Безопасность: пароли, сессии и выход со всех устройств

Требования к паролю

Пароль должен содержать минимум 10 символов и включать буквы верхнего и нижнего регистра, а также хотя бы одну цифру. Пароли хранятся только в виде надежного необратимого хеша: никто, включая службу поддержки, не может увидеть ваш пароль; вы можете только установить новый.

Измените его в разделе Аккаунт > Безопасность: введите текущий пароль и новый дважды. Смена пароля завершает все сессии, включая текущую, поэтому после этого войдите в систему снова.

Сессии

При входе создается сессия, которая хранится в защищенном HttpOnly cookie браузера и действует примерно месяц. На сервере хранится только хеш токена сессии, а соединение с живыми данными приложения аутентифицируется с помощью той же сессии.

В разделе Аккаунт > Безопасность отображаются ваши активные сессии с IP-адресом, браузером и временем создания. Кнопка Выйти из всех устройств завершает все сессии, включая текущую: это правильное действие после использования общего компьютера или если вы подозреваете, что кто-то другой знает ваши данные для входа.

Кнопка Выйти в верхнем меню завершает только текущую сессию.

Забыли пароль

Нажмите Забыли пароль на странице входа и введите свой email. Вы получите одноразовую ссылку, которая действует ограниченное время; установите новый пароль на этой странице. Если письмо не пришло, проверьте папку «Спам», а затем свяжитесь с поддержкой.

Ограничение попыток входа

После нескольких неверных паролей для одного email с одного адреса попытки входа приостанавливаются на короткое время с сообщением Too many attempts. Try again in 15 minutes. Успешный вход сбрасывает счетчик.

Защита форм

Формы содержат токен, привязанный к вашей сессии; если форма выдает ошибку Form expired, reload the page and try again. это означает, что ваша сессия изменилась, пока страница была открыта. Запросы от приложения принимаются только с самого сайта.

Ключи бирж и ключевое кольцо

API-ключи бирж не защищены паролем вашего аккаунта. Они шифруются отдельным паролем ключевого кольца, который вы устанавливаете на странице Торговли, и который никогда не хранится, а находится в памяти сервера только во время вашей сессии входа. Тот, кто узнает пароль вашего аккаунта, все равно не сможет использовать ваши ключи без пароля ключевого кольца. Создавайте ключи только с правом торговли, никогда — вывода средств. См. Торговые аккаунты на биржах.

Если вы подозреваете несанкционированный доступ

1. Аккаунт > Безопасность > Выйти из всех устройств.
2. Смените пароль.
3. На бирже удалите сохраненные API-ключи и создайте новые; затем разблокируйте ключевое кольцо и сохраните новые ключи.
4. Проверьте разделы Аккаунт > Оплата и Аккаунт > Кошелек на наличие действий, которые вы не совершали, и сообщите об этом в поддержку.

Отключенные аккаунты

Оператор может отключить аккаунт; тогда вход завершится ошибкой This account is disabled. Contact support. Отключение не удаляет данные.

Примечание: мы никогда не запрашиваем ваш пароль, пароль ключевого кольца или секреты биржи по email или в чате. Рассматривайте любые такие запросы как мошенничество.