Aller au contenu
quest'n'click

ContribuerRéférencePour admins, contributeursS'applique de 4.2.5

Politique de sécurité

This page in EnglishCette page sur le wiki GitHub

Comment signaler une vulnérabilité de quest'n'click, quelles versions reçoivent un correctif, et ce à quoi les outils de développement font confiance ou non. Le fichier SECURITY.md du dépôt dit la même chose en anglais ; cette page en est la référence, dans les deux langues. La sécurité d'un Studio hébergé a sa propre page (Sécurité sur Clever Cloud), celle du Reality Bridge aussi (Sécurité du Bridge).

Signaler une vulnérabilité

Forme

Signalez-la en privé par la fonction Security Advisory de GitHub sur wanoo/quest-n-click (l'onglet Security du dépôt, « Report a vulnerability »), jamais dans une issue publique.

Ce qu'il faut joindre

  • le commit (ou la release) concerné ;
  • les étapes pour reproduire ;
  • l'impact.

N'y mettez ni clés de fournisseur ni assets de jeu privés.

Versions prises en charge

Les correctifs de sécurité visent la dernière ligne de releases. Une ligne plus ancienne n'en reçoit pas : mettez à jour (Mettre à jour).

Le Studio et le serveur de développement

Valeurs et défaut

  • Le Studio local (npm run studio) écoute sur la boucle locale par défaut.
  • npm run studio:lan et npm run dev:lan sont des modes réseau local explicites : ils génèrent un jeton de capacité valable une session, exigent des écritures de même origine et affichent l'URL autorisée.

Contraintes

Ne redirigez pas ces ports de développement vers Internet. Un Studio qu'une équipe partage en ligne, c'est le Studio Server, avec sa propre connexion (Ce qui tourne où).

Code de confiance

Les modules TypeScript d'un jeu et ses commandes personnalisées sont du code de confiance : ils tournent avec les droits du moteur. quest'n'click ne met pas en bac à sable un dossier games/<id>/ dont on ne sait rien. Ouvrez le jeu de quelqu'un en qui vous n'avez pas confiance comme vous lanceriez son programme.

Les fournisseurs de l'Assistant du Studio

Valeurs et défaut

  • La clé du fournisseur est gardée dans le stockage de session de l'onglet et envoyée avec chaque requête ; le Studio ne l'écrit jamais sur le disque.
  • Les fournisseurs prédéfinis (OpenAI, Anthropic) et un Ollama local sur cette machine sont acceptés tels quels. Toute autre adresse (un relais personnalisé) demande l'activation explicite WEB_SCUMM_ALLOW_CUSTOM_PROVIDER=1 dans l'environnement du Studio.
  • Même alors, l'adresse doit être en HTTPS public : les hôtes de boucle locale, non spécifiés, privés, de lien local et à nom local sont refusés, dans les deux familles d'IP, y compris les formes IPv6 entre crochets et IPv4 mappées. Une URL qui contient des identifiants est refusée.
  • Un appel au fournisseur ne suit jamais de redirection, abandonne après 60 s et lit au plus 8 Mo de réponse.

Contraintes

# dans le dépôt du moteur, pour une session du Studio
WEB_SCUMM_ALLOW_CUSTOM_PROVIDER=1 npm run studio

Questions de licence

Tous les assets du jeu d'exemple sont sous CC BY 4.0 depuis la 3.7 ; npm run verify:commercial le vérifie. Les questions de licence trouvent leur réponse dans Licences et crédits (CREDITS.md, LICENSE-ASSETS).