> ## Documentation Index
> Fetch the complete documentation index at: https://docs.kombify.io/llms.txt
> Use this file to discover all available pages before exploring further.

# stackkit host

> Operaciones del contrato de host independientes del proveedor

Operaciones del contrato de host independientes del proveedor.

```bash theme={null}
stackkit host [flags]
```

Subcomandos: [`stackkit host attach-conformance`](#stackkit-host-attach-conformance), [`stackkit host conformance`](#stackkit-host-conformance), [`stackkit host delivery`](#stackkit-host-delivery), [`stackkit host environment`](#stackkit-host-environment), [`stackkit host migrate-browser-ca`](#stackkit-host-migrate-browser-ca), [`stackkit host preflight`](#stackkit-host-preflight), [`stackkit host prepare`](#stackkit-host-prepare), [`stackkit host reboot`](#stackkit-host-reboot), [`stackkit host remediate`](#stackkit-host-remediate), [`stackkit host security`](#stackkit-host-security), [`stackkit host ssh`](#stackkit-host-ssh), [`stackkit host updates`](#stackkit-host-updates)

## stackkit host attach-conformance

Adjunta evidencia exacta del host al Inventory antes de generar el plan.

```bash theme={null}
stackkit host attach-conformance [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--binding` | string | — | **Obligatorio.** JSON de ExternalHostBinding confinado al workspace |
| `--inventory` | string | — | **Obligatorio.** inventory.json confinado al workspace que se actualiza atómicamente |
| `--receipt` | string | — | **Obligatorio.** JSON de HostConformanceReceipt confinado al workspace |

## stackkit host conformance

Produce en este host un recibo de conformidad independiente del proveedor.

```bash theme={null}
stackkit host conformance [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--binding` | string | — | **Obligatorio.** Archivo JSON local de ExternalHostBinding |
| `--output, -o` | string | `-` | Destino del recibo ('-' para JSON en stdout) |

## stackkit host delivery

Gestiona el destinatario sellado de entrega de host de este nodo.

La entrega sellada de hosts lleva a este nodo elementos de Wallet, destinos de backup y acceso SSH. La autoridad que entrega sella cada valor con la clave destinataria de este nodo (HPKE, pkg/hostdelivery); solo este nodo lo abre en su propia custodia. Techstack y Guard transportan únicamente texto cifrado y referencias.

```bash theme={null}
stackkit host delivery [flags]
```

Subcomandos: [`stackkit host delivery detach`](#stackkit-host-delivery-detach), [`stackkit host delivery recipient`](#stackkit-host-delivery-recipient), [`stackkit host delivery status`](#stackkit-host-delivery-status)

### stackkit host delivery detach

Detiene la entrega de hosts a este nodo y lista los secretos entregados que hay que rotar.

Desvincula este nodo de la entrega de hosts: cada secreto entregado se marca como pendiente de rotación, las claves destinatarias retiradas se destruyen y ninguna entrega se abre hasta volver a inscribir el nodo con `host delivery recipient --rotate`. El resultado enumera las referencias y versiones que hay que rotar en su origen; nunca contiene un valor. Los valores que ya están en la custodia local siguen siendo utilizables aquí.

```bash theme={null}
stackkit host delivery detach [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--owner-approve` | bool | — | Autoriza desvincular este nodo |

**Ejemplos**

```bash theme={null}
stackkit host delivery detach --owner-approve
```

### stackkit host delivery recipient

Demuestra la clave destinataria de este nodo, fija la autoridad que entrega o rota la clave.

Imprime una declaración, firmada con la clave Owner local, que vincula la clave destinataria de este nodo y su generación a este Site y nodo, y repite el desafío del llamante. La clave privada nunca sale de la custodia local.

`--authority-key` fija la clave pública Ed25519 de la autoridad que entrega para la generación actual; los elementos de Wallet y el acceso SSH solo se abren si los firma ella. Una clave fijada nunca se sustituye en el sitio. `--rotate` vuelve a inscribir el nodo bajo la siguiente generación (y, con `--authority-key`, fija una autoridad nueva): la clave anterior sigue abriendo las entregas emitidas antes de la rotación durante como máximo su vida de 15 minutos y después se destruye. La rotación también pone fin a un detach.

