Keamanan

Laporkan kerentanan

Gunakan formulir pribadi Laporkan kerentanan GitHub. Hanya pengelola yang dapat membacanya. Sebutkan apa yang Anda temukan, cara mereproduksinya, dan versi yang Anda gunakan (Bantuan → Tentang menunjukkannya). Harap jangan membuka isu publik untuk masalah keamanan.

Anda akan mendapatkan jawaban sesegera mungkin. Perbaikan akan dirilis sebelum detailnya dipublikasikan, dan Anda akan disebutkan dalam pemberitahuan serta catatan rilis kecuali Anda tidak menginginkannya. Selama versi 0.x, hanya rilis terbaru yang mendapatkan perbaikan keamanan.

Cara rilis dibuat

• Setiap rilis dibangun dari kode sumber publik oleh GitHub Actions, di server GitHub; log pembangunan bersifat publik.
• Setiap rilis mencantumkan checksum SHA-256 dari setiap file di SHA256SUMS.txt. Periksa unduhan Anda terhadapnya: lihat Unduh.
• Dapatkan MDM hanya dari situs ini atau rilis GitHub proyek. Salinan di tempat lain mungkin telah diubah.
• Pemasang Windows belum ditandatangani kode, jadi Windows SmartScreen mungkin akan memperingatkan sebelum dimulai pertama kali. Penandatanganan kode akan ditambahkan.

Apa yang melindungi Anda

• Pembantu diverifikasi sebelum dijalankan. yt-dlp diperiksa terhadap kunci penandatanganan pengembangnya, dan ffmpeg terhadap checksum yang dipublikasikan.
• Tidak ada yang mendengarkan di jaringan. API otomatisasi mati secara default dan, jika aktif, hanya menjawab di 127.0.0.1 dengan token rahasia. Pembantu peramban hanya menjawab ekstensi MDM sendiri.
• Nama file yang diunduh dibersihkan sebelum menjadi jalur, sehingga server tidak dapat menulis di luar folder yang Anda pilih.
• Kredensial tetap di situsnya. Login dan cookie hanya dikirim ke host tempat mereka berada, bahkan saat pengalihan.
• Tidak ada telemetri: lihat kebijakan privasi.

Kebijakan teknis, dengan kode yang dirujuk setiap poin, ada di SECURITY.md.