Changelog

Zwei Community-Änderungen kommen zusammen. (1) Die tägliche Anmeldung wirft keine Gratis-Packs mehr nach Schema F aus — sie gewährt jetzt täglich Pack-Fragmente nach einem [3,3,3,5,5,5,8]-Zyklus, und das Vollenden einer Woche in Folge gibt einen ansteigenden Pack-Bonus (1 → 2 → 3 → 4, gedeckelt bei 4). Verpasse einen Tag und die Serie fällt auf null — schaffe die Woche, um die Verankerungsbelohnung mitzunehmen. (2) Neuer Bereich im Profil-Tab zum Einlösen von Codes (z. B. WELCOME-2026, Partnercodes, Creator-Verlosungen). Codes können jede Kombination aus Packs, Fragmenten und Seltenheits-Stückchen liefern; Admins legen sie im neuen Codes-Tab des Admin-Panels an, mit optionalen Nutzungs-Caps und Ablaufzeitstempeln.

Bis heute war die Oberfläche lokalisiert, aber die Karteninhalte blieben Englisch: Namen, Flavor-Zeilen, Fähigkeitsnamen und Beschreibungen erschienen in Englisch, egal welche Sprache du gewählt hattest. Wir haben alle 113 Karten ins Spanische (Spanien + LATAM-Fallback), Französische, Italienische, Deutsche, Portugiesische (BR + PT-Fallback), Polnische, Niederländische, Russische und Türkische übersetzt — also den kanonischen Namen plus Flavor, plus aktive und passive Fähigkeitsnamen und -beschreibungen, wo vorhanden. Die englische Server-Payload bleibt für die Datenbank maßgeblich; was du auf dem Bildschirm siehst, wird clientseitig je nach Sprache überlagert, sodass die Karten-Identität bei Sprachwechseln und Tauschvorgängen gleich bleibt. Fehlt für ein Feld einer Karte eine Übersetzung, fällt sie auf den englischen Text zurück — nie auf eine Leerstelle.

Spieler-Feedback nach dem Launch von Mass-Dissolve: Das Changelog sagte „bis zu 50 pro Stapel“, aber ein Spieler mit nur 21 Kopien einer Karte traf auf einen Deckel von 20 und vermutete einen Bug. Da war kein Bug — der Server stellt sicher, dass „mindestens 1 Kopie jeder Karte erhalten bleibt“, also stoppt ein 21er-Stapel in einem Rutsch bei 20. Der Deckel war immer min(Server-Max 50, qualifizierende Kopien, Gesamtkopien − 1); er war nur unsichtbar. Jetzt sagt das Label des Einstiegs-Buttons exakt deinen Stapel-Deckel in der Form „max N von M qualifizierend“, und ein Hover-Tooltip erklärt die bindende Beschränkung (Server-Deckel, Qualifikation oder Behalte-1). Die Kopfzeile des Auswahl-Panels wiederholt die Beschränkung, damit du nie raten musst.

Sammler, das hier ist für euch. Gemeinsame Kopien einzeln aufzulösen brannte das Pro-Spieler-Rate-Limit-Fenster runter — ein Spieler mit 80 Commons einer einzigen Karte konnte sie realistisch nicht in einer Session abarbeiten. Die Karten-Detailansicht zeigt jetzt einen „Mass-Dissolve...“-Button unter dem bisherigen Pro-Kopie-Dissolve, der erscheint, sobald du mindestens 2 qualifizierende Kopien der Karte hast, die du gerade ansiehst. Klick drauf, wähl die Druck-Nummern aus einer Kachelgrid aus (gesperrte / im-Deck / im-aktiven-Tausch-Kopien sind ausgegraut und deaktiviert), und der ganze Stapel geht mit einer Bestätigung + einem Rate-Limit-Slot durch. Server-Cap ist 50 pro Aufruf, so dass die Antwort immer flott ist. Die Belohnungs-Vorschau zeigt dir exakt die Fragmente + seltenheitsspezifischen Stückchen, die du bekommst, bevor du Alle zerstören drückst.

Zwei kleine, aber sichtbare Komfortverbesserungen. Im Sammlung-Tab bekam das Verfügbarkeits-Dropdown die Option „Bald in Rotation“, die das Raster auf Karten filtert, die in den nächsten 30 Tagen ablaufen — gleicher Schwellwert wie das Badge, das auf diesen Karten ohnehin schon eine Weile angezeigt wird, sodass Filter und Badge immer übereinstimmen. Im Turnier-Tab zeigen Gildenturniere ihren Tabellenbereich jetzt jedem Besucher — nicht nur eingeschriebenen Teilnehmern. Vorher öffnete man ein Gildenturnier und sah Teilnehmer, aber kein Tableau, solange die eigene Gilde nicht registriert war. Jetzt wird die öffentliche Tabelle für alle gerendert und liest die gleichen Daten, die der Server schon zurückgegeben hat — du kannst also sehen, wer führt, ohne dich vorher anmelden zu müssen.

