@hoilab/ada-cli 0.84.22 → 0.85.1

package/dist/core/web/destino.js

@@ -0,0 +1,162 @@
+/**
+ * ¿A dónde va de verdad esta URL?
+ *
+ * EL FALLO. `assertFetchableUrl` compara el NOMBRE del host contra una lista y
+ * unas expresiones regulares. Eso para lo evidente y deja pasar todo lo que
+ * llega a la misma dirección por otro camino. Medido sobre nuestra guarda:
+ *
+ *     http://127.0.0.1:8080/secreto          bloqueado
+ *     http://localhost:8080/secreto          bloqueado
+ *     http://[::1]:8080/secreto              bloqueado
+ *     http://[::ffff:127.0.0.1]:8080/secreto PASA   ← IPv4 mapeada en IPv6
+ *     http://localtest.me:8080/secreto       PASA   ← resuelve a 127.0.0.1
+ *
+ * Y había un tercero: `redirect: "follow"`. Una URL pública que responde 302
+ * hacia loopback llega igual, porque la guarda solo mira la primera.
+ *
+ * Para un agente esto es serio: el modelo puede pedir una descarga con una URL
+ * que parece de internet y acabar leyendo el panel de administración de la red
+ * interna, o el endpoint de metadatos de la nube — que es donde viven las
+ * credenciales de la máquina.
+ *
+ * LA CAUSA RAÍZ, y por eso este módulo existe aparte: un nombre no es un
+ * destino. Lo único que dice a dónde va una petición es la DIRECCIÓN a la que
+ * resuelve, así que hay que resolverla y mirarla. Las comprobaciones por nombre
+ * se quedan, pero como filtro barato de primera pasada, no como la defensa.
+ *
+ * LO QUE NO RESUELVE, dicho antes de que lo descubra nadie: entre que
+ * resolvemos y que la petición sale, el DNS puede cambiar de respuesta —el
+ * ataque clásico de «rebind». Cerrarlo del todo exige fijar la dirección
+ * resuelta al abrir la conexión, que es cosa del agente HTTP y no de aquí.
+ * Contra un servidor hostil que controle su propio DNS esto sube el listón; no
+ * lo cierra.
+ */
+import { lookup } from "node:dns/promises";
+/** Hosts que nunca deben alcanzarse desde una URL propuesta por el modelo. */
+const BLOCKED_HOSTNAMES = new Set(["localhost", "metadata.google.internal", "metadata"]);
+const PRIVATE_IPV4 = /^(?:10\.|127\.|0\.|169\.254\.|192\.168\.|172\.(?:1[6-9]|2\d|3[01])\.|100\.(?:6[4-9]|[7-9]\d|1[01]\d|12[0-7])\.)/;
+/**
+ * Valida una URL antes de pedirla.
+ *
+ * Bloquea esquemas no-HTTP, loopback, rangos privados y el endpoint de metadatos
+ * de los proveedores cloud — que es el objetivo clásico de un SSRF y devuelve
+ * credenciales de la instancia.
+ *
+ * Vive aquí (y no solo en `tools.ts`) para que `load-page.ts` pueda usar la
+ * MISMA guarda sin importar ciclos: `tools.ts` la re-exporta por compatibilidad.
+ */
+export function assertFetchableUrl(raw) {
+    let url;
+    try {
+        url = new URL(raw);
+    }
+    catch {
+        throw new Error(`URL inválida: ${raw}`);
+    }
+    if (url.protocol !== "http:" && url.protocol !== "https:") {
+        throw new Error(`Solo se permiten http y https (recibido: ${url.protocol}).`);
+    }
+    const host = url.hostname.toLowerCase().replace(/^\[|\]$/g, "");
+    if (host === "169.254.169.254")
+        throw new Error("Endpoint de metadatos cloud bloqueado.");
+    if (BLOCKED_HOSTNAMES.has(host) || host.endsWith(".localhost")) {
+        throw new Error(`Host bloqueado: ${host}`);
+    }
+    if (PRIVATE_IPV4.test(host) || host === "::1" || host.startsWith("fc") || host.startsWith("fd")) {
+        throw new Error(`Dirección de red privada bloqueada: ${host}`);
+    }
+    return url;
+}
+/**
+ * ¿Esta dirección IP es de una red que no debe alcanzarse desde una tool web?
+ *
+ * Se trabaja sobre la dirección ya resuelta, así que da igual cómo se escribió
+ * el host: decimal, octal, mapeada en IPv6 o un dominio que apunta ahí.
+ */
+export function direccionInterna(ip) {
+    const limpia = ip.toLowerCase().replace(/^\[|\]$/g, "");
+    // IPv4 mapeada en IPv6: se desenvuelve y se juzga como IPv4, que es lo que
+    // era. Sin esto, `[::ffff:127.0.0.1]` pasaba entera.
+    //
+    // Hay que cubrir LAS DOS FORMAS, y esto casi se me escapa: `new URL()`
+    // normaliza `[::ffff:127.0.0.1]` a `[::ffff:7f00:1]`, en hexadecimal. Una
+    // guarda que solo mirara la forma decimal daría verde sobre la única forma
+    // que llega de verdad desde una URL.
+    let dir = limpia;
+    const decimal = limpia.match(/^::ffff:(\d+\.\d+\.\d+\.\d+)$/);
+    if (decimal) {
+        dir = decimal[1];
+    }
+    else {
+        const hex = limpia.match(/^::ffff:([0-9a-f]{1,4}):([0-9a-f]{1,4})$/);
+        if (hex) {
+            const alto = Number.parseInt(hex[1], 16);
+            const bajo = Number.parseInt(hex[2], 16);
+            dir = `${alto >> 8}.${alto & 0xff}.${bajo >> 8}.${bajo & 0xff}`;
+        }
+    }
+    if (/^\d+\.\d+\.\d+\.\d+$/.test(dir)) {
+        const [a, b] = dir.split(".").map(Number);
+        if (a === 127)
+            return "loopback";
+        if (a === 10)
+            return "red privada (10/8)";
+        if (a === 172 && b >= 16 && b <= 31)
+            return "red privada (172.16/12)";
+        if (a === 192 && b === 168)
+            return "red privada (192.168/16)";
+        if (a === 169 && b === 254)
+            return "enlace local (169.254/16), donde vive el endpoint de metadatos";
+        if (a === 100 && b >= 64 && b <= 127)
+            return "CGNAT (100.64/10)";
+        if (a === 0)
+            return "esta red (0/8)";
+        return null;
+    }
+    if (dir === "::1" || dir === "::")
+        return "loopback IPv6";
+    // `fc00::/7` son las direcciones únicas locales; `fe80::/10`, el enlace local.
+    if (/^f[cd]/.test(dir))
+        return "red privada IPv6 (fc00::/7)";
+    if (/^fe[89ab]/.test(dir))
+        return "enlace local IPv6 (fe80::/10)";
+    return null;
+}
+/**
+ * Resuelve el host y comprueba TODAS las direcciones que devuelve.
+ *
+ * Todas, no la primera: un dominio puede devolver una dirección pública y otra
+ * interna, y quedarse con una sola convierte la defensa en una moneda al aire.
+ *
+ * Un fallo de resolución NO es un permiso. Se devuelve rechazo con su motivo:
+ * «no he podido comprobarlo» y «está bien» son cosas distintas, y aquí
+ * confundirlas es abrir la puerta.
+ */
+export async function destinoPermitido(url) {
+    const host = url.hostname.toLowerCase().replace(/^\[|\]$/g, "");
+    // Si el host YA es una dirección, no hay nada que resolver.
+    const directa = direccionInterna(host);
+    if (directa)
+        return { motivo: directa, direccion: host };
+    if (/^[\d.]+$/.test(host) || host.includes(":"))
+        return null;
+    let direcciones;
+    try {
+        direcciones = await lookup(host, { all: true });
+    }
+    catch (error) {
+        return {
+            motivo: `no se ha podido resolver el nombre (${error.code ?? "error"}), y sin saber a dónde apunta no se descarga`,
+        };
+    }
+    if (direcciones.length === 0) {
+        return { motivo: "el nombre no resuelve a ninguna dirección" };
+    }
+    for (const { address } of direcciones) {
+        const que = direccionInterna(address);
+        if (que)
+            return { motivo: `el nombre resuelve a ${que}`, direccion: address };
+    }
+    return null;
+}
+//# sourceMappingURL=destino.js.map

