Безопасность

Что приложение делает на компьютере

Настольное приложение работает в Windows. Оверлей в игре отрисовывается поверх окна игры.

• Данные об играх считываются только из официальных локальных источников, которые предоставляют сами игры: Game State Integration для CS2 и Dota по адресу 127.0.0.1, файл журнала боя World of Warcraft и общая память iRacing.
• Эти источники считываются только на том же компьютере.
• Показ экрана, показ игры и запись клипов происходят только тогда, когда игрок их включает.
• Игровые клипы хранятся локально на компьютере.

Чего приложение не делает

• В нём нет драйвера ядра (kernel driver).
• Оно не внедряет код в процессы игр.
• Оно не читает память других программ. Единственное исключение составляет общая память, которую iRacing публикует для этой цели через свой SDK.
• Оно не запускается с правами администратора.

Обновления

Каждое обновление подписано криптографически (minisign, через обновлятор Tauri). Приложение отклоняет обновление, подпись которого не совпадает с ключом, встроенным в приложение.

Обновления загружаются по HTTPS из GitHub Releases.

Аккаунты

• TeamBase никогда не хранит пароли в открытом виде. Аутентификацию выполняет Supabase Auth, который хранит пароли с помощью bcrypt.
• Вход выполняется через серверную функцию, которая использует CAPTCHA (Cloudflare Turnstile), ограничение числа попыток и подтверждение новых устройств по электронной почте.
• При регистрации и смене пароля пароль проверяется по базе утёкших паролей Have I Been Pwned методом k-anonymity.

Доступ к данным

• Правила доступа применяются на сервере, в базе данных, с помощью защиты на уровне строк (row-level security). Приложение не может читать личные сообщения, гильдии и каналы, которые сервер не разрешает.
• Голос работает через LiveKit (WebRTC) и шифруется при передаче.
• Показ игры между друзьями происходит напрямую между компьютерами (peer-to-peer).

Тестирование и проверки

Перед каждым выпуском запускаются тысячи автоматических тестов. У настольного приложения около 1200 тестов бэкенда и около 3900 тестов фронтенда.

TeamBase проводит также внутренние проверки безопасности. Последняя, от 14 октября 2026 г., охватила правила базы данных, серверные функции, настольное приложение и сайт. Найденные проблемы исправлены в версии 0.1.96.

Ограничения

Исходный код не открыт. Независимый внешний аудит пока не проводился. Он планируется, когда число пользователей вырастет. До тех пор сообщения со стороны приветствуются.

Как сообщить об уязвимости

Сообщения направляются на адрес support@teambase.lol. В сообщении желательно описать проблему и шаги для её воспроизведения.

• Просим не проводить проверки на аккаунтах и данных других пользователей.
• Просим не проводить атаки типа «отказ в обслуживании».
• Ответ приходит в течение нескольких дней.
• По желанию автора сообщения его имя указывается в журнале изменений (changelog).