Sécurité

Ce que fait l'application sur l'ordinateur

L'application de bureau fonctionne sous Windows. L'overlay en jeu est dessiné au-dessus de la fenêtre du jeu.

• Les données de jeu sont lues uniquement à partir de sources locales officielles fournies par les jeux : Game State Integration pour CS2 et Dota à l'adresse 127.0.0.1, le fichier de journal de combat de World of Warcraft et la mémoire partagée d'iRacing.
• Ces sources sont lues uniquement sur le même ordinateur.
• Le partage d'écran, le partage de jeu et l'enregistrement de clips n'ont lieu que si le joueur les active.
• Les clips de jeu sont stockés localement sur l'ordinateur.

Ce que l'application ne fait pas

• Elle n'a pas de pilote noyau (kernel driver).
• Elle n'injecte pas de code dans les processus des jeux.
• Elle ne lit pas la mémoire d'autres programmes. La seule exception est la mémoire partagée qu'iRacing publie à cet effet par son SDK.
• Elle ne s'exécute pas avec les droits d'administrateur.

Mises à jour

Chaque mise à jour est signée cryptographiquement (minisign, via le programme de mise à jour de Tauri). L'application refuse une mise à jour dont la signature ne correspond pas à la clé intégrée à l'application.

Les mises à jour sont téléchargées en HTTPS depuis GitHub Releases.

Comptes

• TeamBase ne stocke jamais les mots de passe en clair. L'authentification est assurée par Supabase Auth, qui stocke les mots de passe avec bcrypt.
• La connexion passe par une fonction serveur qui utilise un CAPTCHA (Cloudflare Turnstile), une limitation du nombre de tentatives et une vérification par e-mail des nouveaux appareils.
• À l'inscription et lors d'un changement de mot de passe, le mot de passe est comparé à la base de mots de passe divulgués Have I Been Pwned selon la méthode k-anonymity.

Accès aux données

• Les règles d'accès sont appliquées sur le serveur, dans la base de données, par la sécurité au niveau des lignes (row-level security). L'application ne peut pas lire les messages privés, les guildes ni les canaux que le serveur n'autorise pas.
• La voix passe par LiveKit (WebRTC) et est chiffrée pendant le transport.
• Le partage de jeu entre amis se fait directement entre les ordinateurs (peer-to-peer).

Tests et contrôles

Des milliers de tests automatisés sont exécutés avant chaque publication. L'application de bureau compte environ 1 200 tests du backend et environ 3 900 tests du frontend.

TeamBase réalise aussi des contrôles de sécurité internes. Le dernier, du 14 octobre 2026, portait sur les règles de la base de données, les fonctions serveur, l'application de bureau et le site web. Les problèmes trouvés ont été corrigés dans la version 0.1.96.

Limites

Le code source n'est pas ouvert. Aucun audit externe indépendant n'a encore été réalisé. Il est prévu lorsque le nombre d'utilisateurs augmentera. D'ici là, les signalements venant de l'extérieur sont les bienvenus.

Signaler une vulnérabilité

Les signalements sont à envoyer à support@teambase.lol. Il est utile de décrire le problème et les étapes pour le reproduire.

• Merci de ne pas effectuer de tests sur les comptes ou les données d'autres utilisateurs.
• Merci de ne pas lancer d'attaques par déni de service.
• Une réponse est envoyée sous quelques jours.
• À la demande de l'auteur du signalement, son nom est mentionné dans le journal des modifications (changelog).