Aktar
RU
СкачатьСкачать

Список изменений

Выпуск безопасности для всех приложений Aktar

Aktar 0.18.0 - выпуск безопасности по итогам проверки всех приложений Aktar, aktar CLI и расширения для Raycast. Он закрывает способы, которыми другое приложение, веб-страница или переданный вам файл могли заставить Aktar сделать то, о чем вы не просили. Большая часть изменений работает незаметно. Кое-что теперь сначала спрашивает, а если вы пользуетесь приложениями автоматизации на Android или MCP-сервером Aktar, ниже есть один шаг для вас. Aktar для Windows и приложение для iPhone и Android получают те же исправления. Если у вас версия 0.3.0 или новее, Aktar предложит обновление автоматически.

  • Mac0.18.0
  • Windows0.11.0
  • iPhone и iPadскоро
  • Androidскоро

Другие приложения спрашивают перед загрузкой

Когда другое приложение отправляет файлы в Aktar через меню «Службы» (Загрузить с помощью Aktar) или меню «Поделиться», Aktar теперь сначала спрашивает и называет файлы и место назначения, куда они попадут. Загрузки, которые вы запускаете из Finder, как и раньше, начинаются сразу. На iPhone и Android ссылки aktar:// с веб-страницы или из другого приложения открывают только те экраны, для которых они предназначены. В Windows спрашивает и ссылка, которая возобновляет приостановленные отслеживаемые папки.

Видно, куда импортированное место назначения все отправляет

Место назначения из Импортировать с другого устройства может принести не только ключи. Прежде чем что-либо сохранить, Aktar теперь показывает, куда оно отправляет ваши файлы и ссылки: хосты хранилища и ссылок, сервис коротких ссылок, каждый вебхук и скрипт, правила Использовать для и шаблон вывода. Вебхуки и скрипты приходят выключенными, а правила «Использовать для» и шаблон не переносятся, если вы их не оставите. Когда вы обновляете уже существующее место назначения, его собственные вебхуки, скрипты и правила «Использовать для» остаются как были, если вы не оставите импортированные. Aktar для Windows, iPhone и Android показывают такой же обзор.

Ваш токен попадает только в Aktar

Локальный API теперь может доказать, что он Aktar, и для этого никому не нужно сначала отправлять токен. aktar CLI 0.6.0 и ближайшее обновление расширения для Raycast проверяют это перед отправкой токена, поэтому если Aktar не запущен и на его порту отвечает какая-то другая программа, она не получит ни токен, ни ваши файлы. Им нужен Aktar для Mac 0.18.0 или Aktar для Windows 0.11.0 и новее, и они сообщают, когда Aktar нужно обновить. Подключить Raycast тоже передает токен только самому Raycast, проверенному по подписи.

ИИ-агенты начинают с меньшими правами

aktar mcp в CLI 0.6.0 загружает файлы только из папок, указанных в --root, а без него из папки, в которой его запускает агент. Если это ваша домашняя папка или корень диска, как бывает у некоторых приложений, он не загружает локальные файлы, пока вы не добавите --root. SSH- и закрытые ключи, файлы .env, облачные учетные данные, базы паролей и профили браузеров не загружаются никогда, где бы они ни лежали. replace_file требует --allow-replace (или --allow-delete), ведь он перезаписывает файл так же, как это сделало бы удаление. Временные ссылки действуют не дольше 60 минут, если --max-link-minutes не разрешает больше, инструмент буфера обмена не предлагается, когда вы указываете --root, а --log записывает каждый вызов инструмента. Настройка на странице MCP теперь включает --root.

На телефоне

Если вы используете Tasker, MacroDroid или другое приложение автоматизации с Aktar на Android, после обновления включите Настройки › Основные › Разрешить приложения автоматизации. Пока вы этого не сделаете, приложения автоматизации не смогут загружать файлы через Aktar и получать его ссылки. Пока настройка включена, это может любое приложение на телефоне, как и поясняет настройка, а в подробностях каждой загрузки видно, какое приложение ее запросило. Файлы, которыми другие приложения поделились с Aktar, удаляются, как только у Aktar появляется своя копия, а присланная веб-ссылка больше не загружается в фоне. Адреса вебхуков, в которых часто есть секрет, переезжают в Связку ключей или Keystore, а уведомления показывают только хост вебхука. Запросы к сервису коротких ссылок и к вебхукам больше не следуют за перенаправлением на другой хост, а ссылки в просматриваемых файлах открывают только веб-адреса.

Все изменения в этом выпуске

Новое

  • Локальный API: GET /v1/hello позволяет CLI и Raycast убедиться, что они говорят с Aktar, прежде чем отправить токен.

Улучшено

  • Файлы, которые другое приложение отправляет через меню «Службы» или «Поделиться», загружаются только после вашего подтверждения. Aktar называет файлы и место назначения. Для загрузок из Finder подтверждение не нужно.
  • Импортировать с другого устройства до сохранения показывает, куда место назначения отправляет файлы, ссылки, короткие ссылки, вебхуки и скрипты. Вебхуки и скрипты приходят выключенными, а правила «Использовать для» и шаблон вывода сохраняются, только если вы так решите.
  • При обновлении существующего места назначения из импорта его собственные вебхуки, скрипты и правила «Использовать для» сохраняются, если вы не оставите импортированные.
  • Подключить Raycast передает токен локального API только самому Raycast. В противном случае ничего не передается, и Aktar объясняет почему.
  • Локальный API отклоняет загрузки больше свободного места на диске (оставляя 2 ГБ свободными) и больше 32 одновременных подключений.
  • Отслеживаемые папки загружают файл, перемещают его в Корзину или в Uploaded, только если это все еще тот самый файл, который проверил Aktar. Папка Uploaded, которая является ссылкой на другую папку, никогда не используется.
  • Файлы из действия Быстрых команд всегда остаются во временной папке Aktar, как бы они ни назывались.
  • Таблицы стилей XSLT, страницы .shtml и веб-архивы (.mht, .mhtml) скачиваются при открытии ссылки, как HTML, а не выполняются на домене вашего бакета.
  • Миниатюры файлов из бакета создаются из скачанной копии с безопасным именем файла, каким бы ни был ключ файла.
  • aktar CLI 0.6.0: aktar mcp загружает файлы только из --root или папки, в которой запущен, и никогда не загружает секреты, предлагает replace_file только с --allow-replace, ограничивает временные ссылки 60 минутами (--max-link-minutes) и записывает вызовы инструментов с --log.