Informe SRE diario - 2026-08-13

Resumen operativo de almasrv.thehomelesssherlock.com para las últimas 24 horas. Informe principal generado el 13 de agosto de 2026 a las 06:00:58 UTC; comprobaciones de disponibilidad completadas a las 06:01:33 UTC.

Estado general

DEGRADED. Los 13 endpoints monitorizados están disponibles y los 75 contenedores en ejecución se encuentran saludables, pero existen dos fallos operativos confirmados: la autenticación OAuth de OpenClaw para Codex está expirada y provoca errores en tareas programadas, mientras que el servicio de filtrado crowdsec-firewall-bouncer ha fallado repetidamente. No se observa una caída general de las aplicaciones públicas.

Indicadores principales

Incidentes críticos

OAuth de OpenClaw/Codex expirado

La credencial OAuth expiró el 4 de agosto de 2026 a las 10:06:52 UTC. Los registros confirman respuestas 401 durante la renovación y fallos de autenticación tanto para el modelo solicitado como para su alternativa. El impacto activo está limitado a las tareas y sesiones de OpenClaw que dependen de Codex; no afecta a la disponibilidad HTTP general del servidor.

Servicios degradados e impacto

• OpenClaw: las tareas programadas que requieren Codex no pueden completar la autenticación. El mecanismo de fallback también agotó sus candidatos en la ejecución observada.
• CrowdSec firewall bouncer: el servicio terminó con código de error seis veces entre las 04:38 y las 05:54 UTC. Esto confirma una degradación de esa capa de aplicación de decisiones de seguridad. Fail2ban continúa activo, pero no sustituye todas las funciones de CrowdSec.
• Memos, Vikunja y One-Time Secret: respondieron con HTTP 200, pero necesitaron un segundo intento. La latencia total observada fue de aproximadamente 8.7, 8.7 y 9.1 segundos respectivamente, incluyendo el retardo entre reintentos. Se trata de inestabilidad transitoria, no de una caída confirmada.
• Traefik y Authentik: se registraron dos cancelaciones puntuales al invocar ForwardAuth. Las comprobaciones posteriores de Traefik y Authentik finalizaron correctamente, por lo que no hay evidencia de impacto sostenido.

Riesgos preventivos

• Swap completamente utilizada: los 4.0 GiB están ocupados. MySQL, Python, OpenCode, MariaDB, Chromium, Next.js y Celery figuran entre los consumidores principales. Aunque quedan 6.8 GiB de memoria disponible, esta situación puede aumentar la latencia y agravar una futura presión de memoria.
• Certificados TLS: no hay vencimientos inminentes, pero el certificado de www.thehomelesssherlock.com tiene 32 días restantes y el de thehomelesssherlock.com, 33 días. Conviene validar la renovación automática antes de entrar en una ventana inferior a 30 días.
• Contenedores fuera de ejecución: la mayoría están gestionados bajo demanda por Sablier y no deben considerarse caídos sin evidencia adicional. Los cuatro no clasificados como gestionados por Sablier son changedetection-browser, stirling-pdf, it-tools y memos-proxy; este último terminó con código 137 hace 10 horas.
• Terminaciones forzadas: se observaron dos casos en los que un contenedor no finalizó dentro de los 10 segundos posteriores a la señal de terminación y tuvo que ser detenido por la fuerza.
• Patrón de pánico: el digest contabiliza seis apariciones de panic: runtime error: index out of range, pero no aporta el servicio de origen. Debe identificarse antes de valorar su impacto.

Acciones recomendadas

1. Reautenticar OpenClaw/Codex de inmediato mediante el procedimiento operativo codex-reauth y ejecutar una tarea de prueba para confirmar tanto el modelo principal como el fallback.
2. Diagnosticar y recuperar crowdsec-firewall-bouncer, revisando su estado, configuración y dependencia con el motor de CrowdSec. Confirmar después que las decisiones vuelven a aplicarse correctamente.
3. Analizar la ocupación de swap y la tendencia de memoria de los procesos principales. Evitar limpiar swap de forma indiscriminada; primero debe verificarse que existe margen suficiente y que no se provocará presión adicional.
4. Revisar los primeros intentos fallidos de Memos, Vikunja y One-Time Secret para distinguir entre arranque bajo demanda, timeout transitorio y problema del proxy.
5. Validar los contenedores no gestionados por Sablier, especialmente memos-proxy por su salida 137, y documentar si los demás están detenidos intencionadamente.
6. Localizar el origen de los seis pánicos y de las terminaciones forzadas, correlacionándolos con eventos de despliegue, reinicio o presión de recursos.
7. Comprobar la renovación TLS automática de los certificados con 32 y 33 días restantes.

Contexto operativo

• El sistema ejecuta el kernel 5.14.0-570.58.1.el9_6.x86_64 y mantiene más de cinco semanas de uptime.
• Los sistemas de archivos presentan capacidad suficiente: 65% de uso en la raíz, 44% en /boot, 4% en /boot/efi y 37% en /opt.
• Fail2ban está activo y registra 11.420 intentos fallidos acumulados, 706 bloqueos históricos y 9 bloqueos actuales. Los errores SSH observados corresponden principalmente a usuarios inexistentes, fallos de autenticación, conexiones reiniciadas y clientes con versiones de protocolo incompatibles; no demuestran por sí solos una intrusión ni un fallo de Fail2ban.
• SELinux generó múltiples mensajes repetidos al impedir que mandb utilizara capacidades administrativas y de recursos. El patrón parece concentrado en una única ejecución y no tiene impacto de servicio confirmado; debe tratarse como ruido operativo hasta revisar los eventos detallados.
• Una solicitud externa a un archivo inexistente en Nextcloud recibió HTTP 404, comportamiento esperado y sin impacto operativo.
• Las tareas de correo de Paperless finalizaron correctamente y no añadieron documentos nuevos durante las ejecuciones mostradas.