package/dist/core/web/destino.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"destino.js","sourceRoot":"","sources":["../../../src/core/web/destino.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;;GAgCG;AAEH,OAAO,EAAE,MAAM,EAAE,MAAM,mBAAmB,CAAC;AAE3C,8EAA8E;AAC9E,MAAM,iBAAiB,GAAG,IAAI,GAAG,CAAC,CAAC,WAAW,EAAE,0BAA0B,EAAE,UAAU,CAAC,CAAC,CAAC;AAEzF,MAAM,YAAY,GACjB,iHAAiH,CAAC;AAEnH;;;;;;;;;GASG;AACH,MAAM,UAAU,kBAAkB,CAAC,GAAW;IAC7C,IAAI,GAAQ,CAAC;IACb,IAAI,CAAC;QACJ,GAAG,GAAG,IAAI,GAAG,CAAC,GAAG,CAAC,CAAC;IACpB,CAAC;IAAC,MAAM,CAAC;QACR,MAAM,IAAI,KAAK,CAAC,iBAAiB,GAAG,EAAE,CAAC,CAAC;IACzC,CAAC;IACD,IAAI,GAAG,CAAC,QAAQ,KAAK,OAAO,IAAI,GAAG,CAAC,QAAQ,KAAK,QAAQ,EAAE,CAAC;QAC3D,MAAM,IAAI,KAAK,CAAC,4CAA4C,GAAG,CAAC,QAAQ,IAAI,CAAC,CAAC;IAC/E,CAAC;IACD,MAAM,IAAI,GAAG,GAAG,CAAC,QAAQ,CAAC,WAAW,EAAE,CAAC,OAAO,CAAC,UAAU,EAAE,EAAE,CAAC,CAAC;IAChE,IAAI,IAAI,KAAK,iBAAiB;QAAE,MAAM,IAAI,KAAK,CAAC,wCAAwC,CAAC,CAAC;IAC1F,IAAI,iBAAiB,CAAC,GAAG,CAAC,IAAI,CAAC,IAAI,IAAI,CAAC,QAAQ,CAAC,YAAY,CAAC,EAAE,CAAC;QAChE,MAAM,IAAI,KAAK,CAAC,mBAAmB,IAAI,EAAE,CAAC,CAAC;IAC5C,CAAC;IACD,IAAI,YAAY,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,IAAI,KAAK,KAAK,IAAI,IAAI,CAAC,UAAU,CAAC,IAAI,CAAC,IAAI,IAAI,CAAC,UAAU,CAAC,IAAI,CAAC,EAAE,CAAC;QACjG,MAAM,IAAI,KAAK,CAAC,uCAAuC,IAAI,EAAE,CAAC,CAAC;IAChE,CAAC;IACD,OAAO,GAAG,CAAC;AACZ,CAAC;AASD;;;;;GAKG;AACH,MAAM,UAAU,gBAAgB,CAAC,EAAU;IAC1C,MAAM,MAAM,GAAG,EAAE,CAAC,WAAW,EAAE,CAAC,OAAO,CAAC,UAAU,EAAE,EAAE,CAAC,CAAC;IAExD,2EAA2E;IAC3E,qDAAqD;IACrD,EAAE;IACF,uEAAuE;IACvE,0EAA0E;IAC1E,2EAA2E;IAC3E,qCAAqC;IACrC,IAAI,GAAG,GAAG,MAAM,CAAC;IACjB,MAAM,OAAO,GAAG,MAAM,CAAC,KAAK,CAAC,+BAA+B,CAAC,CAAC;IAC9D,IAAI,OAAO,EAAE,CAAC;QACb,GAAG,GAAG,OAAO,CAAC,CAAC,CAAC,CAAC;IAClB,CAAC;SAAM,CAAC;QACP,MAAM,GAAG,GAAG,MAAM,CAAC,KAAK,CAAC,0CAA0C,CAAC,CAAC;QACrE,IAAI,GAAG,EAAE,CAAC;YACT,MAAM,IAAI,GAAG,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACzC,MAAM,IAAI,GAAG,MAAM,CAAC,QAAQ,CAAC,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;YACzC,GAAG,GAAG,GAAG,IAAI,IAAI,CAAC,IAAI,IAAI,GAAG,IAAI,IAAI,IAAI,IAAI,CAAC,IAAI,IAAI,GAAG,IAAI,EAAE,CAAC;QACjE,CAAC;IACF,CAAC;IAED,IAAI,sBAAsB,CAAC,IAAI,CAAC,GAAG,CAAC,EAAE,CAAC;QACtC,MAAM,CAAC,CAAC,EAAE,CAAC,CAAC,GAAG,GAAG,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,GAAG,CAAC,MAAM,CAAC,CAAC;QAC1C,IAAI,CAAC,KAAK,GAAG;YAAE,OAAO,UAAU,CAAC;QACjC,IAAI,CAAC,KAAK,EAAE;YAAE,OAAO,oBAAoB,CAAC;QAC1C,IAAI,CAAC,KAAK,GAAG,IAAI,CAAC,IAAI,EAAE,IAAI,CAAC,IAAI,EAAE;YAAE,OAAO,yBAAyB,CAAC;QACtE,IAAI,CAAC,KAAK,GAAG,IAAI,CAAC,KAAK,GAAG;YAAE,OAAO,0BAA0B,CAAC;QAC9D,IAAI,CAAC,KAAK,GAAG,IAAI,CAAC,KAAK,GAAG;YAAE,OAAO,gEAAgE,CAAC;QACpG,IAAI,CAAC,KAAK,GAAG,IAAI,CAAC,IAAI,EAAE,IAAI,CAAC,IAAI,GAAG;YAAE,OAAO,mBAAmB,CAAC;QACjE,IAAI,CAAC,KAAK,CAAC;YAAE,OAAO,gBAAgB,CAAC;QACrC,OAAO,IAAI,CAAC;IACb,CAAC;IAED,IAAI,GAAG,KAAK,KAAK,IAAI,GAAG,KAAK,IAAI;QAAE,OAAO,eAAe,CAAC;IAC1D,+EAA+E;IAC/E,IAAI,QAAQ,CAAC,IAAI,CAAC,GAAG,CAAC;QAAE,OAAO,6BAA6B,CAAC;IAC7D,IAAI,WAAW,CAAC,IAAI,CAAC,GAAG,CAAC;QAAE,OAAO,+BAA+B,CAAC;IAClE,OAAO,IAAI,CAAC;AACb,CAAC;AAED;;;;;;;;;GASG;AACH,MAAM,CAAC,KAAK,UAAU,gBAAgB,CAAC,GAAQ;IAC9C,MAAM,IAAI,GAAG,GAAG,CAAC,QAAQ,CAAC,WAAW,EAAE,CAAC,OAAO,CAAC,UAAU,EAAE,EAAE,CAAC,CAAC;IAEhE,4DAA4D;IAC5D,MAAM,OAAO,GAAG,gBAAgB,CAAC,IAAI,CAAC,CAAC;IACvC,IAAI,OAAO;QAAE,OAAO,EAAE,MAAM,EAAE,OAAO,EAAE,SAAS,EAAE,IAAI,EAAE,CAAC;IACzD,IAAI,UAAU,CAAC,IAAI,CAAC,IAAI,CAAC,IAAI,IAAI,CAAC,QAAQ,CAAC,GAAG,CAAC;QAAE,OAAO,IAAI,CAAC;IAE7D,IAAI,WAAuC,CAAC;IAC5C,IAAI,CAAC;QACJ,WAAW,GAAG,MAAM,MAAM,CAAC,IAAI,EAAE,EAAE,GAAG,EAAE,IAAI,EAAE,CAAC,CAAC;IACjD,CAAC;IAAC,OAAO,KAAK,EAAE,CAAC;QAChB,OAAO;YACN,MAAM,EAAE,uCAAwC,KAA+B,CAAC,IAAI,IAAI,OAAO,8CAA8C;SAC7I,CAAC;IACH,CAAC;IACD,IAAI,WAAW,CAAC,MAAM,KAAK,CAAC,EAAE,CAAC;QAC9B,OAAO,EAAE,MAAM,EAAE,2CAA2C,EAAE,CAAC;IAChE,CAAC;IACD,KAAK,MAAM,EAAE,OAAO,EAAE,IAAI,WAAW,EAAE,CAAC;QACvC,MAAM,GAAG,GAAG,gBAAgB,CAAC,OAAO,CAAC,CAAC;QACtC,IAAI,GAAG;YAAE,OAAO,EAAE,MAAM,EAAE,wBAAwB,GAAG,EAAE,EAAE,SAAS,EAAE,OAAO,EAAE,CAAC;IAC/E,CAAC;IACD,OAAO,IAAI,CAAC;AACb,CAAC"}

