Privacidad · RootCause Web Inspector

🔒 Privacidad local

RootCause Web Inspector no tiene servidores. No hay cuenta, no hay registro, no hay nube, no hay analítica, no hay crash reporting. No existe un lugar al que mandar tus datos porque no existe ese lugar.

Qué se lee, y qué no

Dato	Se lee	NO se lee
`Cookies`	Dominio, nombre, `Secure`, `HttpOnly`, `SameSite`, caducidad	El valor de la cookie
`Correo`	Que existen cookies vivas para el dominio del proveedor	Mensajes, remitentes, asuntos, tu dirección
`Extensiones`	Nombre, versión, estado, origen y permisos declarados	Su código, sus datos, lo que hace
`Descargas`	Nombre de archivo, URL de origen, tamaño, fecha	El contenido del archivo
`Permisos`	Origen y estado de cámara/micrófono/ubicación/notificaciones	Nada más
`Almacenamiento`	Bytes usados y número de claves, por origen abierto	El contenido de `localStorage` o IndexedDB
`Navegador`	Nombre, versión, plataforma, idioma, DNT, cookies de terceros	Historial, marcadores, contraseñas

Dónde van

A un único sitio: http://127.0.0.1:<puerto>/api/snapshot, un proceso Node corriendo en tu propio equipo. De ahí, a dos archivos en tu carpeta de usuario: ~/.rootcause-web/history.jsonl y ~/.rootcause-web/config.json. El historial guarda el veredicto y los hallazgos, nunca las cookies crudas.

Cómo comprobarlo sin confiar en nadie

La CSP de la extensión

connect-src limitado a 127.0.0.1 y localhost
Un fetch remoto lo bloquearía el navegador

El guardián de CI

scripts/check-local-only.mjs
Corre en cada push y en cada PR
Tumba el build si se abre cualquier puerta

La CSP del panel

default-src 'none' en cada respuesta
Sin CDNs, sin fuentes remotas, sin analytics

Cero dependencias

Sin node_modules, sin lockfile
Lo que no se instala no puede exfiltrar

Quién puede ver tu evidencia

Tú, abriendo el panel.
Cualquiera con tu sesión de usuario en el equipo — el mismo modelo de amenaza que tu propio navegador: quien tenga tu sesión ya tenía tus cookies.
Nadie más. Ni por la red local, ni por internet, ni por una página web abierta.

Límite conocido y escrito: otro programa local con tus permisos de usuario podría hablarle al panel. Un token compartido lo cierra y está en el roadmap.

Borrar todo

$ rm -rf ~/.rootcause-web

O desde el panel: pestaña Historial → 🗑 Borrar historial. Luego quita la extensión y borra el repositorio. No queda nada en ningún otro sitio, porque no hay ningún otro sitio.

Documento completo → docs/POLITICA_DE_PRIVACIDAD_LOCAL.md