O yPokeUtils não usa keylogger. A extensão não grava uma sequência das teclas pressionadas nem possui rotina para ler campos de senha ou enviar digitação a um servidor de coleta.
Documentação atualizada em 29 de outubro de 2026, alinhada à base 1.2.6. As referências históricas à 1.1.1 abaixo descrevem a revisão daquela versão e não constituem uma auditoria independente da versão atual.
As correções de filtros/revogação do Autobuy, continuação de compras ao trocar de conta, isolamento de erros financeiros e dados visuais antigos integram a base desde a 1.2.1. Código MAIN compartilha a confiança da página e a execução de módulos remotos fixados exige avaliação específica de segurança/conformidade. Esta documentação descreve o projeto; a versão instalada deve ser conferida no navegador.
Por que existem eventos de teclado no código?
A extensão permite usar suas ferramentas pelo teclado. Por isso, alguns arquivos contêm keydown ou onkeydown:
- Esc fecha menus, ajuda, fichas de referência e painéis.
- Enter e Espaço acionam botões ou selecionam uma opção.
- Setas, Home e End percorrem as opções dos seletores.
- Tab permite seguir para o próximo controle e fechar listas abertas.
Esses controles verificam as teclas necessárias à interface e executam a ação correspondente. Não montam um histórico do que foi digitado.
Ao preencher os próprios campos da extensão, como busca de espécie, nome de regra, preço ou nível alvo, o texto é usado para executar a ferramenta. Configurações e regras podem ser salvas no navegador. Isso não inclui registrar a digitação em outros campos da página.
Onde a extensão funciona?
Os scripts de página do pacote estão configurados para executar em https://pokeidle.io/*. O manifest não autoriza esses scripts a executar em todos os sites, em páginas bancárias ou em outros aplicativos do computador.
A permissão adicional storage é usada para armazenamento da extensão. A permissão de conexão com economia.awesomeapi.com.br permite consultar o dólar. Desde a 1.2.5, https://pokeidle.io/* também é declarado em host_permissions para identificar e conferir o destino das abas na atualização assistida. O fluxo não pede tabs ou scripting, não consulta o conteúdo de outros sites e usa os eventos de atualização do próprio Chrome.
Quais dados são utilizados?
O yPokeUtils lê informações fornecidas pelo jogo, como identificação da conta, Pokémon, atributos, inventário, ofertas, operações virtuais e combate. Elas alimentam o Sniper, as estimativas, o Loot, o Depot e as automações.
Para essas funções, a extensão acompanha mensagens da conexão que o próprio PokeIdle já utiliza. Consultas e ações autorizadas nas ferramentas são enviadas ao PokeIdle por essa conexão. A observação das mensagens do jogo não é uma gravação das teclas do jogador.
Preferências, regras, favoritos, histórico de operações e parte dos resultados ficam no navegador, em armazenamento local ou de sessão. Alguns registros podem incluir identificadores e nomes de jogadores que participam das operações. Não existe um servidor do desenvolvedor no código para receber esses registros.
O histórico detalhado de compras é separado pelo identificador da conta. Ao trocar de conta, os registros e o replay da anterior deixam de ser exibidos. Registros antigos sem identificação confirmada não são atribuídos automaticamente a outra conta.
Armazenamento local não é um cofre: código que já execute na origem do PokeIdle ou alguém com acesso ao perfil do navegador pode acessar os dados locais. A separação do histórico evita a mistura entre contas nas ferramentas; ela não é criptografia. A proteção dos dados privados de outros jogadores no servidor depende das permissões aplicadas pelo próprio jogo.
Na revisão de 25/10/2026, a extensão também passou a compartilhar internamente apenas o tipo das ações necessárias às automações, sem redistribuir o corpo de mensagens de login/chat, e a cancelar a expansão de códigos de regras acima do limite durante a leitura.
Desde a 1.1.1, a autorização de Autobuy é vinculada ao ID da conta do jogo e conferida antes da compra. Trocar de conta ou estar sem identificação não reutiliza a autorização da anterior. Regras antigas ou confirmadas em outra conta precisam de reconfirmação; a lista indica essa necessidade. O compartilhamento não transfere o identificador nem a autorização da conta de origem. A partir da 1.1.11, a prévia de importação permite autorizar o Autobuy para a conta atual: a regra importada permanece desativada até o jogador ativá-la.
