Keselamatan di Taman Yieldholm dibina berlapis: kawalan pada akaun anda, penyulitan pada data, pemantauan pada aktiviti, dan pasukan yang bertindak apabila sesuatu tidak kena. Halaman ini menerangkan setiap lapisan itu secara terbuka, termasuk apa yang kami minta anda lakukan sebagai pengguna.
1. Pengesahan dua faktor (2FA/MFA)
Kami menyokong pengesahan dua faktor berasaskan masa sehala (TOTP) melalui aplikasi authenticator seperti Google Authenticator atau Authy, serta kod melalui e-mel sebagai pilihan sandaran. 2FA tidak wajib pada peringkat pendaftaran, tetapi kami menggesa setiap pengguna mengaktifkannya sebelum deposit pertama, dan antara muka menunjukkan status perlindungan akaun pada papan pemuka.
Urutan pemulihan: jika telefon anda hilang, log masuk dengan kata laluan, minta kod sandaran e-mel, kemudian terbitkan semula rahsia 2FA baharu dan basmi yang lama. Kod sandaran sekali guna juga disediakan semasa penukaran; simpan di tempat selamat luar talian, bukan dalam tangkapan skrin pada telefon yang sama.
2. Penyulitan data
Data peribadi disulitkan semasa disimpan (at rest) menggunakan AES-256 pada sistem simpanan utama, dan setiap sambungan antara pelayar anda dan platform dilindungi TLS sepanjang perjalanan (in transit). Sistem yang mengendalikan pengesahan identiti KYC, sejarah urus niaga dan rekod pembayaran masing-masing mempunyai kekunci penyulitan berasingan, supaya akses kepada satu sistem tidak mendedahkan keseluruhan profil anda.
Kawasan aplikasi: pangkalan data pengguna, storan dokumen KYC, log audit dan antara muka pembayaran merupakan empat kawasan berasingan dengan kawalan akses tersendiri. Kakitangan hanya diberikan akses mengikut peranan, dan setiap akses direkodkan.
3. Perlindungan daripada penipuan dan pancingan data
Domain rasmi kami ialah taman-yieldholm.org dan mana-mana subdomainnya. Kami tidak pernah meminta kata laluan, kod 2FA atau nombor kad penuh melalui e-mel, telefon atau sembang. Setiap e-mel transaksi rasmi membawa kod rujukan kes yang boleh anda semak semula dalam akaun anda; jika e-mel tidak memaparkan kod tersebut, ia bukan daripada kami.
Langkah berjaga-jaga: taip alamat platform secara manual atau guna penanda buku yang anda cipta sendiri, waspadai laman dengan ejaan hampir sama, dan siasat sebarang tuntutan "keuntungan terjamin" di halaman Amaran penipuan. Laksanakan pemindahan hanya selepas mengesahkan penerima dalam akaun anda.
4. Pemberitahuan log masuk
Setiap log masuk baharu daripada peranti atau pelayar yang tidak dikenali memicu e-mel pemberitahuan dengan masa anggaran, jenis peranti dan anggaran lokasi rangkaian. Jika aktiviti itu bukan anda, satu pautan dalam e-mel tersebut terus membuka halaman sesi untuk menamatkan akses serta menukar kata laluan.
Aktiviti luar biasa seperti penukaran alamat pengeluaran, pengaktifan kunci API baharu atau percubaan gagal berulang juga menghasilkan amaran. Kami lebih rela mengganggu anda dengan pemberitahuan berbanding membiarkan peristiwa penting berlalu senyap.
5. Pengurusan peranti dan sesi
Halaman sesi aktif menyenaraikan setiap peranti dengan waktu log masuk terakhir, dan anda boleh menamatkan mana-mana sesi secara individu atau semua sekaligus. Sesi web ditamatkan secara automatik selepas tempoh tidak aktif, dan log masuk semula memerlukan kata laluan penuh tanpa mengira berapa lama anda pernah aktif sebelum itu.
Selepas sebarang pengeluaran atau perubahan tetapan keselamatan, sesi pada peranti lain direset secara berperingkat sebagai langkah berjaga-jaga. Semak senarai sesi anda sekurang-kurangnya sekali sebulan; ia mengambil masa kurang daripada satu minit.
6. Pemulihan akaun
Pemulihan bermula dengan pengesahan identiti: e-mel berdaftar, tarikh lahir pada fail, dan pengesahan dokumen melalui proses KYC ringkas. Kami sengaja menjadikan pemulihan lebih lambat daripada log masuk biasa, kerana kelajuan dalam proses ini memihak kepada penjenayah, bukan kepada anda.
Had semasa pemulihan: pengeluaran dan perubahan alamat pembayaran disekat sehingga proses selesai. Sambungi kami melalui e-mel rasmi [email protected]; pasukan bekerja Isnin hingga Jumaat, 9:00–18:00 MYT (kecuali cuti umum) dan biasanya membalas biasanya kurang daripada satu jam bekerja.
7. Hak kunci API
Kunci API yang menghubungkan platform kepada bursa boleh diberikan tiga tahap kebenaran: baca sahaja (memeriksa baki dan harga), perdagangan (menghantar arahan beli jual) dan pengeluaran (memindahkan dana keluar). Kami mengesyorkan kebenaran baca dan perdagangan sahaja untuk penggunaan biasa, dengan had jumlah harian yang rendah pada peringkat awal.
Kunci pengeluaran, jika benar-benar diperlukan, wajib dilindungi senarai alamat dibenarkan (whitelist) yang dikunci beberapa jam selepas ditetapkan. Semua kunci boleh dimatikan serta-merta dari halaman tetapan, dan penukaran kebenaran memerlukan pengesahan 2FA.
8. Sejarah audit
Rekod audit menyimpan log masuk (berjaya dan gagal), sambungan API, penukaran strategi dan setiap perubahan tetapan keselamatan, lengkap dengan cap masa dan pengenal peranti. Rekod ini tidak boleh disunting oleh sesiapa, termasuk pasukan kami, dan disimpan berasingan daripada sistem operasi harian.
Gunakan sejarah ini untuk mengesahkan tindakan anda sendiri: jika laporan bulanan anda menunjukkan urus niaga yang anda tidak ingat, bandingkan dengan log audit sebelum membuat kesimpulan. Ketelusan dua hala hanya berfungsi jika kedua-dua pihak membaca rekod yang sama.
9. Sokongan ketika insiden
Jika anda mengesyaki akaun diceroboh, hubungi [email protected] dengan subjek "INSIDEN" dan pasukan akan mengunci akaun sementara dalam masa bekerja yang sama, membekukan permintaan pengeluaran yang belum diproses, dan memulakan siasatan bersama anda.
Urutan komunikasi: pengesahan penerimaan dalam satu jam bekerja, kemas kini pertama sebelum tamat hari bekerja, kemudian kemas kini berkala sehingga penyelesaian. Jika diperlukan, kes dipindahkan kepada jabatan Sokongan Pelanggan & Pematuhan dengan laporan bertulis. Untuk aduan umum yang bukan insiden keselamatan, prosesnya di halaman Aduan.
Keselamatan ialah kerja berterusan, bukan ciri sekali pasang. Ujian penembusan dan kemas kini pencegahan dijalankan secara berkala, dan halaman ini dikemas kini apabila kawalan baharu diperkenalkan.