安全性
CentraFIN 看得到什麼、看不到什麼，您的金鑰與錢包如何受到保護，以及如何向我們通報漏洞。
CentraFIN 的設計，讓我們的伺服器即使發生資料外洩，也沒有人能動用您的資金，或得知您的私人錢包。
我們的伺服器看得到什麼
| 資料 | 我們的伺服器 |
|---|---|
| 您在各平台的餘額、持倉、委託與歷史紀錄 | 看得到，用來顯示與計算您的數字 |
| 您 API 金鑰的私密部分（Secret） | 加密保存（AES-256-GCM）；絕不回傳、顯示或寫入日誌 |
| 您的 Hyperliquid 帳戶地址 | 看得到：用來讀取該帳戶 |
| 您比特幣錢包的公鑰、地址、名稱與餘額 | 永遠看不到：由您的瀏覽器加密 |
| 私鑰與助記詞 | 永遠不會收到：本服務一律不接受 |
| 密碼 | 本服務完全不使用密碼：改用通行密鑰與一次性驗證碼 |
唯讀金鑰
- CentraFIN 不下單、不轉帳、不出金。
- Coinbase 與 OKX：每組新金鑰都會向平台確認；可交易、轉帳或出金的金鑰一律拒絕。
- Kraken：該平台不提供這種確認方式。新增視窗只會列出需要勾選的權限。
- Hyperliquid：不需要金鑰；透過公開地址讀取帳戶，API 錢包的地址一律拒絕。
- Interactive Brokers：使用 Flex 報表權杖，只能存取對帳單。
- 私密部分以本服務專屬的金鑰加密，並與其金鑰類型綁定，絕不會離開我們的伺服器。
為您的金鑰提供固定 IP 位址
對 Kraken、Coinbase、OKX 與 Hyperliquid 的請求，全部從同一個位址送出，也就是我們中繼伺服器的位址：130.110.240.91。您可以在平台上將 API 金鑰限制為只能從這個位址使用：這樣即使金鑰遭竊，在其他地方也無法使用。
中繼伺服器架設在法國，只接受 CentraFIN 簽署的請求，只連線到這些平台，而且不保存任何內容。平台的回應會經過它，但它絕不會看到任何私密部分。
我們無法讀取的私人錢包
- 錢包透過其帳戶的公鑰（xpub、ypub、zpub）新增，絕不使用私鑰。
- 您的瀏覽器會用一把由通行密鑰保護的金鑰（WebAuthn PRF 擴充功能）加密您的錢包（AES-256-GCM）。我們的伺服器只儲存自己無法開啟的加密資料。
- 餘額由您的瀏覽器自行向公開的比特幣節點（blockstream.info、mempool.emzy.de、mempool.bitaroo.net）讀取，透過盲中繼進行端對端加密。這些節點看得到被查詢的地址，但看不到您的 IP 位址，也看不到您的帳戶。每個地址都固定由同一個節點讀取：沒有任何節點看得到所有地址。
不用密碼的登入
- 您的電子郵件地址會在建立帳戶時確認，每次提出要求都會收到一個登入連結。連結 15 分鐘內有效，只能使用一次，且須在開啟的頁面上按下按鈕才會生效：掃描電子郵件的軟體不會代替您使用它。
- 您可以加上通行密鑰（WebAuthn，須通過使用者驗證）、驗證器 App（6 位數驗證碼），或兩者並用。設定了 App 時，連結之後會要求輸入驗證碼；只有通行密鑰時，連結之後會要求通行密鑰。這樣保護的帳戶，單憑信箱無法開啟。
- 通行密鑰也能不經電子郵件直接登入；如果您也設定了 App，之後會要求輸入驗證碼。
- 每個電子郵件地址每分鐘最多收到一個連結、每小時最多五個，每個 IP 位址每小時最多索取十個。
- 連續輸入 5 次錯誤驗證碼後，帳戶須等待 15 分鐘，之後每多一輪連續錯誤，等待時間加倍，最長一天。同一個 IP 位址在 15 分鐘內失敗 5 次即會遭封鎖。
- 工作階段的有效時間為 8 小時。
- 只有您的登入方式才能開啟您的帳戶：沒有它們，任何人（包括 CentraFIN）都無法進入。請保護好您的信箱；如果使用通行密鑰，請保留兩個。
AI 助理（MCP）
- 只有在您授權後（OAuth 2.1 搭配 PKCE），助理才能存取您的帳戶，且僅限唯讀，絕不能存取您的私人錢包。
- 存取權杖效期 1 小時；更新權杖效期 30 天，且只能使用一次。
- 您隨時可以在設定中撤銷助理的授權。
網站本身
- 沒有任何第三方腳本、廣告或流量分析工具。
- 採用嚴格的內容安全政策，且只使用 HTTPS 連線。
通報漏洞
請寄信至 contact@centrafin.xyz，主旨註明「安全性」：說明您發現了什麼、如何重現、看到了哪些內容。請勿存取他人的資料，請勿影響服務運作，並在公開之前給我們修正的時間。這些規則也列在我們的 security.txt 檔案中。