fix(tpv-dev-in-prod): tPV production is running next dev (HMR + React DevTools visible)

work/history.md

@@ -581,3 +581,14 @@
   - Toggle "Requerir PIN para cerrar caja"
   - Campo PIN (4-6 dígitos, oculto)
 - Guarda via `PATCH /pos/admin/terminals/:id` (usa settings merge)
+
+## 2026-08-27 — TPV-DEV-IN-PROD cerrada (deploy hardening: anti-dev-in-prod) — DONE
+- Gates: reviewer APPROVED, security APPROVED, qa APPROVED, verify.sh exit 0
+- Entregable: smoke test post-arranque en `project/scripts/monolith.sh` que falla ruidosamente si alguno de los 4 servicios Next.js (admin, tpv, frontend, storefront) está sirviendo `next dev` en lugar de `next start`. Tres dimensiones independientes de detección: markers HTML (`/__next_hmr`, `react-refresh`, etc.), endpoint `/_next/hmr` (espera 404/426, no 200/101), banner `(Turbopack)` en logs.
+- Docs: `docs/HOWTO-monolith.md` §3.1 nuevo (errores comunes + señales + runbook de 6 pasos); §3 mención del smoke; §6 checklist post-deploy ampliado. `docs/pos/POS_OPERATIONS.md` §1.3 con advertencia inline apuntando a §3.1.
+- Seguridad: sin secretos nuevos, sin deps nuevas, sin eval/source, grep -F (no regex injection), efectos secundarios acotados a PID space del script. Ver review + security artifacts.
+- Verificación: `bash -n` exit 0. Mock dev server (:30999) → 2 FAILs + exit=1. Mock prod server (:30994) → OK + exit=0. verify.sh verde.
+- Cobertura: solo 3 archivos (scripts/monolith.sh +79, HOWTO-monolith.md +63/-1, POS_OPERATIONS.md +2). Cero cambios en next.config.ts, package.json, proxy.ts, ni config fuera del repo (Authelia/Traefik).
+- Tickets relacionados dejados pending en backlog: TPV-MANIFEST-PATH (high), TPV-POS-SALES-500 (high), TPV-FAVICON-404 (low).
+- Acción operacional para el operador del host remoto: `kill -TERM <PID-dev>` sobre el dev process que está sirviendo tpv-mv.rikrdo.com → `monolith.sh prod restart`. El nuevo smoke test impedirá futuros deploys con dev mode accidental.
+- Artefactos: work/artifacts/TPV-DEV-IN-PROD/ (architect.md, implementer.md, reviewer.json, security.json, qa.json, documenter.md, leader-close.json)