Docs
Pourquoi Windows avertit avant le premier lancement, et comment vérifier le fichier
Quand vous lancez l'installateur ou l'exe portable pour la première fois, Windows affiche une boîte bleue SmartScreen : Windows a protégé votre ordinateur, éditeur inconnu. Cette page dit pourquoi cela arrive, ce que cela veut dire et ne veut pas dire, et comment vérifier par vous-même que le fichier est bien celui publié sur ce site.
Mis à jour · Vitalii Yemets
Ce que l'avertissement signifie
SmartScreen compare la signature et la réputation d'un fichier aux registres de Microsoft. Les compilations de HoldToType ne portent pas de certificat de signature de code, il n'y a donc aucun nom d'éditeur à afficher, et une nouvelle version n'a pas encore de réputation. L'avertissement ne dit pas que le fichier est nuisible ; il dit que Windows ne peut pas se porter garant de qui l'a fait. Les programmes des grandes entreprises passent parce qu'elles achètent un certificat, et le certificat coûte quelques centaines de dollars par an plus une vérification d'identité, ce qui explique qu'un programme libre d'une seule personne s'en passe souvent.
Pourquoi les compilations ne sont pas encore signées
La signature est sur la feuille de route sous la forme d'une version pour le Microsoft Store : le Store signe lui-même les paquets, et l'avertissement disparaît par cette voie. D'ici là, chaque version publie le SHA-256 de ses fichiers sur la page des versions, et le code source est sur GitHub, de sorte que n'importe qui peut construire l'exe à partir du même code.
Comment vérifier le fichier
Ouvrez PowerShell dans le dossier du fichier téléchargé et exécutez :
Get-FileHash .\holdtotype-setup.exe -Algorithm SHA256
Comparez le hachage affiché à celui de la page des versions à côté de la même version. Si les deux chaînes correspondent, le fichier est octet pour octet celui publié là-bas. Si elles diffèrent, ne le lancez pas : retéléchargez depuis GitHub, et si cela diffère encore, écrivez un issue.
Comment le lancer quand même
- Dans la boîte SmartScreen, cliquez sur Informations complémentaires.
- Cliquez sur Exécuter quand même. La boîte ne revient pas pour ce fichier.
- Si le bouton manque, votre organisation a verrouillé SmartScreen ; utilisez l'archive portable depuis les versions, qui n'a pas besoin d'installateur, ou demandez à l'administrateur.
Le contournement portable
L'archive portable est le même programme dans un dossier : décompressez-la n'importe où, y compris sur une clé USB, et lancez l'exe. Windows peut encore afficher l'avertissement au premier lancement de l'exe, avec les mêmes Informations complémentaires et Exécuter quand même. Rien n'est écrit hors du dossier et aucun droit d'administrateur n'est nécessaire. Supprimer le dossier supprime le programme.
Le construire vous-même
Si vérifier un hachage ne suffit pas, construisez l'exe depuis les sources avec un script et Docker Desktop ; la page de compilation vous guide. Le résultat est votre propre compilation, à partir d'un code que vous pouvez lire, et SmartScreen n'a rien à y dire.
Questions
L'avertissement est-il une alerte virus ?
Non. Une alerte virus vient de Defender avec une boîte rouge et un nom de menace. La boîte bleue de SmartScreen dit seulement que l'éditeur est inconnu.
L'avertissement disparaîtra-t-il un jour ?
Pour la version du Store, oui, une fois publiée ; pour le téléchargement direct, une fois un certificat de signature acheté ou une fois que le fichier aura accumulé assez de réputation, ce qui demande beaucoup de téléchargements.
HoldToType a-t-il besoin de droits d'administrateur ?
L'installateur les demande pour écrire un raccourci et une entrée de désinstallation. L'exe portable n'en a pas besoin du tout.
Téléchargez et vérifiez le hachage
Le fichier, le SHA-256 et les sources sont tous sur le même site.