MAJACLOUDSeguridad
Lo que MAJACLOUD protege por ti y lo que sigue siendo tu responsabilidad.
Los comentarios del código y los nombres de la API se mantienen en inglés para que coincidan con los SDK.
Claves#
- La clave de cliente solo identifica el proyecto; cada endpoint de jugador también necesita el token propio del jugador.
- Las claves secretas se almacenan como hashes SHA-256 y se muestran una sola vez. Puedes rotar cualquiera de las dos claves en la página Claves de API; rotar la clave de cliente rompe las builds que aún usan la anterior.
Nunca pongas la clave secreta (
sk_live_…) en una build del juego ni en una página web. Todo lo que se entrega a los jugadores se puede leer.Tokens de jugador#
- Los tokens de acceso caducan al cabo de una hora y se renuevan automáticamente con un token de actualización rotativo.
- Reutilizar un token de actualización antiguo revoca esa sesión en todas partes.
HTTPS#
- La API rechaza HTTP sin cifrar salvo desde localhost y envía HSTS por HTTPS.
Autoridad del servidor#
- Las puntuaciones, recompensas y billeteras se validan en el servidor y nunca se da por bueno lo que envía el cliente.
- Todo lo que el cliente puede leer se puede inspeccionar. Mantén los secretos y la lógica autoritativa en tu servidor, con la clave secreta.
Configuración firmada#
- La configuración remota se firma con RSA-SHA256 y se verifica en el dispositivo antes de usarla, así que ni un proxy ni una respuesta de red modificada pueden cambiar tus valores.
Datos de los jugadores#
- Puedes consultar y eliminar cualquier jugador en el panel; al eliminar un proyecto se borran todos sus datos. Las direcciones IP de los registros se almacenan como hashes con clave.