Vérifier un téléchargement

Comparez la somme de contrôle de l’image disque et interrogez macOS sur la signature et la notarisation avant de faire confiance à une copie de FOLD.

Gatekeeper vérifie déjà la signature et la notarisation lorsque vous ouvrez FOLD pour la première fois. Les commandes ci-dessous vous permettent de vérifier vous-même une copie, par exemple avant de l’ouvrir ou lorsque vous l’avez reçue de quelqu’un d’autre. Elles s’exécutent dans Terminal et ne nécessitent aucun outil supplémentaire.

1. Comparer la somme de contrôle

La page de téléchargement indique le SHA-256 du DMG de la version actuelle. Calculez la somme de contrôle de votre fichier :

shasum -a 256 ~/Downloads/FOLD-<version>-<build>.dmg

Les 64 caractères doivent tous correspondre à la valeur de la page de téléchargement. S’ils diffèrent, supprimez le fichier et ne l’ouvrez pas. Une version publiée n’est jamais remplacée ; la somme de contrôle d’un nom de fichier donné ne change donc jamais.

2. Vérifier l’image disque

spctl --assess --type open --context context:primary-signature -vv ~/Downloads/FOLD-<version>-<build>.dmg

Le résultat attendu est accepted, avec source=Notarized Developer ID et origin=Developer ID Application: Datargo GmbH (JSCCM2C266).

3. Vérifier l’app installée

Après avoir placé FOLD dans votre dossier Applications, interrogez Gatekeeper sur l’app elle-même :

spctl --assess --type execute -vv /Applications/Fold.app

Vous devriez de nouveau voir accepted, source=Notarized Developer ID et l’origine Datargo GmbH.

Laissez ensuite codesign vérifier qu’aucun fichier du paquet de l’app n’a été modifié depuis sa signature :

codesign --verify --deep --strict --verbose=2 /Applications/Fold.app

La sortie se termine par valid on disk et satisfies its Designated Requirement. Pour voir qui a signé l’app :

codesign --display --verbose=2 /Applications/Fold.app

Cherchez Authority=Developer ID Application: Datargo GmbH (JSCCM2C266) et TeamIdentifier=JSCCM2C266.

Si une vérification échoue

N’ouvrez pas l’app et ne passez pas outre l’avertissement. Supprimez la copie, téléchargez-la de nouveau depuis la page de téléchargement et répétez les vérifications. Si la nouvelle copie échoue elle aussi, signalez-le à [email protected].

Les mises à jour automatiques sont en outre vérifiées à l’aide d’une clé de signature intégrée à FOLD ; voir Mises à jour sur le Mac.