Günlük giriş ödülleri yenilendi + takas kodları — her gün parça kazan ve topluluk kodlarını kullan
Topluluk için iki değişiklik birlikte geliyor. (1) Günlük giriş artık düz bir programla bedava paket dağıtmıyor — her gün [3,3,3,5,5,5,8] döngüsüyle paket parçaları veriyor ve ardışık bir haftayı tamamlamak yükselen bir paket bonusu (1 → 2 → 3 → 4, tavan 4) sağlıyor. Bir günü kaçırırsan seri sıfıra düşer — o haftayı bitir ve çapa ödülünü kap. (2) Profil sekmesinde kod kullanmak için yeni bir bölüm (ör. WELCOME-2026, partner kodları, içerik üreticisi çekilişleri). Kodlar paket, parça ve nadirlik parçacıklarının her bileşimini verebilir; admin yeni Kodlar sekmesinden oluşturur, isteğe bağlı kullanım tavanı ve son geçerlilik tarihiyle.
Günlük ödüller
- Günlük parça döngüsü: serindeki konumuna göre [3, 3, 3, 5, 5, 5, 8]. Parçalar üretim ve paket dönüşümü için birikir.
- 7 / 14 / 21 / 28 / … günlerde haftayı tamamlama paket bonusu: ilk hafta +1 paket, ikinci +2, üçüncü +3, 4. haftadan itibaren +4 (tavan).
- Bir günü kaçırırsan → seri 0'a düşer; bir sonraki 'tamamlanmış hafta' bonusu yeniden +1'den başlar. Eski 7 / 14 / 28. günlerdeki +3 / +5 / +10 kilometre taşı bonusları kaldırıldı.
- Takvim arayüzü yenilendi: bu haftayı gösteren 7 günlük şerit ve tamamlanan toplam hafta sayısı için 'Hf N' rozeti.
- Mevcut seriler dağıtımda sıfırlandı, böylece herkes yeni programa eşit şartlarda başlıyor — yarım haftalık kredi taşınmıyor.
Takas kodları
- Profil sekmesinde yeni 'Takas' bölümü — bir kod gir, ödülü gör, son 20 takasına bak.
- Her kullanıcı belirli bir kodu en fazla bir kez kullanabilir (kod-kullanıcı çiftine özel benzersiz indeksle güvence altına alındı — çift takas yok).
- Kodlar paket, parça ve nadirlik parçacıklarını her bileşimde taşıyabilir; admin ödülü oluştururken belirler.
- Kod başına isteğe bağlı toplam kullanım tavanı (ör. 'sadece ilk 100 takas') ve son geçerlilik tarihi (ör. 'cumaya kadar geçerli').
- Kullanıcı başına dakikada 5 denemeyle sınırlı; yazım hatasıyla brute-force'u devre dışı bırakır. Adminin yaptığı her kod oluşturma / düzenleme / silme audit log'a yazılır.
Oyun içi geniş kapsamlı çeviri taraması
- Kart etiketleri (ATK / DEF / HP / PM / Pasif), rozetler (YENİ!, ✦ Yeni, Yakında rotasyonda, Legacy) ve faz etiketleri (Yavru / Faz 1-3 / MAX) artık koleksiyonda, gacha açılışında ve savaş ekranlarında senin dilinde görünüyor.
- Bildirim çanı + lonca savaşı toast'ları: her satır, 'X önce' eki, zafer/yenilgi/beraberlik rozeti ve ödül özeti artık yereli geçiyor; Lehçe/Rusça çoğul biçimleri doğru.
- Savaş odası kromu (lobi metni, 'cihazını döndür' kaplaması, el etiketi, rakip ön eki, hedef ipucu, İptal bağlantısı) ve ödüllü reklam kaplaması (yükleme, hata nedenleri, talep butonu, 'görünür tut' uyarısı) artık tamamen yerelleştirildi.
- Kopya galerisi onay akışı (seviye ilerlemesi, parçalama onayları, kilitli deste ve bekleyen takas uyarıları, oran-limit geri sayımı, parça / parçacık ödül önizlemesi) — sadece İngilizce olan her dize artık dile göre.
- ErrorBoundary geri dönüşü (Yeniden Yükle butonu + güvenli metin) ve WalletBar ipuçları (paketler / parçalar / pity / günlük bonus hazır) artık 12 desteklenen yerelde aktif dilde okunuyor.
- Giriş öncesi ekranlar baştan sona çevrildi: giriş / kayıt / 2FA / şifremi unuttum / şifre sıfırla (başlıklar, alt başlıklar, yer tutucular, butonlar, hata ve başarı mesajları, yaş + Şartlar kapısı metni, geri sayım sayaçlı doğrulanmamış e-posta uyarısı).
- İlk açılış onboarding kaplaması (3 aktif adım + nokta göstergeleri, atla ve ileri butonları, tüm kart tipi / nadirlik / holo / faz / yetenek açıklamaları) artık senin dilinde, ilk paket akışı yerlide oturuyor.
- Paket açma sırasında akan tat satırları: 58 benzersiz cümle × 12 yerel (~700 yaratıcı yazı), böylece bir paket açılırken dönen metin standart, altın ve elmas paketlerde senin dilinde okunur.
Site genelinde dil cilası
- Çerez izni banner'ı artık dil değiştirdiğinde her seferinde doğru dile geçiyor — önceden ikinci geçişten itibaren ilk ziyaret edilen dilde kalıyordu (ör. /es → /en geçiyordu ama /en → /it İtalyanca sayfanın üstünde İngilizce banner'ı bırakıyordu).
- Öne Çıkan Kartlar (showcase sayfası) baştan sona desteklenen 12 dile çevrildi — her kart adı ve 100-150 kelimelik her pazarlama metni, İspanyolca veya İngilizce konuşmayan ziyaretçiler için artık İspanyolcaya düşmek yerine yerel dilinde geliyor.
- Yenilikler sayfasının kayıtları: bu kayıt ve onun öncesindeki iki kayıt (2026-04-28 — kart metni çevirisi + Toplu Eritme tavanı açıklaması) artık 12 dilin tamamında tamamen yerel dilde. Eski kayıtlar bunları sonraki sürümlerde tamamlayana dek zarif biçimde İngilizceye düşer.
- Kart detayı modali: 'X kopya' etiketi ve Toplu Eritme tavanı artık gerçekten baktığın kartı yansıtıyor — önceden bir kartı açıp aynı modal oturumunda başka bir karta geçtiğinde sonraki tüm kartlar için İLK kartın sayımı görünüyor, böylece aslında 19 kopyası olan bir yığında '4 kopya' gibi yanlış sayılar çıkıyordu.
Kart metinleri artık senin dilinde — 113 kartın tamamı için isimler, flavor ve yetenek açıklamaları çevrildi
Bugüne dek arayüz kromu yerelleştirilmişti ama kart içeriği İngilizce kalıyordu: isimler, flavor satırları, yetenek isimleri ve açıklamaları seçtiğin dilden bağımsız İngilizce görünüyordu. 113 kartın tamamını İspanyolca (İspanya + LATAM yedek), Fransızca, İtalyanca, Almanca, Portekizce (BR + PT yedek), Lehçe, Hollandaca, Rusça ve Türkçeye çevirdik — yani kanonik isim artı flavor, artı varsa aktif ve pasif yetenek isim ve açıklamaları. İngilizce sunucu yükü veritabanı için yetkili olmaya devam ediyor; ekranda gördüğün, diline göre istemcide üstüne biniyor, böylece bir kartın kimliği dil geçişlerinde ve takaslarda aynı kalıyor. Bir kartın bir alanı için çeviri eksikse İngilizce metne düşer — asla boş bir alana değil.
Neler değişti
- Tüm 113 kart adı 11 hedef dile çevrildi (es, es-419, fr, it, de, pt-BR, pt-PT, pl, nl, ru, tr) — pt-PT ve es-419 artık fallback olarak değil, yerel varyantlar olarak tamamen dolu.
