Segurança

Reportar uma vulnerabilidade

Use o formulário privado do GitHub Reportar uma vulnerabilidade. Apenas os mantenedores podem lê-lo. Diga o que você encontrou, como reproduzir e qual versão você usou (Ajuda → Sobre mostra isso). Por favor, não abra um problema público para questões de segurança.

Você receberá uma resposta o mais rápido possível. Uma correção é lançada antes que os detalhes sejam tornados públicos, e você é creditado no aviso e nas notas de lançamento, a menos que prefira não ser. Durante as versões 0.x, apenas o lançamento mais recente recebe correções de segurança.

Como os lançamentos são feitos

• Cada lançamento é construído a partir do código-fonte público por GitHub Actions, nos servidores do GitHub; os logs de construção são públicos.
• Cada lançamento lista o checksum SHA-256 de cada arquivo em SHA256SUMS.txt. Verifique seu download em relação a ele: veja Baixar.
• Obtenha o MDM apenas deste site ou dos lançamentos do projeto no GitHub. Cópias em outros lugares podem ser alteradas.
• O instalador do Windows ainda não tem assinatura de código, então o Windows SmartScreen pode avisar antes do primeiro início. A assinatura de código será adicionada.

O que te protege

• Os auxiliares são verificados antes de serem executados. O yt-dlp é verificado em relação à chave de assinatura de seus desenvolvedores, e o ffmpeg em relação aos seus checksums publicados.
• Nada escuta na rede. A API de automação está desativada por padrão e, quando ativada, responde apenas em 127.0.0.1 com um token secreto. O auxiliar do navegador responde apenas à própria extensão do MDM.
• Os nomes dos arquivos baixados são limpos antes de se tornarem caminhos, para que um servidor não possa gravar fora da pasta que você escolheu.
• As credenciais permanecem com seu site. Logins e cookies são enviados apenas para o host ao qual pertencem, mesmo em redirecionamentos.
• Sem telemetria: veja a política de privacidade.

A política técnica, com o código a que cada ponto se refere, está em SECURITY.md.