Segurança
Esta página explica, ponto por ponto, como a Alvora Possência protege sua conta, seus dados e seu dinheiro. Leia com atenção: a maior parte das medidas depende de uma parceria entre a plataforma e você.
1. Verificação em duas etapas (2FA/MFA)
A plataforma suporta a verificação em duas etapas por aplicativo autenticador e por código enviado ao seu e-mail cadastrado. Recomendamos o aplicativo autenticador: o código muda a cada trinta segundos e não depende de rede celular. A ativação é facultativa, mas recomendada para todos os perfis, e pode ser ligada em poucos toques nas configurações da conta. Com o segundo fator ativo, a senha sozinha não dá acesso a ninguém.
Se você perder o aparelho com o gerador de códigos, a recuperação passa por uma verificação de identidade com o time de suporte, que desativa o 2FA antigo e permite o cadastro de um novo. Enquanto a checagem acontece, as funções de saque ficam temporariamente bloqueadas por precaução. Os códigos de backup gerados na ativação também resolvem o imprevisto na hora, sem espera.
2. Criptografia de dados
Todos os dados trafegam criptografados em trânsito com TLS, e as informações sensíveis de cadastro e documentos ficam criptografadas em repouso nos servidores da plataforma. O acesso interno a esses registros é restrito por função: apenas equipes de conformidade e suporte, com necessidade específica, conseguem visualizar.
A criptografia cobre os sistemas responsáveis por cadastro, verificação de identidade, registro de operações e histórico de solicitações de saque. Chaves de acesso de corretoras conectadas, quando utilizadas, são armazenadas de forma cifrada e nunca reaparecem em tela integral depois de salvas.
3. Proteção contra fraude e phishing
O domínio oficial da plataforma é o único canal de acesso legítimo, e qualquer comunicação nossa sai desse domínio ou do e-mail oficial de suporte. Mensagens que pedem senha, código 2FA ou transferência "por segurança" não partem da Alvora Possência em hipótese alguma: desconfie na hora.
Para dificultar ataques, as notificações da conta carregam um código de segurança pessoal que você configura uma única vez. Se uma mensagem citar seu nome mas não souber o código, ou se o link apontar para um endereço diferente do oficial, trate como tentativa de golpe e avise nosso time imediatamente.
4. Notificações de acesso
Cada novo acesso a partir de um aparelho ou navegador não reconhecido gera um aviso por e-mail na hora, informando aparelho, localização aproximada e horário. Esse mesmo canal avisa sobre alteração de senha, troca de e-mail e pedidos de saque, os três eventos que mais merecem sua atenção.
Se receber um aviso de atividade que não foi você, entre na conta, troque a senha, revise as sessões abertas e fale com o suporte. Quanto antes a equipe bloqueia uma sessão suspeita, menor a chance de prejuízo.
5. Dispositivos e sessões
No painel da conta você vê a lista de sessões ativas, com aparelho, navegador e última atividade, e pode encerrar qualquer uma delas individualmente ou todas de uma vez. Sessões inativas são encerradas automaticamente após um período sem interação, o que reduz a janela de oportunidade de quem por acaso tenha acesso ao seu aparelho.
Em caso de perda ou roubo do celular ou computador, encerre as sessões por outro aparelho e altere a senha em seguida. Vale também avisar o suporte para reforçar a vigilância da conta durante alguns dias.
6. Recuperação de conta
Esqueceu a senha? O fluxo de recuperação envia um link temporário para o e-mail cadastrado, com validade curta e uso único. Se o e-mail também estiver inacessível, a retomada do acesso exige verificação de identidade com documento, para garantir que a conta volta às mãos do dono de verdade.
Por segurança, após uma recuperação completa as funções de saque permanecem pausadas por 24 horas e as estratégias ativas seguem operando com os parâmetros vigentes. Essa pausa existe para impedir que um invasor use a recuperação como atalho para esvaziar a conta.
7. Permissões de chave de API
Quando uma conexão com corretora é necessária, a plataforma trabalha com o princípio do privilégio mínimo: a chave precisa permitir leitura de dados e execução de operações, e a permissão de saque fica desativada sempre que não for indispensável. Restrinja também a chave aos endereços IP informados pelo sistema.
Revise periodicamente as chaves ativas no painel e revogue imediatamente qualquer uma que você não reconheça. Se suspeitar que uma chave vazou, remova-a na origem e avise o suporte: é melhor reconectar tudo do zero do que manter uma porta entreaberta.
8. Histórico de auditoria
A plataforma registra com data e hora os acessos à conta, as conexões de integração, as alterações de estratégia e as mudanças de configuração relevantes. Esse histórico fica disponível para você no painel e serve como fonte da verdade em qualquer divergência.
Na prática, isso significa que dá para saber exatamente quando uma estratégia foi pausada, quem acessou a conta de qual aparelho e qual configuração mudou antes de um resultado atípico. Sem memória de auditoria, qualquer investigação viraria achismo.
9. Suporte em incidentes
Suspeita de acesso indevido, transação estranha ou mensagem suspeita em nome da marca? Escreva para [email protected] ou peça ajuda ao seu gerente pessoal. Em casos confirmados de risco, a conta pode ser bloqueada preventivamente pela equipe enquanto a verificação corre, inclusive a pedido seu.
O atendimento segue uma ordem clara: confirmação da identidade do titular, congelamento temporário das funções sensíveis, investigação com base no histórico de auditoria e devolutiva por escrito. Você é informado em cada etapa e a conta só é reaberta quando o risco deixa de existir.
Segurança é trabalho em dupla
A plataforma cuida da infraestrutura, da criptografia e do monitoramento, mas três atitudes dependem só de você: usar uma senha única e forte, ativar a verificação em duas etapas e desconfiar de mensagens que pedem dados ou pressa. Combinando as duas frentes, sua conta fica muito mais difícil de ser comprometida.
Do lado da empresa, a regra é responder rápido quando algo escapa: alertas de acesso incomum chegam ao usuário na hora, incidentes confirmados entram em protocolo com prioridade, e toda comunicação de segurança sai apenas pelos canais oficiais. Do seu lado, cinco minutos de configuração no primeiro dia resolvem o que ainda é responsabilidade pessoal.
Para saber como protegemos seu dinheiro nas operações, leia também a página de inteligência artificial e, para os procedimentos de verificação de identidade, a política AML / KYC. Denúncias de mensagens suspeitas em nome da marca têm página própria no alerta contra fraudes.