Qué hará y qué no hará esta herramienta

La versión corta

Usted es responsable de tener autorización para descargar el archivo que pega. Esta herramienta no puede verificar eso y no lo intenta: no sabe quién es usted, qué ha comprado ni qué permite el editor de ese archivo. La casilla de verificación de confirmación es una declaración que usted hace, no un permiso que otorga esta herramienta.

Descargue únicamente medios de su propiedad o que esté autorizado a descargar.

Esta herramienta no elude DRM, autenticación, muros de pago ni controles de acceso. Aquí no se elude DRM, ni se evita el control de acceso ni la autenticación de ningún tipo: no se envían cookies ni credenciales, no se crean tokens ni sesiones, y no se resuelve ninguna firma o cifrado.

Todo lo que aparece a continuación explica qué significan esas oraciones en la práctica y qué se dejó fuera del producto para que sean ciertas.

Lo que suele significar "authorised"

Estás en terreno firme cuando el archivo es tuyo, cuando fue publicado para su descarga o cuando su licencia lo permite. Tus propias grabaciones y cargas. Archivos a los que su empleador o cliente le ha dado acceso para su trabajo. Medios bajo licencia Creative Commons o similar que permita su reutilización. Material de dominio público. Episodios de podcast, que se publican como descargas directas por diseño. Activos de un kit de prensa o un conjunto de datos abiertos.

No estás en terreno firme cuando el archivo está detrás de un inicio de sesión, una suscripción o una compra que no has realizado; cuando el editor ofrece streaming pero no descarga; cuando los términos de una plataforma lo prohíben; o cuando simplemente no lo sabes. Las reglas de derechos de autor difieren según el país y esta página no es asesoramiento legal. Si no está seguro, consulte al titular de los derechos.

Capacidades que esta herramienta no tiene

Estas no son funciones faltantes a la espera de un lanzamiento futuro. Están excluidos a propósito y seguirán excluidos, porque implementar cualquiera de ellos cambiaría el producto.

1. Sin descifrado DRM ni manejo de transmisiones cifradas o protegidas.
2. Sin resolución de firmas, cifrados o tokens del tipo utilizado para derivar URL de reproducción.
3. Sin extractores de plataforma. Aquí no hay ningún código que conozca ningún sitio de vídeos específico.
4. Sin raspado de páginas ni lectura del estado interno de la aplicación de un sitio.
5. No se permiten API de plataforma privadas o no documentadas, ni suplantación de la identidad de otra aplicación.
6. Sin omisión de autenticación, tokens de invitado ni creación de sesiones anónimas.
7. Sin CAPTCHA ni evasión anti-bot.
8. Sin User-Agent, Referer u otra suplantación de encabezado, ni identidades rotativas.
9. No hay lógica de reintento que cambie de identidad después de un rechazo.
10. No se debilita la verificación del certificado TLS.
11. Sin eliminación de marcas de agua.
12. Sin proxy del lado del servidor ni retransmisión de ningún tipo.
13. No se envían cookies ni credenciales a ningún host.

¿Por qué la lista es tan específica?

Antes de escribir esta herramienta, el equipo de ToolAcre auditó una descargador de videos de código abierto existente para ver qué se podía reutilizar. La respuesta fue nada. Cada uno de sus seis extractores de plataforma funcionaba anulando la ruta de acceso prevista de una plataforma, y ​​su punto final de descarga recuperaba cualquier URL proporcionada por un visitante y la transmitía a través del servidor, sin verificación de esquema, verificación de host ni bloqueo de dirección privada.

Eliminar el comportamiento prohibido habría eliminado todo el producto, por lo que este se escribió desde cero con un propósito diferente. La lista anterior es que los hallazgos de la auditoría se convirtieron en un límite permanente.

¿Por qué no hay servidor?

Un proxy haría que funcionaran más enlaces. También significaría que su archivo pasa a través de una máquina que no controla y crearía un punto final que recupera URL arbitrarias a pedido, que pueden apuntar a direcciones privadas dentro de la red de alojamiento para llegar a cosas que nunca debieron ser públicas. Esa clase de error se llama falsificación de solicitudes del lado del servidor y es una de las vulnerabilidades más comúnmente explotadas que existen.

Si elige no tener un servidor, se eliminará toda la categoría. También significa la respuesta honesta a "¿a dónde fue mi archivo?" es "desde el host que nombró hasta su dispositivo y en ningún otro lugar".

Cómo te protege la verificación de URL

Solo se aceptan enlaces https, por lo que el archivo no se puede leer ni modificar durante el tránsito. Los enlaces que contienen un nombre de usuario o contraseña se rechazan, porque las credenciales en una URL no son seguras y porque esa sintaxis es una forma común de disfrazar con qué host se está contactando realmente.

Se rechazan las direcciones privadas e internas: loopback, rangos privados, direcciones de enlace local, incluida la que usan los proveedores de la nube, por ejemplo, metadatos, y nombres que terminan en .local o .internal. Los formularios ofuscados también se rechazan, porque 2130706433, 0x7f000001, 0177.0.0.1, 127.1 y ::ffff:127.0.0.1 tienen la misma dirección que 127.0.0.1.

Si eres el titular de los derechos

Esta herramienta no puede acceder a nada que un visitante no pueda recuperar con su navegador. No contiene índices, no almacena medios y no tiene ningún componente de servidor que pueda alojar o almacenar en caché su contenido.

Si sus archivos se recuperan de una manera que no desea, se aplican los mismos controles que rigen cualquier enlace directo: requerir autenticación, usar URL firmadas con caducidad corta u omitir el encabezado de origen cruzado. Esta herramienta respeta los tres, porque es sólo un navegador que realiza una solicitud ordinaria.

Preguntas

Limitaciones

• Esta página no es asesoramiento legal. Las reglas de derechos de autor y contratos varían según el país y la plataforma.
• La confirmación de derechos es una declaración suya, no una verificación realizada por esta herramienta.
• La herramienta no puede determinar si usted realmente tiene derecho a un archivo y no lo intenta.
• No existe ni se agregará soporte específico para ninguna plataforma.
• Los medios que requieren autenticación son inaccesibles porque nunca se envían cookies ni credenciales.
• Los hosts que rechazan lecturas entre orígenes no se pueden descargar desde aquí y no se ofrece ninguna solución alternativa.