Los bots de tu PC, en el bolsillo

Listamos las 137 acciones de la app de escritorio y decidimos para cada una si se ejecuta desde el teléfono como comando, si llega como dato sincronizado o si se queda en el PC a propósito. El contenido de la bóveda de contraseñas, las claves de API, los proveedores de modelos y las credenciales de los conectores nunca salen del computador; el teléfono puede bloquear la bóveda, no abrirla. Un script compara esa tabla con el código del escritorio, y cada función nueva del PC aparece como un hueco antes de una versión.

El enlace empieza en el PC, que muestra un QR y un código de 8 caracteres de un solo uso, válido 10 minutos. El teléfono lo reclama y el PC pregunta si permite ese teléfono, junto a un código de 4 cifras que debe coincidir en las dos pantallas. Nada queda enlazado hasta que alguien hace clic en Permitir en el computador, así que un código visto en una pantalla compartida no sirve por sí solo.

La app de escritorio no abre ningún puerto. Hace llamadas HTTPS salientes al relay, revisa cada 3 segundos un pequeño archivo «timbre» en un almacenamiento de objetos y solo sincroniza cuando suena, de modo que un PC inactivo no genera consultas a la base de datos. Mensajes, tarjetas y comandos se cifran en reposo con AES-256-GCM. Las notificaciones push llevan textos genéricos («Operator needs your OK»), así que ningún contenido de chat pasa por Apple o Google. Los chats privados no se transmiten.