Säkerhet

Rättvisa kort och tärningar

• Korten blandas och tärningarna slås på vår server, med kryptografisk slump: samma sorts slump som används till krypteringsnycklar. Ingen kan räkna ut i förväg vad som kommer, inte heller vi.
• Din webbläsare får bara dina egna kort. Andras kort skickas aldrig till din skärm förrän de visas på bordet, så de går inte att hitta i sidans kod.
• Servern bestämmer över varje drag. Ett drag som bryter mot reglerna tas inte emot, hur det än skickas.
• I Flaxa och Femkamp spelar servern om ditt parti från dina tryck och räknar poängen själv, så ingen kan skriva in egna poäng.

Fjäderkedjan och Bitcoin

Spelbordet har en egen kedja av block, där varje block bär ett fingeravtryck av blocket före. En gång om dagen förankras det senaste blocket i Bitcoins blockkedja med OpenTimestamps. Efter det kan ingen, inte ens vi, ändra något i kedjan utan att det syns. Rundor i Stoppa klockan och reaktionstestet sparas i dag som bevis i kedjan, och du kan kontrollera ett bevis själv i webbläsaren. Kortgivarna sparas inte i kedjan.

Mot fusk och elakheter

• Ett parti som loggas från ett riktigt bord räknas inte om någon av de andra spelarna säger nej.
• I chatten kan du anmäla ett meddelande och blockera en spelare. Grova ord döljs automatiskt, och anmälningar läses av en moderator.

Så skyddar vi ditt konto

• All trafik går krypterad över HTTPS.
• Lösenord sparas aldrig i klartext, bara som en saltad hash (scrypt).
• Inloggningskakan kan inte läsas av skript på sidan, och andra sajter kan inte använda den för att göra saker i ditt namn.
• För många felaktiga inloggningsförsök spärras en stund, så att ingen kan gissa sig till ett lösenord.
• Kontodatabasen säkerhetskopieras före varje uppdatering av sajten och minst en gång om dygnet, och varje kopia kontrolleras.
• Varje ändring av sajten testas automatiskt innan den går live.
• Sidorna kör bara våra egna skript. Webbläsaren stoppar kod som någon försöker smyga in, så att ingen kan läsa dina kort eller ta över ditt konto den vägen.
• Sajten kan inte visas inuti andra sajter, vilket skyddar mot klickkapning.
• Servern står hos Oderland i Sverige.

Hittat ett säkerhetsfel?

Mejla hej@spelbordet.app och beskriv vad du hittade och hur vi kan se det. Testa bara mot ditt eget konto, rör aldrig andras uppgifter, och berätta inte om felet offentligt förrän det är lagat. Vi svarar så snart vi kan och tackar gärna med namn när det är fixat.

Uppgifterna finns också i security.txt.