Changelog

Dwie zmiany dla społeczności wchodzą razem. (1) Codzienne logowanie nie rozdaje już darmowych paczek według płaskiego harmonogramu — teraz przyznaje fragmenty paczki każdego dnia w cyklu [3,3,3,5,5,5,8], a ukończenie tygodnia z rzędu daje rosnący bonus paczek (1 → 2 → 3 → 4, sufit 4). Przegapisz dzień i seria spada do zera — dokończ tydzień, by zgarnąć tę kotwiczną nagrodę. (2) Nowa sekcja w karcie Profil do realizacji kodów (np. WELCOME-2026, kody partnerów, giveawaye twórców). Kody mogą zawierać dowolną kombinację paczek, fragmentów i części według rzadkości; admin tworzy je w nowej zakładce Kody panelu administracyjnego, z opcjonalnymi limitami użycia i datami wygaśnięcia.

Do dziś interfejs był lokalizowany, ale zawartość kart zostawała po angielsku: nazwy, linie flavor, nazwy i opisy umiejętności wyświetlały się po angielsku niezależnie od wybranego języka. Przetłumaczyliśmy wszystkie 113 kart na hiszpański (Hiszpania + fallback LATAM), francuski, włoski, niemiecki, portugalski (BR + fallback PT), polski, niderlandzki, rosyjski i turecki — czyli nazwę kanoniczną plus flavor, plus nazwy i opisy umiejętności aktywnych i pasywnych tam, gdzie są. Angielski payload serwera pozostaje autorytatywny dla bazy; to, co widzisz na ekranie, nakłada się po stronie klienta zgodnie z twoim językiem, więc tożsamość karty pozostaje taka sama przy zmianach języka i wymianach. Jeśli brakuje tłumaczenia dla jakiegoś pola którejkolwiek karty, spada na tekst angielski — nigdy na puste pole.

Feedback graczy po premierze Masowego rozpuszczania: changelog mówił "do 50 na partię", ale gracz z tylko 21 kopiami karty dostawał limit 20 i myślał, że coś jest popsute. Nic nie było popsute — serwer wymusza "zostaw przynajmniej 1 kopię każdej karty", więc stos 21 kopii topi się do 20 za jednym razem. Limit zawsze był min(maks serwera 50, kopie kwalifikowane, kopie łączne − 1); tylko był niewidoczny. Teraz etykieta przycisku wejściowego pokazuje dokładny limit partii w formie "maks N z M kwalifikowanych", a dymek po najechaniu wyjaśnia wiążące ograniczenie (limit serwera, kwalifikowalność albo zachowaj-1). Nagłówek panelu wyboru powtarza ograniczenie, żebyś nie musiał zgadywać.

Zbieracze, to dla was. Rozpuszczanie pospolitych kopii pojedynczo wypalało okno rate-limitu per użytkownik — gracz z 80 pospolitymi jednej karty nie mógł realnie ich uprzątnąć w jednej sesji. Widok szczegółów karty pokazuje teraz przycisk "Rozpuść masowo..." pod istniejącym Rozpuść per kopia, który pojawia się, gdy masz co najmniej 2 kwalifikowane kopie oglądanej karty. Kliknij, wybierz, które numery druku zniszczyć z kratkowanej siatki (kopie zablokowane / w talii / w aktywnej wymianie są wyszarzone i wyłączone), i cała partia idzie jedną akceptacją + jednym slotem rate-limitu. Sufit serwera to 50 na wywołanie, dzięki czemu odpowiedź jest zawsze szybka. Podgląd nagrody pokazuje dokładne fragmenty + części według rzadkości, które otrzymasz, zanim klikniesz Zniszcz wszystko.

Dwa drobne, ale widoczne usprawnienia komfortu. W zakładce Kolekcja lista dostępności zyskała opcję „Wkrótce rotacja", która filtruje siatkę do kart wygasających w ciągu najbliższych 30 dni — ten sam próg co plakietka, która już od jakiegoś czasu pojawia się na tych kartach, więc filtr i plakietka zawsze się zgadzają. W zakładce Turniej turnieje gildii pokazują teraz panel rankingu każdemu odwiedzającemu — nie tylko zapisanym uczestnikom. Wcześniej otwierało się turniej gildii i widziało uczestników, ale żadnej drabinki, chyba że twoja gildia była zarejestrowana. Teraz publiczny panel renderuje się dla wszystkich i czyta te same dane, które serwer już zwracał — możesz więc zobaczyć, kto prowadzi, bez konieczności wcześniejszej rejestracji.

