Hacktoberfest 2026: the issues maintainers tagged for October, open and beginner-friendly. Browse Hacktoberfest issues

chore: investigar aviso de instalación y añadir firma Authenticode Windows

Open
  • Is something wrong?
#20 1 comment 0 reactions 0 assignees View on GitHub

Maintainers usually reply within 1 day

Nobody has claimed this yet.

Assessment

Difficulty
5/5
Estimated time
Over a week
Newbie friendliness
25/100
Issue type
Feature
Clarity
Mostly clear
Activity status
Active
Tech stack
github-actions, typescript
Domain
desktop, devops

Research direction

Start with .github/workflows/release.yml, src-tauri/tauri.conf.json, and src-tauri/tauri.release.conf.json, then read Tauri’s Windows code-signing documentation cited in the issue. First establish what the reported Windows warning says and choose a signing provider before provisioning credentials. Done means both NSIS and MSI installers and the executable have verifiable Authenticode signatures, release signing fails visibly on errors, updater minisign validation still covers the distributed bytes, and Windows installation and update results are documented.

Written by the indexing model from the issue text.

Description

odd status:approved type:chore

Problema reportado

Al instalar Quorb en Windows sigue apareciendo un aviso descrito por el usuario como «no autorizado», pese a haber configurado la firma del actualizador.

Faltan texto exacto/captura, versión de Windows, versión instalada y formato utilizado (NSIS/MSI). No se ha inspeccionado ni ejecutado el binario del usuario. No se puede clasificar todavía como SmartScreen, UAC «editor desconocido», Smart App Control o política empresarial.

Hallazgo confirmado

La firma del actualizador no equivale a firma Authenticode de Windows:

  • En main, .github/workflows/release.yml:8–9 declara expresamente que el instalador queda sin Authenticode y solo el updater lleva minisign.
  • El workflow entrega TAURI_SIGNING_PRIVATE_KEY y su contraseña a Tauri para el updater, sin configurar firma de código Windows.
  • src-tauri/tauri.conf.json publica NSIS y MSI; bundle.windows solo configura WebView, sin certificado ni comando de firma Windows.
  • src-tauri/tauri.release.conf.json habilita artefactos del updater, no Authenticode.

Esta carencia es consistente con avisos de editor desconocido/no confianza, pero no prueba por sí sola el origen del mensaje concreto reportado.

Reproducción pendiente de concretar

  1. Descargar el instalador de Quorb desde su distribución oficial.
  2. Ejecutarlo en Windows con las protecciones habituales activadas.
  3. Registrar el texto exacto, editor mostrado, versión del sistema/app y formato del instalador, sin publicar datos personales.
  4. Inspeccionar el artefacto exacto con Get-AuthenticodeSignature o signtool verify /pa /v y registrar solo metadatos públicos (estado, identidad del editor y timestamp).

Alcance propuesto

Investigar e incorporar firma de código Windows para ejecutable e instaladores NSIS/MSI, conservando la firma minisign del updater. Elegir antes el proveedor, identidad validada, coste y mecanismo compatible con CI. Esta issue no autoriza compras, altas, generación/importación de claves, nuevos secretos ni publicación de releases.

Criterios de aceptación

  • Clasificar el aviso real con evidencia y diferenciar SmartScreen, UAC, Smart App Control y políticas del equipo.
  • Registrar la decisión de certificado/servicio de firma Windows y su viabilidad antes de provisionar nada.
  • Ejecutable e instaladores entregados tienen Authenticode válido, editor esperado y timestamp verificable; comprobar ambos formatos.
  • Verificar los artefactos finales y evitar modificaciones que invaliden la firma; conservar la validación minisign del updater sobre los bytes finalmente distribuidos.
  • La ruta de release configurada para firmar falla de forma visible si no puede firmar o verificar, sin anunciar un instalador firmado cuando no lo está.
  • Secretos y material privado se gestionan sin exposición en repositorio, chat o logs, con permisos mínimos y limpieza del material temporal.
  • Validar instalación/actualización en Windows real y documentar el resultado de los avisos con las protecciones activas.
  • Explicar que una firma válida acredita al editor, pero no garantiza ausencia inmediata de SmartScreen: la reputación del archivo/editor y las políticas del equipo pueden mantener avisos.
  • No proponer desactivar SmartScreen/Defender, eliminar controles del sistema ni usar certificados autofirmados como solución de confianza pública.

Fuentes oficiales

Microsoft documenta que incluso un binario firmado nuevo puede producir avisos mientras adquiere reputación; EV tampoco garantiza evitarlos.

Investigación y duplicados

Inspección read-only del repositorio local y de main, políticas/labels y búsqueda de issues abiertas/cerradas por SmartScreen, Authenticode, editor desconocido, no autorizado y code signing. Resultado relacionado: #13, preparación de release ya cerrada, excluye expresamente Authenticode. Esta issue registra ese trabajo pendiente y el nuevo reporte, no repite la preparación del updater.

Sin cambios de código, certificados, secretos o workflow; sin descargar/ejecutar instaladores. La corrección de autostart en #19 es independiente.

Dominant language
TypeScript
Stars
10
Forks
2
Avg merge
3h 15m
Merged PRs (30d)
82

Getting set up

This project ships no dev container, Dockerfile or contributing guide, so setting up is up to you: start from its README, and see our first-contribution guide for the general steps.

First steps

  1. Read the whole issue, then the project's contributing guide.
  2. Comment on the issue to say you are picking it up — it saves two people doing the same work.
  3. Fork the repository and make your change on a branch.
  4. Open a pull request that references the issue number.

More from egdev6/quorb

All issues in egdev6/quorb

Similar issues

More TypeScript issues

Get new issues in your inbox

A short digest of beginner-friendly GitHub issues.