Fase 5 — Firma, notarización y distribución (BLOQUEANTE para distribuir)

[jnavarroc]

Que la app pase Gatekeeper en máquinas de usuarios.

• Firmar la app y el binario wget empaquetado con Developer ID Application (firma anidada del helper).
• Activar Hardened Runtime.
• Notarizar con notarytool y grapar el ticket (stapler staple).
• Empaquetar en .dmg o .pkg firmado.
• Verificar en máquina limpia: spctl -a -vv y codesign --verify --deep --strict.
• Actualizar metadatos: CFBundleVersion, CFBundleShortVersionString, CFBundleIdentifier real, LSMinimumSystemVersion.

Criterio de salida: la app instalada desde el .dmg arranca sin advertencias de Gatekeeper en Tahoe.

Ref: ROADMAP.md → Fase 5.

[jnavarroc]

En PR #11 se añadió CFBundleShortVersionString al Info.plist. Pendiente: CFBundleIdentifier real (decidir reverse-DNS, p. ej. io.github.jnavarroc.cocoawget) y el resto de la firma/notarización.