Jak Studcheck weryfikuje konto Roblox

To cały mechanizm, spisany. Jest krótki, bo niewiele w nim części — i o to chodzi: im mniej ruchomych elementów ma narzędzie weryfikacji, tym mniej może zepsuć w twoim koncie.

Przebieg krok po kroku

Wysyłasz botowi <code>/zweryfikuj</code>. Odpowiada jednym przyciskiem otwierającym adres na <code>apis.roblox.com</code> — domenie Roblox, nie naszej.

Roblox pokazuje ekran zgody z dokładną listą tego, o co prosi Studcheck. Zatwierdzasz albo nie. Jeśli tak, Roblox wysyła botowi krótkotrwały kod, który bot wymienia na serwerze na token, a potem pyta Roblox, kim jesteś.

Ta odpowiedź — twój id, nazwa użytkownika, nazwa wyświetlana i awatar — jest zapisywana razem z twoim id Telegrama. Nic więcej nie przechodzi.

Dwa uprawnienia

Studcheck prosi o zakresy <code>openid</code> i <code>profile</code>. Na ekranie zgody Roblox to Odczyt id użytkownika i Odczyt profilu, oba oznaczone przez Roblox jako niskiego ryzyka.

Żadne nie pozwala botowi działać w twoim imieniu. Nie może pisać, handlować, wydawać Robux, dołączać do grup, zmieniać ustawień ani czytać niczego prywatnego. Może dowiedzieć się, kim jesteś — i tyle.

Czego bot nigdy nie widzi

Twojego hasła. Wpisujesz je na stronie Roblox. Do nas nie trafia, a w bocie nie ma na nie pola.

Twojego ciasteczka <code>.ROBLOSECURITY</code>. To token sesji pozwalający działać jako ty. OAuth istnieje właśnie po to, żeby narzędzia nigdy go nie potrzebowały.

Niczego, czego nie zatwierdziłeś. Roblox egzekwuje zakresy po swojej stronie.

Dlaczego to lepsze niż kod w profilu

Stara metoda każe wkleić kod w opis profilu, żeby bot go odczytał. Działa, ale uczy graczy wklejania nieznanych ciągów w profil — a na tym nawyku żerują złodzieje kont.

OAuth dowodzi tego przed Roblox, nie przed nami. Roblox sam poręcza za tożsamość, a bot nie dotyka twojego profilu.

Podpisany stan

Budując link logowania, bot dołącza podpisany token wiążący żądanie z twoim id Telegrama, ważny piętnaście minut. Podpis sprawdzany jest w stałym czasie.

To właśnie uniemożliwia komuś podpięcie swojego konta Roblox pod twój id Telegrama albo ponowne użycie starego linku.

Po weryfikacji

Weryfikacja to migawka, więc bot sprawdza ponownie. Co godzinę pyta Roblox, czy zweryfikowane konta zostały zbanowane, i usuwa takich członków. Nazwy odświeżają się przy <code>/ktojestem</code>; samo powiązanie opiera się na id Roblox, które się nie zmienia.

Wyślij <code>/odlacz</code>, a powiązanie znika natychmiast. Bez okresu oczekiwania i bez potwierdzania mailem, bo nie mamy maila.

Co jest przechowywane

Jeden rekord na powiązanie: twój id Telegrama, id Roblox, nazwa, nazwa wyświetlana, adres awatara i data. <a href="/privacy">Strona prywatności</a> wymienia wszystko.

Tokeny dostępu nie są przechowywane. Bot używa tokenu raz i go odrzuca.

Czego to nie dowodzi

OAuth dowodzi, że kontrolowałeś to konto w chwili logowania. Nie dowodzi, że konto nie zostało od tego czasu sprzedane czy skradzione. Moderatorzy powinni traktować to jako jeden mocny sygnał, nie gwarancję — dlatego istnieje cogodzinne sprawdzanie.

Jeśli coś w tym opisie nie zgadza się z zachowaniem bota, to błąd — i chcemy o nim wiedzieć.