Apariencia
Confiar en una clave
Por defecto, una instalación de Hury Suite acepta solo plugins firmados con la clave de Hury (PLUGIN_PUBLIC_KEY). Para instalar plugins propios o de un proveedor, el dueño de la instalación añade las claves públicas correspondientes a PLUGIN_TRUSTED_KEYS.
Es una decisión explícita del dueño en el servidor, nunca algo que se configure desde la interfaz: quien puede subir un
.zipdesde el panel no puede ampliar en qué claves se confía.
Configurar PLUGIN_TRUSTED_KEYS
Es una variable de entorno de la API (en el .env del servidor). Acepta una o varias claves públicas Ed25519, en cualquiera de estos formatos, separadas por comas, espacios o saltos de línea:
| Formato | Ejemplo |
|---|---|
SPKI en DER, codificado en base64 (el que imprime hury-plugin keygen) | LS0tLS1CRUdJTiBQVUJMSUMgS0VZLS0tLS0K… |
| PEM | -----BEGIN PUBLIC KEY-----\nMCow…\n-----END PUBLIC KEY----- |
| PEM codificado en base64 | igual que el primero (es lo mismo que imprime la CLI) |
bash
# .env de la API: dos claves, separadas por coma
PLUGIN_TRUSTED_KEYS="MCowBQYDK2VwAyEA…,MCowBQYDK2VwAyEA…"Después, reinicia la API y el worker. Una entrada malformada se ignora con un aviso en el log (sin volcar su contenido) y nunca tumba la API. Las claves repetidas, o iguales a la de Hury, se descartan.
Qué cambia cuando una clave es de confianza
| Plugin oficial (clave de Hury) | Plugin de una clave de confianza | |
|---|---|---|
| Se instala | Sí | Sí, si la clave está en PLUGIN_TRUSTED_KEYS |
| Marketplace y gestor | «Firmado por Hury», sello oficial | «Clave de confianza ab12cd34» |
| ¿Cuenta como oficial? | Sí | Nunca, aunque sea la misma empresa |
| Catálogo privado de Hury | Sí (con licencia) | No |
| Auditoría de la instalación | Registra la instalación | Registra además la huella de la clave |
| Sustituir un plugin oficial ya instalado | — | Rechazado: hay que desinstalar el oficial antes |
| Si se retira la clave | — | El plugin deja de cargarse al arrancar (se avisa en el log); el gestor lo marca «Clave retirada ab12cd34» |
La huella son los 8 primeros caracteres hexadecimales del SHA-256 de la clave pública (SPKI). La imprimen hury-plugin keygen, hury-plugin pubkey y el firmador.
Antes de añadir una clave
Un plugin no corre aislado: su código del servidor se ejecuta con los mismos permisos que la API, y el del panel en el navegador de quien lo abre. Aceptar una clave equivale a confiar en todo lo que su dueño firme, ahora y en el futuro. Antes de añadirla:
- Comprueba por un canal independiente que la clave es de quien dice (compara la huella de 8 caracteres de viva voz o por otro medio).
- Revisa el código del primer paquete o pide un informe, igual que harías con una dependencia.
- Anota en tu inventario qué claves aceptas y por qué.
- Si dejas de confiar, quita la clave: sus plugins dejan de cargarse en el siguiente arranque.
Verificar desde la terminal
bash
hury-plugin verify mi-plugin-1.0.0.zip --key "MCowBQYDK2VwAyEA…"Con la variable ya definida en tu entorno (PLUGIN_TRUSTED_KEYS), --key es opcional.