Le build Windows di questo sito sono firmate, così Windows può indicare l'editore invece di avvisare che è sconosciuto. Questa pagina dice chi c'è dietro quella firma e cosa deve accadere prima che venga apposta.
Ultimo aggiornamento: September 21, 2026
Ventic è un progetto piccolo e lo dice chiaramente: i ruoli qui sotto sono ricoperti da una sola persona. Ciò che lo tiene onesto è che nulla di tutto questo avviene in privato: il codice è pubblico, la build è un'esecuzione pubblica del workflow e la firma registra da quale commit proviene.
Tilen Pirih. Ventic è mantenuto da una sola persona: ogni commit sul branch di release è scritto o revisionato da quell'account, e nessun altro può farci push. I contributi esterni arrivano come pull request e vengono revisionati prima del merge.
Tilen Pirih. Ogni richiesta di firma va approvata a mano in SignPath prima che un certificato venga applicato a qualsiasi cosa, e una build non approvata non viene mai firmata.
L'autenticazione a più fattori è obbligatoria su entrambi gli account che contano qui: GitHub, che custodisce il codice, e SignPath, che custodisce l'approvazione.
La chiave privata non è in questo progetto e non lo è mai stata. Risiede nel modulo di sicurezza hardware di SignPath, e qui niente può firmare alcunché da solo: una build può solo chiedere, e la risposta è di una persona.
Una release parte da un tag inviato al repository pubblico. Nient'altro ne avvia una.
GitHub Actions compila gli installer su runner ospitati da GitHub, a partire da quel commit, senza alcun passaggio eseguito sulla macchina di qualcuno.
SignPath scarica gli installer compilati direttamente da GitHub anziché riceverli, così può verificare quale esecuzione del workflow e quale commit li ha prodotti. Un file compilato altrove viene rifiutato.
La richiesta di firma attende un'approvazione umana. Solo allora il certificato viene applicato.
Gli installer firmati sostituiscono quelli non firmati nella release e vengono rifirmati per l'aggiornamento integrato, così un update continua a essere verificato.
Le build per Linux, macOS e Android sono firmate con i meccanismi delle rispettive piattaforme e non rientrano in questo certificato. Ciò che installi da un gestore di pacchetti - apt, dnf, l'AUR - è firmato da chi mantiene quel pacchetto.
Dice che l'installer che hai scaricato è quello compilato da questo progetto e che nessuno lo ha modificato lungo la strada. Non è una verifica di ciò che il programma fa: per quello il codice è pubblico e l'informativa sulla privacy di questo sito elenca ogni richiesta che l'app effettua.
Ventic non contiene installer di terze parti, toolbar incluse o componenti pubblicitari. Sul desktop riproduce i video con mpv, che su Windows è incluso e ha una licenza propria.
Free code signing provided by SignPath.io, certificate by SignPath Foundation.
La SignPath Foundation rilascia certificati ai progetti open source che soddisfano le sue condizioni, ed è per questo che un progetto indipendente può distribuire un installer firmato. Ventic non paga nulla per averlo, e nemmeno tu.
