diff --git a/roswell/infisical-roswell-secrets.yaml b/roswell/infisical-roswell-secrets.yaml
index bdaa4ef..4ef8ee4 100644
--- a/roswell/infisical-roswell-secrets.yaml
+++ b/roswell/infisical-roswell-secrets.yaml
@@ -1,15 +1,15 @@
 # Secretos de la app respaldados por Infisical (patrón researchowl).
 #
-# ALTA PENDIENTE (manual, una vez): la identidad de máquina compartida es de
-# solo lectura, así que hay que crear en https://infisical.chemavx.xyz
-# (proyecto "homelab", entorno prod) la carpeta /roswell con estas claves:
+# Claves esperadas en /roswell (proyecto homelab, entorno prod):
 #   TELEGRAM_BOT_TOKEN, TELEGRAM_ALLOWED_USERS, ANTHROPIC_API_KEY,
 #   PODCASTINDEX_KEY, PODCASTINDEX_SECRET, POSTGRES_PASSWORD
-# (los valores están en el .env local y en los Secrets planos actuales).
 #
-# CORTE: cuando /roswell exista y los Secrets *-infisical aparezcan Synced,
-# cambiar las referencias de deployment.yaml, postgres.yaml y
-# backup-cronjob.yaml a los nombres *-infisical y borrar los planos:
+# Un InfisicalStaticSecret por target: el operator (versión actual) solo
+# procesa el primer elemento de `targets`, comprobado el 2026-07-13.
+#
+# CORTE (cuando los valores estén verificados): cambiar las referencias de
+# deployment.yaml, postgres.yaml y backup-cronjob.yaml a los nombres
+# *-infisical y borrar los planos:
 #   kubectl delete secret roswell-secrets roswell-pg-secret -n roswell
 apiVersion: secrets.infisical.com/v1beta1
 kind: InfisicalStaticSecret
@@ -28,8 +28,6 @@ spec:
   syncOptions:
     refreshInterval: 60s
   targets:
-    # Nombres *-infisical en paralelo a los Secrets planos hasta el corte,
-    # como se hizo en researchowl.
     - kind: Secret
       name: roswell-secrets-infisical
       namespace: roswell
@@ -44,6 +42,23 @@ spec:
           podcastindex-secret: '{{ .PODCASTINDEX_SECRET.Value }}'
           # La URL completa se reconstruye: un solo sitio para la password.
           database-url: 'postgresql://roswell:{{ .POSTGRES_PASSWORD.Value }}@postgres.roswell.svc.cluster.local:5432/roswell'
+---
+apiVersion: secrets.infisical.com/v1beta1
+kind: InfisicalStaticSecret
+metadata:
+  name: roswell-pg-secret
+  namespace: roswell
+spec:
+  infisicalAuthRef:
+    name: infisical-auth
+    namespace: infisical-operator
+  sources:
+    - projectId: 17e98e9d-70f5-43d1-8382-7da818dfcdd0   # project "homelab"
+      environmentSlug: prod
+      secretPath: /roswell
+  syncOptions:
+    refreshInterval: 60s
+  targets:
     - kind: Secret
       name: roswell-pg-secret-infisical
       namespace: roswell