Privacidad de Tsuba
Qué guarda Tsuba en tu Mac, qué envía por la red y cuándo, y qué no hace nunca.
- Actualizado
En resumen: Tsuba no tiene cuentas, ni telemetría, ni estadísticas de uso, ni informes de fallos. Lo que registra se queda en tu Mac. Solo se conecta a internet para revisar el código que tiene delante y para mantener al día su inteligencia de amenazas, y el paso de IA está desactivado hasta que lo configures.
Qué se queda en tu Mac
Todo lo que Tsuba registra vive en ~/.tsuba, en tu carpeta de inicio:
- los ajustes, incluidas las claves de API que añadas
- el historial de cada comprobación y sus evidencias
- los archivos en cuarentena (
~/.tsuba/quarantine) - la inteligencia de amenazas descargada (
~/.tsuba/intel)
Nada de esto se sube a ningún sitio. Para borrar todo lo que Tsuba ha guardado, elimina ~/.tsuba.
Qué sale de tu Mac, y cuándo
| Qué se envía | A dónde | Cuándo |
|---|---|---|
| Nombres y versiones de las dependencias de un proyecto | OSV, la base de datos abierta de vulnerabilidades | Cuando instalas o escaneas un proyecto, para buscar los paquetes en listas de paquetes maliciosos conocidos |
| Un nombre de paquete | El registro de npm | Para comprobar lo reciente que es un paquete y si ejecuta scripts de instalación |
| Un nombre de dominio | rdap.org | Para comprobar hace cuánto se registró un dominio de descarga |
| El hash SHA-256 de un archivo, nunca el archivo | VirusTotal | Solo si añades tu propia clave de API de VirusTotal |
| Nada sobre ti ni sobre tu código | GitHub (paquetes maliciosos de OpenSSF), la lista del marketplace de VS Code, abuse.ch (solo con tu propia clave) | Descargas diarias de inteligencia de amenazas |
| El script o instalador que ibas a ejecutar | El sitio del que venía | Tsuba lo descarga para leerlo sin ejecutarlo, la misma petición que ibas a hacer tú |
| Las evidencias que necesita una comprobación | El proveedor de IA que elegiste | Solo cuando la IA está activada |
El paso de IA
La revisión con IA es opcional y está desactivada hasta que eliges un proveedor: Claude (a través de Claude Code o de la API de Anthropic), OpenAI, DeepSeek, DashScope de Alibaba Cloud, Google Gemini o un modelo que se ejecute en local. Con un modelo local, nada sale de tu Mac.
Cuando está activada, Tsuba envía solo las evidencias que necesita una única comprobación: las líneas sospechosas, de dónde vienen y qué coincidió. Antes se quitan los comentarios del código. Los valores de las variables de entorno, las claves de API y los tokens nunca se incluyen, y tampoco aparecen en los registros del propio Tsuba. A lo que recibe ese proveedor se le aplica su propia política de privacidad.
Lo que Tsuba no hace nunca
- Nunca sube tus archivos ni tus proyectos.
- No tiene telemetría, analítica ni informes de fallos, así que el desarrollador no puede ver quién lo usa ni cómo.
- No muestra anuncios y no vende nada.
Tsuba es de código abierto (en GitHub, Apache 2.0), así que todo lo anterior se puede comprobar en el código. Las preguntas van a GitHub Issues.