Los hallazgos típicos

Los diez, por frecuencia

Lo que dice el patrón

Tres cosas se ven mirando la tabla entera, y valen más que los diez hallazgos por separado:

Ninguno es un descuido. Todos tienen una causa razonable: la plantilla venía así, era lo más rápido, funcionaba. Las aplicaciones de Tauri no son inseguras por dejadez: lo son porque los valores por omisión son permisivos y nada reclama cerrarlos. Es una diferencia importante para el tono del informe y para no sentirse mal con la propia aplicación.

Los baratos son la mayoría. Cinco de los diez se arreglan en una hora o menos. La aritmética es favorable: una tarde bien gastada cierra la mitad del catálogo.

Y el caro es el tercero. Reescribir comandos primitivos cuesta días porque arrastra el frontend, y por eso el nivel 14.4 insistía tanto: es la única decisión de la fase que no se puede arreglar barato después. Todo lo demás es configuración; ésa es forma.

Los tres que casi nunca se encuentran

Y merece decirlo, porque el catálogo puede sugerir que todo está mal:

• Comandos sin validar el tipo. El sistema de tipos de Rust y la deserialización lo impiden por construcción, nivel 15.1. En otros marcos éste sería el hallazgo número uno; aquí no existe.
• Inyección directa por el puente. El puente no interpreta nada: transporta datos tipados. La superficie está en lo que el comando haga, no en el transporte.
• Permisos de plugin mal implementados. Los permisos que trae el ecosistema están razonablemente bien pensados; el problema casi siempre es cuántos se conceden, no cómo están hechos.

Eso también es un resultado de auditoría y conviene ponerlo en el informe: el modelo de Tauri cierra por construcción una familia entera de problemas, y los hallazgos que quedan son de configuración y de forma.

Usarlo antes, no después

El catálogo funciona mejor como lista previa que como resultado. Diez preguntas, contestables en veinte minutos sobre tu propia aplicación: