Seguridad

Informar de una vulnerabilidad

Usa el formulario privado de GitHub para informar de una vulnerabilidad. Solo pueden leerlo las personas responsables del proyecto. Explica qué has encontrado, cómo reproducirlo y qué versión has usado (Ayuda → Acerca de muestra el número). No abras un problema público sobre cuestiones de seguridad.

Recibirás una respuesta lo antes posible. Publicaremos una solución antes de hacer públicos los detalles y te mencionaremos en el aviso y en las notas de la versión, salvo que prefieras que no lo hagamos. Durante las versiones 0.x, solo la última versión recibe correcciones de seguridad.

Cómo se publican las versiones

• Cada versión se construye a partir del código fuente público mediante GitHub Actions, en los servidores de GitHub; los registros de construcción son públicos.
• Cada versión incluye la suma de comprobación SHA-256 de cada archivo en SHA256SUMS.txt. Comprueba que la descarga coincida con ella: consulta Descargar.
• Get GDM only from this site or the project's GitHub releases. Copies elsewhere may be altered.
• El instalador de Windows aún no está firmado digitalmente, por lo que Windows SmartScreen puede mostrar una advertencia antes de iniciarlo por primera vez. La firma digital se añadirá más adelante.

Qué te protege

• Los ayudantes se verifican antes de ejecutarse. yt-dlp se comprueba con la clave de firma de sus desarrolladores, y ffmpeg con sus sumas de comprobación publicadas.
• Nothing listens on the network. The automation API is off by default and, when on, answers only on 127.0.0.1 with a secret token. The browser helper answers only GDM's own extension.
• Se limpian los nombres de los archivos descargados antes de convertirlos en rutas, para impedir que un servidor escriba fuera de la carpeta que has elegido.
• Las credenciales solo se usan en el sitio al que pertenecen. Los datos de inicio de sesión y las cookies solo se envían al servidor al que pertenecen, incluso al seguir redirecciones.
• Sin telemetría: consulta la política de privacidad.

La política técnica y el código al que se refiere cada punto están en SECURITY.md.