Plateforme & Sécurité
La 2FA (authentification à deux facteurs) exige une seconde preuve d'identité en plus d'un mot de passe, généralement un code temporel provenant d'une application d'authentification ou un code envoyé par e-mail, afin qu'un mot de passe volé seul ne suffise pas pour se connecter ou effectuer une action sensible.
Les mots de passe sont réutilisés, hameçonnés et divulgués ; un tableau de bord de trading capable d'ajouter des clés API, de modifier des objectifs ou de supprimer des comptes avec un simple mot de passe n'est aussi sûr que l'endroit le plus faible où ce mot de passe a jamais été utilisé. La 2FA transforme un mot de passe divulgué en simple désagrément plutôt qu'en prise de contrôle. Elle compte sur la plateforme, sur la bourse et sur TradingView, qui n'affichera même pas le champ webhook tant que la 2FA n'est pas activée sur le compte TradingView.
AlgoVesta prend en charge les seconds facteurs par application d'authentification et par e-mail sur le tableau de bord, et applique une vérification renforcée (step-up) aux actions irréversibles : supprimer le compte, supprimer un compte MT5 ou une clé de bourse, et activer le trading en direct sur un compte. Pour ces actions, la plateforme exige une preuve d'identité fraîche, une connexion récente avec le fournisseur que vous avez utilisé (Google, Apple ou mot de passe) ou un code de second facteur valide, plutôt que de s'appuyer sur un jeton de session existant. Les jetons d'accès eux-mêmes ont une durée de vie courte et sont renouvelés silencieusement, de sorte qu'un jeton capturé expire rapidement. Les clés MCP live et les actions qui réduisent la sécurité nécessitent la vérification renforcée ; les actions qui augmentent la sécurité, comme désactiver le trading en direct, n'en ont pas besoin, de sorte que se protéger n'est jamais rendu plus difficile. Les nouvelles connexions depuis un appareil ou un lieu inhabituel déclenchent un avis par e-mail. Voir la page Sécurité.
Le mot de passe d'un utilisateur est hameçonné. L'attaquant se connecte au tableau de bord mais ne peut ni supprimer la clé de bourse de l'utilisateur ni activer le trading en direct sur le compte paper (démo) sans le second facteur, et l'utilisateur reçoit un e-mail de connexion depuis un nouvel appareil, change son mot de passe et vérifie ses sessions. La clé de bourse elle-même était trade-only et restreinte par IP, de sorte que même une connexion réussie au tableau de bord n'aurait pas permis un retrait.