Política de assinatura de código

Última atualização: 27 de outubro de 2026

As versões do Yata ainda não são assinadas, então o Windows SmartScreen pode avisar na primeira vez que você executa o instalador. Esta página explica como as versões são geradas e como conferir que o arquivo que você tem é o publicado aqui.

Situação

A SignPath Foundation, que assina de graça projetos de código aberto, recusou o Yata em outubro de 2026: o programa pede mais visibilidade pública do que um projeto novo tem. O Yata vai pedir de novo conforme crescer. Até lá, todas as versões saem sem assinatura.

Como as versões são geradas

O instalador é gerado pelo GitHub Actions, em máquinas do próprio GitHub, a partir de uma tag de versão do repositório público (release.yml). Nada compilado num computador pessoal é publicado. A partir da v0.2.1, cada instalador também traz uma comprovação de origem: um registro assinado pelo GitHub que liga o arquivo à execução e ao commit que o geraram.

Como conferir o download

• Hash: no PowerShell, Get-FileHash .\Yata-Setup-x.y.z.exe tem que bater com a linha do SHA256SUMS.txt da versão.
• Origem (v0.2.1 em diante): com o GitHub CLI, gh attestation verify Yata-Setup-x.y.z.exe --repo akaneni/yata.
• Compilar você mesmo: o README mostra como gerar o Yata e o instalador a partir do código.

Um arquivo que não bate não é uma versão oficial do Yata: por favor, abra uma issue.

Papéis no time

• Commits, revisão e versões: akaneni, com autenticação em dois fatores no GitHub. Mudanças de outras pessoas são revisadas antes de entrar.

Privacidade

O Yata não tem conta, servidor nem telemetria. O que ele envia pela rede, e quando, está na política de privacidade; o instalador mostra um resumo antes de instalar.