安全
CentraFIN 能看到什么、看不到什么，您的密钥和钱包如何受到保护，以及如何向我们报告漏洞。
CentraFIN 的设计目标是：即使我们的服务器发生数据泄露，也无人能动用您的资金，也无人能得知您的私人钱包。
我们的服务器能看到什么
| 数据 | 我们的服务器 |
|---|---|
| 您在各平台的余额、持仓、委托和历史记录 | 能看到，用于显示和计算您的数据 |
| 您 API 密钥的私密部分（Secret） | 加密保存（AES-256-GCM）；绝不回传、显示或写入日志 |
| 您的 Hyperliquid 账户地址 | 能看到：用于读取该账户 |
| 您比特币钱包的公钥、地址、名称和余额 | 永远看不到：由您的浏览器加密 |
| 私钥和助记词 | 永远不会收到：本服务一律不接受 |
| 密码 | 本服务不使用任何密码：使用通行密钥和一次性验证码 |
只读密钥
- CentraFIN 不下单、不转账、不提现。
- Coinbase 和 OKX：每个新密钥都会向平台核实；可交易、转账或提现的密钥将被拒绝。
- Kraken：该平台不支持这种核实。添加密钥的窗口只列出需要勾选的权限。
- Hyperliquid：无需密钥；通过公开地址读取账户，API 钱包的地址将被拒绝。
- Interactive Brokers：使用 Flex 报表令牌，只能访问对账单。
- 私密部分使用本服务专属的密钥加密，与其密钥类型绑定，永远不会离开我们的服务器。
为您的密钥提供固定 IP 地址
对 Kraken、Coinbase、OKX 和 Hyperliquid 的请求全部从同一个地址发出，即我们中继服务器的地址：130.110.240.91。您可以在平台上将 API 密钥限定为仅允许此地址使用：这样即使密钥被盗，在其他地方也无法使用。
中继服务器托管在法国，只接受 CentraFIN 签名的请求，只访问这些平台，且不保存任何内容。平台的响应会经过它，但它永远看不到任何私密部分。
我们无法读取的私人钱包
- 钱包通过其账户的公钥（xpub、ypub、zpub）添加，绝不使用私钥。
- 您的浏览器使用一个由通行密钥保护的密钥（WebAuthn PRF 扩展）加密您的钱包（AES-256-GCM）。我们的服务器只保存自己无法打开的加密数据。
- 余额由您的浏览器自己向公共比特币节点（blockstream.info、mempool.emzy.de、mempool.bitaroo.net）读取，经由盲中继，端到端加密。这些节点能看到被查询的地址，但看不到您的 IP 地址，也看不到您的账户。每个地址始终由同一个节点读取：没有任何节点能看到全部地址。
无需密码的登录
- 您的邮箱地址在创建账户时确认，每次请求都会收到一个登录链接。链接 15 分钟内有效，仅可使用一次，需在打开的页面上点击按钮才会生效：扫描邮件的软件不会代您使用它。
- 您可以添加通行密钥（WebAuthn，要求用户验证）、身份验证器应用（6 位数验证码），或两者兼用。设置了应用时，链接之后会要求输入验证码；只有通行密钥时，链接之后会要求通行密钥。这样保护的账户，仅凭邮箱无法打开。
- 通行密钥也可以不经邮件直接登录；如果您还设置了应用，之后会要求输入验证码。
- 每个邮箱地址每分钟最多收到一个链接、每小时最多五个，每个 IP 地址每小时最多请求十个。
- 连续输错 5 次验证码后，账户需等待 15 分钟，此后每多一轮连续错误，等待时间加倍，最长一天。同一 IP 地址在 15 分钟内失败 5 次即被封锁。
- 会话有效期为 8 小时。
- 只有您的登录方式才能打开您的账户：没有它们，任何人（包括 CentraFIN）都无法进入。请保护好您的邮箱；如果使用通行密钥，请保留两个。
AI 助手（MCP）
- 只有经您授权（OAuth 2.1 与 PKCE），助手才能访问您的账户，且为只读，永远无法访问您的私人钱包。
- 访问令牌有效期 1 小时；刷新令牌有效期 30 天，且只能使用一次。
- 您可以随时在设置中撤销助手的授权。
网站本身
- 没有任何第三方脚本、广告或流量统计工具。
- 采用严格的内容安全策略，且只使用 HTTPS 连接。
报告漏洞
请发邮件至 contact@centrafin.xyz，主题注明“安全”，说明您发现了什么、如何复现、您能看到哪些内容。请勿访问他人的数据，请勿破坏服务，并在公开之前给我们留出修复的时间。这些规则也写在我们的 security.txt 文件中。