- Home
- Sicurezza
Sicurezza
Hai trovato un problema di sicurezza? Per favore, comunicacelo prima in privato, così potremo risolverlo prima che diventi di dominio pubblico.
Segnala una vulnerabilità
Usa il modulo privato di GitHub Segnala una vulnerabilità. Solo i maintainer possono leggerlo. Descrivi cosa hai trovato, come riprodurlo e quale versione hai usato (la trovi in Guida → Informazioni). Per favore, non aprire una issue pubblica per problemi di sicurezza.
Riceverai una risposta il prima possibile. Una correzione viene rilasciata prima che i dettagli siano resi pubblici, e sarai menzionato nell'avviso e nelle note di rilascio, a meno che tu non preferisca il contrario. Durante le versioni 0.x, solo l'ultima release riceve correzioni di sicurezza.
Come vengono preparate le release
- Ogni release viene compilata dal codice sorgente pubblico tramite GitHub Actions, sui server di GitHub; i log di compilazione sono pubblici.
- Ogni release elenca il checksum SHA-256 di ogni file in
SHA256SUMS.txt. Controlla il tuo download confrontandolo: vedi Scarica. - Get GDM only from this site or the project's GitHub releases. Copies elsewhere may be altered.
- Il programma di installazione per Windows non è ancora firmato digitalmente, quindi Windows SmartScreen potrebbe avvisare prima del primo avvio. La firma del codice verrà aggiunta.
Cosa ti protegge
- I programmi di supporto vengono verificati prima di essere eseguiti. yt-dlp è controllato rispetto alla chiave di firma dei suoi sviluppatori, e ffmpeg rispetto ai suoi checksum pubblicati.
- Nothing listens on the network. The automation API is off by default and, when on, answers only on
127.0.0.1with a secret token. The browser helper answers only GDM's own extension. - I nomi dei file scaricati vengono puliti prima di diventare percorsi, in modo che un server non possa scrivere al di fuori della cartella scelta.
- Le credenziali rimangono associate al loro sito. Credenziali di accesso e cookie vengono inviati solo all'host a cui appartengono, anche in caso di reindirizzamenti.
- Nessuna telemetria: vedi l'informativa sulla privacy.
La politica tecnica, con il codice a cui ogni punto si riferisce, si trova in SECURITY.md.