- PT-PT (Avrupa Portekizcesi): bölgesel yazımlar (Fênix→Fénix, Tectônico→Tectónico, Gêiser→Géiser, Fumaça→Fumo), farklı söz dağarcığı (mordida→dentada, filhote→cria, pulinho→saltinho, quica→salta, terremoto→terramoto, demais→restantes, libera→liberta, bravo→zangado), enklitik klitik yerleşimi (se alimenta→alimenta-se, a se tornar→a tornar-se) ve tu biçimi emir kipleri (Você não passará→Tu não passarás).
- es-419 (Latin Amerika İspanyolcası): LATAM-doğal ifadeler (Picado en Bomba→Bombardeo en Picada), Cono Sur'da kaba olan 'Concha' kullanımından kaçınılması ve güvenli olsun diye 'Caparazón' ile değiştirilmesi, ayrıca katalog LATAM genelinde evrensel kalsın diye voseo (AR/UY) biçiminin kasıtlı olarak uygulanmadığına dair açık bir not.
- Her kart için flavor satırları çevrildi — 113 benzersiz lore dizesi × 9 dil.
- Aktif yetenek isim ve açıklamaları, sahip oldukları 60 yaratık kartı için çevrildi.
- Pasif yetenek isim ve açıklamaları, sahip oldukları 50 yaratık kartı için çevrildi.
- Bir kartın çizildiği her yere bağlandı: koleksiyon ızgarası, kart modali, kart karşılaştırıcı, deste kurucu, üretim modali, Forge sekmesi, gacha açılışı, draft odası, savaşta el ve bölgeler, üzerine gelince görünen ipuçları, sürükleme ön izlemeleri, takas önerisi açılır listeleri ve takas ön izlemesi.
Notlar
- '+5 ATK.' veya 'Ateş +3 ATK.' gibi nesne stat satırları olduğu gibi kalır — çevirinin değer katmayacağı mekanik metinlerdir.
- Kart kimliği (card_id, instance_id, holo seed, ATK/DEF/HP/PM) dil katmanı boyunca korunur — yalnızca gösterilen dizeler değişir. Takaslar, desteler ve savaş tekrarları diller arasında %100 uyumludur.
Toplu Eritme tavanı artık kendini açıklıyor — neden maksimumunun bu olduğunu görüyorsun
Toplu Eritme lansmanından sonra oyuncu geri bildirimi: changelog "parti başına 50'ye kadar" diyordu ama bir kartın yalnızca 21 kopyasına sahip oyuncu 20 tavanına çarpıp bir şeyin bozuk olduğunu sandı. Hiçbir şey bozuk değildi — sunucu "her kartın en az 1 kopyasını koru" kuralını uyguluyor, dolayısıyla 21 kopyalık bir yığın bir defada 20'de tavan yapıyor. Tavan her zaman min(sunucu max 50, uygun kopya, toplam kopya − 1) idi; sadece görünmezdi. Artık giriş butonunun etiketi parti tavanını tam olarak "M uygunun N'si maks" biçiminde söylüyor, üzerine gelindiğinde görünen ipucu bağlayıcı kısıtlamayı (sunucu tavanı, uygunluk veya koru-1) açıklıyor. Seçim panelinin başlığı kısıtlamayı tekrar ediyor, böylece tahmin etmek zorunda kalmıyorsun.
Neler değişti
- Toplu Eritme giriş butonu artık sadece "(M uygun)" yerine "💠💠 Toplu Eritme... (M uygunun N'si maks)" yazıyor — N, sunucu tavanı + koru-1 kuralını gözeten gerçek seçim tavanıdır.
- Buton üzerine gelince görünen ipucu bağlayıcı nedeni gösterir: "sunucu max 50", "M uygun" veya "T toplamından 1'ini koru".
- Seçim panelinin başlığı artık tavan sayısının ardından bağlayıcı kısıtlamayı da ekliyor, böylece neden üzerine gelmeden görünür.
- Davranış değişmedi: koru-1 kuralı hep sunucu tarafında uygulanıyordu. Bu değişiklik tamamen UX netliği — aynı korumalar, daha şeffaf etiketler.
Toplu Eritme — bir kartın 50 kopyasına kadar tek bir eylemde yok et
Biriktirenler, bu size. Sıradan kopyaları tek tek eritmek herkesin kullanıcı başına rate-limit penceresini yakıyordu — tek bir kartın 80 sıradanına sahip bir oyuncu bunları gerçekçi biçimde tek seferde temizleyemiyordu. Kart detay görünümü artık var olan kopya başına Eritmenin altında bir "Toplu Eritme..." butonu gösteriyor; baktığın kartın en az 2 uygun kopyası olduğunda görünür. Tıkla, bir karo ızgarasından hangi baskı numaralarını yok edeceğini seç (kilitli / destedeki / aktif takastaki kopyalar soluk ve devre dışı), ve tüm parti tek bir onay + tek bir rate-limit slotuyla geçer. Sunucu tavanı çağrı başına 50, bu yüzden yanıt hep hızlı. Ödül önizlemesi, Hepsini Yok Et tuşuna basmadan önce alacağın tam parça + nadirliğe özgü parçacık sayılarını gösterir.
Neler değişti
- Kart detay görünümü → kopya başına Eritmenin altında yeni "💠💠 Toplu Eritme... (N uygun)" butonu. Yalnızca ≥2 uygun kopyan olduğunda görünür (uygun = kilitsiz + destede değil + aktif takasta değil).
- Karo ızgarası her kopyayı baskı numarası + holo / kilitli / destede / takasta işaretleriyle gösterir. Uygun olmayan karolar soluk ve devre dışıdır. Seçim min(50, uygun, kopya − 1) ile sınırlıdır, böylece yığını asla tamamen sıfırlayamazsın.
- "Tümünü seç" + "Temizle" kontrolleri + kopya başına ödül arayüzünü yansıtan canlı bir "+X parça / +Y R parçacığı" önizlemesi. Onay modali her ağ çağrısından önce bir kez sorar: "\"Kart Adı\" kartının N kopyası eritilsin mi? +X parça +Y R parçacığı. [İptal] [Hepsini Yok Et]".
- Sunucu tarafında: parti boyutundan bağımsız tek bir rate-limit slotu tüketilir — özelliğin tüm amacı bu. Tüm işlem atomiktir (50 kopyanın hepsi birlikte erir ya da hiçbiri erimez).
- Bekleyen takas güvenliği: seçilen kopyalardan biri aktif bir takasta duruyorsa, sunucu uyarır ve çağrıyı açık onayla yeniden gönderen "İptal Et ve Erit" istemi sunar. Süregelen takasın sessiz üzerine yazılması yok.
- Son kopya güvenliği: her kart için sunucu en az bir kopya tutmanı zorunlu kılar. Bir yığını sıfırlayacak parti net bir hatayla reddedilir ve hiçbir satır silinmez.
Koleksiyon: "Yakında Rotasyonda" filtresi + lonca turnuvası genel sıralamaları
İki küçük ama görünür yaşam-kalitesi iyileştirmesi. Koleksiyon sekmesinde, kullanılabilirlik açılır menüsü 30 gün içinde sona erecek kartlara grid'i süzen "Yakında Rotasyonda" seçeneğini kazandı — bu kartlarda zaten bir süredir görünen rozetle aynı eşik, dolayısıyla filtre ve rozet her zaman uyumlu. Turnuva sekmesinde, lonca turnuvaları artık sıralama panelini herhangi bir ziyaretçiye gösteriyor — yalnızca kayıtlı katılımcılara değil. Öncesinde bir lonca turnuvasını açar, katılımcıları görür ama loncan kayıtlı değilse bracket göremezdin. Şimdi genel sıralama paneli herkese render ediliyor ve sunucunun zaten döndürdüğü aynı verileri okuyor — kimin önde olduğunu önce kayıt olmadan görebilirsin.
Ne değişti
- Koleksiyon → kullanılabilirlik açılır menüsü → yeni "Yakında Rotasyonda" seçeneği `available_until` değeri önümüzdeki 30 gün içinde olan kartları süzer. Aktif çip sırası, filtre açıkken kaldırılabilir bir "Yakında Rotasyonda" çipi gösterir.
- 30 günlük pencere artık tek bir ortak sabit, dolayısıyla filtre ile mevcut "Yakında Rotasyonda" rozeti hiçbir zaman birbirinden sapamaz.
