diff --git a/monitoring/values-kube-prometheus-stack.yaml b/monitoring/values-kube-prometheus-stack.yaml
index d1505a1..5337b90 100644
--- a/monitoring/values-kube-prometheus-stack.yaml
+++ b/monitoring/values-kube-prometheus-stack.yaml
@@ -1,9 +1,7 @@
 # Valores del release Helm kube-prometheus-stack (chart 83.2.0, ns monitoring).
 #
-# Este namespace NO está bajo ArgoCD: se gestiona a mano. Hasta el 2026-07-21
-# estos valores solo vivían dentro del release, así que no había forma de saber
-# cómo estaba configurado sin interrogar a Helm. Este fichero es la fuente de
-# verdad; para aplicarlo:
+# Este namespace NO está bajo ArgoCD: se gestiona a mano. Este fichero es la
+# fuente de verdad del release; para aplicarlo:
 #
 #   helm upgrade kube-prometheus-stack prometheus-community/kube-prometheus-stack \
 #     --version 83.2.0 -n monitoring -f values-kube-prometheus-stack.yaml
@@ -14,11 +12,17 @@
 # rev 3 (2026-07-21): grafana.extraConfigmapMounts. El montaje del ConfigMap
 #   grafana-alerting (reglas + contact points + política → Telegram) se había
 #   añadido A MANO al Deployment y NO lo generaba el chart: sobrevivía solo por
-#   el three-way merge de Helm, que conserva lo que no aparece en ninguno de los
-#   dos renders. Un `helm upgrade --force`, un `kubectl replace` desde el chart,
-#   o reconstruir el release desde este fichero se habrían llevado por delante
-#   TODO el alerting de Grafana, en silencio y sin que los paneles se inmutaran.
-#   Declarado en el chart, el spec resultante es idéntico (no reinició Grafana).
+#   el three-way merge de Helm. Reconstruir el release desde este fichero se
+#   habría llevado por delante TODO el alerting, en silencio.
+# rev 4 (2026-07-21): grafana.admin.existingSecret y FUERA adminPassword.
+#   El valor en git era "admin", que no abría nada: la cuenta admin local se
+#   configuró el 26-abr y no se ha usado desde entonces (se entra por Authentik).
+#   Los sidecars de dashboards y datasources SÍ la usaban y recibían 401 al
+#   intentar recargar por API. Ahora la contraseña es aleatoria, vive solo en el
+#   Secret grafana-admin (creado fuera del chart, nunca en git) y la cuenta queda
+#   como acceso de emergencia. Leerla:
+#     kubectl get secret grafana-admin -n monitoring \
+#       -o jsonpath='{.data.admin-password}' | base64 -d; echo
 alertmanager:
   enabled: false
 defaultRules:
@@ -28,7 +32,8 @@ defaultRules:
   rules:
     alertmanager: false
 grafana:
-  adminPassword: admin
+  admin:
+    existingSecret: grafana-admin
   extraConfigmapMounts:
   - configMap: grafana-alerting
     mountPath: /etc/grafana/provisioning/alerting