Changelog

Due cambiamenti per la community arrivano insieme. (1) Il login giornaliero non distribuisce più pacchetti gratis con uno schema piatto — ora concede frammenti di pacchetto ogni giorno su un ciclo [3,3,3,5,5,5,8], e completare una settimana consecutiva dà un bonus pacchetti crescente (1 → 2 → 3 → 4, tetto a 4). Saltare un giorno fa azzerare la serie — completa la settimana per portarti a casa la ricompensa di ancoraggio. (2) Nuova sezione nel tab Profilo per riscattare codici (es. WELCOME-2026, codici di partner, giveaway di creator). I codici possono dare qualsiasi combinazione di pacchetti, frammenti e pezzi per rarità; l'admin li scrive dal nuovo tab Codici del pannello, con tetti di uso e scadenze opzionali.

Fino a oggi la cromatura dell'interfaccia era localizzata ma il contenuto delle carte restava in inglese: nomi, righe di flavor, nomi e descrizioni delle abilità apparivano in inglese a prescindere dalla lingua scelta. Abbiamo tradotto le 113 carte in spagnolo (Spagna + fallback LATAM), francese, italiano, tedesco, portoghese (BR + fallback PT), polacco, olandese, russo e turco — cioè il nome canonico più il flavor, più i nomi e le descrizioni delle abilità attive e passive quando esistono. Il payload server in inglese resta la fonte autoritativa per il database; ciò che vedi a schermo viene sovrapposto lato client in base alla lingua, così l'identità di una carta resta la stessa fra cambi di lingua e scambi. Se manca una traduzione per qualche campo di qualche carta, cade sul testo inglese, mai su uno spazio vuoto.

Feedback dei giocatori dopo il lancio di Scioglimento in massa: il changelog diceva "fino a 50 per lotto" ma un giocatore con solo 21 copie di una carta si trovava un tetto di 20 e pensava che qualcosa fosse rotto. Nulla era rotto — il server garantisce "tieni almeno 1 copia di ogni carta", quindi una pila di 21 copie raggiunge il tetto a 20 in un colpo. Il tetto è sempre stato min(tetto server 50, copie idonee, copie totali − 1); era solo invisibile. Ora l'etichetta del bottone d'ingresso dice esattamente il tuo tetto di lotto in formato "max N di M idonee" e il tooltip al passaggio del mouse spiega la restrizione che lo lega (tetto server, idoneità o tieni-1). L'intestazione del pannello di selezione ripete la restrizione così non devi indovinare.

Accumulatori, questa è per voi. Sciogliere le copie comuni una alla volta bruciava la finestra di rate-limit per utente — un giocatore con 80 comuni di una sola carta non poteva realisticamente liberarsene in una sola seduta. La vista dettaglio della carta mostra ora un bottone "Scioglimento in massa..." sotto lo Scioglimento per copia già esistente, che appare quando hai almeno 2 copie idonee della carta che stai guardando. Cliccaci sopra, scegli quali numeri di stampa distruggere da una griglia di tessere (le copie bloccate, nel mazzo o in uno scambio attivo appaiono attenuate e disabilitate), e l'intero lotto passa con una sola conferma + un solo slot di rate-limit. Il tetto server è 50 per chiamata, così la risposta resta rapida. L'anteprima ricompensa ti mostra esattamente i frammenti + i pezzi per rarità che riceverai prima di premere Distruggi tutto.

Due piccole ma visibili migliorie di qualità della vita. Nella scheda Collezione, il menu a tendina di disponibilità guadagna l'opzione "In rotazione presto" che filtra la griglia alle carte che scadono nei prossimi 30 giorni — stessa soglia del badge che già appariva su quelle carte, così filtro e badge restano sempre d'accordo. Nella scheda Torneo, i tornei di gilda mostrano ora il loro pannello classifica a qualunque visitatore — non solo ai partecipanti iscritti. Prima si apriva un torneo di gilda e si vedevano i partecipanti ma nessun tabellone se la gilda non era registrata. Ora il pannello pubblico si renderizza per tutti, leggendo gli stessi dati che il server già restituiva, così puoi vedere chi è in testa senza doverti prima iscrivere.

