Labstream/labstream-desktop
1
0
Fork 0
Código Incidencias Pull Requests Paquetes Proyectos Lanzamientos Wiki Actividad

v1.16.0: la app de macOS por fin se firma de verdad

Explorar el Código 
El build NUNCA firmó la app de macOS. Al no pasarle ninguna identidad, el
bundler de Tauri se saltaba `codesign` entero y el .dmg salía con la firma
ad hoc que deja el enlazador:

  Identifier=labstream_desktop-0a5819ba37119701
  flags=0x20002(adhoc,linker-signed)
  Info.plist=not bound
  Sealed Resources=none

Tres cosas mal, y ninguna avisaba en ningún log:

 · El Entitlements.plist del repo era DECORACIÓN. Los entitlements se
   escriben al firmar; sin firma, el micrófono, la cámara y el JIT nunca
   pidieron nada porque nunca estuvieron pedidos.
 · Ni el Info.plist ni los recursos iban dentro de la firma: se podían
   cambiar sin romperla.
 · El identificador era el del enlazador y no `co.labstream.os`, que es por
   el que macOS recuerda los permisos que le concedes a una app.

AHORA. `APPLE_SIGNING_IDENTITY` se calcula en un paso propio y no en el
`env:` del build, porque un secret que no existe llega como cadena VACÍA y
Tauri lee `APPLE_CERTIFICATE=""` como «hay certificado» y revienta al
importarlo. Solo se exporta lo que tiene valor:

 · con Developer ID → firma real, y notarizado si están las tres claves;
 · sin él → identidad "-", firma AD HOC. No engaña a Gatekeeper, pero sella
   los recursos, ata el Info.plist y APLICA LOS ENTITLEMENTS. En cuanto
   Jonathan añada los secrets, la siguiente etiqueta sale firmada de verdad
   sin tocar un solo archivo.

ENSAYADO sobre una copia de la app instalada, con el mismo comando que va a
correr el CI. Antes y después:

  flags=0x20002(adhoc,linker-signed)  →  flags=0x10002(adhoc,runtime)
  Identifier=labstream_desktop-0a58…  →  Identifier=co.labstream.os
  Info.plist=not bound                →  Info.plist entries=17
  Sealed Resources=none               →  Sealed Resources version=2 rules=13
  (sin entitlements)                  →  allow-jit, audio-input, camera

Y EL ENSAYO ENCONTRÓ UNA TRAMPA que `plutil -lint` no ve: el
Entitlements.plist llevaba `--entitlements` dentro de un comentario XML, y
dos guiones seguidos ahí son XML inválido. plutil lo aceptaba; AMFI, que es
quien lo lee de verdad dentro de codesign, contestaba «Failed to parse
entitlements» y la firma fallaba. Queda avisado en el propio archivo.

De paso se cae `com.apple.security.network.client`: es exclusiva del App
Sandbox y esta app no lo usa, así que no hacía nada.

LA RED QUE FALTABA: un paso nuevo comprueba la firma del .app y TUMBA la
publicación si los entitlements no llegaron. Que esto estuviera roto no lo
dijo nada durante meses; se descubrió a mano persiguiendo otra cosa.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>
Este commit está contenido en:
Jonathan David Florez Salomón
2026-09-19 11:41:13 -05:00
padre b4c4875cf6
commit a37a0bcc0b
Se han modificado 7 ficheros con 183 adiciones y 23 borrados
Descargar archivo de parche Descargar archivo de diferencias Expandir todos los archivos Contraer todos los archivos

