Как мы не видим ваши данные

1. Вход — подписью вашего счёта Stellar (SEP-10). Транзакция-вызов не отправляется в сеть, средства не движутся. Подпись доказывает, что адрес ваш; уровень допуска считается по балансу MTLRECT/MTLAP в сети.
2. Ключ — случайный 256-битный ключ данных создаётся в вашем браузере. На сервер уходят только его копии, зашифрованные вашей пасфразой (Argon2id, 64 МБ, 3 прохода) и ключом восстановления. Ни пасфразы, ни ключа сервер не получает.
3. Данные — позиции, счета, история итогов шифруются AES-256-GCM до отправки. На сервере — только шифротекст; адрес хранится как HMAC-хеш, сумм и названий нет.
4. Ончейн-балансы браузер читает сам из Horizon; сервер не знает, какие адреса вы смотрите.
5. Журналы — у кабинета нет журнала доступа; сервис пишет только класс ошибки.
6. Подмена кода — главная остаточная угроза. Меры: строгий CSP, хеши SRI на каждый файл, опубликованный manifest.json с хешами сборки, сторож сверяет их каждые 10 минут.
7. Цена — забудете пасфразу и потеряете ключ восстановления — данные не восстановит никто, в том числе мы.

← в кабинет