Die Windows-Builds auf dieser Seite sind signiert, sodass Windows den Herausgeber nennen kann, statt vor einem unbekannten zu warnen. Diese Seite sagt, wer hinter dieser Signatur steht und was passieren muss, bevor eine vergeben wird.
Zuletzt aktualisiert am September 21, 2026
Ventic ist ein kleines Projekt und sagt das offen: Die Rollen unten hat eine Person inne. Ehrlich bleibt das dadurch, dass nichts davon privat passiert – der Quellcode ist öffentlich, der Build ist ein öffentlicher Workflow-Lauf, und die Signatur hält fest, aus welchem Commit er stammt.
Tilen Pirih. Ventic wird von einer einzigen Person betreut: Jeder Commit im Release-Branch wird von diesem Konto geschrieben oder geprüft, und niemand sonst kann dorthin pushen. Beiträge von außen kommen als Pull Request und werden vor dem Merge geprüft.
Tilen Pirih. Jede Signaturanfrage muss in SignPath von Hand freigegeben werden, bevor irgendetwas ein Zertifikat erhält; ein nicht freigegebener Build wird nie signiert.
Für beide Konten, auf die es hier ankommt, ist Mehr-Faktor-Authentifizierung Pflicht – GitHub, wo der Quellcode liegt, und SignPath, wo die Freigabe erfolgt.
Der private Schlüssel liegt nicht in diesem Projekt und lag es nie. Er liegt im Hardware-Sicherheitsmodul von SignPath, und nichts hier kann von sich aus etwas signieren – ein Build kann nur fragen, und die Antwort gibt ein Mensch.
Ein Release beginnt mit einem Tag, der ins öffentliche Repository gepusht wird. Nichts anderes löst eines aus.
GitHub Actions baut die Installationsdateien auf GitHub-eigenen Runnern aus genau diesem Commit – kein Schritt läuft auf dem Rechner irgendeiner Person.
SignPath holt die gebauten Installationsdateien selbst von GitHub, statt sie übergeben zu bekommen, und kann so prüfen, welcher Workflow-Lauf und welcher Commit sie erzeugt hat. Eine anderswo gebaute Datei wird abgelehnt.
Die Signaturanfrage wartet auf eine menschliche Freigabe. Erst dann wird das Zertifikat angewandt.
Die signierten Installationsdateien ersetzen die unsignierten im Release und werden für den In-App-Updater neu signiert, damit ein Update weiterhin verifiziert wird.
Die Builds für Linux, macOS und Android werden über die Mechanismen ihrer eigenen Plattformen signiert und fallen nicht unter dieses Zertifikat. Was Sie über eine Paketverwaltung installieren – apt, dnf, das AUR –, signiert, wer dieses Paket betreut.
Sie sagt, dass die heruntergeladene Installationsdatei die ist, die dieses Projekt gebaut hat, und dass sie auf dem Weg zu Ihnen niemand verändert hat. Sie ist keine Prüfung dessen, was das Programm tut – dafür ist der Quellcode öffentlich, und die Datenschutzerklärung dieser Seite listet jede Anfrage auf, die die App stellt.
Ventic enthält keinen fremden Installer, keine mitgelieferte Toolbar und keine Werbekomponente. Auf dem Desktop spielt es Video mit mpv ab, das unter Windows mitgeliefert wird und seine eigene Lizenz hat.
Free code signing provided by SignPath.io, certificate by SignPath Foundation.
Die SignPath Foundation stellt Zertifikate für Open-Source-Projekte aus, die ihre Bedingungen erfüllen – deshalb kann ein unabhängiges Projekt überhaupt eine signierte Installationsdatei ausliefern. Ventic zahlt nichts dafür und Sie auch nicht.
