Sécurité

• Génération côté client — Les Web Workers sur votre processeur créent chaque paire de clés.
• Zéro clé transit : aucune API n'accepte ou ne renvoie les clés privées.
• Zéro clé de stockage : pas de base de données, pas de journaux de secrets, pas d'analyse de modèles ou d'adresses.
• Vérifiable — open source, audit en direct, test hors ligne, panneau réseau.
• Preuve sans exposition — les épreuves partageables portent uniquement l'adresse et le motif.

Les allégations marketing ne valent rien sans contrôles. Utilisez le live audit et la section Vérifier ci-dessous.

Vanitas est un site Next.js statique. L'hôte (par exemple Vercel) sert des bundles HTML, CSS, JS et des workflows prédéfinis. La cryptographie ne s'exécute jamais sur cet hôte pour vos clés.

Dans le cadre - nous concevons contre

• Vol de clé côté serveur (pas de clé sur le serveur).
• Reniflage occasionnel du réseau pendant l'exploitation minière (pas de trafic clé).
• Clickjacking de l'application principale (refus de trame sur les routes principales).
• Chemins d'exfiltration XSS évidents (CSP ; toujours pas une solution miracle).

Hors de portée / responsabilité partagée

• Extensions de navigateur malveillantes qui lisent la mémoire des pages ou le presse-papiers : désactivez-les sur un profil propre lors de la falsification de clés de grande valeur.
• Appareil compromis/malware — Les enregistreurs de frappe au niveau du système d'exploitation battent n'importe quel site Web.
• Vous collez des clés dans Discord/phishing — la sécurité opérationnelle vous appartient.
• Chaîne d'approvisionnement des dépendances — nous épinglons et auditons ; vous pouvez vérifier les hachages des travailleurs et reconstruire à partir de la source.

Le vanity mining ne crée pas de clé « plus faible ». Les modèles longs ne coûtent que plus de CPU : ils ne réduisent pas l'entropie de la clé privée.

Rien sur vos clés sur nos serveurs. Aucune base de données d'adresses, de modèles, d'adresses IP pour l'exploitation minière ou de SDK d'analyse dans le chemin de la forge.

Le hasard vient toujours du navigateur CSPRNG (crypto.getRandomValues). Les courbes et la dérivation des adresses diffèrent selon la chaîne :

Les contrôles post-recherche peuvent valider la taille de l'entropie, la présence de CSPRNG et l'uniformité du chi carré sur un échantillon aléatoire – un contrôle de santé du chemin RNG, et non un substitut à l'hygiène de l'appareil.

Le code minier est livré sous forme de fichiers statiques public/*-worker.js créés à partir de sources TypeScript. Chaque version de production enregistre les résumés SHA-256 dans worker-hash.json. La page d'audit re-hache les travailleurs chargés par votre navigateur et les compare à ce fichier.

Si les hachages divergent, traitez la page comme non fiable : arrêtez-vous, n'utilisez pas de clés et enquêtez (mauvais déploiement, cache ou falsification). La reconstruction à partir du référentiel ouvert doit reproduire les mêmes octets de travail pour une validation donnée.

Les réponses incluent des en-têtes qui réduisent l’impact XSS, forcent HTTPS et bloquent le cadrage de l’application principale. CSP permet toujours ce dont Next.js a besoin (y compris certains compromis en ligne/évaluation) : aide des en-têtes ; ils ne remplacent pas la révision du code.

Tout ce qui s'exécute avec les privilèges de page peut, en théorie, lire les messages DOM et Worker. Cela comprend :

• Extensions de navigateur avec un large accès au site
• DevTools ouvert sur une machine partagée
• Scripts injectés malveillants si XSS existe
• Renifleurs de presse-papiers après avoir copié une clé

Atténuations : profil de navigateur propre, pas d'extensions inutiles, préférez le téléchargement de fichiers au presse-papiers pour les clés de grande valeur, effacez le presse-papiers après le collage dans un portefeuille, envisagez la CLI du terminal ou une machine à air pour les grandes trésoreries.

1. Chargez vanitas.fun (ou exécutez à partir d'une version locale vérifiée).
2. Facultatif : ouvrez le réseau, mettez-vous hors ligne, exécutez un audit.
3. Choisissez d’abord un motif court ; augmentez la longueur une fois que vous faites confiance à la configuration.
4. Lors de la recherche : exportez, stockez hors ligne, ne capturez jamais les clés dans les applications de chat.
5. Importez dans le portefeuille approprié pour cette chaîne ; envoyer un transfert de test de poussière.
6. Pour les avoirs à long terme, transférez les fonds vers un portefeuille matériel – Vanitas est une forge, pas un coffre-fort.

N'ouvrez pas les problèmes publics GitHub pour des failles de sécurité. Préférez les avis de sécurité GitHub privés sur bytebrox/vanitas. Incluez les étapes de reproduction, l'impact et une suggestion de correctif si vous en avez une.