Sicurezza

Ultimo aggiornamento: 14 ottobre 2026

Questa pagina descrive che cosa fa l'app desktop di TeamBase sul computer, come sono protetti gli aggiornamenti e gli account e dove si può segnalare una vulnerabilità.

Che cosa fa l'app sul computer

L'app desktop funziona su Windows. L'overlay nel gioco viene disegnato sopra la finestra del gioco.

I dati di gioco vengono letti solo da fonti locali ufficiali fornite dai giochi: Game State Integration per CS2 e Dota all'indirizzo 127.0.0.1, il file del registro di combattimento di World of Warcraft e la memoria condivisa di iRacing.
Queste fonti vengono lette solo sullo stesso computer.
La condivisione dello schermo, la condivisione del gioco e la registrazione di clip avvengono solo quando il giocatore le attiva.
Le clip di gioco vengono salvate localmente sul computer.

Che cosa l'app non fa

Non ha un driver del kernel.
Non inietta codice nei processi dei giochi.
Non legge la memoria di altri programmi. L'unica eccezione è la memoria condivisa che iRacing pubblica a questo scopo tramite il proprio SDK.
Non viene eseguita con diritti di amministratore.

Aggiornamenti

Ogni aggiornamento è firmato crittograficamente (minisign, tramite l'updater di Tauri). L'app rifiuta un aggiornamento la cui firma non corrisponde alla chiave integrata nell'app.

Gli aggiornamenti vengono scaricati tramite HTTPS da GitHub Releases.

Account

TeamBase non salva mai le password in chiaro. L'autenticazione è gestita da Supabase Auth, che salva le password con bcrypt.
L'accesso passa per una funzione del server che usa un CAPTCHA (Cloudflare Turnstile), la limitazione dei tentativi e la verifica via e-mail dei nuovi dispositivi.
Alla registrazione e al cambio della password, la password viene confrontata con il database di password trapelate Have I Been Pwned con il metodo k-anonymity.

Accesso ai dati

Le regole di accesso vengono applicate sul server, nel database, tramite la sicurezza a livello di riga (row-level security). L'app non può leggere messaggi privati, gilde o canali che il server non consente.
La voce funziona tramite LiveKit (WebRTC) ed è cifrata durante la trasmissione.
La condivisione del gioco tra amici avviene direttamente tra i computer (peer-to-peer).

Test e verifiche

Prima di ogni rilascio vengono eseguite migliaia di test automatici. L'app desktop ha circa 1.200 test del backend e circa 3.900 test del frontend.

TeamBase esegue anche verifiche di sicurezza interne. L'ultima, del 14 ottobre 2026, ha riguardato le regole del database, le funzioni del server, l'app desktop e il sito web. I problemi trovati sono stati corretti nella versione 0.1.96.

Limiti

Il codice sorgente non è aperto. Finora non è stato svolto un audit esterno indipendente. È previsto quando il numero di utenti crescerà. Fino ad allora le segnalazioni dall'esterno sono benvenute.

Segnalare una vulnerabilità

Le segnalazioni vanno inviate a support@teambase.lol. Nel messaggio conviene descrivere il problema e i passaggi per riprodurlo.

Si prega di non eseguire test su account o dati di altri utenti.
Si prega di non effettuare attacchi di tipo denial of service.
La risposta arriva entro pochi giorni.
Se l'autore della segnalazione lo desidera, il suo nome viene citato nel registro delle modifiche (changelog).