Lo que sale de su equipo y lo que el servidor nunca hace

Lo que sale de su máquina y quién lo decide, y los gestos que el servidor no hace nunca. El proveedor de un modelo alojado recibe las páginas de los sitios que usted permite.

Lo que sale de su máquina

Una cosa sale por diseño: el contenido de las páginas de los sitios que su perfil permite. La imagen, el árbol y los elementos de una observación van al modelo; si el modelo está alojado, su proveedor los recibe. Lo que un proveedor conserva de lo que recibe no lo confirma este proyecto. Un marco de otro sitio incrustado en una página permitida viaja con esa página: el servidor enmascara los marcos en la imagen y nunca lee su texto, pero no puede filtrar lo que el modelo recibe de otra parte.

Qué	¿Sale?	Lo fija
Páginas de los sitios que la política admite (con `strict`, los sitios permitidos)	sí: imagen, árbol, elementos, hacia el modelo	usted
Páginas que la política no admite	no, solo su origen	usted, mediante la política de orígenes
Contraseñas y otros secretos	no: se leen en la memoria del servidor en el momento de escribir, se envían al navegador por la conexión local, nunca en un resultado, un registro, una dirección ni un argumento	el código
Campos sensibles en pantalla	no: enmascarados en cada imagen, valores retenidos; sin imagen si falla una máscara	el código
Direcciones de páginas	origen y ruta; valores de parámetros sensibles y fragmento retenidos	el código
Títulos y direcciones de sus otras pestañas	no	el código
Mensajes de error	solo por el mismo punto de salida que cada resultado	el código
Archivos de su disco	no: ninguna navegación a un archivo local, ninguna subida	el código
Diario y capturas	no: se escriben en el directorio cifrado	el código

Lo que fija usted lo fijan su política de orígenes, su lista de sitios y su elección de modelo; lo que fija el código no lo cambia ninguna clave del perfil ni ningún parámetro de herramienta. En el código no existe ninguna otra emisión a terceros; añadir una sería una decisión suya.

Lo que el servidor no hace nunca

Nunca monta ni desmonta el directorio cifrado y nunca conoce su contraseña.
No abre ningún puerto de escucha. Se conecta solo al puerto de depuración del navegador en 127.0.0.1.
No ejecuta ningún script que proporcionen el modelo o una página; los únicos scripts que envía a una página son textos constantes escritos en su código.
No sube ningún archivo, no abre ningún archivo local y no toca el portapapeles.
No enumera ni lee las pestañas que usted abrió. Enumera las pestañas que él abrió, las ventanas que abrieron sus páginas y las pestañas que una ejecución anterior suya dejó abiertas; esas puede cerrarlas, no manejarlas.
No inicia ni cierra el navegador.
Nunca paga, elimina ni cambia un secreto sin su confirmación, y ningún parámetro de una herramienta puede aprobar uno.
Cambia el perfil del operador en un solo caso: con discovery, cuando usted responde Ajouter à la liste, escribe ese único origen en la lista de sitios. Ninguna herramienta del modelo cambia el perfil.

El asistente de instalación, mcp-server-diwall-browser-setup, es otro programa, que usted ejecuta en su propia terminal: crea y abre el directorio cifrado, inicia el navegador y cierra ambos. Ningún módulo del servidor lo importa, y nunca lee la contraseña, que gocryptfs pide en su terminal.

Esto vale para un modelo que solo tiene las catorce herramientas. Un modelo al que el cliente da además una shell bajo su cuenta no está limitado por ellas: véase Límites.

Lo que puede comprobar después

Cada llamada a una herramienta añade una línea JSON a journal/operations.jsonl en el directorio cifrado, con el intent que dio el modelo. En torno a un pago, una eliminación o un cambio de secreto, el servidor guarda una captura antes y otra después en evidence/<date>/<operation_id>/, con las mismas máscaras que la imagen que recibió el modelo.