Curso – Claude
EN

Política de seguridad

Introducción

La seguridad del proyecto Claude How To es importante para nosotros. Este documento describe nuestras prácticas de seguridad y describe cómo reportar las vulnerabilidades de seguridad de manera responsable.

Versiones soportadas

Proporcionamos actualizaciones de seguridad para las siguientes versiones:

Versión Situación Apoyo hasta
Última (principal) • Activa Corriente + 6 meses

Nota: Como proyecto de guía educativa, nos centramos en mantener las mejores prácticas actuales y la seguridad de la documentación en lugar de soporte de versiones tradicionales. Las actualizaciones se aplican directamente a la rama principal.

Prácticas de seguridad

Código de seguridad

  1. Gestión de las dependencias
  2. Todas las dependencias de Python están conectadas requirements.txt
  3. Actualizaciones periódicas a través de dependencias y revisión manual
  4. Escaneo de seguridad con Bandido en cada comisión

  5. Hooks previos para controles de seguridad

  6. Calidad del código

  7. Linting con Ruff captura problemas comunes
  8. Tipo de verificación con mypy previene vulnerabilidades relacionadas con el tipo
  9. Los hooks previos al compromiso hacen cumplir las normas

  10. Todos los cambios revisados antes de la fusión

  11. Control de acceso

  12. Protección de la sucursal en main sucursal
  13. Revisiones necesarias antes de la fusión
  14. Los controles de estado deben pasar antes de fusionarse
  15. Acceso limitado a escritura en repositorio

Seguridad de la documentación

  1. No hay secretos en ejemplos
  2. Todas las claves de API en ejemplos son marcadores de posición
  3. Las credenciales nunca están codificadas
  4. .env.example los archivos muestran las variables necesarias

  5. Advertencias claras sobre la gestión secreta

  6. Mejores prácticas de seguridad

  7. Ejemplos demuestran patrones seguros
  8. Advertencias de seguridad destacadas en la documentación
  9. Vínculos con las guías oficiales de seguridad

  10. Manejo de credenciales discutido en secciones relevantes

  11. Revisión de contenido

  12. Toda la documentación examinada en relación con cuestiones de seguridad
  13. Consideraciones de seguridad en las directrices sobre contribuciones
  14. Validación de enlaces y referencias externos

Seguridad de las dependencias

  1. Escáner
  2. Bandit escanea todo el código de Python para detectar vulnerabilidades
  3. Comprobaciones de vulnerabilidad de dependencia a través de alertas de seguridad GitHub

  4. Auditorías manuales periódicas de seguridad

  5. Actualizaciones

  6. Parches de seguridad aplicados rápidamente
  7. Principales versiones evaluadas cuidadosamente

  8. El registro de cambios incluye actualizaciones relacionadas con la seguridad

  9. Transparencia

  10. Actualizaciones de seguridad documentadas en commits
  11. Divulgación de vulnerabilidad manejada de manera responsable
  12. Asesoramientos de seguridad pública cuando proceda

Informando de una vulnerabilidad

Problemas de seguridad que nos importan

Apreciamos los informes sobre: Vulnerabilidades del código en scripts o ejemplos - Vulnerabilidades de las dependencias en paquetes de Python - Cuestiones relativas a la criptografía en cualquier ejemplo de código - Errores de autenticación/autorización en la documentación - Riesgos de exposición a los datos en ejemplos de configuración - Vulnerabilidades de la inyección (SQL, comando, etc.) - SSRF/XXE/Path traversal cuestiones

Cuestiones de seguridad fuera del ámbito de aplicación

Estos están fuera del alcance de este proyecto: - Vulnerabilidades en el propio Claude Code (informe a Antrópico) - Problemas con servicios externos o bibliotecas (informe a aguas arriba) - Ingeniería social o educación de los usuarios (no aplicable a esta guía) - Vulnerabilidades teóricas sin prueba de concepto - Vulnerabilidades en dependencias reportadas a través de canales oficiales

Cómo informar

Información privada (preferida)

Para problemas de seguridad delicados, por favor use el informe privado de vulnerabilidad de GitHub:

  1. Visita: https://github.com/luongnv89/claude-howto/security/advisories
  2. Haga clic en "Informe de vulnerabilidad"
  3. Rellene los detalles de vulnerabilidad
  4. Incluir:
  5. Descripción clara de la vulnerabilidad
  6. Componente afectado (archivo, sección, ejemplo)
  7. Posibles efectos
  8. Pasos para reproducirse (si procede)
  9. Se sugiere una solución (si tienes una)

¿Qué pasa después? - Acusaremos recibo dentro de 48 horas - Investigaremos y evaluaremos la severidad - Trabajaremos con usted para desarrollar una solución - Coordinaremos la línea de tiempo de divulgación - Le acreditaremos en el asesoramiento de seguridad (a menos que prefiera el anonimato)

Informes públicos

Para cuestiones no sensibles o que ya son públicas:

  1. Abrir un problema de GitHub con etiqueta security
  2. Incluir:
  3. Título: [SECURITY] seguida de una breve descripción
  4. Descripción detallada
  5. Archivo o sección afectado
  6. Posibles efectos
  7. Corrección sugerida

Proceso de respuesta a la vulnerabilidad

Evaluación (24 horas)

  1. Acusamos recibo del informe
  2. Evaluamos la severidad utilizando CVSS v3.1
  3. Determinamos si está en el alcance
  4. Nos pondremos en contacto con usted con la evaluación inicial

Desarrollo (1-7 días)

  1. Desarrollamos una solución
  2. Revisamos y probamos la solución
  3. Creamos un asesor de seguridad
  4. Preparamos notas de lanzamiento

Divulgación (varía según la gravedad)

Critical (CVSS 9,0-10,0) - Aviso público emitido con 24 horas de antelación a los reporteros

