Comptes et sécurité

Lisez ces réponses avant d'utiliser Asterobot avec un compte Ankama auquel vous tenez.

Mon compte Ankama peut-il être banni ?

Oui. Utiliser un bot enfreint les conditions d'utilisation d'Ankama, et Ankama peut sanctionner les comptes concernés à tout moment. C'est vrai en mode Full socket comme en mode MITM (de l'anglais man-in-the-middle, « homme du milieu »), avec un paquet que vous avez écrit comme avec un paquet du marché. Personne ne peut garantir qu'un compte restera en sécurité, et cette documentation ne donne aucun conseil pour éviter la détection.

N'utilisez un compte Ankama avec Asterobot que si vous acceptez ce risque.

Le mode MITM est-il plus sûr pour mon compte ?

Non. Un bot en mode MITM reste un bot, et il enfreint tout autant les conditions d'utilisation d'Ankama. Ce que change le mode MITM, c'est qui détient vos identifiants : vous vous connectez vous-même, dans Dofus, et vous ne donnez jamais à Asterobot votre identifiant ni votre mot de passe Ankama. Consultez Full socket et MITM.

Où Asterobot garde-t-il mon mot de passe Ankama ?

Dans un fichier nommé accounts.toml, dans le dossier de données d'Asterobot, en clair, et seulement si vous avez choisi d'en enregistrer un. Il n'est pas chiffré, car Asterobot doit le saisir dans la page de connexion d'Ankama. Le même fichier contient l'identifiant de chaque compte et les jetons qu'Ankama a remis à Asterobot.

Sous Linux et macOS, Asterobot restreint le fichier pour que seul votre compte utilisateur puisse le lire. Sous Windows, cette restriction n'a aucun effet. Dans tous les cas, quiconque peut ouvrir des fichiers avec votre utilisateur, ou obtient une copie du fichier, peut lire le mot de passe et utiliser les jetons. Asterobot ne renvoie jamais le mot de passe à Asteroboard.

Ajouter un compte donne les détails, et Fichiers et dossiers indique où se trouve le dossier de données.

Suis-je obligé d'enregistrer mon mot de passe Ankama ?

Non. Le mot de passe ne sert qu'à la connexion automatique. Sans lui, vous connectez vous-même le compte depuis Asteroboard chaque fois que sa connexion cesse de fonctionner, comme le montre Connexion manuelle. Le mode MITM ne demande aucun compte enregistré.

Qu'est-ce qui d'autre, sur mon ordinateur, donne accès à mes comptes ?

Quelques fichiers et dossiers, à protéger chacun comme un mot de passe :

Sous Linux et macOS, seul votre utilisateur peut les lire. Sous Windows, cette protection n'a aucun effet. Ne partagez jamais aucun d'entre eux, pas même pour obtenir de l'aide : Obtenir de l'aide liste ce qui doit rester privé.

Puis-je utiliser un compte protégé par Ankama Shield ou l'authentification à deux facteurs ?

Seulement en mode MITM. Le mode Full socket ne prend pas en charge ces comptes : Asteroboard n'a aucun champ pour un code de vérification, et la connexion automatique ne saisit que l'identifiant et le mot de passe. En mode MITM, vous vous connectez vous-même dans Dofus, codes compris, et le bot relaie cette session. Consultez Shield et authentification à deux facteurs.

Que se passe-t-il quand Ankama affiche un captcha pendant la connexion automatique ?

Asterobot abandonne, et une personne doit se connecter. Vous avez deux solutions :

• Connectez-vous vous-même depuis la fenêtre de connexion. Cela fonctionne toujours, où que tourne Asterobot.
• Quand Asterobot tourne sur un ordinateur devant lequel vous êtes, désactivez zaapmanager.browserHeadless dans Serveur > Config, relancez la connexion automatique et répondez au défi dans la fenêtre de navigateur qui s'ouvre. Réactivez ensuite le réglage.

Consultez Connexion automatique.

Pourquoi Asteroboard n'indique-t-il pas la raison de l'échec de la connexion automatique ?

Parce que son message est le même quelle que soit l'erreur, et commence par ankama account authorization required. La vraie raison ne figure que dans le journal d'Asterobot. Dans le terminal ou dans Serveur > Console, cherchez l'avertissement Automatic Ankama sign-in failed, a person has to sign in : son erreur indique ce qui s'est passé.

Quand vous avez lancé la connexion depuis le bouton de la fenêtre de connexion elle-même, cette fenêtre affiche aussi une image de la page où se trouvait le navigateur, ce qui permet souvent de distinguer un captcha d'un mauvais mot de passe. Consultez Connexion automatique.

Que peut faire un paquet avec mon compte ?

Tout ce que votre personnage peut faire en jeu. Le script d'un paquet peut envoyer n'importe quel message au serveur de jeu au nom de votre personnage, pour se déplacer, combattre, échanger, vendre ou supprimer des objets. Il lit tout ce que le jeu envoie, peut lire le ticket de jeu de la session et peut fermer la connexion au jeu. Sur un bot MITM, il peut aussi modifier ou bloquer ce que votre Dofus et le serveur s'envoient.

Il ne peut pas lire votre identifiant ni votre mot de passe Ankama, ouvrir des fichiers sur votre ordinateur, utiliser internet ou atteindre vos autres bots. Ne lancez que des paquets d'auteurs en qui vous avez confiance. Faire confiance à un paquet liste tout.

Les permissions d'un paquet limitent-elles ce qu'il peut faire ?

Pas encore. Un paquet peut lister des permissions dans son manifeste, mais Asterobot ne les applique pas : un paquet qui n'en liste aucune peut quand même faire tout ce qui est décrit ci-dessus.

Consultez Faire confiance à un paquet.

Que faire si je pense que quelqu'un a utilisé mon Asterobot ?

Arrêtez Asterobot, ou remettez server.listenAddress sur 127.0.0.1:8080 et redémarrez-le. Changez ensuite les mots de passe basic auth, cliquez sur Déconnecter pour chaque compte Ankama dans Gestionnaire de comptes, changez les mots de passe Ankama que vous aviez enregistrés, et déconnectez Asterobot d'asterobot.net avant de le reconnecter. Sécurité passe en revue chaque étape, et explique qui peut atteindre Asterobot au départ.