Очень плохо себя сейчас поведу, но тема важная. Особенно для специалистов из маркетинга, кто делает игровые проекты

Последние два года остро стоит проблема с пользовательскими данными. Их то тут, то там сливают. Поэтому важно меры безопасности повышать, даже, казалось бы, в небольших проектах.

Игры в соцсетях, мессенджерах, чат-боты и сайты — все это также собирает, обрабатывает и использует пользовательские данные. И не какие-то, а ваших клиентов! К которым очень легко можно получить доступ. Или навредить вашей репутации.

Пост родился из свежего игрового проекта от ПИК — https://t.iss.one/pik_game_bot
Мы следим за рынком и всегда разбираем проект на составные, т.к можно найти много интересного. Но в этот раз нашли слишком много, давайте по порядку:

1) Авторизация пользователя происходит через Telegram ID, без дополнительных мер шифрования. Мы в таких целях используем данные инициализации с секретным ключом, который при входе передается в WebApp.
Т.е можно беспрепятственно скачать всю базу пользователей игры. Но что еще хуже, из-за этой дыры можно получать за пользователей их купоны на скидку (является наградой).

Таким образом, можно вытащить всю базу купонов и залить их на любой сайт с промокодами. А по базе пользователей запустить фишинг.

2) Игра не проверяет результаты через бэкенд, а доверяет данным на части фронтенда. Грубо говоря, никак не перепроверяет данные и не следит за действиями пользователя. Это ок, если у вас интерактивный сайт, и оч плохо, когда вы делаете полноценную игру.

Т.е прямо сейчас можно менять в игре:
1) Анимацию раскачивания домика, сводя на нет механику
2) Самостоятельно вводить нужно кол-во очков и отправлять на сервер

Т.е избежать школьника с базовыми знаниями кода не получится и в рейтинге будут игроки с 999 999. Что только увеличит негатив, не считая неполученных наград.

3) Сами сталкивались с этой проблемой, тут также ее видим — у ПИК есть понятный CJM из игры в форму заявки, чтобы сразу узнать про условия покупки квартиры. Вот только когда сайт открывается внутри WebApp, активные элементы, такие как кнопка «Звонок», отваливаются и не работают (на части платформ).
Покажет ли какие-то тут результаты проект? Нет.

Мы сами наступали на грабли и нам также есть куда расти. Для этого мы постоянно инвестируем время и ресурсы в развитие. Бэклог улучшений уже на год вперед и даже после этого, всегда будет куда улучшаться. Для меня важно написать этот пост, т.к хочу, чтобы наши клиенты делали фокус на безопасности данных в своих проектах. Это непрозрачная сторона нашей специфики, но очень важная. И чувствую ответственность ее проговорить.

Что можно сделать? Скорее всего, у вас есть отдел IT в компании или знакомый разработчик — покажите ему проект. 1 час времени и бонус в виде пиццы спасет вас от репутационных рисков и поможет сделать качественный проект. А для специалиста это будет приятным отвлечением и небольшой задачей + пицца!

Ну а также приходите в Trend Surfers, мы готовы гарантировать безопасность данных ваших пользователей и уже перестраховались за вас 🏄🏻‍♂️