Cómo se comprueban los paquetes y retirada de contenidos

Antes de publicar una versión

Cada versión se limpia, se compara con el código de licencia propio del proveedor, se analiza y se valida con un lint. La pestaña Seguridad de cada paquete muestra las comprobaciones y sus resultados por versión:

• Análisis de malware: cada archivo de cada versión se contrasta con la base de firmas de ClamAV.
• Reglas de patrones: reglas para web shells, cargadores ofuscados, PHP codificado y patrones de nulled conocidos.
• Análisis PHP: inclusiones remotas, datos de la petición que llegan a funciones de shell, decodificadores que alimentan eval, PHP oculto en imágenes, fuentes o archivos comprimidos, y sobrescrituras de la configuración del servidor.
• Integridad de la licencia: el código de licencia, activación y actualización se compara con el código propio del proveedor; nunca se publica código de licencia alterado.
• Sintaxis PHP: cada archivo PHP se analiza sin errores en las versiones de PHP que admite el repositorio.
• Política de recursos: las ilustraciones, fuentes, archivos multimedia y contenido de demostración que puedan tener una licencia independiente se sustituyen por marcadores de posición o se eliminan.

Una versión que no supera las comprobaciones no se publica. La pestaña indica cuántas versiones se han retenido.

En la pestaña Versiones, Verificado junto a una versión enlaza a estos resultados.

Cuando se detecta un problema más tarde

Si una versión publicada resulta ser un problema, se retira: Composer ya no puede instalarla, se avisa a quienes siguen el paquete y se disparan los webhooks. Las copias instaladas siguen funcionando. Un proyecto muestra Versión instalada retirada para los sitios que la usan.

Las vulnerabilidades publicadas sobre un plugin o tema son otra cuestión: consulta Avisos de seguridad.

Retirada de contenidos

Los titulares de derechos pueden solicitar la eliminación según la política de retirada de contenidos. Una eliminación por reclamación detiene de inmediato las descargas desde Composer y desde el sitio web; la página del paquete lo indica, y los proyectos muestran Paquete eliminado por reclamación.

Para informar tú mismo sobre un paquete, usa Informar sobre este paquete al final de la barra lateral de su página.