---
title: "Éclair 1.10.4: segunda auditoría de seguridad, seis fallos corregidos"
description: "Éclair 1.10.4 corrige los 6 fallos de la segunda auditoría de seguridad, uno alto en la herramienta de publicación. Qué cambia, qué hacer y el informe."
url: "https://eclaircms.org/blog/eclair-1-10-4-segunda-auditoria-de-seguridad"
lang: "es"
author: "Thierry Gustin"
published: "2026-11-04"
updated: "2026-11-10"
---

# Éclair 1.10.4: segunda auditoría de seguridad, seis fallos corregidos

> **Lo esencial** — Publicada el 4 de noviembre de 2026, Éclair 1.10.4 corrige los seis fallos hallados por una segunda auditoría del código de la 1.10.3: uno alto, en la herramienta que fabrica las versiones y nunca en un sitio instalado, uno medio ligado a Google Drive y cuatro bajos, más seis refuerzos. Esta auditoría es una pasada parcial, y el informe lo dice. Actualización en un clic desde la 1.10.0, tras una copia de seguridad.

Éclair 1.10.4, publicada el 4 de noviembre de 2026, corrige los seis fallos hallados por una segunda auditoría de seguridad: uno alto, pero en la herramienta de publicación del mantenedor y nunca en tu sitio, uno medio ligado a Google Drive y cuatro bajos. Ninguno es crítico. El informe completo, en inglés, está en línea: [lee el informe de seguridad (PDF, 18 páginas)](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf).

## ¿Qué cambia con Éclair 1.10.4?

| Punto | Lo que hay que saber |
| --- | --- |
| Código auditado | El de la 1.10.3, revisado con un método más exhaustivo (perfil *deep*) |
| Fallos confirmados | 6: 1 alto (herramienta de publicación), 1 medio (Google Drive), 4 bajos |
| Pistas por validar | 6 pistas que dependen del hosting, corregidas en el código por precaución |
| Correcciones | 13, cada una con una prueba que comprueba que el defecto no vuelve |
| Comprobaciones | 964 comprobaciones automáticas, sobre el código y sobre el archivo firmado |
| Archivo | 621 KB, actualización firmada (Ed25519) y verificada antes de cualquier cambio |
| Lo que tienes que hacer | Actualizar tras una copia de seguridad y volver a conectar Google Drive si te lo pide |

Tu sitio público no cambia ni un byte, y tus contenidos no se mueven. La víspera, la 1.10.3 corrigió los 15 fallos de la primera auditoría: [lee el artículo sobre Éclair 1.10.3](https://eclaircms.org/blog/eclair-1-10-3-auditoria-de-seguridad).

## ¿Por qué una segunda auditoría justo después de la 1.10.3?

Una corrección de seguridad hay que comprobarla. La segunda auditoría retomó por eso cada fallo y cada pista de la primera, sobre el código modificado, con agentes nuevos. Resultado: las correcciones de la 1.10.3 resistieron.

También buscó más lejos. El perfil *deep* del [método *security-audit* de Cloudflare](https://github.com/cloudflare/security-audit-skill) añade los momentos de la vida de un sitio: justo después de una actualización, tras restaurar una copia de seguridad, al volver a una versión anterior o al reinstalar. Varios de los fallos nuevos vienen justamente de esos momentos.

Como la primera, esta auditoría se hizo leyendo el código fuente y probándolo en local, en un entorno aislado bloqueado por el sistema, con datos ficticios, sin acceso a la red y sin tocar ningún sitio en línea. Movilizó 54 agentes; con la primera auditoría y las correcciones, son 148 agentes en total.

## ¿Qué encontró la segunda auditoría de seguridad?

La segunda auditoría examinó 13 candidatos distintos. Seis quedaron confirmados:

- **Uno alto, en la herramienta de publicación**: el comando con el que el mantenedor vuelve a firmar una versión podía firmar un archivo sustituido por alguien sin la clave. Ahora solo firma un archivo ya firmado para esa versión. Este defecto no afecta a ningún sitio instalado.
- **Uno medio, Google Drive**: una conexión hecha antes de la 1.10.3 no indicaba qué administrador la había establecido. Un administrador eliminado o degradado podría haber seguido recibiendo las copias de seguridad. Esas conexiones se retiran ahora.
- **Cuatro bajos**: restaurar una copia ya no reactiva sesiones cortadas con **Cerrar la sesión de todos**; despublicar vacía la caché aunque falle una escritura posterior; **Volver a la versión anterior** conserva un `.htaccess` modificado desde la actualización; reconstruir el índice ya no vuelve a publicar un contenido borrado, que regresa como borrador.

Las seis pistas restantes dependen del hosting, del navegador o de la facturación de un servicio externo. No se pueden observar sin conexión, así que se corrigen por precaución, igual que un último candidato sobre las redirecciones reservadas que la verificación no pudo zanjar. El informe describe cada problema y su corrección, sin ningún detalle de explotación.