```bash theme={null}
stackkit host delivery recipient [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--authority-key` | string | — | Clave pública Ed25519 (base64) de la autoridad que entrega, para fijar en esta generación |
| `--authority-key-id` | string | — | ID de clave con el que la autoridad que entrega firma los sobres |
| `--challenge` | string | — | Valor nuevo de la autoridad que entrega que la declaración debe repetir |
| `--owner-approve` | bool | — | Autoriza el cambio de destinatario de este nodo |
| `--rotate` | bool | — | Vuelve a inscribir bajo la siguiente generación de destinatario |

**Ejemplos**

```bash theme={null}
stackkit host delivery recipient --challenge "$CHALLENGE" --authority-key "$WALLET_KEY" --authority-key-id wallet-1 --owner-approve
stackkit host delivery recipient --challenge "$CHALLENGE" --rotate --owner-approve
```

### stackkit host delivery status

Muestra la generación del destinatario, la autoridad fijada, el estado de detach y las referencias entregadas.

Informa de la generación del destinatario de este nodo y su huella, las generaciones retiradas que aún pueden abrirse, la autoridad que entrega fijada, si el nodo está desvinculado y cada secreto entregado por referencia y versión, con su marca de rotación. No se lee ningún valor.

```bash theme={null}
stackkit host delivery status [flags]
```

## stackkit host environment

Observa si este host parece una red doméstica o un servidor público.

Detecta el entorno de red de esta máquina.

Esto es observación, no selección de kit. Los instaladores e init lo usan para preguntar antes de crear direcciones domésticas locales en un VPS, o Cloud Kit en un host de LAN. STACKKIT\_NETWORK\_ENV=home|vps|cloud|unknown anula la detección en vivo.

```bash theme={null}
stackkit host environment [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--json` | bool | — | Emite la observación como JSON |

**Ejemplos**

```bash theme={null}
# Show whether this host looks like a home network or a public server
stackkit host environment

# The same observation as JSON
stackkit host environment --json

# Override a wrong detection for the next command, here Basement Kit init on a home host
STACKKIT_NETWORK_ENV=home stackkit init basement-kit --catalog-defaults --owner-source=local --owner-email you@example.com
```

## stackkit host migrate-browser-ca

Migra la CA heredada autenticada de este nodo a la política compatible con navegadores.

Migra de forma explícita las claves de firma de la CA heredada de Basement conservando la clave de firma Owner, las identidades de PocketID, los secretos del runtime, las claves de hoja del ingress, las direcciones y los volúmenes. Conserva una raíz que ya esté actualizada. Aplica y verifica el plan nativo actual antes de `--complete`. Los clientes deben aprobar una raíz pública modificada mediante el traspaso de confianza de cliente existente.

```bash theme={null}
stackkit host migrate-browser-ca [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--complete` | bool | — | Retira el diario de recuperación tras Apply nativo actual y verificación TLS ordinaria |
| `--owner-approve` | bool | — | Autoriza la transición explícita de CA de este nodo |

## stackkit host preflight

Comprueba si este host puede ejecutar el StackKit seleccionado.

Mide este host y lo compara con el mínimo que declara el kit.

Preflight solo realiza sondeos de solo lectura: nunca instala, inicia ni configura nada. Apply ejecuta la misma admisión antes de modificar el host.

```bash theme={null}
stackkit host preflight [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--json` | bool | — | Emite el informe versionado de preflight como JSON legible por máquinas |
| `--local-node` | string | — | Nodo local exacto del ResolvedPlan suministrado |
| `--policy` | string | — | Política de admisión: strict, warn (predeterminado) o skip |
| `--resolved-plan` | string | — | ResolvedPlan canónico verificado cuyos listeners del host se comprueban |

**Ejemplos**

```bash theme={null}
# Check this host against the kit selected in the current deployment directory
stackkit host preflight

# Also refuse on warnings and unknown facts, and print the report as JSON
stackkit host preflight --policy strict --json
```

## stackkit host prepare

Prepara este host antes de aplicar Cloud Kit.

Aprovisiona la cuenta del canal de ejecución de Cloud y la custodia de la clave SSH necesarias antes de que host-security desactive el inicio de sesión de root.

Los instaladores y apply de Cloud Kit llaman a esto automáticamente. El comando existe para diagnóstico y para hacer converger un workspace tras una interrupción manual. Genera o reutiliza la clave custodiada por el workspace en .stackkit/cloud-host-security/execution-channel/ e instala la clave pública correspondiente en la cuenta Linux del canal de ejecución.