Der letzte Bereich des feindlichen Review-Sweeps über 14 Bereiche — Build-Pipelines und CI-Gates. Die meisten Änderungen sind für Spieler unsichtbar (sie leben in `.github/workflows/` und `scripts/`), verschieben Qualität aber von „nur lokal mit --no-verify-Bypass„ zu „blockiert den Merge auf jedem PR“. Die vollständige vitest-Suite (~2700 Tests), TypeScript-Typecheck, Drizzle-Drift-Gate, i18n-Schlüsselparität, BullMQ-Pin, Battle-Config-Validierung und bare-db-execute-Baseline laufen jetzt alle in CI auf jedem PR. Das Produktions-CVE-Scanning erhielt ein ausnahmebewusstes Gate, das mittelschwere Schwachstellen aufdeckt (die vorherige Schwelle verschwieg sechs davon). Die IAB Global Vendor List, die das Cookie-Consent-Banner verwendet, wird jetzt täglich über einen geplanten Workflow aktualisiert, der eine PR öffnet, wenn sich die Vendor-Liste ändert. Zwei übersprungene Tests in der Battle-Suite tragen verfolgte Referenzen (T-201, T-202) und ein neues Invariant-Gate lässt den Build bei jedem zukünftigen ungetaggten Skip fehlschlagen, damit sich kein toter Code ansammelt.

Ein Durchgang durch die Observability- und Audit-Pipeline schloss die Lücke zwischen dem, was die Datenschutzerklärung sagt, und dem, was der Server wirklich tut. Visuell hat sich für Spieler nichts geändert, aber darunter wurden ein paar Dinge besser: der Node.js-Prozess loggt und zählt jetzt nicht abgefangene Fehler, statt still abzustürzen und die Plattform ihn ohne Erklärung neu starten zu lassen; die audit_log-Tabelle wird jetzt täglich von einem Cron-Job bereinigt, der das Aufbewahrungsfenster von 90 Tagen aus der Datenschutzerklärung durchsetzt; Spieleranzeigenamen werden jetzt aus Server-Log-Zeilen redigiert (Erwägungsgrund 30 der DSGVO behandelt Anzeigenamen als personenbezogene Daten); und die Security-Event-Audit-Pipeline hat Durabilitäts-Checks + IP-Hash-Provenienz pro Aktion bekommen, sodass eine Regulator-Inspektion jede Account-Aktion mit Zeitstempel, Akteur und Ursprung rekonstruieren kann.

Ein Durchgang über die Legal- und Consent-Oberfläche hat eine lange Liste an Compliance-Lücken geschlossen. Schlagzeilen: Der IAB-TCF-v2.3-Consent-String ist jetzt das offizielle bit-packed-Format aus den @iabtechlabtcf/*-Libraries statt eines base64(JSON)-Shims — Google AdSenses Parser hat unseren Shim seit der Frist am 2026-03-01 abgelehnt, was EU-Besucher stillschweigend auf Limited Ads zurückgestuft hat. Jede Banner-Entscheidung (Alle akzeptieren / Alle ablehnen / Anpassen / Widerruf / Version-Bump-Hinweis / erneutes Öffnen) schreibt jetzt eine dauerhafte audit_log-Zeile, damit wir Consent unter einer Art.7(1)-DSGVO-Prüfung belegen können. Die 16+-Altersbestätigung und die AGB-Annahme bei der Anmeldung werden jetzt serverseitig über Better-Auth-additional-fields erzwungen — das alte rein-clientseitige Checkbox war per curl umgehbar. Die Datenschutzerklärung nennt jetzt die echten Drittanbieter (Arsys fürs Hosting + Google AdSense für Werbung) statt Platzhalter-Texte — Postgres und Redis laufen auf operator-verwalteter Arsys-Infrastruktur und sind keine eigenen Auftragsverarbeiter. Die Account-Löschung räumt jetzt eine deutlich breitere Menge an Tabellen mit Personendaten ab (Freundschaften, Gildenmitgliedschaft, Turnieranmeldungen, Tickets, Ad-Watch-Historie, provably-fair-Seeds, Verifikations-Token und einige mehr), nutzt ein crypto-zufälliges Pseudonym-Suffix, das die bisherige Verknüpfbarkeit mit audit_log bricht, weigert sich, einen Löschantrag für einen vollständig gelöschten Account neu anzulegen, und deckelt Cron-Retries, damit ein temporärer Fehler nicht endlos in der Schleife läuft. Das Daten-Export-Artefakt hat sechs neue Abschnitte gewonnen (Gildenmitgliedschaft, Turniere, Freundschaften, Support-Tickets, Ad-Watch-Historie, provably-fair-Seed-Historie) sowie Zeilen-Caps pro Abschnitt, damit ein Power-User den Export-Build nicht in OOM treiben kann. Das Consent-Banner ist jetzt ein echtes Modal mit Focus-Trap und aria-modal, der Sprachumschalter ist auf jedem Breakpoint sichtbar (war auf Mobil versteckt), und Admin-Banns liefern jetzt eine Begründung nach Art.17 DSA per In-App-Benachrichtigung mit der verletzten Regel und einem Beschwerdeweg. Plus: eine frische IAB Global Vendor List eingebunden und ein tägliches Refresh-Skript, damit Änderungen am Anbieterumfang nicht abdriften, AdSense-First-Party-Cookies werden bei Consent-Widerruf jetzt wirklich gelöscht (vorher wurde nur das Script-Tag entfernt), und ein neues CSRF-Token-Gate auf den Account-Lösch- und Daten-Export-Endpunkten, damit eine Angreiferseite mit gefälschtem Formular keinen Lösch-Countdown für einen eingeloggten Besucher auslösen kann. Consent-Version von 3.1 auf 3.2 hochgezogen — jeder Besucher sieht das Cookie-Banner einmalig beim nächsten Besuch, um unter der aktualisierten Auftragsverarbeiterliste neu zu bestätigen.

