Sicurezza: password, sessioni e disconnessione ovunque
Regole per le password, come funzionano le sessioni, reimpostazione della password, limitazione degli accessi, le tue chiavi di exchange e cosa fare se sospetti che il tuo account sia stato usato da qualcun altro.
Regole per le password
Una password deve essere lunga almeno 10 caratteri e combinare maiuscole e minuscole con almeno un numero. Le password sono salvate solo come hash unidirezionale forte: nessuno, nemmeno il supporto, può vedere la tua password; puoi solo impostarne una nuova.
Cambia la password in Account > Sicurezza: inserisci la password attuale e quella nuova due volte. Cambiando la password vengono chiuse tutte le sessioni, inclusa quella che stai usando, quindi accedi di nuovo dopo.
Sessioni
L'accesso crea una sessione mantenuta in un cookie del browser sicuro e HttpOnly, valida per circa un mese. Sul server viene salvato solo l'hash del token di sessione e la connessione dati live dell'app viene autenticata con la stessa sessione.
Account > Sicurezza elenca le tue sessioni attive con indirizzo IP, browser e ora di creazione. Disconnetti ovunque termina tutte le sessioni, inclusa questa: la mossa giusta dopo aver usato un computer condiviso o se sospetti che qualcun altro abbia le tue credenziali.
Disconnetti nel menu della barra superiore termina solo la sessione corrente.
Password dimenticata
Clicca su Password dimenticata nella pagina di accesso e inserisci la tua email. Riceverai un link a uso singolo che scade dopo un po'; imposta una nuova password in quella pagina. Se non arriva l'email, controlla lo spam e poi contatta il supporto.
Limitazione accessi
Dopo password errate ripetute per la stessa email dallo stesso indirizzo, gli accessi vengono sospesi per un breve periodo con il messaggio Too many attempts. Try again in 15 minutes. Un accesso riuscito azzera il contatore.
Protezione dei moduli
I moduli contengono un token legato alla tua sessione; se un modulo mostra Form expired, reload the page and try again. la tua sessione è cambiata mentre la pagina era aperta. Le chiamate dall'app sono accettate solo dal sito stesso.
Chiavi degli exchange e keyring
Le chiavi API degli exchange non sono protette dalla password del tuo account. Sono crittografate con la password separata del keyring che imposti nella pagina Trading, che non viene mai salvata e resta in memoria del server solo durante la tua sessione di accesso. Chi ottiene la password del tuo account non può comunque usare le tue chiavi senza la password del keyring. Crea chiavi con solo permesso di trade, mai di prelievo. Vedi Account di trading exchange.
Se sospetti un uso improprio
- Account > Sicurezza > Disconnetti ovunque.
- Cambia la tua password.
- Sull'exchange, elimina le chiavi API che avevi salvato e creane di nuove; poi sblocca il keyring e salva le nuove chiavi.
- Controlla Account > Fatturazione e Account > Portafoglio per eventuali operazioni non tue e avvisa il supporto.
Account disabilitati
L'operatore può disabilitare un account; l'accesso fallisce poi con This account is disabled. Contact support. La disabilitazione non elimina i dati.
Nota: non chiediamo mai la tua password, la password del keyring o i segreti dell'exchange via email o chat. Tratta qualsiasi richiesta del genere come una truffa.