FinaQuotes
ENRU

Безопасность

Безопасность фида котировок FinaQuotes

Доступ к фиду котировок FinaQuotes защищён личными API-ключами и HMAC-аутентификацией WebSocket-подключения, и всё это работает только поверх TLS. У каждого клиента свои ключ и секрет, ключи можно в любой момент сменить или отозвать, а секреты хранятся у нас в зашифрованном виде. Данных о клиентах мы держим ровно столько, сколько нужно для работы сервиса.

Аутентификация

Подключение к фиду по WebSocket аутентифицируется через HMAC. Клиент подписывает сообщение входа своим секретом по HMAC-SHA256; сам секрет не отправляется. Схема подписи описана в документации.

Ключи и секреты

  • Личные ключи. Каждый клиент получает собственные ключ и секрет. Ключи не делятся между клиентами, поэтому доступ можно отследить и забрать у одного клиента, не затрагивая остальных.
  • Секрет показывается один раз. Его видно только в момент выдачи. Позже показать его снова мы не можем; если секрет потерян, выдаётся новый.
  • Храните секрет на сервере. Его место - в окружении сервера или хранилище секретов, а не в исходном коде, браузерных скриптах или мобильном приложении. Подписывайте на сервере и уже оттуда передавайте данные во фронтенд.
  • Шифрование при хранении. На нашей стороне секреты хранятся в зашифрованном виде, а не открытым текстом.
  • Ротация по запросу. Новый ключ и секрет можно запросить в любой момент, например когда из команды уходит сотрудник. После выдачи новой пары старая перестаёт работать.
  • Отзыв при утечке. Если секрет мог утечь, сообщите нам, и мы сразу отзовём ключ. Активные подключения с ним будут закрыты.

Транспорт и изоляция

  • Только TLS. Фид и API доступны по wss и https. Незашифрованные подключения не принимаются.
  • Раздельные каналы. Бесплатные виджеты, Pro-виджеты и фид работают по отдельным каналам с отдельными правилами доступа. Через публичный виджет в фид не попасть.
  • Лимиты. REST API ограничивает число запросов с одного IP-адреса, чтобы защитить сервис от злоупотреблений. Обычная интеграция в эти лимиты укладывается с запасом.

Какие данные о клиентах мы храним

Только минимум, нужный для работы сервиса: контакты из заявки, выданные вам ключи и технические журналы ваших подключений. Данные ваших конечных пользователей нам не нужны, и мы их не запрашиваем. Подробнее - в политике конфиденциальности.

Что мы не публикуем

Мы не раскрываем поставщиков данных, хостинг и внутреннюю архитектуру. На этой странице описано то, что важно для вашей интеграции; остальное закрыто намеренно.

Как сообщить об уязвимости

Если вы нашли проблему безопасности в фиде, API, виджетах или на этом сайте, напишите нам через форму обратной связи и выберите тему «Другое». Тот же контакт указан в файле security.txt.

Мы придерживаемся ответственного раскрытия. Дайте нам разумное время на разбор и исправление до публикации и при проверке не обращайтесь к данным других клиентов и не нарушайте работу сервиса. Мы подтвердим получение и будем держать вас в курсе, пока работаем над исправлением.

Весь рынок на одном подключении

Расскажите о платформе и нужных рынках - ответим в течение одного рабочего дня и пришлём доступы.