- Accueil
- Sécurité
Sécurité
Vous avez trouvé un problème de sécurité ? Merci de nous le signaler d’abord en privé, afin qu’il puisse être corrigé avant sa divulgation.
Signaler une vulnérabilité
Utilisez le formulaire privé de GitHub Signaler une vulnérabilité. Seuls les mainteneurs peuvent le lire. Indiquez ce que vous avez trouvé, comment le reproduire et la version que vous avez utilisée (elle s'affiche dans Aide → À propos). Merci de ne pas ouvrir de ticket public pour les problèmes de sécurité.
Vous recevrez une réponse dès que possible. Un correctif est publié avant que les détails ne soient rendus publics, et vous êtes crédité dans l'avis et les notes de version, sauf si vous préférez ne pas l'être. Pendant les versions 0.x, seule la dernière version reçoit les correctifs de sécurité.
Comment les versions sont faites
- Chaque version est construite à partir du code source public par GitHub Actions, sur les serveurs de GitHub ; les journaux de construction sont publics.
- Chaque version liste la somme de contrôle SHA-256 de chaque fichier dans
SHA256SUMS.txt. Vérifiez votre téléchargement par rapport à celle-ci : voir Télécharger. - Get GDM only from this site or the project's GitHub releases. Copies elsewhere may be altered.
- L'installateur Windows n'est pas encore signé numériquement, donc Windows SmartScreen peut afficher un avertissement avant le premier démarrage. La signature du code sera ajoutée.
Ce qui vous protège
- Les assistants sont vérifiés avant de s'exécuter. yt-dlp est vérifié par rapport à la clé de signature de ses développeurs, et ffmpeg par rapport à ses sommes de contrôle publiées.
- Nothing listens on the network. The automation API is off by default and, when on, answers only on
127.0.0.1with a secret token. The browser helper answers only GDM's own extension. - Les noms de fichiers téléchargés sont nettoyés avant de devenir des chemins, de sorte qu'un serveur ne peut pas écrire en dehors du dossier que vous avez choisi.
- Les identifiants restent avec leur site. Les identifiants de connexion et les cookies ne sont envoyés qu'à l'hôte auquel ils appartiennent, même en cas de redirections.
- Pas de télémétrie : voir la politique de confidentialité.
La politique technique, avec le code auquel chaque point fait référence, se trouve dans SECURITY.md.