ความปลอดภัย

CentraFIN ออกแบบมาให้แม้เซิร์ฟเวอร์ของเราจะมีข้อมูลรั่วไหล ก็ไม่มีใครแตะต้องเงินของคุณหรือรู้ข้อมูลวอลเล็ตส่วนตัวของคุณได้

สิ่งที่เซิร์ฟเวอร์ของเราเห็น

คีย์แบบอ่านอย่างเดียว

• CentraFIN ไม่ส่งคำสั่งซื้อขาย ไม่โอน และไม่ถอนสิ่งใด
• Coinbase และ OKX: คีย์ใหม่ทุกคีย์จะถูกตรวจสอบกับแพลตฟอร์ม คีย์ที่เทรด โอน หรือถอนเงินได้จะถูกปฏิเสธ
• Kraken: แพลตฟอร์มไม่รองรับการตรวจสอบแบบนี้ หน้าต่างเพิ่มคีย์จึงแสดงเฉพาะสิทธิ์ที่ต้องเลือก
• Hyperliquid: ไม่ต้องใช้คีย์ บัญชีอ่านได้จากที่อยู่สาธารณะ และที่อยู่ของวอลเล็ต API จะถูกปฏิเสธ
• Interactive Brokers: ใช้โทเค็นรายงาน Flex ซึ่งเข้าถึงได้เฉพาะรายการเดินบัญชี
• ส่วนที่เป็นความลับจะถูกเข้ารหัสด้วยคีย์เฉพาะของบริการ ผูกกับประเภทของคีย์ และไม่มีวันออกนอกเซิร์ฟเวอร์ของเรา

ที่อยู่ IP คงที่สำหรับคีย์ของคุณ

การเรียกไปยัง Kraken, Coinbase, OKX และ Hyperliquid ทั้งหมดออกจากที่อยู่เดียว คือที่อยู่ของรีเลย์ของเรา: 130.110.240.91 คุณจำกัดคีย์ API ให้ใช้ได้เฉพาะที่อยู่นี้ได้ที่แพลตฟอร์ม: หากคีย์ถูกขโมย ก็จะนำไปใช้ที่อื่นไม่ได้

รีเลย์โฮสต์อยู่ในฝรั่งเศส รับเฉพาะคำขอที่ CentraFIN ลงนาม เรียกเฉพาะแพลตฟอร์มเหล่านี้ และไม่เก็บอะไรไว้เลย รีเลย์เห็นการตอบกลับของแพลตฟอร์มที่ผ่านไป แต่ไม่เคยเห็นข้อมูลลับ

วอลเล็ตส่วนตัวที่เราอ่านไม่ได้

• เพิ่มวอลเล็ตด้วยคีย์สาธารณะของบัญชีวอลเล็ต (xpub, ypub, zpub) ไม่ใช้คีย์ส่วนตัวเด็ดขาด
• เบราว์เซอร์ของคุณเข้ารหัสวอลเล็ต (AES-256-GCM) ด้วยคีย์ที่พาสคีย์ของคุณปกป้องไว้ (ส่วนขยาย WebAuthn PRF) เซิร์ฟเวอร์ของเราเก็บเพียงข้อมูลเข้ารหัสที่เราเปิดอ่านไม่ได้
• เบราว์เซอร์ของคุณอ่านยอดคงเหลือเองจากโหนด Bitcoin สาธารณะ (blockstream.info, mempool.emzy.de, mempool.bitaroo.net) ผ่านรีเลย์แบบมองไม่เห็นข้อมูล (blind relay) โดยเข้ารหัสตั้งแต่ต้นทางถึงปลายทาง โหนดเหล่านี้เห็นที่อยู่ที่ถูกขอ แต่ไม่เห็นที่อยู่ IP หรือบัญชีของคุณ แต่ละที่อยู่จะถูกอ่านโดยโหนดเดิมเสมอ: ไม่มีโหนดใดเห็นที่อยู่ทั้งหมด

