Segurança da plataforma

1. Verificação em duas etapas (2FA/MFA)

A conta da Quantera Ai aceita segunda etapa por aplicativo autenticador (TOTP) e por código enviado ao e-mail cadastrado. O método por aplicativo é o recomendado: o código é gerado no seu dispositivo e não depende de caixa de entrada. A segunda etapa é exigida no primeiro acesso de cada dispositivo novo e sempre que o sistema detecta um contexto de login diferente do habitual, como mudança de rede ou de país.

A ativação leva dois minutos nas configurações da conta: escaneie o código com o aplicativo, confirme o primeiro código gerado e salve as chaves de backup em um lugar seguro. Se você perder o dispositivo, a recuperação usa as chaves de backup ou o fluxo de verificação de identidade descrito na seção 6. Enquanto a 2FA não é configurada, a conta funciona, mas o sistema reforça o aviso a cada login, porque a grande maioria dos acessos indevidos em serviços digitais acontece em contas protegidas apenas por senha.

2. Criptografia de dados

Toda a comunicação entre o seu navegador e a plataforma viaja criptografada com TLS, o que impede a leitura do tráfego por terceiros na mesma rede, incluindo redes públicas. Em repouso, os dados sensíveis são criptografados por categoria: credenciais de acesso usam funções de derivação irreversíveis com salt individual, e documentos de identificação enviados na verificação ficam em armazenamento separado, com acesso restrito por papel de usuário interno e registro de cada consulta.

A área de aplicação é dividida por sistema responsável: o serviço de identidade cuida das credenciais, o serviço de documentos cuida dos arquivos de verificação e o serviço de movimentação cuida das ordens financeiras. Nenhum desses serviços expõe segredos ao navegador, e as chaves de criptografia são gerenciadas com rotação programada, sem pessoa da equipe com acesso irrestrito: cada acesso administrativo é nominal, justificado e registrado em trilha de auditoria.

3. Proteção contra fraude e phishing

A Quantera Ai se comunica exclusivamente pelos domínios oficiais quantera-ai.com e pelo endereço [email protected]. Mensagens que citam sorteios, promessas de lucro garantido, cobranças para "liberar saques" ou pedidos de senha são, por definição, fraude: a equipe jamais pede sua senha, códigos 2FA ou chave Pix de recebimento por telefone ou e-mail. Recomendamos digitar o endereço do site manualmente em vez de clicar em links de mensagens recebidas.

Para ajudar a distinguir mensagens reais de falsificações, os comunicados oficiais da conta incluem um código de verificação pessoal, composto pelas últimas quatro letras do e-mail cadastrado seguidas do número da sua conta de usuário. Se uma mensagem citar seu nome mas não souber reproduzir esse código, trate como tentativa de phishing, não clique em nada e encaminhe para a equipe pelo e-mail oficial. A página de Alerta contra fraudes descreve os casos mais comuns já identificados.

4. Notificações de login e atividade suspeita

Cada login em dispositivo novo gera um e-mail imediato com data, horário, localização aproximada e tipo de aparelho. Movimentações financeiras relevantes, alteração de senha, alteração do e-mail de contato e ativação de nova chave de API também geram notificação. O objetivo é simples: se não foi você, você fica sabendo em minutos, não semanas.

Além dos avisos individuais, o sistema monitora padrões de comportamento, como tentativas de senha repetidas, acessos simultâneos de países diferentes e ordens incompatíveis com o seu histórico de uso. Atividades classificadas como suspeitas podem gerar bloqueio temporário da operação e pedido de reconfirmação de identidade. Trata-se de uma proteção, não de um obstáculo: o desbloqueio é rápido quando o titular confirma a autenticidade dos acessos.

5. Gestão de dispositivos e sessões

No painel da conta, a seção de sessões ativas lista cada dispositivo conectado, com data do último acesso e possibilidade de encerrar qualquer sessão remotamente. Isso é útil quando você esquece o navegador logado em um computador compartilhado ou perde um celular. O encerramento é imediato e o dispositivo afetado precisa autenticar-se de novo, com segunda etapa incluída.

