siesa-agents 2.1.72-qa.2 → 2.1.72-qa.21

package/claude/skills/sa-auditar-servicio/SKILL.md

@@ -0,0 +1,255 @@
+---
+name: sa-auditar-servicio
+description: 'Audits an existing service in this transversal, verifying every deploy-repo artifact is present and correct, detects architectural drift, and generates an updated ci-pipeline.yml aligned with the current standard. Use whenever the user wants to check whether a deployed services artifacts match the current standard or asks for a service audit.'
+---
+
+> **Contexto de ejecución:** este skill asume que el cwd está dentro de la carpeta del workspace de despliegue (`_siesa-agents/devops/` en Siesa-Agents tras correr `/sa-init-devops`, o la raíz de un clon directo de `architecture-sa-devops`). Las rutas relativas (`environments/`, `terraform/`, `k8s/`, `scripts/`, etc.) se resuelven contra ese cwd.
+
+Audita un servicio existente en esta transversal. Verifica que todos los artefactos en el repo de deploy estén presentes y correctos, detecta desalineaciones arquitectónicas y genera el `ci-pipeline.yml` alineado con el estándar actual. Al finalizar pregunta si corregir los gaps encontrados.
+
+**Uso:** `/sa-auditar-servicio {nombre} [--no-mfe]`
+
+**Ejemplos:**
+- `/sa-auditar-servicio segments`
+- `/sa-auditar-servicio liquid-tax --no-mfe`
+
+---
+
+## Instrucciones
+
+Los argumentos son: `$ARGUMENTS`
+
+Parsea:
+- `NOMBRE` = primer argumento (ej: `segments`)
+- `HAS_MFE` = `false` si `--no-mfe` está presente, `true` en caso contrario
+
+Lee `environments/dev.yaml` para obtener:
+- `PROJECT_ID` = `.gcp.project_id`
+- `PROJECT_NUM` = `.gcp.project_number`
+- `REGION` = `.gcp.region`
+- `GKE_CLUSTER` = `.gke.cluster_name`
+- `WORKER_POOL` = `.cloud_build.worker_pool`
+- `SUITE` = `.naming.product_suite`
+- `BUSINESS_UNIT` = `.naming.business_unit`
+- `GATEWAY_NAME` = `.gateway.name`
+- `DOMAIN` = `.dns.domain`
+- `VITE_MODE` = `.frontend.vite_mode`
+
+Lee `environments/shared.yaml` para obtener:
+- `HUB_PROJECT` = `.hub.project_id` (puede no existir — ver G-S3)
+- `WIF_POOL` = `.wif.pool_name`
+
+Calcula:
+- `SA_SHORT` = `NOMBRE` sin hyphens, truncado a 10 caracteres
+- `SA_NAME` = `sa-sie-{SUITE}-{SA_SHORT}-cicd`
+- `GITHUB_REPO` = `SiesaTeams/business-{BUSINESS_UNIT}-{NOMBRE}-service`
+
+---
+
+## Fase 1 — Auditoría de artefactos en el deploy repo
+
+Verifica la existencia de cada archivo con Read (intenta leer; si falla → MISSING):
+
+### Dapr Components
+
+| Archivo | Estado |
+|---|---|
+| `k8s/overlays/dev/dapr/{NOMBRE}/pubsub.yaml` | PASS / MISSING |
+| `k8s/overlays/dev/dapr/{NOMBRE}/secretstore.yaml` | PASS / MISSING |
+
+Para cada archivo que existe, verifica que `projectId` sea `{PROJECT_ID}`. Si no coincide → DRIFT.
