Segurança
Descrevemos apenas medidas efetivamente implementadas no código atual. Não temos selos, certificações ou auditorias externas — e não os apresentaremos até existirem.
Sem custódia de capital
A KerbBots não aceita depósitos de capital de trading. Em simulação só existe saldo virtual.
Palavras-passe com Argon2id
As palavras-passe são guardadas apenas como hash Argon2id; exigimos pelo menos 10 caracteres e rejeitamos as mais comuns.
Verificação em dois passos (TOTP)
Disponível para todas as contas, com códigos de recuperação. Obrigatória para ações sensíveis: ligar exchanges, criar bots reais, rodar chaves, desativar MFA e administração.
Sessões seguras
Cookies HttpOnly e SameSite, expiração por inatividade, revogação de sessões e proteção CSRF em todos os pedidos que alteram dados.
Limitação de tentativas
Limites por IP e bloqueio temporário após falhas repetidas de login ou MFA.
Isolamento entre contas
Todas as consultas verificam o espaço de trabalho do utilizador; acessos a objetos de outra conta devolvem “não encontrado”. Coberto por testes automáticos.
Chaves API cifradas
Envelope encryption com AES-256-GCM: cada segredo tem a sua chave de dados, cifrada por uma chave mestra. Os segredos nunca são devolvidos ao navegador nem aparecem em registos; o painel de administração não os mostra.
Sem levantamentos
Exigimos declaração explícita de que a chave não tem permissão de levantamento (a exchange não permite inspecioná-la por API) e nunca pedimos seed phrases.
Registos sem credenciais
Um filtro remove segredos, tokens e assinaturas das mensagens de registo.
Auditoria
Ações relevantes de utilizadores, administradores e do motor ficam registadas (quem, o quê, quando).
Execução protegida
Ordens idempotentes, gravação antes do envio, reconciliação após timeout e leases com fencing token para impedir dois workers de gerir o mesmo bot.
Negociação real desativada
Requer simultaneamente configuração do servidor e feature flag ativada por um administrador com MFA. Nunca é ativada automaticamente.
Ainda não implementado
- Auditoria de segurança independente / testes de intrusão externos.
- Gestor de chaves externo (KMS) em produção — a instalação atual usa chave mestra local.
- Restrição de IP verificada automaticamente na exchange (apenas declarada pelo utilizador).
- Notificações de segurança por e-mail.
Encontrou uma vulnerabilidade? Abra um ticket na categoria “Segurança” na área de ajuda.