1# SDD 26 — `atuq`: el envoltorio Gecko de la distro
2
3Escrito 2026-09-05, a partir de la pregunta del usuario: *«ya habiendo compilado firefox y waterfox,
4qué tan complicado vs provechoso suena crear nuestro propio envoltorio, en vez de zen?»*, y de su
5aclaración de por qué la pregunta existe: **`puriy` quedó muy verde y es difícil sacarlo de ahí**.
6
7`atuq` es *zorro* en quechua. El nombre estaba libre —verificado con `grep -ri atuq` sobre
8`/mnt/vvv/hammer` y `/mnt/vvv/tawasuyu`, cero coincidencias— y dice exactamente lo que la cosa es:
9otro fox, con marca propia y sin usar la de Mozilla (ver el §branding de `recipes/firefox.toml`).
10
11**Este documento no reemplaza a `puriy` ni lo cancela.** `puriy` sigue siendo el motor soberano; el
12§9 explica por qué `atuq` es su andamio y no su desvío.
13
14---
15
16## 1. La corrección que ordena todo: no hay envoltorio fuera del chrome
17
18La intuición natural —una carcasa Llimphi con nuestros widgets, y Gecko adentro pintando la página—
19**no es posible**. Gecko no tiene API de embebido en escritorio desde que murió XULRunner; GeckoView
20existe y es de Android. No hay forma soportada de meter el motor en una ventana de `mirada`.
21
22⇒ un envoltorio de Gecko es, necesariamente, **chrome-level**: JS/CSS/XHTML *dentro* del propio
23Firefox, más extensiones, más procesos externos que hablen con él.
24
25Y eso es exactamente lo que Zen es. Zen no toca el motor: su diferencia entera —workspaces, split
26view, glance, compact mode— vive en el chrome, más una herramienta (`surfer`) que reaplica sus
27parches sobre el árbol de Firefox y recompila. **Su costo no es el motor: es la cinta de correr del
28rebase cada cuatro semanas.** Copiar su método sería heredar su costo sin heredar su equipo.
29
30## 2. La decisión de arquitectura: artefacto DERIVADO, no fork de fuente
31
32Si `atuq` parchea el árbol, **cada iteración de UI cuesta un build de Gecko de cuatro horas**. Eso
33mata el proyecto en la primera semana de diseño, porque el diseño de chrome es iterativo por
34naturaleza.
35
36Pero nosotros no distribuimos un binario: sellamos artefactos. Entonces `atuq` es una receta cuyo
37`[deps]` incluye `firefox`, y cuyas fases copian el árbol instalado e inyectan encima:
38
39| Qué se inyecta | Mecanismo de Firefox | Sin recompilar |
40|---|---|---|
41| Marca, iconos, nombre | `distribution/`, `application.ini` | ✅ |
42| Prefs de fábrica | `defaults/pref/*.js` + autoconfig (`.cfg`) | ✅ |
43| Política de empresa | `distribution/policies.json` | ✅ |
44| Chrome propio (dientes, layout) | `userChrome.css` + re-empaque de `omni.ja` | ✅ |
45| Extensiones nuestras | `distribution/extensions/` | ✅ |
46
47**Ventajas que esto tiene sobre el método de Zen, y que son estructurales:**
48
491. **Iteración en segundos, no en horas.** El chrome se toca sin volver a compilar C++.
502. **No mueve el `ArtifactHash` de `firefox`.** El corpus no se invalida; `waterfox` y cualquier otro
51   fork siguen compartiendo el mismo artefacto base.
523. **Las CVE se heredan gratis.** Un fork de fuente te vuelve dueño del reloj de seguridad del
53   binario más atacado de la máquina — es lo que hundió a casi todos los forks de Firefox, y el
54   reproche histórico a Waterfox. Un derivado se reconstruye solo cuando sube `firefox`.
55
56**Los dos gotchas reales del camino, que son trabajo pero chico:**
57
58- **`omni.ja` es un zip ⇒ hay que re-empacarlo determinista** (mtimes fijos, orden estable) o el
59  artefacto deja de reproducir bit a bit. Es la misma disciplina que ya exige la imagen del lab.
60- **El `jarlog` del PGO ordena el `omni.ja` para el arranque** (§3.bis). Re-empacarlo a lo bruto
61  tira esa optimización a la basura sin que nadie lo note. El re-empaque preserva el orden.
62- **Hay que invalidar el startup cache** tras tocarlo (fichero `.purgecaches` junto al binario, o
63  bump del BuildID). Si no, los cambios no se ven y **parece que el overlay no agarró**: un falso
64  negativo de los caros, de la misma familia que el cache-hit que congela regresiones.
65
66### 2.bis Cuándo SÍ hay que parchear el árbol
67
68Cuando algo necesite tocar C++ del motor. Hoy conocemos un caso: `sct` en su forma fuerte (§6.1).
69La regla es: **nada baja al árbol antes de que exista la toolchain del §3**, porque hasta entonces
70cada intento cuesta cuatro horas. Y cuando baje, el vigía de parches (`scripts/vigia-parches.py`,
71commit `aa200a4`) es lo que convierte esas cuatro horas en un minuto para saber si el parche agarra.
72
73## 3. La puerta de las optimizaciones: no es un flag, es una toolchain
74
75El usuario decidió habilitar las optimizaciones. Lo que hay que saber antes de intentarlo:
76
77`recipes/firefox.toml` va con `compiler = "gcc"` por el **muro 3** (zig enlaza `libc++` estática para
78musl y el `configure` de Mozilla exige encontrar un `NEEDED …libc++`; es negativa de upstream, no una
79perilla). El problema es que **PGO, LTO y BOLT son cadena de clang en Gecko**:
80
81- `--enable-lto=cross` quiere clang + lld. El LTO de GCC sobre Gecko no está soportado upstream.
82- `--enable-profile-use` espera `-fprofile-instr-use` (clang), no `-fprofile-use` (gcc).
83- BOLT necesita `llvm-bolt`.
84
85Y **el corpus no tiene clang usable como compilador**. Verificado en las recetas, no supuesto:
86
87- `recipes/clang18.toml` compila `ninja -C build libclang.so clang-resource-headers` y su fase
88  `install` copia **sólo** `build/lib/libclang.so*` y las cabeceras `clang-c`. Está ahí porque
89  `bindgen` carga `libclang.so` en runtime. **No hay driver `clang`, ni `lld`, ni `libc++`.**
90- `llvm18` se selló con `-DLLVM_ENABLE_PROJECTS=""` — LLVM a secas.
91
92⇒ la primera versión de este documento concluyó que hacía falta **una receta `llvm-toolchain`
93(clang+lld+libc++ desde fuente)**. **Era caro de más, y se corrigió el mismo día mirando el lab en
94vez de suponerlo:**
95
96- `.dev-fs/alpine` **ya trae clang22 + llvm22 22.1.8** — la misma major que usa el APKBUILD de
97  Alpine para este mismo Firefox (`_llvmver=22`).
98- **`Compiler::Clang` ya existe en hammer**, cableado de punta a punta (`parse_compiler` lo acepta;
99  `hammer-build` pone `CC=clang`, `CXX=clang++`, `AR=llvm-ar`). Ninguna receta lo usaba.
100- Faltaba **sólo `ld.lld`**: `apk add lld` ⇒ dos paquetes, cero upgrades.
101
102Y los tres muros caen sin perder lo que gcc daba: el sondeo de linker se satisface con
103`--enable-linker=lld`, el `ar` lo pone hammer solo, y el `NEEDED` de la stdlib de C++ existe porque
104clang++ de Alpine usa la `libstdc++` **compartida** — la prueba no es teórica: Alpine construye este
105Firefox con clang22 y **sin** `libcxx` en sus makedepends.
106
107**La huella del lab no se movió, y se midió antes de tocar nada.** `lld` no casa ningún prefijo de
108`TOOLCHAIN_PREFIXES` (`hammer-core/src/lab.rs`), así que los 43 paquetes que entran en `hash_inputs`
109salieron idénticos ⇒ **los 837 artefactos sellados quedan intactos**. Eso abarata el cambio hoy y a
110la vez deja un agujero escrito: la versión de `lld` no es parte de la identidad del artefacto, y sólo
111expone a las recetas `compiler="clang"` — hoy, una. Cerrarlo cuesta re-hashear el corpus entero.
112
113**Hecho el 2026-09-05** (commit `cb3ecd5`): `firefox` va con `compiler = "clang"`,
114`--enable-linker=lld`, `--enable-lto=cross`, `--enable-packed-relative-relocs` y
115`--with-unsigned-addon-scopes=app,system`. Falta construirlo.
116
117**Riesgos de PGO, escritos antes de empezar:**
118
119- El PGO de Mozilla **corre el navegador** para juntar el perfil (`profileserver.py`, headless +
120  marionette). Dentro de un sandbox hermético, sin red y sin X11, eso hay que hacerlo andar.
121  Headless no necesita display, pero sí necesita que el árbol de perfil se genere adentro.
122- **El perfil resultante es un input del artefacto.** O entra en `hash_inputs`, o `atuq` deja de ser
123  determinista y no lo vamos a notar: sería otra forma del lab que no está en `hash_inputs`.
124- Ganancia esperable, para calibrar expectativas: PGO+LTO en Gecko son del orden de 10-25% en carga
125  de página y JS. **Hoy estamos ATRÁS de Zen en este eje, no adelante** — Zen hereda la
126  configuración de Mozilla tal cual. Esto no es una ventaja nuestra: es una deuda que se salda.