```bash theme={null}
stackkit host prepare [flags]
```

**Ejemplos**

```bash theme={null}
# Converge the execution-channel account after an interrupted Cloud Kit install (run as root in the Cloud Kit deployment directory)
cd my-cloud
stackkit host prepare
```

## stackkit host reboot

Programa un reinicio de este nodo.

Programa un reinicio de este nodo tras un breve retraso y regresa de inmediato.

El boot\_id\_before devuelto identifica el arranque actual, de modo que quien llama puede saber que el nodo volvió al leer un ID de arranque distinto. El comando rechaza un nodo que ejecuta el plano de control de Techstack, un nodo donde apt o dpkg mantiene su bloqueo o se ejecuta una actualización del host, y un nodo que no puede arrancar sin supervisión (volúmenes en /etc/crypttab que necesitan una frase de contraseña, o sin apt).

Cuando termina el retraso, una guarda vuelve a comprobar, espera hasta 15 minutos a que termine cualquier operación de paquetes y solicita el reinicio mientras mantiene los bloqueos de dpkg. Un nodo que sigue ocupado no se reinicia; su ID de arranque se mantiene igual.

```bash theme={null}
stackkit host reboot [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--delay` | duration | `30s` | Tiempo hasta que comienza el reinicio (de 1s a 5m) |
| `--json` | bool | — | Emite el resultado stackkit.host-maintenance/v1 como JSON legible por máquinas |
| `--yes` | bool | — | Confirma que este nodo puede reiniciarse |

**Ejemplos**

```bash theme={null}
# Reboot this node in 30 seconds
sudo stackkit host reboot --yes

# Reboot in two minutes and report the boot ID to compare against
sudo stackkit host reboot --yes --delay 2m --json
```

## stackkit host remediate

Muestra o aplica correcciones para lo que encontró host preflight.

Lista las correcciones que responden a los hallazgos de preflight de este host, o ejecuta una.

Sin `--apply` no se cambia nada: el comando mide el host e imprime lo que haría cada corrección, si se puede deshacer y si necesita root.

Con `--apply` \<id> `--yes` se ejecuta la corrección indicada, y después se vuelve a medir la comprobación que la justificaba, de modo que el resultado indica lo que cambió realmente y no solo que se intentó algo.

```bash theme={null}
stackkit host remediate [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--apply` | string | — | Ejecuta la resolución indicada (requiere `--yes`) |
| `--auto-reversible` | bool | — | Ejecuta cada corrección reversible que pueda ejecutarse sin supervisión (requiere `--yes`) |
| `--json` | bool | — | Emite el plan o el registro de remediación como JSON legible por máquinas |
| `--policy` | string | — | Política de preflight usada para encontrar hallazgos: strict o warn (predeterminado) |
| `--yes` | bool | — | Confirma que la resolución indicada puede cambiar este host |

**Ejemplos**

```bash theme={null}
# List the fixes for this host's preflight findings without changing anything
stackkit host remediate

# Carry out one fix by the ID the list printed
stackkit host remediate --apply <resolution-id> --yes

# Carry out every undoable fix that may run unattended
stackkit host remediate --auto-reversible --yes
```

## stackkit host security

Verifica y repara la base de seguridad del host con evidencia versionada.

Observa este nodo frente a la base de seguridad de hosts de StackKits y restaura lo que se haya desviado sin cortar la vía de administración.

`verify` nunca cambia el host. Produce stackkit.host-security-evidence/v1 para el firewall, sshd, la protección contra fuerza bruta, las actualizaciones de seguridad automáticas y pendientes, el estado de reinicio, los parámetros del kernel, los listeners expuestos y la caducidad de los certificados, y para la confianza de CA SSH y el certificado de host entregados a este nodo (`host ssh apply`) una vez registrados. Cada control está conforme, desviado, desconocido o es una excepción aprobada por el propietario, y la evidencia caduca: una observación obsoleta es desconocida y un control desconocido nunca cuenta como conforme.

Funciona por sí solo (Standard Mode, sin cuenta) y mediante la CLI fijada cuando Techstack administra el despliegue (`--mode` advanced).

