セキュリティ

アプリがPC上で行うこと

デスクトップアプリはWindowsで動作します。ゲーム内オーバーレイはゲームのウィンドウの上に描画されます。

• ゲームのデータは、ゲーム自体が提供する公式のローカルな情報源からのみ読み取ります。具体的には、127.0.0.1でのCS2とDotaのGame State Integration、World of Warcraftの戦闘ログファイル、iRacingの共有メモリです。
• これらの情報源は同じPC上でのみ読み取られます。
• 画面共有、ゲーム共有、クリップの録画は、プレイヤーがオンにした場合にのみ行われます。
• ゲームのクリップはPC上にローカルで保存されます。

アプリが行わないこと

• カーネルドライバーはありません。
• ゲームのプロセスにコードを注入しません。
• 他のプログラムのメモリを読み取りません。唯一の例外は、iRacingがこの目的のためにSDKを通じて公開している共有メモリです。
• 管理者権限では動作しません。

アップデート

すべてのアップデートは暗号署名されています（Tauriのアップデーター経由のminisign）。署名がアプリに組み込まれた鍵と一致しないアップデートは、アプリが拒否します。

アップデートはGitHub ReleasesからHTTPSでダウンロードされます。

アカウント

• TeamBaseはパスワードを平文で保存しません。認証はSupabase Authが行い、パスワードはbcryptで保存されます。
• ログインは、CAPTCHA（Cloudflare Turnstile）、試行回数の制限、新しいデバイスのメール確認を用いるサーバー関数を通じて行われます。
• 登録時とパスワード変更時には、漏えいしたパスワードのデータベースであるHave I Been Pwnedと照合します。照合にはk-anonymityの方式を用います。

データへのアクセス

• アクセスルールは、サーバー上のデータベースで行レベルセキュリティ（row-level security）によって強制されます。アプリは、サーバーが許可していない非公開メッセージ、ギルド、チャンネルを読み取れません。
• 音声はLiveKit（WebRTC）で動作し、通信中は暗号化されます。
• 友人間のゲーム共有は、PC同士で直接行われます（peer-to-peer）。

テストとレビュー

リリースの前に、数千件の自動テストが実行されます。デスクトップアプリには、バックエンドのテストが約1,200件、フロントエンドのテストが約3,900件あります。

TeamBaseは内部のセキュリティレビューも行っています。2026年10月14日の最新のレビューでは、データベースのルール、サーバー関数、デスクトップアプリ、ウェブサイトを対象としました。見つかった問題はバージョン0.1.96で修正されました。

限界

ソースコードは公開されていません。独立した外部監査はまだ行われていません。ユーザー数が増えた時点で実施する予定です。それまでの間、外部からの報告を歓迎します。

脆弱性の報告

報告はsupport@teambase.lolに送ってください。問題の内容と、再現に必要な手順を記載してください。

• 他のユーザーのアカウントやデータでのテストはご遠慮ください。
• サービス拒否攻撃は行わないでください。
• 返信は数日以内に行います。
• 報告者が希望する場合は、変更履歴（changelog）に名前を記載します。