A segurança do bot começa pela permissão que a chave não tem

A segurança na Captay parte de uma recusa. O serviço não foi projetado para assumir custódia. Uma conexão futura usaria uma chave de API que você cria na corretora, com negociação ligada e saque desligado. Esta página é específica sobre esse plano e igualmente específica sobre o que falta: nenhuma chave é guardada aqui, nenhuma revisão foi encomendada e nenhuma corretora endossou o produto.

O que a chave poderia fazer

Ler saldos e ordens abertas. Colocar e cancelar ordens spot dentro dos limites. Isso basta para perder uma parte grande de uma conta, porque comprar um mercado em colapso não é um saque. O limite interessante é o que a chave não tem: ela não pode solicitar uma transferência para um endereço externo, e não pode varrer para outra conta dentro da corretora se essa permissão for um interruptor separado e você o deixar desligado.

As corretoras nomeiam esses interruptores de formas diferentes. A Captay não publicará uma captura de tela de um console parceiro, porque não há parceria para ilustrar. Quando existir um painel, as notas de configuração teriam de ser conferidas com a tela de permissões real, não com este parágrafo. Até lá, a suposição segura é que você não cria nada.

O que um bug ainda não consegue inventar

Se a chave foi criada sem saque, uma versão defeituosa não pode adicionar esse bit. Ela ainda pode dimensionar mal uma ordem, duplicar um envio ou falhar em cancelar. Essas são falhas de negociação, e é por isso que os limites externos e a parada existem no projeto. Não são uma certificação de que as falhas foram caçadas. Nenhuma auditoria externa é alegada, e nenhuma deve ser inferida do tom de uma página de segurança.

Controles planejados que não estão ativos

• Um segundo fator no login do painel, para que uma senha roubada não seja uma chave roubada.
• Um diário de atividade de armar, desarmar, limites atingidos e trocas de chave, escrito para poder ser lido depois.
• Uma recomendação, não um controle que a Captay possa impor, de restringir a chave por IP se a corretora oferecer.
• Criptografia para chaves armazenadas, descrita na nota de privacidade como um plano posterior, não como um cofre presente.

A autenticação de dois fatores e o diário são intenções do produto. Não são recursos que você possa ligar. Não há login. A lista de atividade está vazia porque o painel nunca aceitou uma sessão. Dizer que estão 'planejados' não é uma data nem uma promessa de que serão lançados sem mudanças.

Este site não pede uma chave, uma frase-semente nem um código de uso único. Se um formulário da Captay algum dia ganhar um campo para isso, trate-o como hostil. O único formulário publicado agora verifica um endereço de e-mail localmente e não o envia.