Tietoturvamalli

Luottamusrajat

Toimija	Tunnistetieto	Voi
Palvelimesi	Salainen, käyttöoikeuksin rajattu live-API-avain (gp_live_…) — saatavilla, kun tilisi on aktivoitu	Käyttää kauppiasrajapintaa oman organisaationsa ja ympäristönsä puitteissa
Tiimisi	Hallintapaneelin istunto (palvelimella säilytettävä HttpOnly-eväste), roolipohjainen, MFA saatavilla	Hallita organisaatiota roolinsa puitteissa
Asiakkaasi	Arvaamaton kassaistunnon tunniste	Nähdä siistitty näkymä yhteen maksuun ja toimia sen kassassa
Alustan ylläpitäjät	Erillinen identiteetti pakollisella MFA:lla	Tuki- ja riskityö; merkittävät toimenpiteet (KYB-päätökset, manuaaliset ratkaisut, liputukset, live-tila) vaativat toisen ylläpitäjän hyväksynnän. Ylläpitäjä tarkastaa myös jokaisen noston
Lohkoketjujen seurantapalvelut	Sisäinen tunnistetieto sisäisessä kuuntelijassa	Lähettää havaintoja, jotka yhdyskäytävä validoi uudelleen

Organisaatio johdetaan aina todennetusta toimijasta — ei koskaan pyynnön rungosta. Vuokralaisten eristys toteutetaan kyselyissä ja lisäsuojana tietokannan rivitason suojauksella (row-level security) sovelluksen roolille.

Mitä emme koskaan pyydä

• Yksityisiä avaimia, siemenlauseita tai lompakkotiedostoja.
• Korttinumeroita tai CVV-koodeja (korttimaksujen käsittelyä ei tarjota; se edellyttäisi kumppanin isännöimiä kenttiä).
• Webhookin allekirjoitussalaisuuttasi sen jälkeen, kun se on näytetty sinulle.

Salaisuudet ja tallennettu data

• API-avaimet ja istuntotunnisteet tallennetaan vain avaimellisina tiivisteinä; koko arvo näytetään kerran.
• Webhookien allekirjoitussalaisuudet, MFA-siemenet ja lompakoiden laajennetut julkiset avaimet salataan tallennettuina; rajapinta ei koskaan palauta laajennettuja avaimia (vain sormenjäljen).
• Lokit eivät koskaan sisällä Authorization-otsakkeita, allekirjoitussalaisuuksia tai täydellisiä henkilötietoja. Pyyntölokit kirjaavat metodin, polun, tilan, viiveen ja avaimen etuliitteen — eivät runkoja.
• Asiakastiedot minimoidaan: sähköpostiosoite ja/tai viitteesi, vain jos lähetät ne.

Webhookien lähtevä liikenne (SSRF-suojaus)

Päätepisteiden URL-osoitteiden on oltava julkisia HTTPS-osoitteita. Toimitushetkellä kohdeosoite tarkistetaan yhteyttä muodostettaessa, joten DNS rebinding -tekniikalla isäntänimeä ei voi ohjata sisäiseen palveluun. Yksityiset, loopback-, link-local-, operaattoritason NAT- (carrier-grade NAT) ja metatieto-osoitealueet torjutaan; uudelleenohjaukset raportoidaan eikä niitä seurata; pyyntöjen ja vastausten koot sekä aikakatkaisut on rajattu.

Taloustietojen eheys

• Maksujen tilamuutokset, lohkoketjukohdistukset, kirjanpitokirjaukset ja auditointitapahtumat ovat tietokantatasolla vain lisäyksiä sallivia.
• Kirjanpitomerkintöjen on täsmättävä valuuttakohtaisesti, tai transaktio hylätään.
• Auditointiloki on organisaatiokohtaisesti tiivisteketjutettu (GET /v1/audit-events palauttaa aikaikkunalle arvon chain_valid).
• Ylläpitäjät eivät voi merkitä ulkoista maksua vahvistetuksi ilman dokumentoitua näyttöä ja toisen ylläpitäjän hyväksyntää; alkuperäiset tapahtumat säilytetään.

Live-säilytys

Live-maksut ovat säilyttäviä, ja ne otetaan käyttöön, kun tilisi on vahvistettu ja hyväksytty. Aktivoidulla tilillä:

• Vastaanotetut varat ovat alustan Bitcart-lompakoissa. Kunkin organisaation saldo on vain lisäyksiä sallivien kirjanpitoliikkeiden summa kokonaislukuina perusyksiköissä, ja lasku voidaan hyvittää vain kerran.
• Bitcartin takaisinkutsujen runkoihin ei koskaan luoteta: FeitPay hakee laskun tai noston uudelleen Bitcartista alustan tunnistetiedolla, ja taustaprosessit lisäksi kyselevät tilaa säännöllisesti.
• Nostot menevät vain sallittuihin osoitteisiin, jotka ovat läpäisseet muoto- ja tarkistussummatarkistuksen sekä odotusajan. Summa varataan, kun nosto pyydetään, organisaation toinen jäsen hyväksyy sen (oletuksena käytössä), FeitPayn ylläpitäjä tarkastaa sen aina, ja Bitcart lähettää sen alustan kuumasta lompakosta. Lähetystä ei koskaan yritetä uudelleen automaattisesti.
• FeitPay ei itse tallenna yksityisiä avaimia tai siemenlauseita: alustan lompakoiden avaimet pysyvät sen Bitcart-tilillä, joka allekirjoittaa nostot.

Sinun vastuusi

• Säilytä salaiset avaimet ja webhook-salaisuudet salaisuuksien hallintajärjestelmässä; vaihda ne henkilöstömuutosten yhteydessä ja aina, kun epäilet niiden paljastuneen.
• Todenna webhook-allekirjoitukset raa’an rungon yli ja ohita kaksoiskappaleet event_id:n perusteella.
• Toimita vain, kun fulfillable on tosi, ja tarkista tilanne rajapinnasta.
• Vaadi MFA tiimin jäseniltä, joilla on vaikutuksiltaan merkittäviä rooleja.

Haavoittuvuuden ilmoittaminen

Ilmoita epäillyistä haavoittuvuuksista verkkosivuston yhteydenottolomakkeella (aihe Tietoturvailmoitus). Liitä mukaan jokaisen asianomaisen kutsun pyyntötunniste äläkä testaa muiden kauppiaiden dataa vastaan.