Beveiliging

Een kwetsbaarheid melden

Gebruik het privéformulier Report a vulnerability van GitHub. Alleen de beheerders kunnen het lezen. Vermeld wat u hebt gevonden, hoe u het probleem kunt reproduceren en welke versie u hebt gebruikt (Help → Help toont deze). Open geen openbare melding voor beveiligingsproblemen.

U krijgt zo snel mogelijk antwoord. Een oplossing wordt vrijgegeven voordat de details openbaar worden gemaakt, en u wordt vermeld in het advies en de release-opmerkingen, tenzij u dat liever niet wilt. Tijdens de 0.x-versies ontvangen alleen de nieuwste releases beveiligingsupdates.

Hoe releases worden gemaakt

• Elke release wordt gebouwd vanuit de openbare broncode door GitHub Actions, op de servers van GitHub; de buildlogs zijn openbaar.
• Elke release vermeldt de SHA-256-checksum van elk bestand in SHA256SUMS.txt. Controleer uw download hiermee: zie Downloaden.
• Get GDM only from this site or the project's GitHub releases. Copies elsewhere may be altered.
• Het Windows-installatieprogramma is nog niet ondertekend met een code, dus Windows SmartScreen kan waarschuwen voor de eerste start. Code-ondertekening zal worden toegevoegd.

Wat u beschermt

• Hulpprogramma's worden geverifieerd voordat ze worden uitgevoerd. yt-dlp wordt gecontroleerd aan de hand van de ondertekeningssleutel van de ontwikkelaars, en ffmpeg aan de hand van de gepubliceerde checksums.
• Nothing listens on the network. The automation API is off by default and, when on, answers only on 127.0.0.1 with a secret token. The browser helper answers only GDM's own extension.
• Gedownloade bestandsnamen worden opgeschoond voordat ze paden worden, zodat een server niet buiten de door u gekozen map kan schrijven.
• Inloggegevens blijven bij hun site. Logins en cookies worden alleen naar de host gestuurd waartoe ze behoren, zelfs bij omleidingen.
• Geen telemetrie: zie het privacybeleid.

Het technische beleid, met de code waarnaar elk punt verwijst, staat in SECURITY.md.