- Turnuva sekmesi → lonca turnuvaları → sıralama paneli kayıtlı olmayan ziyaretçilere de render ediliyor. Katılımcı görünümüyle aynı veriler; panel, loncan kayıt olmadan önce bile kimin önde olduğunu gösteriyor.
- Lonca dışı turnuvalar değişmedi — genel sıralama paneli yalnızca `tournament_type === "guild"` olduğunda render ediliyor.
Build + CI sertleştirmesi — kalite gate'leri CI'ya taşındı, bağımlılık denetimi için muafiyetler, günlük IAB GVL yenilemesi — 14 alanlık düşmanca inceleme süpürmesi tamamlandı
14 alanlık düşmanca inceleme süpürmesinin son alanı — build pipeline'ları ve CI gate'leri. Değişikliklerin çoğu oyuncular için görünmezdir (`.github/workflows/` ve `scripts/` içinde yaşar) ama kaliteyi "yalnızca yerel, --no-verify bypass ile" durumundan "her PR'de merge'i bloke eder" durumuna kaydırıyor. Tam vitest suite'i (~2700 test), TypeScript type-check, Drizzle drift gate, i18n anahtar paritesi, BullMQ pin, battle-config doğrulaması ve bare-db-execute baseline'ı artık her PR'de CI'da çalışıyor. Üretim CVE taraması, orta düzey güvenlik açıklarını ortaya çıkaran muafiyet bilincine sahip bir gate kazandı (önceki eşik bunlardan altısını susturuyordu). Cookie consent banner'ının kullandığı IAB Global Vendor List artık her gün, vendor listesi değiştiğinde PR açan zamanlanmış bir workflow ile yenileniyor. Battle suite'inde iki skipped test izlenebilir referanslar taşıyor (T-201, T-202) ve yeni bir invariant gate, etiketsiz gelecekteki herhangi bir skip'te build'i çökertiyor, böylece ölü kod birikmiyor.
Oyuncular için ne değişti
- Görsel olarak hiçbir şey. Tüm parti iç araç gereçlerinden ibaret — CI workflow'ları, bağımlılık denetim gate'leri, build hijyeni. Kapanış notu önemli çünkü 14 alanlık inceleme tüm kod tabanında ~600 bulguyu yüzeye çıkardı (auth, battle engine, schema, gacha, admin API, public API, Game.tsx + sekmeler, kart/desk/battle UI, profil/lonca/turnuva iç yapıları, anticheat, i18n, legal/consent, observability, build/test infra) — önceki on üç alandan oyunculara dönük her düzeltme zaten önceki changelog girdilerinde yayımlandı. Bu girdi yalnızca süpürmeyi kapatıyor.
- Operatör tarafı: cookie consent banner'ının vendor başına ifşa için kullandığı IAB Global Vendor List, vendor listesi değiştiğinde PR açan zamanlanmış bir GitHub Action ile artık her gün yenileniyor. Eski GVL'ler bir vendor kapsamı sapma riskiydi (en kötü durum: AB'de AdSense Limited Ads). Her refresh PR'sini merge'den önce bir insan inceliyor.
- Bilinen güvenlik açıkları olan iki üretim bağımlılığı (next-intl + postcss-via-next) artık `context/refs/cve-waivers.md` içinde açık yeniden ziyaret tarihleriyle (2026-07-25) resmi olarak belgelendi. Önceki CVE gate, bunları şiddet eşiğini yükselterek gizliyordu; yeni gate her orta-ve-üstü güvenlik açığını yüzeye çıkarıyor ve bir muafiyet satırı kapsamadıkça CI'yı çökertiyor. Sessiz risk yerine dürüst görünürlük.
Sunucu stabilitesi + log gizliliği — süreç hata işleyicileri, audit saklama süresi zorlanır, oyuncu adları loglardan redacted
Gözlemlenebilirlik ve audit pipeline'ı üzerinde bir geçiş, gizlilik politikasının söylediği ile sunucunun gerçekte yaptığı arasındaki boşluğu kapattı. Oyuncular için görsel olarak hiçbir şey değişmedi ama altında birkaç şey iyileşti: Node.js süreci artık yakalanmamış hataları sessizce çökmek ve platformun açıklamasız yeniden başlatmasına izin vermek yerine kayıt ediyor ve sayıyor; audit_log tablosu artık gizlilik politikasının vaat ettiği 90 günlük saklama penceresini zorlayan bir cron ile her gün budanıyor; oyuncu görüntülenen adları artık sunucu log satırlarından redacted (GDPR'nin 30. Maddesi görüntülenen adları kişisel veri olarak değerlendirir); ve güvenlik olayı audit pipeline'ı dayanıklılık kontrolleri ve aksiyon başına IP-hash menşei kazandı, böylece bir düzenleyici denetimi herhangi bir hesap aksiyonunu zaman damgası, aktör ve menşe ile yeniden inşa edebilir.
Ne değişti
- Node.js süreci artık platform onu yeniden başlatmadan önce yakalanmamış bir hatayı kaydediyor. Önceden sunucu sessizce ölür, container kendi kendine yeniden başlardı ve olay sonrası hata ayıklama, container ölüm zaman damgalarından tahmin etmeyi gerektiriyordu. Artık her fatal hata, tam stack trace ve zaman içinde crash oranlarını grafiklendirebilmek için bir sayaçla birlikte yapılandırılmış log'a düşüyor.
- Gizlilik politikası audit loglarının 90 gün tutulduğunu söyler. Önceden bunu hiçbir şey gerçekten zorlamıyordu — eski satırlar sonsuza kadar birikiyordu. Yeni bir günlük cron (`/api/cron/audit-retention`) 90 günden eski olan her şeyi partiler hâlinde buduyor, böylece tablo sınırlı kalıyor ve politika vaadi dürüst.
- Oyuncu görüntülenen adları artık sunucu log satırlarından redacted. GDPR'nin 30. Maddesi görüntülenen adları kişisel veri olarak değerlendirir; önceki log biçimi her battle-end satırında winnerName / challengerName / opponentName alanlarını olduğu gibi içeriyordu. Pino redact bunları, log toplayıcısına ulaşmadan önce [Redacted] ile maskeliyor.
- Operatör tarafı: /api/metrics + /api/health uç noktaları artık production'da bir Bearer token gate destekliyor, böylece gözlemlenebilirlik verileri açık internette ifşa olmuyor (METRICS_BEARER_TOKEN / HEALTH_TOKEN ayarlayın; dev yokluğa toleranslıdır). CSP ihlal raporu uç noktası (/api/csp-report) artık IP başına hız sınırı uyguluyor, böylece bir spammer gerçek CSP uyarılarını boğamaz.
