脆弱性の報告
GitHubのプライベートな脆弱性の報告フォームをご利用ください。このフォームはメンテナーのみが閲覧できます。発見した内容、再現方法、使用したバージョン（ヘルプ → バージョン情報で確認できます）を記載してください。セキュリティ問題については、公開のIssueを作成しないでください。
できるだけ早く返信いたします。詳細は公開される前に修正版がリリースされ、ご希望でない限り、アドバイザリとリリースノートに貢献者として記載されます。0.xバージョンでは、最新リリースのみがセキュリティ修正を受けます。
リリースの作成方法
- すべてのリリースは、GitHubのサーバー上でGitHub Actionsによって公開ソースコードからビルドされます。ビルドログは公開されています。
- 各リリースには、
SHA256SUMS.txt内のすべてのファイルのSHA-256チェックサムが記載されています。ダウンロードしたファイルと照合してください。ダウンロードを参照してください。 - Get GDM only from this site or the project's GitHub releases. Copies elsewhere may be altered.
- Windowsインストーラーはまだコード署名されていないため、初回起動時にWindows SmartScreenが警告する場合があります。コード署名は今後追加されます。
あなたを保護するもの
- ヘルパーは実行前に検証されます。 yt-dlpはその開発者の署名キーに対して、ffmpegはその公開されたチェックサムに対してチェックされます。
- Nothing listens on the network. The automation API is off by default and, when on, answers only on
127.0.0.1with a secret token. The browser helper answers only GDM's own extension. - ダウンロードしたファイル名は、パスとして使用する前に無害化されます。そのため、サーバーが指定したフォルダーの外にファイルを書き込むことはできません。
- 認証情報はサイトに留まります。 ログイン情報とCookieは、リダイレクトをまたいでも、それらが属するホストにのみ送信されます。
- テレメトリーなし：プライバシーポリシーを参照してください。
各ポイントが参照するコードを含む技術ポリシーは、SECURITY.mdに記載されています。