sergio/takana

1# atuq 0.1.0 — el navegador de la distro, como ARTEFACTO DERIVADO de firefox.
2#
3# ══ POR QUÉ DERIVADO Y NO UN FORK DE FUENTE ════════════════════════════════════════════════════
4# Zen —el fork de Firefox al que esto reemplaza en nuestro catálogo— parchea el árbol de Gecko y
5# recompila. Nosotros no distribuimos un binario: sellamos artefactos. Entonces atuq puede DEPENDER
6# de `firefox` y poner su capa encima, y eso cambia el precio de todo:
7#   · una iteración de chrome cuesta SEGUNDOS, no las cuatro horas de un build de Gecko;
8#   · no mueve el `ArtifactHash` de `firefox` ⇒ el corpus no se invalida;
9#   · las CVE se heredan gratis: cuando sube `firefox`, atuq se reconstruye solo.
10# El razonamiento completo, con lo que se promete y lo que NO (spoiler: no habrá «modo Tor»), está
11# en `docs/26-atuq-envoltorio-gecko.md`.
12#
13# ══ SU FUENTE ES ESTE REPO ═════════════════════════════════════════════════════════════════════
14# `source.dir` es el modo de fuente que se agregó para esto (takana-core/src/recipe.rs): el árbol
15# vive en `recipes/atuq/` y se hashea por CONTENIDO con `ArtifactHash::of_tree`, igual que ya se
16# hacía con los `patches`. No hay commit que pinear y no hay fetch: editar un CSS mueve el hash.
17#
18# ⚠ **Y MUEVE EL HASH CUALQUIER FICHERO DEL ÁRBOL, INCLUIDOS LOS QUE `git` NO VE.** Medido el
19# 2026-09-18: el hub y el worker calculaban `b3:e556024b` para esta receta y un clon limpio
20# `b3:5156cb8f`, con los 52 ficheros versionados BYTE A BYTE IGUALES en las tres máquinas. La
21# diferencia era **un solo fichero de más**: `tools/__pycache__/rebrand.cpython-314.pyc`, bytecode
22# que dejó alguien al correr `rebrand.py` dentro del repo. Comprobado en los dos sentidos —metiendo
23# y sacando ese `.pyc` el hash salta de uno a otro—.
24#
25# Lo que lo hace traicionero es que `__pycache__/` **está en `.gitignore`**: git no lo muestra, así
26# que el árbol se ve limpio en `git status` mientras el hash ya es otro. Y el artefacto que estaba
27# sellado en el store era el de `e556024b`, o sea **uno que un clon limpio no puede reproducir
28# jamás**. Es la regla 3 de CLAUDE.md invertida: no un vacío que pasa por lleno, sino basura
29# invisible que pasa por fuente.
30#
31# `ArtifactHash::of_tree` no sabe nada de `.gitignore` — y son dos cosas distintas a propósito: lo
32# que no se versiona y lo que no entra al hash no tienen por qué coincidir. Pero hoy no coinciden
33# **por descuido**, no por decisión. Hasta que eso se decida (ver el ADR que toque), las cuatro
34# recetas con `source.dir` —`atuq`, `firmware-tigerlake`, `os-release`, `wasi-sdk`— se hashean con
35# lo que haya en el directorio, y conviene comprobarlo antes de creerle a un sello:
36#
37#     find recipes/atuq -type f | wc -l      # 52 · si da más, algo se coló
38#
39# ══ v0.2: EL BRANDING VIVE DENTRO DEL ZIP ══════════════════════════════════════════════════════
40# La v0.1 dejó el branding fuera porque había que mirar el árbol real antes de adivinar. Ya se miró,
41# y lo que se encontró decide la forma de esta versión:
42#
43#   · `application.ini` del appdir arranca con el comentario «This file is not used». Es HERENCIA
44#     del árbol de desarrollo: en un build empaquetado el launcher SÍ lo lee. `rebrand.py` no le
45#     cree al comentario, comprueba que las claves estén y falla si no.
46#   · Las cadenas que la gente VE están dentro de `browser/omni.ja` (`brand.ftl`), así que sin
47#     re-empacar el zip no hay branding posible. Y el original dice **Nightly**, no «Firefox»,
48#     porque construimos con `--with-branding=browser/branding/unofficial`.
49#   · Los ICONOS, en cambio, están FUERA del zip (`browser/chrome/icons/default/`) ⇒ se reemplazan
50#     sin tocarlo.