Hukuk + onay sertleştirmesi — gerçek TCF v2.3 dizesi, kalıcı onay denetimi, yaş + Kullanım Koşulları sunucuda zorunlu, gerçek işleyici listesi, hesap silme + veri dışa aktarımı genişletildi
Yasal + onay yüzeyinden geçilen tur, uzun bir uyumluluk açıkları listesini kapattı. Manşetler: IAB TCF v2.3 onay dizesi artık bir base64(JSON) shim'i değil, @iabtechlabtcf/* kütüphanelerinin ürettiği resmi bit-packed format — Google AdSense'in çözümleyicisi 2026-03-01 son tarihinden beri shim'imizi reddediyordu ve bu, AB ziyaretçilerini sessizce Limited Ads'e düşürüyordu. Onay banner'ındaki her tercih (Tümünü kabul et / Tümünü reddet / Özelleştir / geri çekme / version-bump uyarısı / yeniden açma) artık audit_log'a kalıcı bir satır yazıyor, böylece GDPR Madde 7(1) sorgusunda onayı kanıtlayabiliyoruz. Kayıttaki 16+ yaş onayı ve Kullanım Koşulları kabulü artık Better Auth additional fields üzerinden sunucu tarafında zorunlu — önceki yalnızca-istemci checkbox'ı curl ile atlatılabiliyordu. Gizlilik politikası artık placeholder metin yerine gerçek üçüncü tarafları adlandırıyor (barındırma için Arsys + reklam için Google AdSense) — Postgres ve Redis, operatör tarafından yönetilen Arsys altyapısında çalışır ve ayrı işleyiciler değildir. Hesap silme artık çok daha geniş bir kişisel veri tablosu kümesini siler (arkadaşlıklar, lonca üyeliği, turnuva kayıtları, biletler, ad-watch geçmişi, provably-fair tohumları, doğrulama jetonları ve birkaç tane daha), audit_log ile önceki ilişkilendirilebilirliği kıran kripto-rastgele takma ad sonekini kullanır, tamamen silinmiş bir hesap için silme isteğini yeniden oluşturmayı reddeder ve geçici bir hata sonsuza dek döngüye girmesin diye cron retry'larını sınırlandırır. Veri dışa aktarma eseri altı yeni bölüm kazandı (lonca üyeliği, turnuvalar, arkadaşlıklar, destek biletleri, ad-watch geçmişi, provably-fair tohum geçmişi) ve bölüm başına satır tavanları getirildi, böylece bir power user dışa aktarma build'ini OOM'a düşüremiyor. Onay banner'ı artık focus trap ve aria-modal'lı gerçek bir modal diyalog, dil seçici her breakpoint'te görünür (mobilde gizliydi) ve admin banları artık ihlal edilen kuralı ve itiraz yolunu içeren DSA Madde 17 Gerekçeler Bildirimini uygulama içi bildirimle iletiyor. Ayrıca: pakete dahil yeni bir IAB Global Vendor List ve günlük yenileme scripti, böylece sağlayıcı kapsamı değişiklikleri sapmıyor, AdSense first-party çerezleri onay geri çekildiğinde artık gerçekten siliniyor (eskiden yalnızca script etiketi söküldüğü için), ve hesap silme + veri dışa aktarma uç noktalarında token tabanlı yeni bir CSRF kapısı, böylece sahte form içeren bir saldırgan sayfa giriş yapmış bir ziyaretçi için silme geri sayımını tetikleyemiyor. Onay sürümü 3.1'den 3.2'ye yükseltildi — her ziyaretçi bir sonraki ziyaretinde güncellenmiş işleyici listesi altında yeniden onaylamak için banner'ı bir kez görecek.
Gerçek IAB TCF v2.3 dizesi + kalıcı onay denetimi
- TCF v2.3 onay dizesi artık resmi @iabtechlabtcf/core encoder'ı tarafından üretiliyor ve onay yönetim API'si resmi @iabtechlabtcf/cmpapi kütüphanesi — Google AdSense'in çözümleyicisinin 2026-03-01'den beri reddettiği base64(JSON) shim'inin yerini alıyor; bu shim, AB ziyaretçilerini Limited Ads'e düşürüyordu. CMP, IAB CMP v2 spesifikasyonuna birebir uygun şekilde sayfada `__tcfapi` olarak yüklenir.
- Onay banner'ındaki her sonuçlandırma (Tümünü kabul et / Tümünü reddet / Özelleştir / geri çekme / version-bump uyarısı / yeniden açma), tüm amaç-onay yükünü, özel-özellik opt-in'lerini, addtl_consent dizesini, önceki sürümü ve onay anında Google ATP curation'ının eksik olup olmadığını gösteren bir bayrağı içeren scope='legal' etiketli kalıcı bir audit_log satırı yazar. Artık 'bu kullanıcının bu anda bu sürüm altında onay verdiğini kanıtla' sorusuna yalnızca audit_log'tan yanıt verebiliyoruz — düzeltme öncesinde bu iz yoktu.
- Pakete dahil IAB Global Vendor List yenilendi ve `npm run refresh:gvl` scripti, günlük bir cron'un taze bir anlık görüntü bırakmasına olanak tanıyor. Bayat bir GVL, sağlayıcı kapsamı sapması riskiydi — her yenileme, diske atomik yeniden adlandırmadan önce şema kontrolü yapar, böylece kesilen bir fetch hiçbir zaman yarım yazılmış bir dosya bırakmaz.
Sunucuda zorunlu yaş + Koşullar + CSRF + işleyici listesi
- Kayıt artık `age_confirmed_at` ve `tos_version_accepted` değerlerini Better Auth additional fields üzerinden kullanıcı satırında saklıyor ve sunucu tarafındaki bir hook bu değerlerden herhangi biri eksik olan kaydı sertçe reddediyor. Düzeltme öncesinde ikisi de yalnızca-istemci checkbox'larıydı ve herhangi bir curl isteği bunları atlayabiliyordu.
- Gizlilik politikasındaki işleyici listesi artık gerçek üçüncü tarafları adlandırıyor: barındırma için Arsys (İspanya) + reklam için Google AdSense / AdMob. Postgres ve Redis, operatör tarafından yönetilen Arsys altyapısında çalışır ve ayrı işleyiciler değildir. 'Ödeme işleyici' varsayımsal satırı, kozmetik mağaza gerçekten gelecekteki bir flag altında yayına alınana kadar kaldırılıyor.
- Hesap silme ve veri dışa aktarma uç noktaları artık CSRF token'ı gerektiriyor (çift gönderim cookie kalıbı), böylece sahte form içeren bir saldırgan sayfa, giriş yapmış bir kurban için 30 günlük silme geri sayımını başlatamıyor veya dışa aktarma eserini çalamıyor. Better Auth oturum çerezi sameSite=Lax'tır; aksi takdirde top-level navigasyondan cross-origin POST'lara izin verirdi.
Hesap silme ve veri dışa aktarımı genişletildi
- Hesap silme artık çok daha geniş bir kişisel veri tablosu kümesini siliyor veya anonimleştiriyor: arkadaşlıklar ve arkadaşlık istekleri, lonca üyeliği ve sohbeti, lonca katılım istekleri ve istek listesi, turnuva katılımcıları ve turları, destek biletleri ve yanıtlar, ad-watch token'ları ve geçmişi, provably-fair tohum geçmişi, e-posta doğrulama ve parola sıfırlama token'ları — ve sentinel anonimleştirmesini match-telemetry, lonca-havuzu bağışları ve denetim için tutulan birkaç başka tabloya uyguluyor. Düzeltme öncesinde, silme 'tamamlandıktan' sonra bile on'dan fazla tablo kullanıcı verilerini sessizce tutuyordu.
- Silinmiş bir hesabın adını ve e-postasını üzerine yazmak için kullanılan takma ad artık orijinal kullanıcı kimliğinin deterministik 8 karakterlik bir diliminin yerine kripto-rastgele bir sonek kullanır. Önceki dilim, orijinal kimlikten 32 bit entropi taşıyordu; bu nedenle bir düzenleyici, audit_log.target_id üzerinden sentinel adı tekrar silinmiş kullanıcıya ilişkilendirebiliyordu. Yeni sonek bu bağlantıyı tamamen koparıyor.
- Aynı kullanıcıdan gelen iki eşzamanlı silme isteği artık veritabanı katmanında tek satıra çöküyor (`(user_id) WHERE status IN ('pending','processing')` üzerinde benzersiz kısmi indeks); istek POST'u 500 ile patlamak yerine `already_pending` döndürür. Silme işlemi zaten tamamlanmış bir kullanıcı yeni istek oluşturamaz — yeni `wasUserEverDeleted` kontrolü doğrudan reddederek, aksi takdirde yarı anonimleştirilmiş bir hesabı diriltecek olası bir gelecek ban-kaldırmaya karşı savunma sağlar.
- Bir silme işlemi yolun ortasında başarısız olursa (FK ihlali, lock timeout, ağ takılması), cron worker'ı artık bir retry sayacını artırıyor ve `pending`'de sonsuza kadar dönmek yerine son hata mesajını kaydediyor. Beş başarısız denemenin ardından satır admin dikkati için `failed` durumuna geçer.
- Veri dışa aktarımı artık altı yeni bölümü kapsıyor: lonca üyeliği, turnuva kayıtları, arkadaşlıklar, destek biletleri ve yanıtlar, ad-watch geçmişi ve provably-fair tohum geçmişi. Önceki `gaps[]` öz-dokümantasyonu bunları 'elimizde var ama vermiyoruz' olarak listeliyordu — bu da GDPR Madde 20 taşınabilirliğini ihlal ediyordu. Her bölüm ayrıca 10.000 satırlık bir tavanla geliyor, böylece bir power user dışa aktarma build'ini OOM'a düşüremiyor ve bir `truncations[]` alanı, kısmi dışa aktarmaları dürüstçe gün yüzüne çıkarıyor.
