@@ -16,7 +16,8 @@
 - [ ] `bun run typecheck` passes
 - [ ] Regression test added that fails before this change (bug fixes)
 - [ ] `CHANGELOG.md` updated under `## [Unreleased]`
-- [ ] Docs updated in both languages (`README.md`/`docs/*` and `README.es.md`/`docs/es/*`)
+- [ ] Docs updated in both languages: `README.md`/`docs/*` and `README.es.md`/`docs/es/*`
+      (plus `SECURITY`/`CONTRIBUTING`/`CODE_OF_CONDUCT` pairs when they are affected)
 - [ ] No secrets, keys, personal paths or private hosts in code, tests, docs or logs
 
 ## Guarantees affected
 
@@ -29,8 +29,9 @@ structured package with dynamic model discovery.
   `COMMANDCODE_LIVE_TESTS`.
 - Strict typecheck configuration (`allowImportingTsExtensions`, `strict`,
   `noUncheckedIndexedAccess`) with `bun-types`.
-- Documentation: `README.md`, `docs/ARCHITECTURE.md`, `docs/CONFIGURATION.md`,
-  `docs/TROUBLESHOOTING.md`, `LICENSE`.
+- Documentation in English and Spanish: `README.md` / `README.es.md`,
+  `docs/{ARCHITECTURE,CONFIGURATION,TROUBLESHOOTING}.md` / `docs/es/*`,
+  `SECURITY`, `CONTRIBUTING` and `CODE_OF_CONDUCT` pairs, plus `LICENSE`.
 
