Co chroni konto i pieniądze na nim

Jak się zalogować i jak wypłacić

Do konta potrzebny jest adres e-mail albo konto Telegram. Uwierzytelnianie dwuskładnikowe proponujemy przy rejestracji, a ustawienie zajmuje jakieś trzydzieści sekund: TOTP wg RFC 6238, rozumie je każda aplikacja uwierzytelniająca.

Jest opcjonalne, a pilnuje drzwi wejściowych: przy włączonym samo skradzione hasło nikogo nie wpuści na konto. To nie jest drugie potwierdzenie przy każdej wypłacie — już otwartej sesji nikt nie pyta ponownie. Włączenie go, tak samo jak zmiana hasła, kończy wszystkie pozostałe sesje i to jest ta dźwignia, za którą trzeba pociągnąć, jeśli wydaje ci się, że ktoś jeszcze jest w środku.

Powiadomienia o pieniądzach idą na Telegram, a bez podpiętego konta nie da się ani zasilić salda, ani zamówić karty, ani wykupić subskrypcji. Człowiek, któremu nie można powiedzieć, że jego pieniądze się ruszyły, korzysta z nich na ślepo.

Dane karty przez nas nie przechodzą

Numer karty, datę ważności i CVV wyświetla partnerski wydawca, w swojej własnej ramce. Nie idą przez backend Blomo i nie ma ich ani w naszej bazie, ani w logach.

Warto powiedzieć to precyzyjnie, bo branżowe „dane kart przechowujemy bezpiecznie” znaczy zwykle dokładnie odwrotnie: że są przechowywane. U nas nie są przechowywane wcale, a włamanie do Blomo nie wyda numeru karty, którego tam nigdy nie było.

Księgi nie da się przepisać wstecz

Saldo to nie liczba w kolumnie, którą ktoś zwiększa. To suma zapisów, a same zapisy powstają tylko do przodu: baza odmawia ich zmiany i skasowania.

Odmawia baza, a nie nasz kod. Nawet aplikacja z pełnymi prawami zapisu nie poprawi zaksięgowanej pozycji. Błąd poprawia się tak, jak księgowi poprawiają go od wieków — zapisem odwrotnym — a historia tego, co się wydarzyło, zostaje cała i możliwa do sprawdzenia.

Każde zdarzenie on-chain księgujemy dokładnie raz, ile razy by nam go sieć nie podała. Wpłata policzona dwa razy jest tak samo błędna jak zgubiona, a przed obiema chroni idempotentność.

Co przechowujemy i jak długo

Karty wirtualne nie wymagają dokumentów na żadnym etapie: ani przy rejestracji, ani przy zasilaniu, ani przy wydaniu, ani przy płatności. Na zwykłej ścieżce nie ma paszportu, selfie, potwierdzenia adresu ani ankiety o pochodzeniu środków. Przychodzące środki są jednak sprawdzane, a paragraf 6 regulaminu wymienia, czego może zażądać rozszerzona kontrola, gdy doładowanie budzi wątpliwość sankcyjną albo pytanie o pranie pieniędzy. Wyjątkiem jest plastik, a wymóg pochodzi tam od partnerskiego wydawcy, nie od Blomo.

Logi trzymamy siedem dni i kasujemy. Powód jest krótki: dane, których już nie ma, nie wyciekną, nie zostaną zażądane i nie sprzeda ich ktoś, kto od nas odszedł.

Jak to jest zbudowane w środku

Aplikacja działa bez prawa do zmiany schematu bazy: może pracować na danych i nic ponadto. Schemat zmienia osobna ścieżka migracji z własnymi poświadczeniami, więc przejęte API nie skasuje tabeli.

Usługa podpisująca żyje osobno od aplikacji i odpowiada tylko na niewielki, ustalony zestaw żądań. Nie ma operacji „wyślij na taki a taki adres”: usługa, która przyjmuje odbiorcę od wywołującego, to usługa, która zapłaci każdemu, kto poprosi wystarczająco przekonująco.