Security posture
Security: how Weft earns trust.
47 audit findings closed. 94 Hardhat tests passing. Forward-chained ledger HMAC. Operator caps + timelock + emergency freeze on-chain. No custody license — peer-to-peer.
Security metrics
Audit posture
Кто смотрел в код, и что из этого вышло
Мы не пишем «battle-tested». Мы публикуем имена аудитов, режим работы и количество findings — открыто.
- Pre-Daybreak internal
- 3 параллельных аудитора (Solidity / Auth+Mnemonic / Ledger+x402+V0.6) — 47 findings
- Codex GPT-5.5 second opinion
- 3 раунда iterative review, deltas закрыты сериями фиксов
- Anthropic surrogate V3
- Independent third-party review, confidence 0.82 на финальном HEAD
- Trail of Bits formal
- Запланирован как обязательное условие V1 mainnet cut-over
- Hardhat contract tests
- 94 passing (escrow, allowances, caps, timelock, freeze, withdraw paths)
- Backend test suite
- 169 passing (auth, ledger, x402, subscription, SSRF, SIWE)
Already live
Security controls в проде, прямо сейчас
Каждый из контролей покрыт тестами и работает на testnet V0.5. Это не roadmap — это код, который уже выполняется.
WeftEscrow on-chain
Базовый расчётный контракт на Base Sepolia. 0xacb5…2cd0. Tenant deposit + per-tool allowance + on-chain settle.
Operator caps + timelock
maxPerCharge + dailyChargeCap + rotation timelock + 72h emergency freeze. Один EOA не может слить кассу.
Ledger HMAC chain
Forward-chained prev_hmac на каждой записи. Удаление или переупорядочивание строк ловится при первом же verify.
SIWE replay defense
Domain pinned через env WEFT_PUBLIC_DOMAIN, nonce single-use, expiry + chainId enforced. Fail-closed если домен не сконфигурён.
SSRF guard
Webhook URL проходят agent-based DNS lookup. Блокируется весь приватный IPv4 + IPv6 диапазон, включая link-local и cloud metadata.
Reserved service IDs
21 бренд защищён от squat-регистрации: openai, anthropic, stripe, paypal и др. Регистрация под этими ID требует verified signature.
Idempotent subscription debit
pg_advisory_xact_lock + детерминированный request_id. Crash window не приводит к double-charge.
/auth/internal/issue hardened
Localhost-bind only, HMAC-подписанное body, 30-секундное окно replay defense, constant-time compare. Не доступен из публичного интернета даже при misconfig nginx.
Disclosure policy
Нашли уязвимость? Напишите нам
Без bug bounty (пока). Без NDA до фикса. Координированное раскрытие с публичным post-mortem.
Если вы обнаружили уязвимость в Weft, напишите на security@weft.example. Включите PoC, путь воспроизведения и предполагаемый impact.
Публичный материал внутреннего ревью — docs/security/2026-05-12-internal-review.md.
- Acknowledge
- В течение 24 часов с момента email на security@weft.example
- Critical fix
- Патч в течение 7 дней + временный mitigation в тот же день
- High fix
- 14 дней + публичный advisory с CVE
- Medium / Low
- В ближайший плановый релиз, ≤30 дней
- Disclosure
- Public post-mortem после fix + согласование с reporter
Открытый бэклог
Что ещё не сделано
Эти пункты публично известны, прозрачно отслеживаются и не маскируются формулировками «coming soon». Если что-то блокирует ваше использование — напишите.
Trail of Bits formal audit
Operator multisig
WeftEscrow V2 redeploy с caps + timelock
Daily ledger anchor
«We don't claim “battle-tested”. We show what passed and what's still open.»
Дальше → Pricing · Marketplace · Для провайдеров