• Objetivos: Declarar versiones soportadas, el canal privado de avisos y la superficie criptográfica (almacenes, claves, protocolos de firma) de este fork.
• Estructura: Versiones soportadas → cómo reportar → superficie relevante → alcance.
• Contenido a integrar según contexto: Adapta canales a este repo. No copies la política de un SaaS. Nunca pegues claves privadas, PINs, certificados de producción ni trazas con datos de ciudadanía.

No abras un issue público si el hallazgo puede comprometer firmas de ciudadanía, claves privadas, PINs de DNIe/PKCS#11 o almacenes de certificados.

1. Preferible: GitHub Security Advisory en este repositorio.
2. Alternativa: correo a [email protected].
3. Si el defecto es del producto oficial, avisa también a AEAD ([email protected] según publica CTT) y/o abre un issue upstream sin detalles de explotación.

Incluye: commit, módulo Maven, JDK/OS, y un caso mínimo sintético (nunca claves reales). Responderemos en un plazo máximo de 7 días naturales.

• El árbol actual no contiene el PFX ni los afirma.keystore de aplicación. La nota está en docs/security/SEC-2026-001-material.md. Firmar instaladores exige AFIRMA_SIGN_PFX y AFIRMA_SIGN_PASS fuera de Git.
• Almacenes de claves (CAPI, NSS/Firefox, PKCS#11, DNIe) y diálogos de PIN.
• Generación y validación CAdES / PAdES / XAdES / FacturaE y servicios trifásicos.
• Dependencias criptográficas (SpongyCastle/BouncyCastle, iText, xmlsec).
• No commitees keystores con claves reales, PINs ni certificados de producción.

Este repositorio es un fork de código del cliente de escritorio. No opera VALIDe, @firma de producción ni una TSA. Las vulnerabilidades de CAs, navegadores o del cliente instalado desde el paquete oficial de AEAD pertenecen a esos componentes, salvo que el defecto esté en este árbol.