Datele tale, dispozitivul tău, treaba ta
Fără parole pe serverele noastre, intenționat
Nu stocăm parole. Punct. Intri în cont prin Google OAuth sau prin verificare cu cod OTP pe email, așa că contul tău nu are parolă. Singura parolă e parola de criptare a fiecărui workspace, iar ea nu părăsește niciodată dispozitivul tău.
Criptarea se face automat la nivel de workspace. Când creezi un workspace, cheile lui de criptare sunt generate pe dispozitivul tău și ajung la serverele noastre doar încuiate, într-o formă pe care nu o putem deschide.Cum tratăm informațiile tale
Totul rămâne local
Ideea noastră radicală: datele tale nu ies niciodată de sub controlul tău. Pentru comoditate, sincronizăm automat copii criptate între dispozitivele tale, iar datele sunt criptate înainte să plece de pe dispozitivul tău. Serverele noastre văd datele din portofoliu și portofel doar ca blocuri de date criptate, pe care nu le pot citi. Vezi cum instalezi Turbobulls pe desktop și pe mobil ca să-l ai pe fiecare dintre aceste dispozitive.Workspace-urile sunt criptate implicit
Când creezi un workspace, îi setezi o parolă de criptare doar pentru el. Dispozitivul tău generează aleatoriu cheile workspace-ului, apoi derivă din această parolă o cheie separată, cu metode criptografice (PBKDF2-SHA-256), și încuie cheile cu ea.
Parola workspace-ului nu e stocată nicăieri, nici pe dispozitivul tău, nici pe serverele noastre, și nu ne e trimisă niciodată. Nici cheia derivată din ea nu părăsește dispozitivul tău. Pe serverele noastre rămân doar cheile încuiate, pe care numai parola ta sau cheia de recuperare le pot deschide.
Cum lucrează cheile împreună: Când creezi un workspace, dispozitivul tău generează o pereche de chei RSA-OAEP (2048 de biți) și o cheie de date aleatorie, de 256 de biți. Cheia de date criptează și decriptează datele propriu-zise ale workspace-ului cu AES-256-GCM, cu o valoare aleatorie nouă pentru fiecare înregistrare. Ea e stocată doar criptată cu cheia publică a workspace-ului. Cheia privată care o deschide e stocată doar criptată cu cheia derivată din parola ta, iar o a doua copie e criptată cu cheia de recuperare.
Când schimbi parola, aceeași cheie de date e încuiată din nou sub parola nouă și primești o cheie de recuperare nouă, așa că datele tale nu trebuie criptate din nou.
Cheile de criptare sunt generate pe dispozitivul tău când creezi un workspace. Ajung la serverele noastre doar încuiate, iar parola și cheia de recuperare care le deschid nu sunt transmise niciodată. Pentru comoditate, cheia derivată din parolă e păstrată în cache în browserul tău, ca dispozitivul să nu-ți ceară parola la fiecare vizită, dar nu poate fi exportată; aplicația o poate folosi ca să-ți deblocheze datele, dar pur și simplu nu poate extrage sau citi cheia în sine. La deconectare, e ștearsă.
Folosim Web Crypto API pentru toate operațiile de criptare și pentru generarea numerelor aleatoare.
Garanții de securitate
Breșe în baza de date: Datele criptate din baza noastră de date sunt ilizibile fără parola workspace-ului sau cheia lui de recuperare. Criptarea AES-GCM, cu cheile încuiate sub o cheie derivată prin PBKDF2, ține datele în siguranță chiar dacă accesul la baza de date e compromis.
Decriptare neautorizată: Cheia ta privată e criptată cu chei derivate din parola workspace-ului și din cheia de recuperare. Fără una dintre ele, decriptarea e imposibilă din punct de vedere computațional.
Extragerea cheilor: Cheia păstrată de browser e stocată ca neexportabilă în Web Crypto API al browserului. Poate face operații criptografice, dar nu poate fi citită, copiată sau transmisă.
Acces de pe server: Datele din portofoliu și portofel sunt criptate pe partea de client înainte de sincronizare. Serverele noastre le stochează doar ca blocuri de date criptate, cu cheile încuiate, și nu au niciodată nimic care să le deschidă.
Atacuri asupra lanțului de aprovizionare - cineva ne înlocuiește codul cu versiuni rău intenționate
Modificarea directă a bazei de date - scrieri sau ștergeri neautorizate
Detectarea tiparelor de activitate - vedem când au loc operațiile și de ce tip sunt, dar nu și conținutul lor
Diferența: criptat vs. criptat end-to-end
Vei vedea alte aplicații de portofoliu care susțin că „datele tale sunt criptate” sau că au „securitate de nivel bancar”. Hai să explicăm de ce asta nu e același lucru cu ce facem noi.„Criptat” nu înseamnă privat
Criptat în tranzit și în repaus înseamnă:
- Datele sunt criptate cât timp circulă între dispozitivul tău și serverele lor (HTTPS)
- Datele sunt criptate cât timp stau stocate în baza lor de date (criptare în repaus)
Dar uite unde e problema: Ei dețin cheile de criptare. Îți pot decripta datele oricând. Când te uiți la dashboardul portofoliului, la grafice sau la analize - serverele lor îți citesc datele necriptate ca să genereze aceste funcționalități.
