Informar de una vulnerabilidad
Informe de los problemas de seguridad en privado, no en un informe público: abra la pestaña Security del repositorio y pulse Report a vulnerability, indicando la versión afectada y cómo reproducirlo. Confirmamos los informes en pocos días laborables, corregimos los problemas confirmados en una nueva versión y mencionamos a quien informó en las notas de la versión, salvo que prefiera lo contrario.
Las correcciones de seguridad se publican para la versión más reciente. Contacto legible por máquina: security.txt.
Cómo protege RMMZit sus equipos
Consola
La consola y el punto de conexión de los agentes son puertos separados; la consola solo acepta sus redes permitidas, comprobadas antes de TLS. Inicio de sesión en dos pasos para cada cuenta, contraseñas argon2id, sesiones cortas, bloqueo progresivo de inicios fallidos, protección CSRF, una Content-Security-Policy estricta y un registro de auditoría encadenado por hash.
Agentes
Los agentes solo se conectan de forma saliente (los equipos gestionados no necesitan puertos abiertos), fijan el certificado del servidor al registrarse y solo ejecutan comandos firmados por el servidor y comprobados por el agente.
Acceso remoto
Escritorio remoto, terminal y archivos solo para usuarios con acceso a ese cliente; cada sesión y acción queda en el registro de auditoría, y un aviso opcional en la pantalla remota indica al usuario que hay alguien conectado.
Solo su red
Sin servicio en la nube, sin telemetría, sin cuenta con nosotros. Las acciones root de la consola (actualizaciones, red, zona horaria) pasan por un asistente separado con un conjunto fijo de solicitudes validadas; el diagnóstico elimina contraseñas, tokens y claves.
Cómo se protegen las versiones
- Cada versión se firma con la clave de publicación Ed25519 de RMMZit; consolas y agentes verifican la firma y las sumas de comprobación antes de instalar una actualización.
- El script de instalación verifica la firma y la suma de comprobación de la versión que descarga.
- Los paquetes se compilan a partir de commits etiquetados; las imágenes incluyen una oferta escrita de código fuente (
SOURCE-CODE.txt). - Una actualización de la consola hace primero una copia de la base de datos y vuelve atrás automáticamente si la nueva versión no arranca.
Cómo se prueba RMMZit
En cada cambio (GitHub Actions)
| Comprobación | Qué encuentra |
|---|---|
| CI | go vet, la batería completa de pruebas con PostgreSQL integrado, staticcheck, gosec, govulncheck y Gitleaks; compilaciones para Linux y Windows |
| CodeQL | Inyecciones, path traversal, redirecciones inseguras y otros errores de flujo de datos (Go, JavaScript, workflows) |
| govulncheck | Vulnerabilidades conocidas en Go y en las dependencias que el código realmente usa |
| staticcheck | Errores y código muerto |
| Dependabot | Módulos de Go y acciones vulnerables u obsoletos |
| Secret scanning | Credenciales subidas por error (con protección en el push) |
| OpenSSF Scorecard | Prácticas de la cadena de suministro del repositorio |
Antes de cada versión (en un laboratorio de pruebas)
| Comprobación | Qué encuentra |
|---|---|
| gosec | Patrones inseguros en Go: ejecución de comandos, permisos de archivos, criptografía débil |
| Semgrep | Inyecciones, XSS, cookies inseguras, redirecciones abiertas (Go, JavaScript, secretos, reglas OWASP Top 10) |
| Trivy | Dependencias vulnerables, secretos y configuraciones erróneas |
| Gitleaks | Secretos en todo el historial de git |
| OWASP ZAP | Análisis completo con sesión de administrador: XSS, inyección SQL, CSRF, path traversal, problemas de cabeceras |
| OpenVAS y nmap | Vulnerabilidades de red, puertos abiertos y ajustes TLS del appliance |
| QA de extremo a extremo | Registro, supervisión, alertas, escritorio remoto, terminal, archivos, scripts, actualizaciones, roles, LDAP y SSO en equipos Windows y Linux reales |
Los hallazgos se corrigen antes de publicar; los riesgos aceptados se documentan en las notas de la versión.
Este sitio web
rmmzit.com es un sitio estático: solo una cookie de idioma, sin analítica, sin rastreo, sin scripts ni fuentes de terceros y con una Content-Security-Policy que no permite ningún script. Vea la política de privacidad.