Ostatni obszar wrogiego przeglądu 14 obszarów — pipeline'y buildu i bramki CI. Większość zmian jest niewidoczna dla graczy (żyją w `.github/workflows/` i `scripts/`), ale przesuwają jakość z „tylko lokalne z obejściem --no-verify" do „blokujące merge na każdym PR". Cała suita vitest (~2700 testów), type-check TypeScript, bramka driftu Drizzle, parytet kluczy i18n, pin BullMQ, walidacja battle-config i baseline bare-db-execute działają teraz wszystkie w CI na każdym PR. Skan CVE produkcji zyskał bramkę świadomą wyjątków, która eksponuje umiarkowane podatności (poprzedni próg uciszał sześć z nich). IAB Global Vendor List używana przez baner zgody odświeża się teraz codziennie przez zaplanowany workflow, który otwiera PR, gdy lista się zmieni. Dwa skipped testy w suite battle niosą śledzone referencje (T-201, T-202), a nowa bramka inwariantu kładzie build na każdym przyszłym skipie bez taga, żeby martwy kod się nie zbierał.

Przejście przez pipeline obserwowalności i audytu zamknęło lukę między tym, co mówi polityka prywatności, a tym, co serwer faktycznie robi. Nic nie zmieniło się wizualnie dla graczy, ale kilka rzeczy poprawiło się pod spodem: proces Node.js loguje teraz i liczy niezłapane błędy zamiast padać po cichu i pozwalać platformie zrestartować go bez wyjaśnienia; tabela audit_log jest teraz codziennie czyszczona przez cron, który wymusza okno retencji 90 dni obiecane w polityce; nazwy wyświetlane graczy są teraz redactowane z linii logów serwera (Motyw 30 RODO traktuje nazwy wyświetlane jako dane osobowe); a pipeline audytu zdarzeń bezpieczeństwa zyskał kontrole trwałości i proweniencję przez hash IP per akcja, więc inspekcja regulatora może odtworzyć dowolną akcję konta z timestampem, aktorem i pochodzeniem.

Przejście po warstwie prawnej i zgód zamknęło długą listę luk zgodności. Nagłówki: ciąg zgody IAB TCF v2.3 jest teraz oficjalnym, bit-packed formatem produkowanym przez biblioteki @iabtechlabtcf/* zamiast shimu base64(JSON) — parser Google AdSense odrzucał nasz shim od terminu 2026-03-01, co po cichu spychało odwiedzających z UE do Limited Ads. Każdy wybór z bannera zgody (Akceptuj wszystkie / Odrzuć wszystkie / Dostosuj / wycofanie / monit o wersji / ponowne otwarcie) zapisuje teraz trwały wiersz w audit_log, dzięki czemu potrafimy udowodnić zgodę przy zapytaniu z Art.7(1) RODO. Potwierdzenie wieku 16+ i akceptacja Regulaminu przy rejestracji są teraz wymuszane po stronie serwera przez additional fields Better Auth — wcześniejszy klient-only checkbox dało się ominąć curlem. Polityka prywatności nazywa teraz prawdziwych dostawców (Arsys jako hosting + Google AdSense jako reklamodawca) zamiast tekstu zastępczego — Postgres i Redis działają na infrastrukturze Arsys zarządzanej przez operatora i nie są osobnymi podmiotami przetwarzającymi. Usunięcie konta czyści teraz znacznie szerszy zestaw tabel z danymi osobowymi (znajomości, członkostwo w gildii, zapisy do turniejów, zgłoszenia, historię ad-watch, ziarna provably-fair, tokeny weryfikacyjne i kilka innych), używa krypto-losowego sufiksu pseudonimu, który łamie wcześniejszą powiązywalność z audit_log, odmawia ponownego utworzenia żądania usunięcia dla konta już w całości usuniętego, i ogranicza ponowienia crona, by przelotna awaria nie zapętliła się na zawsze. Artefakt eksportu danych zyskał sześć nowych sekcji (członkostwo w gildii, turnieje, znajomości, zgłoszenia wsparcia, historię ad-watch, historię ziaren provably-fair) i limity wierszy na sekcję, by power user nie wywalił buildu eksportu przez OOM. Banner zgody jest teraz prawdziwym dialogiem modalnym z focus trapem i aria-modal, przełącznik języka jest widoczny w każdym breakpoincie (był ukryty na mobile), a bany od admina dostarczają teraz Uzasadnienie z Art.17 DSA poprzez powiadomienie w aplikacji z naruszoną zasadą i ścieżką odwołania. Dodatkowo: świeża IAB Global Vendor List w bundlu i skrypt codziennego odświeżania, aby zmiany w zakresie dostawców nie odpływały, ciasteczka first-party AdSense są teraz realnie usuwane przy wycofaniu zgody (wcześniej tylko tag skryptu był demontowany), i nowa bramka CSRF z tokenem na endpointach usuwania konta i eksportu danych, by strona atakująca z podrobionym formularzem nie wystartowała odliczania usunięcia dla zalogowanego odwiedzającego. Wersja zgody przeskoczyła z 3.1 na 3.2 — każdy odwiedzający zobaczy banner ciasteczek raz przy kolejnej wizycie, by potwierdzić pod zaktualizowaną listą procesorów.

