Seguridad y descargo de responsabilidad

Revisiones automáticas

Esta plataforma revisa cada nueva versión antes de incluirla. Solo incluye versiones que pasan las revisiones.

Formatos inspeccionados: VST® 3 CLAP, LV2, Audio Unit

• Procedencia: Todos los archivos deben tener una atestación de procedencia de la compilación. Un workflow de GitHub Actions verifica su firma. El workflow también confirma que la atestación coincide con el repositorio, la etiqueta de la versión, el commit de la etiqueta y el workflow de publicación registrado para el plugin.
• Versión inmutable: La versión debe ser inmutable. Los archivos de una versión inmutable no se pueden reemplazar después de publicarla.
• Inspección de los archivos comprimidos: Un workflow de GitHub Actions descarga cada archivo zip y lee los bundles de plugin que contiene sin ejecutarlos. Los formatos, el SO y las arquitecturas que se muestran aquí provienen de esta inspección. No se incluye una versión que contenga VST 2 en algún archivo comprimido ni un archivo comprimido que no se pueda inspeccionar.
• Firma y notarización en macOS: Un archivo comprimido con bundles para macOS solo se guía después de confirmar que sus bundles están firmados con un certificado Developer ID y notarizados por Apple.
• Consulta de malware: El SHA-256 de cada archivo, publicado por GitHub, se consulta en MalwareBazaar, una base de datos de muestras de malware conocido. Los archivos incluidos se vuelven a consultar con regularidad.
• Cambios desde la versión incluida: Los cambios desde la versión incluida hasta la nueva versión se revisan con reglas. Una versión que coincide con una regla espera la confirmación de un administrador.
• Revisión de prácticas de desarrollo: Los elementos que deciden los archivos del repositorio, como las actions fijadas y los workflows de publicación, se comprueban con reglas. Solo los elementos que requieren leer texto, como las instrucciones de instalación del README, los evalúa un LLM, con hechos calculados por el catálogo. La revisión no lee el código fuente. Una versión con una observación grave espera la confirmación de un administrador.

Los criterios de la revisión son públicos en GitHub: https://github.com/AllegroMoltoV/audio-plugin-soko-kun/blob/main/docs/design/review-criteria.md

Las versiones que no pasaron las revisiones no se muestran. Hasta que una nueva versión pasa, la versión incluida anteriormente sigue en la lista.

Un archivo marcado como malicioso suspende el plugin. Un administrador también puede suspender una versión.

Las versiones suspendidas se anuncian en la página de avisos https://audio-soko-kun.allegromoltov.jp/notices con la versión, el SHA-256 de cada archivo y el período en que estuvieron en la lista aquí. La página del plugin también muestra una advertencia.

Límites de las revisiones

La consulta de malware solo detecta amenazas ya conocidas por MalwareBazaar. El malware nuevo o dirigido podría no detectarse; por eso, usa los plugins con cuidado aunque no haya detecciones.

Una firma Developer ID y la notarización muestran quién firmó un bundle para macOS y que Apple lo analizó. No son prueba de que el plugin sea seguro.

La inspección de los archivos comprimidos identifica los formatos por la estructura de los bundles y las funciones que exportan. No puede saber si un plugin que implementa la interfaz VST 3 se compiló con el VST 3 SDK.

El SHA-256 identifica el archivo que GitHub entregaba al momento del registro. Compara el SHA-256 del archivo descargado con el valor que se muestra aquí.

Descargo de responsabilidad

Esta plataforma se ofrece tal cual, sin garantía de ningún tipo; por eso, instala los plugins bajo tu propio riesgo. Los autores de cada plugin son responsables de su software.