Cómo funciona Capy

En la mayoría de las apps, un mensaje va de ti al servidor de una empresa, y el servidor lo reenvía. Capy no tiene ese servidor. Tu ordenador se conecta a los ordenadores de las personas de tu sala. La app no hace peticiones a la web, salvo una que tú controlas: tu propio dispositivo busca una página para mostrar la vista previa de un enlace que escribes. Un enlace en el que haces clic en un mensaje se abre en tu propio navegador, como se abriría desde cualquier otra app; las ventanas de Capy no lo cargan.

Para encontrarse, los dispositivos usan una guía telefónica pública que nadie controla, llamada tabla hash distribuida (DHT). Cada sala tiene un tema. Los dispositivos que lo comparten lo buscan, descubren la dirección de los demás y se conectan. Una técnica llamada hole punching hace pasar la conexión por routers y cortafuegos domésticos, y todo lo que viaja por el enlace va cifrado de extremo a extremo.

A veces no se puede hacer una conexión directa, por ejemplo entre dos redes móviles estrictas. Entonces Capy pasa por un relay ciego: un ordenador mantenido por el equipo de Capy que reenvía los bytes cifrados entre los dos dispositivos. No puede leerlos, y solo se usa cuando no se puede hacer una conexión directa. Los archivos grandes y los Archivos de una sala nunca pasan por el relay: esperan un enlace directo.

No hay registro, correo ni contraseña. Cuando empiezas, Capy crea 24 palabras. Son tu identidad. Capy las guarda en tu dispositivo, en un archivo que solo tu cuenta de usuario puede leer, y no las envía a ningún sitio.

A partir de las palabras, Capy deriva una clave de identidad Keet. Cada vez que la app se ejecuta, crea además una clave nueva para este dispositivo, y tu identidad responde por ella. La clave del dispositivo firma todo lo que escribes: mensajes, tu perfil y confirmaciones de lectura. La app de los demás comprueba esas firmas, así que un mensaje sin tu firma no aparece como tuyo, y ningún servidor tiene que decir quién eres.

Escribe las mismas palabras en otro ordenador y encontrará tus otros dispositivos por sí solo, y tus salas llegarán con él. Al cerrar sesión, el dispositivo olvida las palabras y guarda tus salas, salvo las seguras, para cuando vuelvas a escribirlas. Para borrar la copia de este ordenador, Cerrar sesión y borrar, al final de Ajustes → Privacidad y seguridad, quita todo lo que Capy guardó de la cuenta aquí, y tus salas siguen con las demás personas que están en ellas y en tus otros dispositivos.

El dispositivo de cada miembro lleva su propio registro y le añade entradas. Autobase junta todos los registros en un solo orden en el que todos los dispositivos coinciden, y una pequeña base de datos encima (HyperDB) lo convierte en mensajes, perfiles y tareas. No hay una copia central: la sala es la suma de las copias de sus miembros.

Entras con una invitación, un código que pegas o escaneas como código QR. Tu app envía una solicitud, y la app de un miembro que esté en línea comprueba la invitación y te deja entrar. Desde ese momento todo el historial se replica hacia ti, porque el dispositivo de cada miembro guarda una copia.

Ningún dispositivo se fía de un registro solo porque haya llegado. Antes de que valga, cada dispositivo comprueba su forma, su tamaño, su firma y si su autor puede hacer eso, como sacar a alguien o cambiar el nombre de la sala. Un registro que falla se ignora igual en todas partes.

La sala también aguanta a un miembro que intenta romperla. Cada dispositivo limita lo que recibe en directo de cada persona, en la sala y en sus llamadas, y de quien la sala nunca dejó entrar, así que nadie puede inundar las apps de los demás. Si un miembro envía mucho más de lo que envía cualquiera, o algo que no se puede leer, Capy deja de recibir lo que envía en ese ordenador y sigue con lo de todos los demás; la sala lo dice encima del campo del mensaje, y quien creó la sala o un admin puede sacarlo desde ahí. Y nadie puede hacer que tu ordenador pierda otra cosa: Eliminar para todos limpia solo los archivos de ese mensaje, y Quitar de Archivos saca un archivo de la lista sin tocar la copia de nadie más.

