Sécurité
Ce que CentraFIN voit et ne voit pas, comment vos clés et vos portefeuilles sont protégés, et comment nous signaler une faille.
CentraFIN est conçu pour que même une fuite de nos serveurs ne permette ni de toucher à votre argent, ni de connaître vos portefeuilles privés.
Ce que nos serveurs voient
| Donnée | Nos serveurs |
|---|---|
| Soldes, positions, ordres et historique de vos plateformes | Les voient, pour afficher et calculer vos chiffres |
| Secrets de vos clés API | Les conservent chiffrés (AES-256-GCM); ne les renvoient, ne les affichent et ne les journalisent jamais |
| Adresse de votre compte Hyperliquid | La voient : elle sert à lire le compte |
| Clés publiques, adresses, noms et soldes de vos portefeuilles Bitcoin | Ne les voient jamais : votre navigateur les chiffre |
| Clés privées et phrases de récupération | N'en reçoivent jamais : le service n'en accepte aucune |
| Mots de passe | Le service n'en utilise aucun : clés d'accès et codes à usage unique |
Des clés en lecture seule
- CentraFIN ne passe aucun ordre, ne transfère rien et ne retire rien.
- Coinbase et OKX : chaque nouvelle clé est vérifiée auprès de la plateforme; une clé qui peut négocier, transférer ou retirer est refusée.
- Kraken : la plateforme ne permet pas cette vérification. La fenêtre d'ajout énumère les seules autorisations à cocher.
- Hyperliquid : aucune clé; le compte est lu par son adresse publique, et une adresse de portefeuille d'API est refusée.
- Interactive Brokers : un jeton de rapport Flex, qui ne donne accès qu'aux relevés.
- Les secrets sont chiffrés avec une clé propre au service, liés à leur type de clé, et ne quittent jamais nos serveurs.
Une adresse IP fixe pour vos clés
Les appels à Kraken, Coinbase, OKX et Hyperliquid partent tous d'une seule adresse, celle de notre relais : 130.110.240.91. Vous pouvez limiter vos clés API à cette adresse auprès de la plateforme : une clé volée ne servirait alors à rien ailleurs.
Le relais, hébergé en France, n'accepte que les requêtes signées par CentraFIN, n'appelle que ces plateformes et ne conserve rien. Il voit passer leurs réponses, jamais un secret.
Des portefeuilles privés que nous ne pouvons pas lire
- Un portefeuille s'ajoute par la clé publique de son compte (xpub, ypub, zpub), jamais par une clé privée.
- Votre navigateur chiffre vos portefeuilles (AES-256-GCM) avec une clé que protège votre clé d'accès (extension WebAuthn PRF). Nos serveurs ne stockent que des données chiffrées qu'ils ne peuvent pas ouvrir.
- Votre navigateur lit lui-même les soldes auprès de nœuds Bitcoin publics (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), par une connexion chiffrée de bout en bout, à travers un relais aveugle. Ces nœuds voient les adresses demandées, mais ni votre adresse IP, ni votre compte. Chaque adresse est toujours lue par le même nœud : aucun ne les voit toutes.
Une connexion sans mot de passe
- Votre adresse courriel, confirmée à la création du compte, reçoit un lien de connexion à chaque demande. Il fonctionne 15 minutes, une seule fois, et s'ouvre par un bouton : un logiciel qui analyse vos courriels ne s'en sert pas à votre place.
- Vous pouvez y ajouter une clé d'accès (WebAuthn, vérification de l'utilisateur exigée), une application d'authentification (codes à 6 chiffres), ou les deux. Avec l'application, son code est demandé après le lien; avec une clé d'accès seule, la clé d'accès est demandée après le lien. Votre boîte de réception seule n'ouvre pas un compte ainsi protégé.
- Une clé d'accès vous connecte aussi sans courriel, suivie du code si vous avez l'application.
- Une adresse courriel reçoit au plus un lien par minute et cinq par heure, et une adresse IP en demande au plus dix par heure.
- Après 5 codes erronés de suite, le compte attend 15 minutes, puis deux fois plus longtemps à chaque nouvelle série, un jour au plus. Une même adresse IP est bloquée après 5 échecs en 15 minutes.
- Une session dure 8 heures.
- Votre compte ne s'ouvre qu'avec vos moyens de connexion : personne, CentraFIN compris, ne peut y entrer sans eux. Protégez votre boîte de courriel, et gardez deux clés d'accès si vous en utilisez.
Les assistants IA (MCP)
- Un assistant n'accède à votre compte que si vous l'autorisez (OAuth 2.1 avec PKCE), en lecture seule, et jamais à vos portefeuilles privés.
- Son jeton d'accès est valide 1 heure; son jeton d'actualisation, 30 jours, et il ne peut servir qu'une seule fois.
- Vous pouvez révoquer un assistant en tout temps dans les paramètres.
Le site lui-même
- Aucun script tiers, aucune publicité, aucun outil de mesure d'audience.
- Une politique de sécurité du contenu stricte, et uniquement des connexions HTTPS.
Signaler une faille
Écrivez à contact@centrafin.xyz avec « Sécurité » en objet : ce que vous avez trouvé, comment le reproduire, ce que vous avez pu voir. N'accédez pas aux données d'autres personnes, ne dégradez pas le service, et laissez-nous le temps de corriger avant de publier. Ces règles figurent aussi dans notre fichier security.txt.