51#   · `browser/omni.ja` son 56 MB con TODAS sus entradas sin comprimir y con `date_time` ya
52#     normalizado a 2010-01-01: Mozilla también persigue reproducibilidad. El re-empaque preserva
53#     orden, método y fecha — el orden porque es el que Gecko lee al arrancar, y es lo que el
54#     `jarlog` del PGO refinará cuando exista.
55# ══ v0.5: PROXY POR CONTENEDOR (SDD 26 §6.8) ═══════════════════════════════════════════════════
56# El primer DIFERENCIADOR de la lista del §6 que se paga entero acá, sin depender del host de
57# native messaging (§7) ni de nada de tawasuyu: es API de Firefox y nada más. Cada contenedor
58# —Personal, Trabajo, Banco, Compras— puede salir por su propio proxy.
59#
60# Son tres piezas y ninguna alcanza sola:
61#   · `atuq.cfg` prende los contenedores (`privacy.userContext.enabled`), que vienen apagados;
62#   · `distribution/policies.json` los CREA con `Containers.Default` —el único mecanismo que los
63#     pone en un perfil nuevo— y deja la config de fábrica del proxy en `3rdparty.Extensions`;
64#   · `extensions/proxy/` los enruta con `proxy.onRequest`, que es lo único que ve el
65#     `cookieStoreId` de la petición.
66#
67# Las tres se comprobaron DENTRO del artefacto de firefox antes de escribirlas, no en la
68# documentación de Mozilla: `Containers` y `3rdparty` están en el `policies-schema.json` de
69# `browser/omni.ja`, y `cookieStoreId` en el `schemas/proxy.json` de `omni.ja`. Es la regla que dejó
70# el §2.sexies: cuando la duda es «¿existe esto en NUESTRO build?», la respuesta está adentro.
71#
72# ⚠ LO QUE NO ES, Y VA ESCRITO EN LA PROPIA PÁGINA DE OPCIONES: separación de tráfico, NO anonimato.
73# No toca la huella del navegador. El §4 del SDD ya se había comprometido a decirlo primero.
74name    = "atuq"
75# El campo se había quedado en 0.2.0 mientras los commits ya iban por v0.4; se pone al día acá.
76version = "0.5.0"
77# El artefacto CONTIENE Firefox, así que hereda su licencia. El overlay de `recipes/atuq/` es
78# nuestro, pero eso no cambia lo que se distribuye.
79license = "MPL-2.0"
80
81[source]
82dir = "atuq"
83
84[build]
85# No se compila nada: esta receta copia y edita ficheros. `compiler` y `link` entran igual en el
86# hash, así que se dejan en el default del corpus para no inventar una identidad que no significa
87# nada.
88target = "x86_64-linux-musl"
89
90[build.phases]
91configure = "echo 'atuq: nada que configurar — es un artefacto derivado'"
92compile   = "echo 'atuq: nada que compilar — el motor lo pone la dep firefox'"
93install = '''
94set -e
95SRC=/usr/lib/firefox
96DST=/out/usr/lib/atuq
97
98# ── LAS ASERCIONES VAN PRIMERO, Y FALLAN RUIDOSAS ─────────────────────────────────────────────
99# Un derivado que no encuentra su base no debe producir un artefacto flaco: produciría un
100# directorio con cuatro ficheros de configuración, `Store::has` lo daría por presente y el fallo
101# aparecería el día que alguien intente abrir el navegador. Un ausente falla fuerte; un vacío llega
102# hasta el final diciendo que todo fue bien (regla 3 del CLAUDE.md).
103[ -d "$SRC" ] || { echo "atuq: no está el árbol de firefox en $SRC — ¿la dep se materializó?" >&2; exit 1; }
104[ -x "$SRC/firefox" ] || { echo "atuq: $SRC/firefox no existe o no es ejecutable" >&2; exit 1; }
105[ -f "$SRC/browser/omni.ja" ] || { echo "atuq: falta $SRC/browser/omni.ja" >&2; exit 1; }
106
107mkdir -p "$DST"
108cp -a "$SRC"/. "$DST"/
109# ── EL ÁRBOL COPIADO LLEGA DE SÓLO LECTURA ────────────────────────────────────────────────────
110# `cp -a` preserva los modos, y los ficheros del store están sellados sin permiso de escritura. Todo
111# lo que viene después —el `.ini`, el `omni.ja`, los iconos, el parche del app_id— los MODIFICA.