O que sai para outros serviços?
A consulta externa de câmbio solicita somente os pares públicos USD/BRL ou USD/BRL PTAX à AwesomeAPI. A extensão não acrescenta nome da conta, senha, Pokémon, inventário, mensagens ou preços do jogador a essa consulta. A requisição omite credenciais e o endereço da página como referência. O provedor recebe informações técnicas normais da conexão, como o endereço IP.
Catálogos, imagens e módulos do jogo também são carregados do próprio PokeIdle. O pacote revisado não inclui serviço de publicidade, rastreamento de navegação ou análise de uso.
E a área de transferência e o Pix?
O yPokeUtils escreve um código Pix ou um código de compartilhamento de regra na área de transferência quando o jogador clica no botão correspondente. Não lê o conteúdo existente da área de transferência.
O QR Code Pix está incluído no pacote. A extensão não acessa o aplicativo do banco, não acompanha pagamentos e não recebe dados bancários do jogador. O pagamento é feito pelo próprio jogador no banco que escolher.
Como conferir no código?
Os scripts ficam em extensao/, uma pasta por área: nucleo/, interface/, mercado/, hunt/, automacoes/, financas/ e cotacao/. O sniper.js se chamava bot.js até a reorganização de 28/10/2026.
| Arquivo | O que verificar |
|---|---|
manifest.json |
Domínio dos scripts, permissão storage e domínio da API de câmbio. |
apoio.js, sniper.js, depot-vendas.js, historico-compras.js, hunt.js, piloto-ui.js |
Tratamento de teclas para navegação e ações da interface. |
hook.js |
Integração com o WebSocket do PokeIdle e distribuição local das mensagens entre as ferramentas. |
cambio-worker.js |
Endereços fixos das consultas de câmbio e ausência de dados do jogador nessas requisições. |
cambio-bridge.js |
A ponte solicita apenas a cotação, sem transmitir campos digitados. |
Na revisão da 1.1.1, os 15 scripts JavaScript do ZIP foram comparados com as fontes locais. Foram conferidos os eventos de teclado, os usos de armazenamento e as saídas de rede. Também foi comparado o código do pacote 1.1.0 distribuído pelo Google com a revisão corrigida. Não foi encontrado comportamento de keylogger.
Esta é uma declaração do funcionamento acompanhada de revisão do próprio projeto; não é uma certificação de segurança independente. O escopo daquela revisão foi o pacote 1.1.1 preparado pelo projeto, sem abranger modificações de terceiros, outras extensões, o Windows ou o código do próprio jogo.
Alertas de verificadores de extensões
Verificadores automáticos, como o do IdleDeck, procuram padrões no código e classificam a extensão como risco alto. A classificação reflete o que a extensão pode fazer, não um comportamento malicioso. Cada alerta corresponde a uma função descrita abaixo e pode ser conferido no arquivo indicado.
