La confianza es una decisión de diseño
El cierre del nivel: dibujar el mapa de confianza de tu aplicación, decidir dónde va cada frontera, y por qué ese dibujo predice todo lo demás.
Las cuatro regiones
Todo lo que corre en una aplicación de Tauri cae en una de cuatro, y cada frontera tiene su mecanismo:
Cómo el mapa predice el resto
Ésta es la utilidad del dibujo, y no es retórica: una vez colocadas las piezas, las decisiones concretas dejan de ser preguntas.
- ¿Qué capabilities necesita esta ventana? Las que su región justifica. Una ventana con contenido remoto está en la región de cero confianza: ninguna.
- ¿Puedo permitir este origen en la política? Si añadirlo mueve una pieza a una región de más confianza, no.
- ¿Merece la pena el aislamiento? Depende de cuánto código ajeno haya en la región de la webview, que es exactamente la pregunta del nivel 32.2.
- ¿Dónde limpio este contenido? En la región más profunda que pueda, para que lo sucio no cruce hacia fuera. Nivel 32.3.
Y funciona al revés también: si una decisión concreta te cuesta, casi siempre es que una pieza está en la región equivocada. Un iframe que necesita llamar a comandos está mal colocado; un comando que el frontend necesita y que da miedo conceder está pidiendo ser más estrecho.
Cuándo el mapa cambia sin que nadie lo dibuje
El mapa no se rompe de golpe: se erosiona. Cuatro movimientos típicos, y ninguno parece de seguridad cuando ocurre:
| lo que se hace | qué mueve en el mapa |
|---|---|
| Añadir un iframe para una vista previa | mete contenido ajeno en una ventana con permisos |
| Meter una librería nueva en el frontend | agranda la región de código ajeno con confianza de frontend |
| Navegar la ventana principal a una URL, «solo un momento» | pone un origen ajeno en la ventana con más permisos que tienes |
| Añadir un permiso para desbloquear a alguien | mueve la frontera del puente, y casi nunca vuelve |
Los cuatro son cambios pequeños, ninguno toca un fichero llamado «seguridad», y los cuatro mueven una frontera. Por eso el registro del nivel 26.5 pide anotar el porqué: no para el auditor, sino para el que dentro de un año mire el mapa y no entienda cómo llegó ahí.
El dibujo como entregable
Y merece existir como fichero, no solo en la cabeza: