Безопасность

WheelOfSpins защищает ваши колёса и безопасность аккаунта с помощью шифрования HTTPS, строгих заголовков безопасности, подписанных сессионных токенов, доступа к данным только для их владельца и криптографической случайности, которая вычисляется в вашем браузере.

Шифрование HTTPS и заголовки безопасности браузера

Все страницы и запросы передаются по HTTPS с современным шифрованием TLS, а HTTP Strict Transport Security (HSTS) указывает браузерам всегда использовать защищённое соединение. Сайт также отправляет Content Security Policy, X-Frame-Options для защиты от кликджекинга, X-Content-Type-Options против подмены типа содержимого, строгую Referrer-Policy и Permissions-Policy, которая отключает доступ к камере, микрофону и геолокации.

  • HTTPS на всём сайте с HSTS
  • Content Security Policy и защита от кликджекинга
  • Доступ к камере, микрофону и геолокации отключён

Криптографическая случайность в вашем браузере

Результат каждого вращения выбирается в вашем браузере с помощью Web Crypto API (crypto.getRandomValues), который выдаёт криптографически стойкие случайные числа. В редких случаях, когда очень старый браузер не поддерживает Web Crypto, колесо использует стандартную функцию случайных чисел браузера, чтобы продолжать работать. Результаты никогда не определяются на наших серверах, а изменить шансы можно только весами элементов, которые вы задаёте сами.

  • Случайный выбор через Web Crypto API
  • Результаты вычисляются на вашем устройстве
  • Шансы меняются только заданными вами весами

Безопасность аккаунта и контроль доступа

Пароли хранятся только в виде хешей bcrypt и никогда в открытом виде. После входа ваша сессия поддерживается подписанными JSON Web Token в cookie с флагом HTTP-only, которые не могут прочитать скрипты на странице. Каждый запрос к сохранённым колёсам проверяется по вашему аккаунту, поэтому вы можете просматривать и изменять только свои колёса, а публичные ссылки показывают лишь те колёса, которые вы решили опубликовать.

  • Пароли хранятся как хеши bcrypt
  • Сессионные cookie с флагом HTTP-only
  • Сохранённые колёса доступны только владельцу

Как сообщить об уязвимости

Мы рады сообщениям от исследователей безопасности и пользователей. Если вы нашли уязвимость, отправьте подробности через нашу страницу контактов, указав затронутый URL, шаги для воспроизведения проблемы и возможные последствия. Пожалуйста, дайте нам разумное время на расследование и исправление, прежде чем раскрывать информацию публично.

  • Сообщайте через страницу контактов
  • Укажите шаги воспроизведения
  • Мы ценим ответственное раскрытие

Часто задаваемые вопросы

Как WheelOfSpins обеспечивает честность вращений?

Результаты выбираются в вашем браузере с помощью Web Crypto API, поэтому наши серверы не могут их изменить. Изменить шансы можно, только самостоятельно задав веса элементов.

Могут ли другие пользователи видеть мои сохранённые колёса?

Нет. Сохранённые колёса привязаны к вашему аккаунту, и каждый запрос проверяется. Другие люди могут открыть только те колёса, которыми вы поделились по публичной ссылке.

Как сообщить об уязвимости?

Воспользуйтесь формой на странице контактов и укажите затронутый URL, шаги воспроизведения и замеченные последствия. Мы рассматриваем каждое обоснованное сообщение.