Todo el cálculo fiscal se realiza exclusivamente en el navegador del usuario. Los archivos CSV nunca se envían a ningún servidor propio.

index.html incluye una cabecera CSP que:

• Bloquea scripts de origen no autorizado
• Restringe conexiones de red a api.anthropic.com (solo si el usuario usa el analizador IA)
• Prohíbe object-src (plugins Flash/etc.)
• Restringe base-uri al propio documento

La función sanitize() escapa &, <, >, ", ' en todos los valores externos antes de renderizarlos como HTML. Previene XSS desde archivos CSV maliciosos.

SRI pendiente: Versiones fijadas. Hashes SHA-512 por verificar. Ver KNOWN_LIMITATIONS #9. Para añadir SRI: https://www.srihash.org/

• Llamada a Anthropic sin clave de usuario — usa sesión Claude.ai
• No se almacena en localStorage ni cookies
• Contenido limitado a 80.000 caracteres

Almacena: operaciones, lotes, saldos M721, año, método. No almacena: datos personales, DNI, claves API.

No abrir issue público. Contactar via GitHub Security Advisories. Respuesta: < 72 horas.