A pass through the bilingual surface closed every visible English-only chrome remnant on Spanish pages and tightened a few middleware + SEO gaps. Headline items: the marketing nav (About / How to Play / Cards / FAQ / Contact / Updates / Log in / Play for Free), every legal-page header link, the global cookie-consent banner, the offline banner, and the language-switcher screen-reader label all read from the active-locale message bundle now — Spanish visitors no longer see English wrappers around Spanish copy. The language switcher is also visible on phones (was hidden under the sm: breakpoint), so a visitor landing on the wrong locale on mobile can finally jump in-page. Changelog dates are stored as ISO YYYY-MM-DD and rendered through Intl.DateTimeFormat per locale — Spanish visitors see "26 de abril de 2026" / English visitors see "April 26, 2026". Email addresses across the legal + contact surface have been unified to a single canonical contact@drawntcg.com so visitors don't have to guess between info / privacy / support inboxes. A new /robots.txt now points crawlers at the per-locale sitemap, and link-preview crawlers (Slack, Discord, iMessage, Twitter) get an Open Graph card with the right locale tag. A subtle middleware bug that made the <html lang="…"> attribute always say "es" on /en/* pages — silently breaking screen-reader locale routing and Google's hreflang verification — has been fixed.

A pass through the anticheat surface (provably-fair seeds, replay sanitization, spectator state, collusion-detection telemetry) closed a small list of subtle but real defects. Headline items: pack-opening seed rotation is now atomic against in-flight pack opens, so a verifier replay can never reproduce N−1 of N openings while the Nth orphan dangles unverifiable; replay history scrubs raw player ids out of turn-log strings before persistence so the publishable replay file truly cannot be cross-correlated by id; spectator state strips two alpha-strategy hints (adrenaline counters and per-turn summon counts) that pre-fix flowed through unmasked; provably-fair seed rotations and client-seed changes are now durably audited so a player dispute has a recoverable trail; the history endpoint no longer 500s on garbage page params and no longer leaks raw Postgres errors to clients.

A pass through tournaments, guilds, the profile sections, and the in-battle internals fixed a long list of small bugs and added the visible affordances that were missing. Headline items: viewing a stranger's profile now tells you why bio / display case / achievements are hidden ("add as friend to see more") instead of rendering blank sections; achievement toasts auto-dismiss after 6 seconds (and cap at 5 visible at once) instead of stacking forever; every in-battle action — summon, attack, ability, mulligan, end turn, forfeit — now has a 5-second "no response from server" safety net so a flaky socket can't leave the UI stuck pending; the forfeit button uses an in-app modal instead of the browser's native confirm() popup that iOS PWAs sometimes silently suppress; the tournament bracket marks forfeit / disconnect / bye matches with a small badge so admins and spectators can tell them apart from real wins; deck-builder save validates the 3-copies-per-card limit client-side before letting you press Save; and a list of guild-management quality-of-life polish items (kick / promote confirmation, donation amount cap, war-end refresh filtering, identical-message dedupe).

