Segurança
O que o CentraFIN vê e o que não vê, como suas chaves e carteiras são protegidas e como nos informar uma falha.
O CentraFIN foi projetado para que nem mesmo um vazamento dos nossos servidores permita mexer no seu dinheiro ou conhecer suas carteiras privadas.
O que nossos servidores veem
| Dado | Nossos servidores |
|---|---|
| Saldos, posições, ordens e histórico das suas plataformas | Veem esses dados, para exibir e calcular seus números |
| Segredos das suas chaves de API | Guardam esses segredos criptografados (AES-256-GCM); nunca os devolvem, exibem nem registram em log |
| Endereço da sua conta Hyperliquid | Veem esse endereço: ele serve para ler a conta |
| Chaves públicas, endereços, nomes e saldos das suas carteiras Bitcoin | Nunca veem esses dados: seu navegador os criptografa |
| Chaves privadas e frases de recuperação | Nunca recebem: o serviço não aceita nenhuma |
| Senhas | O serviço não usa nenhuma: chaves de acesso e códigos de uso único |
Chaves somente leitura
- O CentraFIN não envia nenhuma ordem, não transfere nada e não saca nada.
- Coinbase e OKX: cada nova chave é verificada com a plataforma; uma chave que pode negociar, transferir ou sacar é recusada.
- Kraken: a plataforma não permite essa verificação. A janela para adicionar a chave mostra as únicas permissões que você deve marcar.
- Hyperliquid: nenhuma chave; a conta é lida pelo endereço público, e um endereço de carteira de API é recusado.
- Interactive Brokers: um token de relatório Flex, que dá acesso apenas aos extratos.
- Os segredos são criptografados com uma chave própria do serviço, vinculados ao tipo de chave, e nunca saem dos nossos servidores.
Um endereço IP fixo para suas chaves
As chamadas para Kraken, Coinbase, OKX e Hyperliquid saem todas de um único endereço, o do nosso servidor de retransmissão: 130.110.240.91. Você pode restringir suas chaves de API a esse endereço na plataforma: assim, uma chave roubada não serviria para nada em outro lugar.
O servidor de retransmissão, hospedado na França, só aceita requisições assinadas pelo CentraFIN, só chama essas plataformas e não guarda nada. As respostas delas passam por ele, mas nunca um segredo.
Carteiras privadas que não conseguimos ler
- Uma carteira é adicionada pela chave pública da conta (xpub, ypub, zpub), nunca por uma chave privada.
- Seu navegador criptografa suas carteiras (AES-256-GCM) com uma chave protegida pela sua chave de acesso (extensão WebAuthn PRF). Nossos servidores armazenam apenas dados criptografados que não conseguem abrir.
- Seu próprio navegador consulta os saldos em nós públicos da rede Bitcoin (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), com criptografia de ponta a ponta, por meio de um servidor de retransmissão cego. Esses nós veem os endereços consultados, mas não o seu endereço IP nem a sua conta. Cada endereço é sempre consultado pelo mesmo nó: nenhum deles vê todos.
Login sem senha
- Seu e-mail, confirmado na criação da conta, recebe um link para entrar a cada pedido. Ele funciona por 15 minutos, uma única vez, e é aberto por um botão: um software que analisa seus e-mails não o usa no seu lugar.
- Você pode adicionar uma chave de acesso (WebAuthn, com verificação do usuário obrigatória), um app autenticador (códigos de 6 dígitos) ou os dois. Com o app, o código dele é pedido depois do link; com apenas uma chave de acesso, a chave é pedida depois do link. Só o seu e-mail não abre uma conta protegida assim.
- Uma chave de acesso também permite entrar sem e-mail, seguida do código quando você tem o app.
- Um endereço de e-mail recebe no máximo um link por minuto e cinco por hora, e um endereço IP pede no máximo dez por hora.
- Após 5 códigos errados seguidos, a conta espera 15 minutos, depois o dobro a cada nova série, até no máximo um dia. Um mesmo endereço IP é bloqueado após 5 tentativas malsucedidas em 15 minutos.
- Uma sessão dura 8 horas.
- Só é possível entrar na sua conta com as suas formas de acesso: ninguém, nem mesmo o CentraFIN, consegue entrar sem elas. Proteja seu e-mail e, se usar chaves de acesso, tenha duas.
Assistentes de IA (MCP)
- Um assistente só acessa sua conta se você autorizar (OAuth 2.1 com PKCE), somente para leitura, e nunca suas carteiras privadas.
- O token de acesso dele vale 1 hora; o token de atualização, 30 dias, e só pode ser usado uma vez.
- Você revoga um assistente a qualquer momento nas configurações.
O próprio site
- Nenhum script de terceiros, nenhuma publicidade, nenhuma ferramenta de medição de audiência.
- Uma política de segurança de conteúdo rigorosa e apenas conexões HTTPS.
Informar uma falha
Escreva para contact@centrafin.xyz com “Segurança” no assunto: o que você encontrou, como reproduzir e o que conseguiu ver. Não acesse dados de outras pessoas, não prejudique o funcionamento do serviço e nos dê tempo para corrigir antes de divulgar. Essas regras também estão no nosso arquivo security.txt.