package/dist/core/web/load-page.d.ts

@@ -0,0 +1,52 @@
+/**
+ * `loadPage` robusta DENTRO del wrapper SSRF.
+ *
+ * POR QUÉ ESTE MÓDULO. `tools.ts:web_fetch` ya valida cada URL con
+ * `assertFetchableUrl` + `destinoPermitido` y sigue redirects con `redirect:
+ * "manual"`. Pero esa lógica vivía solo dentro de la tool. Cualquier otro
+ * camino que hiciera `fetch(url)` directo —o `loadPage` de omp copiada tal cual
+ * con `redirect: "follow"`— bypassa la guarda y una URL pública que responde
+ * 302 hacia 169.254 llega a loopback/metadatos.
+ *
+ * ESTE MÓDULO NO BYPASA. Cada URL —inicial y cada redirect— pasa por la MISMA
+ * guarda existente (`assertFetchableUrl` + `destinoPermitido`). No hay fetch
+ * sin validar. El timeout es abortable, el tamaño se corta mid-stream y los
+ * binarios (image/pdf) devuelven metadata sin intentar decodificar a mojibake.
+ *
+ * DENTRO, jamás alrededor: quien use `loadPage` ya está dentro del perímetro
+ * SSRF. Copiar la lógica de omp (`scrapers/types.ts:loadPage`) sin este
+ * envoltorio sería el bypass que este fichero existe para evitar.
+ */
+/** Timeout por defecto: 15s. Suficiente para una página, corta para no colgar el turno. */
+export declare const DEFAULT_TIMEOUT_MS = 15000;
+/** Máximo 5 MiB. Por encima se corta y se marca `truncated`. */
+export declare const MAX_BYTES: number;
+/** Máximo 3 saltos. Cada uno se re-valida. */
+export declare const MAX_REDIRECTS = 3;
+export interface LoadPageOptions {
+    /** `fetch` inyectable para tests. Por defecto el global. */
+    fetchImpl?: typeof fetch;
+    /** Señal externa del agente (Esc). Se combina con el timeout interno. */
+    signal?: AbortSignal;
+    timeoutMs?: number;
+    maxBytes?: number;
+    maxRedirects?: number;
+}
+export interface LoadPageResult {
+    /** La URL pedida originalmente. */
+    url: string;
+    /** La URL final tras redirects (igual a `url` si no hubo). */
+    finalUrl: string;
+    status: number;
+    ok: boolean;
+    contentType: string;
+    /** Texto decodificado. Vacío si `isBinary` (image/pdf) o si no hubo body. */
+    content: string;
+    truncated: boolean;
+    /** `true` cuando el content-type es binario y no se intentó decodificar. */
+    isBinary: boolean;
+    /** Mensaje de error de transporte cuando `ok` es false y no hay HTTP. */
+    error?: string;
+}
+export declare function loadPage(url: string, options?: LoadPageOptions): Promise<LoadPageResult>;
+//# sourceMappingURL=load-page.d.ts.map

package/dist/core/web/load-page.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"load-page.d.ts","sourceRoot":"","sources":["../../../src/core/web/load-page.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;GAkBG;AAIH,2FAA2F;AAC3F,eAAO,MAAM,kBAAkB,QAAS,CAAC;AAEzC,gEAAgE;AAChE,eAAO,MAAM,SAAS,QAAkB,CAAC;AAEzC,8CAA8C;AAC9C,eAAO,MAAM,aAAa,IAAI,CAAC;AAE/B,MAAM,WAAW,eAAe;IAC/B,4DAA4D;IAC5D,SAAS,CAAC,EAAE,OAAO,KAAK,CAAC;IACzB,yEAAyE;IACzE,MAAM,CAAC,EAAE,WAAW,CAAC;IACrB,SAAS,CAAC,EAAE,MAAM,CAAC;IACnB,QAAQ,CAAC,EAAE,MAAM,CAAC;IAClB,YAAY,CAAC,EAAE,MAAM,CAAC;CACtB;AAED,MAAM,WAAW,cAAc;IAC9B,mCAAmC;IACnC,GAAG,EAAE,MAAM,CAAC;IACZ,8DAA8D;IAC9D,QAAQ,EAAE,MAAM,CAAC;IACjB,MAAM,EAAE,MAAM,CAAC;IACf,EAAE,EAAE,OAAO,CAAC;IACZ,WAAW,EAAE,MAAM,CAAC;IACpB,6EAA6E;IAC7E,OAAO,EAAE,MAAM,CAAC;IAChB,SAAS,EAAE,OAAO,CAAC;IACnB,4EAA4E;IAC5E,QAAQ,EAAE,OAAO,CAAC;IAClB,yEAAyE;IACzE,KAAK,CAAC,EAAE,MAAM,CAAC;CACf;AAuBD,wBAAsB,QAAQ,CAAC,GAAG,EAAE,MAAM,EAAE,OAAO,GAAE,eAAoB,GAAG,OAAO,CAAC,cAAc,CAAC,CA6KlG"}

