Sicurezza
La sicurezza di un gioco tranquillo si vede poco, ma c'è. Ecco cosa facciamo.
Per il tuo account
- Tutte le connessioni sono cifrate (HTTPS, HSTS).
- Le password sono conservate solo come impronta scrypt: nessuno può leggerle, nemmeno noi. Le password troppo comuni vengono rifiutate.
- Dopo troppi tentativi di accesso sbagliati, l'accesso viene sospeso per 15 minuti.
- Una sola sessione per account: un nuovo accesso scollega il precedente e ti arriva un'email di avviso.
- L'accesso con Google usa il flusso ufficiale con protezione PKCE; da Google riceviamo solo email e identificativo.
- Gli account dello staff usano la verifica in due passaggi.
Per il gioco
- Tutte le regole girano sul server; il browser non può modificare Essenze, Custodi o scambi.
- Ogni richiesta è controllata (formato, limiti, origine) e protetta contro le richieste contraffatte.
- Limiti di velocità per richieste, messaggi e tentativi; i bot vengono riconosciuti e segnalati.
- Il codice del gioco nel browser è compattato e offuscato per scoraggiare i trucchi (non è una protezione assoluta: per questo la verità sta sul server).
Per i dati
- Server nell'Unione Europea, aggiornamenti di sicurezza automatici, firewall, protezione contro gli accessi forzati.
- Indirizzi IP pseudonimizzati, email mascherate nel pannello dello staff, registro di ogni azione dello staff.
- Backup notturno verificato con controllo di integrità e conservato per circa 60 giorni; controllo automatico dello stato del servizio con riavvio e avviso in caso di problemi.
Hai trovato una vulnerabilità?
Grazie! Scrivi a staff@risvelora.com (oggetto: "sicurezza") descrivendo cosa hai trovato e come riprodurlo. Ti chiediamo di non sfruttarla, di non accedere a dati di altri giocatori e di darci il tempo di correggerla prima di parlarne pubblicamente. Non offriamo ricompense in denaro, ma ti ringraziamo volentieri nella pagina Trasparenza, se lo desideri. Le informazioni sono anche in /.well-known/security.txt.