```bash theme={null}
stackkit host security [flags]
```

Subcomandos: [`stackkit host security repair`](#stackkit-host-security-repair), [`stackkit host security status`](#stackkit-host-security-status), [`stackkit host security verify`](#stackkit-host-security-verify)

### stackkit host security repair

Restaura los controles de la base que se hayan desviado sin cortar la vía de administración.

Planifica o, con `--apply`, lleva a cabo la restauración de los controles desviados.

Sin `--apply` no se cambia nada: el comando mide el host y muestra lo que haría cada reparación. Con `--apply` solo se modifican los controles nombrados (`--control`) o desviados, y cada cambio se comprueba primero:

```text theme={null}
  - the firewall always keeps admitting the ssh sessions in use and every
    --management-source on every sshd port, and a policy that would not is
    refused before it is loaded;
  - password logins are disabled only when an account holds an authorized key;
    without one they stay on, the step is refused with reason no_authorized_key
    and the rest of the baseline is still repaired. The previous sshd and
    firewall configuration is restored if the new one does not validate or does
    not take effect;
  - fail2ban never bans the management path.
```

No se modifica un control que no pueda observarse o para el que el propietario haya aprobado una excepción. `stackkit apply` restaura el firewall y el inicio de sesión root de un Cloud Site. Cada paso registra el control antes y después, y repetir la reparación de un control conforme no cambia nada.

```bash theme={null}
stackkit host security repair [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--apply` | bool | — | Lleva a cabo la reparación; sin esta opción, el comando solo planifica |
| `--control` | stringArray | — | Limita la reparación a este ID de control (repetible) |
| `--declared-port` | stringArray | — | Puerto de servicio declarado como tcp/443 o udp/5353 (repetible) |
| `--exceptions` | string | `/etc/stackkit/host-security/exceptions.json` | Archivo de excepciones controlado por el propietario (cada excepción necesita propietario y caducidad) |
| `--freshness` | duration | `15m0s` | Tiempo durante el que se puede confiar en la evidencia antes de que caduque (de 1m a 24h) |
| `--host-name` | stringArray | — | Nombre que debe llevar el certificado de host SSH entregado (repetible; predeterminado: el hostname del sistema) |
| `--json` | bool | — | Emite el resultado como JSON legible por máquinas |
| `--kit` | string | — | Slug del Kit que se registrará (predeterminado: el Kit de la StackSpec del workspace) |
| `--local-node` | string | — | Node local exacto del ResolvedPlan proporcionado |
| `--management-source` | stringArray | — | Red que siempre debe poder acceder a ssh, como CIDR (repetible) |
| `--mode` | string | `standard` | Modo de ciclo de vida que se registrará: standard, o advanced cuando Techstack administra este despliegue |
| `--no-record` | bool | — | No escribe la evidencia posterior a la reparación bajo .stackkit/ |
| `--resolved-plan` | string | — | ResolvedPlan canónico verificado con cuyos listeners declarados se evalúa la exposición |
| `--site-kind` | string | — | Tipo de Site de este host: home o cloud (predeterminado: se infiere del Kit; modern-homelab lo necesita) |

**Ejemplos**

```bash theme={null}
# See what would be repaired
sudo stackkit host security repair --site-kind home

# Restore only the firewall, keeping a jump host reachable
sudo stackkit host security repair --apply --control firewall.default_inbound --management-source 198.51.100.0/24
```

### stackkit host security status

Lee la evidencia almacenada tal como está ahora, sin observar el host.