+
+### Gateway Route
+
+| Archivo | Estado |
+|---|---|
+| `k8s/overlays/dev/routes/{NOMBRE}-route.yaml` | PASS / MISSING |
+
+Si existe, verifica:
+- `parentRefs[0].name` = `{GATEWAY_NAME}`
+- Regla `/api/{NOMBRE}` tiene URLRewrite a `/api/v1`
+- Si HAS_MFE: regla `/mfe/{NOMBRE}` presente
+
+### Health Checks
+
+| Archivo | Estado |
+|---|---|
+| `k8s/overlays/dev/healthcheck/{NOMBRE}-api-hc.yaml` | PASS / MISSING |
+| `k8s/overlays/dev/healthcheck/{NOMBRE}-mfe-hc.yaml` (si MFE) | PASS / MISSING / N/A |
+
+### environments/dev.yaml
+
+Lee `environments/dev.yaml`. Verifica:
+- `services.{NOMBRE}` existe → PASS / MISSING
+- `{NOMBRE}` está en la lista `namespaces:` → PASS / MISSING
+- Si existe el servicio, `sa_name` = `{SA_NAME}` y `github_repo` = `{GITHUB_REPO}` → PASS / DRIFT
+
+### environments/shared.yaml
+
+Lee `environments/shared.yaml`. Verifica:
+- `services.{NOMBRE}` existe → PASS / MISSING
+- Tiene los 11 roles estándar (cloudbuild.builds.editor, artifactregistry.writer, container.developer, secretmanager.secretAccessor, cloudsql.client, cloudbuild.workerPoolUser, clouddeploy.releaser, iam.serviceAccountUser, storage.admin, pubsub.publisher, pubsub.subscriber) → PASS / MISSING_ROLES
+- `hub.project_id` existe en el archivo → PASS / MISSING (G-S3)
+
+### Import Map (solo si HAS_MFE)
+
+| Archivo | Estado |
+|---|---|
+| `k8s/overlays/dev/import-map/import-map.yaml` contiene `@siesa/{NOMBRE}` | PASS / MISSING |
+
+---
+
+## Fase 2 — Auditoría arquitectónica CI/CD
+
+Evalúa los puntos conocidos de desalineación comparando contra el estándar del repo. No se lee el archivo del servicio (repo separado) — se audita contra los valores correctos y se genera la versión alineada.
+
+### G-C1 — Cluster name
+El pipeline debe usar `GKE_CLUSTER: {GKE_CLUSTER}` (valor del dev.yaml).
+- WARN: mostrar el valor correcto — confirmar que el pipeline del servicio lo tenga exactamente así.
+
+### G-C2 — Image URL (Hub vs Spoke)
+- Si `HUB_PROJECT` existe en shared.yaml: el pipeline DEBE usar `HUB_PROJECT_ID: {HUB_PROJECT}` para la URL de imagen → WARN si no está.
+- Si `HUB_PROJECT` NO existe (financiero actual): imagen va a `PROJECT_ID` (Spoke) — documentado como deuda técnica → INFO.
+
+### G-C3 — Smoke test pattern
+El template estándar usa `sleep 60` fijo. El patrón recomendado es un retry loop de 15s hasta 5 min (evita fallos cuando Dapr sidecar o NEGs tardan más de 60s).
+- WARN siempre: mostrar el patrón correcto de retry loop.
+
+### G-C4 — Concurrency group
+El pipeline debe tener:
+```yaml
+concurrency:
+  group: deploy-gke-${{ github.repository }}
+  cancel-in-progress: false
+```
+- WARN: verificar que el pipeline del servicio lo tenga.
+
+### G-C5 — GitHub environment
+Debe usar `environment: dev` (no `sandbox`). El environment `sandbox` fue eliminado.
+- WARN: confirmar que no use `sandbox`.
+
+### G-C6 — WIF permissions
+Debe tener:
+```yaml
+permissions:
+  contents: read
+  id-token: write
+```
+- WARN: verificar que estén presentes.
+
+### G-C7 — SA name formula
+El SA debe seguir el patrón `sa-sie-{SUITE}-{SA_SHORT}-cicd`.
+- Mostrar: `{SA_NAME}` — confirmar que coincide con el pipeline del servicio.
