Güvenlik
CentraFIN'in neyi görüp neyi görmediği, anahtarlarınızın ve cüzdanlarınızın nasıl korunduğu ve bir güvenlik açığını bize nasıl bildirebileceğiniz.
CentraFIN, sunucularımızdan veri sızsa bile kimsenin paranıza dokunamayacağı ve özel cüzdanlarınızı öğrenemeyeceği şekilde tasarlanmıştır.
Sunucularımızın gördükleri
| Veri | Sunucularımız |
|---|---|
| Platformlarınızdaki bakiyeler, pozisyonlar, emirler ve geçmiş | Görür; rakamlarınızı göstermek ve hesaplamak için |
| API anahtarlarınızın gizli bilgileri | Şifreli olarak saklar (AES-256-GCM); asla geri göndermez, göstermez veya günlüğe kaydetmez |
| Hyperliquid hesabınızın adresi | Görür: hesabı okumak için kullanılır |
| Bitcoin cüzdanlarınızın açık anahtarları, adresleri, adları ve bakiyeleri | Asla görmez: bunları tarayıcınız şifreler |
| Özel anahtarlar ve kurtarma ifadeleri | Asla almaz: hizmet bunların hiçbirini kabul etmez |
| Şifreler | Hizmet hiç şifre kullanmaz: geçiş anahtarları ve tek kullanımlık kodlar |
Salt okunur anahtarlar
- CentraFIN hiçbir emir vermez, hiçbir şey transfer etmez ve hiçbir şey çekmez.
- Coinbase ve OKX: her yeni anahtar platform üzerinden kontrol edilir; işlem, transfer veya para çekme yetkisi olan bir anahtar reddedilir.
- Kraken: platform bu kontrole izin vermez. Anahtar ekleme penceresi, işaretlemeniz gereken izinleri ve yalnızca onları listeler.
- Hyperliquid: anahtar gerekmez; hesap açık adresi üzerinden okunur ve bir API cüzdanının adresi reddedilir.
- Interactive Brokers: yalnızca hesap ekstrelerine erişim sağlayan bir Flex rapor token'ı.
- Gizli bilgiler hizmete ait bir anahtarla şifrelenir, ait oldukları anahtar türüne bağlanır ve sunucularımızdan asla çıkmaz.
Anahtarlarınız için sabit bir IP adresi
Kraken, Coinbase, OKX ve Hyperliquid'e gönderilen tüm istekler tek bir adresten, aktarma sunucumuzun adresinden çıkar: 130.110.240.91. API anahtarlarınızı platformda bu adresle sınırlayabilirsiniz: böylece çalınan bir anahtar başka bir yerde işe yaramaz.
Fransa'da barındırılan aktarma sunucusu yalnızca CentraFIN tarafından imzalanan istekleri kabul eder, yalnızca bu platformlara bağlanır ve hiçbir şey saklamaz. Platformların yanıtları üzerinden geçer, ancak hiçbir gizli bilgiyi asla görmez.
Okuyamadığımız özel cüzdanlar
- Bir cüzdan, hesabının açık anahtarıyla (xpub, ypub, zpub) eklenir, asla bir özel anahtarla eklenmez.
- Tarayıcınız cüzdanlarınızı, geçiş anahtarınızın koruduğu bir anahtarla (WebAuthn PRF uzantısı) şifreler (AES-256-GCM). Sunucularımız yalnızca açamadıkları şifreli verileri saklar.
- Bakiyeleri tarayıcınız, herkese açık Bitcoin düğümlerinden (blockstream.info, mempool.emzy.de, mempool.bitaroo.net) uçtan uca şifreli olarak ve kör bir aktarma sunucusu üzerinden kendisi okur. Bu düğümler istenen adresleri görür, ancak ne IP adresinizi ne de hesabınızı görür. Her adres her zaman aynı düğüm tarafından okunur: hiçbir düğüm hepsini görmez.
Şifresiz giriş
- Hesap oluşturulurken onaylanan e-posta adresiniz, her istekte bir giriş bağlantısı alır. Bağlantı 15 dakika boyunca ve yalnızca bir kez çalışır, bir düğmeyle açılır: e-postalarınızı tarayan bir yazılım onu sizin yerinize kullanmaz.
- Buna bir geçiş anahtarı (WebAuthn, kullanıcı doğrulaması zorunlu), bir kimlik doğrulama uygulaması (6 haneli kodlar) veya ikisini birden ekleyebilirsiniz. Uygulama varsa kodu bağlantıdan sonra istenir; yalnızca geçiş anahtarı varsa geçiş anahtarı bağlantıdan sonra istenir. Böyle korunan bir hesabı gelen kutunuz tek başına açamaz.
- Bir geçiş anahtarı sizi e-posta olmadan da giriş yaptırır; uygulamanız varsa ardından kod istenir.
- Bir e-posta adresi dakikada en fazla bir, saatte en fazla beş bağlantı alır; bir IP adresi saatte en fazla on bağlantı isteyebilir.
- Art arda 5 yanlış koddan sonra hesap 15 dakika bekletilir, sonraki her seride bu süre iki katına çıkar, en fazla bir güne kadar. Aynı IP adresi, 15 dakika içinde 5 başarısız denemeden sonra engellenir.
- Bir oturum 8 saat sürer.
- Hesabınız yalnızca sizin giriş yöntemlerinizle açılır: CentraFIN dahil hiç kimse onlar olmadan hesabınıza giremez. E-posta kutunuzu koruyun ve geçiş anahtarı kullanıyorsanız iki tane bulundurun.
Yapay zekâ asistanları (MCP)
- Bir asistan hesabınıza yalnızca siz izin verirseniz (PKCE ile OAuth 2.1), salt okunur olarak erişir ve özel cüzdanlarınıza asla erişemez.
- Erişim token'ı 1 saat geçerlidir; yenileme token'ı 30 gün geçerlidir ve yalnızca bir kez kullanılabilir.
- Bir asistanın erişimini ayarlardan istediğiniz zaman iptal edebilirsiniz.
Sitenin kendisi
- Üçüncü taraf betik yok, reklam yok, ziyaretçi ölçüm aracı yok.
- Katı bir İçerik Güvenliği Politikası (Content Security Policy) ve yalnızca HTTPS bağlantıları.
Güvenlik açığı bildirme
contact@centrafin.xyz adresine konu satırına “Güvenlik” yazarak e-posta gönderin: ne bulduğunuzu, nasıl tekrarlanabileceğini ve neler görebildiğinizi anlatın. Başkalarının verilerine erişmeyin, hizmetin işleyişini bozmayın ve yayımlamadan önce düzeltmemiz için bize zaman tanıyın. Bu kurallar security.txt dosyamızda da yer alır.