Güvenlik ve saklamasız model

• Sizin sağladığınız genel anahtardan alım adresleri türetebilir ve bunları bir ödeme sayfasında gösterebilir.
• Herkese açık blok zinciri verisini okuyup bir faturanın ödendiğine karar verebilir.
• Sunucunuza imzalı bir webhook ile haber verebilir ve sipariş durumunu kendi veritabanına yazabilir.

• Bir ödemeyi taşıyamaz, donduramaz, geri alamaz veya iade edemez; çünkü bir blok zinciri işlemini imzalayabilecek hiçbir anahtarı yoktur. Bu, uymaya söz verdiğimiz bir politika değil, mimarinin bir özelliğidir.

Bir ödeme işleyicisi ancak işlemleri imzalayabilecek bir anahtarı varsa fon hareket ettirebilir. Bizde böyle bir anahtar yok. Cüzdanınızı yapılandırırken bize ya bir alım adresi ya da genişletilmiş genel anahtar (xpub) verirsiniz. İkisi de herkese açık veridir. Bir xpub alım adresleri türetebilir ama o adreslerden harcamak için gereken özel anahtarları matematiksel olarak üretemez. Worker'larımız yalnızca salt okunur blok zinciri uç noktalarını — Tronscan, BscScan ve mempool.space'in arkasındaki aynı açık veriyi — çağırır ve platformdaki hiçbir kod yolu satıcı fonlarını harcayan bir işlem oluşturmaz, imzalamaz veya yayınlamaz.

• Cüzdan yapılandırma uç noktası, özel anahtar materyali içeren her genişletilmiş anahtarı reddeder — bir xprv yapıştırırsanız saklanmaz, reddedilir.
• Platformun kendi komisyon cüzdanı için de tüm ortamlarda aynı kural geçerlidir: bu cüzdan izleme amaçlı genel anahtar yerine özel anahtarla yapılandırılırsa hizmet başlamayı reddeder.
• Üretim ortamında başlangıç doğrulaması, herhangi bir ortam değişkeni özel anahtar, anımsatıcı ifade veya kurtarma ifadesi içeriyorsa süreci ayrıca durdurur.
• Zincir üstü worker'lar yalnızca salt okunur veri adaptörleri kullanır. Platformda işlem imzalama veya yayınlama kodu yoktur.
• Otomatik bir test, her iki anahtar giriş noktasının da özel anahtarları reddettiğini doğrular; böylece bu değişmez kural sonraki bir sürümde sessizce kaldırılamaz. Ayrıca panelde bir siparişi iade edildi olarak işaretlemek yalnızca bir veritabanı kaydını değiştirir — hiçbir coin'i hareket ettirmez, ettiremez de.

NextCryptoPay'in USDT aldığı tam olarak tek bir yer vardır ve orası müşterilerinizin parası değildir: platform ücretimizi ödemek için yüklediğiniz ön ödemeli bakiye. Bu, sizin peşin ödediğiniz gelirimizdir ve sizinle müşteriniz arasındaki ödeme akışından tamamen ayrıdır. Komisyon tahsilat cüzdanı da altyapımızda izleme amaçlı olarak yapılandırılmıştır — zaten bu yüzden ona bir özel anahtar verilirse hizmet başlamayı reddeder. Bunu keşfedip "başka neyi atladılar" diye düşünmeniz yerine, istisnayı kendimiz belirtmeyi tercih ediyoruz.

Güncel ücreti fiyatlandırma sayfasında görün →

• Bir saldırganın elde edebilecekleri: satıcı hesap verileri, yapılandırılmış alım adresleri ve xpub'lar, sipariş üst verileri, webhook uç noktaları ve webhook gizli anahtarları. Gelecekteki ödeme sayfalarında yanlış alım adresleri gösterebilir.
• Bir saldırganın elde edemeyecekleri: fonlarınız ve geçmiş ödemelerinizin hiçbiri. Sistemlerimizde bir satıcı cüzdanından harcama yapabilecek hiçbir anahtar bulunmadığı için bakiyelerin kendisinden çalınacak bir şey yoktur.
• Bunun sizin için anlamı: ödeme sayfasında gösterilen alım adresini kendi yapılandırdığınız cüzdanla karşılaştırın ve işlem yapmadan önce her webhook imzasını doğrulayın.

Yapılandırdığınız cüzdan adresini alın ve herkese açık bir blok gezgininde aratın — TRC-20 için Tronscan, BEP-20 için BscScan, ERC-20 için Etherscan, Bitcoin için mempool.space. Ödemenin müşterinizin adresinden doğrudan sizinkine geldiğini, arada hiçbir durak olmadığını göreceksiniz. Bizim denetimimizdeki bir adres o yolda görünseydi, tam orada görünürdü. Görünmüyor.

• Bir ödemeyi geri alamayız veya iade edemeyiz. Zincir üstü işlemler nihaidir. İade, kendi cüzdanınızdan sizin gönderdiğiniz bir şeydir; panelimiz yalnızca bunu yaptığınızı kaydeder.
• Yanlış adrese gönderilen fonları kurtaramayız. Yapılandırdığınız cüzdan adresi hatalıysa ödemeler o yanlış adrese gider ve kaybolur. Adresi kontrol edin ve önce küçük bir tutarla deneyin.
• Cüzdanınızı kurtaramayız. Anahtarlarınız hiçbir zaman bizde olmadı. Onları kaybederseniz yardımcı olamayız — hiçbir destek kanalı, hiçbir istisna yok.
• Fonları donduramaz veya el koyamayız; sizin talebiniz üzerine de, üçüncü bir tarafın talebi üzerine de. Böyle bir yetkimiz yok.

NextCryptoPay bağımsız bir güvenlik denetiminden geçmedi ve aksini ima etmeyeceğiz. İşletenlerin kimliğini de açıklamıyoruz: bu sitede şirket adı, sicil numarası veya ofis adresi yok, çünkü adı verilecek bir tüzel kişilik yok. Gerçek cironuzu herhangi bir hizmet üzerinden — bu hizmet dahil — geçirmeden önce iki gerçeği de tartın. Bir isim ve bir sertifika yerine sunduğumuz şey, kimliğimizin önemli olmak zorunda kalmadığı bir tasarımdır: müşterilerinizin parasını hareket ettirebilecek bir anahtarı hiçbir zaman tutmayız ve yukarıdaki her iddia, inanılacak değil test edilebilecek cinstendir.

Bulgularınızı [email protected] adresine gönderin veya aşağıdaki bildirim politikamıza bakın. Aldığımızı teyit eder ve düzeltme sürecinden sizi haberdar ederiz. Lütfen gerçek satıcı faturaları veya başkalarının ödemeleri üzerinde test yapmayın.

/.well-known/security.txt