Безпека

Повідомити про вразливість

Використовуйте приватну форму Повідомити про вразливість на GitHub. Її можуть прочитати лише розробники. Опишіть, що ви знайшли, як це відтворити та яку версію ви використовували (її можна побачити в Довідка → Про програму). Будь ласка, не створюйте публічне звернення щодо проблем безпеки.

Ви отримаєте відповідь якомога швидше. Виправлення випускається до того, як деталі стануть публічними, і ви будете вказані в повідомленні та примітках до випуску, якщо ви не заперечуєте. У версіях 0.x виправлення безпеки отримує лише останній випуск.

Як створюються випуски

• Кожен випуск створюється з відкритого вихідного коду за допомогою GitHub Actions на серверах GitHub; журнали збірки є публічними.
• Кожен випуск містить контрольну суму SHA-256 для кожного файлу в SHA256SUMS.txt. Перевірте своє завантаження за нею: дивіться Завантажити.
• Отримуйте MDM лише з цього сайту або з релізів проєкту на GitHub. Копії з інших джерел можуть бути змінені.
• Інсталятор для Windows ще не підписаний кодом, тому Windows SmartScreen може попереджати перед першим запуском. Підпис коду буде додано.

Що вас захищає

• Допоміжні програми перевіряються перед запуском. yt-dlp перевіряється за ключем підпису його розробників, а ffmpeg — за опублікованими контрольними сумами.
• Ніщо не прослуховує мережу. API автоматизації за замовчуванням вимкнено, а коли ввімкнено, відповідає лише на 127.0.0.1 із секретним токеном. Допоміжна програма браузера відповідає лише власному розширенню MDM.
• Імена завантажених файлів очищаються перед тим, як стати шляхами, тому сервер не може записувати за межами вибраної вами папки.
• Облікові дані залишаються на своєму сайті. Логіни та файли cookie надсилаються лише до хоста, якому вони належать, навіть при перенаправленнях.
• Без телеметрії: дивіться політику конфіденційності.

Технічна політика, з кодом, на який посилається кожен пункт, знаходиться в SECURITY.md.