Banner erişilebilirliği + AdSense çerez hijyeni + DSA Madde 17 teslimi
- Çerez banner'ı artık gerçek bir modal diyalog: role='dialog', aria-modal='true', aria-labelledby yalnızca-ekran-okuyucu başlığını işaret ediyor ve açılışta odağı yakalayıp kapanışta geri veren bir focus trap var. Tab altındaki sayfaya kaçamaz. Esc bilinçli olarak KAPATMAZ, çünkü bu örtük bir reddetme olur — dark pattern.
- Dil seçici (ES | EN) artık mobil dahil her breakpoint'te görünür — düzeltme öncesinde sm: breakpoint'inin altında gizliydi ve bu, varsayılan-olmayan locale'deki ziyaretçileri zaten sessizce yanlış dile koyan F-A11-009 middleware hatasıyla kötü eşleşiyordu.
- Reklam onayını geri çekmek artık gerçekten AdSense first-party çerezlerini (`__gads`, `__gpi`, `__eoi`, `FCNEC`, `FCCDCF`) tarayıcıdan siliyor, sadece enjekte edilmiş script etiketini değil. Düzeltme öncesinde bir geri çekme bu çerezleri yerinde bırakıyordu, bu da ePrivacy + GDPR Madde 7(3)'ü ihlal ediyordu (geri çekme, çerez silmeye eşdeğer olmalı).
- Bir admin bir kullanıcıyı banladığında, kullanıcı artık uygulama içinde DSA Madde 17 Gerekçeler Bildirimini ihlal edilen kuralı, gerekçeyi ve itiraz yolunu içerecek şekilde alıyor — ve audit_log satırı aynı yükü scope='legal' altında taşıyor. Düzeltme öncesinde banlar sessizdi: kullanıcı giriş yapamıyor, neden olduğunu bilmiyor ve belgelenmiş bir itiraz yolu olmuyordu. Uç nokta artık kural ve gerekçe sağlamayan herhangi bir banı reddediyor.
i18n hardening — Spanish chrome everywhere, locale-aware dates, mobile language switcher, unified contact email
A pass through the bilingual surface closed every visible English-only chrome remnant on Spanish pages and tightened a few middleware + SEO gaps. Headline items: the marketing nav (About / How to Play / Cards / FAQ / Contact / Updates / Log in / Play for Free), every legal-page header link, the global cookie-consent banner, the offline banner, and the language-switcher screen-reader label all read from the active-locale message bundle now — Spanish visitors no longer see English wrappers around Spanish copy. The language switcher is also visible on phones (was hidden under the sm: breakpoint), so a visitor landing on the wrong locale on mobile can finally jump in-page. Changelog dates are stored as ISO YYYY-MM-DD and rendered through Intl.DateTimeFormat per locale — Spanish visitors see "26 de abril de 2026" / English visitors see "April 26, 2026". Email addresses across the legal + contact surface have been unified to a single canonical contact@drawntcg.com so visitors don't have to guess between info / privacy / support inboxes. A new /robots.txt now points crawlers at the per-locale sitemap, and link-preview crawlers (Slack, Discord, iMessage, Twitter) get an Open Graph card with the right locale tag. A subtle middleware bug that made the <html lang="…"> attribute always say "es" on /en/* pages — silently breaking screen-reader locale routing and Google's hreflang verification — has been fixed.
Spanish chrome on every public surface
- MarketingHeader (every public page) reads its nav labels and CTAs from the marketing_header.* namespace — Spanish visitors see Sobre nosotros / Cómo jugar / Cartas / FAQ / Contacto / Novedades / Iniciar sesión / Juega Gratis instead of the English equivalents.
- Legal page chrome (the back button, the four short links in the header — Terms / Privacy / Cookies / Legal Notice — and the long versions in the footer plus the all-rights-reserved line) all translate. Pre-fix /es/legal/* pages had a Spanish body with English chrome wrapping it.
- Global cookie-consent banner (the EU-mandated TCF v2.3 surface) translates intro copy, the Accept All / Reject All / Customize / Save Preferences buttons, every section heading, and every screen-reader aria-label so Spanish visitors don't see an English banner when they first land.
- The "You appear to be offline" banner (mounted on every page) and the language-switcher's accessibility label both read from the active locale.
Locale-aware dates + visible language switcher on mobile
- Changelog entry dates are now stored as ISO YYYY-MM-DD and rendered with Intl.DateTimeFormat — "26 de abril de 2026" in Spanish, "April 26, 2026" in English, with a proper <time dateTime="…"> wrapper for SEO.
- The Spanish changelog page heading is now "Registro de cambios" instead of the English word "Changelog".
- The language switcher (ES | EN) is now visible at every breakpoint, including phones. Pre-fix it was hidden under the sm: breakpoint, so a phone visitor landing on the wrong locale had to manually edit the URL to switch.
Single canonical contact email + softer Discord copy
- Every contact channel across the marketing, legal, and privacy surface points at a single canonical address: contact@drawntcg.com. Pre-fix the same visitor could see info@ on the contact page, privacy@ in the privacy policy, and support@ in the terms — confusing for anyone trying to figure out where to write.
- The Discord callout was softened — instead of "the invite link is being set up — when it lands it will show up here" it now says the invite is coming soon and points readers at the changelog page for updates in the meantime. No false promise of imminence.
Crawler + middleware fixes (mostly invisible but real)
- A new /robots.txt enumerates the public surface, blocks the authenticated game shell + admin + API + auth-only paths from crawl, and points search engines at /sitemap.xml so the per-locale sitemap is no longer discovered organically.
- Link-preview crawlers (Slack, Discord, iMessage, Twitter / X) now receive an Open Graph card with the active locale tag (es_ES or en_US) plus the alternate-locale list and a Twitter summary_large_image hint — bilingual link shares no longer surface the wrong-locale variant by accident.
- A subtle middleware bug that made <html lang="…"> always say "es" on /en/* pages is fixed. Pre-fix the request-header forwarding ran before next-intl's locale-injection, so the root layout never saw the active locale and fell back to the default — silently breaking screen-reader locale routing and Google's hreflang verification.
- Set-Cookie headers are now appended (not set) when merging next-intl's response — multiple cookies on a single response are no longer collapsed into one comma-joined value that browsers misparse.
Anticheat + provably-fair hardening — atomic seed rotation, replay scrubbing, spectator strategy strip
A pass through the anticheat surface (provably-fair seeds, replay sanitization, spectator state, collusion-detection telemetry) closed a small list of subtle but real defects. Headline items: pack-opening seed rotation is now atomic against in-flight pack opens, so a verifier replay can never reproduce N−1 of N openings while the Nth orphan dangles unverifiable; replay history scrubs raw player ids out of turn-log strings before persistence so the publishable replay file truly cannot be cross-correlated by id; spectator state strips two alpha-strategy hints (adrenaline counters and per-turn summon counts) that pre-fix flowed through unmasked; provably-fair seed rotations and client-seed changes are now durably audited so a player dispute has a recoverable trail; the history endpoint no longer 500s on garbage page params and no longer leaks raw Postgres errors to clients.
Provably-fair integrity
- Pack-opening seed rotation is now atomic against any in-flight pack open. Pre-fix a rotate landing between a pack-open's seed read and nonce update could publish a stale total_nonces value, leaving the in-flight opening unverifiable by the verifier. The race is closed via a transactional row lock plus a database-level unique-active-seed constraint.
- Both seed rotations and player-supplied client_seed changes now write a durable audit row, so a player who later disputes "I rotated at 12:34 and my opening is broken" has a recoverable trail in audit_log alone instead of relying on log-line forensics.
- PATCH client_seed now validates the format (8-64 hex chars) so unicode, control characters, or `:` separators that would ambiguate the verifier's HMAC message string can no longer be saved.