127
128### 3.bis El diff contra Alpine — y no es sólo PGO
129
130Medido el 2026-09-05 trayendo el `APKBUILD` y el `mozconfig` de `community/firefox` de aports y el
131`PKGBUILD` de Arch, y comparándolos línea a línea con el mozconfig de `recipes/firefox.toml`.
132**Alpine es nuestro propio upstream** —de ahí salen los once parches de musl— así que la comparación
133no es contra una distro lejana: es contra la que ya construye este mismo código.
134
135| | `recipes/firefox.toml` | Alpine `community/firefox` |
136|---|---|---|
137| LTO | **no** | `--enable-lto=cross` |
138| PGO | **no** | `--enable-profile-use=cross` + `merged.profdata` + `jarlog` |
139| Linker | GNU ld (via gcc) | `--enable-linker=lld` (lld 22) |
140| RELR | **no** | `--enable-packed-relative-relocs` |
141| Sandbox RLBox | **APAGADO** (`--without-wasm-sandboxed-libraries`) | `--with-wasi-sysroot` |
142| Extensiones sin firmar | **no declarado** | `--with-unsigned-addon-scopes=app,system` |
143| Allocator | `--disable-jemalloc` | `--disable-jemalloc` — **igual, no es desviación nuestra** |
144| Librerías | todo bundleado | `--with-system-{icu,nss,nspr,av1,vpx,webp,png,jpeg,zlib,ffi,libevent,pixman,pipewire}` |
145
146Arch hace lo mismo en el eje de velocidad («Do 3-tier PGO», `--enable-lto=cross`,
147`--enable-profile-use=cross`). **Ni Alpine ni Arch usan BOLT** (cero menciones en los dos ficheros)
148⇒ BOLT no es la desventaja, es el extra. Lo que nos separa del resto del mundo es **PGO + LTO**, del
149orden de 10-20% en carga de página y JS.
150
151**Tres lecturas que hay que sacar de esa tabla:**
152
1531. **RLBox apagado es una desventaja de SEGURIDAD, no de velocidad, y probablemente pesa más que el
154   PGO.** Es la jaula wasm alrededor de los parsers de fuentes y medios —graphite, ogg, expat,
155   woff2—, o sea exactamente el código que come entrada no confiable. Encenderlo pide `wasi-sdk` +
156   `wasi-compiler-rt` en el corpus: receta propia, no un flag.
1572. **`--with-unsigned-addon-scopes=app,system` nos falta y `atuq` lo NECESITA** para shipear sus
158   propias extensiones desde `distribution/extensions/` (§6.1, §7). Es un flag de `configure` ⇒
159   **una capacidad de `atuq` que no se resuelve en el overlay: exige tocar la base.**
1603. **Las librerías del sistema son diferencia a propósito, no deuda.** Alpine usa las suyas; nuestro
161   corpus *es* la fuente y bundlear es lo que mantiene la clausura cerrada.
162
163**Corolario que ordena el plan: todo esto entra en UN SOLO rebuild de `firefox`.** Cada rebuild son
164cuatro horas y re-sella la cola Gecko entera (waterfox incluido), así que LTO, PGO, RELR, lld, RLBox
165y el scope de addons se juntan en una sola pasada, no en seis.
166
167### 3.ter Los dos muros del PGO que las distros no tienen
168
169**El perfil se junta corriendo el navegador, y las dos distros lo hacen bajo `xvfb-run`** (Alpine:
170`xvfb-run -a -s "-screen 0 1920x1080x24" ./mach python build/pgo/profileserver.py`; Arch, idéntico).
171**Nosotros no tenemos X11 en el corpus** —es la decisión Wayland-only de toda la distro— así que ese
172camino no existe acá. La salida hammer-nativa es correrlo bajo un **sway headless**
173(`WLR_BACKENDS=headless`), que ya tenemos del frente wlr/sway y arranca en segundos.
174
175**✅ EL MURO DEL DISPLAY ESTÁ DESPEJADO (2026-09-06).** No es una previsión: se corrió. `sway`
176headless con `WLR_BACKENDS=headless` y `WLR_RENDERER=pixman` arranca en **gioser**, que es un LXC
177**sin `/dev/dri`** —o sea sin GPU ninguna, todo software— y dibuja píxeles de verdad:
178`docs/evidencia/sway-headless-gioser-sin-gpu-2026-09-06.png` (sway 1.10 / wlroots 0.18.2 /
179foot 1.27.0, los tres binarios nuestros, salida `HEADLESS-1` a 1280x720). El ciclo entero es de
180~2 min con `scripts/wlr/sway-headless.sh`.
181
182Dos cosas que hubo que resolver y conviene tener escritas antes de repetirlo:
183· **Hidratar bajo el montaje del store.** `hydrate-profile.py` ENLAZA, y un hardlink no cruza
184  montajes: con `--into work/...` sale `EXDEV` porque el store vive en otro disco. Con
185  `--into store/.rootfs/sway` son 193/193 nodos, 41.677 ficheros y **4,9 G que no ocupan** (son
186  hardlinks al store).
187· **Inyectar el loader de musl.** `sway` salió DINÁMICO y pide `/lib/ld-musl-x86_64.so.1`, que el
188  cierre no trae; el error es `exec: /usr/bin/sway: not found`, que se lee como «falta el binario»
189  y lo que falta es su intérprete. Se resuelve con
190  `--ro-bind /usr/lib/musl/lib/libc.so /lib/ld-musl-x86_64.so.1` (en musl el `libc.so` ES el
191  loader). Es la misma familia que el resto de la noche: el mensaje nombra lo que buscó, no lo que
192  falta.
193
194**Y el perfil no es determinista.** Los contadores dependen del timing de la corrida, así que dos
195generaciones del profdata no dan los mismos bytes — a las distros no les importa porque no persiguen
196bit-repro; a nosotros nos rompe el invariante. La salida: **generar el perfil UNA vez y sellarlo como
197artefacto propio, consumido por hash** desde `firefox`. El build optimizado vuelve a ser determinista
198aunque su insumo no lo sea, y el perfil se regenera a propósito, no por accidente.
199
200### 3.quinquies El PGO, y los tres muros que el plan no tenía escritos (2026-09-07)
201
202El §3.ter daba dos muros: el display (X11 que no tenemos) y el no-determinismo del perfil. Los dos
203eran ciertos. Aparecieron **tres más**, y ninguno se ve sin construir:
204
2051. **`libclang_rt.profile.a` no existía.** El lab trae clang 22.1.8 pero **ninguna runtime de
206   compiler-rt** — su `lib/` del resource dir ni existe, exactamente como ya documentaba
207   `wasi-compiler-rt` para el caso wasm. El build instrumentado murió en el minuto 38:56 con
208   `ld.lld: cannot open …/libclang_rt.profile.a`. De ahí sale `recipes/compiler-rt-profile.toml`.
209
2102. **Los sandboxes de Firefox matan la corrida de perfilado.** Con ellos puestos los procesos hijo
211   mueren con **signal 11**, el que renderiza no llega a nacer, el servidor local registra **0 GET**
212   y el único `.profraw` que queda es el del padre arrancando — un perfil de nada, con todo en
213   verde. Es lo mismo que hace el `profileserver.py` de Mozilla. Sólo aplica a la corrida de
214   entrenamiento: el firefox que se distribuye lleva sus sandboxes intactos.
215
2163. **El worker no puede bajar del mirror de fuentes.** Tiene `scripts/fuentes/mirror-env.sh` desde
217   el 2026-09-01 pero no la clave del Storage Box, así que una receta pineada al mirror —y el perfil
218   es la primera— no se construye allá. Se sembró el artefacto sellado, que es content-addressed:
219   consigue lo mismo sin mover una credencial de máquina.
220
221**Cómo se verificó que el PGO llegó, y por qué NO como RLBox.** Con RLBox el artefacto delata la
222jaula (símbolos `w2c_*`, cero → 634). Acá el discriminante análogo serían las secciones
223`.text.hot`/`.text.unlikely` que clang emite al particionar por temperatura — y **no sirve**: con
224lld y ThinLTO el enlazador las fusiona, así que dan cero en el binario con PGO y sin él. La
225evidencia que sí vale está un nivel por debajo del `configure`: **189 invocaciones del compilador
226llevan `-fprofile-use`**, el configure encontró `llvm-profdata`, y no hay ni un aviso de perfil que
227no cuadre. `libxul.so` pasa de 226.078.752 a 227.802.816 bytes, consistente con inlining de caminos
228calientes. Es evidencia de build, no de artefacto, y conviene decirlo así.
229
230**LA GANANCIA, MEDIDA (2026-09-07).** Mismo rootfs, mismo script, corridas INTERCALADAS A/B/A/B
231para que la deriva de carga afecte a las dos, mediana de 7, calentamiento descartado. Lo único que
232cambia entre variantes es un `--ro-bind` de `/usr/lib/firefox`.
233
234| página | sin PGO | con PGO | |
235|---|---|---|---|
236| DOM+layout+strings, **fuera** del corpus de entrenamiento | 23.540 ms | 21.327 ms | **−9,4 %** |
237| SunSpider `3d-raytrace`, **dentro** del corpus | 16.034 ms | 15.878 ms | −1,0 % |
238
239Los rangos no se solapan en ninguna de las dos (23.185–23.654 vs 21.030–21.650), así que las dos
240diferencias son reales y no ruido.