86
.github/workflows/build.yml vendido
Ver fichero

@@ -54,6 +54,62 @@ jobs:
- name: Probar el cliente
run: npm test
# ── FIRMA DE macOS ──────────────────────────────────────────────────────────────────
# Hasta el 2026-09-19 este build NO firmaba la app de macOS: no se le pasaba ninguna
# identidad, así que el bundler de Tauri se saltaba `codesign` entero y el .dmg salía con
# la firma ad hoc que deja el enlazador. Se veía así en la app instalada:
# flags=0x20002(adhoc,linker-signed) · Info.plist=not bound · Sealed Resources=none
# Consecuencias: los entitlements (micrófono, cámara, JIT) NO se aplicaban —el
# Entitlements.plist del repo era decoración—, el Info.plist y los recursos no iban
# sellados, y la app no se podía notarizar de ninguna manera.
#
# `APPLE_SIGNING_IDENTITY` decide qué pasa, y por eso se calcula aquí y no en el `env:`
# del paso de abajo: un secreto que no existe llega como cadena VACÍA, y Tauri
# interpreta `APPLE_CERTIFICATE=""` como «hay certificado» y revienta al importarlo.
# Solo se exporta lo que de verdad tiene valor.
#
# · CON los secretos de Developer ID → firma real + notarizado + grapado.
# · SIN ellos → identidad "-", que es la firma AD HOC: no engaña a Gatekeeper (habrá
# que seguir abriendo con clic derecho), pero SÍ sella los recursos, ata el
# Info.plist y aplica los entitlements. Estrictamente mejor que no firmar.
#
# El hardened runtime no se configura: en Tauri v2 `bundle.macOS.hardenedRuntime` ya
# viene en true, y es lo que hace que los entitlements signifiquen algo.
- name: Preparar la firma de macOS
if: matrix.platform == 'macos-latest'
shell: bash
env:
CERT: ${{ secrets.APPLE_CERTIFICATE }}
CERT_PW: ${{ secrets.APPLE_CERTIFICATE_PASSWORD }}
IDENTITY: ${{ secrets.APPLE_SIGNING_IDENTITY }}
NOTARIZA_ID: ${{ secrets.APPLE_ID }}
NOTARIZA_PW: ${{ secrets.APPLE_PASSWORD }}
NOTARIZA_TEAM: ${{ secrets.APPLE_TEAM_ID }}
run: |
set -euo pipefail
# Los valores van por heredoc con delimitador: un base64 largo o con saltos rompería
# la forma `CLAVE=valor`. Nada se imprime: los secretos no pasan por el log.
exportar() { printf '%s<<__FIN__\n%s\n__FIN__\n' "$1" "$2" >> "$GITHUB_ENV"; }
if [ -n "${CERT:-}" ] && [ -n "${CERT_PW:-}" ]; then
exportar APPLE_CERTIFICATE "$CERT"
exportar APPLE_CERTIFICATE_PASSWORD "$CERT_PW"
exportar APPLE_SIGNING_IDENTITY "${IDENTITY:-Developer ID Application}"
echo "Firma: Developer ID (certificado del repo)."
else
exportar APPLE_SIGNING_IDENTITY "-"
echo "Firma: AD HOC. Sella recursos y aplica entitlements, pero Gatekeeper seguirá avisando."
echo "Para firma de verdad, añade los secrets APPLE_CERTIFICATE y APPLE_CERTIFICATE_PASSWORD."
fi