Alta (CVSS 7.0-8.9) - Fijación liberada dentro de 48-72 horas - 5 días de antelación aviso a los reporteros - Aviso público sobre la liberación

Medio (CVSS 4,0-6,9) - Fijar publicado en la próxima actualización regular - Asesoramiento público en la publicación

Baja (CVSS 0,1-3,9) - Fijación incluida en la próxima actualización regular - Asesoramiento sobre el lanzamiento

Publicación

Publicamos avisos de seguridad que incluyen: - Descripción de la vulnerabilidad - Componentes afectados - Evaluación de la gravedad (puntuación CVSS) - Fijar versión - Soluciones (si procede) - Crédito al reportero (con permiso)

Mejores prácticas para los reporteros

Antes de la presentación de informes

  • Verificar la cuestión: ¿Se puede reproducir constantemente?
  • Buscar las cuestiones existentes: ¿Ya se ha informado?
  • Comprobar la documentación: ¿Existe alguna guía sobre el uso seguro?
  • Probar la solución: ¿Su solución sugerida funciona?

Al informar

  • Sea específico: Proporcionar rutas de archivo exactas y números de línea
  • Incluir contexto: ¿Por qué se trata de un problema de seguridad?
  • Mostrar el impacto: ¿Qué podría hacer un atacante?
  • Proveer pasos¿Cómo podemos reproducirlo?
  • Sugerir correcciones¿Cómo lo arreglarías?

Después de la presentación de informes

  • Sé paciente.: Tenemos recursos limitados
  • Sé sensible.: Responder rápidamente a las preguntas de seguimiento
  • Mantenlo confidencial.: No revelar públicamente antes de fijar
  • Respeto de la coordinación: Siga nuestra línea de tiempo para la divulgación

Encabezados de seguridad y configuración

Seguridad del repositorio

  • Protección de las subdivisiones: La rama principal requiere 2 aprobaciones para cambios
  • Comprobación de la situación: Todos los controles CI/CD deben pasar
  • CODEOMIEROS: Revisores designados para archivos clave
  • Compromisos firmados: Recomendado para colaboradores

Seguridad del desarrollo

# Install pre-commit hooks
pre-commit install

# Run security scans locally
bandit -c pyproject.toml -r scripts/
mypy scripts/ --ignore-missing-imports
ruff check scripts/

Seguridad de las dependencias

# Check for known vulnerabilities
pip install safety
safety check

# Or use pip-audit
pip install pip-audit
pip-audit

Directrices de seguridad para los contribuyentes

Cuando se escriben ejemplos

  1. Nunca secretos de código duro # Malo api_key = "sk-1234568790"

# Buena api_key = os.getenv("API_KEY") #

  1. Avisar sobre las implicaciones de seguridad markdown ⚠️ **Security Note**: Never commit `.env` files to git. Add to `.gitignore` immediately.

  2. Usar valores predeterminados seguros

  3. Habilitar la autenticación por defecto
  4. Usar HTTPS cuando proceda
  5. Validar y desinfectar entradas

  6. Usar consultas parametrizadas

  7. Consideraciones relativas a la seguridad de los documentos

  8. Explicar por qué la seguridad importa
  9. Mostrar patrones seguros vs. inseguros
  10. Enlace a fuentes autorizadas
  11. Incluir advertencias de manera prominente

Al revisar las contribuciones

  1. Comprobar si hay secretos expuestos
  2. Buscar patrones comunes (api_key=, password=)
  3. Revisar los archivos de configuración

  4. Comprobar las variables de entorno

  5. Verificar prácticas de codificación seguras

  6. No hay credenciales codificadas
  7. Validación adecuada de las entradas
  8. Autenticación/autorización segura

  9. Manejo seguro de archivos

  10. Implicaciones en materia de seguridad de los ensayos

  11. ¿Se puede usar mal?
  12. ¿Cuál es el peor caso?
  13. ¿Hay casos de borde?

Recursos de seguridad

Normas oficiales

Seguridad de Python

Gestión de las dependencias

Seguridad General

Archivo de avisos de seguridad

Avisos de seguridad anteriores están disponibles en el Asesores de seguridad de GitHub ficha.

Contacto

Para las cuestiones relacionadas con la seguridad o para discutir las prácticas de seguridad:

  1. Informe de seguridad privada: Utilice el informe privado de vulnerabilidad de GitHub
  2. Cuestiones generales de seguridad: Abrir una discusión con [SECURITY] etiqueta
  3. Información sobre la política de seguridad: Crear un problema con security etiqueta

Reconocimientos

Apreciamos a los investigadores de seguridad y miembros de la comunidad que ayudan a mantener este proyecto seguro. Los colaboradores que reportan vulnerabilidades de manera responsable serán reconocidos en nuestras advertencias de seguridad (a menos que prefieran el anonimato).

Actualizaciones de políticas

Esta política de seguridad se revisa y actualiza: - Cuando se descubren nuevas vulnerabilidades - Cuando evolucionan las mejores prácticas de seguridad - Cuando cambia el alcance del proyecto - Anualmente como mínimo

Última actualización: 25 de agosto de 2026 Versión de Claude Code: 2.1.245 Fuentes: - https://code.claude.com/docs/en/overview Modelos compatibles: Claude Fable 5, Claude Opus 5, Claude Sonnet 5, Claude Sonnet 4.6, Claude Opus 4.8, Claude Haiku 4.5 Siguiente revisión: Abril 2027

Gracias por ayudar a mantener Claude Cómo asegurar!

← Anterior
Contribuir a Claude Cómo
Siguiente →
Normas de código limpio para la generación de código IA

Versión en español de Cris Severin. Basado en Claude How To de luongnv89, bajo licencia MIT. Proyecto original