- Provably-fair history page now degrades gracefully on garbage page parameters (?page=NaN, ?page=abc) and no longer leaks raw Postgres error messages to authenticated clients.
Spectator + replay privacy
- Spectator state no longer surfaces adrenaline counters or per-turn summon counts — these are alpha-strategy hints that competitive metagame analysis tooling could be built off of. Combatants still see them in their own action-planning UI.
- Persisted replays now scrub raw player ids out of turn-log strings before storage. Pre-fix the JSON-keyed identifier fields were already pseudonymized to player_1 / player_2 but the free-text log lines could still embed raw ids — a non-admin reader of the replay blob could correlate replays by matching id substrings.
Profile, guild, tournament, and battle UI hardening — public profile clarity, achievement toasts, action timeouts
A pass through tournaments, guilds, the profile sections, and the in-battle internals fixed a long list of small bugs and added the visible affordances that were missing. Headline items: viewing a stranger's profile now tells you why bio / display case / achievements are hidden ("add as friend to see more") instead of rendering blank sections; achievement toasts auto-dismiss after 6 seconds (and cap at 5 visible at once) instead of stacking forever; every in-battle action — summon, attack, ability, mulligan, end turn, forfeit — now has a 5-second "no response from server" safety net so a flaky socket can't leave the UI stuck pending; the forfeit button uses an in-app modal instead of the browser's native confirm() popup that iOS PWAs sometimes silently suppress; the tournament bracket marks forfeit / disconnect / bye matches with a small badge so admins and spectators can tell them apart from real wins; deck-builder save validates the 3-copies-per-card limit client-side before letting you press Save; and a list of guild-management quality-of-life polish items (kick / promote confirmation, donation amount cap, war-end refresh filtering, identical-message dedupe).
Public profile + achievement toasts
- Viewing another player's profile now shows an inline notice ("Add as friend to see this player's bio, display case, achievements, and recent activity") when those sections are gated by the friendship check. Pre-fix the sections just rendered blank and players thought their account was broken.
- Public profile now shows the player's division badge (Bronze / Silver / Gold / etc.) alongside ELO — was missing on other-player profiles even though it was on your own.
- Sharing a profile link now shows "Link copied!" / "Could not share" feedback instead of being silent.
- Achievement toasts now auto-dismiss after 6 seconds and cap at 5 visible at once. Pre-fix they stacked forever and players who unlocked 5 achievements in a battle had to manually click each ×.
In-battle robustness
- Every player action — summon, evolve, attack, ability, equip, set trap, place field, use object, mulligan, end turn, go to battle, forfeit — now races against a 5-second server-ack timeout. If the server doesn't respond (network drop, server hiccup) you get a "No response from server" toast instead of the action sitting visually pending forever.
- Forfeit button uses an in-app confirmation modal showing the consequences (loss for record + rating). Replaces the browser's native confirm() popup that iOS PWA installs sometimes silently suppress, leading to "I clicked forfeit and nothing happened" reports.
- Mulligan decision can no longer multi-fire: a rapid double-tap on Keep/Mulligan now sends only one decision to the server.
- Spectator orientation hardening: the in-battle action handlers now no-op for spectators as a defense-in-depth layer over the existing UI gating.
- Battle tooltips no longer flicker shut on Android because of the touch+click race; status / zone tooltips now stay open on tap until you tap somewhere else.
- Mulligan timer screen and the in-app confirm modals now have proper aria-modal labelling for screen-reader users; previously they were unannounced.
Tournaments + guilds
- Tournament bracket now shows a small FF / DC / BYE badge on matches that ended by forfeit, disconnect, or auto-advance — pre-fix those rendered identical to real wins.
- Guild kick / promote / demote actions now require a second click to confirm (button changes to "Click again" with a 4-second auto-cancel). Pre-fix a single accidental click on Kick removed the member instantly.
- Guild chat: Enter spam can no longer post identical messages within 5 seconds; emoji and RTL names render their first character correctly in avatar bubbles.
- Guild pool donation amount is now bounded (1 to 99,999 fragments) and rejects garbage values like NaN that the form could previously generate.
- Guild war end-of-war notification now only refetches our own guild's wars instead of every guild_war_ended event in the world.
Profile sections
- Display Case selection: ordering is now user-controllable (←→ buttons on selected cards); cards traded away or dissolved no longer linger as zombie selections; the per-page collection cap was raised to 1000 cards with a clear notice if you have more than that.
- Profile name / avatar / bio now save independently — pre-fix clicking Save next to your avatar (after also typing a new name) submitted both, accidentally burning the 30-day name change cooldown.
- Avatar URL field now shows an inline preview as you type, with a fallback when the URL is invalid.
- Password change client validation now mirrors the server policy (min 8 chars + at least one digit + at least one letter + must differ from current). Pre-fix the only check was 8-char minimum.
- 2FA setup secrets (TOTP URI, backup codes, password fields) now wipe from React state on unmount so browser extensions can't scrape them from a stale snapshot.
- Provably-fair Rotate Seed: failures now surface a clear error (was silent), and the revealed seed gets a "Copy seed" button + a warning that the next rotation will reveal a new one and this one cannot be re-displayed.
- Account deletion request: surfaces "Deletion service is temporarily unavailable" upfront if the backend isn't configured, and double-clicks are rejected synchronously so two deletion rows can't be scheduled.
Battle UI fixes — spectator view, mulligan timer, deck builder hardening
A pass through the in-battle screen, the deck builder, and the card / trade modals fixed a long list of small but visible bugs. The headline items: spectators were seeing the battle mirrored to the wrong side (their view labelled the opponent as "you"), the mulligan timer reset to 30 every time anything happened on the board, the queue size showed blank when joining casual matchmaking, and trade history's wishlist 🎯 markers showed the wrong player's wishlist. The card modal now cancels in-flight fetches when you flip through a gallery, the deck builder caps how many pages it loads (so a server hiccup can't lock the screen), and copying a deck export now actually tells you whether it worked.
In-battle correctness
- Spectators now see the battle with a fixed orientation — challenger always at the bottom, opponent always at the top — instead of having the view randomly mirror to the wrong side and label the wrong player as you.
- Mulligan timer no longer resets to 30 every time the opponent acts. It now starts at 30 once when the mulligan phase begins and counts down honestly from there.
- Card tooltips no longer get wiped mid-read every time the opponent's HP ticks. They only close on real turn / phase changes now.
- If you tab out of a battle and come back, the in-battle screen requests a fresh state from the server instead of rendering whatever stale snapshot it had.
- Leaving a battle from the lobby (before the opponent joins) now actually frees your slot on the server — pre-fix you could get stuck in "already in a battle" trying to requeue.
- Casual queue size now displays correctly on join (was showing blank / NaN due to a payload mismatch).
- Battle history (the resolved list under your decks) now updates live when a battle ends — no more refresh required to see your latest match.
- Rematch banner now only shows after a battle that resolved naturally (win / loss). It used to show after forfeits and opponent disconnects too, which was confusing.
- Tournament report-result now uses an in-app modal that shows the opponent's name. Native browser confirm() popups are gone (one less spot the design guidelines didn't apply).
Deck builder + card modal
- Deck builder now validates the 3-copies-per-card limit before letting you press Save (was checked at add time only — corrupt or imported decks could slip through with 4+ copies and silently fail server-side).
- Loading a giant collection in the deck builder is now bounded — there's a hard cap on how many pages it'll fetch (50, well above any realistic collection) so a server pagination bug can't lock the screen.
- Card modal cancels in-flight network requests when you flip to another card. Pre-fix the previous card's wishlist / instances / evolutions could resolve last and overwrite the new card's data.
- Locking / unlocking a card copy now surfaces an error if the server rejects it. Used to silently swallow the failure.
- Trade history shows a Retry button if the load fails, instead of a fake "No completed trades yet" forever.
- Copying a deck export to clipboard now shows a Copied! / Copy failed toast. Used to be silent.
- Live battles list (the spectate panel) no longer shows a Watch button on your own battles, and pauses its 15-second poll when the tab is in the background.