# Notarizar solo tiene sentido con Developer ID; las tres claves van juntas o ninguna.
if [ -n "${CERT:-}" ] && [ -n "${NOTARIZA_ID:-}" ] && [ -n "${NOTARIZA_PW:-}" ] && [ -n "${NOTARIZA_TEAM:-}" ]; then
exportar APPLE_ID "$NOTARIZA_ID"
exportar APPLE_PASSWORD "$NOTARIZA_PW"
exportar APPLE_TEAM_ID "$NOTARIZA_TEAM"
echo "Notarizado: activado."
else
echo "Notarizado: omitido (faltan APPLE_ID, APPLE_PASSWORD o APPLE_TEAM_ID, o no hay certificado)."
fi
- name: Construir, firmar y publicar
uses: tauri-apps/tauri-action@v0
env:
@@ -61,6 +117,7 @@ jobs:
# Firma del updater: la clave privada y su contraseña van como secrets del repo.
TAURI_SIGNING_PRIVATE_KEY: ${{ secrets.TAURI_SIGNING_PRIVATE_KEY }}
TAURI_SIGNING_PRIVATE_KEY_PASSWORD: ${{ secrets.TAURI_SIGNING_PRIVATE_KEY_PASSWORD }}
# Las APPLE_* las puso el paso de arriba en $GITHUB_ENV, solo si tenían valor.
with:
# En un tag usa su nombre (v1.0.0); en ejecución manual, deriva vX.Y.Z de la versión.
tagName: ${{ github.ref_type == 'tag' && github.ref_name || 'v__VERSION__' }}
@@ -70,6 +127,35 @@ jobs:
prerelease: false
args: ${{ matrix.args }}
# ── LA RED QUE FALTABA ──────────────────────────────────────────────────────────────
# Que el build no firmara la app de macOS no lo dijo nada durante meses: el .dmg salía,
# se instalaba y funcionaba. Se descubrió a mano, con `codesign -dv`, persiguiendo otra
# cosa. Este paso hace esa comprobación en cada publicación y TUMBA el build si los
# entitlements no llegaron: es barato y es el único aviso que habría existido.
- name: Comprobar la firma de macOS
if: matrix.platform == 'macos-latest'
shell: bash
run: |
set -euo pipefail
APP=$(find src-tauri/target/universal-apple-darwin/release/bundle/macos -maxdepth 1 -name "*.app" | head -1)
if [ -z "$APP" ]; then echo "::error::No apareció ningún .app donde se esperaba"; exit 1; fi
echo "== $APP =="
codesign -dv --verbose=4 "$APP" 2>&1 || true
echo "== entitlements =="
codesign -d --entitlements - --xml "$APP" 2>/dev/null | plutil -convert xml1 -o - - || true
echo "== integridad del bundle =="
codesign --verify --strict --verbose=2 "$APP"
# Gatekeeper: con firma ad hoc esto SIEMPRE dice «rejected», y es esperado. Se
# informa sin tumbar nada; lo que sí es obligatorio es lo de abajo.
echo "== Gatekeeper (informativo) =="
spctl -a -t exec -vv "$APP" 2>&1 || true
echo "== obligatorio: los entitlements tienen que estar =="
if ! codesign -d --entitlements - --xml "$APP" 2>/dev/null | grep -q "com.apple.security.cs.allow-jit"; then
echo "::error::La app salió SIN entitlements. Revisa el paso «Preparar la firma de macOS» y bundle.macOS.entitlements en tauri.conf.json."
exit 1
fi
echo "Entitlements aplicados."
activar:
needs: publish
runs-on: ubuntu-latest

