `mta.yaml` + planes verificados | Decisiones y descartes registrados; persistencia fijada |
-| 3 | Preparación | orquestador | Scaffold + facets + deps instaladas + target CF confirmado | `cds version` OK; `sap_cf target` coincide con spec |
+| 3 | Preparación | orquestador | Scaffold + facets + deps instaladas + target CF confirmado | `cds version` OK; `cf target` coincide con spec |
 | 4 | Desarrollo | `backend-cap` + `frontend-ui5` | Modelo/servicios CAP + UI + mocks DIE/iFlow corriendo en local | CA1–CA3 observables con `cds watch` |
 | 5 | Pruebas | `qa-review` | Resultado por CA (comando + salida real) | Sin rojo; vulnerabilidades del scaffold dictaminadas |
 | 6 | Correcciones | especialistas | Fixes verificados | Plan de pruebas en verde |

package/AI/docs/fuentes-oficiales.md

@@ -0,0 +1,27 @@
+# Fuentes oficiales del harness BTP
+
+Tabla de documentación oficial que respalda las guías del harness.
+Antes de usar una fuente en una spec, re-verifica su estado y registra la fecha:
+
+```powershell
+# Windows
+powershell -ExecutionPolicy Bypass -File AI/scripts/check-docs.ps1
+# Linux/macOS o Git Bash
+sh AI/scripts/check-docs.sh
+```
+
+`exit 1` = alguna fuente REQUERIDA está rota. `PENDIENTE` = no hubo respuesta
+(timeout/DNS: avisa, no falla); actualiza la fecha tras re-verificar.
+
+| Fuente | URL oficial | Qué cubre | Nivel | Última verificación |
+|---|---|---|---|---|
+| Cloud Foundry CLI | https://docs.cloudfoundry.org/cf-cli/install-go-cli.html | Instalación y uso del CLI `cf` v8 (target, push, plugins como multiapps) | REQUERIDA | 2026-10-31 |
+| Cloud MTA Build Tool | https://github.com/SAP/cloud-mta-build-tool | Construcción de MTAR desde `mta.yaml`, comandos `mbt`, requisitos (`make`) | REQUERIDA | 2026-10-31 |
+| CAP | https://cap.cloud.sap/docs/get-started/ | Setup Node.js/`cds-dk`, comandos `cds`, arranque de proyectos CAP | REQUERIDA | 2026-10-31 |
+| UI5 CLI | https://ui5.github.io/cli/ | Instalación y uso del CLI `ui5` para proyectos UI5/Fiori | REQUERIDA | 2026-10-31 |
+| OpenCode | https://docs.opencode.ai/docs | Agente orquestador, MCP servers, configuración (la raíz `docs.opencode.ai/` devuelve 404; `/docs` es la entrada canónica) | REQUERIDA | 2026-10-31 |
+| npm trusted publishers | https://docs.npmjs.com/trusted-publishers/ | Publicación OIDC sin tokens de larga vida (CI: GitHub Actions, GitLab, CircleCI) | REQUERIDA | 2026-10-31 |
+| 1Password op CLI | https://developer.1password.com/docs/cli/get-started/ | Gestión opcional de secretos de equipo (responde 308 a `/cli/get-started`, verificado con seguimiento; solo referencia opcional) | OPCIONAL | 2026-10-31 |
+
+Verificación 2026-10-31: `webfetch` + `curl.exe` GET (`-L`, timeout 15 s)
+y `AI/scripts/check-docs.ps1` en esta máquina (todas OK, `exit 0`).

package/AI/docs/habilitacion-trial.md

@@ -9,7 +9,7 @@
 ## Paso 0. Verificar el entorno Cloud Foundry (lectura, sin cambios)
 
 - **Para qué sirve.** Confirma contra qué org/espacio desplegará el MTA.
-- **Cómo.** En el equipo local: `sap_cf target` (endpoint, org, espacio).
+- **Cómo.** En el equipo local: `cf target` (endpoint, org, espacio).
 - **Casos de uso / cuándo.** Antes de cada despliegue y siempre que el
   cockpit muestre un espacio con otro nombre (aquí: cockpit `dev` frente a
   la sesión local). Si no coinciden, se ajusta el target en la puerta de
@@ -113,7 +113,7 @@
 ## Concepto clave: usuarios de plataforma frente a usuarios de negocio
 
 El trial te da un **usuario de plataforma** (tu login, p. ej. el `HM` del
-cockpit): administra la cuenta global —cockpit, `sap_cf`, crear
+cockpit): administra la cuenta global —cockpit, `cf`, crear
 instancias— autenticado por el IdP por defecto de SAP. Ese usuario **no**
 sirve para entrar a las aplicaciones desplegadas.
 