Una sala vive en los dispositivos de sus miembros. Si todos están sin conexión, quien vuelve no tiene de quién copiar. Un blind peer cubre ese hueco. Es un ordenador pensado para estar siempre conectado que guarda una copia cifrada de los datos de la sala, archivos del chat de hasta 25 MB incluidos, y se la entrega a los miembros cuando vuelven. Los archivos más grandes y los Archivos de una sala nunca se le entregan. Nunca tiene la clave que abre nada de eso, de ahí lo de ciego.

Capy trae uno, mantenido por el equipo de Capy, y no hay nada que configurar: cada sala se registra en él al abrirse, salvo las salas seguras, que nunca lo hacen. Un blind peer guarda bloques firmados, así que puede conservarlos o descartarlos, pero no cambiarlos.

También guarda las copias selladas de las claves de los mensajes, que permiten abrir un mensaje mientras quien lo escribió está sin conexión (más en almacenamiento).

Las fotos, los vídeos y los archivos entran en una sala con el botón de adjuntar, soltándolos en la ventana o pegándolos. Las fotos se ven en la conversación y se abren en un visor que hace zoom con la rueda del ratón, pellizcando o con sus botones: alejar, acercar, volver a ajustar a la ventana y tamaño real. Los vídeos y los audios se reproducen ahí mismo, y cualquier archivo se puede guardar. Las miniaturas de fotos y vídeos se hacen en tu ordenador.

Hasta 25 MB, un archivo del chat viaja como los mensajes de la sala. Va cifrado con la clave de la sala y llega de quien lo tenga. Cuando dos dispositivos no pueden conectarse directamente, puede pasar por el relay ciego del equipo, que solo reenvía bytes cifrados, y el blind peer del equipo guarda una copia cifrada, para que un miembro que estaba sin conexión lo reciba aunque no haya nadie más conectado. Ninguno de los dos puede abrirlo. Los mensajes de vídeo y de voz tienen el mismo límite de 25 MB.

Hay dos tipos de archivo que no funcionan así. Un archivo de más de 25 MB es un archivo grande, y todo archivo en los Archivos de una sala sigue la misma regla que un archivo grande: solo van por enlaces directos, nunca por los ayudantes del equipo. Por eso solo llegan mientras tú y alguien que tiene el archivo están conectados a la vez. La tabla pone los tres uno al lado del otro.

Un archivo que llega dice cómo va, según lo que mide tu ordenador: cuánto ha llegado, su velocidad, cuánto falta más o menos cuando la velocidad se estabiliza, y desde cuántos ordenadores llega. Cuando aún no puede llegar, dice por qué, como “Esperando a que Ana esté en línea” o “Esperando la clave del mensaje”, y “No se pudo descargar” viene con Intentar de nuevo. Las fotos, los archivos y los mensajes de voz y de vídeo de un mensaje se descargan mientras el mensaje está en tu pantalla.

Un archivo del chat puede tener hasta 10 GB. A partir de 25 MB es un archivo grande, y nunca se descarga solo: su tarjeta muestra el nombre, el tamaño y Descargar. Antes de que empiece una descarga, Capy comprueba que cabe en tu disco. Un archivo grande tiene que ser un archivo de tu ordenador: uno pegado desde el portapapeles puede tener como mucho 25 MB.

Un archivo grande solo va entre dos dispositivos conectados directamente. Nunca pasa por el relay ciego del equipo, y el blind peer nunca lo guarda. Así que solo se mueve mientras quien lo envió, o alguien que tiene el archivo entero, está conectado y se le puede alcanzar directamente. Cuando no hay nadie, la descarga espera y la tarjeta dice “Esperando a que … esté conectado contigo”, con el nombre de quien lo envió.

Una descarga se puede pausar y reanudar, conservando lo que ya llegó, o cancelar, lo que limpia lo que llegó. Mientras se mueve, y mientras envías uno, la tarjeta muestra cuánto ha pasado, la velocidad y, cuando la velocidad se estabiliza, cuánto falta más o menos. Los Archivos de una sala siguen estas mismas reglas con todos los archivos, sea cual sea su tamaño: un archivo de ahí solo te llega mientras tú y un miembro que lo tiene están conectados a la vez.

Además de lo que se envía en el chat, una sala tiene una pestaña Archivos: un árbol de carpetas y archivos que las personas de la sala mantienen juntas. Cualquiera en la sala puede subir un archivo o una carpeta entera con sus subcarpetas, crear carpetas, cambiar nombres y mover cosas, y poner una versión nueva de un archivo sobre la anterior.