112# En el worker esto pasaba inadvertido porque corre como root, que ignora los bits de permiso; el
113# primer build fuera de root murió con `PermissionError: /out/usr/lib/atuq/application.ini`.
114# Es la clase de bug que sólo aparece en la máquina de otro, así que se arregla acá y no en el
115# entorno: un artefacto no debe depender de con qué uid lo construiste.
116chmod -R u+w "$DST"
117
118# ── LA CAPA DE CONFIGURACIÓN ──────────────────────────────────────────────────────────────────
119# `defaults/pref/` es el único sitio desde el que se puede pedir el autoconfig ANTES de que exista
120# un perfil; el resto cuelga de ahí.
121mkdir -p "$DST/defaults/pref" "$DST/chrome" "$DST/distribution"
122cp /src/prefs/autoconfig.js        "$DST/defaults/pref/autoconfig.js"
123cp /src/atuq.cfg                   "$DST/atuq.cfg"
124cp /src/chrome/atuq.css            "$DST/chrome/atuq.css"
125cp /src/distribution/policies.json "$DST/distribution/policies.json"
126
127# ── EL HOST NATIVO (SDD 26 §7) ────────────────────────────────────────────────────────────────
128# El lanzador va ANTES de `rebrand.py` a propósito: la herramienta comprueba que el `path` de cada
129# manifiesto de native messaging exista y sea ejecutable DENTRO del artefacto, y esa comprobación no
130# mide nada si el fichero se copia después. Un manifiesto que apunta a un ejecutable ausente no
131# falla: el navegador arranca, la extensión conecta, el puerto se cierra «sin error y sin mensaje» y
132# la función no existe. Es el peor informe posible, y ya nos costó una tarde (§7.bis).
133cp /src/bin/puriy-costura-host "$DST/puriy-costura-host"
134chmod 0755 "$DST/puriy-costura-host"
135
136# ── EL BRANDING ───────────────────────────────────────────────────────────────────────────────
137# Todo lo que exige entrar al zip, editar el .ini o dibujar un PNG está en una herramienta aparte:
138# el shell no tiene `zip` en este lab, y `zipfile` además deja fijar orden, fecha y permisos, que
139# es de lo que depende que el artefacto reproduzca. La herramienta VERIFICA cada cambio y falla si
140# la entrada que iba a reemplazar no estaba.
141python3 /src/tools/rebrand.py "$DST" /src /out
142
143# ── INTEGRACIÓN CON EL ESCRITORIO ─────────────────────────────────────────────────────────────
144mkdir -p /out/usr/bin /out/usr/share/applications
145cp /src/atuq.desktop /out/usr/share/applications/atuq.desktop
146# El lanzador es un script y no un symlink: ni el binario ni sus `.so` traen RPATH (comprobado con
147# `readelf -d`), así que sin `LD_LIBRARY_PATH` el motor no encuentra su propio libnspr4 y muere en
148# XPCOMGlueLoad antes de pintar nada. El porqué completo está en el propio fichero.
149cp /src/bin/atuq /out/usr/bin/atuq
150chmod 0755 /out/usr/bin/atuq
151
152# ── INVENTARIO ────────────────────────────────────────────────────────────────────────────────
153# Lo que distingue este artefacto de su base, listado con tamaños, para que el log del build
154# responda solo la primera pregunta del diagnóstico cuando «atuq se ve como Firefox».
155echo "atuq: capa aplicada —"
156for f in defaults/pref/autoconfig.js atuq.cfg chrome/atuq.css distribution/policies.json; do
157  [ -s "$DST/$f" ] || { echo "atuq: $f quedó VACÍO o ausente" >&2; exit 1; }
158  echo "  $f ($(wc -c < "$DST/$f") bytes)"
159done
160# Las extensiones de sistema: que el XPI EXISTA y tenga bytes. `rebrand.py` ya cruzó cada id contra
161# `ExtensionSettings` y contra la ruta desde la que la política lo va a pedir; esto es el otro lado,
162# el del fichero. Un `install_url` correcto apuntando a un XPI de cero bytes falla en el arranque
163# del navegador, lejos de acá y con un mensaje que no nombra a esta receta.
