- Início
- Segurança
Segurança
Encontrou um problema de segurança? Por favor, diga-nos primeiro em privado, para que possa ser corrigido antes de se tornar público.
Comunicar uma vulnerabilidade
Use o formulário privado do GitHub Comunicar uma vulnerabilidade. Apenas os mantenedores podem lê-lo. Diga o que encontrou, como reproduzi-lo e qual a versão que usou (Ajuda → Sobre mostra-a). Por favor, não abra um problema público para questões de segurança.
Receberá uma resposta o mais rapidamente possível. Uma correção é lançada antes de os detalhes serem tornados públicos, e será creditado no aviso e nas notas de lançamento, a menos que prefira não o ser. Durante as versões 0.x, apenas a versão mais recente recebe correções de segurança.
Como são feitos os lançamentos
- Cada lançamento é construído a partir do código-fonte público por GitHub Actions, nos servidores do GitHub; os registos de construção são públicos.
- Cada lançamento lista o checksum SHA-256 de cada ficheiro em
SHA256SUMS.txt. Verifique a sua transferência em relação a ele: veja Transferir. - Obtenha o MDM apenas deste site ou dos lançamentos do projeto no GitHub. Cópias noutros locais podem ser alteradas.
- O instalador do Windows ainda não tem assinatura de código, por isso o Windows SmartScreen pode avisar antes do primeiro arranque. A assinatura de código será adicionada.
O que o protege
- Os auxiliares são verificados antes de serem executados. O yt-dlp é verificado em relação à chave de assinatura dos seus programadores, e o ffmpeg em relação aos seus checksums publicados.
- Nada escuta na rede. A API de automação está desativada por predefinição e, quando ativada, responde apenas em
127.0.0.1com um token secreto. O auxiliar do navegador responde apenas à extensão do próprio MDM. - Os nomes dos ficheiros transferidos são limpos antes de se tornarem caminhos, para que um servidor não possa escrever fora da pasta que escolheu.
- As credenciais permanecem com o seu site. Os inícios de sessão e os cookies são enviados apenas para o anfitrião a que pertencem, mesmo através de redirecionamentos.
- Sem telemetria: veja a política de privacidade.
A política técnica, com o código a que cada ponto se refere, está em SECURITY.md.