Seguridad

Parla trabaja con tu micrófono, así que está hecho para que sea difícil abusar de él. Tu voz nunca sale de tu dispositivo, la extensión pide lo mínimo posible y cada pieza de código que publicamos se fija, se analiza y se prueba antes de llegar a ti.

Mientras usas Parla

Tu voz se limpia en tu dispositivo, dentro del navegador. Parla no tiene ningún servidor que reciba audio, ni cuentas o contraseñas que puedan robarse.
El motor es código nuestro, escrito en Rust sin bibliotecas de terceros, y se ejecuta como WebAssembly en el entorno aislado (sandbox) del navegador. Los modelos de IA son datos (números), no programas: ningún código de los autores de los modelos se ejecuta en tu ordenador.
La extensión pide solo lo que necesita para limpiar un micrófono: guardar sus ajustes y ejecutarse en las páginas donde usas el micrófono. Sus propias páginas solo ejecutan sus propios scripts (una política de seguridad de contenido, Content Security Policy, estricta).
Las páginas web solo llegan a la extensión por un canal estrecho: reciben los archivos del motor y nada más, y todo lo que envían se comprueba y tiene un tamaño limitado.
Los informes están desactivados hasta que tú los actives. Son anónimos y cada campo aparece en nuestra documentación.

De nuestro código a tu navegador

Todo lo que usa la compilación está fijado a una versión exacta y se verifica por su huella: las GitHub actions por commit, las imágenes de contenedor por digest, las descargas por SHA-256, los paquetes de npm y Python por lockfile.
No entra ninguna versión publicada hace menos de 3 días. La mayoría de las versiones maliciosas de paquetes se detectan y retiran en pocos días, así que dejamos que las descubran primero. Las actualizaciones automáticas esperan una semana, y cada una se compila y se prueba antes de aceptarla.
Nunca se permite que los paquetes ejecuten scripts de instalación, y las firmas del registro de npm se verifican en cada compilación.
Solo nuestro proceso automatizado compila las versiones, desde la rama principal. Las credenciales de las tiendas y de npm se guardan en un entorno protegido que solo puede usar el paso de publicación, y la compilación no conserva el token de acceso del repositorio.

Comprobado en cada cambio

Análisis estático: CodeQL revisa el TypeScript, el motor en Rust y los flujos de compilación; zizmor audita los flujos.
Un análisis dinámico del sitio web (OWASP ZAP) en cada cambio y cada semana.
Se bloquea cualquier cambio que añada un paquete con una vulnerabilidad conocida, y las alertas de Dependabot vigilan cada lockfile.
Detección de secretos con protección de push: GitHub rechaza cualquier commit que contenga una contraseña o una clave.
Código con tipado estricto (TypeScript y Python) y pruebas automáticas en Chrome y Firefox antes de cada versión.

¿Has encontrado un problema?

Avísanos en privado: informa de una vulnerabilidad en GitHub. Así se puede corregir antes de hacerse público.

Todo lo que dice esta página se puede comprobar: el código, el proceso de compilación y los controles de seguridad son de código abierto. Cómo se compilan y comprueban las versiones