Bảo mật
Xác thực
- JWT: Access token (15 phút) + Refresh token (7 ngày)
- 2FA: TOTP (Time-based One-Time Password)
- API Keys: Prefix
tp_, có thể thu hồi bất kỳ lúc nào - Session: Tự động hết hạn, giới hạn thiết bị
Mã hóa
- Truyền tải: TLS 1.3 cho tất cả kết nối
- Lưu trữ: AES-256-GCM cho API keys và secrets
- Mật khẩu: bcrypt với salt rounds = 12
- Database: pgcrypto extension cho encryption at rest
Phân quyền (RBAC)
| Role | Quyền |
|---|---|
user | Quyền cơ bản, chỉ xem dữ liệu của mình |
premium | Quyền user + auto-trade, API access |
admin | Quyền premium + quản lý users, orders |
super_admin | Toàn quyền hệ thống |
Audit Logging
Tất cả hành động quan trọng được ghi log:
- Đăng nhập/đăng xuất
- Thay đổi cài đặt bảo mật
- Kết nối/ngắt kết nối sàn giao dịch
- Thực thi lệnh giao dịch
- Thay đổi subscription
Rate Limiting
- Token bucket algorithm
- Giới hạn theo user và IP
- Tự động unlock sau khi hết thời gian
Compliance
- GDPR: Quyền xóa dữ liệu, xuất dữ liệu
- SOC2: Audit trails, access controls (đang triển khai)
- Data Retention: Tự động xóa dữ liệu cũ theo policy