SEGURIDAD

Documentación de seguridad

Sin teatro de cumplimiento — solo lo que hace de verdad cada proyecto para mantener seguros tu sistema y tus datos, proyecto por proyecto.

Wethereal

Optimización de Windows

— Cada ajuste que altera el sistema va precedido de un backup automático y un punto de restauración de Windows.
— Confirma antes de aplicar cualquier cosa — sin escrituras silenciosas al registro o la configuración del sistema.
— Los perfiles de optimización tienen alcance definido y son reversibles, no un camino de ida.

Diagnóstico y recuperación de crashes

— Lee archivos .dmp de crash existentes — no modifica el estado del sistema para diagnosticar un crash.
— La vía del USB booteable es solo diagnóstico: corre independientemente del sistema operativo (posiblemente roto).
— El README separa explícitamente "probado por unidad" de "verificado en hardware real" — no se afirma que nada sea más sólido de lo que realmente se ha comprobado.

SaaS para estudios y clientes

— La superficie más de cara al cliente del portfolio — los flujos de checkout y cuenta reciben el mayor escrutinio.
— Alojado en Netlify, lo que limita la superficie de ataque a la propia app en vez de infraestructura autogestionada.

App de flujos con IA

— Superficie de ataque mínima por ahora — todavía no hay un conjunto de funciones en producción que asegurar o explotar.
— Heredará la misma disciplina de confirmar-antes-de-cambiar y backups que el resto del portfolio en cuanto alcance paridad de funciones.

Sistema operativo de conocimiento personal

— Offline-first y autoalojado por diseño — tus notas se quedan en infraestructura que tú controlas.
— Despliegue autoalojado con Docker para v0.1; el hardening de auth y sync llega en v0.2, y lo decimos en vez de dar a entender que ya está hecho.

Infraestructura homelab

— Cero puertos expuestos a internet — cada servicio está detrás de una malla privada de Tailscale.
— Las contraseñas viven en una instancia autoalojada de Vaultwarden, no en una bóveda de un tercero en la nube.
— Watchtower mantiene los contenedores parcheados automáticamente; Prometheus/Grafana/Netdata detectan problemas antes de que se conviertan en incidentes.

Bloqueo de dispositivos de entrada (Linux)

— La API REST/WebSocket está pensada para uso en la máquina local — no está diseñada para exponerse más allá de localhost.
— El bloqueo a nivel evdev intercepta la entrada en la capa del kernel, no es un hook de userspace falsificable.
— Empaquetado como servicio systemd, así que arranca y para de forma predecible en vez de depender de un hack en segundo plano.

Administración de sistemas Linux

— Cada acción de hardening — SSH, firewall, AppArmor/SELinux — muestra el diff exacto antes de aplicar y pide confirmación explícita.
— Se crea un backup automáticamente antes de que corra cualquier pasada de hardening.
— No se toca nada fuera del alcance confirmado: la herramienta lo dice explícitamente cuando termina una corrida.