MAJACLOUDSicherheit
Was MAJACLOUD für Sie schützt und wofür Sie selbst verantwortlich bleiben.
Codekommentare und API-Namen bleiben auf Englisch, damit sie zu den SDKs passen.
Schlüssel#
- Der Client-Schlüssel identifiziert nur das Projekt; jeder Spieler-Endpunkt benötigt zusätzlich das Token des jeweiligen Spielers.
- Geheime Schlüssel werden als SHA-256-Hashes gespeichert und nur einmal angezeigt. Beide Schlüssel lassen sich auf der Seite API-Schlüssel rotieren; das Rotieren des Client-Schlüssels legt Builds lahm, die noch den alten verwenden.
Bauen Sie den geheimen Schlüssel (
sk_live_…) niemals in einen Spiel-Build oder eine Webseite ein. Alles, was an Spieler ausgeliefert wird, kann ausgelesen werden.Spieler-Tokens#
- Access-Tokens laufen nach einer Stunde ab und werden automatisch mit einem rotierenden Refresh-Token erneuert.
- Die Wiederverwendung eines alten Refresh-Tokens widerruft diese Sitzung überall.
HTTPS#
- Die API lehnt unverschlüsseltes HTTP außer von localhost ab und sendet über HTTPS einen HSTS-Header.
Server-Autorität#
- Punktzahlen, Belohnungen und Wallets werden auf dem Server geprüft – dem Client wird nie vertraut.
- Alles, was der Client lesen kann, lässt sich auch einsehen. Halten Sie Geheimnisse und maßgebliche Logik mithilfe des geheimen Schlüssels auf Ihrem Server.
Signierte Konfiguration#
- Die Remote-Konfiguration ist mit RSA-SHA256 signiert und wird vor der Verwendung auf dem Gerät geprüft, sodass weder ein Proxy noch eine manipulierte Netzwerkantwort Ihre Werte ändern kann.
Spielerdaten#
- Sie können jeden Spieler im Dashboard einsehen und löschen; das Löschen eines Projekts entfernt alle seine Daten. IP-Adressen in Logs werden als Hashes mit geheimem Schlüssel gespeichert.