78
README.md
Ver fichero

@@ -229,20 +229,72 @@ Es la forma de mirar un cambio visual —la barra, los colores— sin sacárselo
---
## Avisos de seguridad del sistema (instalación interna sin firmar)
## Firma de macOS
Como los instaladores **no están firmados** con certificado de pago, la primera
vez cada sistema muestra una advertencia. Es normal para apps internas:
### Lo que pasaba hasta la 1.15.0
- **Windows (SmartScreen):** pantalla azul *"Windows protegió su PC"* →
**Más información → Ejecutar de todos modos**.
- **macOS (Gatekeeper):** *"no se puede abrir porque proviene de un desarrollador
no identificado"* → clic derecho sobre la app → **Abrir** → **Abrir**. (Si
insiste, ejecutar una vez: `xattr -cr "/Applications/Labstream OS.app"`.)
El build **no firmaba** la app de macOS. No se le pasaba ninguna identidad, así que
el bundler de Tauri se saltaba `codesign` entero y el `.dmg` salía con la firma ad hoc
que deja el enlazador. En la app instalada se veía así:
Si en el futuro se distribuye a clientes externos, conviene firmar:
*code signing* en Windows (~150–400 USD/año) y un *Apple Developer ID* + notarizado
en Mac (99 USD/año) para quitar estos avisos.
```
$ codesign -dv "/Applications/Labstream OS.app"
Identifier=labstream_desktop-0a5819ba37119701
CodeDirectory ... flags=0x20002(adhoc,linker-signed)
Info.plist=not bound
Sealed Resources=none
TeamIdentifier=not set
```
Tres cosas mal, y ninguna avisaba:
- **`Entitlements.plist` no se aplicaba.** Los permisos de micrófono, cámara y JIT
eran decoración: se escriben al firmar, y no se firmaba.
- **`Info.plist=not bound` y `Sealed Resources=none`.** Ni el Info.plist ni los
recursos iban dentro de la firma: cualquiera podía cambiarlos sin romperla.
- **Identificador de enlazador** (`labstream_desktop-<hash>`) en vez del de la app
(`co.labstream.os`), que es por lo que macOS recuerda los permisos concedidos.
### Lo que hace ahora (desde la 1.16.0)
`build.yml` decide según los secrets que haya en el repo:
| Secrets | Resultado |
| --- | --- |
| ninguno | Firma **ad hoc** (`-s -`) con hardened runtime y los entitlements. Gatekeeper sigue avisando, pero el bundle va sellado y los permisos se aplican. |
| `APPLE_CERTIFICATE` + `APPLE_CERTIFICATE_PASSWORD` | Firma real con **Developer ID**. Gatekeeper deja de avisar en cualquier Mac. |
| …y además `APPLE_ID` + `APPLE_PASSWORD` + `APPLE_TEAM_ID` | Firma real + **notarizado y grapado**. Ni el primer arranque avisa. |
Y hay un paso que **tumba la publicación** si los entitlements no llegaron al `.app`.
Ese paso es la lección: que esto estuviera roto no lo dijo nada durante meses.
### Pasar a Developer ID (99 USD/año)
1. Alta en el Apple Developer Program.
2. En *Certificates* crear uno de tipo **Developer ID Application** y exportarlo del
Llavero como `.p12` con contraseña.
3. Convertirlo a texto: `base64 -i certificado.p12 | pbcopy`.
4. En GitHub → *Settings ▸ Secrets and variables ▸ Actions*, añadir:
- `APPLE_CERTIFICATE` — lo que quedó en el portapapeles.
- `APPLE_CERTIFICATE_PASSWORD` — la contraseña del `.p12`.
- `APPLE_SIGNING_IDENTITY` — opcional; por defecto `Developer ID Application`.
5. Para notarizar, además:
- `APPLE_ID` — el correo de la cuenta de desarrollador.
- `APPLE_PASSWORD` — una **contraseña específica de app** (appleid.apple.com, no la
del Apple ID).
- `APPLE_TEAM_ID` — el identificador de equipo de 10 caracteres.
No hay que tocar ni un archivo: en cuanto los secrets existan, la siguiente etiqueta
sale firmada.
### Mientras siga ad hoc
- **macOS (Gatekeeper):** *"no se puede abrir porque proviene de un desarrollador no
identificado"* → clic derecho sobre la app → **Abrir** → **Abrir**. (Si insiste:
`xattr -cr "/Applications/Labstream OS.app"`.)
- **Windows (SmartScreen):** *"Windows protegió su PC"* → **Más información →
Ejecutar de todos modos**. Windows es aparte: su firma cuesta 150–400 USD/año y no
la toca nada de lo de arriba.
