Seguridad
Lo que Draggy puede hacer, lo que rechaza y cómo informar de un problema.
Esta página reúne en un solo lugar los límites y las comprobaciones de Draggy. Cada sección enlaza a la página que lo explica completo. Algunas solicitudes salen sin que las pidas, como las comprobaciones de actualizaciones.
Modos de permisos#
Cada llamada a una herramienta pasa por una misma comprobación antes de ejecutarse. El modo elegido decide qué pide confirmación primero.
- Solo planificar lee el proyecto y propone cambios. No cambia nada y no ejecuta comandos.
- Preguntar antes pregunta antes de cada cambio en tus archivos y de cada comando.
- Aceptar cambios, el valor por defecto en proyectos nuevos, edita archivos sin preguntar. Pregunta antes de borrar y de ejecutar comandos.
- YOLO edita, borra y ejecuta comandos sin preguntar.
Leer nunca pregunta, en ningún modo. La tabla completa está en la página Permisos.
Carpetas y archivos rechazados#
Draggy los rechaza sea cual sea el modo.
- Carpetas como
.ssh,.aws,.gnupg,.kube,.docker,.password-store - Archivos como
.env,id_rsa,.pem,.pfx,.npmrc,.netrc,.git-credentials,credentials - Cualquier lectura de más de 2 MB
Los tipos de archivo ejecutables y de script se rechazan al crear un documento. La lista completa está en la página Proyectos, y Herramientas y capacidades trata los documentos.
Ejecutar código#
Los comandos se ejecutan en tu equipo con tu cuenta de usuario, dentro de la carpeta del proyecto. Cada comando solicita aprobación o se ejecuta de forma automática según el modo de permisos. Las páginas Comandos y Permisos detallan los límites y reglas.
Servidores remotos y lo que alcanzan#
Un servidor MCP es un programa que da a Draggy más herramientas. Uno local se instala con npm en su propia carpeta y se ejecuta directamente en tu equipo, con tu usuario y con las credenciales que hayas escrito. Los scripts de instalación se rechazan y no interviene ningún shell. Ningún servidor está activado por defecto.
Un servidor remoto se ejecuta en otro lugar y se llega a él por HTTPS. Los servidores remotos inician sesión con OAuth y PKCE. Un servidor local también envía solicitudes al servicio con el que trabaja, como GitHub. La página Privacidad y datos indica adónde va cada tipo de solicitud, y Extensiones y habilidades trata los servidores.
Registros y diagnóstico#
app.log contiene eventos, con los mensajes y las respuestas reducidos a hashes y longitudes, y los secretos eliminados. debug.log registra la salida en flujo por su longitud, no por su texto.
Para un informe de error, usa Ajustes → Diagnóstico → Exportar diagnóstico. Sustituye tu carpeta personal y tu nombre de usuario, pero revisa el archivo antes de compartirlo. Los pasos están en Sigue sin funcionar.
Descargas#
Descarga Draggy solo desde este sitio o desde la página de versiones de GitHub. La versión de Windows no está firmada con un certificado de desarrollador. La release de Windows incluye un SHA-512 del instalador en su archivo de actualización. El primer inicio se explica en la página Instalación.
Informar de una vulnerabilidad#
Usa el formulario privado de GitHub para informar, en lugar de una incidencia pública. Di qué hiciste, qué pasó y qué esperabas. Una prueba de concepto, aunque sea tosca, es bienvenida. Indica la versión de Draggy, que aparece en Ajustes → Actualizaciones, y tu sistema operativo si importa.
Informar de una vulnerabilidad en GitHub. La política completa está en SECURITY.md.