Battle action feedback — no more frozen UI when the server hiccups
When you summon a creature, attack, or end your turn, the client now waits up to 5 seconds for the server to confirm. If the confirmation never arrives — server hiccup, network drop, dropped packet — you get a clear "No response from server — check your connection" message instead of a button that just stops responding. If the server rejects the action (out of phase, illegal target, rate-limited, etc.) the rejection reason now reaches you immediately even on flaky connections, instead of riding the next state push and arriving seconds late. The other (less critical) actions are unchanged. Spanish and English locales also got `not-found` and `loading` pages so a stale link or a slow load lands on a localised page instead of the framework default.
Battle action feedback
- Summon, attack, and end-turn now show an error toast if the server doesn't acknowledge within 5 seconds, instead of leaving the action visually pending.
- Server-side rejections (out of phase, illegal target, rate-limited) now reach you immediately even when state push is delayed.
- Localised `not-found` and `loading` pages — stale links and slow loads now land on a Spanish or English page instead of the framework default.
Privacy + safety tightening
- Profile bio, display case, recent activity, and achievements are now visible only to friends and to yourself. Strangers see your name, rating, and division but not your collection wall — closes a long-standing complaint that anyone with your user URL could browse your private profile content.
- Blocking a player is now a hard hide — your profile returns 404 to anyone you've blocked (and theirs to you), instead of just hiding tabs while still leaking the basics.
- Friend activity feed no longer surfaces fields that the original event didn't intend to share. Each event type has a strict allowlist (rare pull, achievement, battle result, trade, guild join, tournament win) so nothing extra leaks even if a future event payload changes shape.
- Leaderboard now requires sign-in. Anonymous bots can no longer scrape the rating table.
Notifications + import
- You can now mark individual notifications as read instead of "all or nothing" — the inbox now passes the specific ids you tap.
- Deck import now caps the pasted text at 4 KB so a giant accidental paste returns a clear error instead of stalling. The cap is large enough for any legitimate deck list.
Real-time push fixes
- Friend requests, accepts, and rejects now actually update the badge counters and friend list without a manual refresh. The wire vocabulary between client and server had drifted apart and every notification was being silently dropped at the server allowlist; the canonical verbs are now shared and the relay forwards them end-to-end.
- Trade offers, accepts, declines, and cancellations also push to the other player live now — the badge ticks up the moment the offer arrives, instead of waiting for the next page load.
- Trade UI: the 🎯 markers now correctly show cards the OTHER player wants (used to silently show your own wishlist on both columns).
Tab UX + battery savings
- Hidden tabs no longer drain bandwidth in the background — the leaderboard and challenges tabs now pause their live subscriptions when you're on another tab and resume when you come back.
- Leaderboard now shows a clear error + retry button if the load fails, instead of the perpetual "Loading leaderboard…" spinner.
- Challenge / Accept buttons in Battles no longer lock forever when the socket hiccups. After 15 seconds without a server ack you get a "Network timeout — try again" toast and the button releases.
- Tournament "I Won" confirmation is now a styled in-app dialog showing the opponent's name, instead of the browser's native confirm() popup. Same for visual polish + accessibility (aria-modal).
- Support ticket replies are now a multi-line textbox (Shift+Enter for newline, Enter to send) instead of a single-line input that silently truncated paragraph replies.
SEO sweep — sitemap, hreflang, canonical URLs across all locales — Phase 1 i18n fully closed
The bilingual public surface is now wired up for search engines. Every Spanish and English page emits a `<link rel="canonical">` pointing at its own locale URL plus an `<link rel="alternate" hreflang>` map covering both locales and an `x-default` fallback, so Google can pair the /es and /en variants of the same page instead of treating them as duplicates. A new `/sitemap.xml` enumerates every Phase 1 public page in every locale with the same hreflang alternates per entry. With this release Phase 1 of the i18n project is fully closed: 4 legal pages bilingual, 7 marketing pages bilingual, controlling-version clauses live in both languages, locale switcher in both headers, hreflang plumbing in metadata and sitemap, and a written workflow template for any future page.
SEO + future-page template
- New `/sitemap.xml` enumerates every Phase 1 public page (landing, about, contact, FAQ, how-to-play, showcase, changelog, legal/cookies, legal/notice, legal/privacy, legal/terms) in both Spanish and English, with per-entry hreflang alternates so search engines pair the locale variants properly.
- Every translated page now emits a per-page canonical URL pointing at its own /es or /en path and an hreflang `languages` map covering both locales plus `x-default` (defaulting to Spanish), so duplicate-content penalties are off the table.
- Future-page workflow template added to `context/refs/marketing-hero-draft.md` — every new public page added after Phase 1 must ship in BOTH Spanish and English from the first commit. The template covers the dual-locale draft workflow, TCG vocabulary, register rules, and the required SEO wiring.
- Phase 1 i18n closes here: 11 public pages × 2 locales fully bilingual end-to-end, plus the SEO infrastructure, controlling-version clauses, locale switcher, and the written contract for future bilingual pages.
Marketing pages, mastery, tournaments, and a sweep of UX gaps
A big batch of player-facing work landed across the spring. The headline items: a public marketing surface for new visitors, a card mastery system that rewards loyalty to specific cards, a tournament bracket viewer that finally lets you see how a tournament is unfolding, and a long list of small UX fixes that close gaps players have been pointing out for months. Below is the rough shape of what changed, organised by area. Patch notes for individual cards and balance tweaks live in the in-game patch feed; this changelog covers the structural and surface-level stuff.
Marketing pages (public)
- New landing page that actually explains the game, instead of dropping you straight onto a login form. Returning players get a one-click "Log in" in the sticky header.
- About, How to Play, FAQ, Contact, Featured Cards, and this Changelog — all reachable from the same header on every public page.
- Cookie consent banner upgraded to the IAB TCF v2.3 standard so EU players get the proper opt-in flow with all the per-purpose toggles.
Crafting and collection
- New Forge tab dedicated to crafting cards from the fragments you earn by dissolving duplicates.
- Mastery system: as you play with the same card across battles, it levels up. Once a card hits level 5, you get a 10% crafting discount on copies of it. At level 10 it gets a "Mastered" badge.
- Crafting cost now shows the discounted price inline at the craft button, so you can see the saving without diving into card detail.
- Wallet bar now shows your fragment stash split per rarity, instead of one aggregate number. Easier to see at a glance whether you can afford a craft.
- Card sets browser: see every set, what cards belong to it, and your progress through it. Helps you target which sets to chase.
- Persistent "Verify past pulls" link in the Gacha tab — tap it any time to audit any pack you have ever opened against the provably-fair RNG record.
Battles and competitive
- Tournament bracket viewer: when you click into a single-elimination tournament, you now see the full bracket tree with every match, who is playing whom, and who has won so far.
- Public guild tournament standings: non-participants browsing a guild tournament can see the standings panel without being enrolled.
- Battle replays now have their own shareable URL. Open the replay in a new tab, send the link to a friend, point at the moment you want to talk about. Works for any battle either of you played in.
- Element field-spell weather effects now show up properly in damage calculations during battle — fire fields boost fire creatures, water fields boost water, etc.
- Daily and weekly challenges have a streak system: completing them on consecutive days builds a streak with milestone rewards at 7, 14, and 28 days.
- Battle stats panel shows per-element breakdowns + period filtering, so you can see how your fire decks have been doing this week vs last month.
- AI battle spam fix: a race condition that allowed double-starting AI battles is closed. No more orphan match windows.
Account and trust
- Two-factor authentication available from your profile security section. Standard authenticator apps (Authy, Google Authenticator, 1Password, Bitwarden) all work.
- Self-serve account deletion lives in the profile section — no support ticket, no won't-let-you-leave dance.
- Self-serve data export: download a copy of everything we hold about your account.
- Session security tightened: changing your password or enabling 2FA now invalidates all your other active sessions automatically. If someone was logged in as you on a different device, they get kicked.
- Email verification flow improvements: clearer messaging when verification is pending, retry-with-cooldown on the resend button.
Performance and reliability
- Battle reconnection improvements: if you drop mid-match for under a minute, you reconnect to the same game state with no penalty.
- Server-side deck-out handling rewrites — the slow control decks that win by exhausting your opponent's library now work cleanly across reconnects.
