Falso positivo

Descrição do problema

Após baixar o instalador .exe ou o pacote compactado .zip do WSL Dashboard, o Windows Defender ou outro software antivírus pode exibir um aviso de segurança, indicando que o arquivo apresenta risco ou bloqueando/excluindo diretamente.

Por que isso acontece?

Isso é um falso positivo, não significa que o arquivo realmente contém um vírus.

A causa raiz é: este projeto não adquiriu um certificado de assinatura de código EV (Extended Validation).

O que é um certificado de assinatura de código?

O certificado de assinatura de código é usado para assinar digitalmente arquivos executáveis, comprovando que o arquivo vem de um editor confiável e não foi adulterado. O Windows aplica verificações de segurança mais rigorosas a programas não assinados ou assinados com certificados comuns.

Diferença entre os tipos de certificado

Tipo de certificado	Preço	Política do SmartScreen
Sem assinatura	Gratuito	Bloqueio direto, marcado como "Editor desconhecido"
Certificado OV comum	Centenas de reais/ano	Ainda exibe aviso, é necessário acumular reputação
Certificado EV	Milhares de reais/ano	Aprovação imediata, sem avisos

Programas não assinados com certificado EV são marcados por padrão como inseguros pelo SmartScreen do Windows, e os antivírus também tendem a identificá-los mais facilmente como ameaças potenciais.

Sobre a segurança dos arquivos

Fique tranquilo, o processo de compilação deste projeto é totalmente transparente e auditável:

1. Código-fonte aberto: todo o código-fonte está hospedado no GitHub; qualquer pessoa pode revisá-lo
2. Compilação automatizada: os arquivos exe são gerados automaticamente pelo fluxo de trabalho do GitHub Actions nos servidores do GitHub, sem qualquer intervenção humana em todo o processo
3. Compilação rastreável: cada compilação tem registros de log completos, disponíveis na página do GitHub Actions
4. Lançamento de zero contato: os desenvolvedores não podem inserir nenhum código malicioso durante o processo de compilação; o arquivo vai da compilação até a publicação/download de forma totalmente automatizada

Em resumo: o arquivo exe nunca passou pelas mãos dos desenvolvedores; não existe a possibilidade de ser "envenenado".

Soluções

Solução 1: adicionar à lista de confiança (recomendado para usuários comuns)

Quando o Windows Defender bloqueia:

1. Abra "Central de Segurança do Windows" → "Proteção contra vírus e ameaças"
2. Clique em "Histórico de proteção"
3. Encontre o item bloqueado, clique em "Ações" → "Permitir"

Ou adicione uma exclusão antes do download:

1. Abra "Central de Segurança do Windows" → "Proteção contra vírus e ameaças" → "Gerenciar configurações"
2. Role para baixo até "Exclusões" e clique em "Adicionar ou remover exclusões"
3. Adicione o diretório de download como exclusão

Antivírus de terceiros: adicione o arquivo ou diretório baixado à lista de confiança no software correspondente.

Solução 2: compilar a partir do código-fonte (recomendado para desenvolvedores)

Se você ainda tiver preocupações com os binários pré-compilados, pode clonar o código-fonte e compilar localmente:

# Clonar o repositório
git clone https://github.com/owu/wsl-dashboard.git
cd wsl-dashboard

# Compilar a versão Release
cargo build --release

# O artefato compilado fica no diretório target/release/

Assim, você pode confirmar totalmente o conteúdo do código em execução.

Solução 3: adquirir um certificado EV (observação para desenvolvedores)

Adquirir um certificado de assinatura de código EV pode resolver o problema de falsos positivos na raiz, mas enfrenta as seguintes dificuldades práticas:

• Custo elevado: o certificado EV custa milhares de reais por ano
• Custo contínuo: o certificado precisa ser renovado anualmente, é um encargo de longo prazo
• Natureza do projeto: o WSL Dashboard é um projeto de código aberto sem fins lucrativos, difícil de arcar com essa despesa

Se você deseja apoiar o desenvolvimento deste projeto, pode fazer uma doação pelos canais de patrocínio na página do projeto, ajudando os desenvolvedores a cobrir custos operacionais como o certificado.

Resumo

• O bloqueio do arquivo ocorre pela falta do certificado de assinatura de código EV; não é um vírus
• Todos os artefatos de compilação são gerados automaticamente pelo GitHub Actions; processo transparente e auditável
• Os usuários podem resolver o problema adicionando à lista de permissões ou compilando por conta própria
• Adquirir um certificado EV resolve na raiz, mas representa pressão financeira para projetos sem fins lucrativos

Agradecemos sua compreensão e apoio!