Límites

Lo que la seguridad no promete

• El directorio cifrado protege tanto como su contraseña. Quien tiene la contraseña abre el volumen y lee lo que contiene; una contraseña débil o reutilizada protege poco.
• Las salvaguardas tienen fecha. Las mediciones de este sitio pertenecen a la versión que describe. Un modelo más reciente que los probados puede encontrar una forma de eludir una salvaguarda que ninguna prueba ha visto.

Los mismos dos enunciados figuran en la sección 12 de la guía del operador.

Un cliente con shell levanta la protección del perfil

La lista de sitios, las acciones bloqueadas y la ligadura de las credenciales sujetan a un modelo que solo tiene las catorce herramientas. Un modelo al que el cliente da además una shell bajo su cuenta puede editar profile.json, origin_policy incluida, iniciar el servidor desde un script propio y, mientras el directorio cifrado está abierto, leer los archivos de credenciales. Un origen añadido así a allowed_origins lo lee status en su llamada siguiente.

El servidor no lo impide; el rastro que deja un cambio de las listas de sitios (El perfil del operador) puede borrarlo la misma shell. Lo que acota a un modelo así es la configuración del cliente: dé las herramientas a un agente cuya shell le pregunte primero (Conectar un cliente MCP).

Lo que las comprobaciones no detectan

• Una página que se mueve en el último instante. Un clic comprueba de nuevo su objetivo después de mover el puntero, luego pregunta al navegador qué elemento alcanzó la pulsación y suelta el botón fuera de la página si no es el objetivo. En una página de prueba que intercambia el botón bajo el puntero cada 2 ms, de 300 clics en Chrome 156 ninguno llegó al otro botón; antes de la comprobación habían llegado 29. Lo que no se detiene: los manejadores que la propia página unió a la pulsación se ejecutan sobre lo que estaba bajo el puntero, y la guarda de una tecla o de un texto es un script de la página, que una página que la espera rodea.
• Lo que una persona no puede leer. La visibilidad es aproximada: el servidor no calcula ni el contraste ni el recorte por overflow, así que un texto que usted no puede leer puede llegar al modelo. Un nodo sin caja propia se toma por oculto, con todo lo que contiene: en Chromium 141, una página cuyo body no tenía altura no dio ninguna marca.
• Un banner que no cubre nada de la vista no es una capa, y puede recortarse como cualquier elemento cuando la vista contiene más que los topes. Una capa cubre por su caja, no por los píxeles que pinta, y de una página se examinan como máximo 100 nodos fijos o pegajosos (Cuando una página contiene demasiado).
• Un campo que no reconoce como sensible se muestra, valor incluido.
• Una acción bloqueada con otra formulación. El bloqueo lee palabras y campos de tarjeta. Con 100 rótulos de botón comunes no se dejó ninguno y bloqueó 2 que un lector cuidadoso no bloquearía (Effacer le formulaire, Supprimer le filtre); un rótulo que diga «pagar» con otras palabras no se bloquea.
• Las descargas y los diálogos limitan tareas reales; están en Casos de uso.

No medido

• Chrome 154 con su perfil guardado dentro de un directorio cifrado.
• Brave.
• Una confirmación pedida a través de un cliente MCP de escritorio (elicitation): probada solo con el cliente del SDK de MCP.
• El zoom hecho con las teclas Ctrl y + de un navegador con interfaz, una pantalla cuya escala sea realmente 1,5 y un clic en un elemento dentro de un marco de una página desplazada.
• La conversión de archivos de credenciales antiguos en un volumen gocryptfs real.

La lista completa, con cada medición y el comando que la repite, está en la sección 12 de la guía del operador y en el README.