 ### Changed
 
 
@@ -0,0 +1,122 @@
+# Codigo de Conducta del Contributor Covenant
+
+[English](CODE_OF_CONDUCT.md) | **Espanol**
+
+## Nuestro compromiso
+
+Nosotros, como miembros, contribuyentes y lideres, nos comprometemos a hacer de la
+participacion en nuestra comunidad una experiencia libre de acoso para todos, sin
+importar la edad, el tamano corporal, la discapacidad visible o invisible, la etnia,
+las caracteristicas sexuales, la identidad y expresion de genero, el nivel de
+experiencia, la educacion, el nivel socioeconomico, la nacionalidad, la apariencia
+personal, la raza, la religion o la identidad y orientacion sexual.
+
+Nos comprometemos a actuar e interactuar de maneras que contribuyan a una comunidad
+abierta, acogedora, diversa, inclusiva y saludable.
+
+## Nuestros estandares
+
+Ejemplos de comportamiento que contribuye a un entorno positivo:
+
+- Demostrar empatia y amabilidad hacia otras personas.
+- Respetar las opiniones, puntos de vista y experiencias diferentes.
+- Dar y aceptar con gracia la retroalimentacion constructiva.
+- Asumir la responsabilidad y disculparse ante las personas afectadas por nuestros
+  errores, y aprender de la experiencia.
+- Centrarse en lo que es mejor no solo para nosotros como individuos, sino para la
+  comunidad en general.
+
+Ejemplos de comportamiento inaceptable:
+
+- El uso de lenguaje o imagenes sexualizadas, y la atencion o insinuaciones sexuales de
+  cualquier tipo.
+- Trolleo, comentarios insultantes o despectivos, y ataques personales o politicos.
+- Acoso publico o privado.
+- Publicar informacion privada de otras personas, como una direccion fisica o de correo
+  electronico, sin su permiso explicito.
+- Otra conducta que razonablemente pueda considerarse inapropiada en un entorno
+  profesional.
+
+## Responsabilidades de aplicacion
+
+Los lideres de la comunidad son responsables de aclarar y hacer cumplir nuestros
+estandares de comportamiento aceptable, y tomaran acciones correctivas apropiadas y
+justas en respuesta a cualquier comportamiento que consideren inapropiado, amenazante,
+ofensivo o danino.
+
+Los lideres de la comunidad tienen el derecho y la responsabilidad de eliminar, editar
+o rechazar comentarios, commits, codigo, ediciones de wiki, issues y otras
+contribuciones que no esten alineadas con este Codigo de Conducta, y comunicaran los
+motivos de las decisiones de moderacion cuando corresponda.
+
+## Alcance
+
+Este Codigo de Conducta aplica en todos los espacios de la comunidad, y tambien cuando
+un individuo representa oficialmente a la comunidad en espacios publicos.
+
+## Aplicacion
+
+Los casos de comportamiento abusivo, acosador o inaceptable pueden reportarse a los
+lideres de la comunidad responsables de la aplicacion a traves de GitHub (reporte
+privado o mensaje directo al mantenedor). Todas las quejas seran revisadas e
+investigadas de forma rapida y justa.
+
+Todos los lideres de la comunidad estan obligados a respetar la privacidad y la
+seguridad de quien reporta cualquier incidente.
+
+## Guias de aplicacion
+
+Los lideres de la comunidad seguiran estas Guias de Impacto Comunitario para determinar
+las consecuencias de cualquier accion que consideren una violacion de este Codigo de
+Conducta:
+
+### 1. Correccion
+
+**Impacto comunitario**: uso de lenguaje inapropiado u otro comportamiento considerado
+poco profesional o no bienvenido en la comunidad.
+
+**Consecuencia**: una advertencia privada por escrito de los lideres de la comunidad,
+que aporte claridad sobre la naturaleza de la violacion y una explicacion de por que el
+comportamiento fue inapropiado. Se puede solicitar una disculpa publica.
+
+### 2. Advertencia
+
+**Impacto comunitario**: una violacion a traves de un incidente unico o una serie de
+acciones.
+
+**Consecuencia**: una advertencia con consecuencias por comportamiento continuado. No
+interactuar con las personas involucradas, incluida la interaccion no solicitada con
+quienes aplican el Codigo de Conducta, durante un periodo de tiempo especificado. Esto
+incluye evitar interacciones en espacios de la comunidad y tambien en canales externos
+como redes sociales. Violar estos terminos puede llevar a una expulsion temporal o
+permanente.
+
+### 3. Expulsion temporal
+
+**Impacto comunitario**: una violacion grave de los estandares de la comunidad, incluido
+comportamiento inapropiado sostenido.
+
+**Consecuencia**: una expulsion temporal de cualquier tipo de interaccion o comunicacion
+publica con la comunidad durante un periodo de tiempo especificado. No se permite la
+interaccion publica ni privada con las personas involucradas, incluida la interaccion no
+solicitada con quienes aplican el Codigo de Conducta, durante este periodo. Violar estos
+terminos puede llevar a una expulsion permanente.
+
+### 4. Expulsion permanente
+
+**Impacto comunitario**: demostrar un patron de violacion de los estandares de la
+comunidad, incluido comportamiento inapropiado sostenido, acoso a un individuo, o
+agresion o menosprecio hacia clases de individuos.
+
+**Consecuencia**: una expulsion permanente de cualquier tipo de interaccion publica
+dentro de la comunidad.
+
+## Atribucion
+
+Este Codigo de Conducta esta adaptado del [Contributor Covenant](https://www.contributor-covenant.org),
+version 2.1, disponible en
+https://www.contributor-covenant.org/version/2/1/code_of_conduct.html.
+
+Las traducciones oficiales, incluida la version en espanol, estan disponibles en
+https://www.contributor-covenant.org/translations. La version en ingles es la
+canonica para efectos de aplicacion.
@@ -1,5 +1,7 @@
 # Contributor Covenant Code of Conduct
 
