020-security

🔴 SEGURIDAD — TRADING TERMINAL

ESTAS REGLAS PROTEGEN DINERO REAL. NO NEGOCIABLES.

---

🔑 GESTIÓN DE SECRETOS — REGLA #1

JAMÁS en el código fuente:

# ❌ CRÍTICO — NUNCA HACER ESTO
BINANCE_API_KEY = "abc123xyz..."
db_password = "mi_password_secreta"
JWT_SECRET = "supersecret"

# ✅ SIEMPRE así
import os
from core.config import settings

BINANCE_API_KEY = settings.BINANCE_API_KEY  # Lee desde .env

Archivo .env — Template obligatorio:

# ============================================================
# TRADING TERMINAL — VARIABLES DE ENTORNO
# NUNCA commitear este archivo. Está en .gitignore.
# ============================================================

# Base de datos
DATABASE_URL=postgresql://trading_user:CAMBIAR_PASSWORD@localhost:5432/trading_db
REDIS_URL=redis://localhost:6379/0

# Autenticación JWT
SECRET_KEY=GENERAR_CON_openssl_rand_hex_32
JWT_ALGORITHM=HS256
JWT_EXPIRE_MINUTES=60

# APIs de Trading (dejar vacío, completar manualmente)
BINANCE_API_KEY=
BINANCE_API_SECRET=
MT5_LOGIN=
MT5_PASSWORD=
MT5_SERVER=

# Entorno
ENVIRONMENT=development
DEBUG=false
ALLOWED_ORIGINS=http://localhost:5173

.gitignore obligatorio:

# CRÍTICO — NUNCA commitear
.env
.env.local
.env.production
*.pem
*.key
secrets/

---

🛡️ AUTENTICACIÓN Y AUTORIZACIÓN

JWT Implementation:

# core/security.py

from datetime import datetime, timedelta
from jose import JWTError, jwt
from passlib.context import CryptContext
from core.config import settings

pwd_context = CryptContext(schemes=["bcrypt"], deprecated="auto")

def create_access_token(data: dict) -> str:
    """Crear JWT con expiración."""
    to_encode = data.copy()
    expire = datetime.utcnow() + timedelta(minutes=settings.JWT_EXPIRE_MINUTES)
    to_encode.update({
        "exp": expire,
        "iat": datetime.utcnow(),
        "type": "access"
    })
    return jwt.encode(to_encode, settings.SECRET_KEY, algorithm=settings.JWT_ALGORITHM)

def verify_token(token: str) -> dict:
    """Verificar JWT — lanza excepción si inválido."""
    try:
        payload = jwt.decode(token, settings.SECRET_KEY, algorithms=[settings.JWT_ALGORITHM])
        if payload.get("type") != "access":
            raise ValueError("Invalid token type")
        return payload
    except JWTError:
        raise UnauthorizedError("Token inválido o expirado")

def hash_password(password: str) -> str:
    return pwd_context.hash(password)

def verify_password(plain: str, hashed: str) -> bool:
    return pwd_context.verify(plain, hashed)