¿Es seguro PhotoCraft?
¿Dónde se descarga sin riesgo?
El README del proyecto recomienda la página de PhotoCraft en getartcraft.com, y todas las versiones están también en la sección de Releases del repositorio de GitHub. La versión 0.9.0 incluye instaladores MSI para Windows (x64, ARM64 y x86) y versiones portátiles en ZIP, un DMG universal para macOS y para Linux AppImage, Flatpak, deb, rpm y tarball, más un archivo SHA256SUMS.txt con las sumas de comprobación. Si un instalador viene de cualquier otro sitio, no es el que publica el proyecto. En nuestra guía de descarga tienes los enlaces y los pasos por sistema.
¿Cómo compruebo que el archivo no ha sido alterado?
Calcula la suma SHA-256 del archivo descargado y compárala con la línea correspondiente de SHA256SUMS.txt. En Windows se hace con Get-FileHash .\archivo.msi -Algorithm SHA256 en PowerShell, y en macOS y Linux con shasum -a 256 archivo. Si las dos cadenas no coinciden, no lo instales. Esto confirma que el archivo es el mismo que publicó el proyecto, no que el proyecto sea fiable.
¿Está firmado el instalador?
Depende del sistema. En macOS, el README dice que la aplicación y el DMG van firmados con un ID de desarrollador y notarizados por Apple. En Windows, el proceso de publicación incluye un script que firma los ejecutables y el MSI, pero la propia documentación de lanzamiento avisa de que, si falta el secreto de firma, el archivo sale sin firmar, y su documento de seguridad reconoce que la firma puede faltar. No hemos comprobado si el MSI de la 0.9.0 está firmado. Puedes verlo tú en las propiedades del archivo, pestaña Firmas digitales. Un aviso de SmartScreen no prueba que haya un virus, pero tampoco hay que saltarse el aviso sin haber comprobado la descarga.
¿Qué dice el propio proyecto sobre su seguridad?
Su política de seguridad empieza pidiendo que se trate cualquier archivo, ruta o petición de automatización como potencialmente malicioso, porque el programa procesa formatos complejos como PSD. Su documento de seguridad enumera lo que ya hay (límites de tamaño y memoria en el lector de PSD y de imágenes, pruebas de fuzzing, servidor de control que solo escucha en el equipo y exige una clave) y lo que falta: no consta un análisis automático de vulnerabilidades en dependencias, ni lista de componentes del software (SBOM), y la automatización autenticada sigue sin permisos por herramienta. Es un documento franco, y precisamente por eso conviene leerlo antes de usarlo con trabajo delicado.
¿Y lo que se comenta en los foros?
El hilo de Privacy Guides plantea que son unas 440.000 líneas escritas en 11 días, en su mayor parte con ayuda de IA y sin auditoría independiente. Un moderador del foro lo describe como una alfa temprana que seguramente tiene fallos, algunos de seguridad, y varios participantes no lo usarían todavía con archivos sensibles. Un usuario comenta que los paquetes Flatpak llevan permisos restringidos y sin acceso a internet, algo que no hemos comprobado. Son opiniones, no hallazgos, y ninguna describe una vulnerabilidad concreta. Tienes más contexto en ¿Es legal PhotoCraft?.
Webs y paquetes con nombre parecido
Si buscas PhotoCraft en Google aparecen otras páginas con nombres casi iguales, sitios de descargas de terceros y apps de tiendas móviles. No sabemos cuáles tienen relación con el proyecto y no vamos a señalar a nadie, pero la regla es sencilla: el programa de escritorio se descarga solo de las fuentes oficiales de arriba. Sobre las apps de móvil, lee ¿Hay app de PhotoCraft para Android o iPhone?.
Cuatro comprobaciones antes de instalar
getartcraft.com o Releases del repositorio. Nada de instaladores de terceros.
Compárala con SHA256SUMS.txt antes de abrir el archivo.
Mira las propiedades del archivo. Que falte no prueba un virus, pero conviene saberlo.
En alfa, no empieces con archivos sensibles ni de origen desconocido.
Consejos prácticos
Trabaja siempre sobre copias de tus archivos. No abras con él archivos de origen desconocido mientras el proyecto siga en alfa. Si no usas la automatización (línea de comandos o MCP), no la actives y lee antes los avisos de nuestra guía de automatización. Si quieres probarlo con cautela, una máquina virtual o la versión Flatpak limitan lo que puede tocar. Y descarga siempre la versión fechada, no la última sin más, si necesitas que algo no cambie bajo tus pies.
Lo que no sabemos
No hemos escaneado los instaladores ni probado el programa, ni hemos hecho una auditoría de su código. Este texto resume la documentación del proyecto y una conversación pública a 16 de octubre de 2026, y puede quedarse atrás en cuanto salga otra versión. Nuestra web no es oficial, como explica el aviso legal.
Fuentes
SECURITY.md, resumen de seguridad, proceso de lanzamiento, Releases y hilo de Privacy Guides.