Beveiliging

Wat de app op de computer doet

De desktop-app draait op Windows. De overlay in de game wordt over het spelvenster getekend.

• Spelgegevens worden alleen gelezen uit officiële lokale bronnen die de games zelf bieden: Game State Integration voor CS2 en Dota op 127.0.0.1, het gevechtslogbestand van World of Warcraft en het gedeelde geheugen van iRacing.
• Deze bronnen worden alleen op dezelfde computer gelezen.
• Scherm delen, game delen en clips opnemen gebeurt alleen wanneer de speler dit inschakelt.
• Gameclips worden lokaal op de computer opgeslagen.

Wat de app niet doet

• De app heeft geen kernelstuurprogramma.
• De app injecteert geen code in spelprocessen.
• De app leest het geheugen van andere programma's niet. De enige uitzondering is het gedeelde geheugen dat iRacing hiervoor via zijn SDK beschikbaar stelt.
• De app draait niet met beheerdersrechten.

Updates

Elke update is cryptografisch ondertekend (minisign, via de Tauri-updater). De app weigert een update waarvan de handtekening niet overeenkomt met de sleutel die in de app is ingebouwd.

Updates worden via HTTPS van GitHub Releases gedownload.

Accounts

• TeamBase slaat wachtwoorden nooit leesbaar op. De authenticatie verloopt via Supabase Auth, dat wachtwoorden met bcrypt opslaat.
• Inloggen verloopt via een serverfunctie die een CAPTCHA (Cloudflare Turnstile), beperking van het aantal pogingen en e-mailverificatie van nieuwe apparaten gebruikt.
• Bij registratie en bij het wijzigen van het wachtwoord wordt het wachtwoord gecontroleerd tegen de database met gelekte wachtwoorden Have I Been Pwned, volgens de k-anonymity-methode.

Toegang tot gegevens

• Toegangsregels worden op de server afgedwongen, in de database, met beveiliging op rijniveau (row-level security). De app kan geen privéberichten, guilds of kanalen lezen die de server niet toestaat.
• Spraak loopt via LiveKit (WebRTC) en is tijdens het transport versleuteld.
• Game delen tussen vrienden gebeurt rechtstreeks tussen de computers (peer-to-peer).

Tests en controles

Voor elke release worden duizenden geautomatiseerde tests uitgevoerd. De desktop-app heeft ongeveer 1200 backendtests en ongeveer 3900 frontendtests.

TeamBase voert ook interne beveiligingscontroles uit. De laatste, van 14 oktober 2026, betrof de databaseregels, de serverfuncties, de desktop-app en de website. De gevonden problemen zijn opgelost in versie 0.1.96.

Beperkingen

De broncode is niet open. Er is nog geen onafhankelijke externe audit uitgevoerd. Die is gepland zodra het aantal gebruikers groeit. Tot die tijd zijn meldingen van buitenaf welkom.

Een kwetsbaarheid melden

Meldingen gaan naar support@teambase.lol. In het bericht is het verstandig het probleem en de stappen om het te reproduceren te beschrijven.

• Test alstublieft niet op accounts of gegevens van andere gebruikers.
• Voer alstublieft geen denial-of-service-aanvallen uit.
• Binnen enkele dagen volgt een antwoord.
• Op verzoek van de melder wordt zijn naam in de changelog vermeld.