A XPayr elimina o risco de saldo de contraparte ao jamais reter fundos de lojistas ou chaves privadas. Cada pagamento, webhook, licença de software e intenção de agente de IA é respaldado por provas criptográficas publicamente verificáveis.
99.5% de cada pagamento confirmado segue diretamente on-chain para a carteira de destino do lojista enquanto 0.5% vai para a XPayr. Callbacks do navegador nunca são aceitos sem verificação RPC independente do recibo on-chain.
Cada payload de webhook é assinado com um segredo de 32 bytes exclusivo do lojista em X-XPayr-Signature, combinado com IDs de evento determinísticos para processamento idempotente de pedidos.
Licenças de software e extensões vinculadas à carteira emitem JWTs ES256 de curta duração verificáveis offline contra /.well-known/jwks.json (kid: lk-c3a9478746f1) via @xpayr/extension-kit (v0.2.0).
Verifique de forma independente o ID da rede, contrato do token, valor transferido, carteira destinatária e finalidade do bloco com o pacote open-source @xpayr/payment-evidence (v0.2.0).
Agentes de IA autenticam-se com credenciais de escopo restrito agk_ sujeitas a tetos por transação, limites diários móveis, listas brancas de redes e uma fila de aprovação com supervisão humana.
Política publicada de contato sobre vulnerabilidades em /.well-known/security.txt, cabeçalhos TLS 1.3 + HSTS preload, compartilhamento seguro SafeShare e revisão estruturada de conformidade para verticais regulados.
Nunca. A XPayr é 100% não custodial. Os lojistas informam apenas endereços públicos de carteira de destino, e os clientes assinam as transações diretamente em suas próprias carteiras ou enviam a partir de exchanges.
Cada webhook inclui um cabeçalho X-XPayr-Signature HMAC-SHA256 calculado com o segredo de 32 bytes do seu endpoint. Cada JWT de licença de software é assinado com ES256 (P-256) e verificável offline contra https://xpayr.com/.well-known/jwks.json.
Pesquisadores de segurança podem consultar nossa política de divulgação legível por máquina em https://xpayr.com/.well-known/security.txt e reportar descobertas diretamente pelos canais de contato de segurança e SafeShare.