セキュリティ
データの保護方法
交換キーとアカウントデータは機密です。これが、彼らの安全を守るために私たちが行っていることです。曖昧な約束はありません。
AES-256
休息中
TLS 1.3
輸送中
No Withdrawal
API キースコープ
HttpOnly
セッションクッキー
1. 保存時の暗号化
データベースの暗号化
すべてのアカウント データ、シグナル ログ、アラート構成、およびユーザー設定は、保存時にフルディスク暗号化を強制するインフラストラクチャ上の PostgreSQL に保存されます。データベースのバックアップは、ストレージに書き込まれる前に個別に暗号化されます。
API キーの暗号化
Exchange API のキーとシークレットはプレーンテキストで保存されることはありません。各キーは、ユーザーごとに派生した暗号化キーを使用して AES-256-GCM で暗号化されます。暗号化キー自体が暗号文と一緒に保存されることはありません。
復号化の範囲
API キーの復号化は、ボット注文を送信する必要がある場合にのみ、使用されている特定の交換キーに対してのみ、分離された取引実行プロセス内でのみ発生します。復号化されたキーは、リクエストの間のみメモリ内に保持されます。
2. 転送中の暗号化
TLS1.3
ブラウザと当社のサーバー間のすべての接続には TLS 1.3 が使用されます。古い TLS バージョン (1.0、1.1) と弱い暗号スイートは無効になっています。 HTTPS は、HTTP Strict Transport Security (HSTS) ヘッダーによって強制されます。
API 接続
取引所および外部データ プロバイダーへのすべてのアウトバウンド接続では、サポートされている場合は証明書のピン留めを備えた TLS が使用されます。当社は、データ プロバイダーに対して平文の HTTP リクエストを行うことはありません。
3. API キーのセキュリティ
出金許可なし
接続された API キーには引き出し権限が含まれないように強制します。キーのセットアップ中に、キーに出金アクセス権があるように見える場合は警告し、取引専用スコープでキーを再生成することをお勧めします。
スコープの分離
各 API キー接続は、単一の交換機と単一のユーザーにスコープされます。ユーザーまたはボット間でキーをプールしたり共有したりすることはありません。取引所 A のキーを使用して取引所 B に注文することはできません。
キーのローテーション
API キーは、[設定] から [Exchange] でいつでも取り消して置き換えることができます。古いキーはすぐに非アクティブとしてマークされ、新しい注文には使用できません。
4. 認証とセッション
JWT セッション Cookie
認証トークンは、HttpOnly、Secure、SameSite=Strict Cookie として保存されます。これらは JavaScript からはアクセスできず、XSS 経由で盗むことはできません。トークンは、非アクティブ状態が 24 時間続くか、「Remember me」を使用して 30 日間経過すると期限切れになります。
OAuth セキュリティ
OAuth フロー (Google、GitHub) は、PKCE および状態パラメーターを使用して、CSRF および認証コードの傍受攻撃を防ぎます。アカウント作成に必要な最小限のプロファイル スコープのみを受け取ります。
パスワードのハッシュ化
パスワードは、保存前に作業係数 12 の bcrypt を使用してハッシュされます。当社はいかなる時点でも平文のパスワードを保存したり送信したりすることはありません。
5. インフラストラクチャー
ネットワークの分離
データベースとワーカー サービスはパブリック インターネットに公開されません。すべての内部サービス通信はプライベート ネットワーク経由で行われます。 API サーバーは、唯一の公開エントリ ポイントです。
依存関係のセキュリティ
すべての展開で自動依存関係の脆弱性スキャンを実行します。依存関係にある重大度の CVE には、公開されてから 48 時間以内にパッチが適用されます。
機密管理
本番環境のシークレット (データベース資格情報、暗号化キー、API プロバイダー トークン) は、実行時にシークレット マネージャーから環境変数を介して挿入されます。シークレットがソース管理にコミットされることはありません。
6. 責任ある開示
脆弱性の報告
CryptoSignal Pro にセキュリティの脆弱性を発見した場合は、詳細を添えて security@cryptosignalpro.com に電子メールを送信してください。調査してパッチを適用する機会が得られるまで、問題を公に公開しないでください。
含めるもの
脆弱性の説明、それを再現する手順、潜在的な影響、および概念実証コードを含めてください。提供していただく情報が多いほど、より迅速に評価して修正することができます。
対応タイムライン
48 時間以内に報告を確認し、5 営業日以内に初期評価を提供し、修復の進捗状況をお知らせします。有効な脆弱性を報告した研究者を (許可を得て) 称賛します。
脆弱性が見つかりましたか?
弊社のセキュリティ チームに電子メールを送信してください。48 時間以内に返答いたします。
一般的なセキュリティに関する質問ですか?
サポートに連絡する