Keamanan adalah batasan desain
Setiap permintaan melewati firewall aplikasi, validasi input yang ketat, dan kebijakan same-origin. Semua aksi admin memerlukan token verifikasi permintaan, sesi yang terikat pada fingerprint browser, dan dicatat di audit log.
Yang tidak pernah kami lakukan
- Kami tidak pernah meminta seed phrase atau private key.
- Kami tidak pernah mengirim kredensial routing ke browser.
- Kami tidak pernah membiarkan browser mengubah calldata quote yang disetujui.
- Kami tidak memegang dana pengguna. Swap berjalan wallet-to-wallet.
Kontrol yang diterapkan
- Password: strong password hashing dengan memori 64 MB, empat iterasi, dua thread.
- Rahasia: authenticated encryption dengan autentikasi; kunci enkripsi berada di luar database.
- Transport: browser security policy ketat, HSTS pada HTTPS, aset di-host sendiri.
- Sesi: cookie HttpOnly, SameSite=Lax, regenerasi sesi saat login, timeout idle.
- Integritas quote: quote terikat ke sesi, kedaluwarsa dalam dua menit, tidak bisa diubah dari klien.
- File: upload dienkode ulang, ekstensi diperiksa, dan disimpan di luar jalur eksekusi.
Pelaporan kerentanan
Menemukan kerentanan? Kirim email ke [email protected] dengan langkah reproduksi. Kami merespons dalam 48 jam.