Sicurezza e dati

Le sessioni usano un cookie httpOnly con un token casuale. Nel database viene salvato solo il suo SHA-256: una copia del database non permette di impersonare nessuno. Cambiare la password invalida le sessioni aperte.

Le rotte private controllano la sessione sul server. Le mutazioni accettano solo origini attendibili e le API sensibili hanno rate limit.

• Le password vengono salvate con hash scrypt, mai in chiaro.
• Le chiavi AI vengono salvate cifrate e non vengono restituite al browser.
• Il token del runner viene salvato come hash; il PC lo conserva nella sua cartella dati locale.
• Il token del ponte MetaTrader 5 vive nell'ambiente locale e non viaggia verso il browser.
• Stripe gestisce il pagamento. Oryon non memorizza i numeri di carta.

• CSP con script-src-attr bloccato, object-src none, frame-ancestors none e form-action self.
• X-Frame-Options DENY, X-Content-Type-Options nosniff, Referrer-Policy strict-origin-when-cross-origin.
• HSTS con preload quando la richiesta arriva via HTTPS.
• Le risposte API hanno Cache-Control no-store per non lasciare dati privati nelle cache intermedie.

Vedi i dettagli tecnici nella documentazione →

• Puoi esportare strategie, deployment, cronologia e follow in JSON da Account. Non include password, token di sessione o chiavi private.
• Puoi cancellare l'account e i dati associati; la cancellazione è a cascata.
• I profili pubblici mostrano solo il nome visibile, la bio e le strategie che decidi di pubblicare. Mai l'email.
• L'esecuzione locale con MetaTrader 5 avviene dal tuo PC, non dal server web.

Se trovi una falla di sicurezza, scrivici con i passaggi per riprodurla. Non pubblicare dati di terzi e non eseguire test di denial of service.

oryon.help@outlook.com · security.txt

Nessun sistema è invulnerabile. Oryon riduce la superficie di attacco e rende espliciti i limiti, ma non può garantire che un broker, un fornitore di dati o un'estensione del browser si comportino correttamente.