Roll20 utilise le chiffrement SSL 256 bits pour protéger vos données et votre vie privée. Nous avons également mis en place des mesures de sécurité telles que : empêcher les autres d'accéder à vos données de campagne à moins que vous ne les invitiez spécifiquement, crypter nos sauvegardes, et plus encore. Notre objectif est de vous offrir la tranquillité d'esprit en sachant que vos jeux sont en sécurité entre nos mains.
Signalement des vulnérabilités
Nous ne sommes pas parfaits, et nous savons qu'il y aura des bugs et des choses auxquelles nous n'avons pas pensé. Si vous avez découvert une faille ou une vulnérabilité dans Roll20, veuillez nous la signaler dès que possible via notre formulaire en ligne. Nous vous serions reconnaissants d'attendre une période de 7 jours (ou plus longue) pour régler tout problème avant qu'ils soient révélés publiquement, si vous choisissez de le faire. Malheureusement, nous n'offrons aucune prime en espèces pour les signalements de bugs. Nous vous inscrirons sur notre Page des remerciements si vous nous les communiquez de manière responsable.
Sécurité vs. "Tricherie"
Roll20 est unique en ce sens qu'il s'agit d'une plateforme de jeu qui prend en charge des centaines de types de jeux différents. Par conséquent, les règles du jeu elles-mêmes ne sont pas réellement appliquées par le programme Roll20. Par exemple, bien que vous ne devriez pouvoir déplacer que les jetons dont le MJ vous a donné le contrôle, vous pouvez les déplacer aussi loin que vous le souhaitez, même si les règles de votre jeu spécifient que le jeton ne peut se déplacer que de 10 pieds par tour. Bien que vous ne puissiez tirer que des cartes de decks qui vous sont visibles, vous pouvez en tirer autant que vous le souhaitez, même si les règles de votre jeu spécifient "tirer seulement 1 carte par tour." La liste ici est infinie.
Veuillez ne pas nous soumettre de "vulnérabilités" concernant l'application des règles spécifiques au jeu, de la "tricherie" lors d'une partie, etc. Roll20 est conçu pour émuler un jeu de plateau et, comme dans la vie réelle, si un joueur veut tricher, il peut probablement le faire. Les jeux de table se basent sur la confiance des joueurs et de l'animateur (ou de la personne qui dirige la partie). Quelqu'un peut voler de l'argent à la banque dans Monopoly, mais il gâche juste le jeu pour tout le monde, et aucune mesure coercitive automatique ne peut l'empêcher de le faire.
Exemples de choses qui nous intéressent à savoir :
- Vous pouvez rejoindre une partie même si vous n'avez pas été invité.
- Vous pouvez vous connecter en tant qu'autre utilisateur.
- Vous pouvez voir les messages privés de quelqu'un.
- Vous pouvez rejoindre une partie et tout détruire (par exemple, supprimer tout du plateau)
Exemples de choses qui ne sont pas des vulnérabilités de sécurité, mais sont des tricheries spécifiques aux règles :
- Vous pouvez consulter les PV du pion de quelqu'un d'autre en utilisant la macro @{target}.
- Vous avez trouvé un moyen de passer à une autre page dans le jeu.
- Vous avez trouvé un moyen de désactiver temporairement le brouillard de guerre sur votre écran.
- Vous pouvez consulter les statistiques d'un personnage même si vous ne pouvez pas contrôler ce personnage.
En résumé, nous considérons les vulnérabilités de sécurité comme de graves violations de la fonctionnalité principale du site, et non comme des moyens de contourner l'application des règles de base intégrée à Roll20.
Vulnérabilité Heartbleed
Nous avons reçu plusieurs courriels à ce sujet, nous avons donc décidé de publier une réponse officielle ici. Lorsque la vulnérabilité "Heartbleed" d'OpenSSL a été découverte, nous avons immédiatement vérifié nos serveurs et n'avons trouvé aucun serveur exécutant une version vulnérable d'OpenSSL. Nous avons ensuite procédé à une mise à niveau vers la dernière version corrigée par mesure de sécurité, mais à l'heure actuelle, il n'est pas nécessaire de changer votre mot de passe et Roll20 n'a jamais été vulnérable à cette attaque.