package/dist/core/web/load-page.js

@@ -0,0 +1,221 @@
+/**
+ * `loadPage` robusta DENTRO del wrapper SSRF.
+ *
+ * POR QUÉ ESTE MÓDULO. `tools.ts:web_fetch` ya valida cada URL con
+ * `assertFetchableUrl` + `destinoPermitido` y sigue redirects con `redirect:
+ * "manual"`. Pero esa lógica vivía solo dentro de la tool. Cualquier otro
+ * camino que hiciera `fetch(url)` directo —o `loadPage` de omp copiada tal cual
+ * con `redirect: "follow"`— bypassa la guarda y una URL pública que responde
+ * 302 hacia 169.254 llega a loopback/metadatos.
+ *
+ * ESTE MÓDULO NO BYPASA. Cada URL —inicial y cada redirect— pasa por la MISMA
+ * guarda existente (`assertFetchableUrl` + `destinoPermitido`). No hay fetch
+ * sin validar. El timeout es abortable, el tamaño se corta mid-stream y los
+ * binarios (image/pdf) devuelven metadata sin intentar decodificar a mojibake.
+ *
+ * DENTRO, jamás alrededor: quien use `loadPage` ya está dentro del perímetro
+ * SSRF. Copiar la lógica de omp (`scrapers/types.ts:loadPage`) sin este
+ * envoltorio sería el bypass que este fichero existe para evitar.
+ */
+import { assertFetchableUrl, destinoPermitido } from "./destino.js";
+/** Timeout por defecto: 15s. Suficiente para una página, corta para no colgar el turno. */
+export const DEFAULT_TIMEOUT_MS = 15_000;
+/** Máximo 5 MiB. Por encima se corta y se marca `truncated`. */
+export const MAX_BYTES = 5 * 1024 * 1024;
+/** Máximo 3 saltos. Cada uno se re-valida. */
+export const MAX_REDIRECTS = 3;
+function charsetFromContentType(header) {
+    return /charset\s*=\s*"?([\w-]+)"?/i.exec(header)?.[1];
+}
+function decodeBody(bytes, contentTypeHeader) {
+    let label = charsetFromContentType(contentTypeHeader);
+    if (!label) {
+        label = /<meta[^>]+charset\s*=\s*["']?([\w-]+)/i.exec(Buffer.from(bytes.subarray(0, 2048)).toString("latin1"))?.[1];
+    }
+    if (label && !/^utf-?8$/i.test(label)) {
+        try {
+            return new TextDecoder(label).decode(bytes);
+        }
+        catch {
+            // charset desconocido → utf-8
+        }
+    }
+    return Buffer.from(bytes).toString("utf-8");
+}
+export async function loadPage(url, options = {}) {
+    const fetchImpl = options.fetchImpl ?? fetch;
+    const timeoutMs = options.timeoutMs ?? DEFAULT_TIMEOUT_MS;
+    const maxBytes = options.maxBytes ?? MAX_BYTES;
+    const maxRedirects = options.maxRedirects ?? MAX_REDIRECTS;
+    const outerSignal = options.signal;
+    const originalUrl = url;
+    let currentUrlStr = url;
+    let redirects = 0;
+    for (;;) {
+        // 1) Pasar por la guarda SSRF existente. No hay fetch sin esto.
+        let currentUrl;
+        try {
+            currentUrl = assertFetchableUrl(currentUrlStr);
+        }
+        catch (error) {
+            throw new Error(`SSRF bloqueado (nombre): ${error.message}`);
+        }
+        const rechazo = await destinoPermitido(currentUrl);
+        if (rechazo) {
+            throw new Error(`SSRF bloqueado: ${rechazo.motivo}${rechazo.direccion ? ` (${rechazo.direccion})` : ""}`);
+        }
+        // Timeout + señal externa combinados.
+        const controller = new AbortController();
+        const timer = setTimeout(() => controller.abort(), timeoutMs);
+        const onOuterAbort = () => controller.abort();
+        if (outerSignal) {
+            if (outerSignal.aborted) {
+                clearTimeout(timer);
+                throw new DOMException("Aborted", "AbortError");
+            }
+            outerSignal.addEventListener("abort", onOuterAbort, { once: true });
+        }
+        let response;
+        try {
+            response = await fetchImpl(currentUrl.toString(), {
+                redirect: "manual",
+                signal: controller.signal,
+                headers: {
+                    "user-agent": "ada-cli",
+                    accept: "text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8",
+                    "accept-encoding": "identity",
+                },
+            });
+        }
+        catch (error) {
+            clearTimeout(timer);
+            if (outerSignal)
+                outerSignal.removeEventListener("abort", onOuterAbort);
+            if (error.name === "AbortError" || controller.signal.aborted) {
+                throw new Error(`Timeout tras ${timeoutMs}ms`);
+            }
+            throw error;
+        }
+        // ¿Redirect?
+        if (response.status >= 300 && response.status < 400) {
+            const location = response.headers.get("location");
+            if (location) {
+                if (redirects >= maxRedirects) {
+                    clearTimeout(timer);
+                    if (outerSignal)
+                        outerSignal.removeEventListener("abort", onOuterAbort);
+                    try {
+                        await response.body?.cancel();
+                    }
+                    catch { }
+                    throw new Error(`Demasiadas redirecciones (>${maxRedirects})`);
+                }
+                try {
+                    await response.body?.cancel();
+                }
+                catch { }
+                clearTimeout(timer);
+                if (outerSignal)
+                    outerSignal.removeEventListener("abort", onOuterAbort);
+                currentUrlStr = new URL(location, currentUrl.toString()).toString();
+                redirects++;
+                continue;
+            }
+        }
+        const rawContentType = response.headers.get("content-type") ?? "";
+        const contentType = rawContentType.split(";")[0]?.trim().toLowerCase() ?? "";
+        const finalUrl = response.url || currentUrl.toString();
+        const isBinary = contentType.startsWith("image/") || contentType === "application/pdf";
+        // Content-type sniff: image/pdf → metadata, sin decodificar.
+        if (isBinary) {
+            try {
+                await response.body?.cancel();
+            }
+            catch { }
+            clearTimeout(timer);
+            if (outerSignal)
+                outerSignal.removeEventListener("abort", onOuterAbort);
+            return {
+                url: originalUrl,
+                finalUrl,
+                status: response.status,
+                ok: response.ok,
+                contentType: contentType || rawContentType,
+                content: "",
+                truncated: false,
+                isBinary: true,
+            };
+        }
+        // Leer con límite 5MB, mid-stream.
+        const reader = response.body?.getReader();
+        if (!reader) {
+            clearTimeout(timer);
+            if (outerSignal)
+                outerSignal.removeEventListener("abort", onOuterAbort);
+            return {
+                url: originalUrl,
+                finalUrl,
+                status: response.status,
+                ok: response.ok,
+                contentType,
+                content: "",
+                truncated: false,
+                isBinary: false,
+            };
+        }
+        const chunks = [];
+        let total = 0;
+        let truncated = false;
+        try {
+            while (true) {
+                if (controller.signal.aborted || outerSignal?.aborted) {
+                    throw new DOMException("Aborted", "AbortError");
+                }
+                const { done, value } = await reader.read();
+                if (done)
+                    break;
+                if (value) {
+                    chunks.push(value);
+                    total += value.length;
+                    if (total > maxBytes) {
+                        truncated = true;
+                        try {
+                            await reader.cancel();
+                        }
+                        catch { }
+                        break;
+                    }
+                }
+            }
+        }
+        catch (error) {
+            clearTimeout(timer);
+            if (outerSignal)
+                outerSignal.removeEventListener("abort", onOuterAbort);
+            if (error.name === "AbortError" || controller.signal.aborted) {
+                throw new Error(`Timeout tras ${timeoutMs}ms`);
+            }
+            throw error;
+        }
+        clearTimeout(timer);
+        if (outerSignal)
+            outerSignal.removeEventListener("abort", onOuterAbort);
+        // Si cortamos por tamaño, solo decodificamos hasta maxBytes.
+        let bytes = Buffer.concat(chunks);
+        if (truncated && bytes.length > maxBytes) {
+            bytes = bytes.subarray(0, maxBytes);
+        }
+        const content = bytes.length > 0 ? decodeBody(bytes, rawContentType) : "";
+        return {
+            url: originalUrl,
+            finalUrl,
+            status: response.status,
+            ok: response.ok,
+            contentType,
+            content: response.ok ? content : content,
+            truncated,
+            isBinary: false,
+        };
+    }
+}
+//# sourceMappingURL=load-page.js.map

