Escape fromScreenБезопасность и доступы
Что именно EscapeFromScreen получает от Twitch и DonationAlerts при входе, чего не может сделать с вашим аккаунтом и как отозвать доступ в любой момент.
Обновлено: 16 октября 2026
Вход через Twitch
Вход идёт через OAuth на сайте Twitch: пароль вы вводите на id.twitch.tv, к нам он не попадает ни в каком виде. Список разрешений, который мы запрашиваем, пустой — поэтому в окне входа Twitch нет перечня прав: их просто нет.
После входа мы один раз получаем публичный профиль: идентификатор, логин, отображаемое имя и аватар. На этом всё. Токен Twitch после этого не сохраняется — кабинет держится на нашей собственной сессии в cookie, и отозвать её можно выходом из кабинета.
| Что | Зачем | Есть ли доступ |
|---|---|---|
| Логин, имя, аватар | Показать вас в кабинете и зрителям на странице мира | Да, только чтение |
| Электронная почта | — | Нет, не запрашивается |
| Писать в чат, банить, назначать модераторов | — | Нет |
| Название стрима, категория, настройки канала | — | Нет |
| Подписки, биты, выплаты, реклама | — | Нет |
Идёт ли эфир, мы узнаём по публичному API Twitch токеном приложения — он не привязан к вашему аккаунту. Команды из чата читаем анонимно, так же, как любой зритель, открывший чат без входа. Ни то ни другое не требует разрешений от вас.
DonationAlerts
Привязка нужна только стримеру и только для донат-событий; зрителей она не касается. Это тоже OAuth: пароль вводится на сайте DonationAlerts. Мы запрашиваем три права, и все они на чтение:
| Право | Что даёт | Зачем нам |
|---|---|---|
| oauth-user-show | Имя и идентификатор аккаунта | Показать в кабинете, какой аккаунт привязан |
| oauth-donation-index | История донатов | Дочитать пропущенные донаты после обрыва связи |
| oauth-donation-subscribe | Новые донаты в реальном времени | Запускать события на карте и начислять монеты донатёру |
Доступа к балансу, выплатам, настройкам виджетов и оповещений, целям сбора и созданию алертов нет. Мы не можем ничего изменить или вывести — только узнать, что пришёл донат, от кого, на какую сумму и с каким сообщением.
Кнопка «Отключить» в кабинете удаляет токены с нашего сервера. Со стороны DonationAlerts доступ отзывается в настройках аккаунта.
Как отозвать доступ самому
- Twitch: Настройки → Подключения → «Другие подключения» → EscapeFromScreen → Отключить. После этого вход на сайт снова попросит разрешение.
- DonationAlerts: кнопка «Отключить» в кабинете стримера — либо настройки аккаунта на сайте DonationAlerts, раздел авторизованных приложений.
- Сессия на сайте: «Выйти» в шапке кабинета удаляет её на сервере. Мир, персонажи и схроны зрителей при этом сохраняются.
Как отличить от фишинга
Угон каналов почти всегда идёт через поддельные «приложения», которые при входе просят права на управление каналом: редактировать стрим, писать от вашего имени, банить, назначать модераторов. Если окно входа Twitch показывает такой список — закройте его, как бы сайт ни назывался.
У EscapeFromScreen список прав пуст, а вход всегда начинается на id.twitch.tv и возвращается на escapefromscreen.ru. Если вы видите другой адрес или перечень разрешений — это не мы.
Что хранится у нас
Профиль Twitch (идентификатор, логин, имя, аватар), сессия, данные мира — персонажи, схрон, рейды, монеты, — журнал донатов и токены DonationAlerts у тех, кто его привязал. Токены лежат на нашем сервере, доступ к которому есть только у команды. Что, зачем и сколько хранится — в политике конфиденциальности.
Нашли уязвимость или сомнение?
Напишите через форму «Нашли баг?» в подвале любой страницы — сообщения приходят команде сразу. На вопросы о доступах отвечаем честно и с ссылками на код.