Bezpieczeństwo

Co aplikacja robi na komputerze

Aplikacja desktopowa działa w systemie Windows. Nakładka w grze jest rysowana nad oknem gry.

• Dane z gier są odczytywane wyłącznie z oficjalnych lokalnych źródeł udostępnianych przez gry: Game State Integration dla CS2 i Dota pod adresem 127.0.0.1, plik dziennika walki w World of Warcraft oraz pamięć współdzielona iRacing.
• Te źródła są odczytywane tylko na tym samym komputerze.
• Udostępnianie ekranu, udostępnianie gry i nagrywanie klipów odbywa się tylko wtedy, gdy gracz je włączy.
• Klipy z gier są zapisywane lokalnie na komputerze.

Czego aplikacja nie robi

• Nie ma sterownika jądra (kernel driver).
• Nie wstrzykuje kodu do procesów gier.
• Nie odczytuje pamięci innych programów. Jedynym wyjątkiem jest pamięć współdzielona, którą iRacing udostępnia w tym celu przez swoje SDK.
• Nie działa z uprawnieniami administratora.

Aktualizacje

Każda aktualizacja jest podpisana kryptograficznie (minisign, przez aktualizator Tauri). Aplikacja odrzuca aktualizację, której podpis nie zgadza się z kluczem wbudowanym w aplikację.

Aktualizacje są pobierane przez HTTPS z GitHub Releases.

Konta

• TeamBase nigdy nie przechowuje haseł w postaci jawnej. Logowanie obsługuje Supabase Auth, który przechowuje hasła za pomocą bcrypt.
• Logowanie odbywa się przez funkcję serwerową, która korzysta z CAPTCHA (Cloudflare Turnstile), ograniczenia liczby prób i potwierdzania nowych urządzeń e-mailem.
• Podczas rejestracji i zmiany hasła hasło jest sprawdzane w bazie wyciekłych haseł Have I Been Pwned metodą k-anonymity.

Dostęp do danych

• Zasady dostępu są egzekwowane na serwerze, w bazie danych, za pomocą zabezpieczeń na poziomie wierszy (row-level security). Aplikacja nie może odczytać prywatnych wiadomości, gildii ani kanałów, na które serwer nie pozwala.
• Głos działa przez LiveKit (WebRTC) i jest szyfrowany podczas przesyłania.
• Udostępnianie gry między znajomymi odbywa się bezpośrednio między komputerami (peer-to-peer).

Testy i przeglądy

Przed każdym wydaniem uruchamiane są tysiące testów automatycznych. Aplikacja desktopowa ma około 1200 testów backendu i około 3900 testów frontendu.

TeamBase przeprowadza także wewnętrzne przeglądy bezpieczeństwa. Ostatni, z 14 października 2026, objął reguły bazy danych, funkcje serwerowe, aplikację desktopową i stronę internetową. Znalezione problemy naprawiono w wersji 0.1.96.

Ograniczenia

Kod źródłowy nie jest otwarty. Niezależny audyt zewnętrzny jeszcze się nie odbył. Jest planowany, gdy wzrośnie liczba użytkowników. Do tego czasu zgłoszenia z zewnątrz są mile widziane.

Zgłaszanie podatności

Zgłoszenia należy wysyłać na adres support@teambase.lol. W wiadomości warto opisać problem i kroki potrzebne do jego odtworzenia.

• Prosimy nie testować na kontach ani danych innych użytkowników.
• Prosimy nie przeprowadzać ataków typu odmowa usługi.
• Odpowiedź nadejdzie w ciągu kilku dni.
• Na życzenie zgłaszającego jego nazwisko zostanie podane w dzienniku zmian (changelog).