+**English** | [Espanol](CODE_OF_CONDUCT.es.md)
+
 ## Our Pledge
 
 We as members, contributors, and leaders pledge to make participation in our
 
@@ -0,0 +1,101 @@
+# Como contribuir
+
+[English](CONTRIBUTING.md) | **Espanol**
+
+Gracias por tomarte el tiempo de mejorar este plugin. Corre dentro de cada request de
+modelo de una sesion de OpenCode, asi que el estandar para cualquier cambio es:
+predecible, fail-open y testeable sin red.
+
+## Setup
+
+```bash
+git clone git@github.com:JoshRob297/opencode-commandcode.git
+cd opencode-commandcode
+bun install
+bun test          # suite offline, sin red, sin consumir cuota
+bun run typecheck # tsc estricto, sin emit
+```
+
+La suite con red es opt-in y llama a la API real (consume una cantidad insignificante
+de cuota):
+
+```bash
+COMMANDCODE_LIVE_TESTS=1 bun test
+```
+
+## Reglas de base
+
+No son preferencias de estilo: protegen las garantias del plugin. Un cambio que rompa
+alguna vuelve atras.
+
+1. **Fail-open.** Cualquier error del plugin debe dejar el request original intacto.
+   Nunca dejes que un hook lance una excepcion hacia la sesion de OpenCode.
+2. **Credenciales solo tras coincidencia exacta de host.** Nunca introduzcas una
+   verificacion por substring, prefijo o path en la ruta de inyeccion. Los hosts
+   confiables nuevos entran por `COMMANDCODE_ALLOWED_HOSTS`.
+3. **Nunca sobrescribas la cabecera `authorization` de un llamador.**
+4. **Sin secretos en los logs.** El plugin escribe ids de sesion, ids de modelo, codigos
+   de estado y mensajes de error. Nunca cuerpos, cabeceras ni la key.
+5. **Exactitud del catalogo antes que tamano.** No registres modelos que el transporte
+   compatible con OpenAI no puede servir. Un modelo que falla al seleccionarlo es peor
+   que un modelo ausente.
+6. **Sin rutas de usuario hardcodeadas.** Usa `XDG` y `os.homedir()`; los tests deben
+   pasar para cualquier usuario.
+7. **Los helpers puros siguen siendo puros.** `src/hooks/resilience.ts` no tiene acceso
+   a red y solo hace una revision de filesystem (el centinela del kill-switch), para que
+   sus reglas se puedan testear en aislamiento.
+8. **Reconstrui el Request solo cuando el cuerpo haya cambiado realmente.** Devolve
+   `modified: false` para payloads limpios.
+
+## Mensajes de commit
+
+Conventional Commits, imperativo, asunto en minusculas:
+
+```
+<tipo>(<alcance>): <asunto>
+
+<cuerpo: que y por que, con lineas de 72 columnas>
+
+<pie: refs, cambios incompatibles>
+```
+
+Tipos: `feat`, `fix`, `docs`, `test`, `refactor`, `perf`, `chore`, `security`.
+Alcances: `auth`, `catalog`, `sanitizer`, `watchdog`, `quota`, `telemetry`, `docs`.
+
+Ejemplos:
+
+```
+fix(auth): require an exact hostname match before injecting the API key
+feat(catalog): tag free and promo tiers in the model selector
+docs(troubleshooting): document the retired free-tier 403 payload
+```
+
+Mantene los commits atomicos: un cambio logico mas sus tests. Cada commit debe pasar
+`bun test` y `bun run typecheck`.
+
+## Pull requests
+
+- Completa la plantilla de pull request. Indica el modo de fallo que observaste, no solo
+  el cambio que hiciste.
+- Agrega o actualiza tests. Los fixes de bugs necesitan un test de regresion que falle
+  antes del fix.
+- Actualiza `CHANGELOG.md` bajo `## [Unreleased]`.
+- La documentacion vive en dos idiomas: `README.md` + `docs/*.md` (ingles) y
+  `README.es.md` + `docs/es/*.md` (espanol), mas los pares de los archivos de comunidad
+  (`SECURITY`, `CONTRIBUTING`, `CODE_OF_CONDUCT`). Los cambios de comportamiento deben
+  reflejarse en ambos, o decilo explicitamente en el PR para que quede registrado.
+
+## Agregar un hook o una regla nueva
+
+1. Pone la logica pura en `src/hooks/resilience.ts` y exportala.
+2. Testeala en `tests/` (sin red, sin instancia de OpenCode).
+3. Documenta la regla en `docs/ARCHITECTURE.md` (tabla de reglas) y, si es configurable,
+   en `docs/CONFIGURATION.md`.
+4. Cableala en `src/index.ts` detras de una verificacion de capacidad
+   (`typeof ctx.x?.transform === "function"`) y envuelta para que no pueda lanzar.
+
+## Reportar bugs
+
+Abre un issue con la plantilla de bug report. Incluye la version de OpenCode, el commit
+del plugin, el id del modelo, y las lineas relevantes de
+`<state>/commandcode-*.log`. Nunca pegues una API key en un issue.
@@ -1,5 +1,7 @@
 # Contributing
 
+**English** | [Espanol](CONTRIBUTING.es.md)
+
 Thanks for taking the time to improve this plugin. It runs inside every model
 request of an OpenCode session, so the bar for changes is: predictable, fail-open,
 and testable without a network.
@@ -78,8 +80,9 @@ Keep commits atomic: one logical change plus its tests. Every commit must pass
 - Add or update tests. Bug fixes need a regression test that fails before the fix.
 - Update `CHANGELOG.md` under `## [Unreleased]`.
 - Docs live in two languages: `README.md` + `docs/*.md` (English) and
-  `README.es.md` + `docs/es/*.md` (Spanish). Behaviour changes must be reflected in
-  both, or say so explicitly in the PR so it can be tracked.
+  `README.es.md` + `docs/es/*.md` (Spanish), plus the community file pairs
+  (`SECURITY`, `CONTRIBUTING`, `CODE_OF_CONDUCT`). Behaviour changes must be reflected
+  in both, or say so explicitly in the PR so it can be tracked.
 
