Assinatura de código
Política de assinatura de código
Como os instaladores do Comitiva são gerados e assinados, quem aprova cada assinatura e o que o app envia pela rede por conta própria.
Ainda não está em vigor. Os instaladores ainda não são assinados. A assinatura no Windows aguarda a SignPath Foundation aceitar o projeto, e a do macOS, um Apple Developer ID. Até lá, o SmartScreen do Windows e o Gatekeeper do macOS avisam na primeira vez que você abre o Comitiva. Como passar pelo aviso
Quem assina cada instalador
Windows
Free code signing provided by SignPath.io, certificate by SignPath Foundation. Assinatura de código gratuita da SignPath.io, com certificado da SignPath Foundation, que o Windows mostra como editora.
macOS
Assinado com o Developer ID da conta do mantenedor no Apple Developer Program e notarizado pela Apple.
Linux
O AppImage, o deb e o rpm não são assinados. A página de download mostra o SHA-256 de cada arquivo.
O que é assinado
- Só os instaladores que o workflow de release gera a partir de uma tag de versão do repositório público comitiva, nos runners do GitHub. Nada gerado no computador de alguém é assinado.
- Eles contêm o app desktop, o runner e os servidores MCP embutidos: o código do próprio repositório, Apache-2.0, e as dependências open source dele.
- Cada pedido de assinatura é aprovado à mão, por uma das pessoas aprovadoras abaixo.
Papéis da equipe
- Commits e revisão
- Membros da organização comitiva-dev no GitHub
- Aprovação
- Oscar Dias (@oscardias)
Privacidade
Este programa não transfere nenhuma informação para outros sistemas em rede, a não ser que o usuário ou a pessoa que o instala ou opera peça especificamente.
O Comitiva se comunica com o que você configura: os provedores de LLM das suas conexões, os servidores MCP e o Google Drive que você adiciona, e um hub, se você entrar em um. As chaves de API ficam no chaveiro do sistema.
Por conta própria, ele procura uma versão nova no GitHub Releases 10 segundos depois de abrir e a cada 6 horas. Configurações → Atualizações desliga isso.