01Solo loopback
El servidor escucha en 127.0.0.1. Nada en tu red puede alcanzarlo, y no hay ningún ajuste para cambiarlo. No pongas un proxy ni un túnel delante.
02Un token en cada petición
48 caracteres hexadecimales de la fuente aleatoria del sistema, guardados en un archivo que solo tu usuario puede leer. El enlace de inicio de sesión lo cambia por una cookie HttpOnly y SameSite=Strict, y el servidor lo compara en tiempo constante.
03Control de Host y Origin
Cada petición debe indicar 127.0.0.1:7777 o localhost:7777 como Host. Las escrituras y las actualizaciones a WebSocket también deben llevar un Origin que coincida. Una página en otra pestaña, o un truco de DNS rebinding, recibe un 403.
04La app de escritorio no amplía la superficie
Solo carga la página local, abre los demás enlaces en tu navegador predeterminado y ejecuta la página en un sandbox con aislamiento de contexto y sin Node. Pone la cookie de sesión a partir del archivo del token, así que el token nunca va en una URL.
05Los agentes corren sin supervisión
Para eso existe la herramienta, y por eso mismo debes tratar cada prompt que envías como algo que se va a ejecutar. Así arranca cada herramienta:
| Herramienta | Se inicia como |
|---|---|
| Claude Code | claude --permission-mode auto --remote-control |
| Codex | codex --approve-for-me, en el sandbox de su espacio de trabajo, con red activada y permiso de escritura en tu carpeta de trabajo |
| agy | agy --mode auto --remote-control |
06Dónde están sus archivos
El archivo del token, el enlace de inicio de sesión, los ajustes y las subidas están en una carpeta de configuración en tu directorio personal, creada para que solo tú puedas leerla. Nunca hagas commit ni pegues nada de ella. Overvibe nunca borra una sesión ni una transcripción: Stop conserva la conversación y Hide solo quita una fila de la lista.
07Qué envía fuera
Overvibe no tiene servidor propio ni nada en lo que registrarse. Los agentes hablan con sus propios proveedores exactamente igual que en Terminal.
Preguntas
¿Puedo abrirlo desde el móvil u otra máquina?
No. Escucha en 127.0.0.1 y comprueba Host en cada petición. Para seguir una sesión de Claude desde el móvil está Remote Control de Claude Code.
¿Qué pasa con mis sesiones si el servidor se reinicia?
Nada. Viven en el propio servidor tmux de Overvibe, que sobrevive al servidor web. Recarga la página y ahí están todas.
¿Funciona en Linux o Windows?
Se desarrolla y se usa solo en macOS. Los archivos soltados se localizan con Spotlight, la build de escritorio genera una app de Mac y la ruta de tmux apunta por defecto a la de Homebrew.