 ## Adding a new hook or rule
 
 
@@ -0,0 +1,73 @@
+# Politica de Seguridad
+
+[English](SECURITY.md) | **Espanol**
+
+## Alcance
+
+Este plugin es una integracion del lado del cliente para el proveedor Command Code.
+La propiedad mas sensible al seguridad del codigo es que **maneja una API key**, por
+lo que los defectos en el manejo de credenciales se tratan como vulnerabilidades,
+no como bugs.
+
+Dentro de alcance:
+
+- Fuga de credenciales o inyeccion de credenciales dirigida al host equivocado.
+- Manipulacion de requests que altere un payload mas alla de las reparaciones
+  documentadas.
+- Cualquier ruta que permita a un tercero influir en que host recibe la API key.
+- Telemetria que escriba secretos en disco o dentro de un archivo de log.
+
+Fuera de alcance:
+
+- Vulnerabilidades en OpenCode mismo (reportalas aguas arriba).
+- Vulnerabilidades en la API o el servicio de Command Code (reportalas a Command Code).
+- Calidad de la salida de los modelos, precios, politica de cuota o cambios de catalogo.
+- Todo lo que requiera un host ya comprometido, acceso de shell como el usuario, o la
+  capacidad de editar los propios archivos del plugin.
+
+## Como reportar una vulnerabilidad
+
+Usa el reporte privado de vulnerabilidades de GitHub en este repositorio
+(pestana `Security` -> `Report a vulnerability`). No abras un issue publico.
+
+Incluye, cuando sea posible:
+
+- Version afectada o sha del commit.
+- Una reproduccion minima: la URL del Request, la forma del payload, y que hizo el
+  plugin frente a que deberia haber hecho.
+- Si esta afectada una credencial, un payload o un stream.
+
+Acuse de recibo en 72 horas, y un fix o un plan de mitigacion dentro de 14 dias para
+los problemas confirmados. Credito en el changelog si lo pedis.
+
+## Notas del modelo de amenazas
+
+El plugin asume:
+
+- El host y la cuenta de usuario son confiables. Quien pueda leer la API key en disco
+  ya la tiene; el plugin no intenta proteger contra eso.
+- `opencode.json` y la ruta del plugin son configuracion confiable.
+- La API key es una credencial bearer con todos los privilegios de la cuenta. Acotala
+  o rotala si sospechas que se expuso.
+
+Reglas de diseno que existen por este modelo de amenazas:
+
+| Regla | Motivo |
+| --- | --- |
+| Las credenciales se adjuntan solo tras una coincidencia exacta de hostname | la coincidencia por substring es trivialmente explotable (`api.commandcode.ai.evil.com`, coincidencias por path, query strings) |
+| `COMMANDCODE_ALLOWED_HOSTS` es la unica allow-list | un opt-in explicito y auditable en lugar de una coincidencia difusa |
+| Una cabecera `authorization` existente nunca se sobrescribe | una credencial provista por el llamador no debe reemplazarse en silencio |
+| Los logs nunca registran la key, la cabecera `authorization` ni los cuerpos de request | los archivos `commandcode-*.log` son texto plano en disco |
+| El sanitizador nunca reescribe campos distintos de `messages` | limita el radio de impacto de una modificacion de payload en vuelo |
+| Todos los hooks son fail-open | un atacante no debe poder desactivar los requests de modelo induciendo un error del plugin |
+
+## Checklist de endurecimiento para despliegues
+
+- Mantene el archivo de la key en modo `600` y fuera de cualquier directorio
+  sincronizado o respaldado.
+- No habilites `COMMANDCODE_ALLOWED_HOSTS` salvo que un gateway propio realmente
+  termine tu trafico hacia Command Code.
+- Trata el directorio de estado como sensible: contiene metadatos de requests (ids de
+  sesion, ids de modelo, mensajes de error) aunque nunca contiene la key.
+- Revisa el diff antes de actualizar el plugin: corre con acceso completo a cada request
+  de modelo de la sesion de OpenCode.
@@ -1,5 +1,7 @@
 # Security Policy
 
+**English** | [Espanol](SECURITY.es.md)
+
 ## Scope
 
 This plugin is a client-side integration for the Command Code provider. The most