Lee la evidencia que `verify` registró por última vez en este workspace y la evalúa en el momento actual. La evidencia que supera su presupuesto de vigencia es desconocida: una observación antigua no demuestra nada sobre el estado actual del host.

```bash theme={null}
stackkit host security status [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--drift-scope` | string | `all` | Controles que determinan `--fail-on-drift`: all o enforced (solo los controles que aplica la propia baseline; el retraso de parches, el reinicio pendiente, la exposición y los certificados siguen observándose y notificándose) |
| `--fail-on-drift` | bool | — | Sale con 5 cuando el host está desviado y con 6 cuando se desconoce su estado |
| `--json` | bool | — | Emite la evidencia como JSON legible por máquinas |

### stackkit host security verify

Observa la base de seguridad del host y escribe evidencia versionada.

Observa todos los controles de la base en este nodo y produce stackkit.host-security-evidence/v1. No cambia nada en el host.

La mayoría de los controles necesitan root para observarse; uno que no pueda observarse se declara desconocido con el motivo, no como fallo. La evidencia se escribe en .stackkit/host-security-evidence.json dentro del workspace salvo que se indique `--no-record`, y caduca después de `--freshness`.

```bash theme={null}
stackkit host security verify [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--declared-port` | stringArray | — | Puerto de servicio declarado como tcp/443 o udp/5353 (repetible) |
| `--exceptions` | string | `/etc/stackkit/host-security/exceptions.json` | Archivo de excepciones controlado por el propietario (cada excepción necesita propietario y caducidad) |
| `--drift-scope` | string | `all` | Controles que determinan `--fail-on-drift`: all o enforced (solo los controles que aplica la propia baseline; el retraso de parches, el reinicio pendiente, la exposición y los certificados siguen observándose y notificándose) |
| `--fail-on-drift` | bool | — | Sale con 5 cuando el host está desviado y con 6 cuando se desconoce su estado |
| `--freshness` | duration | `15m0s` | Tiempo durante el que se puede confiar en la evidencia antes de que caduque (de 1m a 24h) |
| `--host-name` | stringArray | — | Nombre que debe llevar el certificado de host SSH entregado (repetible; predeterminado: el hostname del sistema) |
| `--json` | bool | — | Emite el resultado como JSON legible por máquinas |
| `--kit` | string | — | Slug del Kit que se registrará (predeterminado: el Kit de la StackSpec del workspace) |
| `--local-node` | string | — | Node local exacto del ResolvedPlan proporcionado |
| `--management-source` | stringArray | — | Red que siempre debe poder acceder a ssh, como CIDR (repetible) |
| `--mode` | string | `standard` | Modo de ciclo de vida que se registrará: standard, o advanced cuando Techstack administra este despliegue |
| `--no-record` | bool | — | No escribe la evidencia bajo .stackkit/ |
| `--resolved-plan` | string | — | ResolvedPlan canónico verificado con cuyos listeners declarados se evalúa la exposición |
| `--site-kind` | string | — | Tipo de Site de este host: home o cloud (predeterminado: se infiere del Kit; modern-homelab lo necesita) |

**Ejemplos**

```bash theme={null}
# Verify this host and record the evidence
sudo stackkit host security verify

# Machine-readable, advanced mode, exit non-zero on any drifted control
sudo stackkit host security verify --mode advanced --json --fail-on-drift

# What the Techstack host pre-step runs: only the controls the baseline enforces decide the exit code; patch lag, pending reboot, exposure and certificates are still observed and reported
sudo stackkit host security verify --mode advanced --json --fail-on-drift --drift-scope enforced

# Judge exposure against the ports the verified plan declares
sudo stackkit host security verify --resolved-plan plan.json --local-node node-1
```

## stackkit host ssh

Acceso SSH mediante certificados entregado a este nodo.

```bash theme={null}
stackkit host ssh [flags]
```

Subcomandos: [`stackkit host ssh apply`](#stackkit-host-ssh-apply)

### stackkit host ssh apply

Aplica desde la entrada estándar una entrega sellada de confianza de CA SSH, revocación o certificado de host.

