Ce que nous conservons, et pourquoi

Qui gère ce serveur

PlayRustLegacy est un serveur Rust Legacy non officiel, tenu par un particulier et non par une entreprise. Il n’a pas de publicité et ne gagne rien avec tes données — il n’y a rien pour quoi les vendre. La seule chose qui se paie, ce sont les trois euros des kits, et de ce paiement ce site ne voit rien. Il n’est pas affilié à Facepunch Studios.

Les données, une par une

Voici la liste complète. Il n’y a aucune statistique, aucun pixel publicitaire, aucun suivi de ce que tu lis sur le site.

• Ton adresse e-mail — elle identifie ton compte et c’est là qu’arrivent le lien de confirmation et celui de réinitialisation du mot de passe. Elle ne sert jamais à envoyer autre chose : pas de newsletter, pas d’annonces.
• Ton mot de passe, sous forme de hachage — jamais en clair. Il passe par scrypt, une fonction faite exprès pour être lente et gourmande en mémoire, de sorte que même quelqu’un avec une copie de la base de données ne puisse pas remonter au mot de passe. Celui qui tient ce serveur ne peut pas le lire, et c’est aussi pour ça que personne ne peut te dire lequel c’était si tu l’oublies.
• Ton nom en jeu — les autres joueurs le voient en partie. Choisis en conséquence : c’est la seule donnée de cette liste qui est publique par construction.
• Ton SteamID — un nombre dérivé de ton compte, et c’est ainsi que le serveur de jeu reconnaît ton personnage. Ce n’est pas un vrai compte Steam et ce n’est lié à Steam d’aucune manière : ce serveur n’utilise pas Steam du tout.
• Tes sessions — pour chaque navigateur depuis lequel tu t’es connecté : quand elle a commencé, quand elle expire, l’adresse IP d’où elle venait et la chaîne par laquelle le navigateur s’identifie. Tu les vois dans ton profil et tu les fermes toutes d’un bouton.
• Les tentatives de connexion — heure, résultat et IP, gardés une heure. Sans elles, n’importe qui pourrait essayer des mots de passe indéfiniment : c’est ce qui rend la limite possible. Elles s’effacent d’elles-mêmes.
• Inscriptions en attente et demandes de réinitialisation — tant qu’un lien de confirmation ou de réinitialisation est valide, la demande est gardée avec l’IP d’où elle venait. Les liens de confirmation durent 24 heures, ceux de réinitialisation une heure ; ensuite l’enregistrement est effacé.
• Si tu es un soutien, et depuis quand — une date sur la ligne de ton compte, écrite à la main quand les kits sont activés. Rien que ça : pas combien tu as envoyé, pas quand, pas la transaction. Elle est supprimée avec le compte.

Ce qu’il n’y a pas

Aucun nom réel, aucune date de naissance, aucun numéro de téléphone, aucune donnée de paiement — aucun numéro de carte, aucun compte PayPal, aucune transaction ne passe par ce site. Aucune localisation au-delà du pays que ton IP suggère, qui sert à deviner la langue du site et n’est notée nulle part.

Les kits qu’un soutien débloque se paient sur PayPal, ce qui veut dire que ce site ne voit jamais ta carte, ton nom ni le montant. Rien ne revient ici automatiquement : ce qui relie un paiement à un compte de jeu, c’est une personne qui lit le reçu que tu envoies par courriel et écrit une date sur la ligne de ton compte. Ce courriel est dans une boîte ordinaire, comme n’importe quel autre message que tu pourrais écrire.

Dans le jeu

Le serveur de jeu est une autre machine, à Milan. Il connaît ton SteamID et ton nom en jeu, et il conserve ce que ton personnage possède : base, coffres, inventaire, position. Il ne connaît pas ton adresse e-mail. Sa sauvegarde est indexée par SteamID et par rien d’autre.

La conséquence compte quand tu supprimes ton compte : ce que tu as construit reste dans le monde. Personne ne peut plus y entrer, parce que le compte qui l’ouvrait n’existe plus, et cela disparaît au prochain wipe avec tout le reste. Ce n’est pas quelque chose que ce site puisse atteindre et supprimer.

Qui d’autre les voit

Quatre services, chacun pour une tâche, et à aucun tes données ne sont confiées pour ses propres fins :

• Vercel — héberge le site et exécute le code qui répond à tes requêtes. Comme tout serveur web, il voit les adresses IP qui se connectent.
• Neon — la base de données où vit la liste ci-dessus. Serveurs en Europe.
• Resend — envoie les messages de confirmation et de réinitialisation. Il voit donc l’adresse à laquelle un message est destiné, et le message lui-même. Région européenne.
• Cloudflare Turnstile — la vérification « tu es humain » sur les formulaires d’inscription et de réinitialisation. Selon Cloudflare, elle utilise ton adresse IP, l’empreinte technique de ta connexion et la chaîne par laquelle le navigateur s’identifie pour distinguer une personne d’un script, et ne les utilise pas pour identifier ni profiler qui que ce soit.

Ils sont utilisés parce que l’alternative est de gérer à la main des serveurs de messagerie et la détection de bots, ce qu’une seule personne tenant un serveur de jeu sur son temps libre ferait moins bien. À aucun d’eux ton mot de passe n’est transmis : il ne quitte pas la base de données, et seulement sous forme de hachage.

Combien de temps elles restent

Ton compte et ton identité de jeu restent aussi longtemps que le compte existe. Les sessions expirent après 30 jours sans usage. Les tentatives de connexion sont effacées dans l’heure, les inscriptions non confirmées sous 24 heures, les demandes de réinitialisation non utilisées sous une heure. Rien n’est gardé « au cas où ».

Les faire changer ou supprimer

Le nom en jeu et le mot de passe, tu les changes toi-même depuis ton profil. La même page a un bouton qui supprime le compte : adresse e-mail, hachage du mot de passe, nom en jeu, SteamID et toutes les sessions s’en vont, immédiatement et définitivement — il n’y a pas de corbeille et pas de délai de trente jours.

Pour changer l’adresse e-mail d’un compte existant, ou pour demander une copie de ce qui est conservé sur toi, écris à celui qui tient le serveur. Pour ni l’une ni l’autre il n’existe encore de moyen automatique.

Âge

Rust est un jeu violent et ce site n’est pas fait pour les enfants. À l’inscription l’âge n’est ni demandé ni vérifié, et cela vaut la peine de le dire clairement plutôt que de le cacher derrière une case que personne ne lit.

Comment elles sont protégées

Tout passe par HTTPS. Les mots de passe sont hachés avec scrypt, et les identifiants de session sont aussi conservés hachés, si bien qu’une copie volée de la base de données ne permet d’usurper personne. C’est un petit projet tenu par une seule personne : c’est une limite qu’il vaut mieux connaître, pas une promesse de sécurité parfaite. Les mesures citées ici sont celles qui comptent le plus, pas toutes celles qui existent.

Si cette page change

La date en bas est mise à jour chaque fois que cela arrive. Il n’y a pas de liste à laquelle annoncer les changements — la liste des données est courte et stable, et elle ne s’allonge que si le site gagne une fonction qui a besoin de quelque chose de nouveau.

Voir aussi : quels cookies utilise ce site

Dernière mise à jour : 15 août 2026.