Verificar o download
Nenhum arquivo do Jogo é assinado pelo sistema operacional. Em troca, todos saem da CI pública do repositório e trazem duas provas que qualquer pessoa confere: o checksum SHA-256 e a attestation do GitHub.
Por que não é assinado
Assinar um app para o Windows exige um certificado de assinatura de código, pago todo ano; o Quiz your slop é gratuito e de código aberto e não tem esse custo. No Linux, AppImage e .deb distribuídos fora das lojas também não têm assinatura do sistema.
Em vez disso, cada versão é compilada pelo workflow de release do repositório, a partir de uma tag, e publicada no GitHub Releases com o SHA256SUMS.txt e uma attestation de proveniência para cada arquivo.
O aviso do SmartScreen (Windows)
Ao abrir o instalador, o Windows pode mostrar a tela azul "O Windows protegeu o computador". Ela aparece para programas sem assinatura paga ou ainda pouco baixados — não quer dizer que o arquivo tenha vírus.
- Se quiser, confira o arquivo antes (seções abaixo).
- Na tela do SmartScreen, clique em "Mais informações".
- Confira que o aplicativo é quiz-your-slop-windows-x64-setup.exe e clique em "Executar assim mesmo".
Conferir o checksum (SHA-256)
Baixe o SHA256SUMS.txt da mesma versão para a pasta onde está o arquivo do Jogo. Ele tem uma linha por arquivo: o hash SHA-256 e o nome.
Linux: confere os arquivos da pasta que estão na lista (deve dizer OK).
sha256sum -c --ignore-missing SHA256SUMS.txt
Windows (PowerShell): mostra o hash, que deve ser igual ao da linha do instalador no SHA256SUMS.txt (maiúsculas e minúsculas não importam).
Get-FileHash .\quiz-your-slop-windows-x64-setup.exe -Algorithm SHA256
Conferir a origem (GitHub attestation)
O checksum prova que o arquivo chegou inteiro; a attestation prova de onde ele veio: que foi gerado pelo workflow de release deste repositório, em qual commit. Com o GitHub CLI (gh) instalado e conectado, rode o comando com o nome do arquivo que você baixou. Se o arquivo tiver sido trocado ou alterado, a verificação falha.
Qualquer sistema, com o gh:
gh attestation verify quiz-your-slop-windows-x64-setup.exe --repo Thyago331/quiz-your-slop
E as atualizações automáticas?
Ao abrir, o Jogo pergunta ao GitHub Releases se há versão nova e, se você aceitar, baixa e instala com um clique. Ele só instala um arquivo assinado com a chave do projeto, cuja parte pública vai dentro do Jogo: um arquivo trocado no caminho é recusado.