Segurança e isenção de responsabilidade

Verificações automáticas

Esta plataforma verifica cada nova versão antes de listá-la. Ela lista apenas versões que passam nas verificações.

Formatos inspecionados: VST® 3 CLAP, LV2, Audio Unit

• Procedência: Todos os arquivos precisam ter uma atestação de procedência da build. Um workflow do GitHub Actions verifica a assinatura. O workflow também confirma que a atestação corresponde ao repositório, à tag da versão, ao commit da tag e ao workflow de release registrado para o plugin.
• Versão imutável: A versão precisa ser imutável. Os arquivos de uma versão imutável não podem ser substituídos depois da publicação.
• Inspeção dos arquivos compactados: Um workflow do GitHub Actions baixa cada arquivo zip e lê os bundles de plugin dentro dele sem executá-los. Os formatos, o SO e as arquiteturas mostrados aqui vêm dessa inspeção. Uma versão que contém VST 2 em algum arquivo compactado não é listada, nem um arquivo compactado que não pode ser inspecionado.
• Assinatura e notarização no macOS: Um arquivo compactado com bundles para macOS só é indicado depois de confirmado que os bundles estão assinados com um certificado Developer ID e notarizados pela Apple.
• Consulta de malware: O SHA-256 de cada arquivo, publicado pelo GitHub, é consultado no MalwareBazaar, um banco de dados de amostras de malware conhecido. Os arquivos listados são consultados de novo regularmente.
• Mudanças desde a versão listada: As mudanças da versão listada até a nova versão são verificadas com regras. Uma versão que corresponde a uma regra aguarda a confirmação de um administrador.
• Revisão das práticas de desenvolvimento: Itens que os arquivos do repositório decidem, como actions fixadas e workflows de release, são verificados por regras. Apenas os itens que exigem ler texto, como as instruções de instalação no README, são avaliados por um LLM, com fatos calculados pelo catálogo. A revisão não lê o código-fonte. Uma versão com um apontamento grave aguarda a confirmação de um administrador.

Os critérios da revisão são públicos no GitHub: https://github.com/AllegroMoltoV/audio-plugin-soko-kun/blob/main/docs/design/review-criteria.md

Versões que não passaram nas verificações não são exibidas. Até que uma nova versão passe, a versão listada anteriormente continua listada.

Um arquivo apontado como malicioso suspende o plugin. Um administrador também pode suspender uma versão.

As versões suspensas são anunciadas na página de avisos https://audio-soko-kun.allegromoltov.jp/notices com a versão, o SHA-256 de cada arquivo e o período em que foram listadas aqui. A página do plugin também mostra um aviso.

Limites das verificações

A consulta de malware detecta apenas ameaças já conhecidas pelo MalwareBazaar. Malwares novos ou direcionados podem não ser detectados; por isso, use os plugins com cuidado mesmo quando nada for detectado.

Uma assinatura Developer ID e a notarização mostram quem assinou um bundle para macOS e que a Apple o analisou. Elas não são prova de que o plugin é seguro.

A inspeção dos arquivos compactados identifica os formatos pela estrutura dos bundles e pelas funções que eles exportam. Ela não consegue dizer se um plugin que implementa a interface VST 3 foi compilado com o VST 3 SDK.

O SHA-256 identifica o arquivo que o GitHub servia no momento do registro. Compare o SHA-256 do arquivo baixado com o valor mostrado aqui.

Isenção de responsabilidade

Esta plataforma é fornecida como está, sem garantia de qualquer tipo; por isso, instale os plugins por sua conta e risco. Os autores de cada plugin são responsáveis por seu software.