Seguridad y datos

Las sesiones usan una cookie httpOnly con un token aleatorio. En la base solo se guarda su SHA-256: una copia de la base no permite suplantar a nadie. Cambiar la contraseña invalida las sesiones abiertas.

Las rutas privadas comprueban la sesión en el servidor. Las mutaciones aceptan solo orígenes de confianza y las APIs sensibles tienen rate limit.

• Las contraseñas se guardan con hash scrypt, nunca en claro.
• Las claves de IA se guardan cifradas y no se devuelven al navegador.
• El token del runner se guarda como hash; el PC lo conserva en su carpeta de datos local.
• El token del puente de MetaTrader 5 vive en el entorno local y no viaja al navegador.
• Stripe gestiona el pago. Oryon no almacena números de tarjeta.

• CSP con script-src-attr bloqueado, object-src none, frame-ancestors none y form-action self.
• X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy strict-origin-when-cross-origin.
• HSTS con preload cuando la petición llega por HTTPS.
• Las respuestas de API llevan Cache-Control no-store para no dejar datos privados en cachés intermedias.

Ver detalles técnicos en la documentación →

• Puedes exportar tus estrategias, despliegues, historial y seguimiento en JSON desde Cuenta. No incluye contraseñas, tokens de sesión ni claves privadas.
• Puedes borrar la cuenta y los datos asociados; el borrado es en cascada.
• Los perfiles públicos muestran solo el nombre visible, la bio y las estrategias que decidas publicar. Nunca el correo.
• La ejecución local con MetaTrader 5 se hace desde tu PC, no desde el servidor web.

Si encuentras un fallo de seguridad, escríbenos con pasos para reproducirlo. No publiques datos de terceros ni pruebas de denegación de servicio.

oryon.help@outlook.com · security.txt

Ningún sistema es invulnerable. Oryon reduce la superficie de ataque y hace explícitos los límites, pero no puede garantizar que un bróker, un proveedor de datos o una extensión del navegador se comporten correctamente.