Deletion path: what can actually be deletedLöschpfad: was sich tatsächlich löschen lässt

Every operator runs their own Ward Core, and the sole proprietor never receives player telemetry under the shipped model. So the deletion route is one the operator calls on their own instance with their own admin token. Nobody else holds that token. If you are a player asking about your data on someone's server, ask that server's operator first; they are the only party who can act.

Jede Betreiberin und jeder Betreiber betreibt ein eigenes Ward Core, und der Einzelunternehmer empfängt im ausgelieferten Modell nie Spielertelemetrie. Der Löschweg ist daher einer, den der Betreiber auf der eigenen Instanz mit dem eigenen Admin-Token aufruft. Niemand sonst hält dieses Token. Wenn Sie als Spielerin oder Spieler nach Ihren Daten auf einem fremden Server fragen, wenden Sie sich zuerst an dessen Betreiber; nur er kann handeln.

POST /api/admin/clear
X-Ward-Token: <the operator's own admin token>

{"server": "<server id>", "player": "<player id as sent by the agent>"}

The handler is guarded by a constant-time comparison against the operator's admin token and calls a single store function that removes one in-memory player record. The next periodic snapshot write, within 30 seconds by default, then persists the file without that player.

Der Handler ist durch einen zeitkonstanten Vergleich mit dem Admin-Token des Betreibers geschützt und ruft eine einzige Speicherfunktion auf, die genau einen Spielerdatensatz aus dem Arbeitsspeicher entfernt. Die nächste regelmäßige Momentaufnahme, standardmäßig innerhalb von 30 Sekunden, schreibt die Datei dann ohne diesen Spieler.

On 2026-09-11 the route was run end to end against a copy of the service on a local machine, with freshly generated throwaway test secrets, a fabricated test player identifier that cannot belong to a real account, and a scratch data directory. No live host, no live data and no real licence key were involved at any point.

One signed synthetic batch with two flags was accepted. Before clearing, the test player was present in the live state and two matching lines were in the flag log on disk. After clearing, the player was gone from the live state and from the next snapshot write, and the same two lines were still in the flag log, unchanged. The admin route refused both a missing token and a forged one with 401.

That is the honest result: the live record goes, the history stays. It is the gap to close before anyone publishes a promise of full erasure.

Am 11.09.2026 wurde der Weg vollständig gegen eine Kopie des Dienstes auf einem lokalen Rechner ausgeführt, mit frisch erzeugten Einweg-Testgeheimnissen, einer erfundenen Test-Spielerkennung, die zu keinem echten Account gehören kann, und einem separaten Datenverzeichnis. Weder ein Live-Host noch Live-Daten noch ein echter Lizenzschlüssel waren zu irgendeinem Zeitpunkt beteiligt.

Ein signiertes synthetisches Batch mit zwei Meldungen wurde angenommen. Vor dem Löschen war der Testspieler im aktuellen Zustand vorhanden, und zwei passende Zeilen standen im Meldeprotokoll auf der Festplatte. Nach dem Löschen war der Spieler aus dem aktuellen Zustand und aus der nächsten Momentaufnahme verschwunden, und dieselben zwei Zeilen standen unverändert im Meldeprotokoll. Der Admin-Weg wies sowohl ein fehlendes als auch ein gefälschtes Token mit 401 ab.

Das ist das ehrliche Ergebnis: Der Live-Datensatz geht, die Historie bleibt. Genau diese Lücke ist zu schließen, bevor irgendjemand eine Zusage vollständiger Löschung veröffentlicht.