- Tournament forfeit timeouts moved to a durable job queue, so a server restart no longer eats a forfeit-pending tournament.
- Offline detection banner: if your connection drops, you see a clear banner explaining what happened, instead of the UI silently failing.
Notes for next time
- We are still adding cards, sets, and modes. The world has plenty of room to grow.
- Discord invite link is being set up — when it lands the contact page will surface it.
- If you spot something here that does not match what you see in-game, tell us — most likely we shipped it differently than the note suggests.
All marketing pages now available in Spanish — Phase 1 complete
Six more marketing pages are now bilingual, closing out Phase 1 of the marketing translation effort. /es/about renders the team / vision / game-world write-up in Spanish. /es/contact translates every channel. /es/faq covers all 12 Q&A items. /es/how-to-play translates the 10-minute rundown. /es/showcase renders the curated 7-card showcase with bilingual card names + flavor blurbs. /es/changelog (this page) is now bilingual too — every ChangelogEntry carries both Spanish and English copy together in the source so future updates land in both locales atomically. The four legal pages shipped bilingual earlier this month, so the public surface is now fully bilingual end-to-end.
Marketing pages translated
- About page (Sobre Nosotros) translated to Spanish — hero 'Hecho entre amigos, por gusto', team / vision / game-world sections all mirror the English source 1:1.
- Contact page translated — section headings 'Correo / Discord / Tickets de soporte / Una nota sobre los tiempos de respuesta', back / FAQ navigation buttons.
- FAQ translated — all 12 Q&A items across three sections (Sobre el juego / Cómo jugar / Cuenta), including questions about rewarded ads, account deletion, and where data is stored.
- How to Play translated — three sections (Mecánicas, Tipos de cartas y elementos, Flujo de batalla — turno a turno). TCG glossary mazo / sobre / carta / PV / zona de monstruo / mulligan kept as-is.
- Featured Cards (showcase) translated — every card name + 50-150 word marketing blurb. Element + monster-class labels also translated (Fuego/Agua/Viento/Tierra/Metal/Rayo/Neutral; Dragón/Bestia/Constructo/Leviatán/Alado; slime preserved as TCG term).
- Changelog page itself bilingual — every ChangelogEntry now carries both Spanish and English copy together in the source. MAINTAINER NOTE in the page source updated: from this release on, every new ChangelogEntry MUST land in BOTH Spanish AND English in the same commit. Single-locale entries are forbidden.
- All Spanish versions use the indie/playful voice from the landing page — informal tú throughout, TCG vocabulary preserved (sobres, mazos, cartas, tablero, dorsos, gremios).
- Locale switcher in the marketing header lets you flip between /es and /en versions of any page without losing your place. Phase 1 marketing translations now complete.
Landing page now available in Spanish — first marketing page translated
The homepage hero is now bilingual. Spanish-speaking visitors landing on /es see the full marketing pitch in Spanish — anti-pay-to-win positioning, daily-free-packs promise, multi-pace modes (casual, ranked, AI, just collecting), element chips, and the 'built among friends' footer — all in informal tú voice. English visitors keep the original wording at /en. This is the first marketing page to land in two languages; the rest are queued up next.
Marketing pages
- Landing page (homepage hero) translated to Spanish — every paragraph mirrors the English source 1:1: hero badge ('Gratis · Sin pay-to-win'), headline, subhead, three 'why play' tiles, 'Cómo funciona' section with element chips (Fuego, Agua, Viento, Tierra, Metal, Rayo, Neutral), and the 'Hecho entre amigos por gusto' footer.
- Spanish version uses the same playful indie register as the English source — informal tú throughout, TCG vocabulary players already know (sobres, mazos, cartas), no marketing-speak.
- Marketing translations rolling out next: about, how-to-play, FAQ, contact, showcase, changelog. Each will follow the same per-page review gate.
- Locale switcher in the marketing header lets you flip between /es and /en versions of the landing page without losing your place — same flow already in use on the legal pages.
Privacy Policy now available in Spanish — Phase 1 legal coverage complete
The Privacy Policy is now bilingual, closing out Phase 1 of the legal-page localization effort. Spanish-speaking visitors land on a fully translated /es/legal/privacy, English visitors keep the original wording at /en/legal/privacy. With this release, all four legal pages — Terms of Service, Cookie Policy, Legal Notice, and Privacy Policy — ship in both English and Spanish, each carrying the controlling-version notice that names the English text as the legally authoritative version. Phase 1 legal coverage is now fully complete.
Legal pages
- Privacy Policy translated to Spanish — every section, every data table, every right enumeration mirrors the English source 1:1 (data controller, categories of data collected, purposes and legal basis, data sharing with processors, international transfers, retention periods, GDPR data-subject rights including access/rectification/erasure/portability/objection/restriction/withdrawal of consent, GDPR Article 21 objection box, AEPD complaint route, GDPR Article 33/34 breach notification, CCPA/CPRA rights for California users, cookie disclosure, children-under-16 protections, automated-decision-making disclosure).
- Spanish version uses canonical RGPD terminology throughout: 'responsable del tratamiento', 'interesado', 'encargado del tratamiento', 'base legal', 'consentimiento', 'interés legítimo', 'Delegado de Protección de Datos (DPD)', plus the full Spanish names for each GDPR right ('derecho de acceso', 'derecho de supresión', 'derecho de oposición', 'derecho a la portabilidad', 'derecho a la limitación').
- Phase 1 legal coverage now fully complete: Terms, Cookies, Legal Notice, and Privacy all available in both Spanish and English with controlling-version notices in place.
- Locale switcher in the legal header lets you flip between /es/legal/privacy and /en/legal/privacy without losing your place — same flow already in use on the other three legal pages.
Terms of Service now available in Spanish — three legal pages bilingual
The Terms of Service page is now bilingual. Spanish-speaking visitors land on a fully translated /es/legal/terms, English visitors keep the original wording at /en/legal/terms. Both versions carry the same controlling-version notice at the top, making clear that the English text remains the legally authoritative version and the Spanish translation is provided for convenience. Three of four legal pages — Terms, Cookies, and Legal Notice — now ship in both languages; Privacy is the next page in line.
Legal pages
- Terms of Service translated to Spanish — every clause, every list item, every legal definition mirrors the English source 1:1 (eligibility, gacha mechanics, ad disclosures, IP ownership, DSA Article 17 appeal flow, Belgian gacha note, EU consumer right of withdrawal).
- Phase 1 legal-page coverage is now three-quarters complete: Terms, Cookies, and Legal Notice all available in Spanish and English. Privacy Policy translation is the remaining page.
- Controlling-version banner present at the top of every translated legal page in both locales: the English text remains legally binding and translations are explicitly marked as non-authoritative for legal interpretation.
- Locale switcher in the legal header lets you flip between /es and /en versions of any legal page without losing your place.
Cookie Policy and Legal Notice now available in Spanish
The Cookie Policy and Legal Notice pages are now bilingual. Spanish-speaking visitors land on fully translated /es/legal/cookies and /es/legal/notice, English visitors keep the original wording at /en/legal/cookies and /en/legal/notice. All four pages carry a controlling-version notice at the top making clear that the English text is the legally authoritative version and the Spanish translation is provided for convenience. Terms and privacy will follow the same pattern in upcoming releases.
Legal pages
- Cookie Policy translated to Spanish — every section, every cookie table, every browser-settings note is mirrored 1:1 with the English source.
- Legal Notice (Aviso Legal) translated to Spanish — operator identity, NIF/CIF cell, Spain-based address, applicable LSSI-CE/RGPD/LOPDGDD/DSA legislation list, intellectual property, liability and dispute-resolution sections all mirrored 1:1.
- Controlling-version banner added at the top of both legal pages in both locales: the English text remains the legally binding version and translations are explicitly marked as non-authoritative for legal interpretation.
- Locale switcher in the legal header lets you flip between /es/legal/* and /en/legal/* without losing your place.
Bir sonraki şeyi önermek istiyor musun? İletişim sayfasında e-posta ve Discord var. Güncellemeleri çıktıkça takip etmek istiyor musun? Bu sayfayı sık kullanılanlara ekle — oyuncuya görünen bir değişiklik indiğinde güncelleriz.