Was ist das hier?

Warroom ist ein Fan-Companion für wdgwars.pl: Lagekarte, Wächter (meldet, wenn jemand dein Revier anfasst), Raid-Planer und Crew-Funktionen. Es ist nicht offiziell — WDGWars und LOCOSP bauen es nicht, betreiben es nicht und haften nicht dafür. Gebaut und betrieben wird es von einem einzelnen Spieler aus der Community.

Was passiert mit deinem API-Key?

• Bei der Registrierung wird er einmal per /api/me geprüft — dein wdgwars-Name wird dein Login. Keine E-Mail, keine Telefonnummer, Warroom fragt gar nicht erst danach.
• Der Key liegt verschlüsselt (Fernet/AES) in der Datenbank und wird nur im Arbeitsspeicher entschlüsselt, um mit der wdgwars-API zu sprechen.
• Warroom liest nur. Es lädt niemals in deinem Namen etwas hoch, scannt nichts und ändert nichts an deinem wdgwars-Account. Abgefragt werden alle 5 Minuten: dein Profil, deine APs, dein Team sowie die öffentliche Territoriums-Karte und das Leaderboard — dieselben Daten, die die API jedem Spieler zeigt.
• Nimm dafür einen eigenen Key. Leg im wdgwars-Profil einen frischen an, nur für Warroom. Dann kannst du ihn hier zurückziehen, ohne dass dir irgendetwas anderes kaputtgeht.
• Du behältst die Kontrolle: rotierst du deinen Key im wdgwars-Profil, ist der gespeicherte sofort wertlos.

Was speichert Warroom über dich?

• wdgwars-Name, Gang, dein Warroom-Passwort als bcrypt-Hash (nie im Klartext) und den verschlüsselten Key.
• Dein Revier als Zähler pro Karten-Zelle — dieselben Zellen wie auf der wdgwars-Karte. Deine rohen APs (genaue Positionen, BSSIDs, Namen) werden beim Abruf sofort zu Zellen zusammengefasst und nicht gespeichert.
• Besitzwechsel in deinem Revier (der Wächter-Feed) und deine Statistik-Verläufe (nackte Zahlen für die Charts).
• Nur wenn du es aktiv einschaltest: Crew-Verbindungen, deine Live-Position (ein einziger, immer überschriebener Punkt — es entsteht kein Bewegungsprofil) und das Push-Abo deines Geräts. Stoppst du die Freigabe oder läuft sie ab, wird die Koordinate gelöscht, nicht nur ausgeblendet.
• Nur solange du mit dem Abdeckungs-Pinsel aufzeichnest: deine eigene GPS-Spur (Punkt plus erwarteter Empfangsradius je Stempel). Sichtbar nur für dich, jederzeit über ↺ im Ebenen-Menü löschbar und mit deinem Account weg. Von allein läuft sie nicht ab — sie bleibt, bis du sie löschst.
• Wenn du einen API-Schlüssel anlegst (Info-Tab), dessen Namen und einen Hash davon — der Schlüssel selbst wird nie gespeichert. Solche Schlüssel dürfen ausschließlich lesen und lassen sich einzeln widerrufen.
• Aus dem Spiel-Feed, den Warroom ohnehin für die Karte abruft, wird regelmäßig festgehalten, wie viele Zellen und APs jeder Spieler und jede Gang hält — also nicht nur du. Dazu die öffentlichen Ranglisten des Spiels samt der dort genannten Spielernamen sowie – aus den Mitgliederlisten der Gangs, denen Nutzer dieser Instanz angehören – Name und Beitrittsdatum der jeweiligen Mitglieder. Es sind exakt die Zahlen, Namen und Daten, die wdgwars selbst anzeigt, nur mit Zeitstempel versehen, damit Entwicklungen über die Zeit sichtbar werden. Keine Positionen, keine einzelnen APs.

Was Warroom nicht tut

Keine Analytics, keine Tracker, keine Werbung, kein Verkauf oder Teilen von Daten. Über deinen Key sieht Warroom nur, was die API dir selbst zeigt — in fremde Accounts schaut hier niemand. Es fallen gewöhnliche Webserver-Zugriffe an wie bei jeder Website; ausgewertet wird daraus nichts.

Löschen

In der App unter Konto → Account löschen: entfernt sofort und endgültig alles — Account, Key, Revier-Daten, Ereignisse, Positionen, Push-Geräte, Crew-Verbindungen. Aus den Server-Backups fällt es nach spätestens 14 Tagen. Dein wdgwars-Account bleibt davon komplett unberührt.

Beteiligte Dritte

• OpenStreetMap-Kacheln — die Karte lädt dein Browser direkt von tile.openstreetmap.org. Dort ist damit sichtbar, welchen Kartenausschnitt du ansiehst (im Folgen-Modus also ungefähr, wo du bist), plus deine IP.
• OpenStreetMap Overpass — bekommt nur Zell-Koordinaten, nicht wer du bist, um Tour-Wegpunkte auf Straßen zu legen. Fragt der Server, nicht dein Browser.
• OSRM-Routing — bekommt die Tour-Stopps und, sobald du eine Position gesetzt hast, deine eigene Position als Startpunkt. Bei laufender Führung geht sie live erneut raus, wenn du von der Route abkommst oder alle 10 Sekunden. Ohne das gibt es keine echte Route. Je nach eingestellter Fortbewegung (Auto, Fahrrad, zu Fuß) fragt der Server den passenden Routing-Dienst desselben Anbieters. Läuft über den Server, ohne deinen Namen.
• Google Maps — nur wenn du selbst „In Maps öffnen" oder Street View antippst. Dann gehen die Stopp-Koordinaten an Google, wie bei jedem Maps-Link.
• Cloudflare (TLS/CDN vor der Domain) und der Push-Dienst deines Browsers für Benachrichtigungen (Inhalte verschlüsselt).

Klartext zum Vertrauen

Wie bei jedem Dienst, dem du einen Key gibst, gilt: Wer den Server betreibt, könnte ihn technisch benutzen. Kein gehostetes Tool kann dir das Gegenteil beweisen. Behandle den Key wie ein Passwort — gib ihn nur her, wenn du dem Tool traust, und rotiere ihn jederzeit. Fragen? Stell sie offen im WDGWars-Discord.