'/%3e%3cpath%20id='cross_2'%20data-name='cross%202'%20class='cls-2'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.193%200.007)%20rotate(90)'/%3e%3cpath%20id='cross_3'%20data-name='cross%203'%20class='cls-3'%20d='M20.612,30.43h0a5.361,5.361,0,1,0-10.723,0H0A33.709,33.709,0,0,1,30.569,0V9.75a5.361,5.361,0,1,1,0,10.723V30.43Z'%20transform='translate(67.186%2067.041)%20rotate(180)'/%3e%3cpath%20id='cross_4'%20data-name='cross%204'%20class='cls-4'%20d='M20.6,30.5h0a5.361,5.361,0,1,0-10.723,0H0A33.71,33.71,0,0,1,30.56,0V9.818a5.361,5.361,0,1,1,0,10.723V30.5Z'%20transform='translate(0%2067.041)%20rotate(-90)'/%3e%3c/svg%3e)
Conocer las revisiones de seguridad y el método de actualización
SetFN SpaceBuilder es un producto de servidor que los clientes instalan por su cuenta para gestionar documentos internos y operar sitios web (CMS). Como en un solo servidor se concentran los archivos y las cuentas de muchos usuarios, SetFN realiza una revisión de seguridad antes de publicar cada actualización y registra el resultado, con su fecha, en esta sección.
Este documento explica los tipos de revisión que realiza SetFN, los estándares de seguridad que toma como referencia y cómo consultar el registro de revisiones.
Revisión previa a la publicación
Antes de distribuir una actualización se realizan las siguientes revisiones.
| Revisión | Contenido |
|---|---|
| Pruebas automáticas | Se ejecutan pruebas funcionales del servidor y pruebas de pantalla en un navegador real que comprueban los escenarios de inicio de sesión, carga, uso compartido y permisos. |
| Verificación en un servidor de pruebas aislado | Se ejecuta un servidor de pruebas separado de los datos de producción, se crean cuentas y se comprueban con solicitudes reales los límites de permisos, uso compartido y autenticación, así como las situaciones de sobrecarga. |
| Análisis de vulnerabilidades en dependencias | Las bibliotecas Go que usa el servidor se analizan con la base de datos oficial de vulnerabilidades de Go, y las bibliotecas de la interfaz web con los avisos de seguridad de npm. Las vulnerabilidades que realmente se invocan se actualizan a la versión corregida. |
| Revisión de código asistida por AI | El código modificado y el código existente se revisan con Anthropic Claude y OpenAI Codex. De los problemas que encuentra la AI, solo se corrigen los que se confirman de nuevo con el código y los resultados de ejecución. Lo que corrige una AI lo revisa de forma cruzada otra AI (Codex) en modo de solo lectura antes de la distribución. |
| Contraste con avisos de seguridad externos | Se consultan los avisos de seguridad de KISA Boho Nara y los avisos de seguridad de cada componente para determinar si afectan a SetFN. |
Revisión periódica y actualización de la documentación
Además de la revisión previa a la publicación, el código completo se vuelve a revisar periódicamente con AI (Claude, Codex). Cuando aparece un nuevo tipo de ataque o un aviso de seguridad, se comprueba si afecta a SetFN.
En cada revisión se actualizan los siguientes documentos.
- Registro de revisiones de seguridad: registra, de la más reciente a la más antigua, la fecha de cada revisión, su alcance, los problemas encontrados y el estado de las medidas.
- Estado de revisión de las principales vulnerabilidades: resume en tablas si las principales vulnerabilidades (CVE) publicadas desde 2025 y los avisos de seguridad de KISA afectan a SetFN y si la revisión y las medidas están completas.
En la página de inicio de Docs, Última revisión de seguridad muestra la fecha y el resumen de la revisión más reciente.
Estándares de seguridad de referencia
Los elementos de revisión se definen tomando como referencia los siguientes estándares.
| Estándar | Organismo emisor | Contenido de referencia |
|---|---|---|
| OWASP Top 10:2025 | OWASP | Los diez riesgos principales de las aplicaciones web (control de acceso, errores de configuración, cadena de suministro, gestión de situaciones excepcionales, etc.) |
| OWASP ASVS 5.0 | OWASP | Requisitos de verificación de autenticación, sesiones, permisos, tratamiento de archivos, configuración, registros y gestión de errores |
| CWE Top 25 (2025) | MITRE y CISA | Tipos de debilidad más frecuentes en vulnerabilidades reales (incluida la asignación de recursos sin límites) |
| NIST SP 800-63B-4 | Instituto Nacional de Estándares y Tecnología de EE. UU. (NIST) | Criterios de gestión de contraseñas y medios de autenticación |
| Guía detallada de métodos de análisis y evaluación de vulnerabilidades técnicas de infraestructuras críticas de información y comunicación | Agencia de Internet y Seguridad de Corea (KISA) | Elementos de comprobación de vulnerabilidades web |
Informar de un problema de seguridad
Si detecta en SetFN un comportamiento que parezca un problema de seguridad, comuníquelo mediante Contacto. Si incluye el método de reproducción y la versión de SetFN que utiliza, la comprobación será más rápida. No publique el método de reproducción en lugares públicos antes de que termine la comprobación.
Información útil
- Las revisiones de seguridad son una actividad para reducir los riesgos conocidos y no garantizan la ausencia de todo riesgo.
- El sistema operativo del servidor donde está instalado SetFN, el proxy inverso (nginx, etc.) y los programas de conversión de documentos (LibreOffice, etc.) los actualiza el operador del servidor. Consulte los elementos que debe comprobar en Comprobar las actualizaciones de seguridad del servidor.
- Las correcciones se distribuyen mediante actualizaciones de SetFN. Debe mantener la versión más reciente para que se apliquen.