---
title: "Éclair 1.10.3: primera auditoría de seguridad, 15 fallos corregidos"
description: "Éclair 1.10.3 corrige los 15 fallos y las 8 pistas de una auditoría completa del código: el método, las cifras, lo que cambia y el informe en PDF."
url: "https://eclaircms.org/blog/eclair-1-10-3-auditoria-de-seguridad"
lang: "es"
author: "Thierry Gustin"
published: "2026-11-03"
updated: "2026-11-10"
---

# Éclair 1.10.3: primera auditoría de seguridad, 15 fallos corregidos

> **Lo esencial** — Publicada el 3 de noviembre de 2026, Éclair 1.10.3 es una versión de seguridad. Una auditoría completa del código de la 1.10.2, hecha con el método security-audit de Cloudflare y 86 agentes, confirmó 15 fallos: 3 medios, 12 bajos, ninguno crítico ni alto. Todos están corregidos, junto con 8 pistas ligadas al servidor o al navegador. Las comprobaciones automáticas pasan de 620 a 918. El informe completo, en inglés, se descarga en PDF.

Éclair 1.10.3, publicada el 3 de noviembre de 2026, corrige todo lo que encontró la primera auditoría de seguridad completa del código de Éclair: 15 fallos confirmados, 3 de ellos medios, ninguno crítico ni alto, y 8 pistas que dependían del servidor o del navegador. Todo está corregido en el código. Si tu sitio usa la 1.10, la actualización se hace en un clic.

## ¿Qué cambia con Éclair 1.10.3?

| Punto | Lo que hay que retener |
| --- | --- |
| Auditoría n.º 1 | Todo el código de la 1.10.2 revisado por 86 agentes, 50 zonas cubiertas |
| Fallos confirmados | 15: 3 medios, 12 bajos, 0 altos, 0 críticos |
| Pistas por validar | 8, ligadas al hosting o al navegador, todas cerradas en el código |
| Refuerzos | Más de 50 recomendaciones de la auditoría aplicadas |
| Comprobaciones automáticas | De 620 a 918, con una actualización real de 1.10.2 a 1.10.3 probada desde GitHub |
| Archivo | 619 KB (602 KB en la 1.10.2) |
| Tu sitio público | Sin cambios: las páginas publicadas quedan idénticas, byte a byte |

Estas correcciones llegan justo después de la 1.10.2, publicada el día anterior, que te presento más abajo. El informe completo de la auditoría está en línea: está en inglés, en formato PDF, y tiene 18 páginas.

## ¿Cómo se hizo la auditoría?

La auditoría sigue el [método público *security-audit* de Cloudflare](https://github.com/cloudflare/security-audit-skill). Divide el software en zonas que cubrir y lanza oleadas de agentes «cazadores» independientes. Cada pista encontrada la vuelven a comprobar otros agentes, que no la vieron nacer, antes de entrar en el informe. Una pista termina confirmada, por validar o rechazada.

Para la 1.10.2, el resultado es:

- **86 agentes**: 4 de reconocimiento, 22 cazadores en 5 oleadas, 6 críticos de cobertura y 54 verificadores;
- **50 zonas cubiertas**, y una revisión final que no encontró ningún hueco;
- **24 registros finales**: 15 fallos confirmados, 8 pistas por validar y 1 pista rechazada.

Todo se hizo leyendo el código y probándolo en local, en un entorno aislado por el sistema operativo: sin acceso a la red, con datos y claves ficticios, y sin sondear ningún sitio real. Tu sitio nunca sirvió de banco de pruebas.

La auditoría concluye que el código es defensivo en conjunto: la criptografía, la firma de las actualizaciones, la limpieza de los contenidos, las sesiones y la protección de los formularios resisten en la mayoría de sus caminos.

## ¿Qué fallos se han corregido?

Primero, los tres fallos medios:

- **Los botones de cierre de sesión** «Cerrar sesión en mis otros dispositivos» y «Cerrar la sesión de todos» renovaban sin querer la confirmación de la contraseña. Ya no lo hacen.
- **Redirecciones reservadas**: un redactor ya no puede redirigir las direcciones `/.well-known/` ni las direcciones internas `/_eclair/`. Las existentes quedan desactivadas y puedes borrarlas. Un administrador puede seguir redirigiendo otras direcciones `/.well-known/`, como `change-password`.
- **Un límite de contenidos**: un sitio guarda como máximo 3000 contenidos, la IA deja de crear borradores a los 500, y el índice de búsqueda solo guarda el texto publicado, hasta 16 MB. Tus contenidos existentes siempre se pueden editar.

Los 12 fallos bajos afectan sobre todo a copias derivadas y a límites que no cumplían su promesa. Una cuenta borrada desaparece ahora de la caché de páginas. Una copia de seguridad nunca contiene la caja fuerte (claves de API, conexión de Google Drive), ni siquiera con un ajuste mal escrito. Los límites de envío del formulario de contacto y del conector MCP son ahora estrictos. Por último, los anuncios de actualización llevan un número y una fecha de caducidad firmados.

Las 8 pistas dependían de un hecho imposible de observar sin conexión, como el comportamiento de un hosting. Aun así, todas están cerradas en el código. El informe no da ningún detalle de explotación: para cada punto, dice qué fallaba y cómo se ha corregido.

