Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

chore: investigar aviso de instalación y añadir firma Authenticode Windows

Abierto
  • ¿Algo no está bien?
#20 1 comentario 0 reacciones 0 asignados Ver en GitHub

Los mantenedores suelen responder en 1 día

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
5/5
Tiempo estimado
Más de una semana
Aptitud para principiantes
25/100
Tipo de issue
Nueva funcionalidad
Claridad
Bastante claro
Estado de actividad
Activo
Stack tecnológico
github-actions, typescript
Área
desktop, devops

Línea de trabajo

Start with .github/workflows/release.yml, src-tauri/tauri.conf.json, and src-tauri/tauri.release.conf.json, then read Tauri’s Windows code-signing documentation cited in the issue. First establish what the reported Windows warning says and choose a signing provider before provisioning credentials. Done means both NSIS and MSI installers and the executable have verifiable Authenticode signatures, release signing fails visibly on errors, updater minisign validation still covers the distributed bytes, and Windows installation and update results are documented.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

odd status:approved type:chore

Problema reportado

Al instalar Quorb en Windows sigue apareciendo un aviso descrito por el usuario como «no autorizado», pese a haber configurado la firma del actualizador.

Faltan texto exacto/captura, versión de Windows, versión instalada y formato utilizado (NSIS/MSI). No se ha inspeccionado ni ejecutado el binario del usuario. No se puede clasificar todavía como SmartScreen, UAC «editor desconocido», Smart App Control o política empresarial.

Hallazgo confirmado

La firma del actualizador no equivale a firma Authenticode de Windows:

  • En main, .github/workflows/release.yml:8–9 declara expresamente que el instalador queda sin Authenticode y solo el updater lleva minisign.
  • El workflow entrega TAURI_SIGNING_PRIVATE_KEY y su contraseña a Tauri para el updater, sin configurar firma de código Windows.
  • src-tauri/tauri.conf.json publica NSIS y MSI; bundle.windows solo configura WebView, sin certificado ni comando de firma Windows.
  • src-tauri/tauri.release.conf.json habilita artefactos del updater, no Authenticode.

Esta carencia es consistente con avisos de editor desconocido/no confianza, pero no prueba por sí sola el origen del mensaje concreto reportado.

Reproducción pendiente de concretar

  1. Descargar el instalador de Quorb desde su distribución oficial.
  2. Ejecutarlo en Windows con las protecciones habituales activadas.
  3. Registrar el texto exacto, editor mostrado, versión del sistema/app y formato del instalador, sin publicar datos personales.
  4. Inspeccionar el artefacto exacto con Get-AuthenticodeSignature o signtool verify /pa /v y registrar solo metadatos públicos (estado, identidad del editor y timestamp).

Alcance propuesto

Investigar e incorporar firma de código Windows para ejecutable e instaladores NSIS/MSI, conservando la firma minisign del updater. Elegir antes el proveedor, identidad validada, coste y mecanismo compatible con CI. Esta issue no autoriza compras, altas, generación/importación de claves, nuevos secretos ni publicación de releases.

Criterios de aceptación

  • Clasificar el aviso real con evidencia y diferenciar SmartScreen, UAC, Smart App Control y políticas del equipo.
  • Registrar la decisión de certificado/servicio de firma Windows y su viabilidad antes de provisionar nada.
  • Ejecutable e instaladores entregados tienen Authenticode válido, editor esperado y timestamp verificable; comprobar ambos formatos.
  • Verificar los artefactos finales y evitar modificaciones que invaliden la firma; conservar la validación minisign del updater sobre los bytes finalmente distribuidos.
  • La ruta de release configurada para firmar falla de forma visible si no puede firmar o verificar, sin anunciar un instalador firmado cuando no lo está.
  • Secretos y material privado se gestionan sin exposición en repositorio, chat o logs, con permisos mínimos y limpieza del material temporal.
  • Validar instalación/actualización en Windows real y documentar el resultado de los avisos con las protecciones activas.
  • Explicar que una firma válida acredita al editor, pero no garantiza ausencia inmediata de SmartScreen: la reputación del archivo/editor y las políticas del equipo pueden mantener avisos.
  • No proponer desactivar SmartScreen/Defender, eliminar controles del sistema ni usar certificados autofirmados como solución de confianza pública.

Fuentes oficiales

Microsoft documenta que incluso un binario firmado nuevo puede producir avisos mientras adquiere reputación; EV tampoco garantiza evitarlos.

Investigación y duplicados

Inspección read-only del repositorio local y de main, políticas/labels y búsqueda de issues abiertas/cerradas por SmartScreen, Authenticode, editor desconocido, no autorizado y code signing. Resultado relacionado: #13, preparación de release ya cerrada, excluye expresamente Authenticode. Esta issue registra ese trabajo pendiente y el nuevo reporte, no repite la preparación del updater.

Sin cambios de código, certificados, secretos o workflow; sin descargar/ejecutar instaladores. La corrección de autostart en #19 es independiente.

Lenguaje dominante
TypeScript
Estrellas
10
Forks
2
Merge medio
16 min
PR fusionados (30 d)
51

Preparar el entorno

Este proyecto no incluye contenedor de desarrollo, Dockerfile ni guía de contribución, así que la configuración corre por tu cuenta: empieza por su README y consulta nuestra guía para la primera contribución para los pasos generales.

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de egdev6/quorb

Todos los issues de egdev6/quorb

Issues similares

Más issues de TypeScript

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.