OmniaTCG je aplikace pro správu sbírek TCG karet. Přístup k obsahu webové aplikace vyžaduje přihlášení přes Google. Data účtu se synchronizují se serverem a zůstávají také v místní cache daného účtu. Export CSV slouží jako přenosná záloha. Po přihlášení stejným Google účtem lze načíst uloženou sbírku na jiném zařízení. Data bez přihlášení se převedou do účtu pouze po vašem potvrzení.
Přihlášení je nutné pro otevření aplikace; heslo zadáváte přímo Googlu. Přihlašovací tlačítka otevřou okno Googlu a požádají pouze o základní identifikaci účtu (openid). Google předá krátkodobý přístupový token. Server ověří přímo u Googlu, že token patří této aplikaci, je platný a identifikuje účet. Přihlášení chrání jednorázová výzva vázaná na prohlížeč. Podporované přihlášení pomocí ID tokenu ověřuje jeho podpis, vydavatele, Client ID, platnost a jednorázovou výzvu. Další požadavky ověřují platnou relaci vytvořenou po přihlášení. Aplikaci vrátí pouze identifikátor účtu a čas konce platnosti. E-mail, heslo ani Google token neukládá do databáze. Server ukládá stálý identifikátor Google účtu a vaše aplikační data: sbírky, balíčky, wishlisty, alba, historii, nastavení a nepřiřazené importy. Google token se neukládá do prohlížeče. Prohlížeč uchovává neprůhledný identifikátor relace v cookie HttpOnly se zabezpečením Secure na veřejné HTTPS adrese a SameSite=Lax. Obnovení stránky i restart serveru zachovají relaci. Platí nejvýše 30 dní od přihlášení; odhlášení ji ukončí pro toto zařízení. Server ukládá pouze hash náhodného identifikátoru relace, identifikátor Google účtu a konec platnosti, nikoli původní Google token.
Kamera se používá pouze při otevření scanneru nebo čtečky QR. Prohlížeč rozhoduje o oprávnění ke kameře; aplikace si místně zapamatuje její úspěšné použití. Po opuštění obrazovky se kamera zastaví. Scanner odesílá jednotlivé výřezy, ne celé video, a jejich snímky neukládá. Poslední souhrn portfolia se ukládá v místní cache odděleně pro každý účet.
Pod identifikátorem účtu ukládáme vámi zvolené sběratelské jméno, unikátní kód pro přidání přítele, žádosti a potvrzená přátelství a nastavení sdílení. Sdílení je ve výchozím stavu vypnuté. Pouze potvrzený přítel může zobrazit povolené kategorie: karty, balíčky, wishlist nebo alba. Soukromé poznámky, historie zápasů, importy a nastavení zůstávají skryté. Sdílení můžete kdykoli vypnout nebo přítele odebrat; další požadavky již sdílená data nedostanou.
Web je přístupný přes HTTPS a Cloudflare Tunnel. Cloudflare při doručování požadavků zpracovává síťové údaje podle svých pravidel. Obrázky karet a katalogy mohou pocházet z externích zdrojů jednotlivých her. Google přihlášení načítá oficiální Google Identity Services.
Soukromí u Googlu · Soukromí u Cloudflare
V nastavení můžete sbírku exportovat a odstranit vlastněné karty. Odstranění dat prohlížeče smaže místní cache a případné dosud nesynchronizované změny; uložená data účtu na serveru zůstávají. Před změnou prohlížeče nebo adresy si udělejte export. Odhlášení z OmniaTCG neodhlašuje Google účet z prohlížeče.