Resumen

  • La revisión 03 de PDPA, fechada el 28 de octubre, define un contenedor POSIX pax para correo, contactos, calendarios y otros datos personales. Permite repartir una exportación entre varios archivos legibles por separado.
  • El importador debe unir las partes de una carpeta mediante el mismo uid; debe rechazar rutas absolutas, segmentos ascendentes y entradas especiales, y no puede aplicar propietarios, permisos, atributos extendidos ni ACL procedentes del paquete.

La casilla «exportación completa» no dice qué se reconstruyó

Imaginemos que una carpeta de correo supera el tamaño cómodo de descarga. El proveedor entrega dos partes. Cada una contiene un archive.json y la descripción de las carpetas que aparecen en esa parte. Para una carpeta dividida, el identificador uid es el mismo, y los campos de identidad deben ser coherentes; cada folder.json enumera solo los elementos presentes en su parte. Incluso la lista de elementos eliminados se repite. El programa receptor tiene que unir esos fragmentos en una carpeta. Dos carpetas llamadas «Entrada» no son una migración fiel. Una sola carpeta con la mitad de los mensajes tampoco.

La regla muestra dónde se aloja el poder práctico. El emisor controla los nombres y la partición; el receptor decide si reconoce una identidad común. El borrador no puede sustituir esa decisión con un título bonito en la interfaz. Por eso obliga a conservar identificadores y metadatos consistentes. La portabilidad se prueba cuando el segundo sistema entiende que dos paquetes pertenecen al mismo objeto lógico.

La elección del contenedor también tiene dientes. POSIX pax amplía tar para nombres internacionalizados y tamaños adicionales. Solo admite ficheros ordinarios y directorios dentro del paquete. Los nombres tienen que ser rutas relativas UTF-8, sin componentes . ni .., y únicos en cada parte. Pero un par de nombres distintos puede chocar al extraerse en un sistema que ignora mayúsculas o normaliza Unicode. El exportador debe intentar evitarlo y el importador debería rechazar duplicados antes que perder uno silenciosamente. Una carpeta que parecía perfectamente enumerada puede desaparecer bajo otra por una diferencia de escritura que el disco no conserva.

El paquete no legisla permisos

El punto decisivo aparece en las instrucciones para importar. El receptor valida los nombres antes de escribir y rechaza rutas absolutas, saltos al directorio superior y tipos ajenos a ficheros o directorios. Luego crea ficheros con sus valores locales: no copia bits de modo, propietarios, atributos extendidos ni listas ACL del archivo. Es una defensa contra paquetes maliciosos y, a la vez, una frontera institucional. El proveedor saliente puede describir datos; no puede asignar privilegios en la máquina entrante.

Las aplicaciones tienen un problema parecido por encima del sistema de archivos. Un calendario puede llevar participantes y roles; un objeto compartido puede llevar información shareWith. El texto oficial advierte que los controles de acceso del origen quizá no viajen de forma fiable y que los campos importados podrían estar manipulados. Una persona que sube su propio archivo no se convierte por ello en administradora de las cuentas ajenas nombradas dentro. La plataforma receptora decide qué permisos conceder y con qué comprobaciones.

La identidad de los contactos y eventos tampoco se resuelve por coincidencia visual. Los objetos JSContact, JSTask y JSCalendar deben llevar uid y updated. El importador busca el mismo uid y evita alterar un objeto suficientemente parecido solo para mover su fecha de modificación. Ese «suficientemente» deja margen de implementación. Una importación que renueva todas las marcas temporales puede crear conflictos artificiales; otra que fusiona demasiado puede esconder un cambio real. La norma propuesta establece la disciplina, pero el operador responde por la política concreta.

El formato admite paquetes sin compresión, gzip o Zstandard; el receptor debe aceptar los dos primeros y debería admitir el tercero. La compresión añade otra superficie de control: el borrador recomienda vigilar el tamaño descomprimido, el número de entradas y el tamaño individual. También recuerda que una exportación reúne datos sobre corresponsales e invitados que no pidieron la copia. Un archivo cómodo para el usuario es igualmente cómodo para una extracción masiva de información privada si se emite sin la autorización adecuada.

La versión 02 aún no fijaba estas reglas de pax y carpetas divididas. La ficha del Datatracker identifica una propuesta de grupo de trabajo, no una norma publicada ni una adopción medida. El procedimiento para solicitar y transferir la exportación queda fuera del documento. Hace falta observar una migración entre implementaciones para saber si este diseño sobrevive al viaje.

Fuentes