L'ultima area dello sweep di revisione ostile delle 14 aree — pipeline di build e gate di CI. La maggior parte dei cambiamenti è invisibile ai giocatori (vivono in `.github/workflows/` e `scripts/`) ma spostano la qualità da «solo locale con bypass --no-verify» a «bloccante per il merge su ogni PR». L'intera suite vitest (~2700 test), il type-check TypeScript, il drift gate di Drizzle, la parità delle chiavi i18n, il pin BullMQ, la validazione battle-config e la baseline bare-db-execute girano ora tutti in CI su ogni PR. Lo scan CVE di produzione ha guadagnato un gate consapevole delle deroghe che espone le vulnerabilità moderate (la soglia precedente ne silenziava sei). L'IAB Global Vendor List usata dal banner di consenso si aggiorna ora quotidianamente tramite un workflow programmato che apre una PR quando la lista cambia. Due test skipped della suite battle portano riferimenti tracciati (T-201, T-202) e un nuovo gate invariante fa fallire il build su ogni skip futuro non taggato così che il codice morto non si accumuli.

Una passata sulla pipeline di osservabilità e audit ha chiuso il divario tra quello che la privacy policy dice e quello che il server fa davvero. Niente è cambiato visualmente per i giocatori, ma alcune cose sono migliorate sotto: il processo Node.js ora registra e conta gli errori non catturati invece di andare giù in silenzio e lasciare che la piattaforma lo riavvii senza spiegazione; la tabella audit_log viene ora purgata quotidianamente da un cron che applica la finestra di retention di 90 giorni promessa dalla privacy policy; i nomi visualizzati dei giocatori vengono ora oscurati dalle righe di log del server (il Considerando 30 del GDPR tratta i nomi visualizzati come dati personali); e la pipeline di audit degli eventi di sicurezza ha guadagnato check di durabilità e provenance per IP-hash per azione, così un'ispezione del regolatore può ricostruire qualunque azione di account con timestamp, attore e origine.

Un giro sulla superficie legale e del consenso ha chiuso una lunga lista di buchi di compliance. Titoli: la stringa di consenso IAB TCF v2.3 è ora il formato bit-packed ufficiale prodotto dalle librerie @iabtechlabtcf/* invece di uno shim base64(JSON) — il parser di Google AdSense rifiutava il nostro shim dalla scadenza del 2026-03-01, e questo declassava silenziosamente i visitatori UE a Limited Ads. Ogni scelta sul banner del consenso (Accetta tutto / Rifiuta tutto / Personalizza / ritiro / prompt di version bump / riapertura) scrive ora una riga duratura su audit_log così possiamo dimostrare il consenso sotto un'ispezione Art.7(1) GDPR. La conferma dell'età 16+ e l'accettazione dei ToS in registrazione sono ora imposte lato server tramite gli additional fields di Better Auth — la precedente checkbox solo client si poteva saltare via curl. La privacy policy nomina ora i veri terzi (Arsys per hosting + Google AdSense per advertising) invece di copy generico — Postgres e Redis girano su infrastruttura Arsys gestita dall'operatore e non sono processori distinti. La cancellazione dell'account ripulisce ora un insieme molto più ampio di tabelle con dati personali (amicizie, appartenenza alla gilda, iscrizioni a tornei, ticket, storico ad-watch, seed provably-fair, token di verifica e diverse altre), usa un suffisso pseudonimo crypto-random che rompe la precedente correlabilità con audit_log, rifiuta di ricreare una richiesta di cancellazione per un account già completamente cancellato, e limita i retry del cron così un fallimento transitorio non resta in loop per sempre. L'artefatto di esportazione dati ha guadagnato sei nuove sezioni (appartenenza alla gilda, tornei, amicizie, ticket di supporto, storico ad-watch, storico seed provably-fair) e tetti per riga per sezione così un utente power non possa mandare in OOM la build dell'export. Il banner del consenso è ora un vero dialog modale con focus trap e aria-modal, il selettore di lingua è visibile a ogni breakpoint (era nascosto su mobile), e i ban admin consegnano ora una Dichiarazione dei Motivi Art.17 DSA via notifica in-app con la regola violata e un percorso di ricorso. Inoltre: una IAB Global Vendor List fresca inclusa e uno script di refresh giornaliero così i cambi di scope dei fornitori non vadano alla deriva, i cookie first-party di AdSense davvero cancellati al ritiro del consenso (prima veniva smontato solo il tag script), e un nuovo gate CSRF con token sugli endpoint di cancellazione account e esportazione dati così una pagina attaccante con form falsificato non possa avviare il countdown di cancellazione per un visitatore loggato. Versione del consenso passata da 3.1 a 3.2 — ogni visitatore vedrà il banner una volta alla prossima visita per riconfermare sotto la lista aggiornata di processori.

