Respalda el grueso de la configuración de usuario aún no versionada

Añade config KDE/Plasma (atajos, energía, splash, kwin rules, spectacle,
xdg-portal, mimeapps...), systemd user (incluye el delay de arranque de
Davmail), autostart, apps varias (GIMP, vlc, kate, btop, go, okular...),
temas Vampire-Light/Vampire-dark completos con su splash embebido, y
credential.helper en el template de gitconfig.

Excluye explícitamente en .chezmoiignore lo que NO debe ir a un repo git:
tokens OAuth de Davmail, secreto maestro de Remmina, clave privada de
KDE Connect, logs de KVIrc, IP pública en prefs de Spotify, perfiles de
navegador, vaults (Bitwarden/KWallet/keyrings), caches binarias y
credenciales en texto plano.

Co-Authored-By: Claude Sonnet 5 <noreply@anthropic.com>

.chezmoiignore

@@ -0,0 +1,54 @@
+# Exclusiones deliberadas — NUNCA añadir a chezmoi (revisado 2026-07-31).
+# Motivo de cada bloque anotado al lado.
+
+# --- Secretos reales encontrados en el escaneo ---
+.config/davmail            # davmail.properties contiene refresh tokens OAuth en claro (AES pero no vale el riesgo)
+.config/remmina            # remmina.pref contiene el "secret" maestro que cifra las contraseñas guardadas
+.config/kdeconnect         # privateKey.pem: clave privada real de emparejamiento de dispositivo
+.config/KVIrc              # logs de IRC = conversaciones privadas, nunca a un repo
+.config/spotify            # prefs incluye IP pública y datos de dispositivos de red local
+.local/share/keyrings      # GNOME keyring, secretos cifrados
+.local/share/kwalletd       # vault real de KWallet
+.local/share/DBeaverData   # perfiles de conexión a bases de datos, pueden llevar credenciales
+
+# --- Perfiles de navegador / apps con sesión, cookies, historial ---
+.config/Bitwarden
+.config/chromium
+.config/zen
+.config/obsidian          # vault grande + posibles rutas/notas personales
+
+# --- Cachés binarias / generadas, sin valor como "config" ---
+.config/dconf
+.config/pulse             # cookie de red de pulseaudio
+.config/session
+.config/libaccounts-glib  # accounts.db (sqlite, posible cache de tokens de cuentas online)
+.config/Code               # solo Code/User/settings.json se trackea explícitamente
+.config/VSCodium
+.local/share/containers
+.local/share/flatpak
+.local/share/umu
+.local/share/sddm
+.local/share/Trash
+.local/share/baloo
+.local/share/gvfs-metadata
+.local/share/mime
+.local/share/kxmlgui5
+.local/share/icons        # gestionado por paquetes (pacman/AUR), no config de usuario
+.local/share/recently-used.xbel
+.local/share/krunnerstaterc
+.local/share/user-places.xbel*
+.local/share/claude-usage-cache.json
+.local/share/plasma-agent-usage-cache.json
+.local/share/karere
+.local/share/kpeoplevcard
+.local/share/kwin          # cache de tabbox/miniaturas
+
+# --- Backups puntuales dejados en .config, no son "la config" ---
+.config/plasma-org.kde.plasma.desktop-appletsrc.bak-*
+
+# --- PII: coordenadas GPS del domicilio en texto plano ---
+.config/yin_yang_dev.json
+
+# --- Credencial git en texto plano (el ajuste credential.helper=store SÍ está
+#     en dot_gitconfig.tmpl; esto es el almacén real del token, nunca al repo) ---
+.git-credentials