Як Studcheck перевіряє акаунт Roblox

Тут описано весь механізм. Він короткий, бо в ньому мало частин — і в цьому суть: що менше рухомих деталей в інструменті перевірки, то менше він може зробити не так з вашим акаунтом.

Процес по кроках

Ви надсилаєте боту <code>/pereviryty</code>. Він відповідає однією кнопкою, що відкриває адресу на <code>apis.roblox.com</code> — домені Roblox, а не нашому.

Roblox показує екран згоди з точним списком того, що просить Studcheck. Ви підтверджуєте або ні. Якщо так — Roblox надсилає боту короткоживучий код, який бот на сервері обмінює на токен, а потім питає в Roblox, хто ви.

Ця відповідь — ваш id, ім’я користувача, відображуване ім’я та аватар — і зберігається разом із вашим Telegram id. Більше нічого не передається.

Два дозволи

Studcheck просить області <code>openid</code> і <code>profile</code>. На екрані згоди Roblox це Читання id користувача та Читання профілю, обидва з низьким ризиком за оцінкою Roblox.

Жоден не дозволяє боту діяти від вашого імені. Він не може писати, торгувати, витрачати Robux, вступати в групи, змінювати налаштування чи читати щось приватне. Він може дізнатися, хто ви — і все.

Чого бот ніколи не бачить

Ваш пароль. Ви вводите його на сайті Roblox. До нас він не потрапляє, і в боті немає для нього поля.

Ваш cookie <code>.ROBLOSECURITY</code>. Це сесійний токен, з яким можна діяти від вашого імені. OAuth існує саме для того, щоб інструментам він ніколи не був потрібен.

Нічого, чого ви не підтвердили. Roblox контролює області на своєму боці.

Чому це краще за код у профілі

Старий спосіб — вставити код в опис профілю, щоб бот його зчитав. Працює, але привчає гравців вставляти незнайомі рядки у профіль — саме на цій звичці тримаються викрадачі акаунтів.

OAuth доводить це Roblox, а не нам. Roblox сам підтверджує особу, і бот не торкається вашого профілю.

Підписаний стан

Створюючи посилання для входу, бот включає підписаний токен, що прив’язує запит до вашого Telegram id і діє п’ятнадцять хвилин. Підпис перевіряється за сталий час.

Саме це не дає комусь прив’язати свій акаунт Roblox до вашого Telegram id або повторно використати старе посилання.

Після перевірки

Перевірка — це знімок, тому бот перевіряє повторно. Щогодини він питає в Roblox, чи не забанено перевірені акаунти, і видаляє таких учасників. Імена оновлюються за командою <code>/khtoya</code>; сама прив’язка тримається на Roblox id, який не змінюється.

Надішліть <code>/vidviazaty</code> — і прив’язку видалено одразу. Без періоду очікування й без підтвердження поштою, бо пошти в нас немає.

Що зберігається

Один запис на прив’язку: ваш Telegram id, Roblox id, ім’я, відображуване ім’я, адреса аватара і дата. <a href="/privacy">Сторінка конфіденційності</a> перелічує все.

Токени доступу не зберігаються. Бот використовує токен один раз і відкидає його.

Чого це не доводить

OAuth доводить, що ви керували цим акаунтом у момент входу. Він не може довести, що акаунт відтоді не продано чи не вкрадено. Модераторам варто вважати це одним сильним сигналом, а не гарантією — для того й існує щогодинна перевірка.

Якщо щось у цьому описі не збігається з поведінкою бота — це помилка, і ми хочемо про неї знати.