docs: documenta el contrato de plugins CMS personalizados (checkPoints en cms/lib/plugins/index.php)

No estaba documentado en absoluto (solo se mencionaba builder_saas para color). Evita tener que
explorar el servidor por SSH para entender addPlugins/checkPoints/gating/filtros.

.gitea/workflows/gitleaks.yml

@@ -0,0 +1,27 @@
+# Escaneo de secretos en cada push y pull request. Este repo es PUBLICO.
+# Falla si gitleaks encuentra una clave en los commits nuevos.
+name: gitleaks
+
+on:
+  push:
+  pull_request:
+
+jobs:
+  gitleaks:
+    runs-on: ubuntu-latest
+    steps:
+      - uses: actions/checkout@v4
+        with:
+          fetch-depth: 0
+
+      - name: Instalar gitleaks
+        run: |
+          set -e
+          VERSION=8.21.2
+          curl -sSL "https://github.com/gitleaks/gitleaks/releases/download/v${VERSION}/gitleaks_${VERSION}_linux_x64.tar.gz" -o /tmp/gitleaks.tgz
+          tar -xzf /tmp/gitleaks.tgz -C /tmp gitleaks
+          sudo install -m 755 /tmp/gitleaks /usr/local/bin/gitleaks
+          gitleaks version
+
+      - name: Escanear el historial
+        run: gitleaks git --no-banner --redact --verbose .

.githooks/pre-push

@@ -0,0 +1,49 @@
+#!/bin/sh
+# Hook pre-push: bloquea el push si lo que se va a subir contiene secretos.
+#
+# Activar una vez por clon:   git config core.hooksPath .githooks
+#
+# Este repo es PUBLICO: un secreto que llega al remoto queda expuesto aunque se
+# borre en el commit siguiente (sigue en el historial). En 2026-03 se filtro asi
+# una clave de API pegada en .claude/settings.json.
+#
+# Si gitleaks esta instalado (https://github.com/gitleaks/gitleaks) se usa el;
+# si no, se aplica un escaneo minimo con grep sobre los formatos mas comunes.
+set -u
+
+remote="$1"
+z40=0000000000000000000000000000000000000000
+fallo=0
+
+while read -r local_ref local_sha remote_ref remote_sha; do
+    [ "$local_sha" = "$z40" ] && continue          # borrado de rama: nada que escanear
+    if [ "$remote_sha" = "$z40" ]; then
+        rango="$local_sha"                           # rama nueva: todo lo alcanzable
+    else
+        rango="$remote_sha..$local_sha"
+    fi
+
+    if command -v gitleaks >/dev/null 2>&1; then
+        if ! gitleaks git --no-banner --redact --log-opts="$rango" . ; then
+            fallo=1
+        fi
+    else
+        # Escaneo minimo: lineas AÑADIDAS en el rango con formatos de clave conocidos.
+        hits=$(git log -p --no-color "$rango" -- . ':!*.min.*' ':!*.lock' \
+            | grep -E '^\+' \
+            | grep -E 'AIza[0-9A-Za-z_-]{35}|sk_(live|test)_[0-9A-Za-z]{20,}|ghp_[0-9A-Za-z]{30,}|xox[bp]-[0-9A-Za-z-]{10,}|AKIA[0-9A-Z]{16}|eyJ[A-Za-z0-9_-]{20,}\.[A-Za-z0-9_-]{20,}\.[A-Za-z0-9_-]{10,}|-----BEGIN [A-Z ]*PRIVATE KEY|(ANTHROPIC_AUTH_TOKEN|ANTHROPIC_API_KEY|OPENAI_API_KEY|API_KEY|SECRET|PASSWORD|TOKEN)["'"'"']?[[:space:]]*[:=][[:space:]]*["'"'"'][^"'"'"']{8,}' \
+            | grep -vE '\$\{?[A-Z_]+\}?|\*\*\*|EJEMPLO|EXAMPLE|placeholder' )
+        if [ -n "$hits" ]; then
+            echo "pre-push: posibles secretos en lo que vas a subir ($rango):" >&2
+            printf '%s\n' "$hits" | cut -c1-120 | sed 's/^/   /' >&2
+            echo "pre-push: instala gitleaks para un escaneo completo. Si es un falso positivo, --no-verify." >&2
+            fallo=1
+        fi
+    fi
+done
+
+if [ "$fallo" -ne 0 ]; then
+    echo "pre-push: PUSH BLOQUEADO. Quita el secreto del commit (git commit --amend o rebase) y rota la clave si ya la has pegado en algun sitio." >&2
+    exit 1
+fi
+exit 0