241
242⚠ **Y el resultado sale al revés de lo esperable, que es lo interesante.** La intuición dice que
243medir sobre el conjunto de ENTRENAMIENTO infla la ganancia; acá el corpus da el número MÁS BAJO. La
244razón es que `3d-raytrace` es aritmética pura en un bucle caliente, y ese bucle **no lo ejecuta el
245C++ de SpiderMonkey: lo ejecuta código máquina que el JIT genera en tiempo de ejecución**. El PGO
246optimiza el intérprete, el GC y el propio compilador JIT — no el código que el JIT emite. Un
247benchmark JIT-bound es casi ciego al PGO por construcción.
248
249Donde sí se ve es en el camino DOM/layout/arranque, que es C++ de principio a fin. Y eso es también
250lo que un usuario percibe: la medición cubre el ciclo COMPLETO del proceso (arrancar → renderizar →
251capturar → salir), no el rendimiento en régimen de una página ya cargada. De ahí que hasta la página
252de SunSpider tarde 16 s: casi todo es arranque.
253
254**Corolario para el corpus de entrenamiento — APLICADO Y MEDIDO (2026-09-08).** El corpus estaba
255sesgado hacia JS justo donde el PGO menos rinde, así que se le sumaron 10 páginas de maquetación
256propias (`scripts/pgo-corpus/`): flexbox, grid, tablas con los dos algoritmos de layout, texto en
257columnas, selectores contra 600 reglas, pintado, transforms, SVG, scroll pegajoso y layout
258thrashing. El perfil pasó de 5.885.254.799 ejecuciones registradas a **38.498.366.335 (6,5×)**.
259
260| | sin PGO | PGO v1 (36 pág.) | PGO v2 (46 pág.) |
261|---|---|---|---|
262| DOM/maquetación, fuera del corpus | 23.285 ms | 21.050 ms (−9,6 %) | **20.640 ms (−11,4 %)** |
263| SunSpider `3d-raytrace` | 16.003 ms | 15.846 ms (−1,0 %) | 15.857 ms (−0,9 %) |
264
265**La mejora en maquetación es real y no de medianas:** SEIS de las siete muestras de v1 son más
266lentas que TODAS las de v2; sólo una cae dentro del rango de v2. En SunSpider, en cambio, v1 y v2
267son **indistinguibles** —los valores se entrelazan por completo— que es justo lo esperable: ese
268camino lo ejecuta el JIT y el PGO no lo toca. Un corpus mejor no puede mejorar lo que el PGO no
269alcanza.
270
271⚠ Una de las siete corridas de v2 dio 120.029 ms contra ~20.600 de las otras seis: un atípico
272transitorio. **La mediana lo ignora por diseño**; una media lo habría convertido en «v2 es
273catastróficamente peor». Fue la razón de elegir mediana antes de ver un solo número.
274
275⚠ Y lo que este banco NO puede afirmar: las 10 páginas nuevas ejercitan los mismos subsistemas que
276la página de medición, así que el parentesco con lo que ahora se entrena es mayor que antes. El
277−11,4 % es real para ESTA carga; generalizarlo a «cualquier página» sería justo el error que el
278propio corpus de Mozilla cometía al revés.
279
280**Y la pregunta que un insumo no determinista obliga a hacer, respondida: `firefox` SIGUE
281REPRODUCIENDO bit a bit** (`verificar-repro.sh`: REPRODUCEN 1, DERIVA 0, NO-DETERMINISMO 0). Era el
282riesgo real de esta unidad, no el rendimiento: si el `-fprofile-use` hubiera metido cualquier
283decisión dependiente del orden o del timing, habríamos cambiado velocidad por el invariante del
284proyecto. Congelar el perfil como fuente pineada era el argumento; esto es la medición.
285
286### 3.quater La cadena wasm, y las tres cosas que costó (2026-09-06)
287
288`--without-wasm-sandboxed-libraries` se cambió por `--with-wasi-sysroot=/usr/share/wasi-sysroot`,
289que es literalmente el flag de Alpine. Detrás hay cinco recetas nuestras, en este orden obligatorio:
290
291```
292wasi-libc-headers → wasi-compiler-rt → wasi-libc → wasi-libcxx → wasi-sdk → firefox
293```
294
295`wasi-libc-headers` existe **sólo** para romper el ciclo del bootstrap y pinea un commit VIEJO a
296propósito (triple `wasm32-wasi`), mientras `wasi-libc` pinea el nuevo (`wasm32-wasip1`, el que
297clang 22.1 usa de verdad). Es lo mismo que hace Alpine y no es un descuido.
298
299**Lo que costó, que es la parte reusable:**
300
3011. **`check-symbols` falla por sesgo de clang, no por un artefacto malo.** El lab trae clang 22.1.8
302   y el snapshot del árbol viene de uno anterior: sobra `#define __wasip1__ 1` y nada más. Se
303   reconcilia el snapshot; **no** se salta con `make no-check-symbols`, que se lleva por delante la
304   comparación de símbolos —la mitad que sí vale y que pasaba byte a byte.
305
3062. **Faltaba `wasi-libcxx`, y el hueco era visible en el grafo sin construir nada.** El configure
307   murió a los 6 s con `'cstring' file not found`, culpando a los headers de WASI, que estaban
308   perfectos: `<cstring>` es C++ y las librerías enjauladas no son todas C. El `wasi-sdk` de Alpine
309   declara `wasi-libc wasi-libcxx wasi-compiler-rt` —TRES— y la cadena tenía dos. **El `depends`
310   del paquete ajeno equivalente es una comprobación de completitud gratis**, antes de gastar CPU.
311
3123. **Un directorio VACÍO que sí importa.** Con `wasi-libcxx` sellado el configure volvió a morir
313   igual, y `cstring` estaba en el artefacto: clang no lo buscaba. Falta el `mkdir -p
314   include/c++/v1` que Alpine tiene en su `package()` y que parece ruido de empaquetado — es la
315   sonda por la que el driver decide que el sysroot tiene layout de libc++. Medido dentro del lab:
316   sin ese directorio, `'cstring' file not found`; con él, exit 0. Es el **reverso exacto de la
317   regla 3 del `CLAUDE.md`**: allá un directorio vacío es un artefacto mentiroso, acá es una
318   declaración dirigida al compilador.
319
320De ahí sale el criterio de guardián que ahora usan estas recetas: **«existe» no es «se encuentra»**.
321`wasi-libcxx` corre hoy la misma prueba que hace el configure de firefox, contra un sysroot
322fusionado con el de su dep, así que un fallo aparece en el segundo 20 de una receta chica —con la
323lista de búsqueda de clang impresa— y no en el segundo 6 de un build de cuatro horas que además
324culpa a otro. Y `firefox` exige RLBox **en el binario**: sobre `b3:352d7880` (el último con RLBox
325apagado) los patrones `w2c_`, `rlbox` y `wasm2c` dan cero los tres en `libxul.so`, así que
326cualquiera apareciendo prueba que la jaula entró. Es la tercera repetición de la lección de
327`MOZ_REQUIRE_SIGNING` y `MOZ_BUILD_DATE`: una bandera que el configure acepta y el artefacto ignora.
328
329**Evidencia de reproducibilidad cruzada (2026-09-06).** Las cinco recetas se construyeron por
330separado en las DOS máquinas —el hub (gioser, 4c) y el worker (`dev.gioser.net`, LXC 6c)— y los
331cinco artefactos salen **byte a byte idénticos**, comparando el árbol completo de cada uno:
332
333| receta | sha256 del árbol | |
334|---|---|---|
335| `wasi-libc-headers` | `0d34f9cb27530606…` | ✓ |
336| `wasi-compiler-rt` | `0c4fc6fdf08ef908…` | ✓ |
337| `wasi-libc` | `c13acdf896f2b78c…` | ✓ |
338| `wasi-libcxx` | `b1d9aeec08499063…` | ✓ |
339| `wasi-sdk` | `b49f7a74a5caed3f…` | ✓ |
340
341No es un trámite: **el lab NO entra en `hash_inputs`**, así que dos labs distintos pueden sellar
342bytes distintos en la misma dirección del store y nada lo detecta. Esto dice que para esta cadena
343los dos labs coinciden de verdad, y no sólo que coinciden los `ArtifactHash`.
344
345## 4. Lo que `atuq` NO promete
346
347Esta sección existe antes que la lista de features a propósito, con el mismo criterio que el modelo
348de adversario de `qullqa`: **lo que no se promete se escribe primero, porque una promesa falsa de
349privacidad es peor que no ofrecer nada.**
350
351**`atuq` no es Tor Browser y no va a tener «modo Tor».** Tor Browser no es «Firefox + SOCKS»: su
352valor son las contramedidas de huella (RFP, letterboxing, normalización de fuentes/canvas/timers) y
353sobre todo **un conjunto de anonimato donde todos se ven idénticos**. `atuq` es, por construcción, un
354binario único en el mundo: musl, Wayland-only, branding propio, extensiones propias. Alguien saliendo
355por Tor desde `atuq` es **más** identificable, no menos, y su conjunto de anonimato son diez
356personas. Para anonimato: Tor Browser, y lo decimos nosotros primero.