package/dist/core/web/load-page.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"load-page.js","sourceRoot":"","sources":["../../../src/core/web/load-page.ts"],"names":[],"mappings":"AAAA;;;;;;;;;;;;;;;;;;GAkBG;AAEH,OAAO,EAAE,kBAAkB,EAAE,gBAAgB,EAAE,MAAM,cAAc,CAAC;AAEpE,2FAA2F;AAC3F,MAAM,CAAC,MAAM,kBAAkB,GAAG,MAAM,CAAC;AAEzC,gEAAgE;AAChE,MAAM,CAAC,MAAM,SAAS,GAAG,CAAC,GAAG,IAAI,GAAG,IAAI,CAAC;AAEzC,8CAA8C;AAC9C,MAAM,CAAC,MAAM,aAAa,GAAG,CAAC,CAAC;AA6B/B,SAAS,sBAAsB,CAAC,MAAc;IAC7C,OAAO,6BAA6B,CAAC,IAAI,CAAC,MAAM,CAAC,EAAE,CAAC,CAAC,CAAC,CAAC;AACxD,CAAC;AAED,SAAS,UAAU,CAAC,KAAiB,EAAE,iBAAyB;IAC/D,IAAI,KAAK,GAAG,sBAAsB,CAAC,iBAAiB,CAAC,CAAC;IACtD,IAAI,CAAC,KAAK,EAAE,CAAC;QACZ,KAAK,GAAG,wCAAwC,CAAC,IAAI,CACpD,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,QAAQ,CAAC,CAAC,EAAE,IAAI,CAAC,CAAC,CAAC,QAAQ,CAAC,QAAQ,CAAC,CACvD,EAAE,CAAC,CAAC,CAAC,CAAC;IACR,CAAC;IACD,IAAI,KAAK,IAAI,CAAC,WAAW,CAAC,IAAI,CAAC,KAAK,CAAC,EAAE,CAAC;QACvC,IAAI,CAAC;YACJ,OAAO,IAAI,WAAW,CAAC,KAA0B,CAAC,CAAC,MAAM,CAAC,KAAK,CAAC,CAAC;QAClE,CAAC;QAAC,MAAM,CAAC;YACR,8BAA8B;QAC/B,CAAC;IACF,CAAC;IACD,OAAO,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,QAAQ,CAAC,OAAO,CAAC,CAAC;AAC7C,CAAC;AAED,MAAM,CAAC,KAAK,UAAU,QAAQ,CAAC,GAAW,EAAE,UAA2B,EAAE;IACxE,MAAM,SAAS,GAAG,OAAO,CAAC,SAAS,IAAI,KAAK,CAAC;IAC7C,MAAM,SAAS,GAAG,OAAO,CAAC,SAAS,IAAI,kBAAkB,CAAC;IAC1D,MAAM,QAAQ,GAAG,OAAO,CAAC,QAAQ,IAAI,SAAS,CAAC;IAC/C,MAAM,YAAY,GAAG,OAAO,CAAC,YAAY,IAAI,aAAa,CAAC;IAC3D,MAAM,WAAW,GAAG,OAAO,CAAC,MAAM,CAAC;IAEnC,MAAM,WAAW,GAAG,GAAG,CAAC;IACxB,IAAI,aAAa,GAAG,GAAG,CAAC;IACxB,IAAI,SAAS,GAAG,CAAC,CAAC;IAElB,SAAS,CAAC;QACT,gEAAgE;QAChE,IAAI,UAAe,CAAC;QACpB,IAAI,CAAC;YACJ,UAAU,GAAG,kBAAkB,CAAC,aAAa,CAAC,CAAC;QAChD,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YAChB,MAAM,IAAI,KAAK,CAAC,4BAA6B,KAAe,CAAC,OAAO,EAAE,CAAC,CAAC;QACzE,CAAC;QACD,MAAM,OAAO,GAAG,MAAM,gBAAgB,CAAC,UAAU,CAAC,CAAC;QACnD,IAAI,OAAO,EAAE,CAAC;YACb,MAAM,IAAI,KAAK,CAAC,mBAAmB,OAAO,CAAC,MAAM,GAAG,OAAO,CAAC,SAAS,CAAC,CAAC,CAAC,KAAK,OAAO,CAAC,SAAS,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC;QAC3G,CAAC;QAED,sCAAsC;QACtC,MAAM,UAAU,GAAG,IAAI,eAAe,EAAE,CAAC;QACzC,MAAM,KAAK,GAAG,UAAU,CAAC,GAAG,EAAE,CAAC,UAAU,CAAC,KAAK,EAAE,EAAE,SAAS,CAAC,CAAC;QAC9D,MAAM,YAAY,GAAG,GAAG,EAAE,CAAC,UAAU,CAAC,KAAK,EAAE,CAAC;QAC9C,IAAI,WAAW,EAAE,CAAC;YACjB,IAAI,WAAW,CAAC,OAAO,EAAE,CAAC;gBACzB,YAAY,CAAC,KAAK,CAAC,CAAC;gBACpB,MAAM,IAAI,YAAY,CAAC,SAAS,EAAE,YAAY,CAAC,CAAC;YACjD,CAAC;YACD,WAAW,CAAC,gBAAgB,CAAC,OAAO,EAAE,YAAY,EAAE,EAAE,IAAI,EAAE,IAAI,EAAE,CAAC,CAAC;QACrE,CAAC;QAED,IAAI,QAAkB,CAAC;QACvB,IAAI,CAAC;YACJ,QAAQ,GAAG,MAAM,SAAS,CAAC,UAAU,CAAC,QAAQ,EAAE,EAAE;gBACjD,QAAQ,EAAE,QAAQ;gBAClB,MAAM,EAAE,UAAU,CAAC,MAAM;gBACzB,OAAO,EAAE;oBACR,YAAY,EAAE,SAAS;oBACvB,MAAM,EAAE,iEAAiE;oBACzE,iBAAiB,EAAE,UAAU;iBAC7B;aACD,CAAC,CAAC;QACJ,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YAChB,YAAY,CAAC,KAAK,CAAC,CAAC;YACpB,IAAI,WAAW;gBAAE,WAAW,CAAC,mBAAmB,CAAC,OAAO,EAAE,YAAY,CAAC,CAAC;YACxE,IAAK,KAAe,CAAC,IAAI,KAAK,YAAY,IAAI,UAAU,CAAC,MAAM,CAAC,OAAO,EAAE,CAAC;gBACzE,MAAM,IAAI,KAAK,CAAC,gBAAgB,SAAS,IAAI,CAAC,CAAC;YAChD,CAAC;YACD,MAAM,KAAK,CAAC;QACb,CAAC;QAED,aAAa;QACb,IAAI,QAAQ,CAAC,MAAM,IAAI,GAAG,IAAI,QAAQ,CAAC,MAAM,GAAG,GAAG,EAAE,CAAC;YACrD,MAAM,QAAQ,GAAG,QAAQ,CAAC,OAAO,CAAC,GAAG,CAAC,UAAU,CAAC,CAAC;YAClD,IAAI,QAAQ,EAAE,CAAC;gBACd,IAAI,SAAS,IAAI,YAAY,EAAE,CAAC;oBAC/B,YAAY,CAAC,KAAK,CAAC,CAAC;oBACpB,IAAI,WAAW;wBAAE,WAAW,CAAC,mBAAmB,CAAC,OAAO,