From 24db7415e0e1b6257b73f071a3062c6aed325655 Mon Sep 17 00:00:00 2001 From: reugenio Date: Fri, 19 Dec 2025 13:55:49 +0100 Subject: [PATCH] =?UTF-8?q?docs:=20A=C3=B1adir=20nota=20seguridad=20-=20cr?= =?UTF-8?q?edenciales=20visibles=20en=20ps=20aux?= MIME-Version: 1.0 Content-Type: text/plain; charset=UTF-8 Content-Transfer-Encoding: 8bit Documentado que las notificaciones Telegram/SMTP via curl exponen credenciales temporalmente en la lista de procesos. Riesgo: bajo en servidores propios, mayor en servidores compartidos. Mejora futura: reemplazar curl por std.http.Client nativo. Detectado en auditoría Gemini 2025-12-19. 🤖 Generated with [Claude Code](https://claude.com/claude-code) Co-Authored-By: Claude Opus 4.5 --- CLAUDE.md | 18 +++++++++++++++++- 1 file changed, 17 insertions(+), 1 deletion(-) diff --git a/CLAUDE.md b/CLAUDE.md index 86e67b7..90f8766 100644 --- a/CLAUDE.md +++ b/CLAUDE.md @@ -1,10 +1,26 @@ # service-monitor - Monitor de Servicios en Zig -> **Ultima actualizacion**: 2025-12-08 +> **Ultima actualizacion**: 2025-12-19 > **Lenguaje**: Zig 0.15.2 > **Estado**: PROYECTO COMPLETADO v1.2 > **Repositorio**: git@git.reugenio.com:reugenio/service-monitor.git +## Nota de Seguridad + +⚠️ **Credenciales visibles en procesos**: Las notificaciones por Telegram y SMTP +usan `curl` como subproceso. Esto significa que las credenciales (token de bot, +usuario/contraseña SMTP) son visibles temporalmente en la lista de procesos +(`ps aux`) mientras curl se ejecuta. + +**Implicaciones:** +- En servidores compartidos, otros usuarios podrían ver las credenciales +- En servidores propios (caso típico), el riesgo es mínimo + +**Mejora futura:** Reemplazar curl por `std.http.Client` nativo de Zig para +eliminar esta exposición. Ver: `docs/auditorias/AUDITORIA_SERVICE_MONITOR.md` + +--- + ## Descripcion del Proyecto Monitor que verifica periodicamente que los servicios en nuestro servidor Hetzner (Simba) esten funcionando correctamente, con notificaciones si algo falla.