Bảo mật

Báo cáo lỗ hổng bảo mật

Dùng biểu mẫu Báo cáo lỗ hổng bảo mật riêng tư của GitHub. Chỉ những người bảo trì mới đọc được biểu mẫu này. Hãy cho biết bạn phát hiện vấn đề gì, cách tái hiện vấn đề và phiên bản bạn đã dùng (Trợ giúp → Giới thiệu sẽ hiển thị phiên bản). Vui lòng không tạo vấn đề công khai về các vấn đề bảo mật.

Bạn sẽ nhận được phản hồi sớm nhất có thể. Bản sửa lỗi sẽ được phát hành trước khi thông tin chi tiết được công khai. Bạn sẽ được ghi nhận trong thông báo và ghi chú phát hành, trừ khi bạn không muốn. Trong các phiên bản 0.x, chỉ bản phát hành mới nhất mới nhận được bản sửa lỗi bảo mật.

Quy trình phát hành

• Mỗi bản phát hành đều được GitHub Actions xây dựng từ mã nguồn công khai trên máy chủ của GitHub; nhật ký bản dựng được công khai.
• Mỗi bản phát hành liệt kê mã băm SHA-256 của từng tệp trong SHA256SUMS.txt. Hãy đối chiếu mã băm này với bản tải xuống của bạn: xem Tải xuống.
• Get GDM only from this site or the project's GitHub releases. Copies elsewhere may be altered.
• Trình cài đặt Windows chưa được ký mã, vì vậy Windows SmartScreen có thể cảnh báo trước lần khởi động đầu tiên. Việc ký mã sẽ được bổ sung.

Cách bảo vệ bạn

• Các công cụ hỗ trợ được xác minh trước khi chạy. yt-dlp được kiểm tra bằng khóa ký của nhà phát triển, còn ffmpeg được kiểm tra bằng mã băm đã công bố.
• Nothing listens on the network. The automation API is off by default and, when on, answers only on 127.0.0.1 with a secret token. The browser helper answers only GDM's own extension.
• Tên tệp tải xuống được làm sạch trước khi dùng làm đường dẫn, để máy chủ không thể ghi tệp ra ngoài thư mục bạn đã chọn.
• Thông tin xác thực chỉ được gửi đến trang web tương ứng. Thông tin đăng nhập và cookie chỉ được gửi đến máy chủ tương ứng, kể cả khi có chuyển hướng.
• Không có dữ liệu đo từ xa: xem chính sách quyền riêng tư.

Chính sách kỹ thuật cùng mã nguồn tương ứng với từng điểm được nêu trong SECURITY.md.