Sécurité

Ce que MAJACLOUD protège pour vous, et ce qui reste sous votre responsabilité.

Les commentaires du code et les noms d'API restent en anglais pour correspondre aux SDK.

Sur cette page

Clés
Jetons joueur
HTTPS
Autorité du serveur
Configuration signée
Données des joueurs

Clés#

La clé client identifie seulement le projet ; chaque endpoint joueur exige en plus le jeton propre au joueur.
Les clés secrètes sont stockées sous forme de hash SHA-256 et affichées une seule fois. Vous pouvez régénérer l'une ou l'autre clé sur la page Clés API ; régénérer la clé client casse les builds qui utilisent encore l'ancienne.

Ne mettez jamais la clé secrète (sk_live_…) dans un build du jeu ou une page web. Tout ce qui est distribué aux joueurs peut être lu.

Jetons joueur#

Les jetons d'accès expirent au bout d'une heure et sont rafraîchis automatiquement grâce à un jeton de rafraîchissement renouvelé à chaque utilisation.
Réutiliser un ancien jeton de rafraîchissement révoque cette session partout.

HTTPS#

L'API refuse le HTTP non chiffré, sauf depuis localhost, et envoie HSTS en HTTPS.

Autorité du serveur#

Scores, récompenses et portefeuilles sont validés côté serveur, jamais sur la seule foi du client.
Tout ce que le client peut lire peut être inspecté. Gardez les secrets et la logique qui fait autorité sur votre serveur, avec la clé secrète.

Configuration signée#

La configuration à distance est signée en RSA-SHA256 et vérifiée sur l'appareil avant d'être utilisée : ni un proxy ni une réponse réseau modifiée ne peuvent changer vos valeurs.

Données des joueurs#

Vous pouvez consulter et supprimer n'importe quel joueur dans le tableau de bord ; supprimer un projet efface toutes ses données. Les adresses IP des journaux sont stockées sous forme de hash avec clé.