Lee en la entrada estándar un único sobre sellado ssh-ca-trust, ssh-ca-revoke o ssh-host-certificate, firmado por la autoridad que entrega fijada, y lo aplica al sshd de este servidor:

```text theme={null}
  - ssh-ca-trust installs the owner's user CA keys as TrustedUserCAKeys
    (/etc/ssh/stackkit/trusted_user_ca_keys) and one AuthorizedPrincipalsFile
    per local user (/etc/ssh/stackkit/principals/<user>). Root is never a
    target. An empty key list revokes like ssh-ca-revoke.
  - ssh-ca-revoke removes that trust. Revocations take effect at once and are
    never rolled back; one sshd cannot reload for is recorded as cleanup
    pending and finished by 'host security repair'.
  - ssh-host-certificate installs a host certificate beside the host key it
    certifies, only if it names every --host-name (default: the system
    hostname) and is currently valid.
```

sshd solo se recarga después de que `sshd -t` acepte la nueva configuración; un cambio que falle se revierte. El estado aplicado se registra en la custodia del propietario, de modo que `host security verify` informa de la desviación y `host security repair` lo reinstala.

```bash theme={null}
stackkit host ssh apply [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--host-name` | stringArray | — | Nombre que debe llevar un certificado de host como principal (repetible; predeterminado: el hostname del sistema) |
| `--owner-approve` | bool | — | Autoriza cambiar el acceso SSH de este servidor |
| `--tenant-ref` | string | — | Tenant al que debe estar dirigida la entrega sellada |

**Ejemplos**

```bash theme={null}
sudo stackkit host ssh apply --tenant-ref "$TENANT" --owner-approve < envelope.json
```

## stackkit host updates

Planifica y aplica actualizaciones de paquetes del sistema operativo en este nodo.

Planifica y aplica actualizaciones de paquetes del sistema operativo en este nodo Debian o Ubuntu.

El runtime de contenedores (docker.io, docker-ce\*, containerd\*, runc) queda retenido: aparece en el plan pero apply nunca lo instala, porque actualizarlo reinicia todos los workloads. Apply nunca elimina paquetes, nunca ejecuta autoremove y nunca reinicia; para eso usa 'stackkit host reboot'.

```bash theme={null}
stackkit host updates [flags]
```

Subcomandos: [`stackkit host updates apply`](#stackkit-host-updates-apply), [`stackkit host updates plan`](#stackkit-host-updates-plan)

### stackkit host updates apply

Instala exactamente el plan de actualización revisado.

Instala exactamente el conjunto de paquetes que informó un 'stackkit host updates plan' revisado.

Primero se vuelve a simular el conjunto pendiente; cuando su digest difiere de `--plan-digest` no se instala nada (plan\_stale). apt se ejecuta de forma no interactiva en una unidad transitoria de systemd (kombify-host-update-\*), conservando los archivos de configuración existentes, de modo que un timeout de la CLI o del agente solo detiene la espera y nunca dpkg. El resultado registra la versión de cada paquete antes y después, y si el nodo requiere ahora un reinicio.

```bash theme={null}
stackkit host updates apply [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--json` | bool | — | Emite el resultado stackkit.host-maintenance/v1 como JSON legible por máquinas |
| `--plan-digest` | string | — | **Obligatorio.** plan\_digest del plan revisado (sha256:\<hex>) |
| `--yes` | bool | — | Confirma que se pueden instalar los paquetes planificados |

**Ejemplos**

```bash theme={null}
# Apply the plan you reviewed
sudo stackkit host updates apply --plan-digest sha256:<digest> --yes
```

### stackkit host updates plan

Actualiza el índice de paquetes y muestra las actualizaciones pendientes.

Actualiza el índice de paquetes y muestra lo que instalaría 'stackkit host updates apply'.

El resultado lista cada paquete pendiente con su versión actual y la nueva, los paquetes retenidos del runtime de contenedores, los paquetes que apt mantiene sin actualizar, si es probable un reinicio (kernel, biblioteca C o systemd) y los problemas de dpkg. plan\_digest vincula el conjunto exacto de paquetes; apply lo rechaza cuando ya no coincide.

```bash theme={null}
stackkit host updates plan [flags]
```

| Flag | Tipo | Predeterminado | Descripción |
| - | - | - | - |
| `--json` | bool | — | Emite el resultado stackkit.host-maintenance/v1 como JSON legible por máquinas |

**Ejemplos**

```bash theme={null}
# Show the pending updates of this node
sudo stackkit host updates plan

# Machine-readable plan with its plan_digest
sudo stackkit host updates plan --json
```


This documentation is built and hosted on [Mintlify](https://mintlify.com), a developer documentation platform.