.gitignore

@@ -0,0 +1,14 @@
+# Configuracion LOCAL de Claude Code: aqui van las claves (env con ANTHROPIC_*,
+# tokens de proveedores...). NUNCA en .claude/settings.json, que es la plantilla
+# versionada y este repo es PUBLICO. En 2026-03 se filtro una clave por ahi.
+.claude/settings.local.json
+
+# Secretos y entorno
+.env
+.env.*
+*.pem
+*.key
+
+# Ruido de sistema
+.DS_Store
+Thumbs.db

CLAUDE.md

@@ -129,6 +129,7 @@ Do NOT modify web-base files — they are shared across all projects.
 11. Twig concatenation uses `~` operator: `'value=' ~ variable`
 12. `enlace` (link) fields already include slashes — **NEVER modify an existing enlace** unless explicitly asked
 13. **NEVER modify the `controlador` field** of existing records — it defines whether a page is Builder or Standard
+14. **This repository is PUBLIC. NEVER commit secrets** (API keys, `ANTHROPIC_*` tokens, passwords). Local Claude Code config with credentials goes in `.claude/settings.local.json` (git-ignored), never in `.claude/settings.json`. Enable the secret-scanning hook once per clone: `git config core.hooksPath .githooks`. A leaked key stays in git history even after deleting it: rotate it immediately.
 
 ## MCP Tools
 
@@ -147,7 +148,7 @@ Key workflows:
 - [docs/modular-system.md](docs/modular-system.md) — Modules, general sections, global variables
 - [docs/builder-fields.md](docs/builder-fields.md) — Builder field types, Acai attributes, c-form, components
 - [docs/twig-filters.md](docs/twig-filters.md) — Twig filters reference (get, hook, module, queryDB, etc.)
-- [docs/hooks-and-api.md](docs/hooks-and-api.md) — PHP hooks, CmsApi, CocoDB, record creation
+- [docs/hooks-and-api.md](docs/hooks-and-api.md) — PHP hooks, CmsApi, CocoDB, record creation, custom CMS plugins (checkPoints)
 - [docs/css-js-conventions.md](docs/css-js-conventions.md) — CSS/JS/Vue 3, Tailwind, BEM, native components
 - [docs/quick-reference.md](docs/quick-reference.md) — Cheat sheet: domain rules, field types, filters
 - [docs/production-patterns.md](docs/production-patterns.md) — Real production patterns (header, zigzag, FAQ, forms)

docs/hooks-and-api.md

@@ -33,7 +33,9 @@ Regla práctica:
 - No uses `exit`
 - Para leer parámetros, usa `$_REQUEST[...]` o las variables ya inyectadas por el sistema
 - En hooks, usa `CmsApi::get()` o `CocoDB::get()` como primera opción
-- No uses `CocoDB::getInstance()` salvo necesidad real muy excepcional
+- **`CocoDB::getInstance()` no existe** — llamarlo produce un fatal `Call to undefined method`. Si de
+  verdad necesitas BD cruda (fuera de `CmsApi`/`CocoDB`), usa `DB::getInstance()`
+  (`execute`/`executeS`/`fetch`/`escape`/`foundRows`), y solo como última opción
 - No escribas SQL manual con `prepare()/bind_param()` salvo que no exista forma razonable de resolverlo con `CmsApi` o `CocoDB`
 
