免费注册
信任

安全

最后更新 ·

如何向我们报告安全问题、哪些服务方代表我们处理数据，以及我们能够展示的安全实践。本页每一句陈述都已对照正在运行的配置核实。凡是我们拿不出证据的，一律不作声明。

负责任披露

如果你在 ByKaranteli 发现了安全弱点，请先私下告诉我们。我们宁愿从你这里得知问题，也不愿从攻击者那里得知。

  • 范围：bykaranteli.com 及其下的所有页面、bykaranteli.com/api 下的 API，以及位于 mcp.bykaranteli.com 的托管 MCP 服务器。下一节列出的服务方有各自的报告渠道。
  • 设计如此：托管 MCP 服务器的授权服务器接受无需身份验证的 OAuth 客户端注册（RFC 7591），因为 MCP 客户端正是这样接入的。创建客户端本身不会获得任何权限。只有已登录的会员在我们的同意页面上批准该应用之后，才会产生访问权限，该页面会显示会员将被送回的地址。因此，开放注册本身并不构成漏洞；能够绕过这一同意步骤的方法才是。
  • 如何报告：发送邮件至 support@bykaranteli.com，写明受影响的 URL、复现步骤以及攻击者可能获得什么。同一地址也发布在我们的 security.txt 文件中。
  • 请勿：访问、复制或修改不属于你的数据；降低他人的服务质量（压力测试、拒绝服务、垃圾信息）；使用他人的账户。请用你自己的账户测试，并在证明问题后立即停止。
  • 安全港：只要你出于善意并遵守这些规则，我们不会因你的研究对你采取法律行动，并会与你合作理解和修复问题。
  • 响应：我们力争在五个工作日内回复，告诉你我们能否复现该问题，并在修复前持续告知进展。请在公开披露之前给我们合理的修复时间。
  • 致谢：我们没有付费漏洞赏金计划；如果报告者愿意，我们会公开致谢。

哪些服务方为我们处理数据

与我们隐私政策中的第三方相同，顺序也相同。每一方只能看到其职能所需的内容。

  • Cloudflare，作为站点前端的 CDN 与安全层。它会处理每次访问的 IP 地址和请求元数据。
  • Google Analytics 4，用于汇总流量统计，且仅在你于同意横幅中选择接受后才会加载。
  • Google，仅当你选择使用 Google 登录时：你的 Google 账户标识、邮箱地址，以及 Google 是否已验证该邮箱。
  • Hostinger，我们的邮件服务商，用于发送验证邮件、登录链接，以及你主动订阅的提醒与摘要。它能看到你的邮箱地址和邮件内容。
  • Telegram，仅当你关联了它：你设置的提醒会发送到你关联的聊天。
  • 你浏览器的推送服务，由浏览器厂商运营，仅当你开启推送通知时：它会把提醒转发到你的设备。
  • Coinbase，如果你通过 Coinbase Onramp 购买 USDC；以及作为按次付费（x402）支付中介方的 Coinbase Developer Platform，它能看到付款地址、金额以及所付费的路由。
  • 我们为确认付款而查询的区块链 RPC 服务商。它们能看到我们查询的公开地址与交易，但绝不会看到你的账户。
  • GitHub，在私有仓库中保存我们每周的数据库备份。每份备份在上传前都已在我们的服务器上加密（AES-256，密钥仅保存在我们的服务器上），因此 GitHub 持有的只是无法读取的密文。
  • 行情数据来源，例如交易所与公开数据提供方。这些请求来自我们的服务器而非你的浏览器，因此它们看不到任何个人数据。

我们能够展示的实践

  • 仅使用 HTTPS。普通 HTTP 请求会被重定向，bykaranteli.com 已列入浏览器内置的 HSTS 预加载列表，每个页面都带有内容安全策略（CSP）。
  • 源服务器只响应 Cloudflare：其上每个 HTTPS 主机都要求 Cloudflare 的客户端证书（双向 TLS），且不对外显示软件版本。
  • 会话令牌与 API 密钥只以 SHA-256 哈希形式存储，因此你 cookie 中的值或你的密钥在我们的数据库中并不存在。密码使用 argon2id 哈希。
  • 这里没有任何东西能替你交易：产品从不索取交易所 API 密钥，也不持有任何资金。
  • bykaranteli.com 的邮件受 DMARC（p=reject）、强制模式的 MTA-STS 以及 TLS 报告（TLS-RPT）保护。
  • 我们于 2026 年 8 月 16 日、9 月 4 日、9 月 17 日、9 月 23 日和 9 月 26 日对代码和基础设施进行了内部安全审查。这些是我们自己的审查，不是外部审计。
  • 没有任何容器以特权模式运行；每个应用容器都丢弃全部 Linux 能力，且无法获取新的权限。

我们不持有的内容

  • 交易所 API 密钥。我们从不索取，产品中也没有任何地方可以填写。
  • 资金托管。我们不代你持有任何资产。
  • 银行卡或银行账户信息。订阅在链上结算，因此不会有任何支付卡信息到达我们这里。
  • 产品分析中的 IP 地址。该数据表刻意不含 IP。

联系方式

安全报告与问题：support@bykaranteli.com。机器可读的联系文件位于 https://bykaranteli.com/.well-known/security.txt。