El dispositivo de cada miembro escribe lo que añade en un drive propio para esa sala, un Hyperdrive. El registro de la sala guarda registros firmados que colocan cada archivo en el árbol compartido: dónde va, su tamaño, una huella de su contenido, quién lo añadió y cuándo. Cada dispositivo comprueba esos registros antes de mostrarlos, como hace con los mensajes.

En Archivos nada se descarga solo. Un archivo o una carpeta llega cuando pulsas Descargar, con pausar, reanudar y cancelar, y solo por enlaces directos, sea cual sea su tamaño: el relay del equipo nunca lleva estos archivos y el blind peer nunca los guarda. Así que un archivo solo se mueve mientras tú y alguien que lo tiene están conectados a la vez: si quien lo añadió está desconectado y nadie más lo tiene, espera hasta que los dos estén conectados. Las subidas y descargas muestran cuánto llevan, la velocidad y, cuando se estabiliza, cuánto falta más o menos.

Cuando escribes un enlace en el cuadro de mensaje, Capy prepara una tarjeta de vista previa: el título de la página, una descripción corta, el nombre del sitio y una imagen pequeña. Para prepararla, tu ordenador busca esa página. La tarjeta aparece en el cuadro de mensaje con una ×, para que la quites antes de enviar si quieres.

Después, la vista previa viaja dentro de tu mensaje firmado. Las demás personas de la sala nunca buscan nada: sus dispositivos no contactan con el sitio, y todos ven la misma tarjeta, también quienes estaban sin conexión cuando la enviaste.

Es la única vez que Capy busca una página web, y ocurre en el proceso de fondo de la app: las ventanas de la app siguen sin hacer peticiones a la web. Capy solo busca direcciones http y https, nunca una de tu propia red o de tu ordenador, lo comprueba de nuevo en cada redirección (tres como máximo) y se detiene a los 5 segundos, 512 KB de página o 2 MB de imagen. La imagen se convierte en una imagen pequeña en tu dispositivo.

Todo vive en los dispositivos de los miembros, en una carpeta que la app mantiene (un Corestore). Capy no tiene una base de datos central. Las fotos, los vídeos y los archivos enviados en el chat van en cores propios, cifrados con la clave de la sala para que un blind peer no pueda leerlos. Los Archivos de una sala van en el drive propio de cada miembro, que el blind peer nunca recibe.

Cada mensaje se sella con una clave solo suya. Esa clave nunca está en el registro de la sala. Está en un archivo aparte en cada dispositivo y solo viaja hacia los miembros, por las conexiones cifradas de la sala.

Para que un mensaje se abra mientras su autor está fuera, cada dispositivo publica una prekey nueva cada día. El autor sella la clave de cada mensaje para las prekeys de los demás dispositivos, y los blind peers guardan esas copias. Solo el dispositivo dueño de una prekey puede abrir su copia.

Una sala segura es para 2 a 8 personas. Tiene su propia carpeta y su propio almacén, que no comparte con nada más de la app, y no guarda nada salvo el chat: ni archivos, ni transcripciones, ni actas, ni notas, ni IA.

Su clave se crea en el dispositivo de quien la creó y se guarda en un único archivo del dispositivo que solo tu cuenta de usuario puede leer, sellado con el llavero del sistema donde lo hay (el Llavero en un Mac, DPAPI en Windows, el secret service en Linux), así que una copia del archivo no sirve fuera de tu sesión. Se queda ahí aunque cierres y reinicies. La sala se borra para todos cuando termina la llamada, así que nadie empieza una llamada allí a solas: el botón de llamada e Iniciar llamada en la sala de espera esperan a que otro miembro esté en línea, y dicen “Inicia la llamada cuando haya alguien más aquí”. Unirse a una llamada que ya está en marcha siempre funciona. Si ninguna llamada la termina, se borra un día después de crearse, un límite de seguridad que nadie configura: crear una sala segura solo pregunta cuántas personas caben. Quien la creó puede borrarla en cualquier momento, y cerrar sesión la borra en ese dispositivo. Borrar limpia cada core de su almacén y elimina la carpeta, con el archivo de la clave incluido.

Una sala segura no anuncia ningún tema, así que no se puede encontrar en la DHT. Los miembros se conectan directamente entre sí por clave. Nunca entra en la lista de tu cuenta y nunca se entrega a un blind peer. Mientras hay una abierta, Capy pide a macOS y Windows que dejen sus ventanas fuera de las capturas de pantalla, las grabaciones y la pantalla compartida, algo que algunas herramientas de captura pueden no respetar. Linux no puede hacerlo, y Capy lo dice. En un Mac, su carpeta se marca para que Time Machine la deje fuera de las copias de seguridad.

