feat: update roadmap and pendientes documentation, add new article on portal authentication design

Author: mikerb95

docs/plan-portal-tiempo-real.md

@@ -23,7 +23,7 @@ El portal está completo y es sólido. Lo verificado:
 
 1. **Nada se actualiza solo.** Cero `EventSource`, `setInterval` o `text/event-stream` bajo `src/pages/portal`. Un cliente con el portal abierto no ve la respuesta a su mensaje, ni el hito que acabas de completar, ni que su monitor se cayó, hasta que recarga a mano. El dato *es* de tiempo real (los checks entran cada ~5 min); la interfaz no.
 2. **El avance del proyecto depende de que tú edites hitos a mano.** Entre hito e hito, el cliente ve una barra inmóvil aunque haya habido diez deploys.
-3. Higiene: el portal **no tiene monitor propio en `/status`** (el único sistema del stack que no se vigila a sí mismo), y **no tiene artículo en `/notes`** pese a ser el feature más grande del repo (regla transversal del roadmap).
+3. Higiene: el portal **no tiene monitor propio en `/status`** (el único sistema del stack que no se vigila a sí mismo). El hueco de `/notes` ya está cubierto con dos artículos —"El clientId nunca viene de la URL" (aislamiento entre tenants) y "Dos logins en el mismo sitio, y ninguno conoce al otro" (por qué la auth del portal es propia)—, ambos del 24 jul 2026.
 
 ## 1. Decisión técnica: polling con digest, no SSE
 

docs/plan-roadmap-2026-07.md

@@ -426,19 +426,19 @@ briefing sin IA; test del recolector y del truncado.
 
 ## Transversal — Artículos `/notes` faltantes
 
-Publicados (13): monitor propio, micro-SIEM, chaos, SLOs, sesiones revocables,
+Publicados (14): monitor propio, micro-SIEM, chaos, SLOs, sesiones revocables,
 RAG, mutation testing, e2e, SAST ("no solo un scan verde"), bloqueo escalado de
-IPs, analizador de dominios, cobros por WhatsApp, y el del `clientId` que nunca
-viene de la URL.
+IPs, analizador de dominios, cobros por WhatsApp, el del `clientId` que nunca
+viene de la URL, y "Dos logins en el mismo sitio, y ninguno conoce al otro"
+(por qué el portal no reutiliza la auth del admin).
 
 Cola de artículos (escribir cada uno al cerrar su etapa):
 
 1. **Pasarela de pagos mock**: idempotencia, webhooks firmados, por qué mock.
 2. **Bóveda AES-256-GCM**: cifrado por servicio, revelado bajo demanda, qué NO hacer.
 3. **Demo read-only** (etapa 3, entregada): aislar por diseño (BD separada) vs filtrar por query.
-4. **Portal de clientes**: el feature más grande del repo y el único sin artículo.
-5. **k6** (tras etapa 7): carga contra preview, nunca contra prod facturado.
-6. **Briefing con IA** (tras etapa 11): IA con criterio, contratos de entrada, fail-open.
+4. **k6** (tras etapa 7): carga contra preview, nunca contra prod facturado.
+5. **Briefing con IA** (tras etapa 11): IA con criterio, contratos de entrada, fail-open.
 
 Cada artículo: mismo formato del content collection actual, OG image
 (`og:generate`), submit IndexNow (`seo:indexnow`), distribución vía workflow

pendientes.md

@@ -77,9 +77,10 @@ silencioso.
 Dos puntos de higiene del mismo plan:
 - [ ] El portal no tiene monitor propio en `/status` — es el único subsistema del
       stack que no se vigila a sí mismo.
-- [ ] El portal no tiene artículo en `/notes`, siendo el feature más grande del
-      repo (la regla transversal del roadmap dice que cada etapa mayor termina
-      con el suyo).
+- [x] Artículo en `/notes`: **"Dos logins en el mismo sitio, y ninguno conoce al
+      otro"** (24 jul), sobre por qué el portal no reutiliza la auth del admin.
+      Junto con "El clientId nunca viene de la URL" cubre las dos decisiones de
+      diseño del portal que valía la pena contar.
 
 ### LAB — Fase 5: load testing con k6
 

src/pages/notes/index.astro

@@ -30,7 +30,7 @@ const fmtDate = new Intl.DateTimeFormat('es-CO', { day: 'numeric', month: 'long'
         <span class="h-px flex-1 bg-gradient-to-r from-white/15 to-transparent max-w-[80px]"></span>
         <span>Notas de ingeniería</span>
       </div>
-      <h1 class="text-5xl md:text-6xl font-medium tracking-[-.035em] text-mask leading-[.95] mb-8">
+      <h1 class="hero-line overflow-hidden text-5xl md:text-6xl font-medium tracking-[-.035em] text-mask leading-[.95] mb-8">
         Decisiones,<br/>no tutoriales.
       </h1>
       <p class="text-[16px] text-ink-100 max-w-xl leading-relaxed">
@@ -64,3 +64,8 @@ const fmtDate = new Intl.DateTimeFormat('es-CO', { day: 'numeric', month: 'long'
 
   </div>
 </BaseLayout>
+
+<script>
+  import { initPageMotion } from '../../lib/motion-reveal'
+  initPageMotion()
+</script>