À propos des faux positifs des logiciels de sécurité

Description du problème

Après avoir téléchargé le fichier d'installation .exe ou l'archive .zip de WSL Dashboard, Windows Defender ou d'autres antivirus peuvent afficher un avertissement de sécurité indiquant que le fichier présente un risque, voire le bloquer et le supprimer directement.

Pourquoi cela se produit-il ?

C'est un faux positif : le fichier ne contient pas réellement de virus.

La cause fondamentale est que ce projet n'a pas acheté de certificat de signature de code EV (Extended Validation).

Qu'est-ce qu'un certificat de signature de code ?

Le certificat de signature de code sert à signer numériquement les fichiers exécutables, prouvant que le fichier provient d'un éditeur de confiance et n'a pas été altéré. Windows applique des contrôles de sécurité plus stricts aux programmes non signés ou signés avec un certificat ordinaire.

Différence entre les types de certificats

Type de certificat	Prix	Politique SmartScreen
Non signé	Gratuit	Blocage direct, marqué comme « Éditeur inconnu »
Certificat OV ordinaire	Centaines d'euros/an	Affiche encore un avertissement, doit accumuler de la réputation
Certificat EV	Milliers d'euros/an	Approbation immédiate, sans avertissement

Les programmes signés sans certificat EV sont marqués par défaut comme non sécurisés par Windows SmartScreen, et les antivirus sont également plus enclins à les identifier comme menaces potentielles.

À propos de la sécurité des fichiers

Soyez assurés : le processus de construction de ce projet est totalement transparent et auditable :

1. Code source ouvert : tout le code source est hébergé sur GitHub, n'importe qui peut le consulter
2. Construction automatisée : les fichiers exe sont générés automatiquement par les workflows GitHub Actions sur les serveurs de GitHub, sans intervention humaine tout au long du processus
3. Construction traçable : chaque construction dispose d'un journal complet, consultable sur la page GitHub Actions
4. Publication sans contact : les développeurs ne peuvent insérer aucun code malveillant pendant la construction ; le fichier est automatisé de la fin de la construction jusqu'à la publication et le téléchargement

En résumé : les fichiers exe ne passent jamais entre les mains des développeurs ; il n'existe aucune possibilité d'« empoisonnement ».

Solutions

Solution 1 : Ajouter à la liste blanche de confiance (recommandée pour les utilisateurs ordinaires)

Lorsque Windows Defender bloque :

1. Ouvrez « Centre de sécurité Windows » → « Protection contre les virus et menaces »
2. Cliquez sur « Historique de protection »
3. Trouvez l'élément bloqué, cliquez sur « Actions » → « Autoriser »

Ou ajoutez une exclusion avant le téléchargement :

1. Ouvrez « Centre de sécurité Windows » → « Protection contre les virus et menaces » → « Gérer les paramètres »
2. Faites défiler jusqu'à « Exclusions », cliquez sur « Ajouter ou supprimer des exclusions »
3. Ajoutez le répertoire de téléchargement comme exclusion

Antivirus tiers : ajoutez le fichier ou le répertoire téléchargé à la liste de confiance du logiciel concerné.

Solution 2 : Compiler depuis les sources (recommandée pour les développeurs)

Si vous avez encore des doutes sur les binaires précompilés, vous pouvez cloner le code source et compiler localement :

# Cloner le dépôt
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Compiler la version Release
cargo build --release

# Les artefacts de compilation se trouvent dans le répertoire target/release/

Ainsi, vous pouvez confirmer entièrement le contenu du code exécuté.

Solution 3 : Acheter un certificat EV (note pour les développeurs)

Acheter un certificat de signature de code EV peut résoudre le problème à la racine, mais présente les difficultés réelles suivantes :

• Coût élevé : le certificat EV coûte plusieurs milliers de yuans par an
• Coût continu : le certificat doit être renouvelé chaque année ; c'est une charge à long terme
• Nature du projet : WSL Dashboard est un projet open source à but non lucratif, difficile à assumer cette dépense

Si vous souhaitez soutenir le développement de ce projet, vous pouvez faire un don via les canaux de parrainage de la page d'accueil du projet, aidant les développeurs à couvrir les coûts opérationnels comme le certificat.

Résumé

• Le blocage du fichier est dû à l'absence de certificat de signature de code EV, pas à un virus
• Tous les artefacts de construction sont générés automatiquement par GitHub Actions, processus transparent et auditable
• Les utilisateurs peuvent résoudre le problème en ajoutant le fichier à la liste blanche ou en compilant eux-mêmes
• Acheter un certificat EV résout le problème à la racine, mais représente une pression économique pour un projet à but non lucratif

Merci de votre compréhension et de votre soutien !