+
+---
+
+## Fase 3 — Resumen de auditoría
+
+Muestra el reporte consolidado:
+
+```
+════════════════════════════════════════════════════════
+AUDITORÍA DE SERVICIO: {NOMBRE}
+Transversal: {BUSINESS_UNIT} | Suite: {SUITE} | Repo: {GITHUB_REPO}
+════════════════════════════════════════════════════════
+
+ARTEFACTOS EN DEPLOY REPO:
+  [PASS/MISSING/DRIFT] k8s/overlays/dev/dapr/{NOMBRE}/pubsub.yaml
+  [PASS/MISSING/DRIFT] k8s/overlays/dev/dapr/{NOMBRE}/secretstore.yaml
+  [PASS/MISSING]       k8s/overlays/dev/routes/{NOMBRE}-route.yaml
+  [PASS/MISSING]       k8s/overlays/dev/healthcheck/{NOMBRE}-api-hc.yaml
+  [PASS/MISSING/N/A]   k8s/overlays/dev/healthcheck/{NOMBRE}-mfe-hc.yaml
+  [PASS/MISSING]       environments/dev.yaml → services.{NOMBRE}
+  [PASS/MISSING]       environments/dev.yaml → namespaces
+  [PASS/MISSING/DRIFT] environments/shared.yaml → services.{NOMBRE}
+  [PASS/MISSING]       environments/shared.yaml → hub.project_id
+  [PASS/MISSING/N/A]   import-map → @siesa/{NOMBRE}
+
+CI/CD PIPELINE (verificar en {GITHUB_REPO}):
+  [WARN/INFO] G-C1 Cluster name: debe ser {GKE_CLUSTER}
+  [WARN/INFO] G-C2 Image URL: {mensaje según Hub o Spoke}
+  [WARN]      G-C3 Smoke test: usar retry loop, no sleep fijo
+  [WARN]      G-C4 Concurrency group: verificar presente
+  [WARN]      G-C5 GitHub environment: debe ser "dev", no "sandbox"
+  [WARN]      G-C6 WIF permissions: id-token: write requerido
+  [INFO]      G-C7 SA name esperado: {SA_NAME}
+
+────────────────────────────────────────────────────────
+RESUMEN:
+  Artefactos faltantes : N
+  Artefactos con drift  : N
+  Advertencias CI/CD    : N
+════════════════════════════════════════════════════════
+```
+
+---
+
+## Fase 4 — Corrección interactiva
+
+Tras mostrar el resumen, pregunta:
+
+```
+¿Qué deseas corregir?
+
+  [1] Crear artefactos faltantes en deploy repo (K8s, Dapr, routes, healthcheck)
+  [2] Corregir artefactos con drift (projectId, sa_name, github_repo)
+  [3] Agregar servicio a environments/dev.yaml y/o shared.yaml
+  [4] Generar ci-pipeline.yml alineado para copiar a {GITHUB_REPO}
+  [5] Todo lo anterior
+  [0] Nada — solo quería ver el reporte
+
+Responde con los números separados por coma (ej: 1,3,4) o 5 para todo:
+```
+
+Espera la respuesta del usuario y ejecuta solo las correcciones seleccionadas:
+
+### Si incluye [1] — Crear artefactos faltantes
+Genera los archivos MISSING usando el mismo formato que `/sa-nuevo-servicio` (Pasos 1-5 y 8).
+
+### Si incluye [2] — Corregir drift
+Lee el archivo con drift, actualiza los valores incorrectos y guarda.
+
+### Si incluye [3] — Agregar a environments
+Agrega la entrada del servicio en `dev.yaml` (services + namespaces) y `shared.yaml` (services + roles), si faltan.
+
+### Si incluye [4] — Generar ci-pipeline.yml alineado
+Lee `cicd-templates/.github/workflows/ci-pipeline.yml` para obtener la plantilla base completa y actual. Es la fuente de verdad del pipeline — no regenerar desde cero.
+
+Sustituye únicamente la sección `env:` y corrige los puntos de desalineación encontrados en Fase 2:
+- `GKE_CLUSTER: {GKE_CLUSTER}` (del dev.yaml — G-C1)
+- `WORKER_POOL: {WORKER_POOL}` (del dev.yaml)
+- `PROJECT_ID: {PROJECT_ID}` y (si aplica) `HUB_PROJECT_ID: {HUB_PROJECT}` (G-C2)
+- `SERVICE_NAME: {NOMBRE}` y `NAMESPACE: {NOMBRE}`
+- `BUILD_MFE: "{HAS_MFE}"`
+- `VITE_MODE: {VITE_MODE}`
+- Smoke test con retry loop de 15s hasta 5 min en lugar de `sleep` fijo (G-C3)
+- Concurrency group correcto (G-C4)
+- `environment: dev` (no `sandbox`) (G-C5)
+- `permissions: id-token: write` presente (G-C6)
+- SA name: `{SA_NAME}@{PROJECT_ID}.iam.gserviceaccount.com` (G-C7)
+
+Muestra el archivo completo resultante listo para copiar a `.github/workflows/ci-pipeline.yml` del repo `{GITHUB_REPO}`.
+
+### Si incluye [5] — Todo
+Ejecuta 1, 2, 3 y 4 en ese orden.
