Segurança local primeiro, dita com precisão

O agente, os seus terminais, a nuvem e o seu navegador se conectam por três conexões independentes com identidades separadas, e de propósito não são encadeadas. O seu terminal conversa com o agente para desktop por loopback; o agente conversa com a nuvem por HTTPS assinado pelo dispositivo para pareamento, licença e sincronização do painel; o seu navegador conversa com a nuvem para o painel. A nuvem nunca está no caminho de execução das operações.

Essa divisão é o modelo inteiro. Tudo o que decide ou move uma ordem fica à esquerda da linha, no seu computador. Tudo o que fica à direita é licença e revisão.

Suas sessões do Telegram e do Discord ficam no PC que roda o app: segredos de login, arquivos de sessão e dados de chat ficam atrás da fronteira interna da aplicação, e os registros os ocultam em vez de gravá-los.

O texto das mensagens dos chats que você escolheu é guardado apenas no banco de dados local, limitado a 8 KiB por mensagem e apagado após sete dias. O app para desktop cria a sua própria identidade de dispositivo na primeira inicialização e liga a chave privada ao seu usuário do Windows por criptografia do sistema operacional; a chave nunca é gravada no banco de dados, nunca é mostrada na interface, e nenhuma credencial da nuvem é guardada junto com ela.

• Sessões de origem e texto das mensagens: apenas este PC, nunca enviados
• Chave privada do dispositivo: ligada ao seu usuário do Windows, nunca guardada em texto puro
• Tokens da nuvem de curta duração: nunca guardados, nunca registrados, nunca exibidos

As ordens chegam ao MetaTrader por uma ponte que se liga explicitamente ao endereço de loopback, então só responde a programas do seu próprio computador. O EA incluso se autentica com tokens de sessão aleatórios de 256 bits dos quais só os hashes são guardados, comparados em tempo constante, que expiram em 15 minutos e ficam ligados ao terminal, à conta e à corretora registrados.

O primeiro contato usa uma credencial de uso único escrita na própria pasta de dados daquele terminal, com acesso limitado ao seu usuário do Windows: ela expira em dez minutos, é consumida uma vez e apagada após o registro. Os corpos das requisições são limitados a 16 KiB, e o binário do EA incluso é fixado por SHA-256 e verificado antes da instalação.

O pareamento começa com um token de uso único do seu painel, válido por dez minutos. O app para desktop assina a solicitação de pareamento com a sua chave de dispositivo, e a política de licença que volta é verificada byte a byte contra uma chave pública embutida antes de qualquer coisa ser guardada. Uma política que falhe em qualquer uma das duas verificações é descartada e o dispositivo continua sem parear.

As conexões com a nuvem usam TLS com raízes públicas da Web PKI, e endpoints sem TLS são recusados. A licença é então reemitida a cada cerca de 15 minutos por um sinal de vida assinado e continua válida por até 60, então uma queda da nuvem não interrompe o roteamento, que segue com a última política verificada. Quando ela expira, as novas entradas param enquanto as ações que reduzem risco e a visibilidade do painel mantêm os últimos valores assinados, e tudo o que for inválido bloqueia na dúvida.

Desparear limpa a política em cache, mas mantém a identidade do dispositivo. Revogar um dispositivo pelo painel rejeita o próximo sinal de vida dele e o bloqueia, mas a revogação não é instantânea, então um dispositivo em execução pode continuar operando até a sua política em cache expirar.

A nuvem recebe o espelho do painel, esvaziado em lotes de 50: resultados de operações, eventos de posições, instantâneos da conta, notas do diário e mapeamentos de símbolos. As atualizações de mapeamento de símbolos chegam assinadas e são verificadas antes de serem aplicadas, e apenas a sinais futuros, nunca a comandos já admitidos. A sincronização vai em um só sentido, do desktop para a nuvem.

O que ela nunca recebe: o conteúdo das mensagens, as sessões de origem e os segredos de API, a senha da sua corretora (que nunca é lida), a chave privada do dispositivo, e os próprios comandos de operação, que nunca vão para a nuvem. Os comandos de operação são autenticados pela sessão de loopback de curta duração; não são assinados individualmente. O instalador não é assinado, então o Windows SmartScreen avisa uma vez na primeira execução; os hashes de cada build são publicados ao lado de cada instalador para você verificar o que executou.