Floodtide comprueba gratis cada app de tu Mac en busca de problemas de seguridad
Actualizado el
Desde la versión 1.5, cada análisis termina con una comprobación de seguridad de todas las apps que ha encontrado. Esa comprobación busca cinco tipos de pruebas, y la app siempre dice qué tipo ha encontrado y de dónde viene, para que una señal débil nunca se lea como una vulnerabilidad confirmada. Ver los resultados es gratis en cada copia. Esta página explica qué mira cada comprobación, qué muestra y qué nunca afirma.
Qué quiere decir “cada app”
Se comprueba cada app que Floodtide encuentra, con cobertura o sin ella, incluidas las que ninguna fuente de actualizaciones sabe leer. Lo que cambia de una app a otra es cuánto hay en que basarse. Una corrección publicada con número de versión es una prueba sólida; una app que nadie ha actualizado en dos años es un motivo para mirar, no la prueba de un problema. Por eso los hallazgos son de cinco tipos, el más sólido primero, y cada uno indica su tipo y su fuente.
Los resultados se agrupan. Las actualizaciones de seguridad son las dos señales más sólidas: una corrección publicada para una versión más reciente que la tuya, y una actualización que el desarrollador marca como crítica. Merece un vistazo reúne las más débiles. Confianza trata de la copia que tienes en el Mac y de quién la firmó. Las apps sin hallazgos también aparecen, plegadas, con su número.
Un hallazgo nunca es una puntuación. Floodtide no muestra puntuaciones CVE ni niveles de gravedad, y nunca suma los hallazgos en un número de vulnerabilidades. Cuando la prueba es débil usa la formulación más prudente, o no muestra nada, porque un aviso de seguridad falso es peor que uno que falta.
Las cinco comprobaciones, la más sólida primero
Para cada comprobación: las pruebas que usa, las palabras que muestra en pantalla y lo que nunca afirma.
1. Una corrección de seguridad publicada
La versión instalada es más antigua que una versión que corrige un problema de seguridad, y una fuente que lo sabe lo ha dicho con un número de versión.
- Pruebas. Una de tres fuentes indica una versión corregida posterior a la instalada: una ficha del catálogo firmado de Floodtide, redactada a mano a partir del aviso de seguridad del desarrollador; el feed comunitario SOFA de las actualizaciones de seguridad de Apple, para macOS y Safari; o un aviso de seguridad publicado en GitHub para el repositorio de la propia app, en las apps que Floodtide actualiza desde GitHub.
- En pantalla. “Actualización de seguridad”, la versión que trae la corrección y un enlace al aviso. Estas filas abren la lista de actualizaciones, en una sección propia.
- Nunca afirma que una app está afectada por su nombre. Cada fuente está ligada a la propia app, por su ficha, su repositorio de GitHub o las publicaciones de Apple, y nunca se cruza por el nombre con una lista general de vulnerabilidades.
2. El desarrollador lo dice
El desarrollador marca como crítica la actualización que se ofrece, o sus notas de la versión mencionan una corrección de seguridad.
- Pruebas. Para una actualización crítica, la marca que un feed de actualizaciones de Sparkle lleva justo para eso. Para las notas de la versión, las notas de la actualización que se ofrece, en las que se buscan expresiones como “security fix”, “vulnerability”, “CVE-” y “exploit”, en inglés y en alemán, como palabras completas.
- En pantalla. “Actualización crítica (marcada por el desarrollador)”, que cuenta como actualización de seguridad. Una expresión en las notas se muestra como “Las notas de la versión mencionan una corrección de seguridad”, con la línea citada, y queda en Merece un vistazo sin contar como actualización de seguridad.
- Nunca afirma qué corrige una actualización más allá de las palabras del desarrollador. Una expresión en las notas se muestra como una expresión, no como una vulnerabilidad confirmada.
3. Un framework desactualizado
La app instalada se basa en un framework que ya no recibe correcciones de seguridad, o en una versión de uno con fallos de seguridad conocidos.
