Lo que la webview deja abierto

El mapa

La quinta fila

Es la que importa y no tiene mecanismo. Cualquier código que corra en tu webview ve todo lo que tu webview tiene en memoria: el estado de tu interfaz, lo que has traído del core, lo que el usuario acaba de escribir.

Las capabilities no ayudan —no es una llamada—. La política tampoco —no es una petición—. Es simplemente lectura de memoria dentro del mismo proceso.

Y por eso la defensa es de diseño, no de configuración: no traer al frontend lo que no necesita mostrar.

Ésa es la razón de fondo de la forma de comando del nivel 14.4, más allá de la limpieza: un comando que devuelve lo justo mantiene pequeña la única vía que ningún mecanismo cierra.

La lista de comprobación del bloque

Cinco preguntas, y las cinco tienen respuesta en los cuatro niveles anteriores:

1. ¿Hay política de contenido y es estricta? Si la clave está desactivada, la segunda fila de la tabla está abierta. Nivel 31.1.
2. ¿Qué protocolos hay habilitados y con qué ámbito? Van en la cuenta de superficie del nivel 26.3, y se olvidan. Nivel 31.2.
3. ¿Qué hay en el almacenamiento del navegador? Si hay algo que no sea presentación, sobra. Nivel 31.3.
4. ¿Está interceptada la navegación? Y los enlaces externos, ¿abren el navegador del sistema? Nivel 31.4.
5. ¿Qué trae tu frontend que no muestra? Ésta no tiene configuración: es leer los comandos. Este nivel.