Segurança

Última atualização: 27 de setembro de 2026

O login

Com Google

• Quem confere a sua identidade é o próprio Google. O jogo nunca vê a sua senha.
• O login usa o padrão OAuth 2.0 com PKCE e uma verificação de estado. Isso impede que alguém sequestre o login no meio do caminho ou faça você entrar na conta de outra pessoa.
• A confirmação do Google chega ao nosso servidor direto do Google, sem passar pelo navegador. O servidor confere se ela foi emitida para este jogo, se está no prazo e se o e-mail foi confirmado pelo Google.
• Pedimos só as permissões básicas de login. O jogo não tem acesso a Gmail, Drive, contatos ou qualquer outro serviço seu.

Pelo link no e-mail

• O link vale por 15 minutos e só uma vez.
• O banco guarda só uma versão embaralhada (hash) do link, então quem visse o banco não conseguiria entrar com ele.
• Ao abrir o link, você confirma com um toque antes de entrar. Assim, programas que abrem links sozinhos para checar vírus não gastam o seu link.
• Há limite de pedidos por e-mail e por conexão, para ninguém encher a sua caixa de entrada nem tentar adivinhar links.

Depois de entrar

• A sessão é um código aleatório de 256 bits guardado num cookie que só vai por HTTPS e que nenhum script da página consegue ler (HttpOnly, Secure e SameSite=Lax).
• No banco fica só o hash desse código. Mesmo quem tivesse uma cópia do banco não conseguiria usar a sua sessão.
• A sessão vence em 90 dias. Ao tocar em Sair, ela é apagada na hora.
• Pedidos que mudam dados só são aceitos quando vêm da própria página do jogo. Isso bloqueia que outro site tente agir em seu nome.
• O servidor recusa pedidos grandes demais e confere o formato de tudo o que recebe.

Onde os dados ficam

• O jogo e o banco de dados das contas rodam na Cloudflare, com criptografia na conexão e no armazenamento.
• Guardamos o mínimo: e-mail, apelido, preferências do jogo e tempos das voltas. A lista completa está na Política de Privacidade.
• Para o controle de excesso de pedidos, o e-mail e o IP entram só como hash e somem em 24 horas.
• Apagar minha conta (em ☰ › Conta) remove tudo do banco na hora, sem esperar ninguém aprovar.

O jogo no seu aparelho

• O jogo roda dentro do navegador. Não é preciso instalar nada nem dar permissões especiais: ele não pede câmera, microfone, localização, contatos nem arquivos.
• Durante a prova, ele só pede para a tela não apagar, para ficar em tela cheia e, no celular, para vibrar em alguns momentos da prova (dá para desligar nas configurações).
• Para funcionar sem internet, ele guarda no aparelho uma cópia dos próprios arquivos. As informações da conta nunca vão para essa cópia: elas são sempre buscadas direto no servidor.
• Não há anúncios, rastreadores nem scripts de terceiros na página do jogo.

Cuidados do seu lado

• Nunca pedimos senha, nem por e-mail, nem por mensagem. Se alguém pedir em nome do Três Tambores, é golpe.
• O endereço oficial é 3tambores.horsys.com.br. Confira antes de entrar.
• Recebeu um link de acesso que não pediu? Pode ignorar: sem abrir, ele vence em 15 minutos e ninguém entra na sua conta.
• Não repasse o link do e-mail. Quem abrir o link entra na sua conta.
• Num aparelho emprestado, toque em Sair ao terminar.

Encontrou um problema de segurança?

Escreva para eal.toti@gmail.com com o assunto "Segurança". Conte o que encontrou e como reproduzir. Respondemos em até 5 dias úteis e avisamos quando estiver corrigido.

Pedimos só que você não acesse nem altere dados de outras pessoas, não tente derrubar o serviço e espere a correção antes de divulgar. Quem pesquisar de boa-fé, dentro desses limites, não terá nenhuma medida contra si.

O mesmo contato está em /.well-known/security.txt, o endereço padrão para esse tipo de aviso.

Se algo der errado

Se houver um incidente que possa afetar os seus dados, avisamos as pessoas afetadas e a Autoridade Nacional de Proteção de Dados (ANPD), como manda a LGPD. O aviso diz o que aconteceu, quais dados foram atingidos e o que fizemos.