الأمان
ما يراه CentraFIN وما لا يراه، وكيف تُحمى مفاتيحك ومحافظك، وكيف تبلغنا بثغرة.
صُمّم CentraFIN بحيث لا يتيح حتى تسريبٌ من خوادمنا المساسَ بأموالك، ولا معرفةَ محافظك الخاصة.
ما تراه خوادمنا
| البيانات | خوادمنا |
|---|---|
| الأرصدة والمراكز والأوامر وسجل منصاتك | تراها، لعرض أرقامك وحسابها |
| أسرار مفاتيح API الخاصة بك | تحفظها مشفّرة (AES-256-GCM)؛ ولا تعيدها ولا تعرضها ولا تدوّنها في السجلات أبداً |
| عنوان حسابك في Hyperliquid | تراه: فهو يُستخدم لقراءة الحساب |
| المفاتيح العامة لمحافظ بيتكوين لديك وعناوينها وأسماؤها وأرصدتها | لا تراها أبداً: يشفّرها متصفحك |
| المفاتيح الخاصة وعبارات الاسترداد | لا تتلقاها أبداً: لا تقبل الخدمة أياً منها |
| كلمات المرور | لا تستخدم الخدمة أياً منها: مفاتيح مرور ورموز لمرة واحدة |
مفاتيح للقراءة فقط
- لا ينفّذ CentraFIN أي أمر، ولا يحوّل شيئاً، ولا يسحب شيئاً.
- Coinbase وOKX: يُتحقق من كل مفتاح جديد لدى المنصة؛ ويُرفض المفتاح الذي يتيح التداول أو التحويل أو السحب.
- Kraken: لا تتيح المنصة هذا التحقق. وتعرض نافذة الإضافة الصلاحيات الوحيدة التي ينبغي تفعيلها.
- Hyperliquid: لا حاجة إلى مفتاح؛ يُقرأ الحساب عبر عنوانه العام، ويُرفض عنوان محفظة API.
- Interactive Brokers: رمز تقرير Flex، لا يتيح الوصول إلا إلى الكشوف.
- تُشفَّر الأسرار بمفتاح تملكه الخدمة وحدها، وترتبط بنوع مفتاحها، ولا تغادر خوادمنا أبداً.
عنوان IP ثابت لمفاتيحك
تنطلق جميع الطلبات إلى Kraken وCoinbase وOKX وHyperliquid من عنوان واحد، هو عنوان خادمنا الوسيط: 130.110.240.91. يمكنك أن تقصر مفاتيح API على هذا العنوان لدى المنصة: وعندها لن يفيد المفتاح المسروق في أي مكان آخر.
الخادم الوسيط، المستضاف في فرنسا، لا يقبل إلا الطلبات الموقّعة من CentraFIN، ولا يتصل إلا بهذه المنصات، ولا يحتفظ بشيء. تمرّ عبره ردودها، لكنه لا يرى أي سر.
محافظ خاصة لا نستطيع قراءتها
- تُضاف المحفظة عبر المفتاح العام لحسابها (xpub أو ypub أو zpub)، ولا تُضاف أبداً عبر مفتاح خاص.
- يشفّر متصفحك محافظك (AES-256-GCM) بمفتاح يحميه مفتاح المرور الخاص بك (امتداد WebAuthn PRF). ولا تخزّن خوادمنا إلا بيانات مشفّرة لا تستطيع فتحها.
- يقرأ متصفحك الأرصدة بنفسه من عُقد بيتكوين عامة (blockstream.info، mempool.emzy.de، mempool.bitaroo.net)، بتشفير من طرف إلى طرف، عبر خادم وسيط لا يطّلع على المحتوى. ترى هذه العُقد العناوين المطلوبة، لكنها لا ترى عنوان IP الخاص بك ولا حسابك. ولكل عنوان عقدة واحدة تقرؤه دائماً: فلا ترى أي عقدة العناوين كلها.
تسجيل دخول بلا كلمة مرور
- يتلقى عنوان بريدك الإلكتروني، الذي تؤكّده عند إنشاء الحساب، رابط تسجيل دخول عند كل طلب. يعمل الرابط 15 دقيقة، ولمرة واحدة، ويُفتح بزر: لا يستخدمه برنامج يفحص رسائلك بدلاً منك.
- يمكنك أن تضيف إليه مفتاح مرور (WebAuthn، مع اشتراط التحقق من المستخدم)، أو تطبيق مصادقة (رموز من 6 أرقام)، أو كليهما. مع التطبيق، يُطلب رمزه بعد الرابط؛ ومع مفتاح مرور وحده، يُطلب مفتاح المرور بعد الرابط. ولا يفتح بريدك وحده حساباً محمياً بهذه الطريقة.
- يتيح لك مفتاح المرور أيضاً تسجيل الدخول دون بريد إلكتروني، يليه الرمز إن كان لديك التطبيق.
- يتلقى عنوان البريد الإلكتروني رابطاً واحداً في الدقيقة وخمسة روابط في الساعة على الأكثر، ولا يطلب عنوان IP أكثر من عشرة روابط في الساعة.
- بعد 5 رموز خاطئة متتالية، ينتظر الحساب 15 دقيقة، ثم ضعف المدة مع كل سلسلة جديدة، بحد أقصى يوم واحد. ويُحظر أي عنوان IP بعد 5 محاولات فاشلة منه خلال 15 دقيقة.
- تدوم الجلسة 8 ساعات.
- لا يُفتح حسابك إلا بوسائل تسجيل الدخول الخاصة بك: لا يستطيع أحد، بما في ذلك CentraFIN، الدخول إليه من دونها. احمِ بريدك الإلكتروني، واحتفظ بمفتاحَي مرور إن كنت تستخدم مفاتيح المرور.
مساعدو الذكاء الاصطناعي (MCP)
- لا يصل المساعد إلى حسابك إلا إذا أذنت له (OAuth 2.1 مع PKCE)، وللقراءة فقط، ولا يصل أبداً إلى محافظك الخاصة.
- صلاحية رمز الوصول الخاص به ساعة واحدة؛ وصلاحية رمز التحديث 30 يوماً، ولا يُستخدم إلا مرة واحدة.
- يمكنك إلغاء إذن أي مساعد في أي وقت من الإعدادات.
الموقع نفسه
- لا نصوص برمجية من جهات خارجية، ولا إعلانات، ولا أدوات لقياس الجمهور.
- سياسة صارمة لأمان المحتوى، واتصالات HTTPS فقط.
الإبلاغ عن ثغرة
راسلنا على contact@centrafin.xyz واكتب «الأمان» في الموضوع: ما الذي وجدته، وكيف يمكن تكراره، وما الذي استطعت رؤيته. لا تصل إلى بيانات أشخاص آخرين، ولا تُخلّ بعمل الخدمة، وامنحنا الوقت لإصلاح الثغرة قبل نشرها. هذه القواعد موجودة أيضاً في ملف security.txt الخاص بنا.