Безпека | CentraFIN

CentraFIN побудовано так, щоб навіть витік із наших серверів не дав змоги ні дістатися до ваших коштів, ні дізнатися про ваші приватні гаманці.

Що бачать наші сервери

Дані	Наші сервери
Баланси, позиції, ордери та історія ваших платформ	Бачать їх, щоб показувати й обчислювати ваші показники
Секрети ваших API-ключів	Зберігають їх зашифрованими (AES-256-GCM); ніколи не повертають, не показують і не записують у журнали
Адреса вашого акаунта Hyperliquid	Бачать її: вона потрібна, щоб зчитувати акаунт
Публічні ключі, адреси, назви та баланси ваших біткоїн-гаманців	Ніколи їх не бачать: їх шифрує ваш браузер
Приватні ключі та фрази відновлення	Ніколи їх не отримують: сервіс не приймає жодних
Паролі	Сервіс не використовує жодних: ключі доступу та одноразові коди

Ключі лише для читання

CentraFIN не розміщує ордерів, нічого не переказує й нічого не виводить.
Coinbase і OKX: кожен новий ключ перевіряється на платформі; ключ, який може торгувати, переказувати чи виводити кошти, відхиляється.
Kraken: платформа не дає змоги так перевірити ключ. У вікні додавання перелічено лише ті дозволи, які треба позначити.
Hyperliquid: ключ не потрібен; акаунт зчитується за його публічною адресою, а адреса API-гаманця відхиляється.
Interactive Brokers: токен звіту Flex, який дає доступ лише до виписок.
Секрети шифруються власним ключем сервісу, прив’язані до типу свого ключа й ніколи не залишають наших серверів.

Фіксована IP-адреса для ваших ключів

Усі запити до Kraken, Coinbase, OKX і Hyperliquid надходять з однієї адреси, адреси нашого ретранслятора: 130.110.240.91. На платформі ви можете обмежити свої API-ключі цією адресою: тоді викрадений ключ деінде ні на що не знадобиться.

Ретранслятор, розміщений у Франції, приймає лише запити, підписані CentraFIN, звертається лише до цих платформ і нічого не зберігає. Через нього проходять їхні відповіді, але жодного секрету він не бачить.

Приватні гаманці, які ми не можемо прочитати

Гаманець додається за публічним ключем його акаунта (xpub, ypub, zpub), ніколи за приватним ключем.
Ваш браузер шифрує ваші гаманці (AES-256-GCM) ключем, який захищає ваш ключ доступу (розширення WebAuthn PRF). Наші сервери зберігають лише зашифровані дані, які не можуть відкрити.
Ваш браузер сам зчитує баланси з публічних вузлів біткоїна (blockstream.info, mempool.emzy.de, mempool.bitaroo.net) з наскрізним шифруванням, через сліпий ретранслятор. Ці вузли бачать запитані адреси, але не бачать ні вашої IP-адреси, ні вашого облікового запису. Кожну адресу завжди зчитує той самий вузол: жоден не бачить їх усіх.

Вхід без пароля

На вашу адресу електронної пошти, підтверджену під час створення облікового запису, за кожним запитом надходить посилання для входу. Воно діє 15 хвилин і лише один раз і відкривається кнопкою: програма, що перевіряє ваші листи, не скористається ним замість вас.
До нього можна додати ключ доступу (WebAuthn, з обов’язковою перевіркою користувача), застосунок-автентифікатор (6-значні коди) або обидва способи. Із застосунком його код запитується після посилання; якщо є лише ключ доступу, після посилання запитується ключ. Обліковий запис із таким захистом не відкрити самою поштовою скринькою.
Ключ доступу дає змогу увійти й без пошти, а потім запитується код, якщо у вас є застосунок.
Адреса електронної пошти отримує щонайбільше одне посилання на хвилину і п’ять на годину, а з однієї IP-адреси можна запросити щонайбільше десять на годину.
Після 5 неправильних кодів поспіль обліковий запис чекає 15 хвилин, потім після кожної нової серії вдвічі довше, але не більше доби. Одна IP-адреса блокується після 5 невдалих спроб за 15 хвилин.
Сеанс триває 8 годин.
Ваш обліковий запис відкривається лише вашими способами входу: ніхто, зокрема й CentraFIN, не може увійти без них. Захистіть свою поштову скриньку і, якщо користуєтеся ключами доступу, майте два.

ШІ-асистенти (MCP)

Асистент отримує доступ до вашого облікового запису, лише якщо ви це дозволите (OAuth 2.1 з PKCE), лише для читання й ніколи до ваших приватних гаманців.
Його токен доступу діє 1 годину; токен оновлення діє 30 днів і використовується лише один раз.
Ви будь-коли можете відкликати доступ асистента в налаштуваннях.

Сам сайт

Жодних сторонніх скриптів, жодної реклами, жодних інструментів вимірювання аудиторії.
Сувора політика безпеки вмісту й лише з’єднання HTTPS.

Повідомити про вразливість

Напишіть на contact@centrafin.xyz з темою «Безпека»: що ви знайшли, як це відтворити, що вам вдалося побачити. Не отримуйте доступу до даних інших людей, не порушуйте роботу сервісу й дайте нам час виправити проблему, перш ніж оприлюднювати її. Ці правила також наведено в нашому файлі security.txt.