+
+---
+
+## Smoke test — patrón correcto (usar en [4])
+
+```yaml
+- name: Smoke test
+  run: |
+    DEADLINE=$((SECONDS+300))
+    until [ $SECONDS -ge $DEADLINE ]; do
+      STATUS=$(curl -sk -o /dev/null -w "%{http_code}" https://{DOMAIN}/api/{NOMBRE}/health)
+      if [ "$STATUS" = "200" ]; then
+        echo "Smoke test passed: HTTP $STATUS"
+        exit 0
+      fi
+      echo "  Waiting... HTTP $STATUS ($(( DEADLINE - SECONDS ))s restantes)"
+      sleep 15
+    done
+    echo "Smoke test failed: timeout 5 min"
+    exit 1
+```

package/claude/skills/sa-nueva-transversal/SKILL.md

@@ -0,0 +1,317 @@
+---
+name: sa-nueva-transversal
+description: 'Generates the full scaffolding for a new transversal deploy repo (e.g. comercial, manufactura). Produces every base file the new business-{name}-deploy repo needs, with zero financial-specific content. Use whenever the user is setting up a brand-new transversal and needs the deploy-repo skeleton.'
+---
+
+> **Contexto de ejecución:** este skill asume que el cwd está dentro de la carpeta del workspace de despliegue (`_siesa-agents/devops/` en Siesa-Agents tras correr `/sa-init-devops`, o la raíz de un clon directo de `architecture-sa-devops`). Las rutas relativas (`environments/`, `terraform/`, `k8s/`, `scripts/`, etc.) se resuelven contra ese cwd.
+
+Genera el scaffolding completo para un nuevo repo de transversal (ej: comercial, manufactura). Produce los archivos base que deben ir en el nuevo repo `business-{nombre}-deploy`, sin nada específico de financiero.
+
+**Uso:** `/sa-nueva-transversal {nombre} {suite} {project-id-dev}`
+
+**Ejemplo:** `/sa-nueva-transversal comercial com prj-sie-com-comercial-dev`
+
+---
+
+## Instrucciones
+
+Los argumentos son: `$ARGUMENTS`
+
+Parsea los argumentos:
+- `NOMBRE` = primer argumento (ej: `comercial`)
+- `SUITE` = segundo argumento, 2-4 caracteres (ej: `com`)
+- `PROJECT_ID` = tercer argumento (ej: `prj-sie-com-comercial-dev`)
+
+Deriva:
+- `REPO_NAME` = `business-{NOMBRE}-deploy`
+- `REGION` = `us-east1` (default para todos los proyectos Siesa)
+- `HUB_PROJECT` = `prj-sie-sb-{NOMBRE}-common`
+- `STATE_BUCKET` = `bkt-sie-{SUITE}-iac-state-{PROJECT_ID}`
+
+**Valores que debes obtener antes de generar archivos** (usar Bash — son lecturas de solo lectura, no modifican infraestructura):
+
+```bash
+# Project number — necesario para WIF provider URL y ARs IAM members
+gcloud projects describe {PROJECT_ID} --format='value(projectNumber)'
+```
+
+Si el comando falla (proyecto no existe aún), usa `<PLACEHOLDER: project_number>` y avisa al usuario.
+Guarda el resultado como `PROJECT_NUM`.
+
+---
+
+### Paso 0 — Validación inicial (Gate)
+
+**Naming convention:** Verifica que `PROJECT_ID` siga el patrón `{type}-sie-{bu}-{workload}-{env}` (regex: `^[a-z]+-sie-[a-z]+-[a-z]+-[a-z]+$`). Si no cumple, detente y muestra el error con el valor recibido.
+
+**GCS state prefix:** Muestra el bucket calculado `{STATE_BUCKET}` y advierte que debe ser único — no puede existir otro estado con el mismo nombre. Pide confirmación antes de continuar.
+
+---
+
+### Paso 1 — Verificación Hub Project
+
+Informa al usuario y detente hasta recibir confirmación:
+
+```
+🔍 HUB PROJECT CHECK
+
+Verifica si el proyecto Hub ya existe:
+  gcloud projects describe {HUB_PROJECT} 2>&1
+
+Si NO existe, crearlo primero:
+  gcloud projects create {HUB_PROJECT} \
+    --name="SIESA {NOMBRE} Common" \
+    --folder=<FOLDER_ID_BU>
+
+  # Habilitar APIs del Hub:
+  gcloud services enable \
+    artifactregistry.googleapis.com \
+    cloudbuild.googleapis.com \
+    clouddeploy.googleapis.com \
+    --project={HUB_PROJECT}
+
+⚠️  El Hub project debe existir antes de vender Spokes (Hub-First Mandate).
