सुरक्षा

CentraFIN को इस तरह बनाया गया है कि हमारे सर्वर से डेटा लीक होने पर भी न कोई आपके पैसे को छू सके, न आपके प्राइवेट वॉलेट के बारे में जान सके।

हमारे सर्वर क्या देखते हैं

डेटा	हमारे सर्वर
आपके प्लेटफ़ॉर्म के बैलेंस, पोज़िशन, ऑर्डर और हिस्ट्री	देखते हैं, ताकि आपके आंकड़े दिखा और कैलकुलेट कर सकें
आपकी API कुंजियों के सीक्रेट	एन्क्रिप्ट करके (AES-256-GCM) रखते हैं; उन्हें कभी वापस नहीं भेजते, नहीं दिखाते और लॉग नहीं करते
आपके Hyperliquid अकाउंट का एड्रेस	देखते हैं: इसी से अकाउंट पढ़ा जाता है
आपके बिटकॉइन वॉलेट की पब्लिक कुंजियां, एड्रेस, नाम और बैलेंस	कभी नहीं देखते: इन्हें आपका ब्राउज़र एन्क्रिप्ट करता है
प्राइवेट कुंजियां और रिकवरी फ़्रेज़	कभी नहीं पाते: सेवा इनमें से कुछ भी स्वीकार नहीं करती
पासवर्ड	सेवा कोई पासवर्ड इस्तेमाल नहीं करती: पासकी और वन-टाइम कोड

रीड-ओनली कुंजियां

CentraFIN न कोई ऑर्डर देता है, न कुछ ट्रांसफ़र करता है, न कुछ विड्रॉ करता है।
Coinbase और OKX: हर नई कुंजी प्लेटफ़ॉर्म से वेरिफ़ाई की जाती है; जो कुंजी ट्रेड, ट्रांसफ़र या विड्रॉ कर सकती है, उसे अस्वीकार कर दिया जाता है।
Kraken: प्लेटफ़ॉर्म इस तरह वेरिफ़ाई करने की सुविधा नहीं देता। कुंजी जोड़ने वाली विंडो में सिर्फ़ वही परमिशन दी गई हैं जिन पर टिक करना है।
Hyperliquid: कोई कुंजी नहीं; अकाउंट उसके पब्लिक एड्रेस से पढ़ा जाता है, और API वॉलेट का एड्रेस अस्वीकार कर दिया जाता है।
Interactive Brokers: एक Flex रिपोर्ट टोकन, जिससे सिर्फ़ स्टेटमेंट तक पहुंच मिलती है।
सीक्रेट सेवा की अपनी कुंजी से एन्क्रिप्ट किए जाते हैं, अपनी कुंजी के प्रकार से जुड़े रहते हैं, और कभी हमारे सर्वर से बाहर नहीं जाते।

आपकी कुंजियों के लिए एक फ़िक्स्ड IP एड्रेस

Kraken, Coinbase, OKX और Hyperliquid को जाने वाली सभी रिक्वेस्ट एक ही एड्रेस से जाती हैं, हमारे रिले के एड्रेस से: 130.110.240.91। आप प्लेटफ़ॉर्म पर अपनी API कुंजियों को सिर्फ़ इसी एड्रेस तक सीमित कर सकते हैं: तब चोरी हुई कुंजी कहीं और किसी काम की नहीं रहेगी।

फ़्रांस में होस्ट किया गया रिले सिर्फ़ CentraFIN की साइन की हुई रिक्वेस्ट स्वीकार करता है, सिर्फ़ इन्हीं प्लेटफ़ॉर्म को कॉल करता है, और कुछ भी स्टोर नहीं करता। उनके जवाब इससे होकर गुज़रते हैं, लेकिन यह कभी कोई सीक्रेट नहीं देखता।

