アラート・共有・セキュリティ

プッシュや Webhook で届くジャーナルのアラートルール、プロップ口座のルール、取り消し可能な公開共有リンク、プライバシーモード、二要素認証によるサインイン。

アラートルール

アラートはあなた自身のサーバー上で評価されます — トレードの書き込みごとと、バックグラウンドのスキャンで — そして無料で届きます。設定 → ルール → Journal Alerts で構成し、マスタースイッチは Enable alerts です。

ルール	発火条件
Risk rule broken	決済済みトレードのリスクが 1 トレードの最大リスク（Risk Rules）を超えた
Daily loss limit	実現損益が日次最大損失を下回った（その後回復しても）
Consecutive losses	今日までに指定回数の連敗（既定 3）
Prop drawdown approaching	プロップ口座がドローダウン枠の指定割合（既定 80%）を使った。上限到達は常に通知
Unreviewed trades	N 日（既定 7）より古い決済済みトレードに執行グレードがないときの週次通知 — レビュー受信箱と同じトレードを数えます。モバイルでタップするとレビューキューが開きます
Weekly review	マーケットタイムゾーンの土曜 09:00、下書き済みのレビューノート付き

Timezone は日次ルールの「今日」がいつ切り替わるかを決めます。各イベントは 1 回だけ届きます（日次の違反は 1 日 1 回、未レビュー通知は週 1 回）。Recent Alerts にサーバーが送った履歴が並びます。

モバイルの設定 → トレードとジャーナル → アラート には同じルールのトグルと このデバイスにプッシュ があります。しきい値・タイムゾーン・Webhook は Web で編集します。

チャネル

Alert Channels に通知先が並びます:

Mobile push — iOS / Android アプリでサインインすると自動で登録されます（Expo プッシュ）。
Webhook — Add webhook で http(s) の URL と任意のラベルを指定。JSON は Discord・Slack・ntfy でそのまま表示されます。

各チャネルには Test ボタンがあり、直近の配信エラーも表示されます。プライベート／LAN アドレス宛ての Webhook は TM_ALERTS_ALLOW_PRIVATE_WEBHOOKS=true にしない限りブロックされます。スキャン間隔は TM_JOB_ALERTS_INTERVAL_MIN です — 設定を参照。

アカウントの種類を Prop にし（設定 → アカウント）、そのアカウントを開いて Prop rules をクリックします: 利益目標、最大ドローダウン、ドローダウン方式（Trailing、End-of-day trailing、 Static）、日次損失上限、一貫性ルール（1 日の利益が全体に占めてよい割合）。空欄のルールはスキップされます。ホームの Prop program カードは資産、取引日数、最良日、目標とドローダウンに対する進捗を追跡し、上のドローダウンアラートも同じ枠を監視します。

共有リンク

共有リンクは、集計された成績 — 勝率、プロフィットファクター、累積損益カーブ、リズムの統計 — を表示する、取り消し可能な読み取り専用の公開ページです。トレード、メモ、アカウントの詳細が公開されることは決してありません。

設定 → 共有 → 共有リンクを作成、またはレポートの共有ボタン（現在のアカウントと期間に限定されたリンクになります）から作成。モバイルではレポートから作成します。
金額を表示 は既定でオフ: 比率とカーブの形だけが表示されます。
有効期限: 30 日、90 日（既定）、1 年、無期限。
共有の一覧には各リンクの範囲、作成日・有効期限、閲覧数が表示されます。取り消し で即座にアクセスできなくなります。

公開ページは既定でオフです — API で TM_SHARE_LINKS_ENABLED=true を設定します（Web アプリが別のオリジンにある場合は TM_PUBLIC_WEB_URL も）。

プライバシーモード

ヘッダー（Web）またはホーム（モバイル）の目のボタンで、すべての金額が •••• で隠されます — 統計と比率は表示されたままです。スクリーンショットや画面共有に。端末ごとの表示設定で、モバイルでは設定 → 一般 → 表示 → プライバシーモード でも切り替えられます。

二要素認証

設定 → プロフィール → Security → Two-factor authentication → Set up: 任意の認証アプリで QR コードを読み取る（またはキーを手入力する）と、6 桁のコードで確認します。オフにするにはパスワードと現在のコードの両方が必要です。モバイルでは設定 → プロフィールに同じ画面があり、スマートフォン自体が認証アプリであることが多いため QR コードではなくキーを表示します。

リカバリーコードは意図的にありません — サーバーへのシェルアクセスが復旧手段です。認証アプリを失くした場合:

docker compose exec api /tradermemos disable-totp --email you@example.com

トークンの利用状況

最終使用日時 に加えて、サーバーは各 API トークンをどのクライアントが使ったか — IP とユーザーエージェント — をクライアントごとに 1 行記録します（同じ IP とアプリからの繰り返しは 10 分間まとめられ、直近 50 件を保持）。モバイルの設定 → 連携 → APIトークン でトークンを開くと確認でき、GET /api/v1/access-tokens/{id}/uses でも取得できます。