357
358Lo que sí se ofrece, y es honesto porque es otra cosa: **proxy por contenedor** (§6.8) — separación
359de tráfico, no anonimato.
360
361**`atuq` tampoco promete** anti-fingerprinting propio (es un programa de investigación con equipo
362full-time) ni bloqueo de anuncios propio (se shipea uBO y listo).
363
364## 5. Contexto verificado al escribir (2026-09-05)
365
366De `docs/state/build-state.json`, no de memoria:
367
368| Dato | Valor |
369|---|---|
370| Recetas / nodos | 838 / 840 |
371| Selladas | 837 |
372| `firefox` 154.0 | **sealed**, cola `corpus` |
373| `waterfox` 6.7.1.1 | **never** — primer build en curso |
374| Plataforma compartida | `gtk3`, `atk`, `nodejs`, `clang18`, `cbindgen`: todas sealed |
375
376**`atuq` no arranca hasta que `waterfox` selle.** Waterfox es la prueba de la tesis del reúso —«las
377diferencias reales con `firefox.toml` son TRES: la fuente, el branding y la versión»—. Si esa tesis
378falla, el precio de todo este documento cambia y hay que releerlo.
379
380## 6. Los diferenciadores, priorizados
381
382La columna «quién más lo tiene» es lo que evita que nos contemos un cuento.
383
384| # | Qué | Quién más lo tiene | Pieza que ya existe | Costo |
385|---|---|---|---|---|
386| 6.1 | **`sct` — transparencia de scripts** | **nadie** | `puriy-sct`, `puriy-sct-testigo` | medio |
387| 6.2 | **Descargas direccionadas por contenido** | nadie | store CAS de hammer, `tejido` | bajo |
388| 6.3 | **Archivo personal + RAG local** | Rewind/Recall (nube, Windows); SingleFile (guarda, no busca) | `khipu`, `rag-motor`, `willay-rag` | medio |
389| 6.4 | **Historial y perfil sobre `qullqa`** | nadie | `qullqa-core`, `qullqa-pozo` | medio |
390| 6.5 | **Foco por `cortafuegos`, no por extensión** | nadie (nadie es dueño del navegador *y* del sistema) | `cortafuegos`, `pacha` | bajo |
391| 6.6 | **Medios por fuera del navegador** | extensiones sueltas; de fábrica no | `foreign-ytdlp`, `-platform`, `-dlna` | bajo |
392| 6.7 | **IA local en la barra lateral** | Chrome/Edge son nube; Zen no tiene | `rimay`, `iniy` | bajo |
393| 6.8 | **Proxy por contenedor** ✅ **v0.5** | nadie de fábrica | — (API de Firefox) | bajo |
394| 6.9 | **Torrent adentro** | **Vivaldi lo trae; Brave tuvo WebTorrent** | `shared/foreign-torrent` (SDD propio, sobre librqbit) | bajo |
395
396### 6.1 `sct` es la joya
397
398BLAKE3 a todo lo que se ejecuta, y **negarse a correr código que ningún testigo vio nunca**. Es lo
399más cerca que hay de «Certificate Transparency, pero para el JavaScript que te corre en la cara», y
400no lo tiene nadie: ni Zen, ni Brave, ni Tor Browser.
401
402En tawasuyu ya está escrito y —dice su README— la lógica es **agnóstica del transporte** y está
403certificada sin red; `puriy-sct-testigo` es sólo el cable HTTP.
404
405- **v1, sin tocar C++:** extensión con `webRequest` bloqueante que hashea cada respuesta de script y
406  consulta al testigo antes de dejarla pasar.
407- **v2, forma fuerte:** gancho en el script loader de Gecko. Eso sí es parche de árbol ⇒ §2.bis ⇒
408  después de la toolchain del §3.
409
410### 6.2 Una descarga con identidad
411
412Lo bajado no es un archivo en `~/Downloads`: es un objeto BLAKE3 en el store — deduplicado,
413verificable, y re-compartible por `tejido`. El torrent (6.9) alimenta lo mismo. **Ningún navegador
414trata una descarga como algo con identidad**; para todos es un blob con nombre, y por eso lo bajás
415dos veces y no lo sabés.
416
417Ésa, y no «tener torrent», es la razón por la que 6.9 vale: Vivaldi ya tiene torrent, pero termina en
418una carpeta.
419
420### 6.3 El archivo personal es la razón por la que alguien usaría `atuq`
421
422Cada página visitada se congela en el CAS y entra al DAG de `khipu`; después le preguntás a tu
423propio historial en lenguaje natural, **todo local**. Es la feature que más justifica el proyecto
424entero, y sale de piezas que ya están escritas.
425
426### 6.4 `qullqa` con su advertencia puesta
427
428Almacenamiento con negación plausible y modelo de adversario **escrito** — ningún navegador tiene
429eso; el modo incógnito es teatro. ⚠ Con la advertencia que el propio SDD de `qullqa` ya anotó y que
430**hay que repetir acá, no esconder**: en una máquina con swap sin cifrar, el documento no aplica.
431Se promete lo que se puede probar.
432
433### 6.8 Proxy por contenedor — HECHO (v0.5, 2026-09-06)
434
435**Es el primer diferenciador del §6 que se paga entero**, y se pudo pagar ahora porque es el único
436de la lista que no pasa por el host del §7: es API de Firefox y nada más. Cada contenedor
437—Personal, Trabajo, Banco, Compras— puede salir por su propio proxy.
438
439Tres piezas, en tres ficheros, y **ninguna alcanza sola**:
440
441| Pieza | Dónde | Qué aporta |
442|---|---|---|
443| `privacy.userContext.enabled` | `atuq.cfg` | prende los contenedores, que Firefox trae apagados |
444| `Containers.Default` | `distribution/policies.json` | los CREA — es el único mecanismo que los pone en un perfil NUEVO |
445| `3rdparty.Extensions` | `distribution/policies.json` | la config de fábrica, que la extensión lee como `storage.managed` |
446| `proxy.onRequest` | `extensions/proxy/fondo.js` | lo único que ve el `cookieStoreId` de cada petición |
447
448**Las cuatro se comprobaron DENTRO del artefacto antes de escribir una línea**, que es la regla que
449dejó el §2.sexies: `Containers` y `3rdparty` están en el `policies-schema.json` de `browser/omni.ja`,
450`cookieStoreId` en el `schemas/proxy.json` de `omni.ja`, y `storage.managed` lee
451`Services.policies.getExtensionPolicy(id)` en `ext-storage.js`. Ninguna de las cuatro se leyó de la
452documentación de Mozilla: se leyeron de **nuestro** build, que es el que las tiene que traer.
453
454**Tres decisiones de diseño que valen más que el código:**
455
4561. **La configuración se indexa por NOMBRE de contenedor, no por `cookieStoreId`.** El id
457   (`firefox-container-3`) depende del ORDEN en que se crearon, así que la misma configuración
458   aplicada a otro perfil apuntaría a otro contenedor. Un identificador que cambia de significado
459   entre máquinas no sirve para configurar una distro.
4602. **Fail closed.** Un contenedor que TIENE proxy configurado y no se pudo honrar —entrada
461   inválida, API que falla, mapa a medio construir— **no sale directo**: va a un destino cerrado y
462   el navegador muestra el error. Salir directo sería una fuga silenciosa, y es la misma familia
463   que el artefacto vacío de la regla 3: el fallo que llega hasta el final diciendo que todo fue
464   bien. Un usuario que pidió que «Banco» no salga por su línea tiene que ver un error, no navegar.
4653. **`proxyDNS` viene PRENDIDO.** Sin él, Gecko resuelve el nombre por su cuenta antes de hablar
466   con el proxy: la consulta DNS sale justo por la línea que se quería evitar. Es la fuga clásica de
467   esta configuración, así que el default es el seguro y hay que apagarlo a mano.
468
469**Y lo que NO promete está en la propia página de opciones, arriba de todo y no en un pie**:
470separación de tráfico, no anonimato; no toca la huella del navegador; para anonimato, Tor Browser.
471Es el §4 cumplido en el sitio donde el usuario lo va a leer.
472
473#### Lo que quedó PROBADO, y con qué
474
475Corriendo el árbol de atuq en la misma jaula que usa `scripts/atuq-nested.sh`:
476
477| Afirmación | Prueba |
478|---|---|
479| La política CREA los cuatro contenedores | captura de `about:preferences#containers` con Personal/Trabajo/Banco/Compras y sus iconos, más el `containers.json` del perfil |
480| Las dos extensiones se INSTALAN | `extensions.json` del perfil nombra `inicio@atuq.tawasuyu` y `proxy@atuq.tawasuyu` |
481| El ruteo se arma contra los contenedores reales | `console.info: "atuq/proxy: 4 contenedor(es) enrutado(s)"` — o sea que leyó la config de fábrica por `storage.managed` Y la casó con los contenedores que creó la política |
482| **Una petición hecha en «Banco» SALE por el proxy de «Banco»** | `scripts/test-atuq-ruteo.py`: dos pestañas piden la misma url; al destino llega `GET /directo` y al puerto del proxy un saludo **SOCKS5 (`\x05\x01\x00`)**, y la de «Banco» no aparece nunca en el destino. Con `--negative-control` (sin proxy configurado) las dos van directas y al proxy no llama nadie |
483| Los guardianes del cruce política↔XPI FALLAN cuando deben | `scripts/test-atuq-politica.py`: 5 formas de romperlo, las 5 matan el build, y el control con la política intacta pasa |
484| La capa sobrevive al cambio de BASE | rehecho sobre el `firefox` con RLBox (`b3:8116bdec`, 2026-09-06): `atuq` sella en 2 s como `b3:f2960991`, su `libxul.so` trae **634 símbolos que se LLAMAN `w2c_*`** donde la base anterior traía 0, y los cuatro contenedores y las dos extensiones siguen apareciendo en un arranque real |
485
486⚠ **Ese 634 hay que contarlo anclado, y la primera vez se contó mal.** `llvm-nm --defined-only \| grep -c w2c_` da **1547** sobre el mismo fichero, y los 913 de más son nombres C++ mangleados que contienen `w2c_` en el MEDIO (`_ZN5rlbox...PK16w2c_mem_capacity...`), no símbolos de la jaula. El patrón que cuenta lo que dice contar es `grep -c ' w2c_'` —o el equivalente `awk '{print $3}' \| grep -c '^w2c_'`—, y da 634, que es lo que mide el guardián de `recipes/firefox.toml`. La conclusión no cambia (la base anterior daba **0** con cualquiera de los dos patrones); lo que cambia es que un número sin su patrón no es una medición. Muestra de lo que sí es un símbolo de la jaula: `w2c_rlbox_0x5F_cxa_atexit_0`.
