Güvenlik

Tasarım gereği yalnızca okuma

Portfara bakiyeleri ve pozisyonları okur. İşlem yapamaz, bakiye transfer edemez veya para çekme başlatamaz; bunu yapabilecek herhangi bir kod yolu da yoktur.

Bir borsayı bağladığınızda, API anahtarı saklanmadan önce incelenir. İşlem veya para çekme yetkisi taşıyan bir anahtar, uyarıyla kabul edilmek yerine doğrudan reddedilir. Bir anahtar yalnızca, borsanın kendi yetki yanıtı onun işlem yapamadığını ve para çekemediğini gösterdiğinde saklanır. Bu yanıt okunamazsa anahtar kanıtlanmamış sayılır ve reddedilir.

• Beş borsa desteklenir; her biri kendi yetki uç noktası üzerinden doğrulanır.
• Fazla yetkili bağlantılar, değiştirilene kadar arayüzde işaretli kalır.
• Aracı kurum bağlantıları, işlem oturumu değil, yalnızca okumaya yönelik raporlama akışlarıdır.

Şifrelenmiş kimlik bilgileri

Borsalarınızı ve aracı kurumunuzu bağlamak için Portfara'ya verdiğiniz anahtarlar ve token'lar, veritabanının dışında tutulan yüksek entropili bir sırdan türetilen bir anahtarla, durağan haldeyken şifrelenir. Yalnızca veritabanına erişmek, bağlantılarınızı ortaya çıkarmaz. Parolanız hiçbir zaman saklanmaz; yalnızca argon2 özeti tutulur.

Hesaplar, bir kural gereği değil, sorgu katmanında izole edilir. Kapsam belirleme merkezi olarak uygulanır; böylece varlıklarınız, hesap özetleriniz ve geçmişiniz, tasarım gereği diğer tüm hesaplardan ayrılır.

Avrupa altyapısı

Portfara, AB sınırları içinde, Helsinki'deki Hetzner bulut altyapısında çalışır. Veritabanına internetten erişilemez ve saldırı yüzeyi kasıtlı olarak dardır: yalnızca uygulamayı sunmak için gereken portlar açıktır ve bu, yalnızca sunucuda değil, ağ sınırında da uygulanır.

• Yalnızca HTTPS; otomatik yenilenen sertifikalar ve sıkı taşıma güvenliği ile.
• Sıkı bir içerik güvenliği politikası. Uygulamanın yüklediği tek üçüncü taraf içerik, varlık ve döviz sayfalarındaki TradingView grafikleridir; bunlar da yalnızca yüklemeyi seçtiğinizde yüklenir.
• Yazı tipleri ve uygulama dosyaları bir CDN'den değil, kendi altyapımızdan sunulur.

Bizim okuyamadığımız yedekler

Yedekler otomatik olarak alınır ve açık anahtarlı şifreleme ile korunur. Sunucu, anahtar çiftinin yalnızca açık (public) yarısını tutar: şifrelenmiş bir yedek üretebilir ama matematiksel olarak bir yedeği açamaz. Özel (private) anahtar çevrimdışı tutulur ve hiçbir zaman bu makinede bulunmamıştır.

Her yedeğin bütünlüğü, şifrelenmeden önce bellek üzerinde kontrol edilir; böylece veritabanının şifrelenmemiş bir kopyası hiçbir zaman diske yazılmaz.

Analitik yok, reklam yok

Portfara'da herhangi bir analitik ürünü bulunmaz. Sayfa görüntüleme takibi, oturum kaydı, reklam pikseli veya üçüncü taraf hata raporlama servisi yoktur. Verileriniz satılmaz.

Bir özelliğin ihtiyaç duyduğu için bazı taraflar belirli verileri alır ve burada adlarıyla belirtilir. Anthropic, açtığınız yapay zeka özelliklerinin gönderdiklerini alır (aşağıya bakın). Varlık ve döviz sayfalarında TradingView grafikleri gömülüdür: bir grafik yüklendiğinde TradingView IP adresinizi ve gösterilen sembolü alır, kendi çerezlerini de yerleştirebilir. Bağladığınız borsalar ve aracı kurum, yalnızca okuma yetkili anahtarlarınızla sorgulanır. Fiyatlar ve haberler, sunucumuz tarafından varlık adları ve semboller kullanılarak piyasa verisi ve haber kaynaklarından alınır; sizi tanımlayan hiçbir bilgi kullanılmaz.

Giriş yapma ve başarısız denemeler gibi güvenlikle ilgili olaylar, yalnızca kendi altyapımızda kaydedilir ve orada kalır.

Sizin belirlediğiniz şartlarla yapay zeka

Dört özellik sizinle ilgili verileri bir dil modeline gönderir: asistan, yazılı günlük özet, ekstre kategorilendirme ve haber izleme listenize eklediğiniz tanınmayan bir sembolün aranması. Dördü de, her birinin neyi gönderdiğini belirten bir bilgilendirmenin ardından Ayarlar'dan siz açana kadar kapalıdır. Bu özellikler Anthropic'in sunduğu Claude modelini kullanır; istekler Amerika Birleşik Devletleri'nde işlenir.

• Yapay zeka özelliklerini kapalı bırakırsanız, sizinle veya portföyünüzle ilgili hiçbir şey bir modele gönderilmez. Ekstreler bu durumda sunucumuzda yalnızca kurallarla kategorilendirilir.
• Varlık özetleri sizinle ilgili değildir. Her biri, kamuya açık haberlerden varlık başına bir kez yazılır, o varlığı tutan herkes için aynıdır ve yalnızca varlığın adını içerir.
• Anthropic'in ticari koşulları, API üzerinden gönderilen verilerle modellerinin eğitilmesine izin vermez.
• Kullanım hesap bazında kaydedilir; yapay zeka özelliklerini kapattığınızda gönderim hemen durur.

Hesap güvenliği

Kimlik doğrulama, üçüncü taraf bir kimlik sağlayıcısına devredilmek yerine doğrudan Portfara tarafından yapılır; böylece hesap bilgileriniz başka bir şirketin sisteminde bulunmaz. Parolalar argon2 kullanılarak saklanır.

Oturumlar, kendi kendine yeten jetonlar değil, sunucu tarafında tutulan kayıtlardır; bu da çıkış yaptığınızda oturumun sunucuda gerçekten sonlandırıldığı anlamına gelir. Oturum çerezine JavaScript üzerinden erişilemez ve art arda başarısız giriş denemeleri hız sınırlamasına tabidir.

Sorumlu bildirim

Bir güvenlik açığı bulduğunuzu düşünüyorsanız, lütfen kamuya açıklamadan önce contact@portfara.com adresine bildirin. Bildirimler dikkate alınır ve ciddiyetle değerlendirilir.