---
@@ -257,10 +309,10 @@ labstream-desktop/
│ ├── tauri.conf.json nombre, versión, iconos, instaladores, entitlements
│ ├── Cargo.toml dependencias Rust + versión
│ ├── Info.plist textos de permiso (micrófono/cámara) en macOS
│ ├── Entitlements.plist entitlements de macOS (audio-input, cámara, red)
│ ├── Entitlements.plist entitlements de macOS (micrófono, cámara, JIT)
│ ├── build.rs
│ ├── capabilities/default.json
│ ├── icons/ se generan desde app-icon.png
│ └── src/{main.rs,lib.rs} lib.rs crea la ventana + SERVER_URL + tray
└── .github/workflows/build.yml build automático de .exe (Windows) y .dmg (macOS)
└── .github/workflows/build.yml build de .exe (Windows) y .dmg (macOS) + firma de macOS
```

2
package.json
Ver fichero

@@ -1,6 +1,6 @@
{
"name": "labstream-desktop",
"version": "1.15.0",
"version": "1.16.0",
"private": true,
"description": "App de escritorio (Windows) que envuelve Labstream OS — cliente del servidor del NAS.",
"scripts": {

2
src-tauri/Cargo.lock generado
Ver fichero

@@ -2366,7 +2366,7 @@ dependencies = [
[[package]]
name = "labstream-desktop"
version = "1.15.0"
version = "1.16.0"
dependencies = [
"active-win-pos-rs",
"device_query",

2
src-tauri/Cargo.toml
Ver fichero

@@ -1,6 +1,6 @@
[package]
name = "labstream-desktop"
version = "1.15.0"
version = "1.16.0"
description = "Cliente de escritorio de Labstream OS"
authors = ["Labstream SAS"]
edition = "2021"

34
src-tauri/Entitlements.plist
Ver fichero

@@ -1,17 +1,39 @@
<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<!--
ENTITLEMENTS DE macOS.
OJO AL ESCRIBIR AQUÍ: nada de dos guiones seguidos dentro de un comentario. XML los prohíbe,
y el que lee este archivo NO es plutil (que los deja pasar) sino AMFI, dentro de codesign,
que se planta con «Failed to parse entitlements». Por eso abajo las opciones de codesign se
nombran sin sus guiones.
Estas claves solo sirven de algo si la app se FIRMA pasándole este archivo y con el hardened
runtime puesto. Hasta el 2026-09-19 no era el caso: el build no firmaba nada y la app salía
con la firma ad hoc del enlazador (flags=0x20002 adhoc linker-signed, Info.plist sin atar,
recursos sin sellar). O sea, este archivo era decoración. Lo que lo arregla está en
.github/workflows/build.yml.
Son entitlements del HARDENED RUNTIME, no del App Sandbox (esta app no usa sandbox). El
hardened runtime cierra por defecto el micrófono, la cámara y la memoria ejecutable; cada
clave vuelve a abrir una, y sin ella la función no falla con un error claro: simplemente no
hay permiso.
Se cayó com.apple.security.network.client: esa es exclusiva del App Sandbox y, sin
com.apple.security.app-sandbox, no hace absolutamente nada. Si algún día se mete la app en el
sandbox, vuelve, junto con las de acceso a archivos que harán falta.
-->
<plist version="1.0">
<dict>
<!-- Micrófono: notas de voz del chat (getUserMedia en el webview). -->
<!-- Micrófono: notas de voz del chat (getUserMedia en el webview). El texto que ve la
persona al conceder el permiso vive en Info.plist (NSMicrophoneUsageDescription). -->
<key>com.apple.security.device.audio-input</key>
<true/>
<!-- Cámara: adjuntar foto/video en el chat. -->
<!-- Cámara: adjuntar foto y video en el chat (NSCameraUsageDescription). -->
<key>com.apple.security.device.camera</key>
<true/>
<!-- Cliente de red (conecta con os.labstreamsas.com). -->
<key>com.apple.security.network.client</key>
<true/>
<!-- Requerido por WKWebView (JIT de JavaScript) bajo hardened runtime. -->
<!-- WKWebView compila JavaScript en caliente. Bajo hardened runtime eso es memoria
ejecutable y hay que pedirlo explícitamente. -->
<key>com.apple.security.cs.allow-jit</key>
<true/>
</dict>

2
src-tauri/tauri.conf.json
Ver fichero

@@ -1,7 +1,7 @@
{
"$schema": "https://schema.tauri.app/config/2",
"productName": "Labstream OS",
"version": "1.15.0",
"version": "1.16.0",
"identifier": "co.labstream.os",
"build": {
"frontendDist": "../dist"