Безопасность по умолчанию
То, что в игровом бэкенде обычно идёт не так, уже решено за вас.
- Секретные ключи хранятся в виде хеша и показываются один раз; публичный клиентский ключ действует только от имени вошедших игроков.
- Короткоживущие токены доступа, ротация токенов обновления и обнаружение их повторного использования.
- Удалённая конфигурация подписывается RSA-SHA256 и проверяется на устройстве перед использованием.
- Результаты, награды и кошельки проверяются на сервере — данные клиента не принимаются на веру.
- Ограничение частоты запросов, дневные квоты и лог каждого запроса с его ID — для каждого проекта.
GET/v1/config200
{
"ok": true,
"version": 14,
"configs": [
{ "key": "enemy_damage", "type": "number", "value": "30" },
{ "key": "double_xp_weekend", "type": "boolean", "value": "true" }
],
"checksum": "9c41f0…e27b",
"signature": "Kq3vR8yJ…Wm0=",
"signature_algorithm": "rsa-sha256",
"signing_key_id": "config-v1"
}