Spring Boot Actuator en producción: los endpoints que dejé abiertos sin darme cuenta y cómo los cerré

Después de publicar el análisis de Jakarta EE vs Spring Boot, revisé los defaults de Actuator en un backend propio y encontré endpoints sensibles abiertos que nunca configuré conscientemente. Acá está el checklist de hardening que armé después.