Segurança da plataforma e da sua conta
Proteger o dinheiro e os dados dos usuários é uma função permanente da plataforma, não um recurso opcional. Esta página explica, ponto por ponto, como a AGF Capital protege contas, conexões e informações, e o que você pode configurar hoje mesmo para elevar o nível de segurança do seu acesso.
1. Verificação em duas etapas (2FA/MFA)
A conta da AGF Capital suporta verificação em duas etapas por aplicativo autenticador (Google Authenticator, Microsoft Authenticator, Authy e compatíveis), que gera um código de seis dígitos válido por trinta segundos. Recomendamos a ativação para todos os usuários: com o segundo fator ativo, apenas conhecer a senha não é suficiente para entrar na conta.
A configuração leva cerca de dois minutos e é feita na área de segurança do painel. Ao ativar, você recebe um conjunto de códigos de recuperação de uso único, que devem ser guardados em local seguro, longe do celular: são a forma de reaver o acesso se você trocar de aparelho ou perder o autenticador. A recuperação com esses códigos exige verificação de identidade com o suporte, para impedir que um invasor com o e-mail em mãos desative a proteção.
2. Criptografia de dados
Todo o tráfego entre seu dispositivo e a plataforma é criptografado com TLS nas versões modernas, o mesmo padrão usado por bancos: dados em trânsito, como senha, código 2FA e instruções de saque, não trafegam em texto aberto. Em repouso, informações sensíveis de cadastro e documentos de verificação são armazenadas criptografadas nos sistemas de dados da empresa, com chaves gerenciadas e rotação periódica.
O acesso interno a esses dados segue o princípio do menor privilégio: apenas sistemas e funções específicas (como a equipe de compliance durante a verificação de identidade) conseguem ler cada tipo de informação, e toda consulta é registrada.
3. Proteção contra fraude e phishing
A AGF Capital comunica-se com os usuários apenas pelos canais oficiais: o domínio agf-capital.org, o e-mail [email protected] e o telefone do gerente pessoal apresentado na área logada. Em mensagens que enviam códigos e alertas, usamos um padrão fixo de texto e nunca pedimos senha, código 2FA ou chave Pix por telefone, mensagem ou e-mail.
Antes de clicar em qualquer link que diz ser nosso, confira o endereço completo no navegador: golpistas usam domínios parecidos com uma letra trocada. Se receber uma cobrança ou promoção suspeita em nome da empresa, não responda e encaminhe para o nosso e-mail: analisamos e, quando possível, provocamos a derrubada do domínio falso. A página de Aviso sobre golpes detalha os sinais mais comuns.
4. Notificações de login e atividade
Cada login de dispositivo novo gera um e-mail imediato informando local aproximado, horário e aparelho usado. Operações sensíveis, como alteração de senha, troca de telefone, criação de chave de API e solicitação de saque, também disparam aviso. Se você receber uma notificação de algo que não fez, trate como sinal de invasão: mude a senha e acione o suporte na mesma hora.
A detecção de comportamento suspeito, como tentativas de acesso de país diferente do habitual em curto intervalo, bloqueia temporariamente a entrada até confirmação por e-mail, funcionalidade que dificulta o uso de credenciais roubadas.
5. Dispositivos e sessões ativas
No painel de segurança você vê todas as sessões ativas da conta: navegador, tipo de dispositivo, endereço IP e data do último acesso. É possível encerrar qualquer sessão a distância com um clique, útil quando você esquece o login aberto em um computador compartilhado ou perde o celular. Ao trocar de aparelho, encerre as sessões antigas por precaução.
Sessões expiram automaticamente após um período de inatividade configurável, e o encerramento é imediato em caso de troca de senha. Para dispositivos confiáveis, existe a opção de manter a sessão por mais tempo, mas recomendamos o prazo padrão em computadores de uso coletivo.
6. Recuperação de conta
Perdeu o acesso ao e-mail ou ao telefone cadastrado? A recuperação passa sempre por verificação de identidade com a equipe de suporte, com confirmação de dados do cadastro e do documento enviado na verificação KYC. O processo existe para impedir que alguém se passe por você e assuma a conta.
Durante a recuperação, funções sensíveis ficam temporariamente restritas: saques e alteração de dados de pagamento são liberados somente após a confirmação completa da identidade. Esse desconforto de alguns dias é proposital e protege o saldo. Nunca aceite "atalhos" oferecidos por terceiros que dizem agilizar a recuperação: eles não existem e são o caminho clássico do golpe de suporte falso.
7. Permissões de chave de API
| Permissão | O que permite | Recomendação |
|---|---|---|
| Leitura | Consultar saldo, posições e histórico | Necessária para os relatórios da plataforma |
| Negociação | Enviar e encerrar ordens pelos pares liberados | Ative apenas nos pares que a estratégia usa |
| Saque | Iniciar retirada de valores | Mantenha desativada; saques pelo painel com confirmação dupla |
Crie chaves somente dentro da plataforma, dê a cada uma um nome claro e revise a lista periodicamente, revogando o que não usa. Chave de API é dinheiro: quem a tiver executa o que ela permite.
8. Histórico de auditoria
Toda ação relevante da conta fica registrada com data, hora e dispositivo: logins e tentativas recusadas, conexões de integração, alterações de estratégia e limites de risco, trocas de dados de contato e solicitações de saque. Esse histórico está disponível para você no painel e serve como fonte de verdade em qualquer divergência.
O mesmo registro interno apoia as investigações do time de segurança e as respostas a incidentes, permitindo reconstruir a linha do tempo de um evento e reverter configurações não autorizadas rapidamente.
9. Suporte em incidentes de segurança
Se você desconfia de acesso indevido, recebeu cobrança estranha em nome da empresa ou notou operação que não reconhece, acesse a área de segurança, encerre as sessões ativas, troque a senha e escreva imediatamente para [email protected]. A primeira resposta chega em menos de uma hora útil, e casos de segurança têm prioridade na fila: a conta pode ser bloqueada preventivamente pelo próprio suporte enquanto a verificação corre.
O protocolo de incidentes segue uma ordem fixa: conter (bloquear acesso e operações), investigar (linha do tempo com o histórico de auditoria), comunicar (você é informado do que aconteceu e do que foi feito) e corrigir (restauração de configurações e, quando aplicável, medidas contra os responsáveis). Em eventos que afetem vários usuários, a comunicação é feita por e-mail oficial com descrição clara do ocorrido e dos passos recomendados.
Lembre-se: o suporte da AGF Capital nunca pede sua senha, seu código 2FA ou acesso remoto ao seu dispositivo. Quem pedir é golpe.