## ¿Qué cambia en tu administración?

La mayoría de las correcciones son invisibles. Algunas cambian tus gestos:

- **🔒 Verificación en dos pasos**: para cambiar de teléfono, desactiva la 2FA con tu contraseña actual y vuelve a activarla. Se hace en **Mi perfil**.
- **🔑 Dispositivos habituales**: tras la actualización, cada dispositivo vuelve a ser «habitual» en su siguiente inicio de sesión correcto.
- **☁️ Google Drive**: una conexión hecha antes de la 1.10.3 aparece señalada. Desconéctala y vuelve a conectarla, para que Éclair anote quién la creó.
- **🤖 Conector MCP**: una app distinta de Claude o ChatGPT siempre pide tu contraseña, y el botón **Permitir** se activa tras un momento, cuando mueves el ratón o tocas la pantalla.
- **✍️ Editor**: la copia local de tu trabajo sin guardar pertenece a la cuenta conectada y se borra al cerrar sesión.
- **💾 Formulario de contacto**: al llegar a los 100 mensajes diarios para todo el sitio, rechaza a todo el mundo durante 24 horas.

Si usas Nginx, actualiza tus reglas con la guía: `media/` ya no sirve archivos `.js` ni `.mjs`.

## ¿Qué corregía la 1.10.2, publicada el día anterior?

La 1.10.2, publicada el 2 de noviembre de 2026, resolvía dos problemas concretos.

1. **El antivirus de o2switch** bloqueaba el archivo en el gestor de archivos. Era un falso positivo sobre el código de la actualización en un clic. Las operaciones con archivos están ahora en una pequeña clase aparte, y una prueba comprueba que ningún archivo entregado repite la secuencia sospechosa. Tu sitio no nota ninguna diferencia.
2. **Google Drive se abre a cada sitio.** La conexión dependía de credenciales de Google incluidas en el archivo, que nunca se configuraron: la tarjeta seguía cerrada. Cada sitio puede usar ahora su propia app de Google. **Seguridad › Copias de seguridad en Google Drive** te guía paso a paso (gratis, unos diez minutos, una sola vez), y luego pegas el ID de cliente y el secreto del cliente. El secreto se cifra en tu servidor.

## ¿Cómo pasar a Éclair 1.10.3?

Desde la 1.10.0 o posterior, la actualización se hace en la administración:

1. Si varias cuentas trabajan en tu sitio, **guarda los cambios en curso**: las copias sin guardar de la 1.10.2 no se conservan.
2. Haz una copia de seguridad: **Descargar una copia de seguridad**, o una copia en Google Drive.
3. Abre **Administración › Actualizaciones**, marca la casilla de la copia de seguridad y haz clic en **Actualizar**.

La actualización instala la última versión disponible, que incluye estas correcciones. ¿Estás en la 1.9 o antes? Pasa por FTP una última vez, con el archivo de la página [Descargar](https://eclaircms.org/es/descargar) y la [guía de actualización](https://eclaircms.org/es/documentacion/actualizaciones).

## ¿Dónde leer el informe de auditoría completo?

El informe completo está en inglés, en formato PDF, en 18 páginas. Describe el método, el entorno aislado, cada fallo con su corrección y los límites del ejercicio. También cubre la segunda auditoría, hecha sobre la 1.10.3, y la versión 1.10.4 que la siguió: [lee el artículo sobre Éclair 1.10.4](https://eclaircms.org/blog/eclair-1-10-4-segunda-auditoria-de-seguridad).

[Descargar el informe de auditoría (PDF en inglés, 18 páginas)](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf)

El informe es honesto sobre sus límites: no pretende que Éclair esté libre de defectos. Las protecciones se explican también en [la seguridad de Éclair](https://eclaircms.org/es/documentacion/seguridad), y todas las versiones están en el [registro de cambios](https://eclaircms.org/es/changelog).

## Preguntas frecuentes sobre Éclair 1.10.3

### ¿Han atacado mi sitio?

La auditoría no trata de tu sitio: examinó el código fuente de Éclair, en un entorno aislado, con datos ficticios, y no se sondeó ningún sitio real. Los fallos que encontró están corregidos en la 1.10.3.

### ¿Debo instalar Éclair 1.10.3 ya?

Sí, es una versión de seguridad. Haz una copia de seguridad y abre Administración › Actualizaciones: la última versión incluye estas correcciones. Si varias cuentas trabajan en tu sitio, guarda antes los cambios en curso.

### ¿Dónde está el informe de auditoría y en qué idioma?

El informe está en inglés, en un PDF de 18 páginas. Lo descargas en [/assets/site/eclair-cms-security-report-2026-11.pdf](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf). No contiene ningún detalle de explotación.

### ¿Qué tengo que hacer con Google Drive?

Si lo conectaste antes de la 1.10.3, la página Seguridad lo señala: desconéctalo y vuelve a conectarlo. Éclair anota entonces quién creó la conexión, y la retira si esa cuenta se borra o pierde su rol de administrador.

### ¿Cuánto cuesta esta actualización?

Nada: Éclair sigue siendo gratuito, con licencia libre AGPL-3.0, y la actualización no usa IA. El archivo pesa 619 KB, y tu sitio público queda idéntico.

[Descargar Éclair 2.3.0](https://eclaircms.org/es/descargar)

— Thierry Gustin, Créateur d’Éclair CMS, consultant SEO et formateur IA · 10 de noviembre de 2026