Lecture seule par conception.

Accès aux comptes de trading

Nous n'acceptons que des mots de passe investisseur. Sur MetaTrader, ce mot de passe ouvre un seul compte en lecture seule : il liste les transactions et les soldes et ne peut ni ouvrir, ni modifier, ni fermer une position. cTrader et Match-Trader sont intégrés avec une autorisation en lecture seule équivalente. Nous ne demandons jamais de mot de passe principal, de clé d'API, d'accès gestionnaire ni d'identifiants serveur, et rien ne se connecte à l'infrastructure d'une firme.

Gestion des identifiants

• Les identifiants sont chiffrés au repos et déchiffrés uniquement dans le processus qui lit le compte.
• Ils servent à la revue puis sont supprimés, sauf si la firme a demandé une surveillance continue de ce compte.
• Le personnel ne voit pas les identifiants en clair ; le support travaille à partir du numéro de compte et du rapport.
• Les comptes de flux ne tradent jamais. Nous vérifions l'absence de permission de trading avant d'en utiliser un.

Intégrité des rapports

Chaque rapport est haché en SHA-256 et horodaté à l'émission. Le lien de vérification affiche le hachage et l'heure d'émission, de sorte que quiconque détient une copie peut confirmer qu'elle n'a pas été altérée. Les rapports ne sont jamais modifiés ; les corrections sont de nouveaux documents qui référencent l'original.

Infrastructure

• Tout le trafic est chiffré en transit (TLS). Les stockages de données sont chiffrés au repos.
• L'accès suit le principe du moindre privilège et est journalisé.
• Les données de trading sont séparées du site public.
• Les résultats du moteur de règles sont déterministes et reproductibles à partir des données stockées.

Minimisation des données

Nous lisons ce dont une revue a besoin : transactions, historique du solde et paramètres du compte. Nous ne lisons ni messages, ni documents, ni quoi que ce soit en dehors du compte de trading. Les rapports publiés dans l'annuaire sont anonymisés et regroupés par tranches.

Divulgation responsable

Si vous trouvez une vulnérabilité, écrivez à [email protected] avec « Security » en objet et joignez les étapes de reproduction. Nous accusons réception sous deux jours ouvrés, vous tenons informé et n'engageons aucune poursuite contre les chercheurs de bonne foi qui évitent les atteintes à la vie privée, la destruction de données et la perturbation du service.

Ce que nous ne revendiquons pas

Nous ne détenons pas actuellement de certification SOC 2 ni ISO 27001. Nous l'indiquerons ici lorsque cela changera, plutôt que de le laisser entendre avant.