Éclair 1.10.4: segunda auditoría de seguridad, seis fallos corregidos
Por Thierry Gustin
Publicado el
Actualizado el
6 min de lectura
Índice
- ¿Qué cambia con Éclair 1.10.4?
- ¿Por qué una segunda auditoría justo después de la 1.10.3?
- ¿Qué encontró la segunda auditoría de seguridad?
- ¿Por qué se habla de una pasada parcial?
- ¿Qué hacer después de actualizar a la 1.10.4?
- ¿Cómo pasar a Éclair 1.10.4?
- ¿Dónde leer el informe de seguridad completo?
- Preguntas frecuentes sobre Éclair 1.10.4
Éclair 1.10.4, publicada el 4 de noviembre de 2026, corrige los seis fallos hallados por una segunda auditoría de seguridad: uno alto, pero en la herramienta de publicación del mantenedor y nunca en tu sitio, uno medio ligado a Google Drive y cuatro bajos. Ninguno es crítico. El informe completo, en inglés, está en línea: lee el informe de seguridad (PDF, 18 páginas).
¿Qué cambia con Éclair 1.10.4?
| Punto | Lo que hay que saber |
|---|---|
| Código auditado | El de la 1.10.3, revisado con un método más exhaustivo (perfil deep) |
| Fallos confirmados | 6: 1 alto (herramienta de publicación), 1 medio (Google Drive), 4 bajos |
| Pistas por validar | 6 pistas que dependen del hosting, corregidas en el código por precaución |
| Correcciones | 13, cada una con una prueba que comprueba que el defecto no vuelve |
| Comprobaciones | 964 comprobaciones automáticas, sobre el código y sobre el archivo firmado |
| Archivo | 621 KB, actualización firmada (Ed25519) y verificada antes de cualquier cambio |
| Lo que tienes que hacer | Actualizar tras una copia de seguridad y volver a conectar Google Drive si te lo pide |
Tu sitio público no cambia ni un byte, y tus contenidos no se mueven. La víspera, la 1.10.3 corrigió los 15 fallos de la primera auditoría: lee el artículo sobre Éclair 1.10.3.
¿Por qué una segunda auditoría justo después de la 1.10.3?
Una corrección de seguridad hay que comprobarla. La segunda auditoría retomó por eso cada fallo y cada pista de la primera, sobre el código modificado, con agentes nuevos. Resultado: las correcciones de la 1.10.3 resistieron.
También buscó más lejos. El perfil deep del método security-audit de Cloudflare añade los momentos de la vida de un sitio: justo después de una actualización, tras restaurar una copia de seguridad, al volver a una versión anterior o al reinstalar. Varios de los fallos nuevos vienen justamente de esos momentos.
Como la primera, esta auditoría se hizo leyendo el código fuente y probándolo en local, en un entorno aislado bloqueado por el sistema, con datos ficticios, sin acceso a la red y sin tocar ningún sitio en línea. Movilizó 54 agentes; con la primera auditoría y las correcciones, son 148 agentes en total.
¿Qué encontró la segunda auditoría de seguridad?
La segunda auditoría examinó 13 candidatos distintos. Seis quedaron confirmados:
- Uno alto, en la herramienta de publicación: el comando con el que el mantenedor vuelve a firmar una versión podía firmar un archivo sustituido por alguien sin la clave. Ahora solo firma un archivo ya firmado para esa versión. Este defecto no afecta a ningún sitio instalado.
- Uno medio, Google Drive: una conexión hecha antes de la 1.10.3 no indicaba qué administrador la había establecido. Un administrador eliminado o degradado podría haber seguido recibiendo las copias de seguridad. Esas conexiones se retiran ahora.
- Cuatro bajos: restaurar una copia ya no reactiva sesiones cortadas con Cerrar la sesión de todos; despublicar vacía la caché aunque falle una escritura posterior; Volver a la versión anterior conserva un
.htaccessmodificado desde la actualización; reconstruir el índice ya no vuelve a publicar un contenido borrado, que regresa como borrador.
Las seis pistas restantes dependen del hosting, del navegador o de la facturación de un servicio externo. No se pueden observar sin conexión, así que se corrigen por precaución, igual que un último candidato sobre las redirecciones reservadas que la verificación no pudo zanjar. El informe describe cada problema y su corrección, sin ningún detalle de explotación.
¿Por qué se habla de una pasada parcial?
Porque lo es, y el informe lo dice con todas las letras. Esta segunda auditoría se acortó a propósito para limitar su coste:
- 6 zonas de 71 se aplazaron y nunca se exploraron, por ejemplo las copias de seguridad almacenadas o las cuotas del conector MCP;
- no hubo revisión final de la cobertura;
- las correcciones de la 1.10.4 están cubiertas por pruebas, pero todavía no se han auditado.
