Seguridad

Qué hace la aplicación en el ordenador

La aplicación de escritorio funciona en Windows. La superposición (overlay) en el juego se dibuja sobre la ventana del juego.

• Los datos de los juegos se leen solo de fuentes locales oficiales que ofrecen los propios juegos: Game State Integration para CS2 y Dota en 127.0.0.1, el archivo de registro de combate de World of Warcraft y la memoria compartida de iRacing.
• Estas fuentes se leen solo en el mismo ordenador.
• Compartir pantalla, compartir juego y grabar clips solo ocurren cuando el jugador lo activa.
• Los clips de juego se guardan localmente en el ordenador.

Qué no hace la aplicación

• No tiene controlador de kernel.
• No inyecta código en los procesos de los juegos.
• No lee la memoria de otros programas. La única excepción es la memoria compartida que iRacing publica para este fin mediante su SDK.
• No se ejecuta con derechos de administrador.

Actualizaciones

Cada actualización está firmada criptográficamente (minisign, mediante el actualizador de Tauri). La aplicación rechaza una actualización cuya firma no coincide con la clave integrada en la aplicación.

Las actualizaciones se descargan por HTTPS desde GitHub Releases.

Cuentas

• TeamBase nunca guarda las contraseñas en texto legible. La autenticación la gestiona Supabase Auth, que guarda las contraseñas con bcrypt.
• El inicio de sesión pasa por una función del servidor que usa un CAPTCHA (Cloudflare Turnstile), limitación de intentos y verificación por correo de los dispositivos nuevos.
• Al registrarse y al cambiar la contraseña, esta se comprueba con la base de datos de contraseñas filtradas Have I Been Pwned mediante el método k-anonymity.

Acceso a los datos

• Las reglas de acceso se aplican en el servidor, en la base de datos, mediante seguridad a nivel de fila (row-level security). La aplicación no puede leer mensajes privados, guilds ni canales que el servidor no permita.
• La voz funciona con LiveKit (WebRTC) y va cifrada durante la transmisión.
• Compartir juego entre amigos se hace directamente entre los ordenadores (peer-to-peer).

Pruebas y revisiones

Antes de cada versión se ejecutan miles de pruebas automáticas. La aplicación de escritorio tiene aproximadamente 1200 pruebas del backend y aproximadamente 3900 pruebas del frontend.

TeamBase también realiza revisiones internas de seguridad. La última, del 14 de octubre de 2026, abarcó las reglas de la base de datos, las funciones del servidor, la aplicación de escritorio y el sitio web. Los problemas encontrados se corrigieron en la versión 0.1.96.

Límites

El código fuente no es abierto. Todavía no se ha realizado una auditoría externa independiente. Está prevista para cuando aumente el número de usuarios. Hasta entonces, se agradecen los informes desde fuera.

Notificar una vulnerabilidad

Los informes se envían a support@teambase.lol. Conviene describir el problema y los pasos necesarios para reproducirlo.

• Se ruega no hacer pruebas en cuentas ni datos de otros usuarios.
• Se ruega no realizar ataques de denegación de servicio.
• La respuesta llega en unos días.
• Si el autor del informe lo desea, se menciona su nombre en el registro de cambios (changelog).