Ліцензії, підписування й приватність¶
Політика підписування коду¶
Підписується один артефакт — інсталятор для Windows
nyshporka-<версія>-setup.exe зі сторінки релізів. Колесо й sdist на
PyPI не підписуються Authenticode: там цілість гарантує сам індекс і
Trusted Publishing через OIDC, без довготривалих токенів.
Що підписується й ким. Файл збирається виключно в GitHub Actions
(.github/workflows/release.yml, job windows-setup), із тега v*, після
воріт якості й перевірки на приватні дані. Ручної збірки на чиїйсь машині в
ланцюгу немає. Проєкт веде одна людина, тож ролі Author, Reviewer і Approver
збігаються; кожен підпис підтверджується окремо, вручну.
Приймач для вас:
(Get-AuthenticodeSignature .\nyshporka-setup.exe).Status # Valid
Поруч із інсталятором у релізі лежить .sha256 — ним можна звірити
завантажене незалежно від підпису.
Free code signing provided by SignPath.io, certificate by SignPath Foundation
⚠ Станом на зараз заявку подано, і випуски ще не підписані. Доти Windows показує «Windows захистив ваш ПК» — це очікувано для програми, яку ще мало хто завантажував. Підпис прибере напис «Невідомий видавець», але саме попередження зникне лише тоді, коли назбирається репутація: Microsoft скасувала миттєве довір'я до сертифікатів, зокрема й EV.
Приватність¶
Нишпорка — локальний застосунок: телеметрії немає, облікових записів немає,
дослідження нікуди не вивантажується, а в мережу застосунок ходить лише тоді,
коли його про це попросили командою. Повний перелік того, куди й навіщо, —
PRIVACY.md.
Ліцензія¶
Копілефт тут не вибір настрою, а вимога дерева залежностей: Unidecode —
ядрова залежність (нормалізація імен, utils/text.py) — під GPL-2.0-or-later.
AGPL-3.0 з нею сумісна й суворіша, а застосунок працює через браузер, тобто саме
той випадок, який AGPL і покриває.
⚠ Пакет strhub містить підмодуль models/abinet під non-commercial ліцензією
USTC. Нишпорка використовує з нього лише PARSeq (Apache-2.0).
Ваги моделей — окремо, під CC BY-SA 4.0 і CC BY-NC-SA 4.0. У пакеті їх немає, вони приходять окремими релізами, а AGPL на бінарних вагах не має визначеного «відповідного вихідного коду» — тобто нічого б не захистила. Ваги, випущені до 0.37.0, лишаються під CC BY-SA 4.0: вільно, зокрема комерційно, з атрибуцією, а дотреновані ваги лишаються відкритими. Ваги, випущені з 0.37.0, — під CC BY-NC-SA 4.0 з додатковим дозволом: фізична особа може вживати їх у платних генеалогічних дослідженнях, які виконує сама, зокрема на замовлення клієнтів. Вбудовувати їх у чужий продукт, сервіс чи API можна лише з письмового дозволу ([email protected]).