เข้าสู่ระบบโดยไม่ใช้รหัสผ่าน

• ที่อยู่อีเมลของคุณ ซึ่งยืนยันไว้ตอนสร้างบัญชี จะได้รับลิงก์เข้าสู่ระบบทุกครั้งที่ขอ ลิงก์ใช้ได้ 15 นาที ใช้ได้ครั้งเดียว และเปิดด้วยปุ่ม: ซอฟต์แวร์ที่สแกนอีเมลของคุณจึงไม่ได้ใช้ลิงก์แทนคุณ
• คุณเพิ่มพาสคีย์ (WebAuthn โดยบังคับให้ยืนยันผู้ใช้) แอปยืนยันตัวตน (รหัส 6 หลัก) หรือทั้งสองอย่างได้ หากมีแอป ระบบจะขอรหัสจากแอปหลังลิงก์ หากมีพาสคีย์อย่างเดียว ระบบจะขอพาสคีย์หลังลิงก์ กล่องจดหมายของคุณเพียงอย่างเดียวจึงเปิดบัญชีที่ป้องกันไว้แบบนี้ไม่ได้
• พาสคีย์ยังใช้เข้าสู่ระบบได้โดยไม่ต้องใช้อีเมล ตามด้วยรหัสหากคุณมีแอป
• ที่อยู่อีเมลหนึ่งได้รับลิงก์ไม่เกินหนึ่งลิงก์ต่อนาทีและห้าลิงก์ต่อชั่วโมง และที่อยู่ IP หนึ่งขอได้ไม่เกินสิบลิงก์ต่อชั่วโมง
• หากกรอกรหัสผิด 5 ครั้งติดกัน บัญชีจะต้องรอ 15 นาที และรอนานขึ้นเป็นสองเท่าในแต่ละรอบถัดไป สูงสุดหนึ่งวัน ที่อยู่ IP เดียวกันจะถูกบล็อกหลังล้มเหลว 5 ครั้งภายใน 15 นาที
• เซสชันมีอายุ 8 ชั่วโมง
• บัญชีของคุณเปิดได้ด้วยวิธีเข้าสู่ระบบของคุณเท่านั้น: ไม่มีใคร รวมถึง CentraFIN เข้าได้หากไม่มีสิ่งเหล่านี้ ดูแลกล่องจดหมายอีเมลของคุณให้ปลอดภัย และหากใช้พาสคีย์ ควรมีไว้สองอัน

ผู้ช่วย AI (MCP)

• ผู้ช่วยจะเข้าถึงบัญชีของคุณได้ก็ต่อเมื่อคุณอนุญาต (OAuth 2.1 พร้อม PKCE) แบบอ่านอย่างเดียว และไม่มีทางเข้าถึงวอลเล็ตส่วนตัวของคุณ
• โทเค็นการเข้าถึงมีอายุ 1 ชั่วโมง ส่วนโทเค็นสำหรับต่ออายุมีอายุ 30 วัน และใช้ได้เพียงครั้งเดียว
• คุณเพิกถอนสิทธิ์ของผู้ช่วยได้ทุกเมื่อในการตั้งค่า

ตัวเว็บไซต์

• ไม่มีสคริปต์ของบุคคลที่สาม ไม่มีโฆษณา และไม่มีเครื่องมือวัดผู้เข้าชม
• ใช้นโยบายความปลอดภัยของเนื้อหา (Content Security Policy) ที่เข้มงวด และเชื่อมต่อผ่าน HTTPS เท่านั้น

แจ้งช่องโหว่

เขียนถึง contact@centrafin.xyz โดยใส่หัวเรื่องว่า “ความปลอดภัย” บอกสิ่งที่คุณพบ วิธีทำให้เกิดซ้ำ และสิ่งที่คุณมองเห็นได้ อย่าเข้าถึงข้อมูลของผู้อื่น อย่าทำให้บริการเสียหาย และโปรดให้เวลาเราแก้ไขก่อนเผยแพร่ กฎเหล่านี้อยู่ในไฟล์ security.txt ของเราด้วย