# Política de seguridad

> Divulgación responsable Si encuentras una vulnerabilidad en Tórculo, por favor no abras un issue público. Hay dos canales privados: Avisos de seguridad de GitHub (canal preferente)

URL: https://torculo.joseluissaorin.com/en/governance/security · Reviewed: 2026-10-15 · Español: https://torculo.joseluissaorin.com/gobernanza/security.md

## Divulgación responsable

Si encuentras una vulnerabilidad en Tórculo, por favor no abras un issue público. Hay dos
canales privados:

- **Avisos de seguridad de GitHub** (canal preferente): pestaña *Security* del
  repositorio, «Report a vulnerability».
- **jl@joseluissaorin.com**, si prefieres el correo o no tienes cuenta de GitHub.

Nos comprometemos a acusar recibo en 72 horas como mucho, a publicar una corrección o
mitigación en un plazo objetivo de 30 días para lo crítico y a acreditar el descubrimiento
en las notas de la versión si lo deseas.

## Ámbito

Interesa en especial todo lo que permita:

- que **compilar o comprobar** un pliego ejecute código del proyecto (la especificación lo
  prohíbe: §12 y §20);
- que un **paquete** `.mesapack` escriba fuera de su carpeta, se salte la comprobación de
  hashes o agote el disco al desempaquetarse;
- que una **toma** `.take` haga fallar, colgar o agotar la memoria de un reproductor
  (`<manimgx-film>`, la biblioteca de Rust), o que su WGSL (MATERIAL, POST) escape de la
  validación de WebGPU;
- que una **lámina** agote la memoria de un visor o lo engañe con tamaños falsos;
- que un **sidecar** haga leer o reproducir archivos fuera del proyecto;
- que el motor llame a la red o a un servicio de pago durante un rodaje.

Están en ámbito este repositorio (canon, pluma, materias, sentido, la batería de
conformidad y sus oráculos, la web), el motor (`torculo-manimgx`) y la implementación de
referencia de la lengua (`manim-saorin`). Quedan fuera las vulnerabilidades ya publicadas en
dependencias, la denegación de servicio volumétrica y la ingeniería social.

**Recuerda:** rodar un pliego con bestiario (`PYTHON`, `PIEZAS`) ejecuta ese código, igual
que ejecutar un programa. Eso no es una vulnerabilidad del estándar, pero sí lo es cualquier
camino que lo ejecute al compilar, comprobar o empaquetar.

## Versiones con soporte

Tórculo está en borrador de trabajo (1.0). Las correcciones salen en la rama principal y en
la siguiente versión etiquetada de cada biblioteca.