Игровые проекты: сайты, лаунчеры, магазины и API

Что защищает фильтр, а что — нет

Пиковые дни проекта

Атаки приурочивают к моментам, когда сообщество ждёт: открытию сервера, вайпу, старту сезона, выходу обновления. В эти же часы растёт и настоящий трафик — лаунчеры массово скачивают патч и обращаются к /api/launcher/version. Файлы обновлений стоит отдавать из кэша или с отдельного домена, а повышенную чувствительность включать на сайт, форум и авторизацию.

Лаунчер и авторизация

• Лаунчер не выполняет JavaScript, поэтому проверку браузера на /api/launcher/* и /api/auth/* не включают — вместо неё лимиты по аккаунту и устройству и проверка обязательных заголовков.
• Перебор паролей к игровым аккаунтам — постоянный фон: ценные предметы и прокачанные персонажи продаются.
• WebSocket-соединения чата и уведомлений держатся долго: лимит считают на число соединений, а не на запросы.

Магазин доната

Небольшие платежи без регистрации — удобная площадка для кардинга. Ограничьте попытки оплаты с сессии и источника, включите проверку перед формой оплаты и не забудьте исключить уведомления платёжного агрегатора из всех проверок, иначе игроки не получат купленное.