Firmador en el navegador

Firma un plugin (.zip sin firmar, como el que genera hury-plugin build) con tu clave privada, sin instalar nada. Todo ocurre en esta pestaña.

Seguridad

• Esta página se sirve con una política de seguridad de contenido (CSP) con connect-src 'none': el navegador impide a la página cualquier conexión de red (fetch, XHR, WebSocket, beacon). La clave privada y el zip no pueden salir de tu equipo. El botón «Probar el bloqueo de red» lo demuestra.
• La clave privada se lee del fichero solo al pulsar «Firmar» y no se guarda.
• Este firmador no tiene la clave oficial de Hury y no puede firmar plugins oficiales. Firma con la clave que tú aportes.
• Aun así, si tu clave protege un proveedor entero, firma desde la terminal con hury-plugin sign en un equipo de confianza y no pegues claves en navegadores con extensiones que no controlas.

Todo ocurre en tu equipo

El zip y tu clave privada no se envían a ningún sitio. Se leen en esta pestaña, se firman con WebCrypto (Ed25519) y el resultado se descarga desde la memoria del navegador. La clave solo se lee al pulsar «Firmar», no se guarda en localStorage ni en ningún otro almacén y se pone a cero al terminar.

Esta página no puede hacer peticiones: se sirve con una política de seguridad de contenido (CSP) con connect-src 'none'. Puedes comprobarlo tú: abre las herramientas del navegador, pestaña «Red», y firma un paquete; no aparece ninguna petición. También puedes desconectarte de internet antes de firmar.

Firmar un plugin

Firma con tu clave. Los plugins oficiales los firma Hury sin conexión; las instalaciones solo aceptan tu clave si su dueño la añade a PLUGIN_TRUSTED_KEYS.

1. Paquete del plugin (.zip)El zip que genera hury-plugin build. Si falta checksums.json, se genera. Puedes arrastrarlo aquí.2. Clave privada (.pem, PKCS8 Ed25519)Se lee desde tu disco. Sin clave, créala en el generador o con hury-plugin keygen.Regenerar checksums.json aunque ya exista y no coincida con los ficheros del zip.

Verificar un paquete firmado

Comprueba las huellas de los ficheros y la firma contra las claves públicas que indiques. Ed25519 no permite deducir la clave de la firma: sin clave pública solo se comprueban las huellas.

Paquete (.zip)Claves públicas (base64 o PEM; varias separadas por comas o líneas) ¿Solo tienes la privada? Carga su clave pública desde el fichero (solo se deriva en esta pestaña):

Cómo usarlo

1. Genera tu par de claves si aún no lo tienes: generador o hury-plugin keygen.
2. Construye el paquete: hury-plugin build → dist/<clave>-<versión>.zip.
3. Elige el .zip y tu clave privada (.pem) y pulsa Firmar. Se descarga <clave>-<versión>.zip con plugin.sig dentro.
4. Para comprobar un paquete ya firmado, usa la sección Verificar, con la clave pública que quieras comprobar.

Qué hace exactamente

• Lee el zip y comprueba que checksums.json coincide con el contenido (sha256 de cada fichero).
• Firma con Ed25519 los bytes exactos de checksums.json y escribe el resultado en base64 como plugin.sig. Es el mismo formato que produce hury-plugin sign y que verifica el instalador.
• Si el zip se modificó después de construirlo, avisa y ofrece regenerar checksums.json antes de firmar.
• Usa WebCrypto Ed25519 del navegador cuando está disponible y, si no, la librería @noble/curves empaquetada en el sitio. Nunca descarga código.

El dueño de la instalación decide

Firmar no hace que una instalación acepte el paquete: el dueño de cada instalación tiene que añadir tu clave pública a PLUGIN_TRUSTED_KEYS en su servidor. Por defecto solo se acepta la clave de Hury. Ver Confiar en una clave y Seguridad del desarrollador.