Безопасность
Как устроены вход, проверка обновлений и управление доступом — без обещаний абсолютной защиты.
Авторизация и пароли
Новые пароли обрабатываются scrypt с отдельной солью. Подтверждение почты и восстановление используют одноразовые коды с ограниченным сроком и числом попыток. Вход и служебные операции ограничены по частоте.
Защищённые действия проверяют сессию и CSRF-токен. Административные endpoints проверяют роль на сервере; скрытие кнопки не используется как единственная защита.
Контроль сессий
В настройках профиля доступен список входов. Завершите неизвестные сессии и смените пароль. При восстановлении пароля прежние сессии отзываются.
Проверка обновлений
Опубликованный установщик Windows определяется действующим манифестом релиза. Сервис проверяет подпись манифеста и контрольную сумму при публикации. Страница скачивания показывает SHA-256, когда значение предоставлено источником.
Новый Tauri Launcher имеет свой штатный updater и историю релизов; на этом этапе его код и настройки не менялись. Не считайте подпись манифеста сертификатом безопасности любого стороннего файла.
Проверяйте источник файла
- Открывайте страницу скачивания WuwaHub по известному адресу.
- Сравнивайте SHA-256 скачанного файла с показанной суммой, если она доступна.
- Не устанавливайте DLL из личных сообщений под видом обязательного исправления.
- При предупреждении антивируса сохраните название обнаружения и передайте его поддержке.
Сообщить о проблеме безопасности
Свяжитесь с командой через Telegram Wuwa News и запросите способ приватной передачи отчёта. Опишите затронутый адрес, шаги и предполагаемое влияние без публикации чужих данных.
Не отправляйте пароли, токены и полные cookie. Отдельный публично подтверждённый адрес для security-отчётов пока не указан владельцем.