Segurança

1. Verificação em duas etapas (2FA/MFA)

A plataforma aceita aplicativos autenticadores (TOTP), como Google Authenticator e Microsoft Authenticator, e códigos enviados por e-mail. Recomendamos o aplicativo autenticador: o código gerado fica no seu aparelho e não depende de rede nem de caixa de entrada, o que também protege você caso o e-mail seja invadido. A 2FA não é obrigativa para navegar, mas é exigida para operações sensíveis, como configurar saques, alterar dados de pagamento e conectar uma nova corretora. Sem o segundo fator, a senha sozinha não abre a conta, o que bloqueia a maioria das tentativas de invasão por senha vazada em vazamentos de outros sites.

Recuperação: ao ativar a 2FA, guarde o código de backup em local seguro. Se trocar de celular sem migrar o aplicativo autenticador, o acesso é restaurado após verificação de identidade com o suporte, que inclui a confirmação de dados do cadastro e um período de espera de segurança de 24 horas. Esse prazo existe para impedir que alguém se passe por você em um momento de urgência.

2. Criptografia

Todos os dados trafegam por HTTPS com TLS, e os dados sensíveis em repouso, como documentos de identidade e informações de pagamento, são criptografados no armazenamento. As chaves de criptografia ficam em sistemas segregados, com acesso restrito por função: um atendente que resolve dúvidas de cadastro não vê seus documentos, e a equipe de conformidade que os verifica não vê sua senha, que nem existe em formato legível, pois guardamos apenas um resumo criptográfico dela.

Essas medidas valem para os sistemas da plataforma e são revisadas periodicamente. O mesmo padrão é exigido dos provedores terceiros com quem trocamos dados, por contrato, incluindo os serviços de verificação de identidade usados no cadastro.

3. Proteção contra fraudes e phishing

Comunicação oficial sai apenas do domínio valiafirme.org e do e-mail [email protected]. Desconfie de mensagens que peçam senha, código de verificação, chave Pix ou pagamento de "taxa de liberação": a Valiafirme nunca faz esse tipo de pedido por telefone, e-mail ou mensagem. Nas comunicações, incluímos um código de segurança pessoal que você confere no painel; se a mensagem não trouxer seu código, não é nossa.

Se receber uma suspeita, não clique em links: digite o endereço do site manualmente e nos encaminhe a mensagem para verificarmos e alertarmos outros usuários.

4. Avisos de login

Cada acesso novo, de um dispositivo ou navegador desconhecido, gera um aviso por e-mail com data, hora aproximada e localização estimada. Avisos de atividade suspeita, como várias tentativas de senha incorretas ou login de um país diferente do habitual, também são enviados e podem exigir a confirmação do segundo fator antes de prosseguir. Se você reconhecer o acesso, ignore o aviso; se não reconhecer, o próprio e-mail traz o botão de encerrar aquela sessão imediatamente. Vale conferir os avisos com calma: um login às 3h da manhã "vindo de outro estado" costuma ser apenas a rede móvel registrando longe da sua cidade, mas dois avisos no mesmo minuto já são motivo para trocar a senha.

5. Dispositivos e sessões

No painel, a área de segurança lista as sessões ativas: aparelho, navegador, endereço de IP e hora do último movimento. Você pode encerrar qualquer sessão individualmente ou todas de uma vez, o que é útil quando perde o celular ou usa um computador público por engano. Sessões ficam válidas por 30 dias de inatividade e expiram automaticamente depois disso; após três tentativas de senha incorretas, a conta é bloqueada por 15 minutos para dificultar ataques de força bruta. Ao encerrar sessões, os aparelhos lembrados perdem o login e precisam se autenticar de novo, com o segundo fator.

6. Recuperação de conta

A recuperação de acesso começa sempre pela verificação de identidade: dados do cadastro, confirmação do e-mail e, quando necessário, novo envio de documento com foto. Isso protege você de alguém tentando "recuperar" a sua conta em nome próprio. Enquanto a verificação estiver em andamento, saques e alterações de dados de pagamento ficam suspensos, para que um invasor não consiga extrair fundos durante a janela de confusão. O processo é feito pelo suporte, Equipe de Atendimento e Conformidade, e nunca por links enviados em mensagens não solicitadas. Guarde o protocolo do atendimento para acompanhar o andamento.

7. Permissões de chaves de API

As chaves de API conectadas à sua conta trabalham com permissões separadas: leitura (consultar saldos e preços), negociação (executar ordens) e saque (mover fundos para fora). A recomendação da plataforma é conceder leitura e negociação e manter a permissão de saque desativada, ativando-a apenas no momento de uma transferência específica. Cada chave também pode ser limitada por endereço de IP, o que impede o uso a partir de máquinas desconhecidas. Revogue no painel qualquer chave que não reconheça: cada chave mostra a data de criação e o último uso, o que facilita a auditoria. Chaves antigas, de serviços que você deixou de usar, devem ser removidas em vez de ficarem guardadas.

8. Histórico de auditoria

A plataforma registra logins, endereços de IP, dispositivos, conexões de corretoras, alterações de estratégia e mudanças de configuração de segurança. Esse histórico fica disponível para você no painel e serve para responder perguntas simples: quem entrou, quando, o que mudou. Os mesmos registros alimentam os alertas de atividade suspeita e as análises de incidentes. Se notar uma entrada que não foi sua, encerre a sessão, troque a senha e abra um chamado com o suporte, que congela os saques da conta durante a apuração.

9. Suporte em incidentes

Suspeita de acesso indevido deve ser reportada imediatamente a [email protected] ou pelo formulário de contato. Ao receber o relato, a equipe bloqueia saques e alterações sensíveis, preserva os registros de auditoria e responde com os próximos passos, normalmente dentro de uma hora útil no horário de atendimento. Em casos confirmados de comprometimento, a conta é congelada até a recuperação completa do controle pelo titular, com nova verificação de identidade e troca de credenciais. Nenhuma etapa desse fluxo acontece por telefone com pedido de senhas ou códigos.