Проверить, что загрузка действительно от нас

Две проверки, тридцать секунд, ничего устанавливать не надо. Что доказывает каждая из них, чего не доказывает и что делать, если одна не прошла. Стоит делать для всего, что скачиваешь, а не только для этого.

Обновлено 8 ноября 2026 г. Всё в разделе «безопасность и приватность» Read in English Türkçe oku Auf Deutsch lesen Lire en français Leer en español Ler em português Czytaj po polsku Читати українською Leggi in italiano Lees in het Nederlands Číst česky 日本語で読む

Чтобы проверить, что загрузка действительно от нас, вычисли её отпечаток SHA-256 в PowerShell и сравни его посимвольно с тем, что на нашей странице загрузки; решает именно эта проверка. Если у файла есть вкладка Цифровые подписи, имя на ней должно быть нашим. Если любая из проверок не прошла, удали файл.

Зачем это вообще

Потому что оба способа, которыми загрузка идёт не так, невидимы: копия, размещённая где-то ещё и выглядящая точно так же, и настоящий файл, изменённый по дороге к тебе. Ни то ни другое в проводнике не выглядит иначе. И то и другое проваливает проверки ниже.

Третий способ не такой зловещий и встречается чаще: загрузка, оборвавшаяся на полпути. Файл на месте, имя у него правильное, а запускаться он не будет. Проверка отпечатка ловит и это.

Проверка 1 — подпись

Правый клик по файлу → Свойства.

Если там есть вкладка Цифровые подписи, имя в подписи должно быть нашим. Чужое имя — сигнал остановиться: этот файл не тот, который мы выпустили.
Если такой вкладки нет, файл не подписан, и эта проверка ничего не говорит ни в ту, ни в другую сторону. Тогда проверка 2 остаётся единственной, и её одной достаточно.

Действительная подпись говорит, кто подписал файл и что с тех пор он не менялся. Она не говорит, какая именно сборка у тебя и та ли это, для которой этот сайт публикует отпечаток. Это делает отпечаток ниже, и решает именно он.

Проверка 2 — отпечаток

Отпечаток SHA-256 — это значение из 64 символов, вычисленное по каждому байту файла. Измени один байт — и изменится всё значение. Windows умеет вычислять его без установки чего-либо.

Открой PowerShell в папке, куда ты скачал файл (в проводнике набери powershell в адресной строке и нажми Enter):

Get-FileHash .\w0a-*.exe -Algorithm SHA256

Если в папке больше одного файла w0a, команда выведет по строке на каждый. Смотри строку того, который собираешься запустить.

То же самое из командной строки:

for %f in (w0a-*.exe) do certutil -hashfile "%f" SHA256

Сравни результат с SHA-256, напечатанным под кнопкой скачивания на нашей странице загрузки. Он должен совпасть символ в символ. Заглавные или строчные буквы — неважно; любое другое отличие важно.

Отпечаток, списанный оттуда же, откуда взят файл, стоит меньше, чем отпечаток из другого места. Кто может подменить файл там, может подменить и отпечаток рядом с ним. Именно поэтому мы публикуем его на сайте, а не рядом с файлом.

Если хоть одна проверка не прошла

Удали файл. Не запускай его, «чтобы посмотреть». Скачай заново с w0a.app, набрав адрес в адресной строке, а не по ссылке, которую тебе кто-то прислал.

Если отпечаток снова не совпал, сначала убедись, что сравниваешь нужный файл. Браузер мог сохранить вторую загрузку с (1) в конце имени и оставить старую на месте.

Если всё равно не проходит или если ты взял файл не с нашего сайта, сообщи нам, откуда он у тебя. Копия w0a на другом сайте — это то, о чём мы хотим знать.

Что делаем мы со своей стороны

Кнопка загрузки на нашем сайте отключена, пока не выполнены два условия:

адрес ведёт на наш собственный домен или на страницу релизов нашего собственного публичного репозитория на GitHub — и никуда больше;
рядом с ней опубликован корректный отпечаток SHA-256.

Поэтому страница не может предложить загрузку с чужого адреса и не может предложить её без отпечатка, по которому её можно проверить.