A pass through the bilingual surface closed every visible English-only chrome remnant on Spanish pages and tightened a few middleware + SEO gaps. Headline items: the marketing nav (About / How to Play / Cards / FAQ / Contact / Updates / Log in / Play for Free), every legal-page header link, the global cookie-consent banner, the offline banner, and the language-switcher screen-reader label all read from the active-locale message bundle now — Spanish visitors no longer see English wrappers around Spanish copy. The language switcher is also visible on phones (was hidden under the sm: breakpoint), so a visitor landing on the wrong locale on mobile can finally jump in-page. Changelog dates are stored as ISO YYYY-MM-DD and rendered through Intl.DateTimeFormat per locale — Spanish visitors see "26 de abril de 2026" / English visitors see "April 26, 2026". Email addresses across the legal + contact surface have been unified to a single canonical contact@drawntcg.com so visitors don't have to guess between info / privacy / support inboxes. A new /robots.txt now points crawlers at the per-locale sitemap, and link-preview crawlers (Slack, Discord, iMessage, Twitter) get an Open Graph card with the right locale tag. A subtle middleware bug that made the <html lang="…"> attribute always say "es" on /en/* pages — silently breaking screen-reader locale routing and Google's hreflang verification — has been fixed.

A pass through the anticheat surface (provably-fair seeds, replay sanitization, spectator state, collusion-detection telemetry) closed a small list of subtle but real defects. Headline items: pack-opening seed rotation is now atomic against in-flight pack opens, so a verifier replay can never reproduce N−1 of N openings while the Nth orphan dangles unverifiable; replay history scrubs raw player ids out of turn-log strings before persistence so the publishable replay file truly cannot be cross-correlated by id; spectator state strips two alpha-strategy hints (adrenaline counters and per-turn summon counts) that pre-fix flowed through unmasked; provably-fair seed rotations and client-seed changes are now durably audited so a player dispute has a recoverable trail; the history endpoint no longer 500s on garbage page params and no longer leaks raw Postgres errors to clients.

A pass through tournaments, guilds, the profile sections, and the in-battle internals fixed a long list of small bugs and added the visible affordances that were missing. Headline items: viewing a stranger's profile now tells you why bio / display case / achievements are hidden ("add as friend to see more") instead of rendering blank sections; achievement toasts auto-dismiss after 6 seconds (and cap at 5 visible at once) instead of stacking forever; every in-battle action — summon, attack, ability, mulligan, end turn, forfeit — now has a 5-second "no response from server" safety net so a flaky socket can't leave the UI stuck pending; the forfeit button uses an in-app modal instead of the browser's native confirm() popup that iOS PWAs sometimes silently suppress; the tournament bracket marks forfeit / disconnect / bye matches with a small badge so admins and spectators can tell them apart from real wins; deck-builder save validates the 3-copies-per-card limit client-side before letting you press Save; and a list of guild-management quality-of-life polish items (kick / promote confirmation, donation amount cap, war-end refresh filtering, identical-message dedupe).

A pass through the in-battle screen, the deck builder, and the card / trade modals fixed a long list of small but visible bugs. The headline items: spectators were seeing the battle mirrored to the wrong side (their view labelled the opponent as "you"), the mulligan timer reset to 30 every time anything happened on the board, the queue size showed blank when joining casual matchmaking, and trade history's wishlist 🎯 markers showed the wrong player's wishlist. The card modal now cancels in-flight fetches when you flip through a gallery, the deck builder caps how many pages it loads (so a server hiccup can't lock the screen), and copying a deck export now actually tells you whether it worked.

