[Task] SRC-004 — Job CI security-runtime y pruebas negativas #35

Plan

security-hygiene

Prioridad

P0

Fase

MVP

Tipo de tarea

seguridad

Gate

G8, G9

Rol propietario

Seguridad / Calidad

Requisitos (FR/NFR)

NFR-SEC-001

Riesgos y amenazas

THR-IPC-001 / RSK-001

Objetivo

Añadir capa de pruebas negativas runtime que confirme que Tauri deniega accesos no permitidos. No puede ser skip-if-missing.

Alcance

• Incluye: job CI security-runtime; pruebas de comando fuera de allowlist / capability denegada.
• Excluye: elevación root; runner v1.

Criterio de Done

• Job security-runtime en CI (.github/workflows/ci.yml o workflow dedicado).
• Al menos una prueba negativa runtime en verde que demuestre denegación.
• Si falta el job, NFR-SEC-001 permanece not-verified en la matriz.

Estado 2026-10-14: no existe job security-runtime en .github/workflows/.