O WheelOfSpins protege suas roletas e a segurança da sua conta com criptografia HTTPS, cabeçalhos de segurança rigorosos, tokens de sessão assinados, acesso aos dados restrito ao proprietário e aleatoriedade criptográfica executada no seu próprio navegador.
Criptografia HTTPS e cabeçalhos de segurança do navegador
Todas as páginas e solicitações são servidas por HTTPS com criptografia TLS moderna, e o HTTP Strict Transport Security (HSTS) orienta os navegadores a sempre usar a conexão segura. O site também envia uma Content Security Policy, X-Frame-Options para bloquear clickjacking, X-Content-Type-Options para impedir a detecção de tipo de conteúdo, uma Referrer-Policy rigorosa e uma Permissions-Policy que desativa o acesso à câmera, ao microfone e à localização.
HTTPS em todo o site com HSTS
Content Security Policy e proteção contra clickjacking
Acesso a câmera, microfone e localização desativado
Aleatoriedade criptográfica no seu navegador
Cada resultado é escolhido no seu navegador com a Web Crypto API (crypto.getRandomValues), que fornece números aleatórios criptograficamente seguros. No caso raro de um navegador muito antigo não oferecer suporte ao Web Crypto, a roleta usa a função aleatória padrão do navegador para continuar funcionando. Os resultados nunca são decididos em nossos servidores, e apenas os pesos que você mesmo define alteram as chances.
Seleção aleatória com a Web Crypto API
Resultados calculados no seu dispositivo
As chances só mudam com os pesos que você escolher
Segurança da conta e controle de acesso
As senhas são armazenadas apenas como hashes bcrypt, nunca em texto simples. Depois do login, sua sessão é mantida por JSON Web Tokens assinados, guardados em cookies HTTP-only que os scripts da página não conseguem ler. Toda solicitação de roletas salvas é verificada em relação à sua conta, então você só pode ver ou alterar as roletas que são suas, e os links públicos mostram apenas as roletas que você decide publicar.
Senhas armazenadas como hashes bcrypt
Cookies de sessão HTTP-only
Roletas salvas restritas ao proprietário
Como relatar uma vulnerabilidade de segurança
Recebemos com prazer relatos de pesquisadores de segurança e usuários. Se você encontrar uma vulnerabilidade, envie os detalhes pela nossa página de contato, incluindo a URL afetada, os passos para reproduzir o problema e o possível impacto. Pedimos que nos dê um prazo razoável para investigar e corrigir o problema antes de divulgá-lo publicamente.
Os resultados são escolhidos no seu próprio navegador com a Web Crypto API, então nossos servidores não podem alterá-los. A única forma de mudar as chances é você mesmo definir pesos para as entradas.
Outros usuários podem ver minhas roletas salvas?
Não. As roletas salvas ficam vinculadas à sua conta e cada solicitação é verificada. Outras pessoas só podem abrir as roletas que você compartilhar por um link público.
Como relato uma vulnerabilidade de segurança?
Use o formulário da nossa página de contato e informe a URL afetada, os passos para reproduzir e o impacto observado. Analisamos todos os relatos válidos.