Политика безопасности

Ниже — то, как устроена безопасность именно этого сервиса. Если вы читали здесь раньше про PCI DSS, Visa и Mastercard — это был текст чужого сайта, попавший сюда вместе с оформлением, и он к нам не относился.

Платежи

Банковские карты не принимаются вообще. Пополнение идёт только криптовалютой через CryptoBot. Данные карт, CVV и реквизиты счетов на сервере не появляются ни в каком виде — их технически нечем обрабатывать и негде хранить.

Оплата подтверждается на стороне провайдера; баланс зачисляется по счёту, у которого есть собственный идентификатор, и повторное подтверждение того же счёта не зачисляет второй раз.

Вход и сессии

• Авторизация — через Steam OpenID. Пароль Steam на сервер не передаётся и нам не известен.
• Сессионная cookie — httponly и samesite=lax, то есть недоступна скриптам и не уходит на сторонние сайты.
• Любое действие, меняющее баланс, защищено CSRF-токеном и проверкой источника запроса.

Защита страниц

• Content-Security-Policy с одноразовым nonce на каждый скрипт: посторонний скрипт, попавший в разметку, не выполнится.
• HSTS — сайт открывается только по HTTPS.
• X-Content-Type-Options, Referrer-Policy, X-Frame-Options — против подмены типа, утечки адресов и кликджекинга.
• Ограничение частоты запросов и журнал действий по каждому аккаунту.

Что мы храним

Публичный Steam ID, ник и аватар; историю действий в симуляторе; историю пополнений. Ни паспортных данных, ни адресов, ни платёжных реквизитов — кроме тех, что вы сами указываете в заявке на партнёрскую выплату, и они используются только для перевода.

Нашли уязвимость

Напишите в поддержку или по контакту из security.txt. Опишите шаги воспроизведения и не трогайте чужие аккаунты и данные — на такие сообщения мы отвечаем и благодарим.

Обновлено: 12 сентября 2026 года. Вопросы — @o0oooooooooooooooooooooooooooooo. Условия целиком — в публичной оферте.