प्राइवेट वॉलेट, जिन्हें हम नहीं पढ़ सकते

वॉलेट उसके अकाउंट की पब्लिक कुंजी (xpub, ypub, zpub) से जोड़ा जाता है, कभी प्राइवेट कुंजी से नहीं।
आपका ब्राउज़र आपके वॉलेट को (AES-256-GCM) एक ऐसी कुंजी से एन्क्रिप्ट करता है जिसे आपकी पासकी सुरक्षित रखती है (WebAuthn PRF एक्सटेंशन)। हमारे सर्वर सिर्फ़ एन्क्रिप्टेड डेटा स्टोर करते हैं, जिसे वे खोल नहीं सकते।
आपका ब्राउज़र पब्लिक बिटकॉइन नोड (blockstream.info, mempool.emzy.de, mempool.bitaroo.net) से बैलेंस ख़ुद पढ़ता है, एंड-टू-एंड एन्क्रिप्शन के साथ, एक ब्लाइंड रिले के ज़रिए। ये नोड मांगे गए एड्रेस देखते हैं, लेकिन न आपका IP एड्रेस, न आपका अकाउंट। हर एड्रेस को हमेशा एक ही नोड पढ़ता है: कोई भी नोड सारे एड्रेस नहीं देखता।

बिना पासवर्ड के साइन इन

आपके ईमेल एड्रेस पर, जिसकी पुष्टि अकाउंट बनाते समय होती है, हर अनुरोध पर एक साइन-इन लिंक आता है। यह 15 मिनट तक, सिर्फ़ एक बार काम करता है, और एक बटन से खुलता है: आपके ईमेल स्कैन करने वाला कोई सॉफ़्टवेयर आपकी जगह इसका इस्तेमाल नहीं करता।
आप इसके साथ पासकी (WebAuthn, यूज़र वेरिफ़िकेशन ज़रूरी), ऑथेंटिकेटर ऐप (6 अंकों के कोड), या दोनों जोड़ सकते हैं। ऐप हो तो लिंक के बाद उसका कोड मांगा जाता है; सिर्फ़ पासकी हो तो लिंक के बाद पासकी मांगी जाती है। इस तरह सुरक्षित अकाउंट सिर्फ़ आपके इनबॉक्स से नहीं खुलता।
पासकी से आप बिना ईमेल के भी साइन इन कर सकते हैं, और अगर ऐप है तो उसके बाद कोड डालते हैं।
एक ईमेल एड्रेस पर एक मिनट में ज़्यादा से ज़्यादा एक लिंक और एक घंटे में पांच लिंक आते हैं, और एक IP एड्रेस एक घंटे में ज़्यादा से ज़्यादा दस लिंक मांग सकता है।
लगातार 5 गलत कोड के बाद अकाउंट को 15 मिनट इंतज़ार करना पड़ता है, फिर हर नई सीरीज़ के बाद दोगुना, ज़्यादा से ज़्यादा एक दिन। कोई एक IP एड्रेस 15 मिनट में 5 बार विफल होने पर ब्लॉक हो जाता है।
एक सेशन 8 घंटे चलता है।
आपका अकाउंट सिर्फ़ आपके साइन-इन के तरीकों से खुलता है: उनके बिना कोई भी, CentraFIN भी, उसमें नहीं जा सकता। अपने ईमेल इनबॉक्स को सुरक्षित रखें, और अगर पासकी इस्तेमाल करते हैं तो दो पासकी रखें।

AI असिस्टेंट (MCP)

कोई असिस्टेंट आपके अकाउंट तक तभी पहुंचता है जब आप उसे अनुमति दें (PKCE के साथ OAuth 2.1), सिर्फ़ पढ़ने के लिए, और कभी आपके प्राइवेट वॉलेट तक नहीं।
उसका एक्सेस टोकन 1 घंटे चलता है; उसका रिफ़्रेश टोकन 30 दिन, और सिर्फ़ एक बार इस्तेमाल हो सकता है।
आप सेटिंग्स में किसी भी समय किसी असिस्टेंट का एक्सेस रद्द कर सकते हैं।

साइट ख़ुद

कोई थर्ड-पार्टी स्क्रिप्ट नहीं, कोई विज्ञापन नहीं, ऑडियंस मापने का कोई टूल नहीं।
एक सख़्त कंटेंट सिक्योरिटी पॉलिसी, और सिर्फ़ HTTPS कनेक्शन।

किसी खामी की रिपोर्ट करें

contact@centrafin.xyz पर सब्जेक्ट में “सुरक्षा” लिखकर मेल करें: आपको क्या मिला, उसे दोबारा कैसे किया जा सकता है, और आप क्या देख पाए। दूसरे लोगों के डेटा तक न पहुंचें, सेवा को नुकसान न पहुंचाएं, और पब्लिश करने से पहले हमें ठीक करने का समय दें। ये नियम हमारी security.txt फ़ाइल में भी हैं।