Seguridad

Informar de una vulnerabilidad

Si encuentras un problema de seguridad en la CLI, la app de escritorio, eidosmd.com o Eidos online, envíalo con Send Feedback, en el menú Help de la app de escritorio, o con eidos feedback --kind bug. Empieza la descripción con la palabra «Security», di qué encontraste y cómo reproducirlo, e incluye tu email, porque el feedback no tiene canal de respuesta. También puedes escribir a The Virtual Panda, 800 N King Street, Suite 304 #2638, Wilmington, DE 19801, Estados Unidos.

Danos la oportunidad de arreglarlo antes de contárselo a nadie más, y no hagas pruebas contra ordenadores o datos de otras personas.

Primero lo local

Un proyecto que no sincronizas es una carpeta de archivos markdown y YAML en tu disco, y esa carpeta es el único lugar donde se guarda tu trabajo: no hay copia en ningún sitio nuestro. La app de escritorio ejecuta el mismo código que la CLI, y la página que ves se sirve desde tu propio ordenador, en una dirección a la que solo él puede llegar (127.0.0.1), no desde internet.

Nada de lo que escribes en él se sube. Las únicas peticiones que el software hace a eidosmd.com son las que enumera la página de privacidad, y ninguna lleva tu trabajo.

Eidos online

Un proyecto que sincronizas también se guarda en el servicio de Eidos online, sobre Cloudflare, para que sus miembros lleguen a él. Qué guarda el servicio, y quién más lo maneja, está en la página de privacidad.

• Iniciar sesión es un código por correo que funciona una vez, durante diez minutos, o Apple, Google o una contraseña opcional de al menos 10 caracteres, rechazada si está entre las filtradas conocidas. El inicio de sesión en dos pasos, con una app de autenticación y 10 códigos de respaldo, se pide después de cada forma de entrar cuando lo activas.
• Tu sesión en un dispositivo es un token que se guarda en accounts.json, en la carpeta de datos de la app, nunca en un proyecto. Cerrar sesión lo quita de ese dispositivo.
• Dispositivos. Una cuenta está activa en tres dispositivos a la vez, y Dispositivos, en el sitio de la cuenta, enumera cada uno y cierra su sesión.
• Acceso. El servicio comprueba cada cambio contra el acceso de su autor antes de que nadie lo reciba, y un archivo de una parte que un miembro no puede leer nunca llega a su disco.
• Las tarjetas las toma Stripe en sus propios campos. Eidos nunca ve el número de una tarjeta.
• El personal de Eidos llega al servicio solo con herramientas de personal que piden el inicio de sesión en dos pasos y escriben cada cambio en un registro de auditoría, y esas herramientas nunca abren los archivos de un proyecto.

Las claves que introduces

Las claves se guardan en un archivo de tu ordenador, legible solo por tu cuenta de usuario, nunca en un proyecto, así que nunca se suben con tu trabajo:

• Una clave de OpenAI para el dictado alojado se guarda en transcription.yaml, en la carpeta de datos de la app Eidos. Solo se usa para enviar una grabación a OpenAI, y nunca se devuelve a la página, se escribe en la configuración de un proyecto ni aparece en un error o un registro.
• Un token de API de Jira lo guarda el plugin de Jira en plugins/jira/credentials.json, en la misma carpeta de datos.
• La sesión de tu agente de IA pertenece al propio agente (Claude Code o Codex, por ejemplo). Eidos inicia el agente con el que ya tienes sesión y no maneja esa sesión.
• Las credenciales de git se quedan con git en tu máquina. Eidos ejecuta git, y git inicia sesión en tu remoto como siempre.

Dónde está la carpeta de datos de la app

En macOS, ~/Library/Application Support/eidosmd. En Windows, %APPDATA%\eidosmd. En Linux, ~/.config/eidosmd (o bajo $XDG_CONFIG_HOME cuando está definido). Estos archivos no están cifrados, así que están tan seguros como tu cuenta de usuario: quien pueda iniciar sesión como tú puede leerlos.

Plugins

Un plugin de la comunidad del Registro se instala comprobando cada archivo contra el sha256 que da su ficha, y una persona revisa cada versión antes de listarla. Solo se ejecuta después de que un proyecto lo active y tú lo permitas en tu máquina. Permite solo plugins en los que confíes: una vez permitido, un plugin se ejecuta como parte de la CLI y la app, con el mismo acceso a tu ordenador.

Versiones firmadas

Las versiones para macOS están firmadas con un Apple Developer ID y notarizadas por Apple. Las de Windows se firman con Azure Artifact Signing. El proceso de publicación se niega a crear una versión para macOS o Windows sin sus credenciales de firma, así que nunca se publica una sin firmar. El AppImage y el deb de Linux no llevan firma de código. La app solo se actualiza sola en una versión empaquetada, desde dl.eidosmd.com.