El informe no pretende, por tanto, que la 1.10.3 o la 1.10.4 se hayan cubierto por completo. Recomienda retomar la auditoría en esas zonas y después auditar la 1.10.4. Lo esencial: ningún fallo crítico en las dos auditorías, y todos los fallos confirmados están corregidos.
¿Qué hacer después de actualizar a la 1.10.4?
Casi siempre, nada. Solo un caso te pide un gesto: si conectaste Google Drive antes de la 1.10.3, la conexión se retira y la página Seguridad te lo indica.
- Abre Seguridad › Copias de seguridad en Google Drive.
- Haz clic en Conectar Google Drive y escribe el código que aparece en google.com/device.
- Comprueba la frecuencia de tus copias y haz clic en Guardar.
Las copias ya enviadas se quedan en tu Drive. Otros cambios que conviene conocer:
- Las imágenes de IA rechazadas por el filtro del proveedor (FLUX, Ideogram) cuentan ahora en tu presupuesto mensual de IA, como cualquier imagen facturada.
- Si desaparece
data/site.php, el instalador sigue bloqueado hasta que borresdata/install-window.phppor FTP. Reinstalar conserva tus cuentas, tus claves y tus contenidos. - Tus archivos de datos y tus copias de seguridad se crean privados desde el principio.
¿Cómo pasar a Éclair 1.10.4?
Desde la 1.10.0 o posterior, la actualización se hace en un clic:
- En Seguridad › Copia de seguridad, haz clic en Descargar una copia de seguridad.
- Abre Administración › Actualizaciones.
- Marca «Tengo una copia de seguridad reciente de mi sitio» y haz clic en Actualizar.
La actualización está firmada y se verifica antes del menor cambio, con vuelta atrás automática si algo falla. La versión que se ofrece hoy incluye todas estas correcciones.
Desde la 1.9 o anterior, pasa por FTP por última vez: el archivo te espera en la página Descargar, y la guía Actualizar, hacer copias de seguridad, mudarse detalla cada paso. Todas las versiones figuran en el registro de cambios, y las protecciones de Éclair en la seguridad de Éclair.
¿Dónde leer el informe de seguridad completo?
El informe cubre las dos auditorías y las versiones 1.10.3 y 1.10.4. Está en inglés, en formato PDF, y tiene 18 páginas. Encontrarás el método, el entorno aislado, cada fallo con su corrección, las protecciones consideradas sólidas y los límites del ejercicio.
Descargar el informe de seguridad (PDF en inglés, 18 páginas)
¿Una pregunta sobre el informe o una duda sobre tu hosting? Escríbeme a través de la página de contacto.
Preguntas frecuentes sobre Éclair 1.10.4
¿Estaba mi sitio expuesto al fallo alto?
No. Afectaba a la herramienta con la que el mantenedor fabrica y firma las versiones, nunca a un sitio instalado. Tus actualizaciones siguen firmadas y verificadas antes del menor cambio.
¿Tengo que volver a conectar Google Drive?
Solo si tu conexión es anterior a la 1.10.3. En ese caso, la página Seguridad te lo indica: haz clic en Conectar Google Drive y escribe el código en google.com/device. Tus copias anteriores se quedan en tu Drive.
¿La segunda auditoría lo revisó todo?
No, y el informe lo dice: es una pasada parcial. Seis zonas no se exploraron, y las correcciones de la 1.10.4 aún no se han auditado. Ninguna de las dos auditorías encontró un fallo crítico.
¿Por qué está el informe en inglés?
Es el idioma del registro oficial y del código de Éclair. El informe describe cada problema y su corrección, sin detalles de explotación, y este artículo resume lo esencial.
¿Cuánto cuesta actualizar a la 1.10.4?
Nada: Éclair sigue siendo gratuito, con licencia AGPL-3.0. Único cambio en el presupuesto: las imágenes de IA rechazadas por el proveedor cuentan ahora en tu presupuesto mensual.
También te puede interesar
Migrar de WordPress a Éclair CMS sin perder ni una dirección
Migrar de WordPress a Éclair CMS con Eclair Export: contenidos, imágenes, SEO, menús y redirecciones, una simulación y después un informe para tu cliente.
Éclair 2.3 y Eclair Export 1.1: migrar de WordPress se vuelve fácil
Éclair 2.3 y Eclair Export 1.1 trasladan un sitio WordPress en un solo envío: una clave, un clic, sin descargas ni FTP. Esquemas y guía paso a paso.
Crear una web de la A a la Z con el Agente IA Éclair CMS
La guía completa para crear una web profesional con el Agente IA Éclair CMS: cada etapa, las fricciones eliminadas, las capturas y el enlace de descarga.