Vos fonds. Vos clés. Notre avantage d'exécution.
AlphaBot se connecte aux exchanges via les clés API que vous fournissez et place les ordres en votre nom. Nous ne détenons jamais, ne conservons pas, ne réhypothéquons pas et ne transférons pas les actifs des utilisateurs. Ci-dessous se trouve exactement ce que nous faisons — et ne faisons pas — avec les identifiants que vous nous confiez.
1. Nous ne détenons jamais vos fonds
- Les clés API que vous connectez accordent la lecture et la négociation uniquement — jamais le retrait.
- La permission de retrait est rejetée catégoriquement lors de l'intégration. Nous la détectons au premier appel authentifié et refusons d'accepter la clé. La clé n'est pas stockée, ni enregistrée, ni renvoyée.
- Si votre exchange supporte les listes blanches IP sur les clés API, vous pouvez restreindre votre clé aux adresses sortantes d'AlphaBot (listées dans le tableau de bord).
2. Chiffrement : AWS KMS, enveloppe, par utilisateur
- Les secrets API sont chiffrés au repos à l'aide d'AWS KMS avec chiffrement par enveloppe : une clé de données unique par utilisateur, enveloppée sous une clé maître client KMS.
- La politique KMS lie les opérations de déchiffrement à votre JWT de session actif. Les opérateurs (nous) ne peuvent pas déchiffrer vos secrets hors-bande.
- Les secrets déchiffrés résident uniquement en mémoire de processus, uniquement pendant la durée d'un appel API, et ne sont jamais écrits sur le disque ou dans les journaux.
3. Isolation des données par utilisateur
Chaque enregistrement dans notre magasin de données est indexé et partitionné par utilisateur. Les chemins d'accès exigent que l'identité authentifiée de l'appelant corresponde au propriétaire de la ligne ; l'accès entre utilisateurs est impossible par construction, non par convention.
Nous exécutons une fixture CI qui affirme « l'utilisateur A ne peut pas lire, modifier ou déclencher un effet secondaire sur les données de l'utilisateur B » pour chaque gestionnaire protégé. Le test échoue la compilation en cas de régression.
4. Journal d'audit à ajout seul
Chaque action qu'AlphaBot entreprend sur votre compte — ordre placé, ordre annulé, clé pivotée, kill switch activé, paramètre modifié — est enregistrée dans un journal chaîné par hash, à ajout seul.
- Vous pouvez exporter le journal complet au format CSV ou JSON à partir du tableau de bord à tout moment.
- Chaque entrée référence le hash de l'entrée précédente, donc toute manipulation est détectable.
- La tête de la chaîne est publiée, ce qui vous permet de vérifier localement qu'aucune entrée n'a été altérée ou supprimée.
- Les actions des opérateurs (employés) sur l'infrastructure sont enregistrées séparément et mises à disposition sur demande au niveau Enterprise.
5. Infrastructure
AlphaBot s'exécute sur AWS dans plusieurs régions (us-east-1, us-west-2, ap-southeast-1) choisies pour la proximité aux moteurs de correspondance des exchanges. Nous ne partageons pas les bases de données avec des tiers. Les déploiements de production nécessitent l'authentification multifacteur, utilisent uniquement des identifiants à courte durée de vie, et sont enregistrés dans le journal d'audit des opérateurs.
6. Divulgation des vulnérabilités
Si vous pensez avoir découvert un problème de sécurité, veuillez envoyer un email à security@alphabot.deeplogic.software. Nous visons à accuser réception dans un jour ouvrable et à fournir un plan de correction dans les cinq jours.
Nous préparons un programme officiel de prime aux bogues avec des paiements échelonnés selon la gravité (faible / moyen / élevé / critique). En attendant, nous reconnaîtrons publiquement la divulgation responsable (avec le consentement du rapporteur) et paierons des primes discrétionnaires pour les rapports valides et dans le champ d'application. Hors du champ : tout ce qui nécessite une compromission des identifiants d'exchange de l'utilisateur final, les constatations sans impact sur le produit, les attaques par déni de service contre l'infrastructure partagée, l'ingénierie sociale du personnel.
Ce que nous ne réclamons pas (encore)
Nous ne réclamons pas la certification SOC 2 ou ISO 27001. Les deux sont sur notre feuille de route et nous publierons l'auditeur et le rapport une fois chacun terminé. Jusqu'à présent, les contrôles décrits ci-dessus sont ce que nous pouvons défendre aujourd'hui.