Segurança
O que o CentraFIN vê e não vê, como as suas chaves e carteiras são protegidas e como nos comunicar uma falha.
O CentraFIN foi concebido para que nem mesmo uma fuga de dados dos nossos servidores permita mexer no seu dinheiro ou conhecer as suas carteiras privadas.
O que os nossos servidores veem
| Dado | Os nossos servidores |
|---|---|
| Saldos, posições, ordens e histórico das suas plataformas | Veem-nos, para apresentar e calcular os seus valores |
| Segredos das suas chaves de API | Guardam-nos encriptados (AES-256-GCM); nunca os devolvem, apresentam ou registam |
| Endereço da sua conta Hyperliquid | Veem-no: serve para ler a conta |
| Chaves públicas, endereços, nomes e saldos das suas carteiras Bitcoin | Nunca os veem: o seu navegador encripta-os |
| Chaves privadas e frases de recuperação | Nunca as recebem: o serviço não aceita nenhuma |
| Palavras-passe | O serviço não utiliza nenhuma: chaves de acesso e códigos de utilização única |
Chaves só de leitura
- O CentraFIN não coloca nenhuma ordem, não transfere nada e não levanta nada.
- Coinbase e OKX: cada nova chave é verificada junto da plataforma; uma chave que possa negociar, transferir ou levantar fundos é recusada.
- Kraken: a plataforma não permite esta verificação. A janela para adicionar a chave indica as únicas permissões a selecionar.
- Hyperliquid: nenhuma chave; a conta é lida pelo seu endereço público, e um endereço de carteira de API é recusado.
- Interactive Brokers: um token de relatório Flex, que só dá acesso aos extratos.
- Os segredos são encriptados com uma chave própria do serviço, associados ao respetivo tipo de chave, e nunca saem dos nossos servidores.
Um endereço IP fixo para as suas chaves
Os pedidos à Kraken, à Coinbase, à OKX e à Hyperliquid partem todos de um único endereço, o do nosso servidor de retransmissão: 130.110.240.91. Pode limitar as suas chaves de API a este endereço junto da plataforma: assim, uma chave roubada não serviria de nada noutro lado.
O servidor de retransmissão, alojado em França, só aceita pedidos assinados pelo CentraFIN, só contacta essas plataformas e não guarda nada. Por ele passam as respostas das plataformas, nunca um segredo.
Carteiras privadas que não conseguimos ler
- Uma carteira é adicionada através da chave pública da respetiva conta (xpub, ypub, zpub), nunca através de uma chave privada.
- O seu navegador encripta as suas carteiras (AES-256-GCM) com uma chave protegida pela sua chave de acesso (extensão WebAuthn PRF). Os nossos servidores só armazenam dados encriptados que não conseguem abrir.
- É o próprio navegador que consulta os saldos em nós públicos da rede Bitcoin (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), com encriptação ponto a ponto, através de um servidor de retransmissão cego. Estes nós veem os endereços consultados, mas não o seu endereço IP nem a sua conta. Cada endereço é sempre consultado pelo mesmo nó: nenhum os vê todos.
Início de sessão sem palavra-passe
- O seu endereço de e-mail, confirmado na criação da conta, recebe uma ligação de início de sessão a cada pedido. Funciona durante 15 minutos, uma única vez, e abre-se com um botão: um programa que analisa os seus e-mails não a utiliza no seu lugar.
- Pode adicionar uma chave de acesso (WebAuthn, com verificação do utilizador obrigatória), uma aplicação de autenticação (códigos de 6 dígitos) ou ambas. Com a aplicação, o respetivo código é pedido depois da ligação; só com uma chave de acesso, a chave é pedida depois da ligação. A sua caixa de correio, por si só, não abre uma conta assim protegida.
- Uma chave de acesso também lhe permite iniciar sessão sem e-mail, seguida do código se tiver a aplicação.
- Um endereço de e-mail recebe no máximo uma ligação por minuto e cinco por hora, e um endereço IP pede no máximo dez por hora.
- Após 5 códigos errados seguidos, a conta fica em espera durante 15 minutos, e depois o dobro a cada nova série, até um dia no máximo. Um mesmo endereço IP é bloqueado após 5 tentativas falhadas em 15 minutos.
- Uma sessão dura 8 horas.
- A sua conta só se abre com os seus meios de autenticação: ninguém, nem mesmo o CentraFIN, consegue entrar sem eles. Proteja a sua caixa de correio e, se utilizar chaves de acesso, mantenha duas.
Os assistentes de IA (MCP)
- Um assistente só acede à sua conta se o autorizar (OAuth 2.1 com PKCE), em modo só de leitura, e nunca às suas carteiras privadas.
- O respetivo token de acesso é válido durante 1 hora; o token de atualização, durante 30 dias, e só pode ser utilizado uma vez.
- Pode revogar um assistente a qualquer momento nas definições.
O próprio site
- Nenhum script de terceiros, nenhuma publicidade, nenhuma ferramenta de medição de audiências.
- Uma política de segurança de conteúdo rigorosa e apenas ligações HTTPS.
Comunicar uma falha
Escreva para contact@centrafin.xyz com «Segurança» no assunto: o que encontrou, como reproduzir o problema e o que conseguiu ver. Não aceda a dados de outras pessoas, não prejudique o funcionamento do serviço e dê-nos tempo para corrigir antes de divulgar. Estas regras constam também do nosso ficheiro security.txt.