Безопасность в основе

Как мы защищаем ваш клуб и ваших игроков

Здесь описано, как платформа работает сегодня: защита, встроенная в наш сервер, клиент на ПК и ресивер в вашей сети.

Решения принимает наш сервер

Тарификация и доступ решаются в облаке. Клиент на ПК и ресивер в вашей сети только выполняют подписанные команды.

Подробнее

Защита аккаунтов

Надёжный вход для владельцев и персонала с полным контролем сессий и устройств.

Подробнее

Шифрование и платежи

Трафик шифруется при передаче, а важные секреты — при хранении.

Подробнее

Минимум данных

Мы собираем только то, что нужно для работы клуба, и ничего о том, что игроки просматривают в интернете.

Подробнее

Управление для игроков

Игроки могут безопасно восстановить аккаунт и выбрать, какие сообщения получать.

Подробнее

Сроки хранения и автоматическая очистка

Задачи очистки автоматически работают на нашем сервере и удаляют служебные данные по этому графику.

Подробнее

Решения принимает наш сервер

Тарификация и доступ решаются в облаке. Клиент на ПК и ресивер в вашей сети только выполняют подписанные команды.

  • Цены, время сессии, балансы и лимиты подписки рассчитываются на нашем сервере, а не на игровом ПК.
  • Каждый ответ, который разблокирует ПК или запускает команду, подписывается HMAC-SHA256 собственным секретом этого ПК и новым одноразовым значением от клиента. Клиент отклоняет ответ с неверной подписью.
  • Когда запросы идут через ресивер в локальной сети, ПК не передаёт свой токен сессии. Он отправляет доказательство, привязанное к MAC-адресу и одноразовому nonce, а повторный nonce отклоняется.
  • Секрет устройства хранится на ПК в зашифрованном виде с помощью Windows DPAPI.
  • Папка установки клиента доступна учётным записям игроков только для чтения и запуска, а секреты устройства доступны только группе Administrators и SYSTEM.
  • Локальные службы ресивера принимают подключения только с адресов частной сети.

Защита аккаунтов

Надёжный вход для владельцев и персонала с полным контролем сессий и устройств.

  • Пароли хранятся в виде хешей bcrypt и никогда в открытом виде.
  • Двухэтапная проверка для владельцев и кассиров: приложение-аутентификатор (TOTP), 10 одноразовых резервных кодов, хранящихся в виде хешей, и ключи доступа (passkeys).
  • Владелец может сделать двухэтапную проверку обязательной для своего аккаунта или для всего персонала и разрешить доверенные устройства на 30 дней.
  • Просматривайте все активные сессии и доверенные устройства, завершайте одну или все сразу и смотрите журнал безопасности клуба.
  • Число неудачных попыток входа ограничено для каждого аккаунта и IP-адреса, а повторные неверные коды блокируют аккаунт на 15 минут.
  • За Cloudflare мы используем реальный IP-адрес посетителя и игнорируем заголовки пересылки, которые можно подделать, поэтому ограничения не обойти фальшивыми адресами.
  • Наша панель администрирования требует двухэтапную проверку для главного администратора, запрашивает повторное подтверждение перед важными действиями, завершает неактивные сессии и записывает каждое изменение в журнал аудита только для добавления.

Шифрование и платежи

Трафик шифруется при передаче, а важные секреты — при хранении.

  • Все соединения идут по HTTPS, а браузерам указано всегда использовать HTTPS (HSTS).
  • Ключи платёжных шлюзов, секреты двухэтапной проверки и сохранённые пароли игровых аккаунтов зашифрованы в базе данных с помощью Fernet (AES с HMAC).
  • Пароли игровых аккаунтов никогда не показываются в панели. Они передаются только на ПК с активной сессией и повторно шифруются ключом, производным от секрета этого ПК и конкретной выдачи.
  • Игроки оплачивают онлайн на странице самого платёжного шлюза. Номера карт никогда не проходят через наши серверы и не хранятся на них.
  • Web push-уведомления зашифрованы так, что push-сервис не может их прочитать, и содержат только заголовок, короткий текст и ссылку внутри приложения.
  • Электронные чеки открываются по случайной ссылке, которую невозможно угадать, а не по порядковому номеру.

