XPayr élimine le risque de contrepartie sur les soldes en ne détenant jamais les fonds marchands ni les clés privées. Chaque paiement, webhook, licence logicielle et intention d'agent IA s'appuie sur des preuves cryptographiques publiquement vérifiables.
99.5% de chaque paiement confirmé est acheminé directement on-chain vers le portefeuille du marchand tandis que 0.5% revient à XPayr. Les callbacks navigateur ne sont jamais acceptés sans vérification RPC indépendante du reçu on-chain.
Chaque charge utile webhook est signée avec un secret marchand de 32 octets dans X-XPayr-Signature, associé à des identifiants d'événement déterministes pour un traitement idempotent des commandes.
Les droits logiciels et d'extensions liés au portefeuille émettent des JWT ES256 à courte durée de vie vérifiables hors ligne via /.well-known/jwks.json (kid: lk-c3a9478746f1) avec @xpayr/extension-kit (v0.2.0).
Vérifiez indépendamment l'ID de chaîne, le contrat du token, le montant transféré, le portefeuille destinataire et la finalité de bloc avec le paquet open source @xpayr/payment-evidence (v0.2.0).
Les agents IA s'authentifient avec des identifiants à portée restreinte agk_ soumis à des plafonds par transaction, limites quotidiennes glissantes, listes blanches de réseaux et une file d'approbation humaine.
Politique publiée de signalement des vulnérabilités sur /.well-known/security.txt, en-têtes TLS 1.3 + HSTS preload, partage sécurisé SafeShare et examen de conformité structuré pour les secteurs réglementés.
Jamais. XPayr est 100% non dépositaire. Les marchands fournissent uniquement des adresses publiques de réception, et les clients signent les transactions directement dans leur propre portefeuille ou envoient depuis une plateforme d'échange.
Chaque webhook inclut un en-tête X-XPayr-Signature HMAC-SHA256 calculé avec votre secret d'endpoint de 32 octets. Chaque JWT de licence logicielle est signé en ES256 (P-256) et vérifiable hors ligne via https://xpayr.com/.well-known/jwks.json.
Les chercheurs en sécurité peuvent consulter notre politique de divulgation lisible par machine sur https://xpayr.com/.well-known/security.txt et transmettre leurs découvertes directement via SafeShare et nos canaux de contact sécurité.