Sécurité
Ce que CentraFIN voit et ne voit pas, comment tes clés et tes wallets sont protégés, et comment nous signaler une faille.
CentraFIN est conçu pour que même une fuite de nos serveurs ne permette ni de toucher à ton argent, ni de connaître tes wallets privés.
Ce que nos serveurs voient
| Donnée | Nos serveurs |
|---|---|
| Soldes, positions, ordres et historique de tes plateformes | Les voient, pour afficher et calculer tes chiffres |
| Secrets de tes clés API | Les gardent chiffrés (AES-256-GCM) ; ne les renvoient, ne les affichent et ne les journalisent jamais |
| Adresse de ton compte Hyperliquid | La voient : elle sert à lire le compte |
| Clés publiques, adresses, noms et soldes de tes wallets Bitcoin | Ne les voient jamais : ton navigateur les chiffre |
| Clés privées et phrases de récupération | N'en reçoivent jamais : le service n'en accepte aucune |
| Mots de passe | Le service n'en utilise aucun : passkeys et codes à usage unique |
Des clés en lecture seule
- CentraFIN ne passe aucun ordre, ne transfère rien et ne retire rien.
- Coinbase et OKX : chaque nouvelle clé est vérifiée auprès de la plateforme ; une clé qui peut trader, transférer ou retirer est refusée.
- Kraken : la plateforme ne permet pas cette vérification. La fenêtre d'ajout liste les seules permissions à cocher.
- Hyperliquid : aucune clé ; le compte est lu par son adresse publique, et une adresse de wallet d'API est refusée.
- Interactive Brokers : un jeton de rapport Flex, qui ne donne accès qu'aux relevés.
- Les secrets sont chiffrés avec une clé propre au service, liés à leur type de clé, et ne sortent jamais de nos serveurs.
Une adresse IP fixe pour tes clés
Les appels à Kraken, Coinbase, OKX et Hyperliquid partent tous d'une seule adresse, celle de notre relais : 130.110.240.91. Tu peux limiter tes clés API à cette adresse chez la plateforme : une clé volée ne servirait alors à rien ailleurs.
Le relais, hébergé en France, n'accepte que les requêtes signées par CentraFIN, n'appelle que ces plateformes, et ne garde rien. Il voit passer leurs réponses, jamais un secret.
Des wallets privés que nous ne pouvons pas lire
- Un wallet s'ajoute par la clé publique de son compte (xpub, ypub, zpub), jamais par une clé privée.
- Ton navigateur chiffre tes wallets (AES-256-GCM) avec une clé que protège ta passkey (extension WebAuthn PRF). Nos serveurs ne stockent que des données chiffrées qu'ils ne peuvent pas ouvrir.
- Ton navigateur lit lui-même les soldes auprès de nœuds Bitcoin publics (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), chiffré de bout en bout, à travers un relais aveugle. Ces nœuds voient les adresses demandées, mais ni ton adresse IP, ni ton compte. Chaque adresse est toujours lue par le même nœud : aucun ne les voit toutes.
Une connexion sans mot de passe
- Ton adresse e-mail, confirmée à la création du compte, reçoit un lien de connexion à chaque demande. Il marche 15 minutes, une seule fois, et s'ouvre par un bouton : un logiciel qui analyse tes e-mails ne s'en sert pas à ta place.
- Tu peux y ajouter une passkey (WebAuthn, vérification de l'utilisateur exigée), une application d'authentification (codes à 6 chiffres), ou les deux. Avec l'application, son code est demandé après le lien ; avec une passkey seule, la passkey est demandée après le lien. Ta boîte mail seule n'ouvre pas un compte ainsi protégé.
- Une passkey te connecte aussi sans e-mail, suivie du code quand tu as l'application.
- Une adresse e-mail reçoit au plus un lien par minute et cinq par heure, et une adresse IP en demande au plus dix par heure.
- Après 5 codes faux de suite, le compte attend 15 minutes, puis deux fois plus à chaque nouvelle série, un jour au plus. Une même adresse IP est bloquée après 5 échecs en 15 minutes.
- Une session dure 8 heures.
- Ton compte ne s'ouvre qu'avec tes moyens de connexion : personne, CentraFIN compris, ne peut y entrer sans eux. Protège ta boîte mail, et garde deux passkeys si tu en utilises.
Les assistants IA (MCP)
- Un assistant n'accède à ton compte que si tu l'autorises (OAuth 2.1 avec PKCE), en lecture seule, et jamais à tes wallets privés.
- Son jeton d'accès vaut 1 heure ; son jeton de renouvellement 30 jours, utilisable une seule fois.
- Tu révoques un assistant à tout moment dans les paramètres.
Le site lui-même
- Aucun script tiers, aucune publicité, aucun outil de mesure d'audience.
- Une politique de sécurité du contenu stricte, et uniquement des connexions HTTPS.
Signaler une faille
Écris à contact@centrafin.xyz avec « Sécurité » en objet : ce que tu as trouvé, comment le reproduire, ce que tu as pu voir. N'accède pas aux données d'autres personnes, ne dégrade pas le service, et laisse-nous le temps de corriger avant de publier. Ces règles sont aussi dans notre fichier security.txt.