Seguridad

Escribe a security@bingsustudio.com con lo que has encontrado y cómo reproducirlo. También puedes abrir un informe privado con los avisos de seguridad de GitHub. Respondemos en un plazo de tres días laborables, te mantenemos al tanto hasta que se corrija y, si quieres, te damos el crédito en las notas de la versión.

Danos 90 días para publicar una corrección antes de hacerlo público, haz pruebas solo en tu propia instalación y nunca accedas a datos de otras personas. No emprenderemos acciones legales contra investigaciones hechas de buena fe conforme a estas reglas. Nuestro security.txt tiene los mismos contactos.

• Las grabaciones son archivos en una carpeta que tú eliges, ~/Movies/Bingsu por defecto. Bingsu nunca las sube.
• La línea de comandos y el servidor MCP se comunican con la app a través de un socket local dentro de una carpeta que solo puede abrir tu usuario.
• La primera vez que un agente pide grabar tu pantalla, Bingsu te pregunta. En «Settings», «Agents» aparecen todos los agentes a los que diste permiso, con la opción «Revoke».
• La cámara y los micrófonos son una segunda pregunta, aparte, para cada agente. macOS también te pregunta antes de que Bingsu pueda usar la pantalla, la cámara o el micrófono.
• Cada agente solo puede detener o pausar las grabaciones que inició. Tú ves todas las grabaciones en la barra de menús y puedes detener cualquiera.

• Cada versión se compila a partir de un commit etiquetado mediante el flujo de publicación del repositorio.
• La app está firmada con el Apple Developer ID de BingsuStudio, usa el hardened runtime y está notarizada por Apple.
• Las actualizaciones llegan a través de Sparkle, un actualizador de código abierto, y se firman con una clave que se guarda fuera de internet (EdDSA). La app rechaza cualquier actualización cuya firma no coincida.
• La suma de verificación SHA-256 de cada descarga aparece junto a su versión en GitHub; la página de descarga explica cómo comprobarla.

Una página para compartir es una carpeta de archivos estáticos, cifrada salvo que la hagas pública: la clave viaja en el fragmento del enlace, que los navegadores nunca envían al hosting. No ejecuta código en ningún servidor y solo carga archivos de su propio hosting. Quién puede abrirla lo decide el hosting donde la publicas.

bingsustudio.com son archivos estáticos en Cloudflare. No carga nada de otros sitios, no usa analíticas y sus cabeceras establecen una política de seguridad de contenido estricta, solo HTTPS (HSTS) y ninguna inserción desde otros sitios.