Korzen
FR
Se connecterEssai gratuit
Bot Protection
Dans cette documentation

Vérifier un téléchargement

Vérifiez que le paquet du SDK que vous avez installé est celui que Korzen a publié, grâce à son SHA256SUMS signé et à la clé de release de Korzen.

Chaque release d'un SDK est accompagnée d'un SHA256SUMS des fichiers publiés, signé avec la clé de release de Korzen. Vérifiez d'abord la signature, puis votre téléchargement par rapport aux sommes.

La clé

La clé publique se trouve à /bot-protection/sdk/signing-key.asc. La même clé signe le SDK Java sur Maven Central : son fingerprint peut donc aussi y être comparé, indépendamment de ce site.

curl -fsSO https://korzen.dev/bot-protection/sdk/signing-key.asc
gpg --show-keys signing-key.asc

Les sommes

Les sommes d'une release et leur signature se trouvent à /bot-protection/sdk/releases/<sdk>/v<version>/, le SDK étant node, python, java, go, php ou dotnet. Téléchargez-les à côté du fichier à vérifier, vérifiez la signature avec cette seule clé, puis le fichier. Pour le SDK Node :

V=2.1.0
curl -fsSO https://korzen.dev/bot-protection/sdk/releases/node/v$V/SHA256SUMS
curl -fsSO https://korzen.dev/bot-protection/sdk/releases/node/v$V/SHA256SUMS.asc
gpg --dearmor --output korzen.gpg signing-key.asc
gpgv --keyring ./korzen.gpg SHA256SUMS.asc SHA256SUMS
npm pack @korzen/bot-protection@$V
sha256sum -c --ignore-missing SHA256SUMS

gpgv doit afficher « Good signature » et sha256sum OK pour votre fichier. Toute autre réponse signifie que le fichier n'est pas celui que Korzen a publié : ne l'installez pas et écrivez-nous.

Le fichier de chaque SDK

  • Node : npm pack @korzen/bot-protection@<version>, le tarball que sert npm.
  • Python : pip download korzen-bot-protection==<version> --no-deps.
  • Java : le jar de dev.korzen:bot-protection sur Maven Central.
  • Go : le .zip, le .mod et le .info de la version depuis le proxy Go de Korzen, sous /goproxy/ ; la commande go les vérifie aussi par rapport à la base de checksums de Go.
  • PHP : les fichiers que Composer a installés dans vendor/korzen/bot-protection, que les sommes nomment sous package/.
  • .NET : nuget.org ajoute sa propre signature à chaque paquet, son .nupkg diffère donc de celui que couvrent les sommes. Vérifiez-le plutôt avec dotnet nuget verify --all.