Code signing policy

Política de firma de código

Los ejecutables de InerCAD para Windows se firman digitalmente. La firma te permite comprobar quién publica el archivo y que nadie lo ha modificado después de construirlo.

Free code signing provided by SignPath.io, certificate by SignPath Foundation
Firma de código gratuita proporcionada por SignPath.io, con certificado de SignPath Foundation.

Estado

Hemos solicitado la firma a SignPath Foundation. Los archivos de la versión 1.0.0 todavía no están firmados. Mientras tanto, puedes comprobarlos con su huella SHA-256 (ver Comprobar un archivo).

Qué se firma

El instalador, InerCAD-Setup-1.0.0.exe.
La versión portátil, InerCAD-1.0.0-portable.exe.
El ejecutable de la aplicación, InerCAD.exe, que va dentro de los dos anteriores.

Solo se firman binarios construidos a partir del código de este proyecto. Las bibliotecas de Electron y Chromium (archivos .dll) se incluyen sin cambios, tal como las publican sus autores. El desinstalador que genera el empaquetador NSIS no lleva firma propia.

Cómo se construye y se firma

Cada versión parte de una etiqueta vX.Y.Z del repositorio público.
GitHub Actions compila en servidores de GitHub, con el código y los scripts de compilación del repositorio (flujo release.yml). Ningún ejecutable que se publica se compila en un equipo personal.
Los ejecutables se envían a SignPath, que verifica que proceden de esa compilación. Un aprobador del equipo revisa y aprueba a mano cada solicitud de firma.
Los archivos firmados se publican en GitHub Releases junto con SHA256SUMS.txt, y esta web muestra sus huellas.

Equipo y funciones

Función	Quién	Qué hace
Autores	joanbibi	Pueden modificar el código del repositorio sin una revisión adicional.
Revisores	joanbibi	Revisan cualquier cambio de personas ajenas al equipo (pull requests) antes de integrarlo.
Aprobadores	joanbibi	Aprueban cada solicitud de firma en SignPath.

Todos los miembros del equipo usan autenticación en dos pasos en GitHub y en SignPath.

Privacidad

Este programa no transfiere ninguna información a otros sistemas en red, salvo que lo pida expresamente el usuario o la persona que lo instala o lo utiliza.

InerCAD no tiene telemetría, estadísticas de uso, cuentas ni búsqueda automática de actualizaciones.
Tus proyectos se guardan solo en tu equipo: en los archivos .inercad que tú guardes y en el autoguardado local de la aplicación.
Si pulsas un enlace externo, por ejemplo a esta web, se abre en tu navegador. La aplicación no hace ninguna otra conexión.
El instalador funciona sin permisos de administrador. Instala la aplicación para tu usuario, crea los accesos directos y asocia los archivos .inercad; antes de empezar te deja elegir la carpeta de instalación.

Componentes de terceros

InerCAD se distribuye con Electron (licencia MIT), que incluye Chromium y Node.js, y con las tipografías IBM Plex (SIL Open Font License 1.1). Ninguno de estos componentes envía datos por su cuenta en InerCAD.

Comprobar un archivo

La firma

En el Explorador de archivos, haz clic con el botón derecho en el archivo y abre Propiedades → Firmas digitales: el firmante debe ser SignPath Foundation. También puedes comprobarlo en PowerShell; el estado debe ser Valid:

Get-AuthenticodeSignature .\InerCAD-Setup-1.0.0.exe | Format-List Status, SignerCertificate

La huella SHA-256

Compárala con la que aparece en la página de descargas y en SHA256SUMS.txt:

Get-FileHash .\InerCAD-Setup-1.0.0.exe -Algorithm SHA256

Aunque el archivo esté firmado, Windows SmartScreen puede avisar al ejecutar una versión recién publicada, hasta que acumula reputación con las descargas. Si la firma y la huella coinciden, pulsa Más información y después Ejecutar de todas formas.

Desinstalar

Instalador: Configuración → Aplicaciones → Aplicaciones instaladas → InerCAD → Desinstalar. Se quitan la aplicación, los accesos directos y la asociación de archivos .inercad. Tus proyectos guardados no se tocan.
Versión portátil: basta con borrar el archivo.

¿Crees que un archivo firmado no procede de este proyecto? Abre una incidencia.

In English

Windows releases of InerCAD are built from the public source repository by GitHub Actions on GitHub-hosted runners and signed through SignPath. Every signing request is manually approved.

Free code signing provided by SignPath.io, certificate by SignPath Foundation.

Team: joanbibi (author, reviewer and approver). All team members use multi-factor authentication on GitHub and SignPath.

Privacy: This program will not transfer any information to other networked systems unless specifically requested by the user or the person installing or operating it.