La Fundación Linux ha presentado una nueva iniciativa llamada Gestor de paquetes justos (FPM) – un esfuerzo colaborativo de código abierto destinado a mejorar la seguridad, la estabilidad y la gobernanza de los ecosistemas de complementos de CMS como WordPress, Joomla, Drupal y Typo3.
¿Qué es el Fair Package Manager?
Fair Package Manager (FPM) es un marco de gobernanza y registro descentralizado creado para brindar mayor transparencia y control a cómo se administran y distribuyen los complementos y temas de CMS.
En términos simples, ayuda a los desarrolladores, proveedores de alojamiento y propietarios de sitios web a rastrear, administrar y confiar mejor en los paquetes de software que utilizan para impulsar sus sitios web.
¿Por qué este Matters
Sistemas de gestión de contenidos como WordPressJoomla y Drupal han potenciado millones de sitios web al facilitar la ampliación de funcionalidades mediante plugins y temas de terceros. Sin embargo, esta flexibilidad conlleva graves riesgos, especialmente en lo que respecta a... mantenimiento del software y seguridad de la cadena de suministro.
Muchos plugins populares de CMS son desarrollados por colaboradores individuales o pequeños equipos. Con el tiempo, algunos de estos plugins se vuelven inactivos, se descuidan o, peor aún, son vendidos o pirateados por actores maliciosos. Una vez comprometido, un plugin puede introducir código malicioso en miles o incluso millones de sitios web mediante actualizaciones automáticas. Estos ataques suelen pasar desapercibidos hasta que se producen daños significativos, como filtraciones de datos, inyecciones de spam SEO o robos completos de sitios web.
El Fair Package Manager aborda estos riesgos mediante la introducción de un nuevo modelo de gobernanza. Separa la propiedad de los plugins de su control y distribución, lo que dificulta que actores maliciosos exploten proyectos abandonados. Además, añade niveles de responsabilidad mediante el uso de credenciales verificables y metadatos transparentes, lo que ayuda tanto a desarrolladores como a usuarios finales a comprender el historial completo de un plugin y su estado actual de gobernanza.
Para propietarios de sitios web, desarrolladores y proveedores de hosting, esto implica menos sorpresas y ecosistemas de plugins más seguros. Es un paso proactivo para corregir la fragmentación en la gestión actual de los plugins y sienta las bases para una mejor colaboración entre las comunidades de CMS, los proveedores de infraestructura y los usuarios finales.
¿Quién está detrás del proyecto?
FPM se está desarrollando bajo la dirección de la Fundación Linux y cuenta con el respaldo de un grupo diverso de partes interesadas en CMS:
- Seca Buytaert (Fundador de Drupal)
- Matt Mullenweg (Co-fundador de WordPress y director ejecutivo de Automattic)
- Asuntos de código abierto (Organización de apoyo a Joomla)
- Asociación Typo3
- Proveedores de hosting y DevOps como Panteón, Netlify, Plataforma.sh, Acciones cívicas, y Amazee.io
La participación temprana de los fundadores de CMS y los proveedores de infraestructura le da al proyecto una gran posibilidad de ser adoptado ampliamente.
Cómo el proyecto ayuda a los usuarios de hosting
Para los propietarios de sitios web y clientes de hosting, FPM podría convertirse en una capa de seguridad crucial. En lugar de confiar ciegamente en las actualizaciones de plugins o depender de repositorios obsoletos, se beneficiará de un framework que:
- Previene actualizaciones no autorizadas y adquisiciones de complementos.
- Mejora la visibilidad sobre quién mantiene un complemento y cómo se gobierna.
- Promueve ecosistemas de complementos saludables con responsabilidad compartida.
Esto podría tener un impacto particularmente fuerte en WordPress usuarios, muchos de los cuales dependen de complementos gratuitos del repositorio oficial, pero no tienen control sobre cómo o cuándo se transfieren o actualizan esos complementos.
Mirando hacia el futuro
El Fair Package Manager no se limita a WordPressEstá diseñado para soportar múltiples plataformas CMS y eventualmente podría evolucionar hasta convertirse en un estándar impulsado por la comunidad para la seguridad de los complementos en la web.
Con el apoyo temprano de las comunidades de desarrolladores y de alojamiento, FPM puede ofrecer una solución largamente esperada para uno de los riesgos más persistentes del código abierto: los ciclos de vida de los complementos no regulados.
Para obtener más información o participar, Visite el Página de anuncios de la Fundación Linux.
