أموالك. مفاتيحك. ميزة التنفيذ لدينا.
تتصل AlphaBot بالبورصات عبر مفاتيح API التي تقدمها وتضع الطلبات نيابة عنك. لا نحتفظ بأصول المستخدمين أو نملكها أو نعيد رهنها أو ننقلها. فيما يلي بالضبط ما نفعله — وما لا نفعله — مع بيانات اعتماد الوصول التي تثق بنا فيها.
1. لا نحتفظ بأموالك أبداً
- مفاتيح API التي تربطها تمنح قراءة و تداول الصلاحيات فقط — لا تشمل السحب أبداً.
- يتم رفض صلاحية السحب بشكل قاسٍ عند الاشتراك. نكتشفها في أول استدعاء مصادق عليه ونرفض قبول المفتاح. لا يتم تخزين المفتاح ولا تسجيله ولا إعادة محاولة استخدامه.
- إذا كانت البورصة تدعم قوائم IP المسموحة على مفاتيح API، يمكنك تقييد المفتاح الخاص بك على عناوين AlphaBot الصادرة (المدرجة في لوحة المعلومات).
2. التشفير: AWS KMS، ظرف، لكل مستخدم
- يتم تشفير أسرار API في وقت السكون باستخدام AWS KMS مع تشفير الظرف: مفتاح بيانات فريد لكل مستخدم، مغلف ضمن مفتاح الـ KMS الرئيسي.
- تربط سياسة KMS عمليات فك التشفير بـ JWT الجلسة النشطة لديك. لا يمكن للمشغلين (نحن) فك تشفير أسرارك خارج المجموعة.
- تعيش الأسرار المفكوكة فقط في ذاكرة العملية، فقط لمدة استدعاء API، ولا تُكتب أبداً على القرص أو السجلات.
3. عزل البيانات لكل مستخدم
كل سجل في مخزن البيانات لدينا مفتاح وقسم حسب المستخدم. تتطلب مسارات الوصول أن تطابق هوية المتصل المصرح بها مالك الصف؛ الوصول عبر المستخدمين مستحيل حسب البناء وليس حسب العرف.
نقوم بتشغيل تركيبة CI تؤكد "المستخدم أ لا يمكنه قراءة أو تعديل أو تفعيل أي تأثير جانبي على بيانات المستخدم ب" على كل معالج محمي. يفشل الاختبار في البناء عند أي انحدار.
4. سجل تدقيق إضافة فقط
كل إجراء تتخذه AlphaBot ضد حسابك — طلب موضوع، طلب ملغى، مفتاح معاد تعيينه، مفتاح القتل مفعل، معامل تغير — يُسجل في سجل مربوط بالتجزئة وإضافة فقط.
- يمكنك تصدير السجل الكامل كـ CSV أو JSON من لوحة المعلومات في أي وقت.
- تشير كل إدخالة إلى تجزئة الإدخالة السابقة، بحيث يمكن كشف أي تلاعب.
- يتم نشر رأس السلسلة، بحيث يمكنك التحقق محلياً من عدم تعديل أو إزالة أي إدخالة.
- يتم تسجيل إجراءات المشغل (الموظف) على البنية التحتية بشكل منفصل وإتاحتها عند الطلب لـ Enterprise tier.
5. البنية التحتية
تعمل AlphaBot على AWS في عدة مناطق (us-east-1, us-west-2, ap-southeast-1) تم اختيارها لقربها من محركات البورصات. لا نشاركم قواعد البيانات مع أي طرف ثالث. تتطلب نشرات الإنتاج المصادقة متعددة العوامل، وهي بيانات اعتماد قصيرة العمر فقط، ويتم تسجيلها في سجل تدقيق المشغل.
6. الإفصاح عن الثغرات الأمنية
إذا كنت تعتقد أنك عثرت على مشكلة أمان، يرجى إرسال بريد إلكتروني إلى security@alphabot.deeplogic.software. نهدف إلى الإقرار في يوم عمل واحد وتوفير خطة إصلاح في غضون خمسة أيام.
نحن نجهز برنامج مكافآت رسمي للأخطاء مع مدفوعات متدرجة حسب الخطورة (منخفضة / متوسطة / عالية / حرجة). حتى يصبح مباشراً، سنقر الإفصاح المسؤول علناً (بموافقة المبلغ) ندفع مكافآت تقديرية للتقارير الصحيحة والمدرجة في النطاق. خارج النطاق: أي شيء يتطلب تسوية بيانات اعتماد البورصة للمستخدم النهائي، أو النتائج غير المؤثرة على المنتج، أو هجمات الحرمان من الخدمة ضد البنية التحتية المشتركة، أو الهندسة الاجتماعية للموظفين.
ما لا نؤكده (حتى الآن)
لا نؤكد شهادة SOC 2 أو ISO 27001. كلاهما على جدول أعمالنا وسننشر المدقق والتقرير عند اكتمال كل منهما. حتى ذلك الحين، الضوابط الموضحة أعلاه هي ما يمكننا الوقوف عليه اليوم.