Seguridad
Qué ve CentraFIN y qué no, cómo se protegen tus claves y tus billeteras, y cómo reportarnos una vulnerabilidad.
CentraFIN está diseñado para que ni siquiera una filtración de nuestros servidores permita tocar tu dinero ni conocer tus billeteras privadas.
Lo que ven nuestros servidores
| Dato | Nuestros servidores |
|---|---|
| Saldos, posiciones, órdenes e historial de tus plataformas | Los ven, para mostrar y calcular tus números |
| Secretos de tus claves de API | Los guardan cifrados (AES-256-GCM); nunca los devuelven, los muestran ni los registran |
| Dirección de tu cuenta de Hyperliquid | La ven: sirve para leer la cuenta |
| Claves públicas, direcciones, nombres y saldos de tus billeteras de Bitcoin | Nunca los ven: tu navegador los cifra |
| Claves privadas y frases de recuperación | Nunca las reciben: el servicio no acepta ninguna |
| Contraseñas | El servicio no usa ninguna: llaves de acceso y códigos de un solo uso |
Claves de solo lectura
- CentraFIN no coloca ninguna orden, no transfiere nada y no retira nada.
- Coinbase y OKX: cada clave nueva se verifica con la plataforma; se rechaza cualquier clave que pueda operar, transferir o retirar fondos.
- Kraken: la plataforma no permite esta verificación. La ventana para agregar la clave indica los únicos permisos que hay que tildar.
- Hyperliquid: sin clave; la cuenta se lee por su dirección pública, y se rechaza la dirección de una billetera de API.
- Interactive Brokers: un token de reportes Flex, que solo da acceso a los resúmenes de cuenta.
- Los secretos se cifran con una clave propia del servicio, vinculados a su tipo de clave, y nunca salen de nuestros servidores.
Una dirección IP fija para tus claves
Las llamadas a Kraken, Coinbase, OKX y Hyperliquid salen todas de una única dirección, la de nuestro servidor de retransmisión: 130.110.240.91. En la plataforma, podés restringir tus claves de API a esa dirección: así, una clave robada no serviría de nada desde otro lugar.
El servidor de retransmisión, alojado en Francia, solo acepta solicitudes firmadas por CentraFIN, solo llama a esas plataformas y no guarda nada. Por él pasan sus respuestas, pero nunca un secreto.
Billeteras privadas que no podemos leer
- Una billetera se agrega con la clave pública de su cuenta (xpub, ypub, zpub), nunca con una clave privada.
- Tu navegador cifra tus billeteras (AES-256-GCM) con una clave protegida por tu llave de acceso (extensión WebAuthn PRF). Nuestros servidores solo almacenan datos cifrados que no pueden abrir.
- Es tu propio navegador el que consulta los saldos en nodos públicos de Bitcoin (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), con cifrado de extremo a extremo, a través de un servidor de retransmisión ciego. Esos nodos ven las direcciones consultadas, pero no tu dirección IP ni tu cuenta. Cada dirección la consulta siempre el mismo nodo: ninguno las ve todas.
Inicio de sesión sin contraseña
- Tu e-mail, confirmado al crear la cuenta, recibe un enlace de inicio de sesión cada vez que lo pedís. Funciona durante 15 minutos, una sola vez, y se abre con un botón: un programa que analiza tus e-mails no lo usa en tu lugar.
- Podés agregar una llave de acceso (WebAuthn, con verificación del usuario obligatoria), una app de autenticación (códigos de 6 dígitos) o las dos. Con la app, su código se pide después del enlace; con una llave de acceso sola, la llave se pide después del enlace. Tu e-mail solo no abre una cuenta protegida así.
- Una llave de acceso también te permite iniciar sesión sin e-mail, seguida del código si tenés la app.
- Una dirección de e-mail recibe como máximo un enlace por minuto y cinco por hora, y una dirección IP puede pedir como máximo diez por hora.
- Después de 5 códigos incorrectos seguidos, la cuenta espera 15 minutos, y después el doble con cada nueva serie, hasta un día como máximo. Una misma dirección IP se bloquea después de 5 intentos fallidos en 15 minutos.
- Una sesión dura 8 horas.
- Tu cuenta solo se abre con tus métodos de inicio de sesión: nadie, ni siquiera CentraFIN, puede entrar sin ellos. Protegé tu e-mail y, si usás llaves de acceso, tené dos.
Asistentes de IA (MCP)
- Un asistente solo accede a tu cuenta si vos lo autorizás (OAuth 2.1 con PKCE), con acceso de solo lectura, y nunca a tus billeteras privadas.
- Su token de acceso dura 1 hora; su token de actualización, 30 días, y se puede usar una sola vez.
- Podés revocar un asistente en cualquier momento desde la configuración.
El sitio en sí
- Ningún script de terceros, ninguna publicidad, ninguna herramienta de medición de audiencia.
- Una política de seguridad de contenido estricta y solo conexiones HTTPS.
Reportar una vulnerabilidad
Escribí a contact@centrafin.xyz con “Seguridad” en el asunto: qué encontraste, cómo reproducirlo y qué pudiste ver. No accedas a datos de otras personas, no degrades el servicio y danos tiempo para corregirlo antes de hacerlo público. Estas reglas también están en nuestro archivo security.txt.