Segurança em primeiro nível

1. Autenticação de dois fatores e multifator

A conta Trading Max aceita autenticação de dois fatores por aplicativo autenticador, que gera códigos de uso único, e por e-mail para verificação de dispositivos novos. A ativação é facultativa no cadastro, porém obrigatória antes do primeiro saque e de qualquer alteração de dados bancários, porque é nesses momentos que uma conta invadida causa dano real.

A multifator pode combinar dois fatores diferentes, por exemplo senha mais código do aplicativo. Recomendamos ativar o recurso no primeiro dia: leva dois minutos e elimina a maior parte dos cenários de acesso não autorizado. Se você perder o acesso ao aplicativo, a recuperação passa por verificação de identidade com a equipe de suporte, nunca por um link automático.

Códigos de dois fatores são pessoais e intransferíveis: nenhum funcionário da plataforma os pede, por telefone, e-mail ou mensagem. Quem pedir é golpista, e o caso merece denúncia imediata para bloquearmos tentativas contra outros clientes.

2. Criptografia de dados

Toda a comunicação entre seu navegador e a plataforma trafega criptografada, e os dados sensíveis armazenados, como documentos de identidade e informações financeiras, permanecem criptografados em repouso. Os documentos de identificação ficam em um repositório separado do restante dos dados da conta, com acesso restrito às equipes de compliance que precisam deles para verificação.

Chaves de criptografia são geridas com rotação periódica, e o acesso dos próprios funcionários aos dados é registrado. Em resumo: nem uma interceptação de rede expõe seus dados, e dentro da empresa cada consulta a eles deixa rastro.

3. Proteção contra fraudes e phishing

A Trading Max comunica-se apenas pelos domínios oficiais da plataforma e nunca pede senha, código de dois fatores ou dados completos de cartão por e-mail, mensagem ou telefone. Mensagens legítimas podem incluir um código de segurança pessoal, definido por você, que confirma que a origem é a plataforma; uma mensagem sem esse código merece desconfiança.

Orientamos conferir sempre o endereço exato do site antes de inserir credenciais e tratar links recebidos por canais não oficiais com cautela. A página de aviso sobre golpes lista os sinais mais comuns e o endereço para denunciar tentativas de fraude que usem nosso nome.

4. Notificações de login

Cada login de dispositivo novo, de localização incomum ou em horário atípico dispara um alerta por e-mail, e, quando você tem aplicativo autenticador vinculado, também por notificação. O alerta informa horário, dispositivo aproximado e localização, e traz um atalho para encerrar a sessão e trocar a senha em um clique.

Se receber um alerta de acesso que não foi você, trate como urgência: encerre a sessão pelo próprio alerta, troque a senha e escreva para [email protected]. A conta pode ser bloqueada preventivamente em minutos enquanto verificamos o ocorrido.

5. Gestão de dispositivos e sessões

A área de configurações lista todas as sessões ativas, com dispositivo, navegador e último acesso, e permite encerrar qualquer uma delas à distância, de qualquer lugar. Sessões expiram automaticamente após um período de inatividade, e a plataforma pede nova autenticação para ações sensíveis, como alterar a chave Pix cadastrada ou iniciar um saque para destino novo.

Vale conferir a lista de dispositivos de tempos em tempos, principalmente depois de usar redes de wifi públicas ou computadores de terceiros: uma sessão esquecida continua válida até expirar sozinha, e encerrá-la custa um clique.

Perdeu o celular? Um computador emprestado ficou logado? A gestão de sessões resolve ambos os casos sem precisar de contato com o suporte, embora o suporte também possa encerrar sessões a seu pedido, com verificação de identidade.

6. Recuperação de conta

A recuperação de acesso começa sempre pela verificação de identidade: dados do cadastro, documento com foto e, em alguns casos, uma selfie comparada com o documento enviado no onboarding. Esse rigor intencional demora um pouco mais e é o que impede que um impostor assuma sua conta com algumas informações rasas.

O pedido é feito pelo e-mail oficial do suporte e o prazo normal de conclusão é de até um dia útil. Durante a recuperação, saques e alterações de dados ficam suspensos por padrão, e a conta volta com sessões encerradas e dois fatores desativados para reconfiguração.

7. Permissões de chaves de API

Quando uma integração com corretora usa chave de API, a chave é criada com o menor escopo possível: somente leitura para acompanhar posições, leitura e negociação para estratégias que operam, e permissão de saque permanentemente desativada, porque saques são feitos pela própria plataforma após suas checagens de segurança.

Cada chave fica associada a um único fim, com registro de criação, uso e revogação. Se uma integração deixa de ser necessária, a chave é revogada na hora, sem dependência de terceiros. Você pode solicitar a qualquer momento a lista de integrações ativas da sua conta.

8. Histórico de auditoria

Toda ação relevante fica registrada com data, hora e origem: logins, conexões de corretora, alterações de estratégia e de configurações de risco, pedidos de saque e mudanças de dados cadastrais. Esse histórico é consultável para atendimento a pedidos seus e a exigências regulatórias, e serve como fonte da verdade em qualquer contestação.

Os registros são mantidos pelos prazos exigidos pela legislação aplicável e acessados apenas por equipes autorizadas. Se em algum informe algo não bater, o histórico permite reconstruir exatamente o que aconteceu, em vez de depender de memória.

9. Suporte em incidentes

Suspeita de conta invadida, transação desconhecida ou mensagem suspeita devem ser reportadas a [email protected] com o assunto "segurança urgente". O primeiro passo, quando aplicável, é o bloqueio preventivo da conta para interromper o dano; em seguida, a equipe de segurança investiga com prioridade e mantém você informado em cada etapa, com retorno esperado em minutos nos casos graves.

Casos confirmados escalam para revisão de compliance e, quando aplicável, para comunicação às autoridades competentes. Encerrado o incidente, você recebe um resumo por escrito do ocorrido e das medidas tomadas. Relatar rápido reduz prejuízo: na dúvida, reporte.