When you summon a creature, attack, or end your turn, the client now waits up to 5 seconds for the server to confirm. If the confirmation never arrives — server hiccup, network drop, dropped packet — you get a clear "No response from server — check your connection" message instead of a button that just stops responding. If the server rejects the action (out of phase, illegal target, rate-limited, etc.) the rejection reason now reaches you immediately even on flaky connections, instead of riding the next state push and arriving seconds late. The other (less critical) actions are unchanged. Spanish and English locales also got `not-found` and `loading` pages so a stale link or a slow load lands on a localised page instead of the framework default.

The bilingual public surface is now wired up for search engines. Every Spanish and English page emits a `<link rel="canonical">` pointing at its own locale URL plus an `<link rel="alternate" hreflang>` map covering both locales and an `x-default` fallback, so Google can pair the /es and /en variants of the same page instead of treating them as duplicates. A new `/sitemap.xml` enumerates every Phase 1 public page in every locale with the same hreflang alternates per entry. With this release Phase 1 of the i18n project is fully closed: 4 legal pages bilingual, 7 marketing pages bilingual, controlling-version clauses live in both languages, locale switcher in both headers, hreflang plumbing in metadata and sitemap, and a written workflow template for any future page.

A big batch of player-facing work landed across the spring. The headline items: a public marketing surface for new visitors, a card mastery system that rewards loyalty to specific cards, a tournament bracket viewer that finally lets you see how a tournament is unfolding, and a long list of small UX fixes that close gaps players have been pointing out for months. Below is the rough shape of what changed, organised by area. Patch notes for individual cards and balance tweaks live in the in-game patch feed; this changelog covers the structural and surface-level stuff.

Six more marketing pages are now bilingual, closing out Phase 1 of the marketing translation effort. /es/about renders the team / vision / game-world write-up in Spanish. /es/contact translates every channel. /es/faq covers all 12 Q&A items. /es/how-to-play translates the 10-minute rundown. /es/showcase renders the curated 7-card showcase with bilingual card names + flavor blurbs. /es/changelog (this page) is now bilingual too — every ChangelogEntry carries both Spanish and English copy together in the source so future updates land in both locales atomically. The four legal pages shipped bilingual earlier this month, so the public surface is now fully bilingual end-to-end.

The homepage hero is now bilingual. Spanish-speaking visitors landing on /es see the full marketing pitch in Spanish — anti-pay-to-win positioning, daily-free-packs promise, multi-pace modes (casual, ranked, AI, just collecting), element chips, and the 'built among friends' footer — all in informal tú voice. English visitors keep the original wording at /en. This is the first marketing page to land in two languages; the rest are queued up next.

The Privacy Policy is now bilingual, closing out Phase 1 of the legal-page localization effort. Spanish-speaking visitors land on a fully translated /es/legal/privacy, English visitors keep the original wording at /en/legal/privacy. With this release, all four legal pages — Terms of Service, Cookie Policy, Legal Notice, and Privacy Policy — ship in both English and Spanish, each carrying the controlling-version notice that names the English text as the legally authoritative version. Phase 1 legal coverage is now fully complete.

The Terms of Service page is now bilingual. Spanish-speaking visitors land on a fully translated /es/legal/terms, English visitors keep the original wording at /en/legal/terms. Both versions carry the same controlling-version notice at the top, making clear that the English text remains the legally authoritative version and the Spanish translation is provided for convenience. Three of four legal pages — Terms, Cookies, and Legal Notice — now ship in both languages; Privacy is the next page in line.

The Cookie Policy and Legal Notice pages are now bilingual. Spanish-speaking visitors land on fully translated /es/legal/cookies and /es/legal/notice, English visitors keep the original wording at /en/legal/cookies and /en/legal/notice. All four pages carry a controlling-version notice at the top making clear that the English text is the legally authoritative version and the Spanish translation is provided for convenience. Terms and privacy will follow the same pattern in upcoming releases.