Changelog

Два изменения для сообщества выходят вместе. (1) Ежедневный вход больше не выдаёт бесплатные наборы по плоскому графику — теперь он начисляет фрагменты наборов каждый день по циклу [3,3,3,5,5,5,8], а завершение последовательной недели даёт нарастающий бонус наборами (1 → 2 → 3 → 4, потолок 4). Пропустишь день — серия обнуляется. Доведи неделю до конца, чтобы забрать якорную награду. (2) Новая секция во вкладке Профиля для активации промокодов (например WELCOME-2026, партнёрские коды, розыгрыши авторов). Коды могут содержать любую комбинацию наборов, фрагментов и кусочков по редкости; админ создаёт их в новой вкладке Коды админ-панели, с опциональными лимитами использований и датами окончания.

До сегодняшнего дня хром интерфейса был локализован, но содержимое карт оставалось на английском: имена, флейвор-строки, названия и описания способностей читались на английском независимо от выбранного языка. Мы перевели все 113 карт на испанский (Испания + LATAM-фолбэк), французский, итальянский, немецкий, португальский (BR + PT-фолбэк), польский, нидерландский, русский и турецкий — это каноническое имя плюс флейвор, плюс названия и описания активных и пассивных способностей, где они есть. Английский серверный пейлоад остаётся авторитетным для базы; то, что ты видишь на экране, накладывается на клиенте по локали, поэтому идентичность карты сохраняется при смене языка и обменах. Если для какого-то поля у какой-то карты перевода не хватает, он падает на английский текст — никогда на пустоту.

Обратная связь от игроков после запуска «Массового распыления»: в чейнджлоге было «до 50 за партию», но игрок с 21 копией карты упирался в потолок 20 и решал, что что-то сломано. Не сломано — сервер гарантирует «оставь хотя бы 1 копию каждой карты», поэтому стопка из 21 копии за раз доходит до 20. Потолок всегда был мин(серверный максимум 50, подходящие копии, всего копий − 1); просто его не было видно. Теперь подпись на входной кнопке прямо показывает потолок партии в форме «макс N из M подходящих», а всплывающая подсказка объясняет, какое ограничение связывает (потолок сервера, подходящесть или оставь-1). Заголовок панели выбора повторяет это ограничение — гадать не нужно.

Накопители, это для вас. Распыление общих копий по одной выжигало окно rate-limit на пользователя — игрок с 80 общими копиями одной карты не мог реально разобрать их за одну сессию. Окно детали карты теперь показывает кнопку "Массовое распыление..." под прежним поштучным распылением — она появляется, когда у тебя есть хотя бы 2 подходящие копии той карты, что ты смотришь. Кликни, выбери, какие номера печати уничтожить из плиточной сетки (заблокированные / в-колоде / в-активном-обмене копии затемнены и отключены), и вся партия проходит за одно подтверждение + один слот rate-limit. Серверный потолок — 50 за вызов, так что ответ всегда быстрый. Превью награды показывает тебе точные фрагменты + кусочки по редкости ещё до нажатия Уничтожить всё.

Два небольших, но заметных улучшения удобства. На вкладке «Коллекция» в выпадающем списке доступности появился вариант «Скоро в ротации», который фильтрует сетку до карт, истекающих в ближайшие 30 дней — тот же порог, что у значка, который уже какое-то время отображался на этих картах, так что фильтр и значок всегда совпадают. На вкладке «Турнир» гильдийные турниры теперь показывают панель турнирной таблицы любому посетителю — не только зарегистрированным участникам. Раньше открыв гильдийный турнир, ты видел участников, но никакой сетки, если твоя гильдия не была зарегистрирована. Теперь публичная панель отображается для всех и читает те же данные, что сервер и так возвращал — можно увидеть, кто лидирует, не регистрируясь заранее.