+    Confirma que existe para continuar.
+```
+
+---
+
+### Paso 2 — Asignación IP desde ip-plan.md
+
+Lee `docs/devops-org/ip-plan.md`.
+
+**A. Identificar el siguiente Slice Index libre** en la tabla §3.1 (fila con `FREE SLOT` o índice no asignado).
+Sea `INDEX` el índice libre identificado.
+
+**B. Calcular CIDRs para Development** usando la fórmula de §4:
+- `PRIMARY_CIDR` = `10.4.{INDEX*8}.0/21`
+- `PODS_CIDR` = `100.{64 + floor(INDEX*64/256)}.{(INDEX*64) mod 256}.0/18`
+- `SERVICES_CIDR` = `100.100.{INDEX*8}.0/21`
+- `MASTER_CIDR` = `172.16.{INDEX}.0/28` (Dev Env Octet = 16, fórmula §5.1)
+
+**C. Validar zero-overlap:** Confirma que ninguno de los 3 CIDRs se superpone con rangos existentes en §3.1. Si hay overlap, seleccionar el siguiente índice libre.
+
+**D. Proponer actualización de ip-plan.md — REGISTRY-FIRST:**
+
+Muestra el bloque markdown a insertar en la tabla §3.1:
+```
+| {INDEX} | **{SUITE}** | {NOMBRE} | `us-east1` | `{PRIMARY_CIDR}` | `{PODS_CIDR}` | `{SERVICES_CIDR}` |
+```
+
+Detente y solicita confirmación:
+```
+⚠️  REGISTRY-FIRST: Agrega la fila anterior a docs/devops-org/ip-plan.md §3.1
+    y haz commit antes de continuar. Ningún código Terraform puede generarse
+    sin una reserva de IP registrada.
+```
+
+---
+
+### Qué generar y qué NO generar
+
+(solo continuar si el usuario confirmó Pasos 0, 1 y 2)
+
+**NO generar** (específico de financiero, construir desde cero):
+- Ningún archivo de `k8s/overlays/dev/`
+- Ningún servicio en `environments/dev.yaml` ni `environments/shared.yaml`
+- Ningún contenido de `docs/`
+
+**SÍ generar:**
+- `environments/dev.yaml`
+- `environments/shared.yaml`
+- `environments/staging.yaml`
+- `environments/prod.yaml`
+- `terraform/environments/dev/main.tf`
+- `terraform/environments/shared/main.tf`
+- `.github/workflows/infra-pipeline-dev.yml`
+- `.github/workflows/infra-pipeline-shared.yml`
+
+---
+
+### Archivo 1 — `environments/dev.yaml` para {REPO_NAME}
+
+Usa como base `environments/dev.yaml` de este repo. Reemplaza:
+- `financiero` → `{NOMBRE}`
+- `fin` (product_suite) → `{SUITE}`
+- `prj-sie-fin-financiero-dev` → `{PROJECT_ID}`
+- `gke-sie-fin-sandbox-dev` → `gke-sie-{SUITE}-{NOMBRE}-dev`
+- `pgsql-fin-sandbox-dev` → `pgsql-{SUITE}-{NOMBRE}-dev`
+- `finance-dev` → `{NOMBRE}-dev`
+- `finance.siesacloud.dev` → `{NOMBRE}.siesacloud.dev`
+- `financiero-dev-gateway` → `{NOMBRE}-dev-gateway`
+- `finance-siesacloud-dev-cert` → `{NOMBRE}-siesacloud-dev-cert`
+- `finance-siesacloud-dev-map` → `{NOMBRE}-siesacloud-dev-map`
+- `bkt-sie-fin-iac-state-prj-sie-fin-financiero-dev` → `{STATE_BUCKET}`
+- `sa-sie-fin-sandbox-dev-cicd` → `sa-sie-{SUITE}-{NOMBRE}-dev-cicd`
+- `financiero-pool` → `{NOMBRE}-pool`
+- Vaciar `services:` y `namespaces:` (solo gateway-infra, app-shell, observability)
+- Grupos IAM → `<PLACEHOLDER: group:g-gcp-fld-sie-bus-{NOMBRE}-dev-admins@siesacloud.com>`
+- `alert_email` → `<PLACEHOLDER: alertas-{NOMBRE}@siesa.com>`
+
+Agrega la sección de red con los CIDRs calculados en el Paso 2:
+```yaml
+network:
+  primary_cidr: "{PRIMARY_CIDR}"
+  pods_cidr: "{PODS_CIDR}"
+  services_cidr: "{SERVICES_CIDR}"
+  master_cidr: "{MASTER_CIDR}"
+  shared_vpc_host: "prj-sie-com-vpc-host-dev"
+  subnetwork: "<PLACEHOLDER: snt-sie-{SUITE}-use1-01-dev>"
+```
+
+### Archivo 2 — `environments/shared.yaml` para {REPO_NAME}
+
+Mismo proceso de reemplazo que dev.yaml pero con estructura de `environments/shared.yaml`. Sección `services:` vacía.
