Seguridad
Esta página está diseñada para explicar los conceptos de alto nivel y las funciones de seguridad en el núcleo del diseño y del ecosistema de Tauri que te hacen a ti, a tus aplicaciones y a tus usuarios más seguros por defecto.
También incluye consejos sobre buenas prácticas, cómo informarnos de vulnerabilidades y referencias a explicaciones detalladas de los conceptos.
Límites de confianza
Sección titulada “Límites de confianza”Un límite de confianza es un término utilizado en informática y seguridad que describe un límite en el que los datos o la ejecución del programa cambian su nivel de “confianza”, o donde dos entidades principales con diferentes capacidades intercambian datos o comandos. 1
El modelo de seguridad de Tauri diferencia entre el código de Rust escrito para el núcleo de la aplicación y el código del frontend escrito en cualquier framework o lenguaje que entienda el sistema WebView.
Inspeccionar y definir estrictamente todos los datos que se pasan entre los límites es de suma importancia para evitar violaciones de los límites de confianza. Si se pasan datos sin control de acceso entre estos límites, es fácil que los atacantes eleven y abusen de los privilegios.
La capa IPC es el puente de comunicación entre estos dos grupos de confianza y garantiza que no se rompan los límites.
Cualquier código ejecutado por los plugins o el núcleo de la aplicación tiene acceso completo a todos los recursos del sistema disponibles y no está limitado.
Cualquier código ejecutado en el WebView solo tiene acceso a los recursos expuestos del sistema a través de la capa IPC bien definida. El acceso a los comandos principales de la aplicación se configura y restringe mediante las capacidades definidas en la configuración de la aplicación. Las implementaciones individuales de los comandos imponen los niveles opcionales de acceso detallado que también se definen en la configuración de capacidades.
Obtén más información sobre los componentes individuales y la aplicación de límites:
Tauri permite a los desarrolladores elegir su propio stack de frontend y framework. Esto significa que no podemos proporcionar una guía de endurecimiento para cada stack de frontend elegido, pero Tauri ofrece funciones genéricas para controlar y limitar la superficie de ataque.
(No) empaquetar WebViews
Sección titulada “(No) empaquetar WebViews”El enfoque de Tauri es confiar en el WebView del sistema operativo y no empaquetar el WebView en el binario de la aplicación.
Esto tiene una multitud de razones, pero desde la perspectiva de la seguridad, la razón más importante es el tiempo promedio que transcurre desde la publicación de una versión con parche de seguridad de un WebView hasta su despliegue para el usuario final de la aplicación.
Hemos observado que los mantenedores de paquetes de WebView y los mantenedores de paquetes de sistemas operativos son, en promedio, significativamente más rápidos para parchear y desplegar lanzamientos de WebView con correcciones de seguridad que los desarrolladores de aplicaciones que empaquetan el WebView directamente con su aplicación.
Existen excepciones a esta observación y, en teoría, ambos caminos se pueden tomar en un marco de tiempo similar, pero esto implica una infraestructura de costos generales mayor para cada aplicación.
Empaquetar tiene sus desventajas desde la experiencia del desarrollador de aplicaciones Tauri y no creemos que sea inherentemente inseguro, pero el diseño actual es un compromiso que reduce significativamente las vulnerabilidades conocidas en la práctica.
Ecosistema
Sección titulada “Ecosistema”La organización Tauri proporciona y mantiene más que solo el repositorio de Tauri, y para asegurarnos de ofrecer un framework de aplicaciones multiplataforma razonablemente seguro, nos aseguramos de dar algunos pasos adicionales.
Para obtener más información sobre cómo aseguramos nuestro proceso de desarrollo, qué podrías adaptar e implementar, a qué amenazas conocidas puede enfrentarse tu aplicación y qué planeamos mejorar o reforzar en el futuro, puedes consultar los siguientes documentos:
Divulgación coordinada
Sección titulada “Divulgación coordinada”Si consideras que hay un problema o inquietud de seguridad con cualquier elemento de Tauri u otros repositorios de nuestra organización, por favor no comentes públicamente tus hallazgos. En su lugar, comunícate directamente con nuestro equipo de seguridad.
El método de divulgación preferido es a través de la Divulgación de vulnerabilidades de GitHub en el repositorio afectado. La mayoría de nuestros repositorios tienen habilitada esta función, pero en caso de duda, envíala a través del repositorio de Tauri.
Alternativamente, puedes contactarnos por correo electrónico en: security@tauri.app.
Aunque actualmente no contamos con un presupuesto para recompensas de seguridad, en algunos casos consideraremos premiar la divulgación coordinada con nuestros recursos limitados.
Notas al pie
Sección titulada “Notas al pie”© 2026 Colaboradores de Tauri. CC-BY / MIT