Política de firma de código

Solo las versiones oficiales de Astrail: el instalador y los programas que instala. Se compilan a partir del código público de MrRobot4042212/Astrail con el workflow de publicación del repositorio en GitHub Actions. No se firma nada compilado en un ordenador personal. Los programas de otros proyectos que ya firman sus autores conservan su propia firma.

Además, Astrail comprueba la firma de cada actualización antes de instalarla, así que solo acepta versiones publicadas por ese workflow.

Astrail tiene un solo mantenedor. Cualquier otra persona contribuye con pull requests, que se revisan antes de fusionarse.

Committers y revisores

Diego Alfonso Chicoma Ibañez (Dalfon.dev)

Aprobadores

Diego Alfonso Chicoma Ibañez (Dalfon.dev)

Cómo se decide y quién publica está en GOVERNANCE.md.

1. 1Los cambios se revisan y se fusionan en la rama master.
2. 2Fusionar en la rama deploy lanza el workflow de publicación, que compila Astrail desde el código fuente.
3. 3El workflow envía la compilación a SignPath, y el mantenedor aprueba a mano cada petición de firma.
4. 4El instalador firmado se publica en GitHub, donde lo encuentran esta web y el actualizador integrado de Astrail.

Quien puede escribir en el repositorio o aprobar peticiones de firma usa autenticación en dos pasos en GitHub y en SignPath.

Astrail no envía datos personales a su autor. Se conecta a IGDB para las carátulas, a GitHub para buscar actualizaciones y a Discord solo si lo activas. La política de privacidad detalla todo lo que envía.

Si encuentras un archivo firmado que no viene de una versión oficial, o crees que se está usando mal el certificado, avísalo en privado en GitHub.