Cómo funciona Capy

En la mayoría de las apps, un mensaje va de ti al servidor de una empresa, y el servidor lo reenvía. Capy no tiene ese servidor. Tu ordenador se conecta a los ordenadores de las personas de tu sala, y la propia app no hace ninguna petición a la web.

Para encontrarse, los dispositivos usan una guía telefónica pública que nadie controla, llamada tabla hash distribuida (DHT). Cada sala tiene un tema. Los dispositivos que lo comparten lo buscan, descubren la dirección de los demás y se conectan. Una técnica llamada hole punching hace pasar la conexión por routers y cortafuegos domésticos, y todo lo que viaja por el enlace va cifrado de extremo a extremo.

A veces no se puede hacer una conexión directa, por ejemplo entre dos redes móviles estrictas. Entonces Capy pasa por un relay ciego: un ordenador siempre encendido, mantenido por el equipo de Capy, que reenvía los bytes cifrados entre los dos dispositivos. No puede leerlos, y solo se usa cuando no se puede hacer una conexión directa.

No hay registro, correo ni contraseña. Cuando empiezas, Capy crea 24 palabras. Son tu identidad. La única copia se queda en tu dispositivo, en un archivo que solo tu cuenta de usuario puede leer, y no se envía nada a ningún sitio.

A partir de las palabras, Capy deriva una clave de identidad Keet. Cada vez que la app se ejecuta, crea además una clave nueva para este dispositivo, y tu identidad responde por ella. La clave del dispositivo firma todo lo que escribes: mensajes, tu perfil y confirmaciones de lectura. La app de los demás comprueba esas firmas, así que nadie puede escribir como tú y ningún servidor tiene que decir quién eres.

Escribe las mismas palabras en otro ordenador y encontrará tus otros dispositivos por sí solo, y tus salas llegarán con él. Al cerrar sesión, el dispositivo olvida las palabras. Vuelve a escribirlas para entrar de nuevo.

El dispositivo de cada miembro lleva su propio registro y le añade entradas. Autobase junta todos los registros en un solo orden en el que todos los dispositivos coinciden, y una pequeña base de datos encima (HyperDB) lo convierte en mensajes, perfiles y tareas. No hay una copia central: la sala es la suma de las copias de sus miembros.

Entras con una invitación, un código que pegas o escaneas como código QR. Tu app envía una solicitud, y la app de un miembro que esté en línea comprueba la invitación y te deja entrar. Desde ese momento todo el historial se replica hacia ti, porque el dispositivo de cada miembro guarda una copia.

Cualquier miembro podría estar usando un Capy modificado, así que ningún dispositivo se fía de un registro solo porque haya llegado. Antes de que valga, cada dispositivo comprueba su forma, su tamaño y su firma. Un registro que falla se ignora igual en todas partes.

Una sala vive en los dispositivos de sus miembros. Si todos están sin conexión, quien vuelve no tiene de quién copiar. Un blind peer cubre ese hueco. Es un ordenador siempre encendido que guarda una copia cifrada de los datos de la sala, archivos incluidos, y se la entrega a los miembros cuando vuelven. Nunca tiene la clave que abre nada de eso, de ahí lo de ciego.

Capy trae uno, mantenido por el equipo de Capy, y no hay nada que configurar: cada sala se registra en él al abrirse, salvo las salas seguras, que nunca lo hacen. Un blind peer guarda bloques firmados, así que puede conservarlos o descartarlos, pero no cambiarlos.

También guarda las copias selladas de las claves de los mensajes, que permiten abrir un mensaje mientras quien lo escribió está sin conexión (más en almacenamiento).

Todo vive en los dispositivos de los miembros, en una carpeta que la app mantiene (un Corestore). Capy no tiene una base de datos en ningún sitio. Las fotos, los vídeos y los archivos van en cores propios, cifrados para que un blind peer no pueda leerlos.