487
488**Y de paso quedó comprobado que la dep SÍ se sigue**, que era la promesa del §2 y no una que convenga
489creer sin medir: en un catálogo de sonda, cambiar una bandera del `firefox` copiado mueve el hash de
490`atuq` (`f2960991` → `60ade76a`), mientras que con el `firefox` idéntico al del corpus da el mismo
491hash. O sea que un `atuq` viejo **no** puede quedarse tapando un motor nuevo — que es justo la forma
492que tendría acá el cache-hit que congela regresiones.
493
494**Cómo se cerró lo que faltaba (2026-09-06).** Durante unas horas esta sección decía que probar el
495paquete quedaba pendiente, con tres puertas cerradas. Las tres siguen cerradas y la prueba existe
496igual, porque el camino era otro.
497
498Las tres puertas, que conviene NO volver a golpear:
499
5001. **Desde la línea de comandos no hay flag** para el `userContextId` de la pestaña inicial. Y un
501   `moz-extension://` tampoco se abre así: el manejador intenta resolverlo como fichero y muere con
502   `NS_NOINTERFACE [nsIFileURL.file]`, abriendo la home en su lugar.
5032. **Marionette está en el artefacto y responde** —se le habló con un cliente propio de 60 líneas,
504   el protocolo es `<longitud>:<json>`—, pero abrir una pestaña de contenedor pide contexto chrome,
505   y eso exige `-remote-allow-system-access`; en la jaula no lo tomó ni por bandera, ni con
506   `--remote-debugging-port`, ni por `MOZ_REMOTE_ALLOW_SYSTEM_ACCESS=1`, que es lo que
507   `RemoteAgent.sys.mjs` lee en su constructor. Cabo suelto medido, no suposición.
5083. **Desde la extensión, `tabs.create({cookieStoreId})` exige el permiso `cookies`**
509   (`ext-tabs-base.js:getUserContextIdForCookieStoreId`). Dárselo a la extensión del proxy para que
510   pueda probarse a sí misma sería pagar con la superficie de ataque del producto una comodidad del
511   test. Sigue sin dárselo.
512
513**La cuarta puerta estaba abierta: el fichero de sesión.** `sessionstore` guarda el `userContextId`
514de cada pestaña y Gecko lo restaura, así que se fabrica a mano. El formato es `mozLz40\0` + tamaño +
515un bloque LZ4, y **un bloque de sólo literales es LZ4 válido**: veinte líneas, sin depender de
516ninguna librería. Con eso se abren dos pestañas —misma url, distinto contenedor— sin pedirle nada al
517navegador.
518
519Y la medición no le pregunta nada tampoco: **se le ponen dos oídos en la red y se mira a cuál llama.**
520El destino contesta un HTTP 200; el «proxy» no habla SOCKS, sólo anota quién lo saludó. Que al
521puerto del proxy llegue un `\x05\x01\x00` es la prueba: ese saludo sólo aparece si Gecko decidió
522hablar con un proxy para esa petición, y el único que se lo pudo indicar es nuestro
523`proxy.onRequest` mirando el `cookieStoreId`.
524
525Tres detalles sin los cuales la prueba mide un silencio y se lee como un fallo:
526`browser.sessionstore.restore_on_demand=false` (si no, las pestañas restauradas no piden nada hasta
527que alguien las mira), `network.proxy.allow_hijacking_localhost=true` (Gecko saltea el proxy para
528localhost, y la petición de «Banco» iría directa haciendo parecer culpable a la extensión), y
529`triggeringPrincipal_base64: vQ==` en cada entrada de sesión (sin principal la pestaña se restaura
530pero no navega).
531
532**Y la prueba trae su propio control negativo**, porque es lo que este repo se exige desde hoy: con
533`--negative-control` no se configura el proxy y se exige el resultado CONTRARIO —las dos pestañas
534directas, nadie llamando al proxy—. La única diferencia entre las dos corridas es una línea de
535configuración y el observable se da vuelta entero. Sin ese modo, una prueba que se hubiera vuelto
536ciega se vería idéntica a una que funciona.
537
538### 6.10 Lo que `atuq` NO PUEDE hacer hoy, y por qué (2026-09-07)
539
540Sale de un punto ciego que nombramos entre los dos frentes y que **ningún auditor de `readelf`
541puede cubrir**. La jerarquía de lo que se ve:
542
543    NEEDED del ejecutable          → lo ve `test-atuq-rootfs.py` y lo ve `vigia-sonames.py`
544    NEEDED de un .so dlopeado      → lo ven los dos, si el fichero está en el artefacto
545    dlopen("libfoo.so.1") LITERAL  → NO LO VE NINGUNO
546
547Y un navegador vive del tercer escalón: Firefox sondea ffmpeg, VA-API, vulkan, libnotify y una
548docena más **por nombre**, y cuando no están **no falla: apaga la función y sigue**. No hay línea
549roja; hay una función que nadie ofrece y nadie reclama. Es la misma forma que ya nos costó caro con
550OBS (`dlopen("libGL.so.1")` desde su glad).
551
552`scripts/test-atuq-rootfs.py --dlopen` busca esas cadenas y las cruza contra el rootfs. **Es un
553heurístico y se declara como tal** —una cadena no prueba un `dlopen`, y su ausencia no prueba que no
554lo haya—, así que no falla nunca: imprime un mapa triado. Lo que sí se puede afirmar es lo
555contrario, que es lo útil: **si la cadena está y el fichero no, esa función no existe en esta
556imagen.**
557
558De 85 cadenas con forma de soname, **47 no tenían quién las provea**. Triadas (y con dos filas
559corregidas el mismo día — ver §6.11, que las midió en vez de deducirlas; hoy el mapa da **7 huecos**):
560
561| Qué se pierde | Estado |
562|---|---|
563| **Códecs del sistema (H.264/AAC)** | ❌ **ERA FALSO** — `recipes/ffmpeg.toml` existe, está sellada y ya viajaba en los cuatro escritorios por `mpv`. Corregido en §6.11: **reproduce** |
564| **Notificaciones web** (`libnotify`) | ✅ **CERRADO el 2026-09-07**: `recipes/libnotify.toml`, 0.8.8, compartida. Es el primer hueco que este mapa encontró Y cerró |
565| **Llavero** (`libsecret`) | hueco — pero **la receta ya existe** en `incoming-gnome` |
566| **Sonidos del sistema** (`libcanberra`) | hueco — receta en `incoming-kde` |
567| **WebGPU / vulkan** (`libvulkan`) | hueco — receta `vulkan-loader` en `incoming-kde` |
568| **Vídeo por hardware** (VA-API) | hueco, pero **no por falta de receta**: `libva` está sellada y en las cuatro imágenes. Falta el driver — las tres mesa van con `-Dgallium-va=disabled` y `-Dvideo-codecs=` vacío ⇒ ni un `*_drv_video.so` |
569| **Lectura en voz alta** (`libspeechd`) | hueco — sin receta |
570| `libGL` | **decisión**: la distro es Wayland-only sin GLX y Firefox va por EGL |
571| `libcurl` | **decisión**: sólo lo usa `pingsender`, que manda telemetría — apagada |
572| Kerberos, menú global, ML | fuera de alcance |
573| `libdl/libpthread/librt/libudev.so.0/libfreebl3` | ruido: musl los funde, o el soname es viejo |
574
575**El primero ya está cerrado.** `libnotify` no tenía receta y ahora la tiene: es la prueba de que el
576mapa sirve para algo más que mirarlo. ⚠ Con una advertencia que va escrita en la propia receta:
577`libnotify` no trae un daemon, manda `org.freedesktop.Notifications` por D-Bus ⇒ tenerla resuelve la
578mitad —que firefox la encuentre— y la otra mitad es que en la imagen haya alguien escuchando ese
579nombre. Nadie debería leer «notificaciones arregladas» y esperar un globo en un QEMU pelado.