A pass through the bilingual surface closed every visible English-only chrome remnant on Spanish pages and tightened a few middleware + SEO gaps. Headline items: the marketing nav (About / How to Play / Cards / FAQ / Contact / Updates / Log in / Play for Free), every legal-page header link, the global cookie-consent banner, the offline banner, and the language-switcher screen-reader label all read from the active-locale message bundle now — Spanish visitors no longer see English wrappers around Spanish copy. The language switcher is also visible on phones (was hidden under the sm: breakpoint), so a visitor landing on the wrong locale on mobile can finally jump in-page. Changelog dates are stored as ISO YYYY-MM-DD and rendered through Intl.DateTimeFormat per locale — Spanish visitors see "26 de abril de 2026" / English visitors see "April 26, 2026". Email addresses across the legal + contact surface have been unified to a single canonical contact@drawntcg.com so visitors don't have to guess between info / privacy / support inboxes. A new /robots.txt now points crawlers at the per-locale sitemap, and link-preview crawlers (Slack, Discord, iMessage, Twitter) get an Open Graph card with the right locale tag. A subtle middleware bug that made the <html lang="…"> attribute always say "es" on /en/* pages — silently breaking screen-reader locale routing and Google's hreflang verification — has been fixed.

A pass through the anticheat surface (provably-fair seeds, replay sanitization, spectator state, collusion-detection telemetry) closed a small list of subtle but real defects. Headline items: pack-opening seed rotation is now atomic against in-flight pack opens, so a verifier replay can never reproduce N−1 of N openings while the Nth orphan dangles unverifiable; replay history scrubs raw player ids out of turn-log strings before persistence so the publishable replay file truly cannot be cross-correlated by id; spectator state strips two alpha-strategy hints (adrenaline counters and per-turn summon counts) that pre-fix flowed through unmasked; provably-fair seed rotations and client-seed changes are now durably audited so a player dispute has a recoverable trail; the history endpoint no longer 500s on garbage page params and no longer leaks raw Postgres errors to clients.

A pass through tournaments, guilds, the profile sections, and the in-battle internals fixed a long list of small bugs and added the visible affordances that were missing. Headline items: viewing a stranger's profile now tells you why bio / display case / achievements are hidden ("add as friend to see more") instead of rendering blank sections; achievement toasts auto-dismiss after 6 seconds (and cap at 5 visible at once) instead of stacking forever; every in-battle action — summon, attack, ability, mulligan, end turn, forfeit — now has a 5-second "no response from server" safety net so a flaky socket can't leave the UI stuck pending; the forfeit button uses an in-app modal instead of the browser's native confirm() popup that iOS PWAs sometimes silently suppress; the tournament bracket marks forfeit / disconnect / bye matches with a small badge so admins and spectators can tell them apart from real wins; deck-builder save validates the 3-copies-per-card limit client-side before letting you press Save; and a list of guild-management quality-of-life polish items (kick / promote confirmation, donation amount cap, war-end refresh filtering, identical-message dedupe).

