安全性
我们如何保护您的数据
您的交换密钥和帐户数据是敏感的。这正是我们为确保他们的安全所做的事情——没有含糊的承诺。
AES-256
休息时
TLS 1.3
运输途中
No Withdrawal
API 关键范围
HttpOnly
会话cookie
1.静态加密
数据库加密
所有帐户数据、信号日志、警报配置和用户设置都存储在强制静态全磁盘加密的基础设施上的 PostgreSQL 中。数据库备份在写入存储之前会单独加密。
API 密钥加密
Exchange API 密钥和秘密永远不会以明文形式存储。每个密钥均使用每个用户派生的加密密钥通过 AES-256-GCM 进行加密。加密密钥本身永远不会与密文一起存储。
解密范围
API key decryption occurs only within the isolated trade execution process, only when a bot order needs to be submitted, and only for the specific exchange key being used.解密的密钥仅在请求期间保留在内存中。
2. 传输中加密
传输层安全协议1.3
您的浏览器和我们的服务器之间的所有连接都使用 TLS 1.3。较旧的 TLS 版本（1.0、1.1）和弱密码套件被禁用。 HTTPS 通过 HTTP 严格传输安全 (HSTS) 标头强制实施。
API 连接
与交易所和外部数据提供商的所有出站连接都使用 TLS 并在支持的情况下进行证书固定。我们不会向任何数据提供商发出纯文本 HTTP 请求。
3. API 密钥安全
无提款权限
我们强制要求连接的 API 密钥不得包含提款权限。在密钥设置过程中，如果该密钥似乎具有提款访问权限，我们会发出警告，并建议您使用仅限交易的范围重新生成它。
范围隔离
每个 API 密钥连接的范围仅限于单个交易所和单个用户。用户或机器人之间不存在密钥池或共享。交易所A的密钥不能用于交易所B下单。
按键轮换
您可以随时从“设置”到“交换”撤销和替换您的 API 密钥。旧密钥立即标记为非活动状态，并且不能用于新订单。
4. 身份验证和会话
JWT 会话 Cookie
身份验证令牌存储为 HttpOnly、Secure、SameSite=Strict cookie。 JavaScript 无法访问它们，也无法通过 XSS 窃取它们。令牌在 24 小时不活动后过期，或使用“记住我”30 天后过期。
OAuth 安全
OAuth 流（Google、GitHub）使用 PKCE 和状态参数来防止 CSRF 和授权代码拦截攻击。我们仅收到创建帐户所需的最小配置文件范围。
密码哈希
密码在存储前使用 bcrypt 进行哈希处理，工作因子为 12。我们在任何时候都不会存储或传输明文密码。
5. 基础设施
网络隔离
数据库和工作人员服务不暴露在公共互联网上。所有内部服务通信都通过专用网络进行。 API 服务器是唯一面向公众的入口点。
依赖安全
我们对每个部署运行自动依赖漏洞扫描。依赖项中的严重 CVE 将在披露后 48 小时内进行修补。
秘密管理
生产机密（数据库凭证、加密密钥、API 提供者令牌）在运行时通过机密管理器的环境变量注入。 Secrets are never committed to source control.
6. 负责任的披露
报告漏洞
如果您发现 CryptoSignal Pro 中存在安全漏洞，请发送电子邮件至 security@cryptosignalpro.com 并提供详细信息。在我们有机会调查并修补问题之前，请勿公开披露该问题。
包括什么
请包括：漏洞描述、重现漏洞的步骤、潜在影响以及任何概念验证代码。您提供的详细信息越多，我们评估和修复的速度就越快。
响应时间表
我们将在 48 小时内确认您的报告，在 5 个工作日内提供初步评估，并向您通报补救进展。我们赞扬报告有效漏洞的研究人员（经过他们的许可）。
发现漏洞？
向我们的安全团队发送电子邮件 — 我们会在 48 小时内回复。
一般安全问题？
联系支持人员