Безопасность
Ключи от вашего счёта — самое ценное, что вы нам доверяете. Поэтому про безопасность мы говорим прямо: что уже сделано, а что ещё впереди.
Что уже сделано
Ключи без права вывода
Мы принимаем только ключи с правом торговли. Ключ с правом вывода средств сервис не примет: проверка прав идёт при подключении.
Привязка к IP
Ключ можно ограничить адресами, с которых ходит наш исполнитель. Тогда украденный ключ бесполезен за их пределами.
Секретов нет в репозитории
Ключи и пароли не хранятся в коде и не попадают в логи и отчёты. В репозитории лежат только примеры файлов настроек.
Изолированный исполнитель
Часть, которая ходит на биржу, отделена от той, что принимает вебхуки: у приёмника нет доступа к ключам напрямую.
Проверка отправителя
Вебхук проверяется по секрету и адресу отправителя, повторы в течение минуты отсекаются. Чужое сообщение не дойдёт до денег.
Ответ площадки в журнале
Всё, что ушло на биржу, и всё, что она ответила, попадает в журнал сигнала. Проверить действия сервиса можно самому.
Что ещё впереди
Внешний аудит безопасности до того, как сервис начнёт работать с реальными деньгами. Сейчас работа идёт на тестовых средах биржи. Мы предпочитаем сказать это прямо, а не рисовать значки сертификатов.
Нашли уязвимость
Напишите нам до того, как рассказывать о ней публично. Адрес для сообщений появится здесь вместе с порядком ответственного раскрытия.