01Nur Loopback
Der Server bindet an 127.0.0.1. Nichts in deinem Netzwerk kann ihn erreichen, und es gibt keine Einstellung, die das ändert. Stell keinen Proxy und keinen Tunnel davor.
02Ein Token bei jeder Anfrage
48 Hex-Zeichen aus der Zufallsquelle des Systems, gespeichert in einer Datei, die nur dein Benutzer lesen kann. Der Login-Link tauscht es gegen ein HttpOnly-Cookie mit SameSite=Strict, und der Server vergleicht es in konstanter Zeit.
03Host- und Origin-Prüfung
Jede Anfrage muss 127.0.0.1:7777 oder localhost:7777 als Host angeben. Schreibzugriffe und WebSocket-Upgrades brauchen zusätzlich einen passenden Origin. Eine Seite in einem anderen Tab oder ein DNS-Rebinding-Trick bekommt ein 403.
04Die Desktop-App vergrößert die Angriffsfläche nicht
Sie lädt nur die lokale Seite, öffnet andere Links in deinem Standardbrowser und führt die Seite in einer Sandbox mit Context Isolation und ohne Node aus. Das Login-Cookie setzt sie aus der Token-Datei, das Token landet also nie in einer URL.
05Agents laufen unbeaufsichtigt
Genau dafür ist das Tool da, und genau deshalb solltest du jeden Prompt, den du schickst, als etwas behandeln, das ausgeführt wird. So startet jedes Tool:
| Tool | Gestartet als |
|---|---|
| Claude Code | claude --permission-mode auto --remote-control |
| Codex | codex --approve-for-me, in der Workspace-Sandbox mit Netzwerkzugriff und Schreibrechten auf dein Arbeitsverzeichnis |
| agy | agy --mode auto --remote-control |
06Wo die Dateien liegen
Die Token-Datei, der Login-Link, Einstellungen und Uploads liegen in einem Konfigurationsordner in deinem Home-Verzeichnis, angelegt so, dass nur du ihn lesen kannst. Committe oder kopiere nie etwas daraus. Overvibe löscht nie eine Session oder ein Transkript: Stop behält die Unterhaltung und Hide nimmt nur eine Zeile aus der Liste.
07Was nach außen geht
Overvibe hat keinen eigenen Server und nichts, wofür du dich anmelden musst. Die Agents sprechen mit ihren eigenen Anbietern, genau wie im Terminal.
Fragen
Kann ich es vom Handy oder einem anderen Rechner öffnen?
Nein. Es lauscht auf 127.0.0.1 und prüft bei jeder Anfrage den Host. Um eine Claude-Session vom Handy aus zu verfolgen, gibt es Remote Control von Claude Code.
Was passiert mit meinen Sessions, wenn der Server neu startet?
Nichts. Sie leben auf Overvibes eigenem tmux-Server, der den Webserver überdauert. Lade die Seite neu, und alle sind noch da.
Läuft es unter Linux oder Windows?
Es wird nur auf macOS entwickelt und genutzt. Abgelegte Dateien werden über Spotlight gefunden, der Desktop-Build erzeugt eine Mac-App, und der tmux-Pfad zeigt standardmäßig auf den von Homebrew.