Cómo verifica Studcheck una cuenta de Roblox
Este es el mecanismo completo, por escrito. Es corto porque no hay mucho, y esa es la idea: cuantas menos piezas móviles tiene una herramienta de verificación, menos puede fallar con tu cuenta.
El flujo, paso a paso
Envías <code>/verificar</code> al bot. Responde con un botón que abre una dirección en <code>apis.roblox.com</code>, el dominio de Roblox, no el nuestro.
Roblox muestra una pantalla de consentimiento con exactamente lo que pide Studcheck. Apruebas o no. Si apruebas, Roblox envía al bot un código de corta duración, que el bot cambia por un token en el servidor, y luego pregunta a Roblox quién eres.
Esa respuesta —tu id, nombre de usuario, nombre visible y avatar— es lo que se guarda, junto con tu id de Telegram. Nada más pasa entre ambos.
Los dos permisos
Studcheck pide los ámbitos <code>openid</code> y <code>profile</code>. En la pantalla de Roblox aparecen como <b>Leer id de usuario</b> y <b>Leer perfil de usuario</b>, ambos marcados como de bajo riesgo por Roblox.
Ninguno permite al bot actuar como tú. No puede publicar, intercambiar, gastar Robux, unirse a grupos, cambiar ajustes ni leer nada privado. Puede saber quién eres, y nada más.
Lo que el bot nunca ve
<b>Tu contraseña.</b> La escribes en el sitio de Roblox. Nunca nos llega y no hay ningún campo para ella en el bot.
<b>Tu cookie <code>.ROBLOSECURITY</code>.</b> Es el token de sesión que permitiría actuar como tú. OAuth existe precisamente para que las herramientas nunca lo necesiten.
<b>Nada que no hayas aprobado.</b> Roblox aplica los ámbitos por su lado.
Por qué es mejor que el código en el perfil
El método antiguo te hace pegar un código en la descripción del perfil para que el bot lo lea. Funciona, pero enseña a los jugadores a pegar textos desconocidos en su perfil, justo el hábito del que viven los ladrones de cuentas.
OAuth se lo prueba a Roblox, no a nosotros. Roblox responde por la identidad directamente y el bot nunca toca tu perfil.
El estado firmado
Al construir el enlace de acceso, el bot incluye un token firmado que ata la solicitud a tu id de Telegram, válido quince minutos. La firma se comprueba en tiempo constante.
Ese detalle impide que alguien vincule su cuenta de Roblox a <em>tu</em> id de Telegram o reutilice un enlace antiguo.
Después de verificar
Una verificación es una instantánea, así que el bot vuelve a comprobar. Cada hora pregunta a Roblox si las cuentas verificadas han sido baneadas y expulsa a esos miembros. Los nombres se actualizan con <code>/quiensoy</code>; el vínculo en sí usa el id de Roblox, que no cambia.
Envía <code>/desvincular</code> y el vínculo se borra al instante. Sin espera y sin confirmación por correo, porque no tenemos tu correo.
Qué se guarda
Un registro por vínculo: tu id de Telegram, id de Roblox, nombre de usuario, nombre visible, URL del avatar y la fecha. La <a href="/privacy">página de privacidad</a> lo lista todo.
No se guardan tokens de acceso. El bot usa el token una vez y lo descarta.
Lo que no prueba
OAuth prueba que controlabas esa cuenta en el momento de iniciar sesión. No prueba que no se haya vendido o robado desde entonces. Los moderadores deben tratarlo como una señal fuerte, no una garantía; por eso existe la comprobación horaria.
Si algo de esta descripción no coincide con el comportamiento del bot, es un error, y queremos saberlo.