+
+**Agrega obligatoriamente la sección `hub:`** con el proyecto Hub donde vivirá el Artifact Registry. Esto permite que dev, QA y PROD compartan las mismas imágenes:
+
+```yaml
+# --- Hub Project (Artifact Registry centralizado) ---
+# Las imágenes Docker se publican aquí para ser compartidas entre ambientes.
+# NUNCA crear AR repos en el Spoke — impediría promoción de imágenes entre entornos.
+hub:
+  project_id: "{HUB_PROJECT}"
+```
+
+**Modifica también la sección `gcp:` del shared.yaml:** el `project_id` es el Spoke dev (donde viven WIF pool, SAs, Worker Pool). El Hub solo aplica para AR repos:
+
+```yaml
+gcp:
+  project_id: "{PROJECT_ID}"   # Spoke dev — WIF, SAs, Worker Pool
+  region: "{REGION}"
+
+hub:
+  project_id: "{HUB_PROJECT}"  # Hub — Artifact Registry repos (compartido entre ambientes)
+```
+
+### Archivo 3 — `terraform/environments/dev/main.tf` para {REPO_NAME}
+
+Lee `terraform/environments/dev/main.tf`. Reemplaza:
+- Bucket de estado → `{STATE_BUCKET}`
+- Comentarios que mencionen "financiero" → `{NOMBRE}`
+
+**Agrega mandatory labels** en el bloque `locals`:
+```hcl
+locals {
+  common_labels = {
+    business-unit = var.config.naming.business_unit
+    product-suite = var.config.naming.product_suite
+    environment   = "dev"
+    cost-center   = "${var.config.naming.product_suite}-dev"
+  }
+}
+```
+
+**Agrega referencia al Shared VPC Host** en el módulo GKE (solo como referencia, no modificar el Host VPC):
+```hcl
+# Shared VPC — solo referenciar, NUNCA modificar recursos del Host project
+# Host project Dev: prj-sie-com-vpc-host-dev
+network    = "projects/${var.config.network.shared_vpc_host}/global/networks/vpc-sie-com-shared-host-dev"
+subnetwork = "projects/${var.config.network.shared_vpc_host}/regions/${var.config.gcp.region}/subnetworks/${var.config.network.subnetwork}"
+```
+
+### Archivo 4 — `terraform/environments/shared/main.tf` para {REPO_NAME}
+
+Igual pero con estructura del shared, reemplazando el bucket de estado.