Минимум данных

Мы собираем только то, что нужно для работы клуба, и ничего о том, что игроки просматривают в интернете.

  • С игровых ПК: имя устройства, MAC-адрес, компоненты оборудования и их серийные номера (чтобы заметить замену или снятие деталей), состояние, температура и загрузка ресурсов, а также игры и приложения, запущенные из клиента.
  • Мониторинг интернета считает только скачанные и отправленные байты: без сайтов, адресов и истории браузера.
  • Экран ПК в реальном времени захватывается только тогда, когда сотрудник запрашивает его в панели.
  • Данные игрока — это то, что вносит клуб или сообщает сам игрок: имя, логин, телефон или e-mail, баланс, сессии и покупки.
  • Данные каждого клуба отделены от других клубов, сотрудники видят только то, что разрешает их роль, и мы никогда не продаём данные.

Управление для игроков

Игроки могут безопасно восстановить аккаунт и выбрать, какие сообщения получать.

  • Игрок может сам сбросить пароль через подтверждённый e-mail, Telegram, ключ доступа или одноразовый код от кассира, который проверяет его лично. Коды действуют недолго и срабатывают только один раз.
  • Форма сброса отвечает одинаково, существует аккаунт или нет, поэтому через неё нельзя выяснить, какие аккаунты есть.
  • После смены пароля все остальные устройства выходят из аккаунта, а подписки на push-уведомления удаляются.
  • Рекламные push-уведомления требуют явного согласия игрока (по умолчанию выключены) и ограничены в день для каждого клуба.
  • Игрок может в любой момент отключить предложения в приложении — после этого он не получает сообщений кампаний ни по одному каналу.
  • Чтобы запросить выгрузку или удаление данных, свяжитесь с нами.

Сроки хранения и автоматическая очистка

Задачи очистки автоматически работают на нашем сервере и удаляют служебные данные по этому графику.

ДанныеСрок хранения
Сообщения чата между персоналом и ПК7 дней
Выполненные команды устройствам7 дней
Файлы, удалённые из медиатеки7 дней после удаления
Временные файлы импорта клиентов24 часа
Очередь отправки web push14 дней
Очередь уведомлений владельца30 дней
Закрытые оповещения о состоянии устройств30 дней
Почасовой расход интернета по ПК90 дней, затем суточные итоги 2 года
История изменений оборудования1 год
Истёкшие сессии входа1 день после истечения

Частые вопросы

Что клиент сообщает об игроках?

Оборудование, состояние, игры и приложения, запущенные из клиента, и объём интернет-трафика в байтах. Он не собирает сайты, историю браузера и личные файлы.

Может ли кто-то в локальной сети разблокировать ПК без оплаты?

Ответы на разблокировку и команды подписываются секретом, уникальным для каждого ПК, и одноразовым значением. Клиент отклоняет поддельный или повторённый ответ.

Вы храните номера карт?

Нет. Онлайн-оплата проходит на странице самого шлюза; мы записываем только сумму, способ оплаты и номер транзакции.

Кто видит данные моего клуба?

Вы и сотрудники, которых вы добавили, в пределах выданных им прав. Данные клубов разделены и никогда не продаются.

Как выгрузить или удалить данные?

Свяжитесь с нами в Discord, Telegram или через страницу контактов, и мы обработаем запрос.

Сообщить о проблеме безопасности

Нашли уязвимость? Сообщите нам конфиденциально через каналы поддержки — мы проверим и исправим её.

  • Опишите проблему и шаги для её воспроизведения.
  • Не открывайте, не изменяйте и не удаляйте чужие данные и не нарушайте работу сервиса.
  • Дайте нам разумное время на исправление, прежде чем публиковать подробности.
Сообщить в Discord Сообщить в Telegram Все способы связи

На этой странице описана защита, встроенная в ArenaOS сегодня. Это не сертификат и не договорная гарантия; юридические детали — в Политике конфиденциальности и Условиях использования. Политика конфиденциальности · Условия использования

×