Sessões expiram automaticamente após período de inatividade, e o login simultâneo ilimitado é limitado a um número pequeno de dispositivos ativos por usuário. Ao trocar de aparelho definitivamente, revise a lista e remova os antigos. Também recomendamos sair da conta em dispositivos de terceiros e evitar salvar credenciais em navegadores de uso público, porque a combinação de senha salva com acesso físico é o caminho mais curto para um problema.

6. Recuperação de conta

Esquecer a senha é rotina; recuperar o acesso precisa ser seguro. O fluxo começa sempre pelo e-mail cadastrado, com link de uso único e validade curta. Se o e-mail também estiver inacessível, ou se o sistema detectar contexto de risco, a recuperação exige verificação de identidade: confirmação de dados do cadastro, documento oficial e, em alguns casos, breve verificação por imagem ao vivo. O processo é conduzido pela Equipe de Suporte e Conformidade pelo canal oficial.

Existem limites claros: a equipe não revela dados completos da conta por telefone, não aceita documentos de terceiros e não reativa contas com verificação pendente sem completar as checagens. Essas restrições existem para impedir que um impostor recupere a sua conta no seu lugar. O prazo médio de conclusão é de um dia útil após o envio da documentação completa, e você recebe confirmação por e-mail a cada etapa avançada.

7. Direitos das chaves de API

Para quem conecta a plataforma a serviços externos, cada chave de API nasce com escopo mínimo. Os escopos disponíveis são leitura (consultar cotações e relatórios), negociação (criar e encerrar ordens) e movimentação (solicitar saques). A recomendação padrão é conceder apenas leitura, liberar negociação somente quando necessário e manter movimentação desativada salvo necessidade específica, sempre com confirmação por segunda etapa no momento da liberação.

Toda chave pode ser revogada a qualquer momento, e a revogação é imediata. O painel mostra a data de criação, o último uso e o escopo de cada chave, além do histórico de alterações. Se uma chave vazar, por exemplo em um repositório público ou em um print de tela, revogue primeiro e investigue depois: uma chave inativa não causa dano. Chaves sem uso por longos períodos são desativadas automaticamente, e a reativação segue o mesmo fluxo de confirmação da criação.

8. Histórico de auditoria

Sua conta mantém um registro organizado dos eventos relevantes: logins realizados, tentativas recusadas, conexões de API, mudanças de estratégia, alterações de configuração, pedidos de saque e contatos com o suporte. Cada entrada mostra data, horário, dispositivo e endereço de rede. O histórico fica disponível para consulta no painel e pode ser exportado para conferência externa.

Esse registro serve a dois públicos. Para você, é a prova prática de que nada relevante acontece sem rastro: se uma ordem foi executada ou uma configuração mudou, o log mostra quando e de onde. Para a equipe, é a base das investigações internas, porque incidentes são analisados pela sequência completa de eventos, não por relatos isolados. Registros de auditoria são retidos pelo prazo definido na Política de Privacidade e não podem ser editados nem por administradores da plataforma.

9. Suporte em incidentes de segurança

Se você suspeitar de acesso não autorizado, transação desconhecida ou mensagem fraudulenta em nome da Quantera Ai, escreva imediatamente para [email protected] com o assunto "Segurança". O primeiro passo recomendado, se o acesso ainda estiver aberto, é trocar a senha e encerrar as demais sessões pelo painel; se o acesso estiver comprometido, o suporte executa o bloqueio preventivo da conta enquanto verifica a titularidade.

A ordem de comunicação em incidentes é fixa: confirmação de recebimento em até uma hora útil, bloqueio ou contenção da causa, investigação com base na trilha de auditoria e resposta final com o que aconteceu, o que foi feito e o que você precisa fazer. Casos com impacto financeiro passam por análise de conformidade antes da conclusão. Em nenhum momento o suporte pede senha, código de segunda etapa ou pagamento para "resolver" um incidente; qualquer cobrança desse tipo é fraude e deve ser tratada como alerta imediato.

Segurança é trabalho conjunto: a plataforma fornece os controles, e usá-los faz parte do investimento. Ative a 2FA hoje, revise suas sessões ativas e mantenha o e-mail da conta sempre acessível, porque é por ele que as proteções se comunicam com você.