+
+### Archivo 5 — `.github/workflows/infra-pipeline-dev.yml` para {REPO_NAME}
+
+Lee `.github/workflows/infra-pipeline-dev.yml` de este repo. Reemplaza:
+- `Infrastructure Pipeline — Dev` → `Infrastructure Pipeline — Dev ({NOMBRE})`
+
+**Agrega los siguientes steps al job `terraform-plan`, DESPUÉS de `terraform validate` y ANTES de `terraform plan`:**
+
+```yaml
+      - name: Security SAST — tfsec
+        run: |
+          curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash
+          tfsec terraform/environments/dev/ --no-color --soft-fail
+
+      - name: Security SAST — checkov
+        run: |
+          pip install checkov --quiet
+          checkov -d terraform/environments/dev/ --quiet --compact --soft-fail
+
+      - name: SIESA Guard — Host VPC inviolability
+        run: |
+          HOST_VPC_PROJECTS=(
+            "prj-sie-com-vpc-host-dev" "prj-sie-com-vpc-host-qa" "prj-sie-com-vpc-host-prod"
+            "prj-sie-sde-vpc-host-dev" "prj-sie-sde-vpc-host-qa" "prj-sie-sde-vpc-host-prod"
+            "prj-sie-sde-leg-vpc-host-dev" "prj-sie-sde-leg-vpc-host-qa" "prj-sie-sde-leg-vpc-host-prod"
+            "prj-sie-leg-vpc-host-dev" "prj-sie-leg-vpc-host-qa" "prj-sie-leg-vpc-host-prod"
+          )
+          PLAN_OUT=$(terraform -chdir=terraform/environments/dev show -no-color tfplan 2>/dev/null || echo "")
+          for HOST in "${HOST_VPC_PROJECTS[@]}"; do
+            if echo "$PLAN_OUT" | grep -q "\"$HOST\""; then
+              echo "❌ GUARD VIOLATION: el plan muta recursos en Host VPC project: $HOST"
+              exit 1
+            fi
+          done
+          echo "✅ SIESA Guard: sin mutaciones en Host VPC projects."
+```
+
+### Archivo 6 — `.github/workflows/infra-pipeline-shared.yml` para {REPO_NAME}
+
+Igual que el dev con los mismos steps de seguridad, apuntando a `terraform/environments/shared/`.
+
+---
+
+### Paso final — Mostrar checklist de bootstrap
+
+```
+📦 SCAFFOLDING GENERADO para {REPO_NAME}
+
+IP RESERVADA (agregar a docs/devops-org/ip-plan.md §3.1 si aún no se hizo):
+  Slice Index: {INDEX}
+  Primary:     {PRIMARY_CIDR}
+  Pods:        {PODS_CIDR}
+  Services:    {SERVICES_CIDR}
+  Master /28:  {MASTER_CIDR}
+  Shared VPC:  prj-sie-com-vpc-host-dev
+
+ESTRUCTURA A COPIAR DE business-financiero-deploy (sin cambios):
+  terraform/bootstrap/     → copiar completo
+  terraform/modules/       → copiar completo
+  k8s/base/               → copiar completo
+  cicd-templates/          → copiar completo
+  scripts/                 → copiar completo
+
+ARCHIVOS GENERADOS:
+  environments/dev.yaml          ← incluye CIDRs calculados + Shared VPC ref
+  environments/shared.yaml
+  environments/staging.yaml      (copiar de financiero sin cambios)
+  environments/prod.yaml         (copiar de financiero sin cambios)
+  terraform/environments/dev/main.tf    ← mandatory labels + Shared VPC
+  terraform/environments/shared/main.tf
+  .github/workflows/infra-pipeline-dev.yml    ← tfsec + checkov + SIESA Guard
+  .github/workflows/infra-pipeline-shared.yml
+
+PASOS PARA ACTIVAR EL NUEVO REPO:
+
+  0. Confirmar Hub project {HUB_PROJECT} existe (Paso 1).
+     Si no: crear + habilitar AR, Cloud Build, Cloud Deploy APIs.
+
+  1. Crear repo GitHub: SiesaTeams/{REPO_NAME}
+
+  2. Crear proyecto GCP Spoke:
+       gcloud projects create {PROJECT_ID} --name="SIESA {NOMBRE} Dev"
+
+  3. Ejecutar bootstrap:
+       cd terraform/bootstrap
+       terraform init && terraform apply -var="project_id={PROJECT_ID}"
+
+  4. Completar <PLACEHOLDER> en environments/dev.yaml:
+     - project_number:
+         gcloud projects describe {PROJECT_ID} --format='value(projectNumber)'
+     - network.subnetwork: coordinar con Cloud Admin — Shared VPC Host
+     - dev_access groups: crear en Google Workspace
+
+  5. Crear SA de deploy:
+       gcloud iam service-accounts create sa-sie-{SUITE}-{NOMBRE}-dev-cicd \
+         --project={PROJECT_ID}
+
+  6. Primer push a main → pipelines se disparan automáticamente.
+     tfsec + checkov + SIESA Guard corren en cada PR.
+
+  7. Agregar servicios con /sa-nuevo-servicio
+```