580
581**⚠ CORRECCIÓN, mismo día: escribí que tres de los siete eran «baratos, promoción y no autoría»
582—`libsecret`, `libcanberra`, `vulkan-loader`— y es FALSO.** Lo comprobé antes de declararlos en los
583perfiles, y en los tres casos falta la otra mitad:
584
585| «barata» | por qué NO alcanza con declararla |
586|---|---|
587| `vulkan-loader` | **las tres recetas de mesa construyen con `-Dvulkan-drivers=` VACÍO** ⇒ el loader no encontraría un solo dispositivo. Un cargador sin ICD no es WebGPU |
588| `libsecret` | no hay receta de `gnome-keyring` ni de ningún servicio de secretos: firefox hablaría a `org.freedesktop.secrets` y no habría nadie |
589| `libcanberra` | no hay receta de `sound-theme-freedesktop`: la librería carga y no suena nada |
590
591Declararlas habría subido el número de paquetes de la imagen sin encender una sola función. **Una
592librería es media función; la otra mitad es quien la atiende**, y eso vale para todas las de esta
593tabla. Quedan como huecos, no como promociones pendientes.
594
595⚠ **Y esta frase también se cayó el mismo día.** Decía que de los otros cuatro «el más caro para el
596usuario es `ffmpeg`: sin él, un sitio que sirva H.264 no reproduce» — con lo cual el hueco más caro
597del mapa **no existía**. Ver §6.11: la receta estaba, faltaba declararla en el runner, y H.264 (y
598AAC, VP9, Opus, AV1, MP3, FLAC) reproducen. De los cuatro «sin receta» quedan tres, y ninguno es un
599códec: lectura en voz alta (`libspeechd`), el driver de VA-API, y `libpci` —que sólo lo usa
600`glxtest`, o sea irrelevante sin GLX.
601
602**Y la misma vara aplicada a `libnotify`, que sí se declaró:** su otra mitad es un daemon que
603escuche `org.freedesktop.Notifications`. Medido perfil por perfil:
604
605    escritorio-kde      plasma-workspace        ✓ completa
606    escritorio-gnome    gnome-shell             ✓ completa
607    escritorio-cosmic   cosmic-notifications    ✓ completa
608    escritorio-sway     dunst 1.12.2            ✓ completa — CERRADA el 2026-09-07
609
610La de sway se cerró el mismo día con `recipes/incoming-wlr/dunst.toml`, y la trampa del homónimo
611—**el nombre `mako` YA ESTÁ OCUPADO en el corpus** por el motor de plantillas de Python de Mesa— se
612esquivó eligiendo dunst, que además habla D-Bus por GDBus y no por `sd-bus`, o sea sin receta nueva
613de `basu`. La prueba no es que selle: `scripts/wlr/dunst-headless.sh` levanta sway headless y un bus
614de sesión, manda un `notify-send` y **deja que el bus active el daemon solo** —el mismo camino que
615recorre una página web en `atuq`—, y mide un diff de píxeles antes/después: 14.832 cambiados con el
616`.service` puesto, 0 sin él. Evidencia en `docs/evidencia/dunst-sway-notificacion-2026-09-07.png`.
617
618Y la cadena se cerró hasta el final, que es donde vive la promesa: con `--via-atuq` el emisor no es
619`notify-send` sino **una página web dentro del navegador**. Ahí se ejercitan las cinco piezas —
620`new Notification(...)` → `libxul` haciendo `dlopen("libnotify.so.4")` (que no es NEEDED de ningún
621ELF, o sea invisible para cualquier auditor) → D-Bus → activación → dunst dibujando—, y el veredicto
622es el `onshow` del motor, no el diff de píxeles: con el `.service` puesto llega a `MOSTRADA #33`, sin
623él el motor dice `ERROR al mostrar` y no se dibuja nada. Evidencia en
624`docs/evidencia/atuq-notificacion-web-sway-2026-09-07.png`.
625
626Vale la pena decir qué prueba eso de más: que en el proceso de `atuq` **la GLib no se duplica**. El
627navegador usa la cadena `-shared` (la que arrastra su GTK3) y `libnotify.so.4` enlaza esa misma, así
628que el `dlopen` no repite GObject. El que sí lo repetía era `dunstify`, y por eso no se shipea.
629
630⚠ De paso apareció otra media función, y ésta toca a `libnotify` directamente: **`dunstify`
631segfaultea hasta en `--help`** porque mezcla la GLib ESTÁTICA del corpus con la COMPARTIDA que
632arrastra `libnotify.so.4` — dos copias de GObject en un proceso. No se shipea; el emisor es
633`notify-send`, que viene dentro del artefacto de libnotify y enlaza toda la cadena compartida. Vale
634como recordatorio de que en este corpus **quién enlaza qué GLib es parte del contrato**, no un
635detalle del build.
636
637**Lo que esta sección cambia de fondo:** hasta hoy la pregunta era «¿arranca?», y la respuesta era
638sí. La pregunta que faltaba era «¿y qué NO puede hacer?», que ninguna métrica del repo respondía
639porque todas miran presencia y ésta mira ausencia declarada por el propio binario.
640
641### 6.11 Y ahora la pregunta que faltaba: ¿REPRODUCE? (2026-09-07)
642
643El §6.10 preguntó «¿qué NO puede hacer?» y contestó leyendo cadenas. Media pregunta. La otra mitad
644—**¿se ve el vídeo?**— no la contesta ningún auditor de ELF, y al hacerla aparecieron **dos errores
645del mapa y un bug real del navegador**.
646
647**Error 1: «no hay receta de ffmpeg».** La hay. `recipes/ffmpeg.toml`, 7.1, sellada, publica
648`libavcodec.so.61` —uno de los once sonames que `libxul.so` sondea por `dlopen` literal— y **ya
649viajaba en la clausura de los cuatro escritorios**, arrastrada por `mpv`. Comprobado con
650`yupana.membresia`, que es la vista honesta por par `(cola, nombre)`, no leyendo el TOML:
651
652    escritorio-kde 308 nodos · escritorio-gnome 192 · escritorio-sway 203 · escritorio-cosmic 163
653    ffmpeg ✓ en los cuatro · libva ✓ en los cuatro
654
655Lo que faltaba no era la receta: era **la lista de raíces de `scripts/atuq-nested.sh`**, escrita a
656mano, que hidrataba un rootfs más pobre que la imagen. Otra vez el instrumento y no el artefacto —
657la misma forma que `gcc-libs` el día anterior. Y la comprobación previa que sí se pudo hacer sin
658correr nada: de los 82 símbolos con forma `av*_` que `libxul` dlsimboliza, **los 9 que nuestro
659`libavcodec` no exporta son los de la API vieja** (`avcodec_decode_video2`, `av_lockmgr_register`,
660`avcodec_register_all`…), que Firefox sólo pide para las versiones 53-57.
661
662**Error 2: «VA-API, sin receta».** También la hay, y también está en las cuatro imágenes. El hueco
663es real pero por la OTRA mitad: las tres recetas de mesa construyen con `-Dgallium-va=disabled` y
664`-Dvideo-codecs=` vacío ⇒ **no existe un solo `*_drv_video.so`**. Un cargador sin ICD no acelera
665nada, exactamente como `vulkan-loader`. ⚠ Y con una trampa nueva: ahora que `libva` está en el
666rootfs, **el mapa de `--dlopen` ya no la reporta**, porque mide presencia de fichero. La librería
667presente SILENCIA el aviso sin encender la función. Queda escrito acá porque el guardián ya no
668puede decirlo.
669
670**El bug real: AV1 no reproducía.** Gecko **se come el primer elemento de `LD_LIBRARY_PATH`** al
671lanzar el proceso RDD, el que decodifica vídeo. El lanzador ponía `/usr/lib/atuq` una sola vez —o
672sea, primero—, así que el RDD arrancaba sin él, no encontraba el ffvpx bundleado (donde vive dav1d)
673y anotaba `FFVPX: Link result: NoProvidedLib`. Y ahí **no falla**: se cae al ffmpeg del sistema, que
674cubre H.264/AAC/VP8/VP9/MP3/FLAC/Opus… pero **no AV1 por software**, porque el decodificador `av1`
675de ffmpeg es sólo hwaccel y nuestra receta va sin dav1d. Resultado: un vídeo AV1 se quedaba en
676`readyState=1` para siempre, sin un error, sin un NEEDED faltante y sin una cadena ausente.
677
678Tres corridas del MISMO artefacto que sólo cambian esa variable:
679
680    LD=/usr/lib/atuq:/usr/lib:/lib             → RDD NoProvidedLib   AV1 ✗
681    LD=/usr/lib/atuq:/usr/lib/atuq:/usr/lib    → RDD Success         AV1 ✓
682    LD=/relleno:/usr/lib/atuq:/usr/lib         → RDD Success         AV1 ✓   (el relleno se lo come)
683
684El arreglo es repetir el appdir en `recipes/atuq/bin/atuq`. Feo y correcto mientras no haya
685`patchelf` en el corpus para grabar `RUNPATH=$ORIGIN`, que borraría la variable entera.
686
687**Lo que quedó medido**, con `scripts/test-atuq-codecs.sh`, headless, por el lanzador de verdad y
688sin `LD_LIBRARY_PATH` de afuera:
689
690| Muestra | Veredicto |
691|---|---|
692| H.264 + AAC (mp4) | ✅ `t=3.00`, 75 cuadros |
693| VP9 + Opus (webm) | ✅ `t=3.00` |
694| AV1 (mp4) | ✅ `t=3.00` — sólo desde el arreglo del lanzador |
695| MP3 | ✅ |
696| FLAC | ✅ |
697
698El veredicto **no es «se creó el decodificador»**: es que `currentTime` AVANCE. La distinción no es
699retórica — en el caso de AV1 el decodificador se creaba (`RemoteDecoderChild … codec: av1`) y no
700entregaba un solo cuadro. El guardián corre con `--negative-control`, que saltea el lanzador y
701**exige que AV1 falle**: probado en los dos sentidos, porque uno que no puede fallar y uno que nunca
702falló se ven igual desde afuera.
