sécurité
Sécurité et données
Oryon stocke des stratégies et des données d'exécution. Cette page explique ce qu'il protège, ce qu'il ne stocke pas et comment signaler un problème.
Sessions et accès
Les sessions utilisent un cookie httpOnly avec un token aléatoire. Seul son SHA-256 est stocké en base : une copie de la base ne permet d'usurper l'identité de personne. Changer le mot de passe invalide les sessions ouvertes.
Les routes privées vérifient la session côté serveur. Les mutations n'acceptent que des origines de confiance et les API sensibles ont une limite de débit.
Secrets et identifiants
- Les mots de passe sont stockés avec un hash scrypt, jamais en clair.
- Les clés d'IA sont stockées chiffrées et ne sont pas renvoyées au navigateur.
- Le token du runner est stocké sous forme de hash ; le PC le conserve dans son dossier de données local.
- Le token du pont MetaTrader 5 vit dans l'environnement local et ne voyage pas vers le navigateur.
- Stripe gère le paiement. Oryon ne stocke pas les numéros de carte.
En-têtes et navigateur
- CSP avec script-src-attr bloqué, object-src none, frame-ancestors none et form-action self.
- X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy strict-origin-when-cross-origin.
- HSTS avec preload lorsque la requête arrive en HTTPS.
- Les réponses d'API portent Cache-Control no-store pour ne pas laisser de données privées dans des caches intermédiaires.
Données et confidentialité
- Tu peux exporter tes stratégies, déploiements, historique et suivis en JSON depuis Compte. Cela n'inclut pas les mots de passe, tokens de session ni clés privées.
- Tu peux supprimer ton compte et les données associées ; la suppression est en cascade.
- Les profils publics n'affichent que le nom visible, la bio et les stratégies que tu choisis de publier. Jamais l'e-mail.
- L'exécution locale avec MetaTrader 5 se fait depuis ton PC, pas depuis le serveur web.
Signaler une vulnérabilité
Si tu trouves une faille de sécurité, écris-nous avec les étapes pour la reproduire. Ne publie pas de données de tiers et ne fais pas de tests de déni de service.
Ce que nous ne promettons pas
Aucun système n'est invulnérable. Oryon réduit la surface d'attaque et rend les limites explicites, mais ne peut pas garantir qu'un courtier, un fournisseur de données ou une extension de navigateur se comporte correctement.