- Accueil
- Sécurité
Sécurité
Vous avez trouvé un problème de sécurité ? Merci de nous le signaler d'abord en privé, afin qu'il puisse être corrigé avant d'être rendu public.
Signaler une vulnérabilité
Utilisez le formulaire privé de GitHub Signaler une vulnérabilité. Seuls les mainteneurs peuvent le lire. Indiquez ce que vous avez trouvé, comment le reproduire et la version que vous avez utilisée (elle s'affiche dans Aide → À propos). Merci de ne pas ouvrir de ticket public pour les problèmes de sécurité.
Vous recevrez une réponse dès que possible. Un correctif est publié avant que les détails ne soient rendus publics, et vous êtes crédité dans l'avis et les notes de version, sauf si vous préférez ne pas l'être. Pendant les versions 0.x, seule la dernière version reçoit les correctifs de sécurité.
Comment les versions sont faites
- Chaque version est construite à partir du code source public par GitHub Actions, sur les serveurs de GitHub ; les journaux de construction sont publics.
- Chaque version liste la somme de contrôle SHA-256 de chaque fichier dans
SHA256SUMS.txt. Vérifiez votre téléchargement par rapport à celle-ci : voir Télécharger. - Obtenez MDM uniquement depuis ce site ou les versions GitHub du projet. Les copies ailleurs peuvent être altérées.
- L'installateur Windows n'est pas encore signé numériquement, donc Windows SmartScreen peut afficher un avertissement avant le premier démarrage. La signature du code sera ajoutée.
Ce qui vous protège
- Les assistants sont vérifiés avant de s'exécuter. yt-dlp est vérifié par rapport à la clé de signature de ses développeurs, et ffmpeg par rapport à ses sommes de contrôle publiées.
- Rien n'écoute sur le réseau. L'API d'automatisation est désactivée par défaut et, lorsqu'elle est activée, ne répond que sur
127.0.0.1avec un jeton secret. L'assistant de navigateur ne répond qu'à l'extension propre à MDM. - Les noms de fichiers téléchargés sont nettoyés avant de devenir des chemins, de sorte qu'un serveur ne peut pas écrire en dehors du dossier que vous avez choisi.
- Les identifiants restent avec leur site. Les identifiants de connexion et les cookies ne sont envoyés qu'à l'hôte auquel ils appartiennent, même en cas de redirections.
- Pas de télémétrie : voir la politique de confidentialité.
La politique technique, avec le code auquel chaque point fait référence, se trouve dans SECURITY.md.