Sécurité : mots de passe, sessions et déconnexion partout
Règles des mots de passe, fonctionnement des sessions, réinitialisation du mot de passe, limitation des tentatives de connexion, vos clés d'échange et quoi faire si vous soupçonnez que votre compte a été utilisé par quelqu'un d'autre.
Règles des mots de passe
Un mot de passe doit contenir au moins 10 caractères et mélanger majuscules et minuscules avec au moins un chiffre. Les mots de passe sont stockés uniquement sous forme de hachage unidirectionnel robuste : personne, y compris le support, ne peut voir votre mot de passe ; vous pouvez uniquement en définir un nouveau.
Modifiez-le dans Compte > Sécurité : saisissez le mot de passe actuel et le nouveau deux fois. La modification du mot de passe déconnecte toutes les sessions, y compris celle que vous utilisez, donc reconnectez-vous ensuite.
Sessions
La connexion crée une session conservée dans un cookie de navigateur sécurisé HttpOnly, valable pendant environ un mois. Seul un hachage du jeton de session est stocké sur le serveur, et la connexion aux données en direct de l'application est authentifiée avec la même session.
Compte > Sécurité liste vos sessions actives avec l'adresse IP, le navigateur et l'heure de création. Déconnexion globale met fin à toutes les sessions, y compris celle-ci : la bonne démarche après avoir utilisé un ordinateur partagé ou si vous soupçonnez que quelqu'un d'autre a vos identifiants.
Déconnexion dans le menu de la barre supérieure met fin uniquement à la session actuelle.
Mot de passe oublié
Cliquez sur Mot de passe oublié sur la page de connexion et saisissez votre e-mail. Vous recevez un lien à usage unique qui expire après un certain temps ; définissez un nouveau mot de passe sur cette page. Si aucun e-mail n'arrive, vérifiez les spams puis contactez le support.
Limitation des connexions
Après plusieurs mots de passe incorrects pour le même e-mail depuis la même adresse, les connexions sont suspendues pendant un court moment avec le message Too many attempts. Try again in 15 minutes. Une connexion réussie réinitialise le compteur.
Protection des formulaires
Les formulaires portent un jeton lié à votre session ; si un formulaire affiche Form expired, reload the page and try again. votre session a changé pendant que la page était ouverte. Les appels de l'application ne sont acceptés que depuis le site lui-même.
Clés d'échange et anneau de clés
Les clés API des exchanges ne sont pas protégées par le mot de passe de votre compte. Elles sont chiffrées avec le mot de passe distinct de l'anneau de clés que vous définissez sur la page Trading, qui n'est jamais stocké et est conservé en mémoire du serveur uniquement pendant votre session de connexion. Quelqu'un qui obtient votre mot de passe de compte ne peut toujours pas utiliser vos clés sans le mot de passe de l'anneau de clés. Créez des clés avec uniquement la permission de trading, jamais de retrait. Voir Comptes de trading sur les exchanges.
Si vous soupçonnez un usage frauduleux
- Compte > Sécurité > Déconnexion globale.
- Changez votre mot de passe.
- Sur l'exchange, supprimez les clés API que vous aviez stockées et créez-en de nouvelles ; puis déverrouillez l'anneau de clés et enregistrez les nouvelles clés.
- Vérifiez Compte > Facturation et Compte > Portefeuille pour tout ce que vous n'avez pas fait et informez le support.
Comptes désactivés
L'opérateur peut désactiver un compte ; la connexion échoue alors avec This account is disabled. Contact support. La désactivation ne supprime pas les données.
Note : nous ne demandons jamais votre mot de passe, le mot de passe de l'anneau de clés ou les secrets de l'exchange par e-mail ou chat. Traitez toute telle demande comme une fraude.