A pass through the in-battle screen, the deck builder, and the card / trade modals fixed a long list of small but visible bugs. The headline items: spectators were seeing the battle mirrored to the wrong side (their view labelled the opponent as "you"), the mulligan timer reset to 30 every time anything happened on the board, the queue size showed blank when joining casual matchmaking, and trade history's wishlist 🎯 markers showed the wrong player's wishlist. The card modal now cancels in-flight fetches when you flip through a gallery, the deck builder caps how many pages it loads (so a server hiccup can't lock the screen), and copying a deck export now actually tells you whether it worked.

When you summon a creature, attack, or end your turn, the client now waits up to 5 seconds for the server to confirm. If the confirmation never arrives — server hiccup, network drop, dropped packet — you get a clear "No response from server — check your connection" message instead of a button that just stops responding. If the server rejects the action (out of phase, illegal target, rate-limited, etc.) the rejection reason now reaches you immediately even on flaky connections, instead of riding the next state push and arriving seconds late. The other (less critical) actions are unchanged. Spanish and English locales also got `not-found` and `loading` pages so a stale link or a slow load lands on a localised page instead of the framework default.

The bilingual public surface is now wired up for search engines. Every Spanish and English page emits a `<link rel="canonical">` pointing at its own locale URL plus an `<link rel="alternate" hreflang>` map covering both locales and an `x-default` fallback, so Google can pair the /es and /en variants of the same page instead of treating them as duplicates. A new `/sitemap.xml` enumerates every Phase 1 public page in every locale with the same hreflang alternates per entry. With this release Phase 1 of the i18n project is fully closed: 4 legal pages bilingual, 7 marketing pages bilingual, controlling-version clauses live in both languages, locale switcher in both headers, hreflang plumbing in metadata and sitemap, and a written workflow template for any future page.

A big batch of player-facing work landed across the spring. The headline items: a public marketing surface for new visitors, a card mastery system that rewards loyalty to specific cards, a tournament bracket viewer that finally lets you see how a tournament is unfolding, and a long list of small UX fixes that close gaps players have been pointing out for months. Below is the rough shape of what changed, organised by area. Patch notes for individual cards and balance tweaks live in the in-game patch feed; this changelog covers the structural and surface-level stuff.

Six more marketing pages are now bilingual, closing out Phase 1 of the marketing translation effort. /es/about renders the team / vision / game-world write-up in Spanish. /es/contact translates every channel. /es/faq covers all 12 Q&A items. /es/how-to-play translates the 10-minute rundown. /es/showcase renders the curated 7-card showcase with bilingual card names + flavor blurbs. /es/changelog (this page) is now bilingual too — every ChangelogEntry carries both Spanish and English copy together in the source so future updates land in both locales atomically. The four legal pages shipped bilingual earlier this month, so the public surface is now fully bilingual end-to-end.

The homepage hero is now bilingual. Spanish-speaking visitors landing on /es see the full marketing pitch in Spanish — anti-pay-to-win positioning, daily-free-packs promise, multi-pace modes (casual, ranked, AI, just collecting), element chips, and the 'built among friends' footer — all in informal tú voice. English visitors keep the original wording at /en. This is the first marketing page to land in two languages; the rest are queued up next.

The Privacy Policy is now bilingual, closing out Phase 1 of the legal-page localization effort. Spanish-speaking visitors land on a fully translated /es/legal/privacy, English visitors keep the original wording at /en/legal/privacy. With this release, all four legal pages — Terms of Service, Cookie Policy, Legal Notice, and Privacy Policy — ship in both English and Spanish, each carrying the controlling-version notice that names the English text as the legally authoritative version. Phase 1 legal coverage is now fully complete.

The Terms of Service page is now bilingual. Spanish-speaking visitors land on a fully translated /es/legal/terms, English visitors keep the original wording at /en/legal/terms. Both versions carry the same controlling-version notice at the top, making clear that the English text remains the legally authoritative version and the Spanish translation is provided for convenience. Three of four legal pages — Terms, Cookies, and Legal Notice — now ship in both languages; Privacy is the next page in line.

The Cookie Policy and Legal Notice pages are now bilingual. Spanish-speaking visitors land on fully translated /es/legal/cookies and /es/legal/notice, English visitors keep the original wording at /en/legal/cookies and /en/legal/notice. All four pages carry a controlling-version notice at the top making clear that the English text is the legally authoritative version and the Spanish translation is provided for convenience. Terms and privacy will follow the same pattern in upcoming releases.