Segurança

O que a aplicação faz no computador

A aplicação de ambiente de trabalho funciona no Windows. A sobreposição (overlay) no jogo é desenhada sobre a janela do jogo.

• Os dados dos jogos são lidos apenas de fontes locais oficiais disponibilizadas pelos jogos: Game State Integration para CS2 e Dota em 127.0.0.1, o ficheiro de registo de combate do World of Warcraft e a memória partilhada do iRacing.
• Estas fontes são lidas apenas no mesmo computador.
• A partilha de ecrã, a partilha de jogo e a gravação de clipes só ocorrem quando o jogador as ativa.
• Os clipes de jogo são guardados localmente no computador.

O que a aplicação não faz

• Não tem controlador de kernel.
• Não injeta código nos processos dos jogos.
• Não lê a memória de outros programas. A única exceção é a memória partilhada que o iRacing publica para este fim através do seu SDK.
• Não é executada com direitos de administrador.

Atualizações

Cada atualização é assinada criptograficamente (minisign, através do atualizador do Tauri). A aplicação recusa uma atualização cuja assinatura não corresponda à chave integrada na aplicação.

As atualizações são transferidas por HTTPS a partir do GitHub Releases.

Contas

• O TeamBase nunca guarda palavras-passe em texto legível. A autenticação é feita pelo Supabase Auth, que guarda as palavras-passe com bcrypt.
• O início de sessão passa por uma função do servidor que utiliza um CAPTCHA (Cloudflare Turnstile), limitação de tentativas e verificação por e-mail dos dispositivos novos.
• No registo e na alteração da palavra-passe, esta é verificada na base de dados de palavras-passe divulgadas Have I Been Pwned com o método k-anonymity.

Acesso aos dados

• As regras de acesso são aplicadas no servidor, na base de dados, através da segurança ao nível da linha (row-level security). A aplicação não consegue ler mensagens privadas, guildas nem canais que o servidor não permita.
• A voz funciona através do LiveKit (WebRTC) e é cifrada durante a transmissão.
• A partilha de jogo entre amigos é feita diretamente entre os computadores (peer-to-peer).

Testes e revisões

Antes de cada versão são executados milhares de testes automáticos. A aplicação de ambiente de trabalho tem cerca de 1200 testes do backend e cerca de 3900 testes do frontend.

O TeamBase realiza também revisões internas de segurança. A mais recente, de 14 de outubro de 2026, abrangeu as regras da base de dados, as funções do servidor, a aplicação de ambiente de trabalho e o sítio web. Os problemas encontrados foram corrigidos na versão 0.1.96.

Limites

O código-fonte não é aberto. Ainda não foi realizada uma auditoria externa independente. Está prevista para quando o número de utilizadores crescer. Até lá, as comunicações vindas de fora são bem-vindas.

Comunicar uma vulnerabilidade

As comunicações devem ser enviadas para support@teambase.lol. Convém descrever o problema e os passos necessários para o reproduzir.

• Pede-se que não sejam feitos testes em contas ou dados de outros utilizadores.
• Pede-se que não sejam realizados ataques de negação de serviço.
• A resposta chega em poucos dias.
• Se o autor da comunicação o desejar, o seu nome é mencionado no registo de alterações (changelog).