Roll20 emplea el cifrado SSL de 256 bits líder en la industria para ayudar a proteger tus datos y tu privacidad. También tenemos medidas de seguridad implementadas, como mantener a otros fuera de tus datos de campaña a menos que los invites específicamente, encriptar nuestras copias de seguridad y más. Nuestro objetivo es brindarte la tranquilidad de saber que tus juegos están seguros en nuestras manos.
Informar de Vulnerabilidades
No somos perfectos y sabemos que habrá errores y cosas que no hemos considerado. Si has encontrado una vulnerabilidad o fallo en Roll20, por favor, repórtalo lo antes posible a través de nuestro formulario web . Agradeceríamos un período de 7 días (o más) para resolver cualquier problema antes de que se revele públicamente, en caso de que decidas hacerlo. Desafortunadamente, no ofrecemos recompensas en efectivo por informes de errores. Te incluiremos en nuestra Agradecimientospágina si nos lo revelas de manera responsable.
Seguridad vs. "Trampas"
Roll20 es único en el sentido de que es una plataforma de juegos que admite cientos de tipos diferentes de juegos. Como resultado, las reglas del juego en sí no son realmente aplicadas por el programa Roll20. Por ejemplo, aunque solo deberías poder mover fichas sobre las que el DJ te ha dado control, puedes moverlas tan lejos como quieras, incluso si las reglas de tu juego especifican que la ficha solo puede moverse 10 pies por turno. Aunque solo puedes robar cartas de mazos que sean visibles para ti, puedes robar tantas cartas como quieras, incluso si las reglas de tu juego especifican "solo roba 1 carta por turno". La lista aquí es interminable.
Por favor, no nos envíes "vulnerabilidades" sobre la aplicación de reglas específicas del juego, "hacer trampa" en un juego, etc. Roll20 está diseñado para emular un juego de mesa y, al igual que en la vida real, si un jugador quiere hacer trampa, probablemente encontrará la manera de hacerlo. Los juegos de mesa se juegan basados en la confianza en los jugadores y en el DJ (o persona que dirige el juego). Alguien puede robar del banco en el Monopoly, pero solo arruinan el juego para todos y ninguna cantidad de aplicación automática puede evitar que lo hagan.
Ejemplos de cosas sobre las que nos interesa saber:
- Puedes unirte a un juego aunque no hayas sido invitado.
- Puedes iniciar sesión como otro usuario.
- Puedes ver los mensajes privados de alguien.
- Puedes unirte a un juego y arruinarlo por completo (por ejemplo, eliminar todo del tablero)
Ejemplos de cosas que no son vulnerabilidades de seguridad pero son trampas específicas de reglas:
- Puedes ver los Puntos de Vida del token de otra persona usando la macro @{target} .
- Descubriste una forma de cambiar a una página diferente en el juego.
- Descubriste una forma de desactivar temporalmente la niebla de guerra en tu pantalla.
- Puedes ver las estadísticas de un personaje aunque no puedas controlar ese personaje.
Entonces, para resumir, consideramos que las vulnerabilidades de seguridad son violaciones graves de la funcionalidad principal del sitio, no formas de evitar el cumplimiento de las reglas básicas incorporadas en Roll20.
Vulnerabilidad Heartbleed
Hemos recibido varios correos electrónicos sobre esto, así que pensamos que publicaríamos una respuesta oficial aquí. Cuando se reveló la vulnerabilidad de OpenSSL "Heartbleed", verificamos de inmediato nuestros servidores y no encontramos ninguno que estuviera ejecutando una versión vulnerable de OpenSSL. Hemos actualizado todo a la última versión parcheada solo para estar seguros, pero en este momento no es necesario cambiar tu contraseña y en ningún momento Roll20 fue vulnerable a este ataque.