Seguridad

Cómo protege GenPM tu proyecto

Seguro por diseño, verificable por cualquiera. Nunca prometemos un 100 %: prometemos invariantes con tests que bloquean cada release.

Invariantes

INV-1 Integridad: los bytes instalados son exactamente el árbol del commit.
INV-2 Cero ejecución: GenPM nunca ejecuta código ni hooks del paquete.
INV-3 Confinamiento: solo se escribe dentro de tu proyecto, en las rutas del plan.
INV-4 Sin ejecutables: los archivos inyectados nunca conservan permisos de ejecución.
INV-5 Consentimiento: ni config MCP, ni instalaciones npm, ni sobrescrituras sin tu sí.
INV-6 Secretos: GenPM nunca lee los valores de .env.
INV-7 Autoridad del registry: publicar lee GitHub, nunca al cliente.
INV-8 Manifiestos firmados: el CLI solo instala manifiestos firmados por el registry.
INV-9 Inmutabilidad: una versión publicada nunca cambia.
INV-10 Aislamiento entre tenants: ninguna consulta cruza registries.

Reportar una vulnerabilidad

Escribe a hello@genpm.net (asunto [SECURITY]) o usa GitHub Private Vulnerability Reporting. Primera respuesta en menos de 48 horas. Safe harbor para la investigación de buena fe.

hello@genpm.net · [SECURITY]security.txt Avisos de seguridad