Что защищает аккаунт и деньги на нём

Как войти и как вывести

Для аккаунта нужна почта или аккаунт Telegram. Двухфакторная аутентификация предлагается при регистрации и настраивается секунд за тридцать: TOTP по RFC 6238, его понимает любое приложение-аутентификатор.

Она по желанию, и стережёт она входную дверь: с включённой двухфакторной одного украденного пароля мало, чтобы попасть в аккаунт. Это не второе подтверждение на каждый вывод — уже открытую сессию повторно не спрашивают. Включение двухфакторной, как и смена пароля, завершает все остальные сессии, и это тот рычаг, за который надо дёрнуть, если кажется, что внутри есть кто-то ещё.

Уведомления о деньгах приходят в Telegram, и без привязки аккаунт не может ни пополнить баланс, ни заказать карту, ни подключить подписку. Человек, которому нельзя сообщить, что его деньги двинулись, пользуется деньгами вслепую.

Данные карты через нас не проходят

Номер карты, срок действия и CVV рисует карту партнёр-эмитент, в своём собственном фрейме. Через бэкенд Blomo они не идут, и их нет ни в нашей базе, ни в наших логах.

Это стоит сказать точно, потому что отраслевая формулировка «данные карт хранятся безопасно» обычно означает ровно обратное: что они хранятся. У нас они не хранятся вовсе, и взлом Blomo не может выдать номер карты, которого там никогда не было.

Учёт нельзя переписать задним числом

Баланс — это не число в колонке, которое кто-то увеличивает. Это сумма проводок, а сами проводки пишутся только вперёд: база отказывает в изменении и в удалении.

Отказывает именно база, а не наш код. Даже приложение с полными правами на запись не исправит проведённую операцию. Ошибка исправляется так, как бухгалтеры исправляют её веками, — сторнирующей проводкой, — и история происходившего остаётся целой и проверяемой.

Каждое ончейн-событие применяется ровно один раз, сколько бы раз сеть его нам ни отдала. Пополнение, посчитанное дважды, ошибочно ровно настолько же, насколько потерянное, и от обеих бед защищает идемпотентность.

Что мы храним и как долго

Виртуальные карты не требуют документов ни на одном шаге: ни при регистрации, ни при пополнении, ни при выпуске, ни при оплате. На обычном пути нет ни паспорта, ни селфи, ни подтверждения адреса, ни анкеты о происхождении средств. Входящие средства при этом проверяются, и раздел 6 договора описывает, что вправе запросить расширенная проверка, если пополнение вызвало санкционный вопрос или вопрос по отмыванию. Исключение — пластик, и требование там исходит от партнёра-эмитента, а не от Blomo.

Логи хранятся семь дней и удаляются. Причина короткая: данные, которых больше нет, не утекут, их не запросят по требованию и не продаст тот, кто от нас ушёл.

Как это устроено внутри

Приложение работает без права менять схему базы: оно может работать с данными и ничего сверх того. Схему меняет отдельный путь миграций со своими учётными данными, поэтому взломанный API не удалит таблицу.

Служба подписи живёт отдельно от приложения и отвечает только на небольшой фиксированный набор запросов. Операции «отправь на такой-то адрес» у неё нет: служба, принимающая получателя от вызывающего, — это служба, которая заплатит любому, кто убедительно попросит.