Последняя область враждебного сквозного обзора 14 областей — пайплайны сборки и гейты CI. Большая часть изменений невидима игрокам (они живут в `.github/workflows/` и `scripts/`), но они сдвигают качество с «только локально с обходом --no-verify» на «блокирует мерж на каждом PR». Полный набор vitest (~2700 тестов), type-check TypeScript, drift gate Drizzle, паритет ключей i18n, пин BullMQ, валидация battle-config и базовая линия bare-db-execute теперь все запускаются в CI на каждом PR. Сканирование CVE для production получило гейт, учитывающий исключения, который раскрывает уязвимости средней тяжести (прежний порог замалчивал шесть из них). IAB Global Vendor List, используемый баннером согласия на cookies, теперь обновляется ежедневно через запланированный workflow, открывающий PR при изменении списка. Два пропущенных теста в наборе battle несут отслеживаемые ссылки (T-201, T-202), а новый инвариантный гейт обрушивает сборку на любом будущем пропуске без тега, чтобы мёртвый код не копился.

Проход по конвейеру обзорности и аудита закрыл разрыв между тем, что говорит политика приватности, и тем, что сервер реально делает. Визуально для игроков ничего не изменилось, но несколько вещей под капотом стали лучше: процесс Node.js теперь логирует и считает неперехваченные ошибки вместо того, чтобы молча падать и позволять платформе перезапускать его без объяснений; таблица audit_log теперь ежедневно чистится cron-задачей, которая обеспечивает окно ретенции в 90 дней, обещанное политикой приватности; отображаемые имена игроков теперь редактируются из строк лога сервера (Разъяснение 30 GDPR относит отображаемые имена к персональным данным); и конвейер аудита событий безопасности получил проверки надёжности и провенанс по хешу IP на действие, так что инспекция регулятора может реконструировать любое действие аккаунта с меткой времени, актором и источником.

Проход по юридической и consent-поверхности закрыл длинный список compliance-дыр. Главное: строка согласия IAB TCF v2.3 теперь официальный bit-packed формат, который генерируют библиотеки @iabtechlabtcf/*, а не base64(JSON)-шим — парсер Google AdSense отвергал наш шим с дедлайна 2026-03-01, и это незаметно опускало посетителей из ЕС в Limited Ads. Каждый выбор в баннере согласия (Принять всё / Отклонить всё / Настроить / отзыв / запрос про version bump / повторное открытие) теперь пишет долговременную строку в audit_log, так что мы можем доказать согласие при проверке по ст.7(1) GDPR. Подтверждение возраста 16+ и принятие условий при регистрации теперь валидируются на сервере через additional fields Better Auth — прежний клиентский чекбокс обходился через curl. Политика конфиденциальности теперь называет реальных третьих лиц (Arsys для хостинга + Google AdSense для рекламы) вместо плейсхолдер-текста — Postgres и Redis работают на инфраструктуре Arsys, управляемой оператором, и не являются отдельными процессорами. Удаление аккаунта теперь зачищает гораздо более широкий набор таблиц с персональными данными (дружбы, членство в гильдии, заявки на турниры, тикеты, история ad-watch, provably-fair-сиды, токены верификации и несколько других), использует крипто-случайный псевдоним-суффикс, который ломает прежнюю связуемость с audit_log, отказывается создать повторный запрос на удаление для полностью удалённого аккаунта, и ограничивает повторы крона, чтобы временный сбой не зацикливался навсегда. Артефакт экспорта данных получил шесть новых секций (членство в гильдии, турниры, дружбы, тикеты поддержки, история ad-watch, история provably-fair-сидов) и потолки строк на секцию, чтобы пауэр-юзер не уронил билд экспорта по OOM. Баннер согласия теперь полноценный модальный диалог с focus trap и aria-modal, переключатель языка виден на любом брейкпоинте (был скрыт на мобиле), а админ-баны теперь доставляют Statement of Reasons по ст.17 DSA через in-app уведомление с указанием нарушенного правила и маршрута апелляции. Плюс: свежая IAB Global Vendor List в бандле и скрипт ежедневного обновления, чтобы правки скоупа поставщиков не уплывали, first-party-куки AdSense теперь действительно удаляются при отзыве согласия (раньше демонтировался только script-тег), и новая CSRF-проверка на эндпоинтах удаления аккаунта и экспорта данных, чтобы атакующая страница с поддельной формой не могла запустить обратный отсчёт удаления для авторизованного посетителя. Версия согласия поднята с 3.1 до 3.2 — каждый посетитель увидит cookie-баннер один раз при следующем визите, чтобы переподтвердить под обновлённым списком процессоров.

