নিরাপত্তা
আমরা কীভাবে আপনার ডেটা সুরক্ষিত রাখি
আপনার এক্সচেঞ্জ কী এবং অ্যাকাউন্ট ডেটা সংবেদনশীল। আমরা সেগুলো কীভাবে নিরাপদ রাখি তা হুবহু জানাচ্ছি — অস্পষ্ট প্রতিশ্রুতি নয়।
AES-256
বিশ্রামে
TLS 1.3
ট্রানজিটে
No Withdrawal
API কী স্কোপ
HttpOnly
সেশন কুকি
১. বিশ্রামে এনক্রিপশন
ডেটাবেস এনক্রিপশন
সব অ্যাকাউন্ট ডেটা, সিগন্যাল লগ, অ্যালার্ট কনফিগারেশন এবং ব্যবহারকারী সেটিংস পূর্ণ-ডিস্ক এনক্রিপশন প্রযোগকারী অবকাঠামোতে PostgreSQL-এ সংরক্ষিত।
API কী এনক্রিপশন
এক্সচেঞ্জ API কী এবং সিক্রেট কখনো সরল পাঠ্যে সংরক্ষিত হয় না। প্রতিটি কী প্রতি-ব্যবহারকারী ডেরাইভড এনক্রিপশন কী দিয়ে AES-256-GCM দিয়ে এনক্রিপ্টেড।
ডিক্রিপশন স্কোপ
API কী ডিক্রিপশন শুধুমাত্র আইসোলেটেড ট্রেড এক্সিকিউশন প্রক্রিয়ার মধ্যে, শুধুমাত্র একটি বট অর্ডার সাবমিট করার সময়, এবং শুধুমাত্র ব্যবহৃত নির্দিষ্ট এক্সচেঞ্জ কীয়ের জন্য হয়।
২. ট্রানজিটে এনক্রিপশন
TLS 1.3
আপনার ব্রাউজার এবং আমাদের সার্ভারের মধ্যে সব সংযোগ TLS 1.3 ব্যবহার করে। পুরনো TLS ভার্সন এবং দুর্বল সাইফার সুইট অক্ষম। HSTS হেডার সহ HTTPS প্রযোগ।
API সংযোগ
এক্সচেঞ্জ এবং বাহ্যিক ডেটা প্রদানকারীদের সব আউটবাউন্ড সংযোগ সার্টিফিকেট পিনিং সহ TLS ব্যবহার করে।
৩. API কী নিরাপত্তা
উইথড্রয়াল অনুমতি নেই
আমরা নিশ্চিত করি যে সংযুক্ত API কীতে উইথড্রয়াল অনুমতি না থাকে। কী সেটআপে আমরা সতর্ক করি এবং শুধুমাত্র ট্রেডিং স্কোপ দিয়ে পুনরায় তৈরি করার পরামর্শ দিই।
স্কোপ আইসোলেশন
প্রতিটি API কী সংযোগ একটি নির্দিষ্ট এক্সচেঞ্জ এবং একজন ব্যবহারকারীর জন্য স্কোপড। ব্যবহারকারী বা বটের মধ্যে কোনো পুলিং বা শেয়ারিং নেই।
কী রোটেশন
যেকোনো সময় Settings → Exchanges থেকে API কী প্রত্যাহার ও প্রতিস্থাপন করতে পারবেন।
৪. অথেনটিকেশন ও সেশন
JWT সেশন কুকি
অথেনটিকেশন টোকেন HttpOnly, Secure, SameSite=Strict কুকি হিসেবে সংরক্ষিত। JavaScript অ্যাক্সেস করতে পারে না এবং XSS দ্বারা চুরি হতে পারে না।
OAuth নিরাপত্তা
OAuth ফ্লো (Google, GitHub) PKCE এবং state প্যারামিটার ব্যবহার করে CSRF এবং অথরাইজেশন কোড ইন্টারসেপশন আক্রমণ প্রতিরোধ করে।
পাসওয়ার্ড হ্যাশিং
পাসওয়ার্ড bcrypt দিয়ে ওয়ার্ক ফ্যাক্টর ১২ সহ সংরক্ষণের আগে হ্যাশ করা হয়।
৫. অবকাঠামো
নেটওয়ার্ক আইসোলেশন
ডেটাবেস এবং ওয়ার্কার সার্ভিস পাবলিক ইন্টারনেটে উন্মুক্ত নয়। API সার্ভার একমাত্র পাবলিক-ফেসিং এন্ট্রি পয়েন্ট।
ডিপেন্ডেন্সি নিরাপত্তা
প্রতিটি ডিপ্লয়মেন্টে স্বয়ংক্রিয় ডিপেন্ডেন্সি ভালনারেবিলিটি স্ক্যান চলে। ক্রিটিকাল-সিভেরিটি CVE প্রকাশের ৪৮ ঘণ্টার মধ্যে প্যাচ করা হয়।
সিক্রেট ম্যানেজমেন্ট
প্রোডাকশন সিক্রেট রানটাইমে সিক্রেট ম্যানেজার থেকে এনভায়রনমেন্ট ভেরিয়েবলের মাধ্যমে ইনজেক্ট করা হয়। সোর্স কন্ট্রোলে কোনো সিক্রেট কমিট হয় না।
৬. দায়িত্বশীল প্রকাশ
ভালনারেবিলিটি রিপোর্ট
CryptoSignal Pro-তে কোনো নিরাপত্তা ত্রুটি আবিষ্কার করলে security@cryptosignalpro.com-এ বিস্তারিত ইমেইল করুন। আমরা তদন্ত ও প্যাচ করার সুযোগ পাওয়ার আগে পাবলিক প্রকাশ করবেন না।
কী অন্তর্ভুক্ত করবেন
অনুগ্রহ করে অন্তর্ভুক্ত করুন: ভালনারেবিলিটির বিবরণ, পুনরুৎপাদনের ধাপ, সম্ভাব্য প্রভাব এবং যেকোনো প্রুফ-অফ-কনসেপ্ট কোড।
প্রতিক্রিয়া সময়সীমা
আমরা ৪৮ ঘণ্টার মধ্যে আপনার রিপোর্ট স্বীকার করব, ৫ ব্যবসায়িক দিনের মধ্যে প্রাথমিক মূল্যায়ন দেব এবং প্রতিকার অগ্রগতি সম্পর্কে জানাব।
কোনো ত্রুটি খুঁজে পেয়েছেন?
আমাদের নিরাপত্তা দলকে ইমেইল করুন — আমরা ৪৮ ঘণ্টার মধ্যে সাড়া দিই।
সাধারণ নিরাপত্তা প্রশ্ন?
সহায়তায় যোগাযোগ করুন