esetheyers/caudal
1
Fork 0
Code Issues Pull requests Projects Releases 10 Wiki Activity
caudal/VERIFICAR.md
esetheyers 7e18576f86 Caudal 0.2.0 
Taxes for the whole of Spain (common territory, Navarre, Álava, Bizkaia and Gipuzkoa); flats, garages and land valued on their own; Treasury bills, bonds and deposits priced on BME; broker accounts; a guided start; a page per investment with its chart and the tax of selling today; net worth at the top; undo when deleting; Woodpecker CI for the tests and the Linux build.
2026-10-15 16:49:15 -05:00

2.8 KiB
Raw Permalink Blame History

Comprobar una descarga de Caudal

Cada versión se publica con dos ficheros más, junto a los instalables:

  • caudal-X.Y.Z-manifest.txt: la huella SHA-256 de cada fichero de la versión.
  • caudal-X.Y.Z-manifest.txt.asc: la firma PGP de ese manifiesto, hecha por el autor.

Comprobar es dos cosas: que el manifiesto lo firmó quien dice (la firma) y que lo que has descargado es lo que el manifiesto describe (la huella). Las dos hacen falta: la firma sola no dice nada del instalable.

La clave pública del autor está en este repositorio, en esetheyers.asc (esetheyers <esetheyers@huveme.com>). Su huella es:

3648 41BA B31F 9D0F 3D07  5629 C34F 1F5D 7116 CA10

Aparece también en la página del repositorio y en «Acerca de» dentro de la aplicación: compárala en más de un sitio antes de fiarte de ella.

Con Sparrow

Si tienes Sparrow (1.8.3 o posterior) no hace falta nada más:

  1. Deja en la misma carpeta el instalable, el manifiesto y su .asc.
  2. En Sparrow, Herramientas › Verificar descarga (o arrastra los ficheros a su ventana).
  3. Si Sparrow no conoce la clave, indícale el fichero esetheyers.asc en «Public Key». Si la encuentra por su cuenta, ese campo queda desactivado y puede que enseñe un correo antiguo del autor, esetheyers@proton.me: es la misma clave, con una dirección que ya no usa.
  4. Debe decir quién lo firmó y que la huella del fichero coincide.

Con órdenes

Linux:

gpg --import esetheyers.asc
gpg --verify caudal-X.Y.Z-manifest.txt.asc caudal-X.Y.Z-manifest.txt
sha256sum --check caudal-X.Y.Z-manifest.txt --ignore-missing

macOS: igual, con shasum -a 256 --check caudal-X.Y.Z-manifest.txt --ignore-missing en la última.

Windows (con Gpg4win instalado):

gpg --import esetheyers.asc
gpg --verify caudal-X.Y.Z-manifest.txt.asc caudal-X.Y.Z-manifest.txt
CertUtil -hashfile caudal-X.Y.Z-windows.exe SHA256

y compara a ojo esa huella con la línea del fichero en el manifiesto.

Qué debe salir: gpg --verify dice «Good signature» («Firma correcta») y enseña la huella de la clave, que tiene que ser la del autor; sha256sum dice OK junto al fichero que descargaste. El aviso de gpg de que la clave «no está certificada con una firma de confianza» es normal: solo significa que no le has dicho a tu gpg que te fías de ella.

Para quien publica

sh empaquetado/firmar-version.sh <carpeta con los ficheros> X.Y.Z [clave]

genera el manifiesto y su firma y los comprueba.

Desde la 0.2.0, el programa de escritorio de Linux lo construye el servicio de compilación de Codeberg (Woodpecker, ver .woodpecker/linux.yaml) al etiquetar la versión, y lo sube a la versión con su suma SHA-256. El autor lo descarga, comprueba que la suma coincide con la de la compilación y solo entonces firma el manifiesto en su equipo.