- Pruebas. La versión de Electron o de Sparkle que lleva el propio paquete de app. Electron mantiene sus tres versiones principales más recientes, así que una rama anterior ya no recibe correcciones; Floodtide lee cuáles están al día en la lista de versiones de Electron. En Sparkle, el actualizador integrado de muchas apps de Mac, las versiones con fallos de seguridad publicados.
- En pantalla. Por ejemplo “Basada en Electron 28, que ya no recibe correcciones de seguridad”, o que el actualizador integrado de la app, un Sparkle antiguo, tiene fallos de seguridad conocidos. Queda en Merece un vistazo; si hay una actualización pendiente, la fila dice que puede corregirlo.
- Nunca afirma que la propia app se pueda atacar. Un desarrollador puede esquivar un fallo de un framework antiguo, así que es un motivo para mirar, nunca por sí solo una actualización de seguridad.
4. Sin actualizaciones
El desarrollador de la app lo ha dejado, o nadie ha publicado una versión nueva en mucho tiempo.
- Pruebas. El catálogo de Floodtide marca la app como abandonada por su desarrollador, o la versión más reciente que conoce alguna de sus fuentes tiene más de dos años.
- En pantalla. “Abandonada por su desarrollador”, o “Sin actualizaciones desde” con el mes y el año de esa versión. Queda en Merece un vistazo.
- Nunca afirma que una app antigua sea insegura. Muchas herramientas pequeñas están terminadas, no abandonadas; la línea está para que decidas tú.
5. La confianza en tu copia
Si macOS puede avalar quién hizo la copia que tienes en el Mac, y si la actualización que se ofrece viene del mismo desarrollador.
- Pruebas. Las comprobaciones de firma de macOS en la copia instalada: sin firma, firmada ad hoc o una firma que ya no coincide con la app. Si la notarización no se puede determinar sin conexión, no se muestra ningún hallazgo. En la actualización que se ofrece, el equipo de desarrollo que figura en su firma, comparado con el de la copia instalada.
- En pantalla. “Sin firma”, “Firma dañada”, o “Nuevo desarrollador:” con el nombre del equipo nuevo y el del anterior. Estos hallazgos quedan en Confianza. Una actualización de un desarrollador nuevo nunca se instala automáticamente, con ningún ajuste: Floodtide se detiene y te pregunta.
- Nunca afirma que una app sea malware. Muchas apps honradas de código abierto no están notarizadas; eso quiere decir que Apple no ha revisado esa compilación, no que tenga algo malo.
Dónde aparecen los hallazgos
- Seguridad, en la barra lateral. Una página propia en Biblioteca, con el número de apps que tienen una actualización de seguridad. Empieza con una línea que dice cuántas apps ha comprobado Floodtide y qué ha encontrado, y luego lista las actualizaciones de seguridad, las apps que merecen un vistazo, los hallazgos de confianza y las apps sin hallazgos.
- La lista de actualizaciones. Las filas con una actualización de seguridad van primero, en una sección propia, cada una con la etiqueta Actualización de seguridad. La casilla de la sección las selecciona todas para Actualizar selección.
- Los detalles de cada app. Un grupo Seguridad lista los hallazgos de la app con sus enlaces, o dice que se comprobó y no se encontró nada.
- La cabecera y la barra de menús. Cuando alguna app tiene una actualización de seguridad, las dos dicen cuántas.
- Una notificación el mismo día. Un ajuste, activado por omisión, avisa de las actualizaciones de seguridad el mismo día. Respeta tus horas de silencio y anuncia cada actualización una sola vez.
- Exportar lista de apps. Una columna Seguridad lista los hallazgos de cada app.
Se calcula en tu Mac
El cruce se hace en tu Mac, y la comprobación de seguridad no envía listas de apps, hallazgos ni identificadores. Si has activado el envío opcional de datos de uso anónimos, su informe diario de nombres y versiones de apps no cambia. Puedes desactivarlo en Ajustes, Privacidad.
