Sicherheit: Passwörter, Sitzungen und Abmelden überall — Wissensdatenbank

Passwortregeln

Ein Passwort muss mindestens 10 Zeichen lang sein und Groß- sowie Kleinbuchstaben mit mindestens einer Ziffer kombinieren. Passwörter werden nur als starker Einweg-Hash gespeichert: Niemand, auch nicht der Support, kann Ihr Passwort sehen; Sie können nur ein neues setzen.

Ändern Sie es unter Konto > Sicherheit: Geben Sie das aktuelle Passwort und das neue zweimal ein. Beim Ändern des Passworts werden alle Sitzungen beendet, einschließlich der aktuellen, daher müssen Sie sich danach erneut anmelden.

Sitzungen

Beim Anmelden wird eine Sitzung in einem sicheren HttpOnly-Browser-Cookie gespeichert, die etwa einen Monat gültig ist. Auf dem Server wird nur ein Hash des Sitzungstokens gespeichert, und die Live-Datenverbindung der App wird mit derselben Sitzung authentifiziert.

Konto > Sicherheit listet Ihre aktiven Sitzungen mit IP-Adresse, Browser und Erstellungszeit auf. Überall abmelden beendet jede Sitzung, einschließlich dieser: der richtige Schritt nach der Nutzung eines geteilten Computers oder wenn Sie vermuten, dass jemand anderes Ihre Zugangsdaten hat.

Abmelden im Menü oben beendet nur die aktuelle Sitzung.

Passwort vergessen

Klicken Sie auf der Anmeldeseite auf Passwort vergessen und geben Sie Ihre E-Mail-Adresse ein. Sie erhalten einen Einmal-Link, der nach einer Weile abläuft; setzen Sie dort ein neues Passwort. Wenn keine E-Mail ankommt, prüfen Sie den Spam-Ordner und kontaktieren Sie dann den Support.

Nach wiederholt falschen Passwörtern für dieselbe E-Mail-Adresse von derselben IP-Adresse werden Anmeldungen für kurze Zeit pausiert mit der Meldung Too many attempts. Try again in 15 minutes. Ein erfolgreicher Login setzt den Zähler zurück.

Formularschutz

Formulare enthalten ein Token, das an Ihre Sitzung gebunden ist; wenn ein Formular Form expired, reload the page and try again. meldet, hat sich Ihre Sitzung geändert, während die Seite geöffnet war. Aufrufe aus der App werden nur von der Website selbst akzeptiert.

Börsenschlüssel und Keyring

API-Schlüssel der Börse werden nicht durch Ihr Kontopasswort geschützt. Sie werden mit dem separaten Keyring-Passwort verschlüsselt, das Sie auf der Handelsseite festlegen, welches nie gespeichert wird und nur während Ihrer Anmelde-Sitzung im Server-Speicher gehalten wird. Jemand, der Ihr Kontopasswort erhält, kann Ihre Schlüssel ohne das Keyring-Passwort nicht verwenden. Erstellen Sie Schlüssel nur mit Handelserlaubnis, niemals Auszahlung. Siehe Börsen-Handelskonten.

Wenn Sie einen Missbrauch vermuten

Konto > Sicherheit > Überall abmelden.
Ändern Sie Ihr Passwort.
Löschen Sie auf der Börse die gespeicherten API-Schlüssel und erstellen Sie neue; entsperren Sie dann den Keyring und speichern Sie die neuen Schlüssel.
Prüfen Sie Konto > Abrechnung und Konto > Wallet auf Vorgänge, die Sie nicht durchgeführt haben, und informieren Sie den Support.

Deaktivierte Konten

Der Betreiber kann ein Konto deaktivieren; die Anmeldung schlägt dann mit This account is disabled. Contact support. fehl. Die Deaktivierung löscht keine Daten.

Hinweis: Wir fragen niemals per E-Mail oder Chat nach Ihrem Passwort, Keyring-Passwort oder Börsen-Secrets. Behandeln Sie jede solche Anfrage als Betrug.