## ¿Por qué se habla de una pasada parcial?

Porque lo es, y el informe lo dice con todas las letras. Esta segunda auditoría se acortó a propósito para limitar su coste:

- **6 zonas** de 71 se aplazaron y nunca se exploraron, por ejemplo las copias de seguridad almacenadas o las cuotas del conector MCP;
- **no hubo revisión final** de la cobertura;
- **las correcciones de la 1.10.4** están cubiertas por pruebas, pero todavía no se han auditado.

El informe no pretende, por tanto, que la 1.10.3 o la 1.10.4 se hayan cubierto por completo. Recomienda retomar la auditoría en esas zonas y después auditar la 1.10.4. Lo esencial: ningún fallo crítico en las dos auditorías, y todos los fallos confirmados están corregidos.

## ¿Qué hacer después de actualizar a la 1.10.4?

Casi siempre, nada. Solo un caso te pide un gesto: si conectaste Google Drive antes de la 1.10.3, la conexión se retira y la página **Seguridad** te lo indica.

1. Abre **Seguridad › Copias de seguridad en Google Drive**.
2. Haz clic en **Conectar Google Drive** y escribe el código que aparece en **google.com/device**.
3. Comprueba la frecuencia de tus copias y haz clic en **Guardar**.

Las copias ya enviadas se quedan en tu Drive. Otros cambios que conviene conocer:

- **Las imágenes de IA rechazadas** por el filtro del proveedor (FLUX, Ideogram) cuentan ahora en tu presupuesto mensual de IA, como cualquier imagen facturada.
- **Si desaparece `data/site.php`**, el instalador sigue bloqueado hasta que borres `data/install-window.php` por FTP. Reinstalar conserva tus cuentas, tus claves y tus contenidos.
- **Tus archivos de datos** y tus copias de seguridad se crean privados desde el principio.

## ¿Cómo pasar a Éclair 1.10.4?

Desde la 1.10.0 o posterior, la actualización se hace en un clic:

1. En **Seguridad › Copia de seguridad**, haz clic en **Descargar una copia de seguridad**.
2. Abre **Administración › Actualizaciones**.
3. Marca «Tengo una copia de seguridad reciente de mi sitio» y haz clic en **Actualizar**.

La actualización está firmada y se verifica antes del menor cambio, con vuelta atrás automática si algo falla. La versión que se ofrece hoy incluye todas estas correcciones.

Desde la 1.9 o anterior, pasa por FTP por última vez: el archivo te espera en la página [Descargar](https://eclaircms.org/es/descargar), y la guía [Actualizar, hacer copias de seguridad, mudarse](https://eclaircms.org/es/documentacion/actualizaciones) detalla cada paso. Todas las versiones figuran en el [registro de cambios](https://eclaircms.org/es/changelog), y las protecciones de Éclair en [la seguridad de Éclair](https://eclaircms.org/es/documentacion/seguridad).

## ¿Dónde leer el informe de seguridad completo?

El informe cubre las dos auditorías y las versiones 1.10.3 y 1.10.4. Está **en inglés**, en formato PDF, y tiene 18 páginas. Encontrarás el método, el entorno aislado, cada fallo con su corrección, las protecciones consideradas sólidas y los límites del ejercicio.

[Descargar el informe de seguridad (PDF en inglés, 18 páginas)](https://eclaircms.org/assets/site/eclair-cms-security-report-2026-11.pdf)

¿Una pregunta sobre el informe o una duda sobre tu hosting? Escríbeme a través de la [página de contacto](https://eclaircms.org/es/contacto).

## Preguntas frecuentes sobre Éclair 1.10.4

### ¿Estaba mi sitio expuesto al fallo alto?

No. Afectaba a la herramienta con la que el mantenedor fabrica y firma las versiones, nunca a un sitio instalado. Tus actualizaciones siguen firmadas y verificadas antes del menor cambio.

### ¿Tengo que volver a conectar Google Drive?

Solo si tu conexión es anterior a la 1.10.3. En ese caso, la página Seguridad te lo indica: haz clic en Conectar Google Drive y escribe el código en google.com/device. Tus copias anteriores se quedan en tu Drive.

### ¿La segunda auditoría lo revisó todo?

No, y el informe lo dice: es una pasada parcial. Seis zonas no se exploraron, y las correcciones de la 1.10.4 aún no se han auditado. Ninguna de las dos auditorías encontró un fallo crítico.

### ¿Por qué está el informe en inglés?

Es el idioma del registro oficial y del código de Éclair. El informe describe cada problema y su corrección, sin detalles de explotación, y este artículo resume lo esencial.

### ¿Cuánto cuesta actualizar a la 1.10.4?

Nada: Éclair sigue siendo gratuito, con licencia AGPL-3.0. Único cambio en el presupuesto: las imágenes de IA rechazadas por el proveedor cuentan ahora en tu presupuesto mensual.

[Descargar Éclair 2.3.0](https://eclaircms.org/es/descargar)

— Thierry Gustin, Créateur d’Éclair CMS, consultant SEO et formateur IA · 10 de noviembre de 2026