Безпека

Повідомити про вразливість

Використовуйте приватну форму Повідомити про вразливість на GitHub. Її можуть прочитати лише розробники. Опишіть, що ви знайшли, як це відтворити та яку версію ви використовували (її можна побачити в Довідка → Про програму). Будь ласка, не створюйте публічне звернення щодо проблем безпеки.

Ви отримаєте відповідь якомога швидше. Виправлення випускається до того, як деталі стануть публічними, і ви будете вказані в повідомленні та примітках до випуску, якщо ви не заперечуєте. У версіях 0.x виправлення безпеки отримує лише останній випуск.

Як створюються випуски

• Кожен випуск створюється з відкритого вихідного коду за допомогою GitHub Actions на серверах GitHub; журнали збірки є публічними.
• Кожен випуск містить контрольну суму SHA-256 для кожного файлу в SHA256SUMS.txt. Перевірте своє завантаження за нею: дивіться Завантажити.
• Get GDM only from this site or the project's GitHub releases. Copies elsewhere may be altered.
• Інсталятор для Windows ще не підписаний кодом, тому Windows SmartScreen може попереджати перед першим запуском. Підпис коду буде додано.

Що вас захищає

• Допоміжні програми перевіряються перед запуском. yt-dlp перевіряється за ключем підпису його розробників, а ffmpeg — за опублікованими контрольними сумами.
• Nothing listens on the network. The automation API is off by default and, when on, answers only on 127.0.0.1 with a secret token. The browser helper answers only GDM's own extension.
• Імена завантажених файлів очищаються перед тим, як стати шляхами, тому сервер не може записувати за межами вибраної вами папки.
• Облікові дані залишаються на своєму сайті. Логіни та файли cookie надсилаються лише до хоста, якому вони належать, навіть при перенаправленнях.
• Без телеметрії: дивіться політику конфіденційності.

Технічна політика, з кодом, на який посилається кожен пункт, знаходиться в SECURITY.md.