Nunca mezclar repos de terceros directamente. No se agregan kali.list ni packages.parrotsec.org a sources.list. Todo pasa por nuestro propio gestor y repo APT firmado.

No reinventar el ecosistema base. Kernel, systemd, apt, drivers y firmware vienen de Debian estable — sin kernel propio, salvo necesidad puntual (parches Wi-Fi para modo monitor/inyección).

Aislar en vez de resolver conflictos a mano. Cuando dos herramientas piden versiones incompatibles, la respuesta es aislamiento (venv/pipx/contenedor), no forzar una versión global.

Todo lo instalable tiene manifiesto. Nada se instala "a mano" en el catálogo oficial — si no tiene manifiesto, el Tool Manager no lo puede versionar, actualizar ni auditar.

Curado antes que volumen. Un set de herramientas realmente probadas y mantenidas por perfil, en vez de miles sin garantía de que funcionen.

Legal por defecto. El sistema asume uso autorizado (pentesting con permiso, CTF, laboratorios propios). Herramientas con licencias no redistribuibles se referencian, no se empaquetan piratas.