المنصة والأمان
المصادقة الثنائية (2FA) تتطلب إثباتًا ثانيًا للهوية إضافةً إلى كلمة المرور، عادةً رمزًا زمنيًا من تطبيق مصادقة أو رمزًا يُرسل عبر البريد الإلكتروني، بحيث لا تكفي كلمة مرور مسروقة وحدها لتسجيل الدخول أو تنفيذ إجراء حساس.
تُعاد كلمات المرور استخدامها ويُتصيَّد بها ويتم تسريبها؛ فلوحة تحكم تداول يمكنها إضافة مفاتيح API، أو تغيير الأهداف، أو حذف الحسابات بكلمة مرور فقط لا تكون آمنة إلا بقدر أضعف مكان استُخدمت فيه تلك الكلمة من قبل. تُحوِّل المصادقة الثنائية كلمة المرور المُسرَّبة إلى إزعاج بدلاً من استيلاء كامل. وهي مهمة على المنصة، وعلى البورصة، وعلى TradingView، الذي لن يُظهر حتى حقل Webhook قبل تفعيل المصادقة الثنائية على حساب TradingView.
تدعم AlgoVesta عاملَين ثانيين قائمَين على تطبيق مصادقة والبريد الإلكتروني في لوحة التحكم، وتطبق تحققًا إضافيًا (step-up) على الإجراءات التي لا يمكن التراجع عنها: حذف الحساب، وحذف حساب MT5 أو مفتاح بورصة، وتفعيل التداول الحي على حساب. بالنسبة لهذه الإجراءات، تطلب المنصة إثباتًا حديثًا للهوية، مثل تسجيل دخول حديث بنفس المزوّد الذي استخدمته (Google أو Apple أو كلمة مرور) أو رمز عامل ثانٍ صالح، بدلاً من الاعتماد على رمز جلسة (session token) قائم. رموز الوصول نفسها قصيرة الأجل ويتم تحديثها بصمت، بحيث تنتهي صلاحية أي رمز مسروق بسرعة. تتطلب مفاتيح MCP الحية والإجراءات التي تقلل الأمان تحققًا إضافيًا؛ أما الإجراءات التي تزيد الأمان، مثل تعطيل التداول الحي، فلا تتطلب ذلك، لذا لا تُصعَّب أبدًا حماية نفسك. تُطلق عمليات تسجيل الدخول الجديدة من جهاز أو موقع غير مألوف إشعارًا عبر البريد الإلكتروني. راجع صفحة الأمان.
يتعرض كلمة مرور مستخدم للتصيد. يسجِّل المهاجم الدخول إلى لوحة التحكم لكنه لا يستطيع حذف مفتاح البورصة الخاص بالمستخدم أو تفعيل التداول الحي على الحساب التجريبي دون العامل الثاني، ويتلقى المستخدم رسالة بريد إلكتروني عن تسجيل دخول من جهاز جديد، فيغيّر كلمة المرور ويراجع الجلسات. كان مفتاح البورصة نفسه مخصصًا للتداول فقط ومقيَّدًا بعنوان IP، لذا فحتى تسجيل دخول ناجح إلى لوحة التحكم لم يكن ليسمح بالسحب.