Sécurité de votre compte et de vos données

1. Double authentification (2FA/MFA)

La double authentification ajoute une seconde barrière à la connexion : après votre mot de passe, vous confirmez un code d'une application d'authentification. Nous prenons en charge les applications TOTP (mots de passe à usage unique fondés sur le temps), et le 2FA est obligatoire pour les retraits et les changements de données de paiement. L'activer pour la connexion est optionnel, mais nous le recommandons dès le jour de l'inscription : cela prend une minute et protège les parties de votre compte où circule l'argent.

Si vous perdez votre appareil, la récupération se gère avec l'équipe support via une vérification d'identité. Attendez-vous à des questions sur l'activité récente de votre compte et à la présentation de documents ; la récupération est volontairement plus lente que l'accès normal, parce qu'elle doit l'être.

2. Chiffrement des données

Tout le trafic entre votre navigateur et la plateforme voyage chiffré en TLS. Les données au repos (documents d'identité, coordonnées, journaux de transactions) sont chiffrées à la couche de stockage de chaque système qui les contient. L'accès aux données déchiffrées est limité aux systèmes et rôles qui en ont besoin : la conformité pour les documents de vérification, le support pour les coordonnées, et personne n'a un accès total à tout.

3. Protection contre la fraude et l'hameçonnage

Les messages officiels de Osmosis Ventures ne proviennent que de nos domaines. Nous ne demandons jamais votre mot de passe, vos codes 2FA ni l'accès distant à votre appareil. Les messages sur des retraits ou des « problèmes de compte » qui créent l'urgence sont le schéma classique d'hameçonnage : suspendez et vérifiez. Si un message semble louche, transférez-le à [email protected] et nous confirmerons si nous l'avons envoyé. La page Avertissement sur les fraudes liste les schémas d'entreprises clones que nous observons actuellement.

4. Notifications de connexion

Chaque connexion depuis un nouvel appareil déclenche un e-mail avec le type d'appareil, la localisation approximative et l'heure. Si vous en recevez un sans être à l'origine, changez immédiatement votre mot de passe, examinez les sessions actives et contactez le support. Les notifications d'activité suspecte (par exemple des tentatives répétées de mot de passe erroné) suivent la même voie.

5. Gestion des appareils et des sessions

Le tableau de bord montre chaque session active : appareil, navigateur, adresse IP et dernière activité. Vous pouvez fermer une session en un clic, ce qui éjecte l'appareil. Les sessions expirent après une période d'inactivité et changer de mot de passe invalide toutes les autres sessions. Si vous partagez un ordinateur, déconnectez-vous en partant : la liste des sessions permet de vérifier qu'il ne reste rien d'ouvert.

6. Récupération de compte

Les réinitialisations de mot de passe exigent toujours l'accès à l'e-mail enregistré et une confirmation d'identité pour les comptes avec 2FA actif. Les demandes de récupération sont traitées par l'équipe support, pas par un processus automatique : une personne réelle vérifie que le demandeur est le titulaire. Cela rend la récupération plus lente qu'une réinitialisation en un clic, et c'est voulu : un processus de réinitialisation rapide est aussi un processus d'intrusion rapide.

7. Permissions des clés API

Connecter un compte d'exchange utilise des clés API que vous créez sur l'exchange, avec les permissions de votre choix. La plateforme a besoin des permissions de lecture et de trading pour fonctionner, mais jamais du droit de retrait : laissez le retrait désactivé à la création de la clé. Nous stockons les clés chiffrées, avec les permissions minimales nécessaires et masquées après la configuration initiale.

8. Journal d'audit

Connexions, connexions API, lancements et arrêts de stratégies, changements de configuration et modifications de données de paiement sont consignés avec heure et IP. Le journal est disponible dans le tableau de bord de votre compte, pour que vous vérifiiez que chaque action listée est la vôtre. Si vous voyez quelque chose que vous n'avez pas fait, le journal d'audit est le point de départ de l'enquête : signalez-le via le canal incidents ci-dessous.

9. Support en cas d'incident

Si vous suspectez un accès non autorisé, écrivez à [email protected] avec « URGENT » en objet. Le compte peut être temporairement verrouillé pendant l'examen. Attendez-vous à un accusé de réception dans la première heure ouvrée les jours ouvrés, à une personne affectée au dossier et à des points d'étape en langage clair au fil de l'examen. À la fin, vous recevez un résumé de ce qui s'est passé et de ce qui a été modifié.