Segurança

Comunicar uma vulnerabilidade

Use o formulário privado do GitHub Comunicar uma vulnerabilidade. Só os responsáveis pela manutenção podem lê-lo. Indique o que encontrou, como reproduzir o problema e que versão usou (Ajuda → Sobre mostra a versão). Não abra uma ocorrência pública para problemas de segurança.

Receberá uma resposta assim que possível. A correção é lançada antes de os detalhes serem tornados públicos, e o seu nome é mencionado no aviso e nas notas de lançamento, a menos que prefira não ser. Durante as versões 0.x, só a versão mais recente recebe correções de segurança.

Como são feitas as versões

• Cada versão é compilada a partir do código-fonte público pelo GitHub Actions, nos servidores do GitHub; os registos da compilação são públicos.
• Cada versão inclui o checksum SHA-256 de cada ficheiro em SHA256SUMS.txt. Compare-o com o da transferência: consulte Transferir.
• Get GDM only from this site or the project's GitHub releases. Copies elsewhere may be altered.
• O instalador do Windows ainda não tem assinatura digital, por isso o Windows SmartScreen pode apresentar um aviso antes da primeira execução. A assinatura digital será adicionada.

O que o protege

• Os auxiliares são verificados antes de serem executados. O yt-dlp é verificado com a chave de assinatura dos respetivos programadores, e o ffmpeg com os checksums publicados.
• Nothing listens on the network. The automation API is off by default and, when on, answers only on 127.0.0.1 with a secret token. The browser helper answers only GDM's own extension.
• Os nomes dos ficheiros transferidos são limpos antes de serem convertidos em caminhos, para que um servidor não possa escrever fora da pasta escolhida.
• As credenciais ficam associadas ao respetivo site. Os dados de início de sessão e os cookies só são enviados para o anfitrião a que pertencem, mesmo quando há redirecionamentos.
• Sem telemetria: veja a política de privacidade.

A política técnica, que identifica o código a que cada ponto se refere, está em SECURITY.md.