Sicurezza
Cosa vede e cosa non vede CentraFIN, come sono protetti le tue chiavi e i tuoi wallet, e come segnalarci una vulnerabilità.
CentraFIN è progettato in modo che nemmeno una fuga di dati dai nostri server permetta di toccare il tuo denaro o di conoscere i tuoi wallet privati.
Cosa vedono i nostri server
| Dato | I nostri server |
|---|---|
| Saldi, posizioni, ordini e storico delle tue piattaforme | Li vedono, per mostrare e calcolare i tuoi numeri |
| Segreti delle tue chiavi API | Li conservano cifrati (AES-256-GCM); non li restituiscono, non li mostrano e non li registrano mai nei log |
| Indirizzo del tuo account Hyperliquid | Lo vedono: serve a leggere l'account |
| Chiavi pubbliche, indirizzi, nomi e saldi dei tuoi wallet Bitcoin | Non li vedono mai: li cifra il tuo browser |
| Chiavi private e frasi di recupero | Non ne ricevono mai: il servizio non ne accetta nessuna |
| Password | Il servizio non ne usa nessuna: passkey e codici monouso |
Chiavi in sola lettura
- CentraFIN non inserisce ordini, non trasferisce nulla e non preleva nulla.
- Coinbase e OKX: ogni nuova chiave viene verificata con la piattaforma; una chiave che può fare trading, trasferire o prelevare viene rifiutata.
- Kraken: la piattaforma non permette questa verifica. La finestra in cui aggiungi la chiave elenca solo le autorizzazioni da selezionare.
- Hyperliquid: nessuna chiave; l'account viene letto tramite il suo indirizzo pubblico, e l'indirizzo di un API wallet viene rifiutato.
- Interactive Brokers: un token di report Flex, che dà accesso solo agli estratti conto.
- I segreti sono cifrati con una chiave propria del servizio, legati al loro tipo di chiave, e non escono mai dai nostri server.
Un indirizzo IP fisso per le tue chiavi
Le chiamate a Kraken, Coinbase, OKX e Hyperliquid partono tutte da un unico indirizzo, quello del nostro relay: 130.110.240.91. Sulla piattaforma puoi limitare le tue chiavi API a questo indirizzo: così una chiave rubata non servirebbe a nulla altrove.
Il relay, ospitato in Francia, accetta solo le richieste firmate da CentraFIN, contatta solo queste piattaforme e non conserva nulla. Vede passare le loro risposte, mai un segreto.
Wallet privati che non possiamo leggere
- Un wallet si aggiunge tramite la chiave pubblica del suo account (xpub, ypub, zpub), mai con una chiave privata.
- Il tuo browser cifra i tuoi wallet (AES-256-GCM) con una chiave protetta dalla tua passkey (estensione WebAuthn PRF). I nostri server conservano solo dati cifrati che non possono aprire.
- È il tuo browser a leggere i saldi presso nodi Bitcoin pubblici (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), con cifratura end-to-end, attraverso un relay cieco. Questi nodi vedono gli indirizzi richiesti, ma non il tuo indirizzo IP né il tuo account. Ogni indirizzo viene sempre letto dallo stesso nodo: nessuno li vede tutti.
Un accesso senza password
- Il tuo indirizzo email, confermato alla creazione dell'account, riceve un link di accesso a ogni richiesta. Funziona per 15 minuti, una sola volta, e si apre con un pulsante: un software che analizza le tue email non lo usa al posto tuo.
- Puoi aggiungere una passkey (WebAuthn, con verifica dell'utente obbligatoria), un'app di autenticazione (codici di 6 cifre) o entrambe. Con l'app, il suo codice viene chiesto dopo il link; con la sola passkey, la passkey viene chiesta dopo il link. La tua casella di posta da sola non apre un account protetto così.
- Una passkey ti fa accedere anche senza email, seguita dal codice se hai l'app.
- Un indirizzo email riceve al massimo un link al minuto e cinque all'ora, e un indirizzo IP ne chiede al massimo dieci all'ora.
- Dopo 5 codici errati di fila, l'account deve attendere 15 minuti, poi il doppio a ogni nuova serie, al massimo un giorno. Uno stesso indirizzo IP viene bloccato dopo 5 tentativi falliti in 15 minuti.
- Una sessione dura 8 ore.
- Il tuo account si apre solo con i tuoi metodi di accesso: nessuno, CentraFIN compreso, può entrarci senza. Proteggi la tua casella di posta e, se usi le passkey, tienine due.
Gli assistenti IA (MCP)
- Un assistente accede al tuo account solo se lo autorizzi (OAuth 2.1 con PKCE), in sola lettura, e mai ai tuoi wallet privati.
- Il suo token di accesso vale 1 ora; il suo token di rinnovo 30 giorni, utilizzabile una sola volta.
- Puoi revocare un assistente in qualsiasi momento nelle impostazioni.
Il sito stesso
- Nessuno script di terze parti, nessuna pubblicità, nessuno strumento di analisi del traffico.
- Una Content Security Policy rigorosa e solo connessioni HTTPS.
Segnalare una vulnerabilità
Scrivi a contact@centrafin.xyz con «Sicurezza» nell'oggetto: cosa hai trovato, come riprodurlo, cosa hai potuto vedere. Non accedere ai dati di altre persone, non compromettere il funzionamento del servizio e lasciaci il tempo di correggere prima di pubblicare. Queste regole sono anche nel nostro file security.txt.