کوکی نشست CSRF
یک کوکی تصادفی nsw به مدت نشست مرورگر. فقط برای محافظت از API ایجاد سفارش استفاده میشود. هیچ شناسهای درون آن نیست.
شفافیت
اینکه چگونه این واقعاً کار میکند.
جزئیاتی درباره معماری، دادهها، سیاست علامتگذاری. اگر به شما اهمیت دارد که «بدون لاگ» یک شعار است یا یک توصیف، این صفحه برای شماست.
معماری
یک فرانتاند نازک روی یک لایه مسیریابی
SwapNoKYC is a PHP 8.2 frontend over a third-party liquidity aggregator. There is no user database. Ephemeral order state lives as flat JSON files on the filesystem, and a minimal admin log records order lifecycle events for operations.
تنها ذخیرهساز پایدار فراتر از آن، یک کش سیستم فایل برای نرخهای اعلامشده (TTL ۶۰ ثانیه) و لیست ارز (TTL ۵ دقیقه) است.
هر سفارش یک قابلیت است: شناسه سفارش بهعلاوه یک توکن که توسط بکاند بازگردانده میشود. شما URL را با آنها جاسازیشده نگه میدارید؛ ما آدرس واریز متناظر بهعلاوه یک تاریخزمان را نگه میداریم. چیز دیگری نه.
No third-party analytics. No fingerprinting. No persistent user-id. The upstream router sees the minimum swap metadata needed to execute — and nothing ever correlates you across sessions.
فهرست دادهها
آنچه ما record
هر فیلدی که لمس میکنیم، فهرست شده است. بدون سطلهای پنهان.
رکورد سفارش
جفت، مبلغ، آدرس واریز، آدرس پرداخت، نوع (شناور/ثابت)، تاریخزمان ایجاد. در تسویه پاک میشود (یا حداکثر پس از ۳۰ روز).
شمارندههای ضد سوءاستفاده
شمارشگرهای محدودیت نرخ در هر IP، هر دقیقه ریست میشوند. هرگز به دادههای شخصی مرتبط نیستند.
لاگهای دسترسی Nginx
متد، مسیر، وضعیت، user-agent. هر ۲۴ ساعت چرخش میکند.
آنچه ما never record
نام، ایمیل، تلفن، شناسه، تاریخ تولد، ملیت
هر تگ تحلیل داده شخص ثالث (نه GA، نه Hotjar، نه Segment، نه Meta Pixel)
کوکیهای ردیابی فراتر از توکن CSRF نشست
لاگهای IP بلندمدت (چرخش کمتر از ۲۴ ساعت)
اثر انگشت دستگاه یا مرورگر
هر شناسه همبسته بین نشستها
علامتگذاری
چه اتفاقی میافتد وقتی یک سفارش علامتگذاریشده
1
سفارش به حالت اضطراری وارد میشود
مسیریاب بالادستی آدرسهای واریز را در برابر لیستهای تحریم و فیدهای جریان غیرقانونی غربال میکند. اگر آدرسی مطابقت داشته باشد، صفحه سفارش اقدامات اضطراری را نمایش میدهد.
2
دو گزینه، هر دو تحت کنترل شما
بازپرداخت به آدرسی که شما ارائه میدهید (بدون پرسش)، یا پذیرش نرخ بازار فعلی و ادامه. شما انتخاب میکنید. گزینه سوم پنهانی وجود ندارد.
3
هرگز درخواست هویت
ما در این مرحله اسناد هویتی درخواست نمیکنیم. هرگز. اگر هر دو اقدام رد شوند، واریز به آدرس فرستنده قابل مشاهده در آنچین بازگردانده میشود.
اشخاص ثالث
هر سرویس خارجی ما آن را مینامیم
CDN / TLS (شبکه تحویل محتوا / امنیت انتقال)
Cloudflare
داراییهای استاتیک را ارائه میدهد. TLS در Cloudflare خاتمه مییابد؛ ما IP واقعی کلاینت را از طریق CF-Connecting-IP فقط برای محدودسازی نرخ دریافت میکنیم.
وبفونتها
fonts.bunny.net
Inter و JetBrains Mono. آینهای حفظکننده حریم خصوصی از Google Fonts که IPها را لاگ نمیکند.
Liquidity provider
ChangeNOW
Receives the swap request metadata necessary to execute: pair, amount, destination, optional refund address.
موضع امنیتی
سختسازی در یک نگاه
- فقط HTTPS با پیکربندی واجد شرایط HSTS preload.
- Content-Security-Policy سختگیرانه؛ بدون اسکریپتهای خطی فراتر از payloadهای JSON.
- X-Frame-Options SAMEORIGIN · X-Content-Type-Options nosniff · Referrer-Policy سختگیرانه.
- Permissions-Policy موقعیت جغرافیایی، میکروفون، دوربین و پرداخت را به «none» محدود میکند.
- توکنهای CSRF در تمام نقاط پایانی API تغییردهنده وضعیت.
- تمام تنظیمات حساس (کلیدهای API، مواد امضا) خارج از webroot قرار دارند.
گزارشهای امنیتی: [email protected]. همچنین security.txt و سیاست افشای کامل را ببینید.
