Solo lectura, nunca clonado,
y ningún token en la base de datos.

Una etiqueta <script> en el README de alguien se ejecutaría si no en nuestro origen, con la sesión del lector. Cada documento se sanea en el servidor según una lista permitida antes de guardarse como HTML — no se filtra al renderizar, donde una sola ruta que lo olvide es una ruta que entrega un exploit.

El Markdown en bruto sigue siendo la fuente de verdad. El HTML renderizado es solo una caché, indexada por el hash del contenido y una versión del renderizador, así que endurecer el renderizador lo invalida todo de una vez y no hay nada que migrar.

Una sola llamada a la API devuelve la estructura de carpetas más un hash de contenido por archivo. No hay binario de git, ni copia de trabajo, ni nada escrito en disco. Solo se descargan blobs Markdown, y solo dentro de la raíz de la documentación — un archivo fuente es un nombre que podemos ver en una ruta, nunca un contenido que descargamos.

Las imágenes de un repository privado se sirven a través de un proxy autenticado en lugar de enlazarse directamente, así que cargan para quienes pueden verlas y para nadie más.

Una sesión OAuth lleva el token de GitHub del usuario, así que una cookie solo firmada sería legible. Las cookies se cifran; las contraseñas se procesan con Argon2 detrás de un puerto, nunca con una biblioteca cuya dependencia retiró Python.

La revocación es real y no nominal. Cada petición autenticada compara una época en la fila de la cuenta, que es el precio honesto de retirar una credencial que lleva su propia validez — una cookie descifrada no es una cookie autenticada. Cerrar sesión en todos los dispositivos es una sola acción, y desconectar GitHub invalida las sesiones que llevaban su token en lugar de dejarlas funcionando hasta que caduquen.

Hay una lista de sesiones: una etiqueta de plataforma aproximada y una dirección truncada a un /24. Sin ciudad, sin país y sin suposiciones sobre si un inicio de sesión fue inusual — eso exige una base de geolocalización o un modelo de lo habitual, e inventar cualquiera de los dos es como una lista de dispositivos empieza a informar de incidentes que nunca ocurrieron.

Unirse a una organización no da acceso a ningún documento. Un miembro lee un proyecto mediante un acceso de equipo o uno directo; alguien sin equipo ni acceso no lee nada en absoluto. No hay ningún ajuste de visibilidad que dé acceso a todos en silencio.

El acceso se resuelve en el servidor, en la única consulta por la que ya pasa cada ruta de lectura. Un repository al que perdiste el acceso responde 404 — igual que uno que nunca existió, así que la respuesta no sirve para averiguar qué existe.

No se compara ningún rol en TypeScript. Incluso las respuestas fila a fila de «¿se puede quitar a esta persona?» que muestra la pantalla de miembros se calculan en el servidor, así que ninguna copia de la jerarquía llega al cliente para desviarse.

Un host de GitLab autogestionado es una URL que un cliente escribe y que el servidor luego consulta, lo que es una primitiva SSRF. Las comprobaciones son predicados puros: solo https, cada dirección resuelta contrastada con los rangos privados, de loopback, link-local y reservados, y las redirecciones rechazadas de entrada en lugar de seguirlas y volver a comprobarlas.

El orden de un webhook es fijo y nunca se reorganiza: cuerpo en bruto, luego la firma comparada en tiempo constante, luego el análisis. Leer un payload antes de verificarlo es analizar algo que envió un desconocido.

La dirección del cliente es configuración, no una cabecera. Por defecto, las cabeceras reenviadas se ignoran por completo; donde se cuentan los proxies, la dirección se toma del extremo que quien llama no puede ampliar añadiendo valores delante.

Una clave puede llevar un estado de revisión mínimo, y los documentos por debajo responden 404 en todas las puertas — incluidas las rutas de lectura, porque un umbral que se detiene en una superficie es un umbral con una segunda puerta de entrada. Vive en la credencial y no en un argumento de herramienta: un filtro que pasa el agente es un filtro que un prompt puede convencerle de no pasar.

Ninguna herramienta de esa superficie modifica un documento del repository, cierra la nota de un revisor, borra un artifact ni hace a un modelo una pregunta libre. Son ausencias, no ajustes — no hay ninguna opción que un administrador pueda conceder, y esa es la idea.

Es la única vía de salida que lleva contenido del cliente, y el interruptor está desactivado por defecto — activarlo por defecto habría hecho que cada organización existente enviara documentos a un tercero solo porque hubo un despliegue. Activarlo queda escrito en el registro de auditoría.

Un documento vacío no hace ninguna llamada: pedirle a un modelo que no invente es una petición, mientras que no llamarlo es una garantía. Un proveedor nombrado sin su clave se niega en lugar de devolver texto de relleno, porque un resumen inventado guardado contra contenido real se sirve como real hasta que ese contenido cambia.

Nunca después del commit, nunca en la medida de lo posible, nunca desde un trabajo en segundo plano. Si el cambio se revierte, el registro se va con él, y si el registro no se puede escribir, el cambio no se aplica. El nombre del autor y la etiqueta del sujeto se copian en la fila, porque un equipo borrado tiene que seguir leyéndose como el equipo que fue.

El registro se puede filtrar y exportar, y se conserva durante el periodo que fija tu plan. Nada puede borrar una sola fila — quien pueda quitar una fila puede quitar la que importa.