NeoFrag Reborn 1.2.26

O bot do Discord passa para a versão 0.2.3: já não escreve um aviso do discord.js a cada resposta privada (vê o seu próprio registo de alterações). A versão 0.2.2 continua a funcionar.

Adicionado

• O regulamento e a mensagem de boas-vindas traduzem-se língua a língua: Definições → Gestão das inscrições tem um separador por língua do site, e cada visitante lê o regulamento — e recebe a mensagem — na língua da página. Uma língua que ainda não tem o seu próprio texto mostra o texto comum: um site que só tinha um mantém-no para todas as suas línguas, nada muda até ser traduzido.
• O registo de alterações existe em inglês (CHANGELOG.en.md; a versão francesa continua a ser a referência).
• Cada addon tem agora a sua miniatura, no mesmo formato (960 × 600): os módulos API e Discord não tinham, os quatro temas do catálogo mantinham uma imagem mais antiga e mais pequena, e três widgets do núcleo não tinham nenhuma em Temas & addons. Algumas ainda mostram um addon vazio ou não configurado. Um addon novo já não pode ser publicado sem a sua.

Alterado

• As descrições do catálogo dizem o que faz cada addon: trinta delas cabiam em poucas palavras ou só se apresentavam como «gaming». Descrevem agora o que o addon faz de verdade, e para quem é, nas seis línguas; cinco estavam mesmo erradas (o widget Equipas não mostra membros, o widget Transferências mostra os ficheiros mais transferidos…).
• O módulo Eventos chama-se «Eventos», já não «Eventos gaming»: nenhum título do catálogo tem já a palavra «gaming».
• O módulo Pagamentos exige o módulo Gamificação, que credita os pontos e os dias VIP comprados: sem ele, um pagamento era cobrado e nada era creditado. Na instalação do site, escolher Pagamentos acrescenta Gamificação; a partir do marketplace, tem de ser instalado primeiro. Se faltar ou for desligado mais tarde, as vendas fecham e a administração di-lo; um pagamento recebido não é marcado como tratado, e o Stripe voltará a enviá-lo.

Corrigido

• Uma imagem colada (Ctrl+V) ou largada no editor de texto é guardada — resposta no fórum, comentário, página da administração, sala da equipa das mensagens privadas: aparecia partida, e depois desaparecia ao publicar. É agora enviada ao site e fica na mensagem. Está reservado aos membros com sessão iniciada: uma imagem JPEG, PNG, GIF ou WebP de 5 MB no máximo. O site guarda uma cópia nova, que retira a informação escondida de uma foto (onde foi tirada, por exemplo). Acima de 2000 píxeis de lado, a imagem é reduzida; acima de 8192 píxeis de lado ou de cerca de 12,6 milhões de píxeis, é recusada. Um GIF animado torna-se uma imagem fixa. No site de demonstração, o envio de imagens continua fechado.
• A mensagem de boas-vindas é mostrada limpa: escrita no editor rico, chegava às mensagens com as etiquetas à vista (<h3>, <p>…). É agora transformada em texto (títulos, listas com marcas ou numeradas, ligações tornadas clicáveis), e o seu título já não mostra é em vez de uma letra acentuada.
• A mensagem de boas-vindas é também enviada quando alguém se inscreve com Discord, GitHub ou Google: só o formulário de inscrição a enviava.
• O código QR da autenticação de dois fatores é mostrado: o ecrã de ativação (Segurança da conta → Ativar 2FA) mostrava o código da imagem numa caixa de texto em vez da imagem a ler — os formulários não conheciam este tipo de campo e tratavam-no como texto.
• Os logótipos do widget Parceiros levam ao site do parceiro e contam a visita: levavam a uma página inexistente desde a 1.0.0, e o contador «Visitas» já não se mexia. A página dos Parceiros passa também pela visita contada.
• Os botões «Pagar» (Pagamentos) e «Comprar» (Loja) funcionam: chamavam um endereço inexistente.
• Subscrever a newsletter a partir do widget funciona: o endereço escrito perdia-se pelo caminho. A ligação de confirmação do e-mail era relativa (inútil num cliente de e-mail), tal como a ligação de cancelamento das campanhas: ambas são agora endereços completos. E se o e-mail não puder ser enviado, a subscrição é anulada e o visitante é avisado, em vez de ler «enviado».
• As ligações dos e-mails do fórum e das mensagens (menção, subscrição, conversa) são endereços completos: relativas, não levavam a lado nenhum.
• As sondagens seguem a definição «Mostrar resultados» (depois de votar, ao fechar, nunca) — na sua página como no seu widget, que os mostrava sempre. Os gestores veem-nos sempre, com uma nota.
• Os widgets seguem as regras do seu módulo: o widget Galerias já não mostra álbuns em rascunho, agendados, na reciclagem ou restritos a um grupo; o widget Fórum, nenhum excerto das categorias VIP nem linhas vazias para as mensagens eliminadas; o widget Eventos e o calendário, nenhum evento agendado antes da sua hora; o widget Recrutamento segue «Ocultar ofertas indisponíveis».
• Uma ligação para uma página do site, inserida no editor, mantém o seu endereço completo: o editor encurtava-a num caminho (../../…) que só funcionava a partir da página de edição — mostrada noutro lado, não levava a lado nenhum.
• O roteiro (ROADMAP.md) diz que o código está publicado desde 4 de outubro de 2026.

Segurança

• Dois endereços técnicos antigos das mensagens mostravam as mensagens sem as proteger: uma mensagem com código podia ter corrido lá no navegador. Nenhuma página os usava já, e o acesso à conversa já era exigido; mostram agora as mensagens como a própria conversa.
• Os botões Facebook e Twitter da página dos Parceiros já não seguem uma ligação javascript: introduzida na administração: estes endereços são filtrados e escapados, como já o era o sítio web do parceiro.
• O botão «Comprar» da Loja e o botão «Pagar» verificam agora que o pedido vem mesmo do site: uma página maliciosa já não consegue fazer um membro com sessão iniciada comprar um artigo sem o saber.
• Uma compra já não pode ser contada duas vezes: o débito dos pontos, o stock e a posse são verificados e escritos numa só transação — duas compras simultâneas já não vendem duas vezes o último artigo, nem debitam duas vezes um saldo. Os pontos ganhos e os dias VIP também são somados de uma só vez: dois ganhos no mesmo instante já não se sobrepõem. Um artigo de 0 pontos pode agora ser obtido sem débito (era recusado, «pontos insuficientes»).
• As inscrições na newsletter têm um limite de frequência: 5 pedidos por hora e por endereço IP, 3 por dia e por endereço de e-mail — o suficiente para impedir o envio em massa de e-mails de confirmação para endereços escolhidos.
• Uma sondagem cujos resultados estão ocultos já não mostra o seu número total de votos na lista.