package/AI/docs/prerequisitos.md

@@ -0,0 +1,60 @@
+# Prerrequisitos del harness BTP
+
+Verifica tu máquina **antes** de iniciar el flujo (`/flow`):
+
+```powershell
+# Windows
+powershell -ExecutionPolicy Bypass -File AI/scripts/check-prereqs.ps1
+# Linux/macOS o Git Bash
+sh AI/scripts/check-prereqs.sh
+```
+
+Si tu MVP exige builds o despliegues, promociona opcionales a requeridos:
+
+```powershell
+AI/scripts/check-prereqs.ps1 -NeedMtar -NeedCds   # MTAR + CAP/UI5
+sh AI/scripts/check-prereqs.sh --need-mtar --need-gh
+```
+
+## Requerido siempre
+
+| Herramienta | Para qué | Instalación oficial |
+|---|---|---|
+| `git` | versiones del MVP | https://git-scm.com/downloads |
+| `node` 18+ | CAP, UI5, mbt, scripts | https://nodejs.org/ |
+| `cf` CLI v8 | despliegues y lecturas Cloud Foundry | https://docs.cloudfoundry.org/cf-cli/install-go-cli.html |
+| cliente agéntico | leer `AGENTS.md` y orquestar | https://docs.opencode.ai/ (o tu cliente; verifica que lea `AGENTS.md`) |
+
+## Opcional según el MVP
+
+| Herramienta | Solo si… | Instalación oficial |
+|---|---|---|
+| `mbt` + `make` | el MVP construye MTAR | https://github.com/SAP/cloud-mta-build-tool y https://www.gnu.org/software/make/ |
+| `java` 17 | builds MTA Java | https://adoptium.net/ |
+| `cds` | la spec exige CAP (`npx -p @sap/cds-dk` vale, sin instalación global) | https://cap.cloud.sap/docs/get-started/ |
+| `ui5` | la spec exige UI5/Fiori | https://ui5.github.io/cli/ |
+| `gh` | la spec pide repo remoto/PR | https://cli.github.com/ |
+| `op` (1Password) | el equipo lo adopta | https://developer.1password.com/docs/cli/get-started/ |
+
+## MCPs y skills (no detectables desde shell)
+
+El script solo verifica **presencia de archivos** (`AI/.opencode/skills/*/SKILL.md`,
+`AI/.opencode/agents/*.md`, `AI/opencode.fragment.jsonc`). Los **MCPs viven en tu
+cliente agéntico**, no en el repo: debes tener configurados
+`context7`, `codebase-memory`, `github`, `playwright`, `eslint` y `chrome-devtools`.
+
+- MCPs en OpenCode: https://docs.opencode.ai/mcp-servers/
+- Context7: https://github.com/upstash/context7
+- Playwright MCP: https://github.com/microsoft/playwright-mcp
+- Chrome DevTools MCP: https://github.com/ChromeDevTools/chrome-devtools-mcp
+- GitHub CLI (MCP `github`): https://cli.github.com/
+- ESLint: https://eslint.org/docs/latest/use/getting-started
+
+## Re-verificar
+
+Tras instalar lo que falte, re-ejecuta `check-prereqs` (mismo comando de arriba):
+`exit 0` = puedes empezar; `exit 1` = aún falta algo **REQUERIDO** (la tabla dice cuál y dónde instalarlo).
+El script nunca imprime secretos (solo ejecuta `<comando> --version`).
+
+Fuentes oficiales: `AI/scripts/check-docs.ps1` (o `.sh`) verifica las URLs de
+`AI/docs/fuentes-oficiales.md`; `exit 1` = alguna REQUERIDA rota.

package/AI/scripts/cf-safe.ps1

@@ -1,11 +1,11 @@
 <#
 .SYNOPSIS
-  Broker determinista para Cloud Foundry: unico punto de salida hacia sap_cf.
+  Broker determinista para Cloud Foundry: unico punto de salida hacia cf.
   Fail-closed: denylist primero, luego allowlist, luego validacion de target.
 
 .DESCRIPTION
   Orden de evaluacion (nada ejecuta antes de pasarla):
-    1. Binario: solo sap_cf / sap_cf.cmd (ruta fija). `cf` (Cloudflare aqui) se rechaza.
+    1. Binario: `cf` (CLI estandar de Cloud Foundry, resuelto en PATH).
     2. Denylist -> exit 1: delete-*, unbind-*, purge-*, restage-*, set-env sin
        -AllowWrite, create-service-key directo, service-key con valores sin
        -NeedValues (y sin -AllowWrite), inyeccion (| > ; ` $()).
@@ -49,7 +49,7 @@ param(
   [switch]$AllowWrite,
   [switch]$PassThru,
   [switch]$WhatIf,
-  [string]$CfBinary = 'sap_cf',
+  [string]$CfBinary = 'cf',
   [switch]$NeedValues
 )
 
