Безопасность

Сообщить об уязвимости

Используйте приватную форму сообщения об уязвимости на GitHub. Прочитать её могут только сопровождающие проекта. Укажите, что вы обнаружили, как это воспроизвести и какую версию использовали (её можно посмотреть в разделе Справка → О программе). Пожалуйста, не создавайте публичную заявку о проблеме безопасности.

Вы получите ответ как можно скорее. Исправление выйдет до публикации подробностей. Ваше имя укажут в уведомлении об уязвимости и примечаниях к выпуску, если вы не попросите об анонимности. В ветке версий 0.x исправления безопасности получают только последние версии.

Как выпускаются новые версии

• Каждая версия собирается из общедоступного исходного кода с помощью GitHub Actions на серверах GitHub. Журналы сборки доступны всем.
• Для каждого файла в SHA256SUMS.txt в описании выпуска указана контрольная сумма SHA-256. Сверьте с ней скачанный файл: см. раздел Загрузить.
• Get GDM only from this site or the project's GitHub releases. Copies elsewhere may be altered.
• Установщик для Windows пока не подписан цифровой подписью, поэтому перед первым запуском Windows SmartScreen может показать предупреждение. Подписание кода будет добавлено.

Что вас защищает

• Вспомогательные программы проверяются перед запуском. yt-dlp проверяется по ключу подписи разработчиков, а ffmpeg — по опубликованным контрольным суммам.
• Nothing listens on the network. The automation API is off by default and, when on, answers only on 127.0.0.1 with a secret token. The browser helper answers only GDM's own extension.
• Имена скачанных файлов очищаются перед преобразованием в пути, поэтому сервер не сможет записать файлы за пределами выбранной папки.
• Учётные данные остаются на своём сайте. Логины и файлы cookie отправляются только на тот хост, которому они принадлежат, даже при перенаправлениях.
• Нет телеметрии: см. политику конфиденциальности.

Техническая политика и код, к которому относится каждый её пункт, приведены в файле SECURITY.md.