Para saber qué está al día, Floodtide lee unas pocas listas públicas: el feed SOFA de las actualizaciones de seguridad de Apple, la lista de versiones de Electron, los avisos públicos de seguridad de Sparkle y, en las apps que ya actualiza desde GitHub, los avisos de seguridad de ese repositorio. Son descargas normales, como una búsqueda de actualizaciones, que se guardan un día en el Mac y tienen un tamaño limitado. Si una no se puede leer, la comprobación que depende de ella no muestra nada en lugar de adivinar. La política de privacidad (en inglés) enumera cada petición de la app.
Gratis para ver, con licencia para instalar
Ver los hallazgos es gratis en cada copia: durante el periodo de prueba, después, con licencia o sin ella. Nada de esto forma parte de The Tide.
Instalar una actualización sigue siendo lo que paga la licencia, como siempre: £10.9912,99 €$14.99 en un solo pago para 3 Macs, después de un periodo de prueba de 14 días con todo desbloqueado.
Solo actualizaciones de seguridad
La instalación automática tiene una opción nueva, Solo actualizaciones de seguridad. Con ella, una ejecución programada instala solo las actualizaciones que corrigen un problema de seguridad publicado o que el desarrollador marca como críticas, y te deja todo lo demás en la lista. Como toda instalación automática, necesita licencia y pasa por las mismas comprobaciones que una actualización que inicias tú.
Una actualización firmada por un equipo de desarrollo distinto del de tu copia nunca se instala automáticamente, con ningún ajuste; espera tu respuesta. Cómo verifica Floodtide una actualización.
Lo que la comprobación no es
- Un antivirus. Floodtide no busca código malicioso dentro de las apps. Lee lo que han publicado los desarrolladores y Apple, y lo que macOS dice de la firma.
- Una puntuación. Ni puntuaciones CVE, ni niveles de gravedad, ni un número de vulnerabilidades. Un hallazgo dice qué tipo de prueba es y enlaza a su origen cuando hay un enlace disponible.
- Una garantía. Una app sin hallazgos es una en la que ninguna de las cinco comprobaciones encontró pruebas. No es la promesa de que la app no tenga fallos.
Preguntas frecuentes
¿La comprobación de seguridad es gratis?
Sí. Cada copia ve cada hallazgo, durante el periodo de prueba y después, con licencia o sin ella. La licencia es lo que instala actualizaciones, como antes, y nada de la comprobación forma parte de The Tide.
¿Floodtide envía mi lista de apps para comprobarla?
No. El cruce se hace en tu Mac y la comprobación no envía nada nuevo. Lee listas públicas: las actualizaciones de seguridad de Apple a través del feed SOFA, la lista de versiones de Electron, los avisos públicos de seguridad de Sparkle y los avisos de seguridad de GitHub de las apps que Floodtide ya actualiza desde GitHub.
¿Floodtide muestra puntuaciones CVE?
No. Muestra qué tipo de prueba ha encontrado y de dónde viene, con un enlace a la fuente cuando está disponible, y nunca una puntuación, un nivel de gravedad o un número de vulnerabilidades.
¿Qué quiere decir Merece un vistazo?
Una señal más débil: notas de la versión que mencionan una corrección de seguridad, un framework que ya no recibe correcciones de seguridad, o una app sin actualizaciones desde hace más de dos años. Ninguna cuenta por sí sola como actualización de seguridad.
¿Puede Floodtide instalar automáticamente solo las actualizaciones de seguridad?
Sí, con licencia. Elige Solo actualizaciones de seguridad para la instalación automática, y una ejecución programada instala solo las actualizaciones que corrigen un problema de seguridad publicado o que el desarrollador marca como críticas. Una actualización de otro desarrollador nunca se instala automáticamente.
Mira lo que encuentra en tu Mac
El análisis y la comprobación de seguridad son gratis y no necesitan cuenta. 14 días de la app completa, y después los dos siguen siendo gratis; una licencia cuesta £10.9912,99 €$14.99 en un solo pago para 3 Macs.