Cada mensaje se sella con una clave solo suya. Esa clave nunca está en el registro de la sala. Está en un archivo aparte en cada dispositivo y solo viaja hacia los miembros, por las conexiones cifradas de la sala.

Para que un mensaje se abra mientras su autor está fuera, cada dispositivo publica una prekey nueva cada día. El autor sella la clave de cada mensaje para las prekeys de los demás dispositivos, y los blind peers guardan esas copias. Solo el dispositivo dueño de una prekey puede abrir su copia.

Una sala segura es para 2 a 8 personas. Tiene su propia carpeta y su propio almacén, que no comparte con nada más de la app, y no guarda nada salvo el chat: ni archivos, ni transcripciones, ni actas, ni notas, ni IA.

Su clave se crea en el dispositivo de quien la creó y se guarda en un único archivo del dispositivo que solo tu cuenta de usuario puede leer. Se queda ahí aunque cierres y reinicies. La sala se borra cuando termina la llamada (lo habitual), cuando se acaba su plazo (un día por defecto, una semana como máximo), cuando su creador la borra o cuando cierras sesión. Borrar limpia cada core de su almacén y elimina la carpeta, con el archivo de la clave incluido.

Una sala segura no anuncia ningún tema, así que no se puede encontrar en la DHT. Los miembros se conectan directamente entre sí por clave. Nunca entra en la lista de tu cuenta y nunca se entrega a un blind peer. Mientras hay una abierta, las ventanas de Capy quedan fuera de las capturas de pantalla, las grabaciones y la pantalla compartida en macOS y Windows. Linux no puede hacerlo, y Capy lo dice.

Tu micrófono se codifica como audio Opus y tu cámara como vídeo VP8. Ambos se cortan en paquetes pequeños y se envían directamente a los demás de la llamada, por las mismas conexiones cifradas que usa la sala, como mensajes sin orden que no esperan unos a otros.

Las métricas de la llamada tampoco vienen de un servidor. En tu ordenador, un detector de voz nota cuándo hablas. Tu dispositivo lo escribe, firmado, en la sala: por lotes, cada 5 segundos y cuando te vas. Cada dispositivo calcula entonces el reparto de palabra y las interrupciones a partir de los mismos registros, así que todas las pantallas muestran los mismos números, también para quien se unió tarde.

Nadie aloja una llamada. Cualquiera puede avanzar la ronda, marcar una decisión o editar las notas. El creador de la sala, o un admin, puede silenciar o sacar a alguien, y cada app obedece solo a ellos.

La IA de Capy es QVAC, la IA local de Tether. Eliges y descargas cada modelo una vez en Ajustes → Notas e IA, y llega por la red peer-to-peer, no desde una web. Hasta que descargues uno, esas funciones siguen apagadas. Los modelos corren entonces en un segundo proceso de tu ordenador.

Nadie te transcribe salvo tú. Con la transcripción activada, tu ordenador convierte tu propia voz en texto con Whisper o Parakeet y firma cada frase en la sala. El texto se comparte con la sala: eso es la transcripción. El audio no se guarda.

Cuando termina una llamada, la última persona en salir escribe el acta con un modelo de lenguaje en su propio ordenador, si tiene un modelo de actas. El acta aparece en la sala como una tarjeta que cualquiera puede abrir.

No hay servidor de actualizaciones. El equipo de Capy publica cada versión en la red Pear, y la app la descarga de otros ordenadores que ya la tienen, igual que se replica una sala. Tu app comprueba al abrir y de nuevo cuando aparece una versión nueva.

Cuando termina la descarga, una tarjeta en la barra lateral ofrece Reiniciar. Nunca reinicia en mitad de una llamada. Una versión de producción necesita un quórum de las claves de firma del equipo, así que una sola clave no puede lanzar una actualización.

Si una versión nueva no arranca dos veces seguidas, Capy vuelve a poner la app anterior y no intenta esa versión de nuevo hasta que llegue una más reciente. En un Mac fuera de Aplicaciones, Capy se ofrece a moverse allí para poder reemplazarse más tarde.