A pass through the in-battle screen, the deck builder, and the card / trade modals fixed a long list of small but visible bugs. The headline items: spectators were seeing the battle mirrored to the wrong side (their view labelled the opponent as "you"), the mulligan timer reset to 30 every time anything happened on the board, the queue size showed blank when joining casual matchmaking, and trade history's wishlist 🎯 markers showed the wrong player's wishlist. The card modal now cancels in-flight fetches when you flip through a gallery, the deck builder caps how many pages it loads (so a server hiccup can't lock the screen), and copying a deck export now actually tells you whether it worked.

When you summon a creature, attack, or end your turn, the client now waits up to 5 seconds for the server to confirm. If the confirmation never arrives — server hiccup, network drop, dropped packet — you get a clear "No response from server — check your connection" message instead of a button that just stops responding. If the server rejects the action (out of phase, illegal target, rate-limited, etc.) the rejection reason now reaches you immediately even on flaky connections, instead of riding the next state push and arriving seconds late. The other (less critical) actions are unchanged. Spanish and English locales also got `not-found` and `loading` pages so a stale link or a slow load lands on a localised page instead of the framework default.

The bilingual public surface is now wired up for search engines. Every Spanish and English page emits a `<link rel="canonical">` pointing at its own locale URL plus an `<link rel="alternate" hreflang>` map covering both locales and an `x-default` fallback, so Google can pair the /es and /en variants of the same page instead of treating them as duplicates. A new `/sitemap.xml` enumerates every Phase 1 public page in every locale with the same hreflang alternates per entry. With this release Phase 1 of the i18n project is fully closed: 4 legal pages bilingual, 7 marketing pages bilingual, controlling-version clauses live in both languages, locale switcher in both headers, hreflang plumbing in metadata and sitemap, and a written workflow template for any future page.

A big batch of player-facing work landed across the spring. The headline items: a public marketing surface for new visitors, a card mastery system that rewards loyalty to specific cards, a tournament bracket viewer that finally lets you see how a tournament is unfolding, and a long list of small UX fixes that close gaps players have been pointing out for months. Below is the rough shape of what changed, organised by area. Patch notes for individual cards and balance tweaks live in the in-game patch feed; this changelog covers the structural and surface-level stuff.

Six more marketing pages are now bilingual, closing out Phase 1 of the marketing translation effort. /es/about renders the team / vision / game-world write-up in Spanish. /es/contact translates every channel. /es/faq covers all 12 Q&A items. /es/how-to-play translates the 10-minute rundown. /es/showcase renders the curated 7-card showcase with bilingual card names + flavor blurbs. /es/changelog (this page) is now bilingual too — every ChangelogEntry carries both Spanish and English copy together in the source so future updates land in both locales atomically. The four legal pages shipped bilingual earlier this month, so the public surface is now fully bilingual end-to-end.

The homepage hero is now bilingual. Spanish-speaking visitors landing on /es see the full marketing pitch in Spanish — anti-pay-to-win positioning, daily-free-packs promise, multi-pace modes (casual, ranked, AI, just collecting), element chips, and the 'built among friends' footer — all in informal tú voice. English visitors keep the original wording at /en. This is the first marketing page to land in two languages; the rest are queued up next.

The Privacy Policy is now bilingual, closing out Phase 1 of the legal-page localization effort. Spanish-speaking visitors land on a fully translated /es/legal/privacy, English visitors keep the original wording at /en/legal/privacy. With this release, all four legal pages — Terms of Service, Cookie Policy, Legal Notice, and Privacy Policy — ship in both English and Spanish, each carrying the controlling-version notice that names the English text as the legally authoritative version. Phase 1 legal coverage is now fully complete.

The Terms of Service page is now bilingual. Spanish-speaking visitors land on a fully translated /es/legal/terms, English visitors keep the original wording at /en/legal/terms. Both versions carry the same controlling-version notice at the top, making clear that the English text remains the legally authoritative version and the Spanish translation is provided for convenience. Three of four legal pages — Terms, Cookies, and Legal Notice — now ship in both languages; Privacy is the next page in line.

The Cookie Policy and Legal Notice pages are now bilingual. Spanish-speaking visitors land on fully translated /es/legal/cookies and /es/legal/notice, English visitors keep the original wording at /en/legal/cookies and /en/legal/notice. All four pages carry a controlling-version notice at the top making clear that the English text is the legally authoritative version and the Spanish translation is provided for convenience. Terms and privacy will follow the same pattern in upcoming releases.