npm publish --provenance falló en el smoke release de v0.3.1: "Unsupported
GitHub Actions source repository visibility: private. Only public source
repositories are supported when publishing with provenance." La
autenticación OIDC de Trusted Publishing sí funcionó (llegó a firmar la
provenance); el bloqueo es solo la verificación de visibilidad del repo en
npmjs.com. Se documenta la restricción en el workflow y se retira la
mención de provenance del README hasta que el repo sea público.