Sicurezza e Privacy

La sicurezza è fondamentale per una piattaforma in cui gli utenti ci affidano le autorizzazioni dei loro wallet e l'esecuzione delle operazioni. Questo documento illustra cosa facciamo per proteggerti, cosa puoi fare tu per proteggerti e come gestiamo i dati.

Da Cosa Ti Proteggiamo

Abbiamo predisposto difese contro tutte queste minacce.

Sicurezza del Wallet

Non deteniamo mai i tuoi fondi. I tuoi USDC restano nel tuo wallet. Predite firma le operazioni per tuo conto solo quando confermi esplicitamente. Non possiamo spostare i tuoi fondi senza il tuo permesso attivo.

Archiviazione crittografata delle chiavi. Per operare sul CLOB di Polymarket, Predite conserva la private key del wallet che colleghi — non esiste alcun flusso con pop-up nel browser, perché il CLOB è un'API e gli ordini vengono firmati lato server. La chiave arriva via HTTPS, viene crittografata con AES-256-GCM (chiave derivata tramite scrypt, un IV casuale nuovo per ogni record) e viene archiviato solo il ciphertext. Viene decrittata in memoria per l'istante in cui un ordine viene firmato, e non viene mai scritta nei log. Senza giri di parole: questa è custodia di una chiave calda di trading. La mitigazione che davvero ti protegge è finanziare un wallet dedicato solo con il tuo capitale di trading.

Le approvazioni on-chain sono illimitate — e le imposta Predite, non tu. Prima del tuo primo ordine il wallet deve approvare i contratti di Polymarket, e quelle approvazioni vengono inviate per tuo conto come approvazione ILLIMITATA, più un'approvazione generale sugli outcome token. È così che funziona anche polymarket.com, ma significa che l'allowance non è il tuo controllo dell'esposizione. Ciò che limita davvero la tua esposizione: i tetti per ordine e giornalieri, i limiti per bot, il tuo kill switch e la dimensione del wallet dedicato che hai finanziato.

Revocabile. Puoi revocare il nostro accesso in qualsiasi momento tramite le impostazioni di approvazione dei token del tuo wallet su Polygonscan.

Sicurezza dell'Account

Autenticazione tramite Clerk. Non gestiamo direttamente le password: lo fa Clerk. Sono specializzati nell'autenticazione e seguono le best practice del settore (hashing delle password con bcrypt, rate limiting, rilevamento delle violazioni).

Piano Bot + flag beta per account. Il live trading è protetto due volte: un abbonamento Bot attivo e una flag beta per account che solo il supporto può attivare. Né l'API né la UI possono aggirarla.

Gestione delle sessioni. Le sessioni scadono automaticamente. Puoi rivedere e revocare le sessioni attive in qualsiasi momento dal tuo profilo.

Verifica dell'email. Le modifiche all'email richiedono la verifica del nuovo indirizzo prima di diventare effettive.

Sicurezza dell'Applicazione

HTTPS ovunque. TLS 1.3 per tutte le connessioni. Nessun fallback a HTTP.

Content Security Policy. Header CSP rigorosi che impediscono l'iniezione di script.

Rate limiting. Limiti di frequenza aggressivi che prevengono attacchi di forza bruta, abusi delle API e tentativi di DDoS.

Protezione CSRF. Ogni azione che modifica lo stato richiede un token CSRF aggiornato. Previene il cross-site request forgery.

Prevenzione dell'SQL injection. Query parametrizzate ovunque. Nessuna concatenazione di stringhe nelle operazioni sul database.

Prevenzione dell'XSS. L'input degli utenti viene sanificato a ogni punto di rendering. L'auto-escaping di React aiuta, ma non ci affidiamo solo a esso.

Sicurezza del Database

Crittografia a riposo. Supabase crittografa tutti i dati su disco.

Row-level security. Ogni utente vede solo i propri dati, con un controllo applicato a livello di database, non a livello applicativo. Anche se il codice della nostra app contenesse un bug, il database rifiuterebbe le query non autorizzate.

Audit logging. Ogni azione sensibile (operazione, prelievo, modifica della password, attivazione/disattivazione della MFA) viene registrata con timestamp e indirizzo IP.

Procedure di backup. Backup giornalieri crittografati con conservazione di 90 giorni. Disponibilità del ripristino point-in-time.

Sicurezza di Rete

Protezione DDoS Cloudflare. Il nostro livello edge assorbe gli attacchi di traffico.

Infrastruttura Vercel. Il traffico di produzione passa attraverso la rete rafforzata di Vercel.

Nessun accesso diretto al database. Il nostro database non è raggiungibile dalla rete internet pubblica. Solo la nostra applicazione può connettersi.

Rate limit delle API. Limiti per utente e per IP che prevengono abusi e scraping.

Cosa Possono Fare gli Utenti

Password forte + MFA: una password univoca generata da un password manager, più la MFA tramite app di autenticazione. Blocca il 99% degli attacchi.

Hardware wallet: per capitali importanti (>$1k), usa Ledger o Trezor. Anche se i nostri sistemi venissero compromessi, il wallet rifiuterebbe le firme non autorizzate.

Verifica gli URL: aggiungi predite.io direttamente ai segnalibri. I siti di phishing possono sembrare identici a quelli reali: non cliccare mai sui link di accesso ricevuti via email.

Limita le approvazioni: imposta tetti di spesa in USDC bassi. Riapprova quando necessario. Limita l'esposizione in caso di un qualsiasi singolo incidente di sicurezza.

Sii scettico: il supporto legittimo non ti chiederà mai seed phrase, password o codici 2FA. Chiunque te li chieda è un truffatore.

Cosa Succede in Caso di Violazione

Disponiamo di un processo documentato di risposta agli incidenti:

1. Rilevamento: il monitoraggio avvisa il nostro team entro pochi minuti da un'anomalia
2. Contenimento: ruotiamo le chiavi, revochiamo le sessioni, blocchiamo le attività sospette
3. Indagine: analisi forense completa con cronologia
4. Notifica: gli utenti coinvolti vengono avvisati entro 72 ore (requisito del GDPR)
5. Risoluzione: correggiamo la vulnerabilità, documentiamo la lezione appresa, la condividiamo pubblicamente
6. Ripristino: se necessario, ripristiniamo dai backup

Non abbiamo mai subito una violazione. Ma se mai dovesse accadere, la trasparenza viene prima della comodità.

Conformità

Privacy

Non vendiamo mai i dati degli utenti. Punto.

Segnalazione di Problemi di Sicurezza

Un programma di bug bounty è in fase di pianificazione. Attualmente è informale: le segnalazioni significative ricevono riconoscimento, credito e crediti sull'account/gadget.

Revisione di Sicurezza Indipendente

Attualmente comunichiamo le nostre dichiarazioni di sicurezza in modo onesto: diciamo "architettura SOC2-ready" e non "certificata SOC2" perché non abbiamo ancora completato l'audit. Molte piattaforme fanno affermazioni fuorvianti; noi no.

Documenti Correlati