6a664b9a272c2c0001593db6

Informe SRE diario - 2026-08-07

Resumen operativo de almasrv.thehomelesssherlock.com para las últimas 24 horas, generado el 7 de agosto de 2026 a las 06:00 UTC. Las comprobaciones de disponibilidad finalizaron a las 06:01 UTC.

Estado general

DEGRADED. Los 13 endpoints supervisados están disponibles y no hay contenedores marcados como no saludables o reiniciándose. Sin embargo, OpenClaw presenta un fallo operativo confirmado: la autenticación OAuth de OpenAI Codex está caducada y las tareas programadas que dependen de ese proveedor no pueden ejecutarse. Además, la swap está prácticamente agotada, aunque el sistema conserva 7,7 GiB de memoria disponible.

Indicadores principales

Indicador	Valor	Evaluación
Disponibilidad externa	13 de 13 endpoints operativos	OK
Uptime	4 semanas, 1 día y 5 horas	OK
Carga media	2,28 / 2,33 / 2,52	Sin evidencia de saturación
Memoria	14 GiB usados de 22 GiB; 7,7 GiB disponibles	OK con presión histórica
Swap	4,0 GiB usados de 4,0 GiB	Riesgo preventivo
Disco raíz	128 GiB de 199 GiB, 65%	OK
Volumen `/opt`	18 GiB de 50 GiB, 35%	OK
Docker	75 activos, 0 no saludables, 0 reiniciándose, 15 detenidos	Operativo
Certificado más próximo	`spintools.pro` y `www.spintools.pro`: 30 días	Advertencia
Protección SSH	Fail2ban activo; 13 bloqueos actuales y 623 históricos	Activa

Incidentes críticos

OAuth de OpenAI Codex caducado

La credencial OAuth de Codex caducó el 4 de agosto de 2026 a las 10:06 UTC. A las 06:00 UTC del periodo actual, OpenClaw recibió respuestas HTTP 401 al intentar renovarla. El proveedor solicitado y su alternativa fallaron por autenticación, quedando sin otro candidato disponible.

Impacto activo: las tareas programadas de OpenClaw que requieren OpenAI Codex no pueden completarse. Los datos no demuestran una caída general del gateway ni afectan a los 13 servicios incluidos en las comprobaciones HTTP.

Servicios degradados e impacto

OpenClaw/Codex: degradado por fallo confirmado de autenticación. Requiere reautorización manual mediante codex-reauth.
Memos, Vikunja y One-Time Secret: respondieron correctamente tras un segundo intento, con tiempos observados de aproximadamente 8,8 segundos. Esto es compatible con activación bajo demanda y no constituye una caída confirmada.
Traefik: registró un fallo puntual al inspeccionar un contenedor que ya no existía. No se observa impacto externo: su endpoint respondió HTTP 200.

Riesgos preventivos

Swap agotada: solo quedan aproximadamente 4 MiB libres. MySQL, Python, MariaDB, Celery, Chromium y otros procesos mantienen páginas en swap. Aunque hay 7,7 GiB de RAM disponible, esta situación puede aumentar la latencia si esas páginas vuelven a activarse.
Renovación TLS próxima: spintools.pro y www.spintools.pro vencen en 30 días. Otros certificados relacionados vencen entre 33 y 39 días.
Arranques bajo demanda: Memos, Vikunja y One-Time Secret necesitaron reintento. Conviene confirmar que la latencia corresponde al comportamiento esperado de Sablier y no a fallos intermitentes.
Contenedores detenidos fuera de Sablier: memos-proxy terminó con código 137, mientras que otros contenedores no gestionados llevan detenidos alrededor de 12 días. No hay impacto confirmado en las comprobaciones actuales, pero debe validarse si su estado es intencional.
Configuración de autenticación SSH: los registros muestran fallos esperables frente a usuarios inexistentes, pero también una configuración de segundo factor ausente para root. Debe verificarse que el acceso administrativo efectivo cumple la política prevista.
Capacidad de disco: el volumen raíz está al 65%. No requiere intervención inmediata, pero conviene mantener seguimiento por la alta densidad de contenedores.

Acciones recomendadas

Ejecutar codex-reauth, renovar la autorización de OpenAI Codex y validar una tarea programada de OpenClaw de extremo a extremo.
Investigar por qué la swap permanece completamente ocupada pese a disponer de 7,7 GiB de memoria; revisar especialmente los procesos MySQL, Python, MariaDB, Celery y Chromium antes de aplicar cualquier liberación manual.
Comprobar el ciclo de activación bajo demanda de Memos, Vikunja y One-Time Secret, incluyendo tiempos de arranque, reintentos y límites de espera.
Verificar la renovación automática de los certificados de spintools.pro y realizar una prueba de renovación antes de que entren en una ventana inferior a 30 días.
Revisar memos-proxy, que terminó con código 137, y confirmar si los demás contenedores no gestionados detenidos deben permanecer apagados o eliminarse.
Auditar la cadena PAM y de clave pública de SSH, confirmando que las cuentas administrativas válidas tienen el segundo factor configurado y que los rechazos observados son el comportamiento esperado.
Ajustar alertas para distinguir entre arranque en frío, fallo real de servicio, agotamiento de swap y credenciales OAuth próximas a caducar.

Contexto operativo

El host ejecuta el kernel 5.14.0-570.58.1.el9_6.x86_64. Docker mantiene 75 contenedores en ejecución, sin estados no saludables ni bucles de reinicio. Varios de los 15 contenedores detenidos están gestionados por Sablier, por lo que su estado parado no implica indisponibilidad por sí solo.

La actividad SSH observada corresponde principalmente a sondeos contra nombres de usuario comunes. Fail2ban está activo y aplicando bloqueos; la presencia de entradas de autenticación fallida antes o durante el bloqueo no indica que la protección esté inactiva.

Las solicitudes a Nextcloud buscando archivos inexistentes devolvieron HTTP 404 y se consideran ruido de exploración. Las tareas registradas por Paperless finalizaron correctamente. No se identifican errores activos en n8n, y todos los endpoints supervisados devolvieron HTTP 200.