Безпека

Що застосунок робить на комп’ютері

Настільний застосунок працює у Windows. Оверлей у грі малюється поверх вікна гри.

• Дані про ігри зчитуються лише з офіційних локальних джерел, які надають самі ігри: Game State Integration для CS2 і Dota за адресою 127.0.0.1, файл журналу бою World of Warcraft та спільна пам’ять iRacing.
• Ці джерела зчитуються лише на тому самому комп’ютері.
• Показ екрана, показ гри та запис кліпів відбуваються лише тоді, коли гравець їх вмикає.
• Ігрові кліпи зберігаються локально на комп’ютері.

Чого застосунок не робить

• У ньому немає драйвера ядра (kernel driver).
• Він не впроваджує код у процеси ігор.
• Він не читає пам’ять інших програм. Єдиний виняток становить спільна пам’ять, яку iRacing оприлюднює для цієї мети через свій SDK.
• Він не запускається з правами адміністратора.

Оновлення

Кожне оновлення криптографічно підписане (minisign, через оновлювач Tauri). Застосунок відхиляє оновлення, підпис якого не збігається з ключем, вбудованим у застосунок.

Оновлення завантажуються через HTTPS із GitHub Releases.

Облікові записи

• TeamBase ніколи не зберігає паролі у відкритому вигляді. Автентифікацію виконує Supabase Auth, який зберігає паролі за допомогою bcrypt.
• Вхід відбувається через серверну функцію, яка використовує CAPTCHA (Cloudflare Turnstile), обмеження кількості спроб і підтвердження нових пристроїв електронною поштою.
• Під час реєстрації та зміни пароля пароль перевіряється за базою витеклих паролів Have I Been Pwned методом k-anonymity.

Доступ до даних

• Правила доступу застосовуються на сервері, у базі даних, за допомогою захисту на рівні рядків (row-level security). Застосунок не може читати приватні повідомлення, гільдії та канали, які сервер не дозволяє.
• Голос працює через LiveKit (WebRTC) і шифрується під час передавання.
• Показ гри між друзями відбувається безпосередньо між комп’ютерами (peer-to-peer).

Тестування та перевірки

Перед кожним випуском запускаються тисячі автоматичних тестів. Настільний застосунок має приблизно 1200 тестів бекенду та приблизно 3900 тестів фронтенду.

TeamBase також проводить внутрішні перевірки безпеки. Остання, від 14 жовтня 2026 р., охопила правила бази даних, серверні функції, настільний застосунок і вебсайт. Знайдені проблеми виправлено у версії 0.1.96.

Обмеження

Вихідний код не відкритий. Незалежний зовнішній аудит ще не проводився. Його заплановано, коли кількість користувачів зросте. До того часу повідомлення ззовні вітаються.

Як повідомити про вразливість

Повідомлення надсилаються на адресу support@teambase.lol. У повідомленні бажано описати проблему та кроки для її відтворення.

• Просимо не проводити перевірок на облікових записах і даних інших користувачів.
• Просимо не здійснювати атак типу «відмова в обслуговуванні».
• Відповідь надходить протягом кількох днів.
• За бажанням автора повідомлення його ім’я зазначається в журналі змін (changelog).