- Inicio
- Seguridad
Seguridad
¿Ha encontrado un problema de seguridad? Por favor, infórmenos primero en privado, para que pueda solucionarse antes de que sea público.
Informar de una vulnerabilidad
Utilice el formulario privado de GitHub Reportar una vulnerabilidad. Solo los mantenedores pueden leerlo. Diga lo que encontró, cómo reproducirlo y qué versión utilizó (la muestra Ayuda → Acerca de). Por favor, no abra un problema público para asuntos de seguridad.
Recibirá una respuesta lo antes posible. Se publicará una solución antes de que los detalles se hagan públicos, y se le dará crédito en el aviso y en las notas de la versión, a menos que prefiera no hacerlo. Durante las versiones 0.x, solo la última versión recibe correcciones de seguridad.
Cómo se hacen las versiones
- Cada versión se construye a partir del código fuente público mediante GitHub Actions, en los servidores de GitHub; los registros de construcción son públicos.
- Cada versión lista la suma de comprobación SHA-256 de cada archivo en
SHA256SUMS.txt. Compruebe su descarga con ella: vea Descargar. - Obtenga MDM solo de este sitio o de las versiones de GitHub del proyecto. Las copias de otros lugares pueden haber sido alteradas.
- El instalador de Windows aún no está firmado con código, por lo que Windows SmartScreen puede advertir antes del primer inicio. Se añadirá la firma de código.
Qué le protege
- Los ayudantes se verifican antes de ejecutarse. yt-dlp se comprueba con la clave de firma de sus desarrolladores, y ffmpeg con sus sumas de comprobación publicadas.
- Nada escucha en la red. La API de automatización está desactivada por defecto y, cuando está activada, solo responde en
127.0.0.1con un token secreto. El ayudante del navegador solo responde a la propia extensión de MDM. - Los nombres de los archivos descargados se limpian antes de convertirse en rutas, para que un servidor no pueda escribir fuera de la carpeta que usted eligió.
- Las credenciales permanecen con su sitio. Los inicios de sesión y las cookies se envían solo al host al que pertenecen, incluso a través de redirecciones.
- Sin telemetría: consulte la política de privacidad.
La política técnica, con el código al que se refiere cada punto, se encuentra en SECURITY.md.