„Criptat” înseamnă doar că datele sunt protejate de hackerii din afară sau în cazul în care cineva le fură hard diskurile. Nu te protejează de faptul că ei îți văd datele.
Criptarea end-to-end e altceva
Doar tu poți descuia cheile. Datele tale sunt criptate pe dispozitivul tău, iar cheile care le deschid sunt încuiate cu parola workspace-ului. Noi nu vedem niciodată acea parolă, iar acele chei le avem doar încuiate.
Serverele noastre văd blocuri de date criptate. Când datele tale se sincronizează, noi stocăm un șir de caractere fără sens. Nu-l putem decripta, nu putem rula analize pe el, nu îți putem vedea pozițiile sau valorile, nici dacă am vrea.
Nicio procesare pe server. Nu putem oferi funcționalități care cer citirea datelor din portofoliul tău (recomandări AI, analize pe server), pentru că pur și simplu nu avem acces la ele.
Ce pleacă, de fapt, de pe dispozitivul tău
Când Turbobulls sincronizează, o tranzacție salvată circulă ca un pachet criptat: textul criptat plus vectorul de inițializare necesar ca să fie decriptat cu o cheie pe care doar dispozitivul tău o poate descuia. Sumele, tickerele și notele pe care le-ai introdus sunt în interiorul acelui text criptat, nu lângă el.
{
"amount": 1234.56,
"ticker": "AAPL",
"note": "monthly dca",
"date": "2026-07-27"
}{
"action": "transaction added",
"encrypted": "k3JhbmRvbS1sb29raW5nIGJhc2U2...",
"iv": "9tK2fQ7xW1pL4mNz",
"created_at": "2026-07-27T14:22:31Z"
}Diferența de structură: cererea unui tracker care lucrează pe server îți poartă cifrele într-o formă lizibilă, pentru că serverul lui trebuie să le citească ca să-și facă treaba. Cererea Turbobulls nu le poate purta într-o formă lizibilă, pentru că criptarea a avut deja loc pe dispozitivul tău. Când datele ajung, serverul nu are ce citi.
De ce nu fac asta alte aplicații
O criptare E2EE adevărată e mai greu de construit și limitează funcționalitățile. Majoritatea aplicațiilor de portofoliu au nevoie să-ți vadă datele ca să:
- genereze analize de portofoliu pe serverele lor
- ofere recomandări bazate pe AI
- creeze rapoarte de performanță
- îți arate dashboarduri fără procesare grea pe partea de client
Primești aceleași funcționalități, doar că procesate local, nu pe serverele noastre.
Dacă o aplicație susține amândouă lucrurile:
- „Datele tale sunt complet criptate și private”
- ȘI „Oferim analize și recomandări de portofoliu cu AI”
Una dintre afirmații e probabil înșelătoare. Analiza AI pe server presupune citirea datelor tale necriptate.
Iată de ce ne pasă: ne gestionăm propriile portofolii în aplicația asta. Fiecare decizie de securitate ne protejează banii la fel de mult ca pe ai tăi. Interesul propriu e un motivator puternic pentru o securitate bună.
Întrebări? Am construit acest sistem pentru că și noi suntem utilizatori. Confidențialitatea ta nu e o funcționalitate, e fundația. Scrie-ne
Primește-le pe email
Înțelege mai bine indicatorii financiari și învață să-ți evaluezi investițiile prin explicații clare și exemple practice. Primești newsletterul direct în inbox, în engleză. Te poți dezabona oricând, cu un singur click.
Citește mai departe
De ce contează criptarea end-to-end pentru datele tale financiare
Majoritatea trackerelor de portofoliu îți pot vedea deținerile, soldurile și tranzacțiile. Iată de ce e o problemă și cum arată criptarea end-to-end adevărată.
Importă active personalizate dintr-un fișier CSV sau Excel
Adaugă multe active personalizate deodată: câte unul pe fiecare rând dintr-un fișier CSV sau Excel, o verificare a ce se adaugă, apoi un singur import. Gratuit, în limitele planului tău.
Prețuri pentru activele personalizate de la propriul furnizor de date
Leagă un activ personalizat de EODHD, Twelve Data, Alpha Vantage, Finnhub sau de un feed al tău cu Turbobulls Connector, gratuit, ca prețurile lui să se țină singure la zi. Cheia API rămâne pe dispozitivul tău.