Tu micrófono se codifica como audio Opus y tu cámara como vídeo VP8. Ambos se cortan en paquetes pequeños y se envían directamente a los demás de la llamada, por las mismas conexiones cifradas que usa la sala, como mensajes sin orden que no esperan unos a otros.

Una llamada admite hasta 16 personas a la vez, y la de una sala segura las 2 a 8 para las que se creó; la sala en sí puede tener más miembros. Cada dispositivo da los sitios en el orden en que vio a la gente unirse a la llamada, guarda el sitio hasta que esa persona sale, e intercambia el audio y el vídeo de la llamada solo con quien tiene sitio. Cuando una llamada está llena, Unirse dice “Esta llamada está llena · 16 de 16”, y quien se unió en el mismo momento que el último sitio ve “La llamada se llenó justo antes que tú” y puede unirse cuando alguien salga.

Una llamada se adapta a la conexión sobre la marcha. El vídeo, de una cámara o de una pantalla compartida, empieza a más o menos la mitad de su tasa y sube mientras la conexión sigue bien, y baja cuando empeora o se siguen perdiendo fotogramas. El sonido espera un poco más a las voces que llegan tarde, y vuelve a lo normal cuando dejan de llegar tarde. Mientras una llamada va mal, la IA que solo la sigue en tu ordenador (el resumen en directo, las sugerencias y la traducción de los subtítulos) espera, para que la llamada tenga el ordenador primero.

Las métricas de la llamada tampoco vienen de un servidor. En tu ordenador, un detector de voz nota cuándo hablas. Tu dispositivo lo escribe, firmado, en la sala: por lotes, cada 5 segundos y cuando te vas. Cada dispositivo calcula entonces el reparto de palabra y las interrupciones a partir de los mismos registros, así que todas las pantallas muestran los mismos números, también para quien se unió tarde.

La señal de conexión, las barras en los recuadros y la tarjeta en la sala de espera y en Análisis de la llamada, sale de lo que Capy mide de verdad: el tiempo de ida y vuelta, lo que tarda un mensaje pequeño en llegar a otro dispositivo y volver, y la pérdida, cuántos paquetes no llegan. Cada paquete de audio y de vídeo lleva un número, así que el dispositivo que los recibe sabe cuáles llegaron, cuáles se perdieron y cuáles llegaron tarde. Un tiempo de ida y vuelta en la red no es el retraso que oyes en una llamada, así que Capy no lo muestra como si lo fuera: ves las barras, o Buena, Regular o Mala con una frase sencilla, como “Según una prueba rápida, el video puede trabarse. Las voces deberían ir bien.”

Cuando otra persona comparte una pantalla o presenta un PDF, ocupa tu pantalla, pero nadie está obligado a verlo: Minimizar lo guarda en un chip en la parte superior de la llamada, con la página si es un PDF, y Mostrar lo trae de vuelta. Si minimizas a la misma persona una segunda vez, lo que comparta queda minimizado el resto de la llamada, y puedes deshacerlo. En el canvas, Esc primero deja de seguir a quien lo dirige y luego también lo minimiza. Solo cambia tu vista: no se envía nada de esto, y quien presenta no se entera.

Nadie aloja una llamada. Cualquiera puede avanzar la ronda, marcar una decisión o editar las notas. El creador de la sala, o un admin, puede silenciar o sacar a alguien, y cada app obedece solo a ellos.

La IA de Capy es QVAC, la IA local de Tether. Eliges y descargas cada modelo una vez en Ajustes → Notas e IA, y llega por la red peer-to-peer, no desde una web. Hasta que descargues uno, esas funciones siguen apagadas. Los modelos corren entonces en un segundo proceso de tu ordenador.

Nadie te transcribe salvo tú. Con la transcripción activada, tu ordenador convierte tu propia voz en texto con Whisper o Parakeet y firma cada frase en la sala. El texto se comparte con la sala: eso es la transcripción. El audio no se guarda.