| Alerta | O que é no yPokeUtils | Onde conferir |
|---|---|---|
Roda dentro do código da página (world: MAIN) |
Necessário para acompanhar a conexão WebSocket que o próprio PokeIdle abre. Sem isso, as ferramentas não recebem os dados do jogo. Os scripts só executam em https://pokeidle.io/*. |
manifest.json, hook.js |
| Lê o que você digita | Os eventos de teclado e de texto pertencem aos campos e botões da própria extensão: busca de espécie, filtros de preço, regras, agenda, Esc para fechar. Nenhum campo do jogo ou de senha é lido. | sniper.js, agenda.js, apoio.js |
| Lê os dados que o site guarda | A extensão lê e grava apenas as próprias chaves (prefixo pib.) no armazenamento local, com configurações, regras e histórico. Não lê o login nem os dados de sessão do jogo. |
sniper.js, agenda.js, hunt.js, historico-compras.js, finance-client.js |
| Escreve na área de transferência | Só ao clicar em Copiar Pix (doação voluntária, código fixo no pacote) ou ao copiar o código de compartilhamento de regras. Essa escrita substitui o conteúdo copiado anteriormente; a extensão não o lê nem monitora. | apoio.js, sniper.js |
| Pode clicar sozinha | A maioria dos cliques é nos próprios botões da extensão. Para anunciar no Mercado, depot-vendas.js abre o formulário oficial do jogo pelo menu e seleciona o Pokémon escolhido; o preço e a confirmação do anúncio ficam com o jogador. As automações seguem as regras que o jogador ativou. |
sniper.js, depot-vendas.js |
| Conversa com a internet | As consultas da página buscam catálogos, imagens e módulos no próprio pokeidle.io. A única conexão externa é a cotação do dólar, feita pelo script de fundo, sem credenciais nem dados do jogador. |
sniper.js, cambio-worker.js |
| Cria scripts dentro da página | É um importmap com módulos do jogo que passaram pela conferência de tamanho e SHA-256 da reserva local. Conteúdo divergente é bloqueado, e não há código vindo de outros domínios. |
modulos-verificados.js, modulos-fixados.js |
| Roda em segundo plano | O script de fundo do Manifest V3 atende a cotação, a contabilidade das compras virtuais do jogo e, desde a 1.2.5, os eventos da atualização assistida. O Chrome o encerra quando fica ocioso. | cambio-worker.js, finance-worker.js, atualizacao-worker.js |
| Link público da política de privacidade | O rodapé dos painéis abre uma página informativa. A extensão não envia dados do jogador para essa hospedagem; abrir o link gera a conexão normal do navegador com a página. | sniper.js, hunt.js, piloto-ui.js |
O nível risco alto se mantém enquanto a extensão precisar rodar junto com o código do jogo, porque essa é a base do seu funcionamento. A forma de conferir a confiança é comparar estes pontos com o código do pacote instalado, aberto pelo próprio verificador em "Abrir a pasta da extensão".
Como excluir os registros locais?
As opções de limpeza do Chrome permitem remover os dados da extensão e do site pokeidle.io. A limpeza do site também pode apagar preferências e sessões do próprio jogo. Desinstalar a extensão, por si só, pode não remover os dados armazenados na origem do site.
Para esclarecimentos, use o contato público do desenvolvedor na Chrome Web Store. A política de privacidade pública detalha o tratamento de dados. Uma cópia está incluída no pacote em PRIVACIDADE.md.
Texto curto da revisão histórica 1.1.1
O yPokeUtils não usa keylogger: não grava sequências de teclas nem possui rotina para ler campos de senha. Os eventos de teclado servem para operar os menus e painéis, como Esc, Enter e setas. A extensão usa dados do PokeIdle para suas ferramentas e guarda configurações e histórico no navegador. A consulta externa do dólar não recebe dados do jogador. Esta declaração corresponde ao pacote 1.1.1 revisado em 25/10/2026.
Atualização 1.1.11
O agendamento de recursos guarda datas, configuração anterior e histórico no navegador, separados por conta. Só envia ao jogo a alteração de automação autorizada no agendamento. Não usa serviços externos novos e depende de uma aba conectada.
A exportação/importação de regras passa a preservar o Autobuy. O botão Importar autoriza em lote esse estado para a conta atual e a moeda da regra, conforme a prévia. O identificador da conta de origem não viaja no código, e trocar de conta não reutiliza essa autorização. Códigos antigos sem o campo e configurações antigas sem conta mantêm o comportamento manual.
No fluxo atual, regras com Autobuy são exportadas e importadas desativadas, mantendo o Autobuy ligado e autorizado na conta que importar. Só começam a executar quando o usuário ativa a regra; códigos antigos com Autobuy também recebem essa pausa. A regra original não é alterada pela exportação.
Atualização 1.1.16
O controle de ritmo das consultas guarda somente timestamps e contagem de recuos na chave local pib.consultas.ritmo.v1, compartilhada entre abas da origem para evitar consultas simultâneas. Não acrescenta conteúdo de mensagens ou identificadores de conta a essa chave. Não há nova permissão ou serviço externo. O recuo alcança apenas leituras de Mercado/histórico; compras e automações seguem nos seus fluxos existentes.
Ficou alguma dúvida?
Use o contato do desenvolvedor disponível na página da extensão na Chrome Web Store.
yPokeUtils é um projeto independente, sem afiliação oficial com o PokeIdle.