MAJACLOUDSegurança
O que o MAJACLOUD protege para você e o que continua sendo sua responsabilidade.
Comentários de código e nomes da API ficam em inglês para corresponder aos SDKs.
Chaves#
- A chave de cliente apenas identifica o projeto; todo endpoint de jogador também exige o token do próprio jogador.
- As chaves secretas são armazenadas como hashes SHA-256 e exibidas uma única vez. Rotacione qualquer uma das chaves na página Chaves de API; rotacionar a chave de cliente quebra as builds que ainda usam a antiga.
Nunca coloque a chave secreta (
sk_live_…) em uma build do jogo ou em uma página web. Tudo o que é entregue aos jogadores pode ser lido.Tokens de jogador#
- Os tokens de acesso expiram após uma hora e são renovados automaticamente com um refresh token rotativo.
- Reutilizar um refresh token antigo revoga aquela sessão em todos os dispositivos.
HTTPS#
- A API recusa HTTP puro, exceto a partir de localhost, e envia HSTS via HTTPS.
Autoridade do servidor#
- Pontuações, recompensas e carteiras são validadas no servidor, sem nunca confiar no cliente.
- Tudo o que o cliente consegue ler pode ser inspecionado. Mantenha segredos e a lógica que exige autoridade no seu servidor, usando a chave secreta.
Configuração assinada#
- A configuração remota é assinada com RSA-SHA256 e verificada no dispositivo antes de ser usada, então um proxy ou uma resposta de rede modificada não consegue alterar seus valores.
Dados dos jogadores#
- Você pode consultar e excluir qualquer jogador no painel; excluir um projeto remove todos os dados dele. Os endereços IP nos logs são armazenados como hashes com chave.