703
704**Dos bugs de andamiaje que salieron de paso**, los dos en `atuq-nested.sh` y los dos escondidos
705detrás de una caché: el bucle de hidratación salía 1 siempre (línea vacía final + `set -e`) y mataba
706el script sin imprimir nada, y la comparación del sello nunca daba igual (un `\n` que `$(cat …)`
707recorta de un lado y no del otro), así que el rootfs se rehidrataba entero en cada corrida. El
708primero sólo se veía cuando cambiaban los hashes; lo destapó agregar `ffmpeg` a las raíces.
709
710### 2.ter Dónde vive la fuente de `atuq` — hizo falta un modo de `[source]` nuevo
711
712Escribir la receta destapó un muro que este documento no había visto: `[source]` era
713**obligatoriamente** git o tarball, así que una receta cuyo contenido no viene de upstream sino de
714nosotros no se podía ni expresar. Los rodeos eran todos peores — fetchear una fuente que después se
715ignora **miente** sobre la identidad del artefacto, y colgar el overlay de un repo aparte obliga al
716worker a tener acceso a un repo privado.
717
718Se agregó **`source.dir`** (commit `54fa4a9`): un árbol dentro del propio repo, hasheado por
719**contenido** con `ArtifactHash::of_tree` —que ya existía para verificar bit-reproducibilidad en
720Stage 2— y no por ruta. Es la misma disciplina que ya tenían los `patches`, que entran al hash por
721bytes. Editar un CSS del overlay mueve el `ArtifactHash`; renombrar el directorio, no.
722
723Un `.swm` **no** puede llevar una receta derivada, y los cuatro sitios que lo tocan fallan
724diciéndolo: el manifiesto es compartible y necesita un puntero resoluble desde fuera.
725
726**Hecho el 2026-09-05** (commits `aeebb19` y `6f6c32b`): `recipes/atuq.toml` + `recipes/atuq/`.
727La **v0.2** (`b3:7eff4ba4`) ya trae el branding: `application.ini` (Vendor/Name/RemotingName/
728CodeName, con el `ID` intacto para no salirse del ecosistema de complementos), `brand.ftl` dentro de
729`browser/omni.ja`, los binarios renombrados, iconos propios y `.desktop`. El re-empaque preserva
730orden, `STORED` y fechas del original, y se verificó contra el artefacto: **5306 entradas, mismo
731orden, y una sola con contenido distinto**. El `BuildID` se deriva del contenido del overlay —no de
732la fecha— porque es la clave con la que Gecko invalida su startup cache: sin eso, un cambio de
733chrome arranca con la interfaz vieja y *parece* que el overlay no agarró.
734
735La capa de configuración de la v0.1 son cuatro ficheros —autoconfig, `atuq.cfg`, `chrome/atuq.css`,
736`policies.json`— y el CSS se registra como `USER_SHEET` desde autoconfig porque `userChrome.css`
737vive en el perfil y exigiría que el usuario prenda una pref: atuq tiene que verse como atuq en el
738primer arranque. Falta construirlo: su dep `firefox` está en vuelo.
739
740### 2.quater Abrirlo en una pantalla: tres fallos que la clausura no podía ver
741
742El 2026-09-05, con `atuq` sellado y verificado, se hidrató y se abrió en el compositor de la sesión
743(waypipe). **No arrancó**, y los tres motivos son la diferencia entre «sellado» y «usable»:
744
7451. **EXDEV al hidratar.** `hydrate` proyecta con hardlinks y `linkat()` rechaza cruzar un punto de
746   montaje aunque los dos lados sean el mismo filesystem. Acá el store es `/dev/sdb` bind-monteado
747   y `work/` vive en `/dev/sdc`. El rootfs va bajo `/mnt/cosecha`, donde el volumen está montado
748   entero. Se comprueba con `findmnt -T`, **nunca** con `stat -c %d`.
7492. **El lanzador no puede ser un symlink.** Ni el binario ni sus `.so` traen `RPATH`/`RUNPATH`
750   (`readelf -d`), así que el motor no encontraba su propio `libnspr4.so` y moría en
751   `XPCOMGlueLoad`. Es un script con `LD_LIBRARY_PATH` + `exec`, como Debian y Fedora. La
752   alternativa limpia —`RPATH=$ORIGIN` con `patchelf`, que es lo que hace Alpine— espera a que
753   `patchelf` exista como receta del corpus.
7543. **Un bug del corpus, no de atuq: `atk` se había tragado GObject.** Declaraba la variante
755   ESTÁTICA de glib y produce un objeto compartido, así que `libatk-1.0.so` llevaba una copia
756   entera del sistema de tipos. Dos GObject en un proceso ⇒ 45 `GLib-GObject-CRITICAL` y
757   `Segmentation fault`. **El síntoma no nombra a atk**, y no se ve mirando el rootfs: había una
758   sola `libgobject`. Se cazó preguntando quién DEFINE el símbolo:
759   `nm -D --defined-only <cada .so> | grep " T g_type_register_static"` — deben salir uno, salieron
760   dos.
761
762Radio medido antes de tocar (`yupana radio atk`): 4 transitivos, 3 sellados a deuda; GNOME fuera
763porque usa gtk4. La cadena `atk → gtk3 → firefox → atuq` volvió a sellar 4/4, y **firefox tardó
764~50 minutos, no las cuatro horas** que repetía este documento — el número venía del folclore de la
765receta, no de una medición.
766
767**La lección para el plan: ninguna unidad de este frente está cerrada hasta que algo se ABRE en una
768pantalla.** La clausura decía 100% con un navegador que no llegaba a pintar un píxel.
769
770### 2.quinquies La v0.3 y los tres mecanismos: dos muertos, uno vivo
771
772La página de inicio y la pestaña nueva parecían un `pref` y resultaron ser un frente. Lo que se
773midió, en orden:
774
775| Mecanismo | Resultado |
776|---|---|
777| `distribution/extensions/` — el clásico de las distros | **No instala nada.** Firefox retiró el *sideloading*. El `extensions.json` del perfil ni lo mencionaba y el log no dijo una palabra: fallo perfectamente silencioso |
778| `policies.json` → `ExtensionSettings` con `install_url` | **Se lee** (`browser.policies.applied=true` en el perfil) y falla nombrándose: `ERROR_SIGNEDSTATE_REQUIRED` |
779| `xpinstall.signatures.required = false` | **No alcanza** — la exigencia viene COMPILADA |
780
781**El instrumento que destrabó el diagnóstico fue un testigo.** `defaultPref` no deja rastro en
782`prefs.js` —sólo se guarda lo que difiere del default— así que un autoconfig que **no se ejecuta**
783es indistinguible de uno que sí y no hace nada. `atuq.cfg` escribe ahora `atuq.autoconfig.ok` como
784pref de **usuario**, legible desde fuera sin abrir el navegador. Salió `true` ⇒ el `.cfg` corría, y
785por lo tanto la pref de firma se estaba ignorando.
786
787De ahí `MOZ_REQUIRE_SIGNING` vacío en `recipes/firefox.toml`. Dos detalles que costaron cada uno su
788vuelta:
789
7901. El default sale del **milestone** (`milestone.is_release_or_beta`), no del canal de actualización.
791   El nuestro es `default` y la exigencia estaba activa igual.
7922. **Se desactiva con el valor VACÍO, no con cero.** `=0` muere con «takes 0 values»: es booleana y
793   el cero es un valor que no acepta. Leído del parser de mozbuild, no deducido.
794
795**El precio, escrito:** este Firefox deja de exigir la firma de Mozilla para cualquier complemento.
796La alternativa es firmar en AMO —cuenta y revisión de Mozilla por versión—, que es la dependencia
797externa que esta distro existe para no tener. Y no es un desvío: **sin esto, el `sct` del §6.1
798tampoco se podría shipear nunca**, así que la unidad 6 dependía de ésta sin que el plan lo dijera.
799
800**Método que conviene repetir:** la prueba del testigo se hizo **sin reconstruir**, montando el
801`.cfg` modificado con `--ro-bind` por encima del artefacto. Editar el fichero en el rootfs habría
802escrito sobre un **hardlink del store** y corrompido el artefacto sellado.
