commit - f6dbcd6e78bee67c9aa0d8594048ff3763574c09
commit + ba7062dfbcc4fbe591ab7ce9766e2e1a09a837a8
blob - 3331a54576afea1cab7874e885875a2615ffe0db
blob + f093847af3dd0aebe9aa290c3ca6b748a69ae64a
--- README.md
+++ README.md
@@ -6,9 +6,9 @@ estado de archivos en el panel de Commit, diffs, histo
 
 ## Estado actual
 
-Fase 1 + 2 del plan: esqueleto del plugin, detección de raíces `got` y estado
-de archivos (read-only) vía `got status`. Diff completo, commit/rollback,
-historial y update quedan para fases posteriores.
+Fases 1-4 del plan: esqueleto del plugin, detección de raíces `got`, estado
+de archivos, diff nativo (gutter de líneas) y commit/rollback desde la UI.
+Historial y update quedan para fases posteriores.
 
 ## Build
 
@@ -24,3 +24,22 @@ IntelliJ vía *Settings > Plugins > Install Plugin fro
 Compila contra una instalación local de IntelliJ Ultimate (ver `gradle.properties`,
 clave `ideLocalPath`) en vez de descargar un IDE, ya que un IntelliJ descargado
 por Gradle normalmente no ejecuta en NixOS sin `nix-ld`/FHS.
+
+## Tags firmados
+
+Cada build validado se marca con un tag `got` firmado por SSH (mismo esquema
+que `/nixdots`: `got tag` no soporta GPG, solo SSH vía `ssh-keygen -Y sign`).
+
+```
+got tag -S ~/.ssh/yubikey.pub -m "mensaje" nombre-del-tag
+got tag -V nombre-del-tag   # verifica la firma
+```
+
+`got.conf` (con `allowed_signers "/home/ale/.ssh/allowed_signers"`) y el propio
+`~/.ssh/allowed_signers` viven fuera del work tree y **no están versionados**.
+En una PC nueva, antes de poder verificar tags (`got tag -V`):
+
+```
+echo "ale_bnes@tuta.com $(cat ~/.ssh/yubikey.pub)" > ~/.ssh/allowed_signers
+echo 'allowed_signers "/home/ale/.ssh/allowed_signers"' > /home/ale/gotvcs-intellij.git/got.conf
+```