Segurança e dados

As sessões usam um cookie httpOnly com um token aleatório. Na base só é guardado o seu SHA-256: uma cópia da base não permite personificar ninguém. Alterar a palavra-passe invalida as sessões abertas.

As rotas privadas verificam a sessão no servidor. As mutações aceitam apenas origens de confiança e as APIs sensíveis têm rate limit.

• As palavras-passe são guardadas com hash scrypt, nunca em claro.
• As chaves de IA são guardadas cifradas e não são devolvidas ao navegador.
• O token do runner é guardado como hash; o PC conserva-o na sua pasta de dados local.
• O token da ponte do MetaTrader 5 vive no ambiente local e não viaja para o navegador.
• A Stripe gere o pagamento. O Oryon não armazena números de cartão.

• CSP com script-src-attr bloqueado, object-src none, frame-ancestors none e form-action self.
• X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy strict-origin-when-cross-origin.
• HSTS com preload quando o pedido chega por HTTPS.
• As respostas da API levam Cache-Control no-store para não deixar dados privados em caches intermédias.

Ver detalhes técnicos na documentação →

• Podes exportar as tuas estratégias, implantações, histórico e seguimento em JSON a partir de Conta. Não inclui palavras-passe, tokens de sessão nem chaves privadas.
• Podes apagar a conta e os dados associados; o apagamento é em cascata.
• Os perfis públicos mostram apenas o nome visível, a bio e as estratégias que decidires publicar. Nunca o email.
• A execução local com MetaTrader 5 é feita a partir do teu PC, não do servidor web.

Se encontrares uma falha de segurança, escreve-nos com os passos para a reproduzir. Não publiques dados de terceiros nem faças testes de negação de serviço.

oryon.help@outlook.com · security.txt

Nenhum sistema é invulnerável. O Oryon reduz a superfície de ataque e torna os limites explícitos, mas não pode garantir que um corretor, um fornecedor de dados ou uma extensão do navegador se comportem corretamente.