803
804### 2.sexies Lo que quedó PROBADO, y con qué
805
806Tres afirmaciones que este documento venía haciendo sin medir, y cómo se cerraron:
807
808| Afirmación | Prueba |
809|---|---|
810| El re-empaque del `omni.ja` es determinista | `why-differs` entre dos builds de `atuq`: **85 entradas idénticas, 0 divergen** |
811| La capa de configuración se aplica | testigo `atuq.autoconfig.ok` escrito como pref de **usuario** en el perfil |
812| El branding se ve | captura de la pantalla real con `grim` desde dentro de la jaula, y la página de inicio renderizada por el propio navegador con `--headless --screenshot` |
813| La base también reproduce | `why-differs` entre dos builds de `firefox` en el worker: **56 entradas idénticas, 0 divergen** |
814
815Y el contraste que salió de la primera: **el derivado reproducía y la base no.** El `BuildID` de
816`firefox` era la hora del build, así que dos construcciones con el mismo `ArtifactHash` daban bytes
817distintos — y `build-state.json` no lo podía ver, porque el hash es input-addressed y no se mueve
818por esto. Verde y mintiendo. Cerrado con `MOZ_BUILD_DATE` desde `SOURCE_DATE_EPOCH`, que es el
819mecanismo de hermeticidad que el sandbox ya tenía — y **comprobado como se comprueba esto**:
820apartando el artefacto como `.ref`, construyendo de nuevo y pasándole `why-differs`. Reproduce.
821
822**Dos guardianes nuevos en la fase `install` de `firefox`**, hermanos entre sí, porque los dos fallos
823son de la misma familia —una bandera que el `configure` acepta y el artefacto ignora, muda y a 50
824minutos de distancia—: uno comprueba `MOZ_REQUIRE_SIGNING: false` dentro del `omni.ja`, el otro que
825el `BuildID` sea el que `SOURCE_DATE_EPOCH` obliga.
826
827**La regla que sale de todo el día:** cuando la duda es «¿llegó al artefacto?», la respuesta no está
828en el log del build ni en la receta — está **dentro del artefacto**, y hay que ir a buscarla ahí.
829
830## 7. La costura: un host de native messaging en Rust
831
832Todo lo del §6 que no es CSS pasa por **un solo mecanismo**: un proceso Rust que habla native
833messaging con la extensión de `atuq` y, del otro lado, con la suite (`agora` para identidad Ed25519,
834`khipu`, el store, `foreign-*`, `cortafuegos`).
835
836Que sea **uno** y no siete es la decisión: cada feature del §6 pasa a ser un verbo de ese host, no un
837proyecto nuevo. El binario vive en tawasuyu (es suite, no build system); `atuq` sólo lo declara como
838dep y le deja el manifiesto de native messaging en su sitio. **El nombre del crate se decide en
839tawasuyu y con su regla 10 puesta** — acá no se bautiza nada de allá.
840
841### 7.bis El camino EXISTE, y tres cosas que no eran obvias (2026-09-07)
842
843Antes de escribir un crate contra un mecanismo hay que saber si el mecanismo funciona en NUESTRO
844build —propio, rebrandeado, con `MOZ_REQUIRE_SIGNING` vacío—, así que se puso una **sonda**:
845extensión de diez líneas con permiso `nativeMessaging` y un host de tres que contesta `{"ok":true}`.
846Vive en `scripts/test-atuq-nativo.py`, con control negativo:
847
848    positivo  MENSAJE {"ok":true}
849    control   DESCONECTADO No such native application puente_atuq
850
851El control no sólo falla: **nombra la causa**, que es lo que confirma que la ruta del manifiesto es
852la que se probó. Lo que hay que saber para escribir el host:
853
854| Qué | Medido |
855|---|---|
856| Dónde va el manifiesto | **`/usr/lib/mozilla/native-messaging-hosts/`**, NO el appdir. Sale de `XRESysNativeManifests`, un `/usr/lib/mozilla` compilado; el rebranding a `atuq` no lo mueve |
857| Cómo se instala la extensión | por el **escaneo de `distribution/extensions/`**. `ExtensionSettings.install_url` con `file://` no instala nada, ni con `force_installed` ni con el XPI dentro del appdir, y **sin una línea de log** |
858| Forma del host | un proceso **largo**: si escribe la respuesta y sale, Gecko cierra el puerto sin entregarla — `onDisconnect` «sin error y sin mensaje», el peor informe posible |
859| Con qué diagnosticar | el error del puerto de `connectNative`. `sendNativeMessage` devuelve «An unexpected error occurred» para todo y no distingue nada |
860
861⚠ La tercera fila del cuadro corrige una lectura fácil de `policies.json`: los dos mecanismos
862apuntan a los mismos ficheros y se tapan uno al otro, así que la política PARECE ser la que instala.
863Fija y configura; instalar, no.
864
865## 8. Plan, por unidades de trabajo
866
867Cada una cierra sola, se commitea y se pushea. El orden no es preferencia: cada una destraba a la
868siguiente.
869
870| # | Unidad | Puerta que abre | Bloqueada por |
871|---|---|---|---|
872| 1 | **`waterfox` SELLA** ✅ 2026-09-06 — `b3:88b5a762`, 377 M, BuildID determinista **y REPRODUCE bit a bit**. Cuatro muros, **ninguno de la receta**: hammer viejo en el worker, el watchdog barriendo el post-mortem, deps estáticas vs. el cairo bundleado, y una rotura de upstream sólo-Linux | valida la tesis del reúso | — |
873| 2 | ~~`llvm-toolchain`~~ → **`apk add lld` + `compiler="clang"`** ✅ 2026-09-05 | LTO **y** el muro 3 | — |
874| 3 | Construir el `firefox` con LTO (hash `b3:6f2a3b2f`) | el eje de velocidad **y** las extensiones de `atuq` | 2 ✅ |
875| 3.a | **PGO ENCENDIDO** ✅ 2026-09-07 — perfil de 501.521 funciones recogido bajo headless, publicado en el mirror y pineado por sha256; 189 compilaciones con `-fprofile-use`. Sin `jarlog` todavía | la otra mitad de la ganancia | 3 ✅ |
876| 3.b | **RLBox ENCENDIDO** ✅ 2026-09-06 — cadena wasm de CINCO recetas selladas + guardián que la exige en el binario; firefox sellado **y REPRODUCE bit a bit** (`verificar-repro.sh`: 0 no-determinismos) | cierra el hueco de seguridad del §3.bis | 2 ✅ |
877| 4 | **`atuq`: receta derivada + overlay de chrome** ✅ v0.1 escrita | el andamio de todo lo demás | 3 |
878| 4.b | Branding + re-empaque de `omni.ja` ✅ v0.2 | el chrome de verdad | — |
879| 4.d | **Abrirlo en pantalla** — destapó EXDEV, el lanzador, el `atk` envenenado y la cadena GTK3 estática | «usable», no sólo «sellado» | — |
880| 4.e | **v0.3: página de inicio y pestaña nueva** por extensión de sistema; exigió `MOZ_REQUIRE_SIGNING` vacío. **Verificado 2026-09-07** con `scripts/test-atuq-inicio.py`: se le pregunta al MOTOR (`browserSettings.homepageOverride` / `newTabPageOverride`) y da `moz-extension://…/inicio.html` en las dos, contra `about:home`/`about:newtab` en el control | y con eso queda destrabada la unidad 6 (`sct`) | rebuild de firefox |
881| 4.f | **Los códecs, medidos** ✅ 2026-09-07 — H.264+AAC, VP9+Opus, AV1, MP3 y FLAC reproducen; arreglado el `LD_LIBRARY_PATH` que dejaba al RDD sin ffvpx (AV1 muerto en silencio) y nacido `scripts/test-atuq-codecs.sh` con control negativo | «se ve el vídeo», que ningún auditor de ELF podía responder | — |
882| 4.c | `MOZ_BUILD_DATE` determinista ✅ — `BuildID=19700101000001`, con guardián en install y **`why-differs` 56/56 sobre dos builds reales** | el invariante de reproducibilidad | — |
883| 5 | Host de native messaging (tawasuyu) — **camino COMPROBADO 2026-09-07** (§7.bis): sonda extensión↔proceso nativo con control negativo, y las tres trampas medidas (dónde va el manifiesto, qué instala de verdad, y que el host tiene que ser un proceso largo) | los verbos del §6 | 4 |
884| 6 | `sct` v1 (extensión + testigo) | el diferenciador que nadie tiene | 5 |
885| 7 | Descargas al CAS | 6.2, y alimenta 6.9 | 5 |
886| 8 | Archivo + RAG | 6.3 | 5, 7 |
887| 9 | Torrent, medios, foco | 6.5–6.7, 6.9 | 5 |
888| 9.a | **Proxy por contenedor ✅ v0.5** — contenedores por política + extensión con `proxy.onRequest` | 6.8, y NO dependía de 5: es API de Firefox | — |
889
890Las unidades 2 y 4 son **paralelizables**: la toolchain no toca el chrome y el chrome no toca la
891toolchain. Si hay dos frentes, van juntas.
892
893## 9. Por qué esto no abandona a `puriy`
894
895`puriy` es el motor DOM/CSS propio con JS real (QuickJS-NG sobre `wasmi`) cuyo límite declarado no es
896el lenguaje sino **el wiring nativo**: DOM bindings completos, red, render. Eso no se acelera
897escribiendo otro navegador; se acelera con tiempo.
898
899`atuq` no le compite porque no comparte una sola línea con él, y **le sirve** porque todo lo del §6
900vive del lado Rust: el host del §7, el testigo de `sct`, las descargas al CAS, el archivo con RAG.
901Son **agnósticos del motor**. Cuando `puriy` madure, se enchufan del mismo lado sin reescribirse.
902
903Dicho al revés, que es como conviene recordarlo: **`atuq` es el navegador que se puede usar mientras
904`puriy` crece, y el andamio de las features que `puriy` va a heredar.** Si dentro de dos años `atuq`
905se apaga, lo que se tira es una receta derivada y una hoja de CSS; todo lo demás sobrevive.