@@ -63,7 +63,7 @@ if ($CfArgs.Count -gt 0 -and $CfArgs[0] -eq '--') {
   $CfArgs = @($CfArgs | Select-Object -Skip 1)
 }
 
-$SapCfCmd = 'C:\Program Files\Cloud Foundry\sap_cf.cmd'
+$CfCmd = (Get-Command cf -ErrorAction SilentlyContinue).Source
 $TempDir = Join-Path (Split-Path $PSScriptRoot -Parent) 'temp\cf-safe'
 $MaxOutput = 4000
 $MaxLogLines = 200
@@ -90,15 +90,15 @@ $verb = if ($CfArgs.Count -gt 0) { [string]$CfArgs[0] } else { '' }
 $verbNorm = $verb.ToLowerInvariant()
 $joined = ($CfArgs -join ' ')
 
-# 1. Binario fijo: rechaza `cf` y cualquier otro binario.
+# 1. Binario: solo `cf` (resuelto en PATH).
 $binNorm = ([string]$CfBinary).ToLowerInvariant()
-$binOk = ($binNorm -eq 'sap_cf' -or $binNorm -eq 'sap_cf.cmd' -or $binNorm -eq $SapCfCmd.ToLowerInvariant())
+$binOk = ($binNorm -eq 'cf' -or $binNorm -eq 'cf.exe')
 if (-not $binOk) {
-  Emit-Result -Ok $false -Code 1 -Verb $verb -WasRedacted $false -RawLog '' -Names @() -Text "DENY: binario no autorizado [$CfBinary]. Solo sap_cf."
+  Emit-Result -Ok $false -Code 1 -Verb $verb -WasRedacted $false -RawLog '' -Names @() -Text "DENY: binario no autorizado [$CfBinary]. Solo cf."
   exit 1
 }
-if (-not (Test-Path $SapCfCmd)) {
-  Emit-Result -Ok $false -Code 4 -Verb $verb -WasRedacted $false -RawLog '' -Names @() -Text "ERROR: no existe $SapCfCmd."
+if (-not $CfCmd) {
+  Emit-Result -Ok $false -Code 4 -Verb $verb -WasRedacted $false -RawLog '' -Names @() -Text 'ERROR: cf no encontrado en PATH.'
   exit 4
 }
 
@@ -145,8 +145,8 @@ if ($verbNorm -eq 'logs' -and $joined -notmatch '(?i)--recent') {
 
 # Modo WhatIf: no toca red ni ejecuta; util para tests offline.
 if ($WhatIf) {
-  $preview = Redact-Secrets ("WHATIF: sap_cf " + $joined)
-  Emit-Result -Ok $true -Code 0 -Verb $verb -WasRedacted ($preview -ne ("WHATIF: sap_cf " + $joined)) -RawLog '' -Names @() -Text $preview
+  $preview = Redact-Secrets ("WHATIF: cf " + $joined)
+  Emit-Result -Ok $true -Code 0 -Verb $verb -WasRedacted ($preview -ne ("WHATIF: cf " + $joined)) -RawLog '' -Names @() -Text $preview
   exit 0
 }
 if ($CfArgs.Count -eq 0) {
@@ -156,7 +156,7 @@ if ($CfArgs.Count -eq 0) {
 
 # 4. Validacion de target (endpoint siempre; org solo si ExpectedOrg no vacio).
 try {
-  $tRaw = & $SapCfCmd target 2>&1 | Out-String
+  $tRaw = & $CfCmd target 2>&1 | Out-String
   if ($tRaw -notmatch [regex]::Escape($ExpectedApi)) {
     Emit-Result -Ok $false -Code 3 -Verb $verb -WasRedacted $true -RawLog '' -Names @() -Text (Redact-Secrets ('TARGET MISMATCH: endpoint no coincide con ' + $ExpectedApi))
     exit 3
@@ -175,10 +175,10 @@ New-Item -ItemType Directory -Force -Path $TempDir | Out-Null
 $stamp = Get-Date -Format 'yyyyMMdd-HHmmss'
 $rawLog = Join-Path $TempDir ("cf-" + $stamp + "-PID" + $PID + ".raw.log")
 try {
-  $raw = & $SapCfCmd @CfArgs 2>&1 | Out-String
+  $raw = & $CfCmd @CfArgs 2>&1 | Out-String
   $code = $LASTEXITCODE
 } catch {
-  Emit-Result -Ok $false -Code 4 -Verb $verb -WasRedacted $false -RawLog '' -Names @() -Text 'ERROR: fallo al invocar sap_cf.'
+  Emit-Result -Ok $false -Code 4 -Verb $verb -WasRedacted $false -RawLog '' -Names @() -Text 'ERROR: fallo al invocar cf.'
   exit 4
 }
 try { Set-Content -Path $rawLog -Value $raw -Encoding UTF8 } catch { $rawLog = '' }