docs: documentar watch-only y etiquetas BIP-329 (v1.8.0), guía HTTPS en SETUP

README.md

@@ -21,6 +21,7 @@ Lo esencial: **ninguna consulta sale de tu red**. Todo el análisis ocurre en tu
 Tan importante como saber qué hace es saber qué no hace:
 
 - **No envía datos a ningún servidor externo** — ni analíticas, ni telemetría, ni consultas a APIs de terceros
+- **No toca claves privadas** — el watch-only usa solo tu clave pública (xpub); no puede gastar fondos ni conoce tu semilla
 - **No identifica a otras personas** — es una herramienta de auto-auditoría, no de vigilancia
 - **No da consejos de inversión** — analiza privacidad on-chain, nada más
 - **No afirma más de lo que sabe** — distingue siempre entre CERTEZA, PROBABLE e POSIBLE
@@ -59,6 +60,10 @@ Las únicas dependencias externas son las librerías del frontend (React, Babel)
 - Bandas de privacidad con distinción explícita CERTEZA / PROBABLE / POSIBLE
 - Exportación del informe en JSON y Markdown
 
+**Integración con Sparrow**
+- Importación de etiquetas BIP-329: carga el `.jsonl` que exporta Sparrow y muestra tus propias etiquetas junto al análisis. Se lee en memoria, no sale del navegador
+- Watch-only por xpub/zpub: pega tu Master Public Key y Txoko deriva tus direcciones en local para marcar, en cada transacción, qué outputs son tuyos (recepción o cambio). La derivación BIP32 está implementada sin librerías externas; el xpub nunca sale del navegador. Requiere HTTPS (ver nota más abajo)
+
 **Exploración on-chain**
 - UTXO Map con score de privacidad por moneda, exportable a CSV
 - Explorador de bloques y búsqueda on-chain
@@ -182,6 +187,8 @@ El frontend es un único archivo HTML autocontenido. Sin bundler, sin npm, sin p
 
 ## Limitaciones conocidas
 
+- **Watch-only requiere HTTPS** — la derivación de direcciones desde el xpub usa la Web Crypto API del navegador, que solo está disponible en contextos seguros (HTTPS). Si sirves el dashboard por HTTP, esta función no estará disponible (el resto sí). Ver SETUP.md para configurar un certificado autofirmado. Las etiquetas BIP-329 funcionan por HTTP sin problema
+- **Watch-only solo Native SegWit (BIP84)** — la derivación cubre wallets `wpkh` (direcciones bc1q), que son la mayoría. Taproot (BIP86, bc1p) aún no está soportado
 - **Análisis de transacción aislada** — sin seguir el grafo completo, algunas heurísticas tienen techo. El rastro de procedencia amplía el contexto pero es bajo demanda y no exhaustivo
 - **Base de datos de entidades parcial** — ~745 direcciones de exchanges, OFAC y minería. Cubre los casos más comunes; no es completa
 - **Fingerprinting conservador** — requiere varias señales coincidentes; prefiere no detectar antes que detectar mal