Безопасность

Сообщить об уязвимости

Используйте приватную форму сообщения об уязвимости на GitHub. Её могут прочитать только сопровождающие проекта. Укажите, что вы нашли, как это воспроизвести и какую версию использовали (она показана в Справка → О программе). Пожалуйста, не открывайте публичную заявку по вопросам безопасности.

Вы получите ответ как можно скорее. Исправление выпускается до того, как детали становятся общедоступными, и вы будете указаны в уведомлении и примечаниях к выпуску, если не пожелаете остаться анонимным. В версиях 0.x исправления безопасности получают только последние выпуски.

Как создаются выпуски

• Каждый выпуск собирается из открытого исходного кода с помощью GitHub Actions на серверах GitHub; журналы сборки являются общедоступными.
• В каждом выпуске указана контрольная сумма SHA-256 для каждого файла в SHA256SUMS.txt. Проверяйте загруженный файл по ней: см. Загрузить.
• Получайте MDM только с этого сайта или из релизов проекта на GitHub. Копии, размещённые в других местах, могут быть изменены.
• Установщик для Windows пока не подписан кодом, поэтому Windows SmartScreen может выдать предупреждение перед первым запуском. Подписание кода будет добавлено.

Что вас защищает

• Вспомогательные программы проверяются перед запуском. yt-dlp проверяется по ключу подписи разработчиков, а ffmpeg — по опубликованным контрольным суммам.
• Ничто не прослушивает сеть. API автоматизации по умолчанию отключён и, если включён, отвечает только на 127.0.0.1 с секретным токеном. Помощник браузера отвечает только собственному расширению MDM.
• Имена загружаемых файлов очищаются перед тем, как стать путями, поэтому сервер не может записывать данные за пределами выбранной вами папки.
• Учётные данные остаются на своём сайте. Логины и файлы cookie отправляются только на тот хост, которому они принадлежат, даже при перенаправлениях.
• Нет телеметрии: см. политику конфиденциальности.

Техническая политика с указанием кода, на который ссылается каждый пункт, находится в SECURITY.md.