¿Es seguro ManaLab? Cómo comprobarlo tú mismo

Qué lee y qué toca

• Lee el Player.log y la base de cartas que Arena deja en tu PC, sin modificarlos. El Player.log es el archivo que Arena escribe cuando tienes activado «Detailed Logs (Plugin Support)» en sus ajustes.
• De Magic Online lee el mtgo.log, los archivos Match_GameLog_*.dat, mtgo_game_history y los archivos grouping *.xml que deja en tu PC, también sin modificarlos.
• No modifica Arena ni Magic Online, no lee su memoria y no se conecta a los servidores de Wizards.
• Las capturas son opcionales, con un interruptor en Ajustes para Arena y otro para Magic Online (vienen activadas por defecto). Cuando están activadas, guarda imágenes de la ventana del juego, en momentos como la mano inicial, los mulligans, el resultado y cuando pulsas F8.
• Tus partidas, capturas y estadísticas se quedan en una carpeta de tu PC, salvo lo que tú compartas: modo equipo, exportar una partida o el análisis con IA.

Todas las conexiones que hace

1. Una vez al día pregunta a GitHub si hay una versión nueva (si GitHub no responde, mira manalab.es).
2. Cada 3 días descarga las listas actualizadas del meta de mazos, una por formato, desde un repositorio público: github.com/EusebioG96/registro-mtga-meta
3. Consulta Scryfall con ids (de Arena y de Magic Online) o nombres de carta para los nombres que falten, el overlay y las imágenes de la repetición.

Las tres se pueden desactivar en Ajustes.

Solo si lo usas: el análisis con IA, el reporte de bugs y el modo equipo.

Cuando pulsas el botón de análisis con IA en una partida perdida, envía los datos de esa partida (resultado, mazo, manos, cartas vistas y cronología), sin nombres de jugador (el nombre que le pones a tu mazo sí va).

Cuando envías un reporte de bug desde Ajustes, nuestro servidor recibe lo que escribes, tu correo si lo pones, la versión de la app, tu sistema e idioma, si usas Arena y Magic Online, un identificador anónimo de tu equipo y, si lo marcas, las últimas líneas de registro.log sin tu nombre de usuario ni códigos. No se envían partidas ni mazos. El servidor lo reenvía por correo y no lo guarda. Más en la política de privacidad.

Cómo comprobar el archivo que has descargado

1. Cada versión tiene su SHA-256 y su análisis de VirusTotal.
2. En PowerShell, desde la carpeta del ZIP:
   Get-FileHash .\ManaLab*.zip -Algorithm SHA256
   El resultado debe coincidir con el que publico.
3. Si prefieres, sube tú mismo el ZIP a virustotal.com.

Por qué todavía no está firmado

Un certificado de firma de código cuesta dinero cada año y este proyecto lo pago yo. Conseguir uno es mi primera prioridad, y las donaciones de Ko-fi van para eso. Mientras tanto, Windows muestra su aviso de «Windows protegió su PC» la primera vez que lo abres (Más información, luego Ejecutar de todas formas). Si antes de descomprimir haces clic derecho en el ZIP, Propiedades y marcas Desbloquear, no sale.

Si prefieres esperar a la versión firmada, es totalmente razonable.

Sobre el código

De momento el código es privado. Si eso cambia, lo diré aquí.

Dudas

Escríbeme a manalab.app@gmail.com. Respondo yo mismo, normalmente en unos días.