EAAE,YAAY,CAAC,CAAC;oBACxE,IAAI,CAAC;wBACJ,MAAM,QAAQ,CAAC,IAAI,EAAE,MAAM,EAAE,CAAC;oBAC/B,CAAC;oBAAC,MAAM,CAAC,CAAA,CAAC;oBACV,MAAM,IAAI,KAAK,CAAC,8BAA8B,YAAY,GAAG,CAAC,CAAC;gBAChE,CAAC;gBACD,IAAI,CAAC;oBACJ,MAAM,QAAQ,CAAC,IAAI,EAAE,MAAM,EAAE,CAAC;gBAC/B,CAAC;gBAAC,MAAM,CAAC,CAAA,CAAC;gBACV,YAAY,CAAC,KAAK,CAAC,CAAC;gBACpB,IAAI,WAAW;oBAAE,WAAW,CAAC,mBAAmB,CAAC,OAAO,EAAE,YAAY,CAAC,CAAC;gBACxE,aAAa,GAAG,IAAI,GAAG,CAAC,QAAQ,EAAE,UAAU,CAAC,QAAQ,EAAE,CAAC,CAAC,QAAQ,EAAE,CAAC;gBACpE,SAAS,EAAE,CAAC;gBACZ,SAAS;YACV,CAAC;QACF,CAAC;QAED,MAAM,cAAc,GAAG,QAAQ,CAAC,OAAO,CAAC,GAAG,CAAC,cAAc,CAAC,IAAI,EAAE,CAAC;QAClE,MAAM,WAAW,GAAG,cAAc,CAAC,KAAK,CAAC,GAAG,CAAC,CAAC,CAAC,CAAC,EAAE,IAAI,EAAE,CAAC,WAAW,EAAE,IAAI,EAAE,CAAC;QAC7E,MAAM,QAAQ,GAAI,QAAwC,CAAC,GAAG,IAAI,UAAU,CAAC,QAAQ,EAAE,CAAC;QACxF,MAAM,QAAQ,GAAG,WAAW,CAAC,UAAU,CAAC,QAAQ,CAAC,IAAI,WAAW,KAAK,iBAAiB,CAAC;QAEvF,6DAA6D;QAC7D,IAAI,QAAQ,EAAE,CAAC;YACd,IAAI,CAAC;gBACJ,MAAM,QAAQ,CAAC,IAAI,EAAE,MAAM,EAAE,CAAC;YAC/B,CAAC;YAAC,MAAM,CAAC,CAAA,CAAC;YACV,YAAY,CAAC,KAAK,CAAC,CAAC;YACpB,IAAI,WAAW;gBAAE,WAAW,CAAC,mBAAmB,CAAC,OAAO,EAAE,YAAY,CAAC,CAAC;YACxE,OAAO;gBACN,GAAG,EAAE,WAAW;gBAChB,QAAQ;gBACR,MAAM,EAAE,QAAQ,CAAC,MAAM;gBACvB,EAAE,EAAE,QAAQ,CAAC,EAAE;gBACf,WAAW,EAAE,WAAW,IAAI,cAAc;gBAC1C,OAAO,EAAE,EAAE;gBACX,SAAS,EAAE,KAAK;gBAChB,QAAQ,EAAE,IAAI;aACd,CAAC;QACH,CAAC;QAED,mCAAmC;QACnC,MAAM,MAAM,GAAG,QAAQ,CAAC,IAAI,EAAE,SAAS,EAAE,CAAC;QAC1C,IAAI,CAAC,MAAM,EAAE,CAAC;YACb,YAAY,CAAC,KAAK,CAAC,CAAC;YACpB,IAAI,WAAW;gBAAE,WAAW,CAAC,mBAAmB,CAAC,OAAO,EAAE,YAAY,CAAC,CAAC;YACxE,OAAO;gBACN,GAAG,EAAE,WAAW;gBAChB,QAAQ;gBACR,MAAM,EAAE,QAAQ,CAAC,MAAM;gBACvB,EAAE,EAAE,QAAQ,CAAC,EAAE;gBACf,WAAW;gBACX,OAAO,EAAE,EAAE;gBACX,SAAS,EAAE,KAAK;gBAChB,QAAQ,EAAE,KAAK;aACf,CAAC;QACH,CAAC;QAED,MAAM,MAAM,GAAiB,EAAE,CAAC;QAChC,IAAI,KAAK,GAAG,CAAC,CAAC;QACd,IAAI,SAAS,GAAG,KAAK,CAAC;QAEtB,IAAI,CAAC;YACJ,OAAO,IAAI,EAAE,CAAC;gBACb,IAAI,UAAU,CAAC,MAAM,CAAC,OAAO,IAAI,WAAW,EAAE,OAAO,EAAE,CAAC;oBACvD,MAAM,IAAI,YAAY,CAAC,SAAS,EAAE,YAAY,CAAC,CAAC;gBACjD,CAAC;gBACD,MAAM,EAAE,IAAI,EAAE,KAAK,EAAE,GAAG,MAAM,MAAM,CAAC,IAAI,EAAE,CAAC;gBAC5C,IAAI,IAAI;oBAAE,MAAM;gBAChB,IAAI,KAAK,EAAE,CAAC;oBACX,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC;oBACnB,KAAK,IAAI,KAAK,CAAC,MAAM,CAAC;oBACtB,IAAI,KAAK,GAAG,QAAQ,EAAE,CAAC;wBACtB,SAAS,GAAG,IAAI,CAAC;wBACjB,IAAI,CAAC;4BACJ,MAAM,MAAM,CAAC,MAAM,EAAE,CAAC;wBACvB,CAAC;wBAAC,MAAM,CAAC,CAAA,CAAC;wBACV,MAAM;oBACP,CAAC;gBACF,CAAC;YACF,CAAC;QACF,CAAC;QAAC,OAAO,KAAK,EAAE,CAAC;YAChB,YAAY,CAAC,KAAK,CAAC,CAAC;YACpB,IAAI,WAAW;gBAAE,WAAW,CAAC,mBAAmB,CAAC,OAAO,EAAE,YAAY,CAAC,CAAC;YACxE,IAAK,KAAe,CAAC,IAAI,KAAK,YAAY,IAAI,UAAU,CAAC,MAAM,CAAC,OAAO,EAAE,CAAC;gBACzE,MAAM,IAAI,KAAK,CAAC,gBAAgB,SAAS,IAAI,CAAC,CAAC;YAChD,CAAC;YACD,MAAM,KAAK,CAAC;QACb,CAAC;QAED,YAAY,CAAC,KAAK,CAAC,CAAC;QACpB,IAAI,WAAW;YAAE,WAAW,CAAC,mBAAmB,CAAC,OAAO,EAAE,YAAY,CAAC,CAAC;QAExE,6DAA6D;QAC7D,IAAI,KAAK,GAAG,MAAM,CAAC,MAAM,CAAC,MAAiC,CAAC,CAAC;QAC7D,IAAI,SAAS,IAAI,KAAK,CAAC,MAAM,GAAG,QAAQ,EAAE,CAAC;YAC1C,KAAK,GAAG,KAAK,CAAC,QAAQ,CAAC,CAAC,EAAE,QAAQ,CAAC,CAAC;QACrC,CAAC;QACD,MAAM,OAAO,GAAG,KAAK,CAAC,MAAM,GAAG,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,KAAK,EAAE,cAAc,CAAC,CAAC,CAAC,CAAC,EAAE,CAAC;QAE1E,OAAO;YACN,GAAG,EAAE,WAAW;YAChB,QAAQ;YACR,MAAM,EAAE,QAAQ,CAAC,MAAM;YACvB,EAAE,EAAE,QAAQ,CAAC,EAAE;YACf,WAAW;YACX,OAAO,EAAE,QAAQ,CAAC,EAAE,CAAC,CAAC,CAAC,OAAO,CAAC,CAAC,CAAC,OAAO;YACxC,SAAS;YACT,QAAQ,EAAE,KAAK;SACf,CAAC;IACH,CAAC;AACF,CAAC"}

