Cortafuegos
Restorm intercepta todas sus llamadas salientes —las suyas y las de sus dependencias— y bloquea por defecto lo que no conoce.
El interés es directo: una biblioteca ajena que quisiera «llamar a casa» no lo hace sin que usted lo vea.
Cómo se emite el veredicto
Section titled “Cómo se emite el veredicto”En este orden:
- Los puertos de infraestructura internos de Restorm en el bucle local están autorizados.
- La lista blanca autoriza.
- Los orígenes derivados de su proyecto autorizan, es decir, las URL de sus peticiones,
tras sustituir las
{{variables}}en todos los entornos, recalculadas con cada modificación del árbol. - La lista negra rechaza.
- En caso contrario, se muestra una solicitud de autorización.
El punto 3 es lo que hace llevadero el cortafuegos: importar una especificación de trescientas operaciones no provoca trescientas solicitudes, ya que todas esas URL vienen de su proyecto.
La solicitud de autorización
Section titled “La solicitud de autorización”Muestra:
- el origen afectado, en la forma
https://exemple.com:443; - la capa que ha interceptado la llamada;
- una pista sobre el llamante: la URL iniciadora, o un volcado de pila que nombra el paquete npm o el archivo responsable;
- dos botones Allow y Deny.
Cada decisión se conserva en la lista correspondiente.
Si no hay ninguna ventana disponible, o después de 60 segundos sin respuesta, la llamada se rechaza automáticamente.
El panel
Section titled “El panel”Ver ▸ Firewall abre una pestaña única: dos listas, Whitelist (N) y Blacklist (N),
con sus contadores en directo, una línea por regla y su papelera, además de un campo para añadir
con el formato esquema://host:port.
Un botón Test outbound to google.com permite comprobar que el mecanismo funciona.
Las reglas
Section titled “Las reglas”Una regla es un triplete esquema + host + puerto. Los tres son significativos: http no es
https, y :443 no es :8443.
Añadir un origen a una lista lo retira automáticamente de la otra.
Se aceptan dos comodines:
| Forma | Efecto |
|---|---|
https://api.exemple.com:* | Todos los puertos de ese host |
https://*.exemple.com | Los subdominios de un solo nivel |
https://*.exemple.com no cubre ni exemple.com a secas ni a.b.exemple.com.
Casos particulares
Section titled “Casos particulares”- Las llamadas de la actualización automática están exentas: no provocan ninguna solicitud.
- A los hilos de ejecución y procesos hijos se les rechaza todo el tráfico HTTP, sin posibilidad de solicitud ni de sobrescritura mediante la lista blanca. Es una postura defensiva deliberada.
- No hay ningún interruptor general para desactivar el cortafuegos. Es deliberado.
La consola
Section titled “La consola”Cada llamada interceptada aparece en la consola, con su veredicto, en forma de comando de shell copiable.
Por MCP
Section titled “Por MCP”Seis herramientas, todas en edición Community: open_firewall, firewall_list_rules,
firewall_allow, firewall_deny, firewall_list_pending_prompts y
firewall_resolve_prompt. Toda modificación hecha por un agente queda auditada. Consulte
Herramientas MCP.