 ### Estructura de un Hook
@@ -107,6 +109,63 @@ $mensaje = $result["message"];
 
 **Desde c-form:** Los hooks se ejecutan automáticamente al enviar el formulario si están configurados.
 
+### Diagnóstico: el enrutado HTTP directo de hooks no funciona en Forge
+
+`/hooks/<id>/` da **404 incluso para hooks válidos** cuando se pide por HTTP directo en un entorno
+Forge — el único camino fiable es el filtro Twig `| hook` (o `<hook>`/`CmsApi.hook()`, que pasan por el
+mismo motor). Si un hook "no responde" y no ves error claro, diagnostica así:
+
+1. Crea un módulo/página temporal que solo llame al hook con `| hook` y vuelque el resultado:
+   ```twig
+   {% set d = 'hooks/mihook/' | hook({param1: 100}) %}
+   <pre>{{ d|json_encode(1) }}</pre>
+   ```
+2. Si eso funciona pero la llamada por HTTP/JS falla, el problema está en cómo se invoca, no en el hook.
+
+### Modelo de ejecución de los hooks (importante)
+
+Los hooks corren vía `eval()` dentro del motor (`builder_saas/builder_functions.php`), lo que rompe dos
+supuestos habituales de PHP:
+
+- **`__DIR__` no es la carpeta del hook** — apunta al motor. Un `require_once __DIR__.'/x.php'` falla con
+  *"Failed opening required"*. Usa `APP_ROOT_PATH` (con fallback a `$_SERVER['DOCUMENT_ROOT']`) para
+  construir rutas absolutas dentro del proyecto.
+- **Un hook llamado por HTTP (`CmsApi.hook()` desde JS) no recibe los parámetros como variables PHP
+  sueltas** — eso solo ocurre cuando se invoca por el filtro Twig `'id' | hook({...})`. Por HTTP,
+  `get_defined_vars()` sale vacío: lee `$_REQUEST[...]` en su lugar.
+
+Cada uno de estos dos puntos, sin saberlo, cuesta una sesión de depuración completa (el hook "falla" con
+datos correctos y sin error visible).
+
+### Seguridad en hooks
+
+- **`DB::escape()` devuelve el literal YA entrecomillado.** Envolverlo a mano
+  (`"campo = '".escape($v)."'"`) produce `''valor''` → error de sintaxis MariaDB. Para `LIKE`, escapa el
+  patrón completo con sus `%` incluidos. Patrón seguro para filtros que vienen del usuario: lista blanca
+  de campos permitidos, `(int)` para ids, y devolver a Twig solo lo necesario (p.ej. `num`), nunca el SQL
+  construido a mano.
+- **Nunca deleguen el hashing de contraseñas en el CMS.** `create_field` no tiene tipo contraseña;
+  `isPasswordField:1` en un textfield **no hashea** (guarda y lee la cadena literal), y el
+  `editor_password` del CMS usa **SHA1** (inadecuado). En cualquier login propio, hashea en el hook con
+  `password_hash()` (bcrypt/argon2id) + `password_verify()`, y marca el campo `clave_hash` como
+  `adminOnly`.
+
+---
+
+## Plugins CMS personalizados (checkPoints)
+
+Para entender **cómo despacha el CMS un plugin custom** (no confundir con hooks de módulo), lee primero
+`cms/lib/plugins/index.php` **de ese proyecto** — no hace falta explorar el servidor por SSH ni el
+código de `web-base`, el contrato completo está ahí:
+
+- `addPlugins($type, &$var, $fieldtype)` despacha los checkPoints con `include` (no clases/autoload).
+- Gating nativo por `adminOnly` + `isAdmin` — un checkPoint puede declararse solo-admin.
+- `$var` se pasa **por referencia** — un plugin puede mutar el valor que ven los siguientes.
+- Filtros `menuFilter`/`actionFilter` por tabla/action, para que un plugin solo se dispare donde aplica.
+- `newFieldType` para registrar tipos de campo nuevos del builder.
+- La instalación de un plugin va vía `install.sql` + `schemaPresets` — **no** `schemas/` (ese es el
+  sistema viejo de `seo_toolkit`, con el `install.php` comentado; no lo repliques).
+
 ---
 
 ## CmsApi (PHP)

docs/mcp-tools-reference.md

@@ -1,5 +1,21 @@
 # MCP Tools Reference
 
+## ⚠️ `success:true` no siempre significa que la operación se aplicó
+
+Las write-ops/DDL (`create_field`, `update_field`, `acai-write`, `acai-line-replace`,
+`set_layout_field`, `update_table_metadata`, `create_table`…) pueden devolver `success:true` /
+`writeCompleted:true` **aunque el cambio real (ALTER de MySQL, insert, compilación Twig) no se haya
+aplicado**. `get_table_schema` refleja el registro/`.ini`, no necesariamente el estado real de MySQL.
+
+**Verifica siempre con una operación real posterior**, nunca te fíes solo de la respuesta del tool:
+- Tras escribir/editar un módulo: `compile_module` o recargar la página y comprobar que renderiza.
+- Tras crear/editar un campo: hacer un insert/update real en esa tabla y confirmar que no falla.
+- Tras un insert, si necesitas el id, no te fíes ciegamente de `lastId`/`insert_id` — si algo no cuadra,
+  relee por un campo único ya conocido.
+
+Es más lento que confiar en la respuesta, pero el coste de no hacerlo es peor: este es el fallo más
+repetido del equipo (bloqueos de insert silenciosos, módulos servidos rotos, registros fantasma).
+
 ## Quick Reference
 
 | Tool | Categoría | Acción |