セキュリティと免責

この翻訳は参考訳なので、正確な内容は英語版で確認してください。英語版

自動検査

このプラットフォームは、新しいリリースを掲載する前に検査します。検査を通ったリリースだけを掲載します。

検査する規格: VST® 3 CLAP, LV2, Audio Unit

証明の照合: すべての配布物に build provenance の証明が必要です。GitHub Actions のワークフローが、証明の署名を検証します。あわせて、証明がリポジトリ・リリースのタグ・タグのコミット・記録したリリースのワークフローと一致することを確かめます。
不変のリリース: リリースが不変であることを確かめます。不変のリリースでは、公開した後に配布物を差し替えられません。
アーカイブの中身の検査: GitHub Actions のワークフローが zip のアーカイブを取得し、中のプラグインのバンドルを実行せずに読みます。画面に示す規格・OS・アーキテクチャは、この検査の結果です。いずれかのアーカイブに VST 2 を含むリリースと、中を調べられないアーカイブを含むリリースは掲載しません。
macOS の署名と公証: macOS 向けのバンドルを含むアーカイブは、バンドルが Developer ID の証明書で署名され、Apple の公証を受けていることを確かめてから案内します。
マルウェアの照会: GitHub が公開する配布物の SHA-256 を、既知のマルウェアのデータベースである MalwareBazaar で照会します。掲載中の配布物も定期的に照会し直します。
新しい版の差分: 掲載中のリリースから新しいリリースまでの変更を、ルールで検査します。ルールに当たったリリースは、管理者の確認待ちにします。
開発の実践のレビュー: アクションの固定やリリースのワークフローのように、リポジトリのファイルで決まる項目はルールで判定します。README の導入の手順のように、文章を読む必要がある項目だけを、このプラットフォームが計算した事実とともに LLM が判定します。ソースのコードは読みません。重大な指摘があるリリースは、管理者の確認待ちにします。

レビューの基準は GitHub で公開しています: https://github.com/AllegroMoltoV/audio-plugin-soko-kun/blob/main/docs/design/review-criteria.md

検査を通っていないリリースは表示しません。新しいリリースが検査を通るまでは、前に掲載していたリリースを掲載し続けます。

マルウェアと判定された配布物があると、このプラットフォームはプラグインの掲載を停止します。管理者がリリースを止めることもあります。

止めたリリースは、告知ページ https://audio-soko-kun.allegromoltov.jp/notices で、版・配布物の SHA-256・掲載していた期間とともに知らせます。プラグインのページにも警告を表示します。

検査の限界

マルウェアの照会で検出できるのは、MalwareBazaar に既に知られている脅威だけです。新しいマルウェアや標的型のマルウェアは検出できないことがあるので、検査で何も検出されなくても、注意して利用してください。

Developer ID の署名と公証が示すのは、macOS 向けのバンドルの署名者と、Apple がバンドルを検査したことです。プラグインが安全である証拠ではありません。

アーカイブの中身の検査は、バンドルの構造と公開している関数から規格を判定します。VST 3 のインターフェースを実装したプラグインについて、VST 3 SDK を使ったものと使っていないものを見分けられません。

SHA-256 は、記録した時点で GitHub が配布していたファイルを表します。ダウンロードしたファイルの SHA-256 をここに示した値と照合してください。

免責

このプラットフォームは現状のまま提供し、いかなる保証もしないので、プラグインは個人の責任にもとづき導入してください。各プラグインの責任はその作者にあります。