package/dist/core/web/proveedores/brave.d.ts

@@ -0,0 +1,6 @@
+/**
+ * Brave Search API. Requiere clave (`brave` en el vault, o BRAVE_API_KEY).
+ */
+import type { FuncionBuscar } from "./tipos.ts";
+export declare const buscar: FuncionBuscar;
+//# sourceMappingURL=brave.d.ts.map

package/dist/core/web/proveedores/brave.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"brave.d.ts","sourceRoot":"","sources":["../../../../src/core/web/proveedores/brave.ts"],"names":[],"mappings":"AAAA;;GAEG;AACH,OAAO,KAAK,EAAE,aAAa,EAAsB,MAAM,YAAY,CAAC;AAQpE,eAAO,MAAM,MAAM,EAAE,aAepB,CAAC"}

package/dist/core/web/proveedores/brave.js

@@ -0,0 +1,20 @@
+const ENDPOINT = "https://api.search.brave.com/res/v1/web/search";
+export const buscar = async (consulta, maximo, clave, fetchImpl, signal) => {
+    if (!clave)
+        throw new Error("Brave requiere clave.");
+    const url = new URL(ENDPOINT);
+    url.searchParams.set("q", consulta);
+    url.searchParams.set("count", String(Math.min(Math.max(maximo, 1), 20)));
+    const respuesta = await fetchImpl(url, {
+        headers: { Accept: "application/json", "X-Subscription-Token": clave },
+        signal,
+    });
+    if (!respuesta.ok)
+        throw new Error(`Brave respondió HTTP ${respuesta.status}.`);
+    const datos = (await respuesta.json());
+    const resultados = (datos.web?.results ?? [])
+        .filter((r) => typeof r.url === "string" && r.url)
+        .map((r) => ({ titulo: r.title || r.url, url: r.url, resumen: r.description }));
+    return resultados.slice(0, maximo);
+};
+//# sourceMappingURL=brave.js.map

package/dist/core/web/proveedores/brave.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"brave.js","sourceRoot":"","sources":["../../../../src/core/web/proveedores/brave.ts"],"names":[],"mappings":"AAKA,MAAM,QAAQ,GAAG,gDAAgD,CAAC;AAMlE,MAAM,CAAC,MAAM,MAAM,GAAkB,KAAK,EAAE,QAAQ,EAAE,MAAM,EAAE,KAAK,EAAE,SAAS,EAAE,MAAM,EAAE,EAAE;IACzF,IAAI,CAAC,KAAK;QAAE,MAAM,IAAI,KAAK,CAAC,uBAAuB,CAAC,CAAC;IACrD,MAAM,GAAG,GAAG,IAAI,GAAG,CAAC,QAAQ,CAAC,CAAC;IAC9B,GAAG,CAAC,YAAY,CAAC,GAAG,CAAC,GAAG,EAAE,QAAQ,CAAC,CAAC;IACpC,GAAG,CAAC,YAAY,CAAC,GAAG,CAAC,OAAO,EAAE,MAAM,CAAC,IAAI,CAAC,GAAG,CAAC,IAAI,CAAC,GAAG,CAAC,MAAM,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,CAAC;IACzE,MAAM,SAAS,GAAG,MAAM,SAAS,CAAC,GAAG,EAAE;QACtC,OAAO,EAAE,EAAE,MAAM,EAAE,kBAAkB,EAAE,sBAAsB,EAAE,KAAK,EAAE;QACtE,MAAM;KACN,CAAC,CAAC;IACH,IAAI,CAAC,SAAS,CAAC,EAAE;QAAE,MAAM,IAAI,KAAK,CAAC,wBAAwB,SAAS,CAAC,MAAM,GAAG,CAAC,CAAC;IAChF,MAAM,KAAK,GAAG,CAAC,MAAM,SAAS,CAAC,IAAI,EAAE,CAAmB,CAAC;IACzD,MAAM,UAAU,GAAyB,CAAC,KAAK,CAAC,GAAG,EAAE,OAAO,IAAI,EAAE,CAAC;SACjE,MAAM,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,OAAO,CAAC,CAAC,GAAG,KAAK,QAAQ,IAAI,CAAC,CAAC,GAAG,CAAC;SACjD,GAAG,CAAC,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,EAAE,MAAM,EAAE,CAAC,CAAC,KAAK,IAAI,CAAC,CAAC,GAAI,EAAE,GAAG,EAAE,CAAC,CAAC,GAAI,EAAE,OAAO,EAAE,CAAC,CAAC,WAAW,EAAE,CAAC,CAAC,CAAC;IACnF,OAAO,UAAU,CAAC,KAAK,CAAC,CAAC,EAAE,MAAM,CAAC,CAAC;AACpC,CAAC,CAAC"}