Cuando una llamada termina para ti, tu ordenador hace el resto por sí solo, si tiene un modelo de actas: primero tu propia acta, después las decisiones, tareas y preguntas sin respuesta que encontró, para que las añadas con un clic, y luego los capítulos de la transcripción. Nunca lo hace mientras estás en otra llamada, y si Capy se cerró antes, lo hace la próxima vez que se abra, con las llamadas de los dos últimos días. Tu acta se queda en tu ordenador y aparece primero en las notas de la llamada. Si la sala aún no tiene acta de esa llamada, la tuya se comparte con ella, así que quien no tiene modelo, o usa un Capy más antiguo, sigue teniendo una que leer, y Capy muestra de quién es. El acta y las sugerencias tienen cada una su interruptor en Ajustes → Notas e IA.

No hay servidor de actualizaciones. El equipo de Capy publica cada versión en la red Pear, y la app la descarga de otros ordenadores que ya la tienen, igual que se replica una sala. Tu app comprueba al abrir. Cuando aparece una versión nueva con la app abierta, Capy la busca tras una espera corta y aleatoria, de unos pocos minutos como mucho.

Cuando termina la descarga, una tarjeta en la barra lateral ofrece Reiniciar ahora. En una llamada espera: la tarjeta ofrece reiniciar cuando termine la llamada, y solo reinicia en el momento si eliges Reiniciar ahora de todos modos. Una versión de producción necesita un quórum de las claves de firma del equipo, así que una sola clave no puede lanzar una actualización.

En macOS y Linux, una actualización por la que nadie reinicia se instala sola. Cuando lleva lista dos horas con Capy abierto (el tiempo en reposo no cuenta), Capy espera un momento tranquilo: ninguna llamada ni ninguna sonando, ninguna sala segura en pantalla, ningún archivo enviándose o descargándose, nada grabándose, y tú lejos del ordenador desde hace tres minutos o su ventana fuera de la vista. Entonces la tarjeta cuenta un minuto hacia atrás, con Reiniciar ahora y Ahora no. Ahora no lo aplaza al menos una hora, hasta tres veces, y una llamada que empieza detiene la cuenta atrás. La próxima vez que Capy se abra, dice que se actualizó mientras no estabas. En Windows nunca se reinicia solo.

Si una versión nueva no arranca dos veces seguidas, Capy vuelve a poner la app anterior y no intenta esa versión de nuevo hasta que llegue una más reciente. En un Mac fuera de Aplicaciones, Capy se ofrece a moverse allí para poder reemplazarse más tarde.

Las versiones anteriores a la 1.0.8 podían esperar hasta una hora para eso. Cerrar y volver a abrir Capy comprueba en el acto.

Capy funciona en dos partes en tu ordenador: la ventana que ves y una parte en segundo plano que guarda tus salas y habla con los demás dispositivos. Un error ya no detiene la parte en segundo plano: se anota, y lo demás sigue. Si aun así se detiene, Capy la vuelve a iniciar por sí solo, tras 1, 5 y luego 30 segundos, y la ventana dice “Reconectando…” y después “Capy se volvió a conectar”. Tras tres intentos seguidos, se detiene y ofrece Reiniciar.

La ventana también se cuida sola. Si se cae, vuelve a cargarse, hasta tres veces en dos minutos, y si deja de responder durante 10 segundos, Capy pregunta si quieres esperar o volver a cargarla. Un mensaje que Capy no puede mostrar aparece como “No se pudo mostrar este mensaje”, mientras el resto de la sala se ve con normalidad, y si tu micrófono, tu cámara, tu pantalla compartida o el sonido se detienen en una llamada, Capy lo dice y cómo volver a activarlos.

Cuando la ventana vuelve a cargarse, lo que estabas escribiendo en una sala vuelve, y también un mensaje que enviaste mientras la parte en segundo plano no estaba, hasta que la sala lo muestra. En una sala segura no se guarda nada para eso.

Los errores se quedan en tu ordenador y no van a ningún sitio salvo que envíes un informe desde Ajustes → Ayuda y comentarios, donde ves antes exactamente lo que se envía. En un informe, cada error dice en qué versión de Capy ocurrió y el más reciente va primero, y la lista de tu ordenador empieza de cero tras una actualización. Para una llamada que fue mal, un informe también puede llevar un registro, segundo a segundo, de hasta sus últimos 15 minutos: si el enlace era directo o por el relay, el tiempo de ida y vuelta, la pérdida, el jitter, la tasa de envío, lo ocupada que estaba la app y qué tareas de IA estaban en marcha, sin nombres, claves ni direcciones.