كيف يتحقق Studcheck من حساب Roblox
هذه الآلية كاملة، مكتوبة. قصيرة لأنها لا تحوي الكثير، وهذا هو المقصود: كلما قلّت الأجزاء المتحركة في أداة التحقق، قلّ ما يمكن أن تخطئ به تجاه حسابك.
المسار خطوة بخطوة
ترسل <code>/verify</code> إلى البوت. يرد بزر واحد يفتح عنواناً على <code>apis.roblox.com</code>، نطاق Roblox لا نطاقنا.
يعرض Roblox شاشة موافقة تسرد بالضبط ما يطلبه Studcheck. توافق أو لا. إن وافقت، يرسل Roblox إلى البوت رمزاً قصير العمر يبدله البوت على الخادم بتوكن، ثم يسأل Roblox من أنت.
ذلك الجواب — معرّفك واسم المستخدم والاسم المعروض والصورة الرمزية — هو ما يُخزَّن، مع معرّفك في تيليجرام. لا شيء آخر يمرّ بينهما.
الإذنان
يطلب Studcheck نطاقي <code>openid</code> و<code>profile</code>. على شاشة Roblox يظهران كـ<b>قراءة معرّف المستخدم</b> و<b>قراءة ملف المستخدم</b>، وكلاهما منخفض الخطورة بتصنيف Roblox.
لا يتيح أيٌّ منهما للبوت التصرف باسمك. لا يستطيع النشر ولا التبادل ولا إنفاق Robux ولا الانضمام لمجموعات ولا تغيير الإعدادات ولا قراءة أي شيء خاص. يمكنه أن يعرف من أنت، وهذا كل شيء.
ما لا يراه البوت أبداً
<b>كلمة مرورك.</b> تكتبها على موقع Roblox. لا تصل إلينا أبداً ولا يوجد لها حقل في البوت.
<b>ملف تعريف الارتباط <code>.ROBLOSECURITY</code>.</b> هو توكن الجلسة الذي يتيح التصرف باسمك. وُجد OAuth تحديداً كي لا تحتاجه الأدوات أبداً.
<b>أي شيء لم توافق عليه.</b> يفرض Roblox النطاقات من جهته.
لماذا يتفوق على رمز الملف الشخصي
الطريقة القديمة تجعلك تلصق رمزاً في وصف ملفك ليقرأه البوت. تعمل، لكنها تعلّم اللاعبين لصق نصوص غريبة في ملفاتهم، وهي العادة التي يعتمد عليها سارقو الحسابات.
يثبت OAuth ذلك لـRoblox لا لنا. يشهد Roblox على الهوية مباشرة ولا يلمس البوت ملفك أبداً.
الحالة الموقّعة
عند بناء رابط الدخول، يضمّن البوت توكناً موقّعاً يربط الطلب بمعرّفك في تيليجرام، صالحاً لخمس عشرة دقيقة. يُتحقق من التوقيع في زمن ثابت.
هذه التفصيلة تمنع أحداً من ربط حسابه في Roblox بمعرّفك <em>أنت</em>، أو إعادة استخدام رابط قديم.
بعد التحقق
التحقق لقطة لحظية، لذا يعيد البوت الفحص. كل ساعة يسأل Roblox إن حُظرت حسابات موثّقة ويزيل أصحابها. تُحدَّث الأسماء عند <code>/whoami</code>؛ أما الربط نفسه فمبني على معرّف Roblox الذي لا يتغير.
أرسل <code>/unlink</code> فيُحذف الربط فوراً. لا فترة انتظار ولا تأكيد بالبريد، لأننا لا نملك بريدك.
ما يُخزَّن
سجل واحد لكل ربط: معرّفك في تيليجرام ومعرّف Roblox واسم المستخدم والاسم المعروض ورابط الصورة والتاريخ. تسرد <a href="/privacy">صفحة الخصوصية</a> كل شيء.
لا تُحفظ توكنات الوصول. يستخدم البوت التوكن مرة واحدة ثم يتخلص منه.
ما لا يثبته
يثبت OAuth أنك كنت تتحكم بذلك الحساب لحظة الدخول. لا يثبت أنه لم يُبَع أو يُسرق منذ ذلك الحين. على المشرفين اعتباره إشارة قوية لا ضماناً، ولهذا يوجد الفحص الساعي.
إن وجدت في هذا الوصف ما لا يطابق سلوك البوت، فهو خطأ ونودّ معرفته.