cutover: el resultado real y lo que quedo abierto

El runbook era un documento de antes; ahora encabeza con lo que de verdad paso.
Ventana real 3 min 10 s, los recuentos cuadrando al digito con produccion, E2E
11 de 11 y el trafico real sin un solo 4xx ni 5xx.

Y sobre todo lo que quedo abierto, que es lo que se olvida: los certificados de
Let's Encrypt de www y el apex sin emitir porque el WAF de Cloudflare devuelve
403 a la validacion, con el aviso de que por eso no se puede subir la zona a
Full (strict); y los backups del Hetzner, que ya no son deuda tecnica porque ahi
vive ahora produccion.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/cutover/RUNBOOK-cutover-wordpress.md

@@ -5,6 +5,33 @@ Todos los tiempos de abajo están **medidos en el ensayo del 31-jul**, no estima
 
 ---
 
+## ✅ EJECUTADO — 3-ago-2026, 10:50 UTC. Ventana real: 3 min 10 s
+
+Dump 67 s · saneo 2 s · import 114 s · delta de uploads 6 s (0 ficheros, como estaba medido).
+
+Cuadró al dígito con producción: **43.893 posts, 1.228 usuarios, 4.416 terms, 135.959 postmeta**
+(los options salen 958 frente a 975: son transients, hay 580 y caducan solos). Con tráfico real:
+**490×200, 66×301, 9×302, 0 respuestas 4xx/5xx y 0 errores PHP**, 177 IPs distintas atendidas en
+10 min tras la purga de caché. **E2E 11/11 en 200.** Audio TTS 200 (285.741 b). Login: `eqpyk` e
+`icalvotorre` entran con la contraseña rotada, las tres cuentas del #183 reciben *"This account is
+disabled"*.
+
+### Lo que quedó abierto
+
+| | |
+|---|---|
+| 🔴 **Certificados LE de `www` y el apex** | Sin emitir. El WAF de Cloudflare devuelve **403 a la validación** de Let's Encrypt en `/.well-known/acme-challenge/…`. **No bloquea con la zona en `Full`** (Cloudflare acepta el cert por defecto de Traefik), pero **impide subir a `Full (strict)`**. Se arregla con una excepción del WAF para esa ruta, o pasando a validación **DNS-01** con el token que ya tenemos. Traefik no reintenta solo: hará falta un redeploy. |
+| 🔴 **Backups en Hetzner** | Siguen sin existir. Ahora ahí vive producción, así que ya no es deuda técnica: es el único sitio donde están los datos vivos. |
+| 🟡 **CDMON** | Es el rollback. Inma lo está degradando a un plan barato con el correo. Caduca el **07/08**. |
+| 🟡 **`nuevo.feadulta.com`** | Ya no hace falta; retirar el registro cuando se quiera. |
+| 🟡 **Scripts que apuntan a `134.0.10.170` y `/web/`** | Cierra #158. |
+
+**Purga de caché de Cloudflare: la hizo Inma.** Nuestro token no puede (`purge_cache` → 10000
+Authentication error): solo tiene `Zone → DNS → Edit`. Si se quiere automatizar, añadirle
+`Zone → Cache Purge → Purge`.
+
+---
+
 ## Antes de empezar (verde obligatorio)
 
 - [ ] **Freeze editorial** avisado a Inma. El cutover no puede caer el día de publicación de la carta.