Verificar la descarga
Ningún archivo del Juego está firmado por el sistema operativo. A cambio, todos salen de la CI pública del repositorio y traen dos pruebas que cualquiera puede comprobar: el checksum SHA-256 y la attestation de GitHub.
Por qué no está firmado
Firmar una app para Windows exige un certificado de firma de código, pagado cada año; Quiz your slop es gratuito y de código abierto y no tiene ese costo. En Linux, AppImage y .deb distribuidos fuera de las tiendas tampoco tienen firma del sistema.
En su lugar, cada versión la compila el workflow de release del repositorio, a partir de una tag, y se publica en GitHub Releases con SHA256SUMS.txt y una attestation de procedencia para cada archivo.
El aviso de SmartScreen (Windows)
Al abrir el instalador, Windows puede mostrar la pantalla azul "Windows protegió tu PC". Aparece con programas sin firma de pago o todavía poco descargados — no quiere decir que el archivo tenga virus.
- Si quieres, comprueba el archivo antes (secciones de abajo).
- En la pantalla de SmartScreen, haz clic en "Más información".
- Comprueba que la aplicación es quiz-your-slop-windows-x64-setup.exe y haz clic en "Ejecutar de todas formas".
Comprobar el checksum (SHA-256)
Descarga SHA256SUMS.txt de la misma versión en la carpeta donde está el archivo del Juego. Tiene una línea por archivo: el hash SHA-256 y el nombre.
Linux: comprueba los archivos de la carpeta que están en la lista (debe decir OK).
sha256sum -c --ignore-missing SHA256SUMS.txt
Windows (PowerShell): muestra el hash, que debe ser igual al de la línea del instalador en SHA256SUMS.txt (mayúsculas y minúsculas no importan).
Get-FileHash .\quiz-your-slop-windows-x64-setup.exe -Algorithm SHA256
Comprobar el origen (GitHub attestation)
El checksum prueba que el archivo llegó entero; la attestation prueba de dónde vino: que lo generó el workflow de release de este repositorio, en qué commit. Con GitHub CLI (gh) instalado y conectado, ejecuta el comando con el nombre del archivo que descargaste. Si el archivo fue cambiado o alterado, la verificación falla.
Cualquier sistema, con gh:
gh attestation verify quiz-your-slop-windows-x64-setup.exe --repo Thyago331/quiz-your-slop
¿Y las actualizaciones automáticas?
Al abrirse, el Juego pregunta a GitHub Releases si hay una versión nueva y, si aceptas, la descarga e instala con un clic. Solo instala un archivo firmado con la clave del proyecto, cuya parte pública va dentro del Juego: un archivo cambiado por el camino se rechaza.