A pass through the bilingual surface closed every visible English-only chrome remnant on Spanish pages and tightened a few middleware + SEO gaps. Headline items: the marketing nav (About / How to Play / Cards / FAQ / Contact / Updates / Log in / Play for Free), every legal-page header link, the global cookie-consent banner, the offline banner, and the language-switcher screen-reader label all read from the active-locale message bundle now — Spanish visitors no longer see English wrappers around Spanish copy. The language switcher is also visible on phones (was hidden under the sm: breakpoint), so a visitor landing on the wrong locale on mobile can finally jump in-page. Changelog dates are stored as ISO YYYY-MM-DD and rendered through Intl.DateTimeFormat per locale — Spanish visitors see "26 de abril de 2026" / English visitors see "April 26, 2026". Email addresses across the legal + contact surface have been unified to a single canonical contact@drawntcg.com so visitors don't have to guess between info / privacy / support inboxes. A new /robots.txt now points crawlers at the per-locale sitemap, and link-preview crawlers (Slack, Discord, iMessage, Twitter) get an Open Graph card with the right locale tag. A subtle middleware bug that made the <html lang="…"> attribute always say "es" on /en/* pages — silently breaking screen-reader locale routing and Google's hreflang verification — has been fixed.

A pass through the anticheat surface (provably-fair seeds, replay sanitization, spectator state, collusion-detection telemetry) closed a small list of subtle but real defects. Headline items: pack-opening seed rotation is now atomic against in-flight pack opens, so a verifier replay can never reproduce N−1 of N openings while the Nth orphan dangles unverifiable; replay history scrubs raw player ids out of turn-log strings before persistence so the publishable replay file truly cannot be cross-correlated by id; spectator state strips two alpha-strategy hints (adrenaline counters and per-turn summon counts) that pre-fix flowed through unmasked; provably-fair seed rotations and client-seed changes are now durably audited so a player dispute has a recoverable trail; the history endpoint no longer 500s on garbage page params and no longer leaks raw Postgres errors to clients.

A pass through tournaments, guilds, the profile sections, and the in-battle internals fixed a long list of small bugs and added the visible affordances that were missing. Headline items: viewing a stranger's profile now tells you why bio / display case / achievements are hidden ("add as friend to see more") instead of rendering blank sections; achievement toasts auto-dismiss after 6 seconds (and cap at 5 visible at once) instead of stacking forever; every in-battle action — summon, attack, ability, mulligan, end turn, forfeit — now has a 5-second "no response from server" safety net so a flaky socket can't leave the UI stuck pending; the forfeit button uses an in-app modal instead of the browser's native confirm() popup that iOS PWAs sometimes silently suppress; the tournament bracket marks forfeit / disconnect / bye matches with a small badge so admins and spectators can tell them apart from real wins; deck-builder save validates the 3-copies-per-card limit client-side before letting you press Save; and a list of guild-management quality-of-life polish items (kick / promote confirmation, donation amount cap, war-end refresh filtering, identical-message dedupe).

A pass through the in-battle screen, the deck builder, and the card / trade modals fixed a long list of small but visible bugs. The headline items: spectators were seeing the battle mirrored to the wrong side (their view labelled the opponent as "you"), the mulligan timer reset to 30 every time anything happened on the board, the queue size showed blank when joining casual matchmaking, and trade history's wishlist 🎯 markers showed the wrong player's wishlist. The card modal now cancels in-flight fetches when you flip through a gallery, the deck builder caps how many pages it loads (so a server hiccup can't lock the screen), and copying a deck export now actually tells you whether it worked.

