Beveiliging
Wat CentraFIN wel en niet ziet, hoe je sleutels en wallets beschermd zijn en hoe je een beveiligingslek bij ons meldt.
CentraFIN is zo gebouwd dat zelfs een datalek op onze servers niemand in staat stelt aan je geld te komen of je privéwallets in te zien.
Wat onze servers zien
| Gegevens | Onze servers |
|---|---|
| Saldi, posities, orders en geschiedenis van je platforms | Zien ze, om je cijfers te tonen en te berekenen |
| Geheimen van je API-sleutels | Bewaren ze versleuteld (AES-256-GCM); sturen ze nooit terug, tonen ze nooit en schrijven ze nooit naar logbestanden |
| Adres van je Hyperliquid-account | Zien het: het is nodig om het account uit te lezen |
| Publieke sleutels, adressen, namen en saldi van je Bitcoin-wallets | Zien ze nooit: je browser versleutelt ze |
| Privésleutels en herstelzinnen | Ontvangen ze nooit: de dienst accepteert ze niet |
| Wachtwoorden | De dienst gebruikt er geen: toegangssleutels en eenmalige codes |
Sleutels met alleen leesrechten
- CentraFIN plaatst geen orders, boekt niets over en neemt niets op.
- Coinbase en OKX: elke nieuwe sleutel wordt bij het platform gecontroleerd; een sleutel die kan handelen, overboeken of opnemen, wordt geweigerd.
- Kraken: het platform maakt deze controle niet mogelijk. Het venster waarin je de sleutel toevoegt, noemt de enige rechten die je moet aanvinken.
- Hyperliquid: geen sleutel; het account wordt uitgelezen via het publieke adres, en het adres van een API-wallet wordt geweigerd.
- Interactive Brokers: een Flex-rapporttoken, dat alleen toegang geeft tot overzichten.
- De geheimen worden versleuteld met een eigen sleutel van de dienst, gekoppeld aan hun soort sleutel, en verlaten onze servers nooit.
Een vast IP-adres voor je sleutels
Alle verzoeken aan Kraken, Coinbase, OKX en Hyperliquid vertrekken vanaf één adres, dat van onze relay: 130.110.240.91. Je kunt je API-sleutels bij het platform tot dit adres beperken: een gestolen sleutel is elders dan nutteloos.
De relay, gehost in Frankrijk, accepteert alleen verzoeken die door CentraFIN zijn ondertekend, roept alleen deze platforms aan en bewaart niets. Hij ziet hun antwoorden voorbijkomen, nooit een geheim.
Privéwallets die wij niet kunnen lezen
- Een wallet voeg je toe met de publieke sleutel van het bijbehorende account (xpub, ypub, zpub), nooit met een privésleutel.
- Je browser versleutelt je wallets (AES-256-GCM) met een sleutel die door je toegangssleutel wordt beschermd (de WebAuthn PRF-extensie). Onze servers bewaren alleen versleutelde gegevens die ze niet kunnen openen.
- Je browser haalt de saldi zelf op bij publieke Bitcoin-nodes (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), end-to-end versleuteld, via een blinde relay. Die nodes zien de opgevraagde adressen, maar niet je IP-adres en niet je account. Elk adres wordt altijd bij dezelfde node opgevraagd: geen enkele node ziet ze allemaal.
Inloggen zonder wachtwoord
- Je e-mailadres, bevestigd bij het aanmaken van je account, krijgt bij elke aanvraag een inloglink. Die werkt 15 minuten, één keer, en opent via een knop: software die je e-mails scant, gebruikt hem niet in jouw plaats.
- Je kunt er een toegangssleutel (WebAuthn, met verplichte gebruikersverificatie), een authenticator-app (6-cijferige codes) of allebei aan toevoegen. Met de app wordt de code na de link gevraagd; met alleen een toegangssleutel wordt de toegangssleutel na de link gevraagd. Je mailbox alleen opent een zo beveiligd account niet.
- Met een toegangssleutel log je ook zonder e-mail in, gevolgd door de code als je de app hebt.
- Een e-mailadres krijgt maximaal één link per minuut en vijf per uur, en een IP-adres kan er maximaal tien per uur aanvragen.
- Na 5 foute codes op rij moet het account 15 minuten wachten, daarna bij elke nieuwe reeks twee keer zo lang, tot maximaal een dag. Een IP-adres wordt geblokkeerd na 5 mislukte pogingen binnen 15 minuten.
- Een sessie duurt 8 uur.
- Je account gaat alleen open met je eigen inlogmethoden: niemand, ook CentraFIN niet, kan er zonder binnenkomen. Beveilig je mailbox, en houd twee toegangssleutels als je ze gebruikt.
AI-assistenten (MCP)
- Een assistent krijgt alleen toegang tot je account als jij dat toestaat (OAuth 2.1 met PKCE), met alleen leesrechten, en nooit tot je privéwallets.
- Het toegangstoken is 1 uur geldig; het vernieuwingstoken 30 dagen, en het is maar één keer bruikbaar.
- Je trekt de toegang van een assistent op elk moment in via de instellingen.
De site zelf
- Geen scripts van derden, geen advertenties, geen tools voor bezoekersstatistieken.
- Een strikte Content Security Policy en uitsluitend HTTPS-verbindingen.
Een lek melden
Mail naar contact@centrafin.xyz met “Beveiliging” als onderwerp: wat je hebt gevonden, hoe je het kunt reproduceren en wat je hebt kunnen zien. Benader geen gegevens van anderen, verstoor de dienst niet en geef ons de tijd om het te verhelpen voordat je iets publiceert. Deze regels staan ook in ons bestand security.txt.