Seguridad

Cómo se construyen estos plugins

Cada plugin de este catálogo funciona como una extensión normal de IntelliJ Platform: inspecciones, anotadores e intenciones que se ejecutan dentro del proceso de tu propio IDE, en tu propia máquina, usando las API PsiElement/AST del propio IDE o comprobaciones de texto plano y expresiones regulares sobre archivos que ya están abiertos en tu proyecto.

No hay servidor propio. El código de los plugins no tiene un servidor al que llamar, así que tu código no tiene adónde ir. La lógica de detección (búsqueda de patrones, comprobaciones de entropía, análisis estructural) se ejecuta en local, y su resultado va directo al editor como una advertencia, un ícono en el margen o una corrección rápida.

Actividad de red

• La instalación de plugins y la búsqueda de actualizaciones pasan por JetBrains Marketplace, el mismo canal que usan todos los plugins de la plataforma.
• Unos pocos plugins llaman a una API externa por diseño, porque esa es su función declarada (por ejemplo, un plugin de validación de especificaciones que contrasta un esquema con un registro público). Cada una de esas llamadas va al servicio de terceros que nombra la propia ficha del plugin, y a ningún otro servidor.
• Este sitio usa GoatCounter para contar visitas: sin cookies, sin guardar direcciones IP y por sesiones en lugar de páginas vistas en bruto. La Metodología tiene los detalles. No tiene nada que ver con lo que hacen los plugins dentro de tu IDE.

Abierto por defecto

El código de cada plugin está en un repositorio público en github.com/GapHunterLabs. No hace falta creer nada de lo anterior a ciegas: el código de inspección y de anotación que decide qué se ejecuta, y qué pasa con una coincidencia, está a la vista en cada plugin.

Reportar una vulnerabilidad

¿Encontraste un problema, como un plugin que hace más de lo que dice su ficha, un valor por defecto inseguro o una dependencia incluida con un CVE conocido? Repórtalo en privado: con el botón Report a vulnerability de la pestaña Security del repositorio del plugin en GitHub (preferido), o por correo a gaphunterlabs@gmail.com con el asunto SECURITY: <nombre del plugin>.

Acuse de recibo en 5 días hábiles y evaluación en 10. Los detalles se mantienen en privado hasta que sale la corrección, por un máximo de 90 días salvo que se acuerde otra fecha, y cada corrección se publica como un GitHub Security Advisory. Si el problema se está explotando activamente, indícalo en el primer mensaje: esos reportes se atienden primero.

Las correcciones de seguridad de los plugins de pago se publican al menos hasta diciembre de 2031. El SECURITY.md de cada repositorio tiene la política completa, y security.txt indica los contactos de seguridad.

Por favor, no abras un issue público en GitHub para un reporte de seguridad. Todo lo demás (errores, pedidos de funciones) puede ir en público como siempre.