package/dist/core/web/proveedores/claves.d.ts

@@ -0,0 +1,19 @@
+/**
+ * Resuelve la clave de un proveedor de búsqueda: vault primero, variable de
+ * entorno después (la que usa CI, donde no hay vault desbloqueado).
+ *
+ * Vive separado del registro para que `agent-session.ts` —de upstream, con el
+ * presupuesto de sincronización agotado— pueda enchufarlo con una sola
+ * llamada en vez de repetir aquí la lógica try/vault/env por cada proveedor.
+ */
+/** Lo mínimo que hace falta del vault: buscar un secreto por nombre. */
+export interface FuenteDeVault {
+    getSecret(nombre: string): string | null | undefined;
+}
+/**
+ * Construye el `obtenerClave` que espera `createWebTools`, atado a un vault
+ * concreto. `obtenerVault` se llama en cada búsqueda, no una vez: el vault
+ * puede desbloquearse o bloquearse durante la sesión.
+ */
+export declare function crearObtenerClave(obtenerVault: () => FuenteDeVault | null | undefined): (nombreProveedor: string) => Promise<string | undefined>;
+//# sourceMappingURL=claves.d.ts.map

package/dist/core/web/proveedores/claves.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"claves.d.ts","sourceRoot":"","sources":["../../../../src/core/web/proveedores/claves.ts"],"names":[],"mappings":"AAAA;;;;;;;GAOG;AAWH,wEAAwE;AACxE,MAAM,WAAW,aAAa;IAC7B,SAAS,CAAC,MAAM,EAAE,MAAM,GAAG,MAAM,GAAG,IAAI,GAAG,SAAS,CAAC;CACrD;AAED;;;;GAIG;AACH,wBAAgB,iBAAiB,CAChC,YAAY,EAAE,MAAM,aAAa,GAAG,IAAI,GAAG,SAAS,GAClD,CAAC,eAAe,EAAE,MAAM,KAAK,OAAO,CAAC,MAAM,GAAG,SAAS,CAAC,CAW1D"}

package/dist/core/web/proveedores/claves.js

@@ -0,0 +1,36 @@
+/**
+ * Resuelve la clave de un proveedor de búsqueda: vault primero, variable de
+ * entorno después (la que usa CI, donde no hay vault desbloqueado).
+ *
+ * Vive separado del registro para que `agent-session.ts` —de upstream, con el
+ * presupuesto de sincronización agotado— pueda enchufarlo con una sola
+ * llamada en vez de repetir aquí la lógica try/vault/env por cada proveedor.
+ */
+/** Nombre de proveedor → variable de entorno donde puede vivir su clave. */
+const VARIABLE_ENTORNO = {
+    serper: "SERPER_API_KEY",
+    brave: "BRAVE_API_KEY",
+    tavily: "TAVILY_API_KEY",
+    exa: "EXA_API_KEY",
+    searxng: "SEARXNG_URL",
+};
+/**
+ * Construye el `obtenerClave` que espera `createWebTools`, atado a un vault
+ * concreto. `obtenerVault` se llama en cada búsqueda, no una vez: el vault
+ * puede desbloquearse o bloquearse durante la sesión.
+ */
+export function crearObtenerClave(obtenerVault) {
+    return async (nombreProveedor) => {
+        const variable = VARIABLE_ENTORNO[nombreProveedor];
+        try {
+            const delVault = obtenerVault()?.getSecret(nombreProveedor);
+            if (delVault)
+                return delVault;
+        }
+        catch {
+            // Vault bloqueado o no inicializado: caer a la variable de entorno.
+        }
+        return variable ? process.env[variable] : undefined;
+    };
+}
+//# sourceMappingURL=claves.js.map

package/dist/core/web/proveedores/claves.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"claves.js","sourceRoot":"","sources":["../../../../src/core/web/proveedores/claves.ts"],"names":[],"mappings":"AAAA;;;;;;;GAOG;AAEH,4EAA4E;AAC5E,MAAM,gBAAgB,GAA2B;IAChD,MAAM,EAAE,gBAAgB;IACxB,KAAK,EAAE,eAAe;IACtB,MAAM,EAAE,gBAAgB;IACxB,GAAG,EAAE,aAAa;IAClB,OAAO,EAAE,aAAa;CACtB,CAAC;AAOF;;;;GAIG;AACH,MAAM,UAAU,iBAAiB,CAChC,YAAoD;IAEpD,OAAO,KAAK,EAAE,eAAuB,EAAE,EAAE;QACxC,MAAM,QAAQ,GAAG,gBAAgB,CAAC,eAAe,CAAC,CAAC;QACnD,IAAI,CAAC;YACJ,MAAM,QAAQ,GAAG,YAAY,EAAE,EAAE,SAAS,CAAC,eAAe,CAAC,CAAC;YAC5D,IAAI,QAAQ;gBAAE,OAAO,QAAQ,CAAC;QAC/B,CAAC;QAAC,MAAM,CAAC;YACR,oEAAoE;QACrE,CAAC;QACD,OAAO,QAAQ,CAAC,CAAC,CAAC,OAAO,CAAC,GAAG,CAAC,QAAQ,CAAC,CAAC,CAAC,CAAC,SAAS,CAAC;IACrD,CAAC,CAAC;AACH,CAAC"}

package/dist/core/web/proveedores/duckduckgo.d.ts

@@ -0,0 +1,3 @@
+import type { FuncionBuscar } from "./tipos.ts";
+export declare const buscar: FuncionBuscar;
+//# sourceMappingURL=duckduckgo.d.ts.map

package/dist/core/web/proveedores/duckduckgo.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"duckduckgo.d.ts","sourceRoot":"","sources":["../../../../src/core/web/proveedores/duckduckgo.ts"],"names":[],"mappings":"AAaA,OAAO,KAAK,EAAE,aAAa,EAAsB,MAAM,YAAY,CAAC;AA8EpE,eAAO,MAAM,MAAM,EAAE,aAepB,CAAC"}