Code signing policy

Windows: wtWin

Stand: der Installer ist nicht signiert. wtWin ist ein freies Hobbyprojekt; ein Code-Signing-Zertifikat kostet jedes Jahr Geld, und das kostenlose Programm für Open-Source-Projekte verlangt eine öffentliche Sichtbarkeit, die dieses Projekt noch nicht hat. Darum zeigt Windows beim ersten Start „Unbekannter Herausgeber“: „Weitere Informationen“ und „Trotzdem ausführen“ wählen. Sollte sich das ändern, steht in den Versionsnotizen, ab welcher Version der Installer signiert ist.

Wie die Dateien entstehen: den Installer wtWin-x.y.z.exe und die Programmdatei wtWin.exe darin baut GitHub Actions aus dem öffentlichen Quelltext von app4webtrees, nie ein privater Rechner. Lade ihn nur von den GitHub-Releases. Der Installer enthält außerdem unveränderte Fremdbestandteile: die Java-Laufzeit (Eclipse Temurin), PHP und webtrees.

Linux, macOS, Android

wtTux (.deb) und wtMac (.dmg) sind nicht signiert. Lade sie nur von den GitHub-Releases; dort stehen die Dateigrößen. Unter macOS beim ersten Start unter Systemeinstellungen › Datenschutz & Sicherheit „Trotzdem öffnen“ wählen.

wtAnd (Android) ist mit dem eigenen Schlüssel des Projekts signiert. Die APK auf GitHub, im Store und die bei F-Droid eingereichte sind dieselbe, reproduzierbar gebaute Datei. Signaturschlüssel, SHA-256: 93a5862d9c0f15e28b8ab649fbfa9969a9556e46e2500a66d4b557f350440255.

Rollen im Team

• Committer: Thomas Bugge (thobgg), alleiniger Betreuer des Repos.
• Prüfer: Pull Requests anderer – bisher Übersetzungen – prüft und übernimmt thobgg.

Das GitHub-Konto nutzt Zwei-Faktor-Anmeldung.

Datenschutz

wtWin, wtTux und wtMac übertragen keine Informationen an andere vernetzte Systeme, außer der Nutzer oder die Person, die das Programm installiert oder bedient, fordert es ausdrücklich an. Im Einzelnen sprechen die Programme an:

• Den eigenen webtrees-Server, also die Adresse, die bei der Anmeldung eingegeben wird. Dort liegt der Stammbaum, nirgends sonst.
• Der Stammbaum auf diesem PC: webtrees und PHP laufen lokal und hören nur auf 127.0.0.1.
• Nur auf Anforderung: Kartenkacheln und Ortssuche von OpenStreetMap und Nominatim, Ortsdaten aus dem GOV, Ortsbilder von Wikidata und Wikimedia Commons sowie Nachschlage-Links, die im Browser aufgehen (GenWiki, Wikipedia, Archion, Matricula, Archivportale). Jedes davon passiert nur, wenn Sie eine Karte öffnen, einen Ort suchen oder einen Link anklicken.
• Update-Prüfung: einmal am Tag holt das Programm die aktuelle Versionsnummer von wtwin.bgg-home.de/version.txt – eine kleine Textdatei, gesendet wird nichts außer der Anfrage. Abschalten unter Hilfe › Nach Updates suchen.

Die Programme führen keine Konten und sammeln keine Nutzungsdaten. Datenschutzerklärung dieser Website: Impressum & Datenschutz.

Installation und Entfernen

Der Windows-Installer installiert pro Benutzer ohne Adminrechte, legt einen Startmenü-Eintrag an und trägt das Linkschema wtwin:// für „Mit wtWin verbinden“ aus webtrees ein. Ältere Fassungen ersetzt er von selbst. Entfernen unter Einstellungen › Apps oder mit dem Deinstallationsprogramm im Programmordner; Einstellungen und ein Stammbaum auf diesem PC bleiben im Benutzerprofil, bis Sie sie löschen.

Fragen und Sicherheitsmeldungen: GitHub-Issues oder thomas@bgg-mail.de.