Sobre los falsos positivos de los programas de seguridad

Descripción del problema

Tras descargar el instalador .exe o el archivo comprimido .zip de WSL Dashboard, Windows Defender u otros antivirus pueden mostrar una advertencia de seguridad indicando que el archivo presenta un riesgo, o incluso bloquearlo y eliminarlo directamente.

¿Por qué ocurre esto?

Es un falso positivo: el archivo no contiene realmente un virus.

La causa principal es que este proyecto no ha adquirido un certificado de firma de código EV (Extended Validation).

¿Qué es un certificado de firma de código?

El certificado de firma de código se utiliza para firmar digitalmente los archivos ejecutables, demostrando que el archivo proviene de un editor de confianza y no ha sido manipulado. Windows aplica controles de seguridad más estrictos a los programas sin firmar o firmados con certificados ordinarios.

Diferencia entre tipos de certificado

Tipo de certificado	Precio	Política de SmartScreen
Sin firma	Gratis	Bloqueo directo, marcado como "Editor desconocido"
Certificado OV ordinario	Cientos de euros/año	Sigue mostrando una advertencia; requiere acumular reputación
Certificado EV	Miles de euros/año	Aprobación inmediata, sin advertencias

Los programas firmados sin certificado EV son marcados por Windows SmartScreen como no seguros por defecto, y los antivirus también tienden a identificarlos más fácilmente como amenazas potenciales.

Sobre la seguridad de los archivos

Tranquilo: el proceso de compilación de este proyecto es totalmente transparente y auditable:

1. Código abierto: todo el código fuente está alojado en GitHub y cualquiera puede revisarlo
2. Compilación automatizada: los archivos exe se generan automáticamente mediante los flujos de trabajo de GitHub Actions en los servidores de GitHub, sin intervención humana en todo el proceso
3. Compilación trazable: cada compilación cuenta con un registro completo, consultable en la página de GitHub Actions
4. Publicación sin contacto: los desarrolladores no pueden insertar ningún código malicioso durante el proceso de compilación; el archivo se automatiza desde el fin de la compilación hasta la publicación y descarga

En resumen: los archivos exe nunca pasan por las manos del desarrollador; no existe posibilidad de "envenenamiento".

Soluciones

Solución 1: Añadir a la lista blanca de confianza (recomendada para usuarios normales)

Cuando Windows Defender bloquea:

1. Abra "Centro de seguridad de Windows" → "Protección contra virus y amenazas"
2. Haga clic en "Historial de protección"
3. Busque el elemento bloqueado, haga clic en "Acciones" → "Permitir"

O añada una exclusión antes de descargar:

1. Abra "Centro de seguridad de Windows" → "Protección contra virus y amenazas" → "Administrar configuración"
2. Desplácese hasta "Exclusiones" y haga clic en "Agregar o quitar exclusiones"
3. Añada el directorio de descarga como exclusión

Antivirus de terceros: añada el archivo o directorio descargado a la lista de confianza del programa correspondiente.

Solución 2: Compilar desde el código fuente (recomendada para desarrolladores)

Si todavía tiene dudas sobre los binarios precompilados, puede clonar el código fuente y compilarlo localmente:

# Clonar el repositorio
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Compilar la versión Release
cargo build --release

# Los artefactos de compilación se encuentran en el directorio target/release/

Así podrá confirmar completamente el contenido del código que se ejecuta.

Solución 3: Comprar un certificado EV (nota para desarrolladores)

Comprar un certificado de firma de código EV puede resolver el problema de raíz, pero presenta las siguientes dificultades reales:

• Coste elevado: el certificado EV cuesta miles de yuanes al año
• Coste continuo: el certificado debe renovarse anualmente; es una carga a largo plazo
• Naturaleza del proyecto: WSL Dashboard es un proyecto de código abierto sin ánimo de lucro, difícil de asumir este gasto

Si desea apoyar el desarrollo de este proyecto, puede donar a través de los canales de patrocinio de la página principal del proyecto, lo que ayudará a los desarrolladores a cubrir los costes operativos como el del certificado.

Resumen

• El bloqueo del archivo se debe a la falta del certificado de firma de código EV, no a un virus
• Todos los artefactos de compilación se generan automáticamente con GitHub Actions, proceso transparente y auditable
• Los usuarios pueden resolverlo añadiendo el archivo a la lista blanca o compilándolo ellos mismos
• Comprar un certificado EV lo resuelve de raíz, pero supone una presión económica para un proyecto sin ánimo de lucro

¡Gracias por su comprensión y apoyo!