Seguridad
Qué ve CentraFIN y qué no, cómo se protegen tus claves y tus wallets, y cómo comunicarnos una vulnerabilidad.
CentraFIN está diseñado para que ni siquiera una filtración de nuestros servidores permita tocar tu dinero ni conocer tus wallets privadas.
Lo que ven nuestros servidores
| Dato | Nuestros servidores |
|---|---|
| Saldos, posiciones, órdenes e historial de tus plataformas | Los ven, para mostrar y calcular tus cifras |
| Secretos de tus claves de API | Los guardan cifrados (AES-256-GCM); nunca los devuelven, los muestran ni los registran |
| Dirección de tu cuenta de Hyperliquid | La ven: sirve para leer la cuenta |
| Claves públicas, direcciones, nombres y saldos de tus wallets de Bitcoin | Nunca los ven: tu navegador los cifra |
| Claves privadas y frases de recuperación | Nunca las reciben: el servicio no acepta ninguna |
| Contraseñas | El servicio no usa ninguna: llaves de acceso y códigos de un solo uso |
Claves de solo lectura
- CentraFIN no envía ninguna orden, no transfiere nada y no retira nada.
- Coinbase y OKX: cada nueva clave se comprueba con la plataforma; se rechaza cualquier clave que pueda operar, transferir o retirar fondos.
- Kraken: la plataforma no permite esta comprobación. La ventana para añadir la clave indica los únicos permisos que hay que marcar.
- Hyperliquid: sin clave; la cuenta se lee por su dirección pública, y se rechaza la dirección de una wallet de API.
- Interactive Brokers: un token de informes Flex, que solo da acceso a los extractos.
- Los secretos se cifran con una clave propia del servicio, vinculados a su tipo de clave, y nunca salen de nuestros servidores.
Una dirección IP fija para tus claves
Las llamadas a Kraken, Coinbase, OKX y Hyperliquid salen todas de una única dirección, la de nuestro servidor de retransmisión: 130.110.240.91. En la plataforma, puedes restringir tus claves de API a esa dirección: así, una clave robada no serviría de nada desde otro lugar.
El servidor de retransmisión, alojado en Francia, solo acepta solicitudes firmadas por CentraFIN, solo llama a esas plataformas y no guarda nada. Por él pasan sus respuestas, pero nunca un secreto.
Wallets privadas que no podemos leer
- Una wallet se añade con la clave pública de su cuenta (xpub, ypub, zpub), nunca con una clave privada.
- Tu navegador cifra tus wallets (AES-256-GCM) con una clave protegida por tu llave de acceso (extensión WebAuthn PRF). Nuestros servidores solo almacenan datos cifrados que no pueden abrir.
- Es tu propio navegador el que consulta los saldos en nodos públicos de Bitcoin (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), con cifrado de extremo a extremo, a través de un servidor de retransmisión ciego. Esos nodos ven las direcciones consultadas, pero no tu dirección IP ni tu cuenta. Cada dirección la consulta siempre el mismo nodo: ninguno las ve todas.
Inicio de sesión sin contraseña
- Tu correo electrónico, confirmado al crear la cuenta, recibe un enlace de inicio de sesión cada vez que lo pides. Funciona durante 15 minutos, una sola vez, y se abre con un botón: un programa que analiza tus correos no lo usa en tu lugar.
- Puedes añadir una llave de acceso (WebAuthn, con verificación del usuario obligatoria), una aplicación de autenticación (códigos de 6 dígitos) o ambas. Con la aplicación, su código se pide después del enlace; con solo una llave de acceso, la llave se pide después del enlace. Tu correo por sí solo no abre una cuenta protegida así.
- Una llave de acceso también te permite iniciar sesión sin correo, seguida del código si tienes la aplicación.
- Una dirección de correo recibe como máximo un enlace por minuto y cinco por hora, y una dirección IP puede pedir como máximo diez por hora.
- Tras 5 códigos incorrectos seguidos, la cuenta espera 15 minutos, y después el doble con cada nueva serie, hasta un día como máximo. Una misma dirección IP se bloquea tras 5 intentos fallidos en 15 minutos.
- Una sesión dura 8 horas.
- Tu cuenta solo se abre con tus métodos de inicio de sesión: nadie, ni siquiera CentraFIN, puede entrar sin ellos. Protege tu correo y, si usas llaves de acceso, conserva dos.
Asistentes de IA (MCP)
- Un asistente solo accede a tu cuenta si tú lo autorizas (OAuth 2.1 con PKCE), con acceso de solo lectura, y nunca a tus wallets privadas.
- Su token de acceso dura 1 hora; su token de actualización, 30 días, y solo puede usarse una vez.
- Puedes revocar un asistente en cualquier momento desde los ajustes.
El propio sitio
- Ningún script de terceros, ninguna publicidad, ninguna herramienta de medición de audiencia.
- Una política de seguridad de contenido estricta y solo conexiones HTTPS.
Comunicar una vulnerabilidad
Escribe a contact@centrafin.xyz con «Seguridad» en el asunto: qué has encontrado, cómo reproducirlo y qué has podido ver. No accedas a datos de otras personas, no degrades el servicio y danos tiempo para corregirlo antes de hacerlo público. Estas normas también figuran en nuestro archivo security.txt.