Проверить, что загрузка действительно от нас

Зачем это вообще

Потому что оба способа, которыми загрузка идёт не так, невидимы: копия, размещённая где-то ещё и выглядящая точно так же, и настоящий файл, изменённый по дороге к тебе. Ни то ни другое в проводнике не выглядит иначе. И то и другое проваливает проверки ниже.

Третий способ не такой зловещий и встречается чаще: загрузка, оборвавшаяся на полпути. Файл на месте, имя у него правильное, а запускаться он не будет. Проверка отпечатка ловит и это.

Проверка 1 — подпись

Правый клик по файлу → Свойства.

Если там есть вкладка Цифровые подписи, имя в подписи должно быть нашим. Чужое имя — сигнал остановиться: этот файл не тот, который мы выпустили.
Если такой вкладки нет, файл не подписан, и эта проверка ничего не говорит ни в ту, ни в другую сторону. Тогда проверка 2 остаётся единственной, и её одной достаточно.

Действительная подпись говорит, кто подписал файл и что с тех пор он не менялся. Она не говорит, какая именно сборка у тебя и та ли это, для которой этот сайт публикует отпечаток. Это делает отпечаток ниже, и решает именно он.

Проверка 2 — отпечаток

Отпечаток SHA-256 — это значение из 64 символов, вычисленное по каждому байту файла. Измени один байт — и изменится всё значение. Windows умеет вычислять его без установки чего-либо.

Открой PowerShell в папке, куда ты скачал файл (в проводнике набери powershell в адресной строке и нажми Enter):

Get-FileHash .\w0a-*.exe -Algorithm SHA256

Если в папке больше одного файла w0a, команда выведет по строке на каждый. Смотри строку того, который собираешься запустить.

То же самое из командной строки:

for %f in (w0a-*.exe) do certutil -hashfile "%f" SHA256

Сравни результат с SHA-256, напечатанным под кнопкой скачивания на нашей странице загрузки. Он должен совпасть символ в символ. Заглавные или строчные буквы — неважно; любое другое отличие важно.

Отпечаток, списанный оттуда же, откуда взят файл, стоит меньше, чем отпечаток из другого места. Кто может подменить файл там, может подменить и отпечаток рядом с ним. Именно поэтому мы публикуем его на сайте, а не рядом с файлом.

Если хоть одна проверка не прошла

Удали файл. Не запускай его, «чтобы посмотреть». Скачай заново с w0a.app, набрав адрес в адресной строке, а не по ссылке, которую тебе кто-то прислал.

Если отпечаток снова не совпал, сначала убедись, что сравниваешь нужный файл. Браузер мог сохранить вторую загрузку с (1) в конце имени и оставить старую на месте.

Если всё равно не проходит или если ты взял файл не с нашего сайта, сообщи нам, откуда он у тебя. Копия w0a на другом сайте — это то, о чём мы хотим знать.

Что делаем мы со своей стороны

Кнопка загрузки на нашем сайте отключена, пока не выполнены два условия:

адрес ведёт на наш собственный домен или на страницу релизов нашего собственного публичного репозитория на GitHub — и никуда больше;
рядом с ней опубликован корректный отпечаток SHA-256.

Поэтому страница не может предложить загрузку с чужого адреса и не может предложить её без отпечатка, по которому её можно проверить.