Code signing policy

Chính sách ký số mã nguồn của Zenlo · cập nhật 27/10/2026

Trạng thái: các bản đã phát hành tới nay chưa được ký số, nên Windows có thể cảnh báo khi mở. Đơn xin chứng chỉ miễn phí của SignPath Foundation lần đầu (10/2026) chưa được duyệt vì dự án còn mới; Zenlo sẽ nộp lại. Trang này mô tả cách Zenlo sẽ ký khi có chứng chỉ.

Free code signing provided by SignPath.io, certificate by SignPath Foundation.

File nào được ký

Chỉ Zenlo-Setup.exe, bộ cài của Zenlo cho Windows. File này được build hoàn toàn từ mã nguồn công khai của Zenlo, phát hành theo giấy phép GPL-3.0. Bộ cài không chứa mã của bên thứ ba ngoài thư viện có sẵn của Windows (.NET Framework).

Quy trình

Mỗi bản phát hành bắt đầu bằng một tag phiên bản (ví dụ v0.1.2) trên kho mã.
Máy của GitHub (GitHub Actions) tự build Zenlo-Setup.exe từ đúng commit đó. Không có file nào được build hay ký trên máy cá nhân.
Bản build được gửi tới SignPath. Mỗi yêu cầu ký phải được người duyệt (Approver) xác nhận thủ công trước khi ký.
File đã ký được đăng lên trang phát hành kèm mã SHA-256 tính sau khi ký và giấy chứng thực nguồn gốc build.

Team roles

Vai trò	Thành viên	Việc
Authors	stephit	Viết và sửa mã nguồn
Reviewers	stephit	Xem xét mọi thay đổi từ người ngoài (pull request) trước khi nhận
Approvers	stephit	Duyệt thủ công từng yêu cầu ký số

Mọi thành viên dùng xác thực hai lớp (MFA) cho GitHub và SignPath.

Quyền riêng tư

Zenlo không gửi thông tin tới hệ thống nào khác ngoài những gì người dùng chọn: tin nhắn chỉ được gửi tới dịch vụ AI người dùng chọn (Gemini, Claude hoặc ChatGPT qua Codex) khi người dùng bấm Tóm tắt hoặc Tạo bản tin; việc hỏi GitHub bản mới nhất chỉ chạy khi người dùng bấm hoặc đồng ý khi Zenlo hỏi. Bộ cài không kết nối mạng. Danh sách đầy đủ mọi kết nối ở trang Quyền riêng tư, và được nhắc lại trong bộ cài.

Thay đổi trên máy

Bộ cài sửa file resources\app.asar của Zalo để thêm Zenlo, sau khi đã nói rõ điều này trên màn hình. Bản gốc được giữ thành app.asar.bak; chọn "2. Gỡ Zenlo" là Zalo về đúng bản gốc. Bộ cài cũng tạo lối tắt "Zenlo - Cài đặt" trong Start, và gỡ Zenlo là xoá luôn lối tắt này.

Tự kiểm tra

Chữ ký số: chuột phải Zenlo-Setup.exe → Properties → Digital Signatures, hoặc chạy Get-AuthenticodeSignature .\Zenlo-Setup.exe trong PowerShell.
Mã SHA-256: Get-FileHash .\Zenlo-Setup.exe -Algorithm SHA256, so với trang phát hành.
Nguồn gốc build: gh attestation verify .\Zenlo-Setup.exe --repo stephitnoob/zenlo.

In English

Zenlo signs only Zenlo-Setup.exe, built by GitHub Actions from a tagged commit of its public GPL-3.0 repository, with no third-party code besides Windows system libraries. Every signing request is approved manually. Authors, reviewers and approvers: stephit, who uses MFA. Zenlo sends chats only to the AI service the user picks, when the user asks for a summary; the update check runs only when the user asks or agrees to it when Zenlo asks. Full list of network connections: privacy policy. The installer modifies Zalo's app.asar after saying so, keeps the original as a backup, and provides uninstallation. Status: a first application to SignPath Foundation (October 2026) was not approved because the project is new; Zenlo will reapply. Releases so far are unsigned.