Bezpieczeństwo | CentraFIN

CentraFIN został zaprojektowany tak, aby nawet wyciek danych z naszych serwerów nie pozwolił nikomu dotknąć Twoich pieniędzy ani poznać Twoich prywatnych portfeli.

Co widzą nasze serwery

Dane	Nasze serwery
Salda, pozycje, zlecenia i historia z Twoich platform	Widzą je, aby wyświetlać Twoje dane i wykonywać obliczenia
Sekrety Twoich kluczy API	Przechowują je w postaci zaszyfrowanej (AES-256-GCM); nigdy ich nie odsyłają, nie wyświetlają ani nie zapisują w logach
Adres Twojego konta Hyperliquid	Widzą go: służy do odczytu konta
Klucze publiczne, adresy, nazwy i salda Twoich portfeli Bitcoin	Nigdy ich nie widzą: szyfruje je Twoja przeglądarka
Klucze prywatne i frazy odzyskiwania	Nigdy ich nie otrzymują: serwis nie przyjmuje żadnych
Hasła	Serwis nie używa żadnych: klucze dostępu i kody jednorazowe

Klucze tylko do odczytu

CentraFIN nie składa żadnych zleceń, niczego nie przesyła i niczego nie wypłaca.
Coinbase i OKX: każdy nowy klucz jest sprawdzany po stronie platformy; klucz, który może handlować, przesyłać lub wypłacać środki, zostaje odrzucony.
Kraken: platforma nie pozwala na takie sprawdzenie. Okno dodawania klucza wymienia jedyne uprawnienia, które należy zaznaczyć.
Hyperliquid: bez klucza; konto jest odczytywane po jego publicznym adresie, a adres portfela API zostaje odrzucony.
Interactive Brokers: token raportu Flex, który daje dostęp wyłącznie do wyciągów.
Sekrety są szyfrowane kluczem należącym do serwisu, powiązane z rodzajem klucza i nigdy nie opuszczają naszych serwerów.

Stały adres IP dla Twoich kluczy

Wszystkie zapytania do platform Kraken, Coinbase, OKX i Hyperliquid wychodzą z jednego adresu, adresu naszego przekaźnika (relay): 130.110.240.91. Możesz ograniczyć swoje klucze API do tego adresu w ustawieniach platformy: skradziony klucz byłby wtedy bezużyteczny gdzie indziej.

Przekaźnik, hostowany we Francji, przyjmuje tylko zapytania podpisane przez CentraFIN, łączy się tylko z tymi platformami i niczego nie przechowuje. Widzi przechodzące przez niego odpowiedzi platform, ale nigdy żadnego sekretu.

Prywatne portfele, których nie możemy odczytać

Portfel dodaje się za pomocą klucza publicznego jego konta (xpub, ypub, zpub), nigdy klucza prywatnego.
Twoja przeglądarka szyfruje Twoje portfele (AES-256-GCM) kluczem chronionym przez Twój klucz dostępu (rozszerzenie WebAuthn PRF). Nasze serwery przechowują wyłącznie zaszyfrowane dane, których nie mogą otworzyć.
Twoja przeglądarka sama odczytuje salda z publicznych węzłów Bitcoin (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), z szyfrowaniem end-to-end, przez ślepy przekaźnik. Węzły te widzą adresy, o które są pytane, ale ani Twojego adresu IP, ani Twojego konta. Każdy adres jest zawsze odczytywany przez ten sam węzeł: żaden nie widzi ich wszystkich.

Logowanie bez hasła

Twój adres e-mail, potwierdzony przy zakładaniu konta, otrzymuje link do logowania przy każdej prośbie. Działa on przez 15 minut, tylko raz, i otwiera się przyciskiem: program, który analizuje Twoje e-maile, nie użyje go za Ciebie.
Możesz dodać klucz dostępu (WebAuthn, z wymaganą weryfikacją użytkownika), aplikację uwierzytelniającą (kody 6-cyfrowe) albo jedno i drugie. Z aplikacją jej kod jest wymagany po linku; z samym kluczem dostępu klucz jest wymagany po linku. Sama skrzynka pocztowa nie otwiera tak chronionego konta.
Klucz dostępu loguje Cię też bez e-maila, a po nim jest wymagany kod, jeśli masz aplikację.
Adres e-mail otrzymuje najwyżej jeden link na minutę i pięć na godzinę, a adres IP może poprosić o najwyżej dziesięć na godzinę.
Po 5 błędnych kodach z rzędu trzeba odczekać 15 minut, a przy każdej kolejnej serii dwa razy dłużej, maksymalnie dobę. Ten sam adres IP zostaje zablokowany po 5 nieudanych próbach w ciągu 15 minut.
Sesja trwa 8 godzin.
Twoje konto otwiera się tylko za pomocą Twoich metod logowania: nikt, także CentraFIN, nie może się do niego dostać bez nich. Chroń swoją skrzynkę pocztową, a jeśli używasz kluczy dostępu, miej dwa.

Asystenci AI (MCP)

Asystent ma dostęp do Twojego konta tylko wtedy, gdy mu na to pozwolisz (OAuth 2.1 z PKCE), wyłącznie do odczytu i nigdy do Twoich prywatnych portfeli.
Jego token dostępu jest ważny 1 godzinę, a token odświeżania 30 dni i można go użyć tylko raz.
W każdej chwili możesz cofnąć asystentowi dostęp w ustawieniach.

Sama strona

Żadnych skryptów zewnętrznych, żadnych reklam, żadnych narzędzi analityki ruchu.
Rygorystyczna polityka bezpieczeństwa treści (Content Security Policy) i wyłącznie połączenia HTTPS.

Zgłaszanie luki

Napisz na adres contact@centrafin.xyz z tematem „Bezpieczeństwo”: opisz, co udało się znaleźć, jak to odtworzyć i co było widać. Nie uzyskuj dostępu do danych innych osób, nie zakłócaj działania serwisu i daj nam czas na naprawę przed publikacją. Te zasady znajdziesz też w naszym pliku security.txt.