Diagrama de red
Cómo llega doki a una máquina en otra red
Tu Mac- Todo en el portátilLos agentes viven mientras la tapa está abierta y no necesitas que sigan al cerrarla.
- Una máquina siempre encendidaQuieres que Claude, Codex o Droid sigan en un Mac mini o un VPS, y verlos en el Inbox del portátil y del iPhone.
SSH sin convertir el servidor en un servicio público
No instalas un demonio abierto a internet ni reenvías un puerto en el router. doki inicia la conexión hacia la máquina. En el servidor hace falta tu agente, y tmux si quieres escribir en la sesión en vivo. Sin tmux, doki igual puede ver el trabajo según cómo esté lanzado el agente. Con tmux, el teclado remoto entra en esa sesión.
La clave SSH que doki usa para esto es suya, en ~/Library/Application Support/AgentsWorkers/. No es la clave personal que tienes para otras cosas, y no se sube al repositorio.
Cuando el portátil y el servidor no comparten red
En la misma casa basta la red local. Fuera de ella, generas en la app el comando de instalación de doki-bridge y lo pegas en la máquina remota. El puente intenta, en orden, la red local, un enlace directo por UDP y el relevo del servidor.
El relevo es opt-in. El servidor de doki presenta a las dos máquinas. No descifra la sesión SSH. Si no quieres ese tercer salto, te quedas en la red local o en el enlace directo.
Qué aparece en el Inbox
La sesión remota usa el mismo estado que una local: trabajando, te necesita, terminó, error. Puedes contestar desde el portátil o desde el iPhone. Los puertos que el agente abrió en el servidor se listan, y puedes abrirlos a través de un túnel SSH en vez de exponerlos.
Eso cubre el frontend que quedó en el VPS y la base que levantó el agente. Parar el proceso también se puede desde la lista, no solo entrando por SSH a matar un PID.
Qué agentes tiene sentido dejar allá
Cualquiera que ya uses en el Mac y que se pueda instalar en esa máquina: Claude Code, Codex, Droid, OpenCode, Gemini CLI. Droid encaja bien porque sus sesiones quedan en disco y el exec puede entregar una respuesta. El caso está en Factory Droid vs doki.
Cursor por API puede seguir en el Mac aunque el repo esté clonado en el servidor. No hace falta mudarlo todo. El Inbox junta los dos orígenes. Más contexto en varios agentes.
Qué cuidar
Guard sigue aplicando en lo que el agente quiere ejecutar en esa máquina: borrados, sudo, push forzado, secretos, migraciones, deploys. Aprobar desde el teléfono no cambia la regla. Solo cambia dónde pulsas.
Una copia de .env en un worktree remoto es tan sensible como la original. doki no la manda a su servidor. Queda en la máquina donde corre el agente, con permisos de la cuenta con la que entraste por SSH.
Preguntas frecuentes
¿Hay que abrir el puerto 22 al mundo?
No. doki no te pide publicar SSH en internet. La salida la inicia el Mac, y el puente cubre el caso en que las redes no se ven, sin un puerto de entrada nuevo.
¿El servidor de doki ve mi código?
No. Si usas el relevo, el servidor solo presenta a las máquinas. SSH sigue cifrado de punta a punta y puedes no usar el relevo.
¿Funciona en un VPS Linux?
Sí. Mac mini, Linux y VPS entran por el mismo flujo. tmux es lo que permite escribir en vivo dentro de la sesión.
¿Puedo verlo en el iPhone?
Sí. La máquina remota llega al Inbox del Mac, y el iPhone es un cliente de ese Inbox. El emparejamiento del teléfono es independiente del SSH.