Безопасность

CentraFIN устроен так, чтобы даже утечка данных с наших серверов не позволила ни добраться до ваших денег, ни узнать ваши приватные кошельки.

Что видят наши серверы

Данные	Наши серверы
Балансы, позиции, ордера и история ваших платформ	Видят их, чтобы показывать и рассчитывать ваши цифры
Секреты ваших API-ключей	Хранят их в зашифрованном виде (AES-256-GCM); никогда не возвращают, не показывают и не записывают в журналы
Адрес вашего аккаунта Hyperliquid	Видят его: он нужен, чтобы считывать аккаунт
Публичные ключи, адреса, названия и балансы ваших биткоин-кошельков	Никогда их не видят: ваш браузер их шифрует
Приватные ключи и фразы восстановления	Никогда их не получают: сервис их не принимает
Пароли	Сервис их не использует: ключи доступа и одноразовые коды

Ключи только для чтения

CentraFIN не выставляет ордера, ничего не переводит и ничего не выводит.
Coinbase и OKX: каждый новый ключ проверяется через платформу; ключ, который может торговать, переводить или выводить средства, отклоняется.
Kraken: платформа не позволяет провести такую проверку. В окне добавления ключа перечислены только те разрешения, которые нужно отметить.
Hyperliquid: ключ не нужен; аккаунт считывается по его публичному адресу, а адрес API-кошелька отклоняется.
Interactive Brokers: токен отчёта Flex, который даёт доступ только к выпискам.
Секреты шифруются собственным ключом сервиса, привязаны к типу своего ключа и никогда не покидают наши серверы.

Фиксированный IP-адрес для ваших ключей

Все запросы к Kraken, Coinbase, OKX и Hyperliquid отправляются с одного адреса, адреса нашего ретранслятора: 130.110.240.91. Вы можете ограничить свои API-ключи этим адресом в настройках платформы: тогда украденный ключ будет бесполезен в любом другом месте.

Ретранслятор, размещённый во Франции, принимает только запросы, подписанные CentraFIN, обращается только к этим платформам и ничего не хранит. Он видит проходящие через него ответы платформ, но никогда не видит секретов.

Приватные кошельки, которые мы не можем прочитать

Кошелёк добавляется по публичному ключу его аккаунта (xpub, ypub, zpub), никогда по приватному ключу.
Ваш браузер шифрует кошельки (AES-256-GCM) ключом, который защищён вашим ключом доступа (расширение WebAuthn PRF). Наши серверы хранят только зашифрованные данные, которые не могут открыть.
Ваш браузер сам запрашивает балансы у публичных узлов Bitcoin (blockstream.info, mempool.emzy.de, mempool.bitaroo.net), со сквозным шифрованием, через слепой ретранслятор. Эти узлы видят запрошенные адреса, но не видят ни вашего IP-адреса, ни вашего аккаунта. Каждый адрес всегда считывается одним и тем же узлом: ни один узел не видит их все.

Вход без пароля

На ваш адрес электронной почты, подтверждённый при создании аккаунта, по каждому запросу приходит ссылка для входа. Она действует 15 минут и только один раз и открывается кнопкой: программа, которая проверяет ваши письма, не воспользуется ею вместо вас.
К ней можно добавить ключ доступа (WebAuthn, с обязательной проверкой пользователя), приложение-аутентификатор (6-значные коды) или и то и другое. С приложением его код запрашивается после ссылки; если есть только ключ доступа, после ссылки запрашивается ключ. Аккаунт с такой защитой не открыть одним почтовым ящиком.
Ключ доступа позволяет войти и без почты, а затем запрашивается код, если у вас есть приложение.
Адрес электронной почты получает не больше одной ссылки в минуту и пяти в час, а с одного IP-адреса можно запросить не больше десяти в час.
После 5 неверных кодов подряд придётся подождать 15 минут, затем с каждой новой серией вдвое дольше, но не больше суток. Один и тот же IP-адрес блокируется после 5 неудачных попыток за 15 минут.
Сессия длится 8 часов.
Ваш аккаунт открывается только вашими способами входа: никто, включая CentraFIN, не может войти в него без них. Защитите свой почтовый ящик и, если пользуетесь ключами доступа, держите два.

ИИ-ассистенты (MCP)

Ассистент получает доступ к вашему аккаунту, только если вы это разрешите (OAuth 2.1 с PKCE), только для чтения и никогда к вашим приватным кошелькам.
Его токен доступа действует 1 час; токен обновления действует 30 дней, и его можно использовать только один раз.
Вы можете в любой момент отозвать доступ ассистента в настройках.

Сам сайт

Никаких сторонних скриптов, рекламы и систем веб-аналитики.
Строгая политика безопасности контента (Content Security Policy) и только соединения HTTPS.

Сообщить об уязвимости

Напишите на contact@centrafin.xyz с темой «Безопасность»: что вы нашли, как это воспроизвести и что вам удалось увидеть. Не получайте доступ к данным других людей, не нарушайте работу сервиса и дайте нам время всё исправить до публикации. Эти правила также есть в нашем файле security.txt.