When you summon a creature, attack, or end your turn, the client now waits up to 5 seconds for the server to confirm. If the confirmation never arrives — server hiccup, network drop, dropped packet — you get a clear "No response from server — check your connection" message instead of a button that just stops responding. If the server rejects the action (out of phase, illegal target, rate-limited, etc.) the rejection reason now reaches you immediately even on flaky connections, instead of riding the next state push and arriving seconds late. The other (less critical) actions are unchanged. Spanish and English locales also got `not-found` and `loading` pages so a stale link or a slow load lands on a localised page instead of the framework default.

The bilingual public surface is now wired up for search engines. Every Spanish and English page emits a `<link rel="canonical">` pointing at its own locale URL plus an `<link rel="alternate" hreflang>` map covering both locales and an `x-default` fallback, so Google can pair the /es and /en variants of the same page instead of treating them as duplicates. A new `/sitemap.xml` enumerates every Phase 1 public page in every locale with the same hreflang alternates per entry. With this release Phase 1 of the i18n project is fully closed: 4 legal pages bilingual, 7 marketing pages bilingual, controlling-version clauses live in both languages, locale switcher in both headers, hreflang plumbing in metadata and sitemap, and a written workflow template for any future page.

A big batch of player-facing work landed across the spring. The headline items: a public marketing surface for new visitors, a card mastery system that rewards loyalty to specific cards, a tournament bracket viewer that finally lets you see how a tournament is unfolding, and a long list of small UX fixes that close gaps players have been pointing out for months. Below is the rough shape of what changed, organised by area. Patch notes for individual cards and balance tweaks live in the in-game patch feed; this changelog covers the structural and surface-level stuff.

Six more marketing pages are now bilingual, closing out Phase 1 of the marketing translation effort. /es/about renders the team / vision / game-world write-up in Spanish. /es/contact translates every channel. /es/faq covers all 12 Q&A items. /es/how-to-play translates the 10-minute rundown. /es/showcase renders the curated 7-card showcase with bilingual card names + flavor blurbs. /es/changelog (this page) is now bilingual too — every ChangelogEntry carries both Spanish and English copy together in the source so future updates land in both locales atomically. The four legal pages shipped bilingual earlier this month, so the public surface is now fully bilingual end-to-end.

The homepage hero is now bilingual. Spanish-speaking visitors landing on /es see the full marketing pitch in Spanish — anti-pay-to-win positioning, daily-free-packs promise, multi-pace modes (casual, ranked, AI, just collecting), element chips, and the 'built among friends' footer — all in informal tú voice. English visitors keep the original wording at /en. This is the first marketing page to land in two languages; the rest are queued up next.

The Privacy Policy is now bilingual, closing out Phase 1 of the legal-page localization effort. Spanish-speaking visitors land on a fully translated /es/legal/privacy, English visitors keep the original wording at /en/legal/privacy. With this release, all four legal pages — Terms of Service, Cookie Policy, Legal Notice, and Privacy Policy — ship in both English and Spanish, each carrying the controlling-version notice that names the English text as the legally authoritative version. Phase 1 legal coverage is now fully complete.

The Terms of Service page is now bilingual. Spanish-speaking visitors land on a fully translated /es/legal/terms, English visitors keep the original wording at /en/legal/terms. Both versions carry the same controlling-version notice at the top, making clear that the English text remains the legally authoritative version and the Spanish translation is provided for convenience. Three of four legal pages — Terms, Cookies, and Legal Notice — now ship in both languages; Privacy is the next page in line.

The Cookie Policy and Legal Notice pages are now bilingual. Spanish-speaking visitors land on fully translated /es/legal/cookies and /es/legal/notice, English visitors keep the original wording at /en/legal/cookies and /en/legal/notice. All four pages carry a controlling-version notice at the top making clear that the English text is the legally authoritative version and the Spanish translation is provided for convenience. Terms and privacy will follow the same pattern in upcoming releases.