164for x in "$DST"/distribution/extensions/*.xpi; do
165  [ -s "$x" ] || { echo "atuq: el XPI $x quedó vacío o no existe" >&2; exit 1; }
166  echo "  $(basename "$x") ($(wc -c < "$x") bytes)"
167done
168
169# El manifiesto de native messaging: que exista y tenga bytes. `rebrand.py` ya cruzó su `path`
170# contra el árbol y sus `allowed_extensions` contra los XPI empaquetados; esto es el otro lado —que
171# el fichero llegara al artefacto—. Va en /usr/lib/mozilla y NO en el appdir porque esa ruta está
172# COMPILADA dentro de Gecko (`XRESysNativeManifests`) y el rebranding no la mueve.
173for m in /out/usr/lib/mozilla/native-messaging-hosts/*.json; do
174  [ -s "$m" ] || { echo "atuq: el manifiesto nativo $m quedó vacío o no existe" >&2; exit 1; }
175  echo "  $(basename "$m") ($(wc -c < "$m") bytes)"
176done
177[ -x "$DST/puriy-costura-host" ] || { echo "atuq: el lanzador del host nativo no quedó ejecutable" >&2; exit 1; }
178
179[ -x "$DST/atuq" ] || { echo "atuq: el binario renombrado no quedó ejecutable" >&2; exit 1; }
180[ -x /out/usr/bin/atuq ] || { echo "atuq: el lanzador no quedó ejecutable" >&2; exit 1; }
181grep -q '^Name=atuq' "$DST/application.ini" || { echo "atuq: application.ini no quedó rebrandeado" >&2; exit 1; }
182'''
183
184[deps]
185# ⚠ DEP DE EJECUCIÓN, NO DE BUILD — Y NO ES DECORACIÓN (2026-09-06).
186# Este artefacto declara `NEEDED libstdc++.so.6` / `libgcc_s.so.1`, y hasta hoy NADIE en el corpus
187# las proveía: sólo existían en `.dev-fs/alpine`, o sea en el LAB. El binario sellaba, REPRODUCÍA
188# bit a bit, pasaba todos los guardianes… y no arrancaba fuera del lab. Se descubrió corriendo
189# `atuq` bajo un sway headless, no leyendo el grafo.
190# `runtime` NO entra en el ArtifactHash (igual que `license`), así que declararlo NO re-hashea:
191# lo que cambia es la CLAUSURA, que es lo que se hidrata en la imagen. Lo vigila
192# `scripts/vigia-sonames.py`, que entró en el latido en `02facebe` — y NO `scripts/audit-needed.sh`,
193# que ese mismo commit BORRÓ. Quedan otras siete recetas apuntando al script muerto; no se tocan
194# desde acá porque son de otro frente.
195#
196# ⚠ Y hubo un segundo agujero, en el INSTRUMENTO y no en el artefacto (2026-09-07): la clausura
197# declaraba bien `gcc-libs`, pero `scripts/atuq-nested.sh` no lo hidrataba, y como la jaula monta
198# `.dev-fs/alpine` como capa de abajo, cada «atuq corre» de estos días resolvió `libstdc++.so.6`
199# contra el LAB. Corregido allá. Los dos ficheros ni se parecen —20.850.968 bytes el del corpus,
200# 2.804.104 el del lab—, así que ante la duda de cuál se cargó, se mira el tamaño.
201# Y `puriy-costura` (SDD 26 §7): el lanzador del appdir hace `exec /usr/bin/puriy-costura`, así que
202# sin esta línea la imagen llevaría el manifiesto y la extensión, y el host NO estaría — la función
203# se apagaría sola sin una línea de error. `runtime` no entra en el ArtifactHash: lo que cambia es la
204# CLAUSURA, que es lo que se hidrata.
205# Y `puriy-costura-torrent` (§6.9): el brazo LARGO de la costura. Va como dep de RUNTIME y no como
206# servicio — es PEREZOSO a propósito: el binario está en la imagen y no corre nada hasta que alguien
207# hace clic en un `magnet:`. Un daemon que arranca con la sesión es un daemon que nadie pidió.
208runtime = ["gcc-libs", "puriy-costura", "puriy-costura-torrent"]
209# `firefox` como dep de BUILD y no de runtime: su árbol se materializa en el sandbox, se copia
210# dentro del artefacto de atuq y a partir de ahí atuq no lo necesita más. El precio es que el
211# artefacto pesa lo que pesa Firefox otra vez; la salida barata (una granja de symlinks) rompe la
212# resolución del appdir por /proc/self/exe, así que la v0.1 paga el disco y lo dice.
213build = ["firefox", "python3"]