El canal más peligroso que vas a construir
Un actualizador ejecuta código en los ordenadores de tus usuarios sin que ellos hagan nada. Qué garantías necesita, y por qué su clave vale más que la de firma.
Qué hace exactamente
La fila de los cruces es la lección: un actualizador no es una función de comodidad, es una vía de ejecución remota que tú construyes voluntariamente. Y por eso las garantías no son opcionales.
Las cuatro garantías
Las tres primeras las trae el mecanismo de Tauri; la cuarta hay que pensarla, y es la que más se olvida.
Por qué su clave vale más que la de firma
Una comparación que ordena las prioridades del nivel 60.3:
- Quien tenga tu clave de firma puede publicar software que parece tuyo. Para que haga daño, alguien tiene que descargarlo e instalarlo.
- Quien tenga tu clave de actualización puede hacer que todas las instalaciones existentes descarguen y ejecuten lo que él quiera, automáticamente, sin que ningún usuario haga nada.
La segunda es estrictamente peor, y por eso merece una protección distinta:
- En un sitio separado de las demás credenciales.
- Con acceso más restringido que el resto.
- Y con la posibilidad de que firmar una actualización requiera un paso manual en vez de ocurrir automáticamente en cada etiqueta. Es más incómodo y es proporcional.
¿Necesitas uno?
Antes de construirlo, la pregunta:
Y una opción intermedia que se subestima: avisar de que hay una versión nueva y llevar a la página de descarga, sin descargar ni instalar nada. Tiene ninguna de las responsabilidades de este nivel, y consigue buena parte del efecto — sobre todo si el aviso es claro y el usuario solo tiene que pulsar.