Política de firma de código

Estado

Las versiones para Windows todavía no llevan firma de código. LibreShard está solicitando la firma a SignPath Foundation, que firma gratis proyectos de código abierto. Hasta que empiece, comprueba cada descarga con el archivo SHA256SUMS.txt que se publica con la versión (las preguntas frecuentes explican cómo). Esta página describe cómo funcionará la firma, y lo dirá aquí cuando esté en marcha.

Quién firma

Free code signing provided by SignPath.io, certificate by SignPath Foundation. (Firma de código gratuita de SignPath.io, con certificado de SignPath Foundation.)

El certificado pertenece a SignPath Foundation, así que Windows muestra SignPath Foundation como editor de los archivos firmados.

Qué se firma

• El instalador de Windows (LibreShard-Setup-<versión>.exe) y el programa LibreShard que contiene.
• Solo archivos compilados a partir del código de libreshard/libreshard, por GitHub Actions, desde una etiqueta de versión. Nunca se firma nada compilado en un equipo personal.
• Los paquetes de Linux y macOS no se firman con SignPath. Compruébalos con SHA256SUMS.txt.

Cómo se firma una versión

1. Un mantenedor crea una etiqueta de versión (v*). Solo los administradores del proyecto pueden crearlas.
2. GitHub Actions compila los instaladores desde esa etiqueta (workflow de versiones) y envía los archivos de Windows a SignPath.
3. Un aprobador comprueba que la solicitud viene de esa compilación y de esa etiqueta, y la aprueba a mano. Cada versión necesita su propia aprobación.
4. Los archivos firmados van a un borrador de versión, que un mantenedor revisa y publica.

Roles del equipo

Rol	Quién
Autores y revisores	Miembros de la organización libreshard: hoy, Gabriel Hernandez
Aprobadores	Los propietarios de la organización: hoy, Gabriel Hernandez

Todo cambio llega a la rama main mediante un pull request que pasa las comprobaciones automáticas. Las contribuciones de personas de fuera del equipo las revisa un miembro del equipo antes de fusionarlas. Los miembros del equipo usan autenticación de varios factores en GitHub y SignPath.

Privacidad

LibreShard no transfiere ninguna información a otros sistemas de la red salvo que lo pida expresamente el usuario o la persona que lo instala o lo utiliza.

La app solo habla con los dispositivos que vinculas en tu propia red: no hay telemetría, ni cuenta, ni servicio en la nube. Si una función futura se conecta a internet (las actualizaciones automáticas, por ejemplo), esta página dirá con qué se conecta y podrás desactivarla. Las notas de privacidad de la web están en la página de seguridad.

Reportar un problema

Si un archivo firmado parece incorrecto, o crees que se firmó algo que no debía, escribe a [email protected].