Sicherheit
Sicherheit und Daten
Oryon speichert Strategien und Ausführungsdaten. Diese Seite erklärt, was geschützt wird, was nicht gespeichert wird und wie du ein Problem meldest.
Sitzungen und Zugang
Sitzungen verwenden ein httpOnly-Cookie mit einem zufälligen Token. In der Datenbank wird nur dessen SHA-256 gespeichert: Eine Kopie der Datenbank erlaubt keine Identitätsübernahme. Eine Passwortänderung macht offene Sitzungen ungültig.
Private Routen prüfen die Sitzung auf dem Server. Mutationen akzeptieren nur vertrauenswürdige Ursprünge und sensible APIs haben Rate Limits.
Geheimnisse und Zugangsdaten
- Passwörter werden mit scrypt gehasht gespeichert, niemals im Klartext.
- KI-Schlüssel werden verschlüsselt gespeichert und nicht an den Browser zurückgegeben.
- Der Runner-Token wird als Hash gespeichert; der PC bewahrt ihn in seinem lokalen Datenordner auf.
- Der Token der MetaTrader-5-Brücke lebt in der lokalen Umgebung und gelangt nicht in den Browser.
- Stripe wickelt die Zahlung ab. Oryon speichert keine Kartennummern.
Header und Browser
- CSP mit blockiertem script-src-attr, object-src none, frame-ancestors none und form-action self.
- X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy strict-origin-when-cross-origin.
- HSTS mit Preload, wenn die Anfrage über HTTPS eintrifft.
- API-Antworten tragen Cache-Control no-store, damit private Daten nicht in Zwischencaches landen.
Daten und Datenschutz
- Du kannst deine Strategien, Deployments, Historie und Follows als JSON über Konto exportieren. Enthalten sind keine Passwörter, Sitzungstokens oder privaten Schlüssel.
- Du kannst dein Konto und die zugehörigen Daten löschen; die Löschung erfolgt kaskadierend.
- Öffentliche Profile zeigen nur den Anzeigenamen, die Bio und die Strategien, die du veröffentlichen möchtest. Niemals die E-Mail.
- Die lokale Ausführung mit MetaTrader 5 erfolgt von deinem PC aus, nicht vom Webserver.
Schwachstelle melden
Wenn du eine Sicherheitslücke findest, schreib uns mit Schritten zur Reproduktion. Veröffentliche keine Daten Dritter und führe keine Denial-of-Service-Tests durch.
Was wir nicht versprechen
Kein System ist unverwundbar. Oryon reduziert die Angriffsfläche und macht Limits explizit, kann aber nicht garantieren, dass sich ein Broker, ein Datenanbieter oder eine Browser-Erweiterung korrekt verhält.