Sigurnost i self-custody

FootballFans je u fazi prototipa. Ova stranica opisuje sigurnosni model onako kako je projektiran, a ne kako je danas u produkciji: novčanik radi na mock podacima i ne drži stvarna sredstva. Ono što još nije napravljeno — revizija ugovora, penetracijsko testiranje, bug bounty — pošteno je popisano u dijelu „Što još nije napravljeno". Dokument bit će ažuriran prije komercijalnog lansiranja i ne predstavlja pravni savjet.

Kad tražite od ljudi da preko aplikacije plaćaju članarinu svom klubu, dužni ste točno objasniti tko što može, a tko što ne može učiniti s njihovim novcem. Ovo je taj dokument — bez marketinga.

Što self-custody znači u praksi

Samoskrbništvo (self-custody) znači da sredstva drži korisnik, a ne posrednik. Kod klasične aplikacije za plaćanje vaš novac drži tvrtka, a vi imate zapis u njihovoj bazi. Ovdje je obrnuto: račun postoji u javnoj knjizi, a jedini koji ga može pomaknuti jest onaj tko drži ključ — vi.

Nemamo ključeve. Ni FootballFans ni klub ne mogu potpisati transakciju s vašeg računa.
Ne možemo zamrznuti ni oduzeti sredstva. Ne postoji administratorski gumb koji to omogućuje — jer takav gumb nije ni predviđen arhitekturom.
Ako nestanemo, novac ostaje vaš. Račun i sredstva postoje u javnoj knjizi neovisno o našoj aplikaciji, pa im možete pristupiti i drugim kompatibilnim alatom.
Druga strana medalje: transakcije su neopozive, a odgovornost za pristup je na vama. Zato je oporavak pristupa opisan niže jednako važan kao i sam ključ.

Arhitektura: Safe pametni račun

Novčanik nije obična adresa s jednim privatnim ključem, nego Safe pametni račun — ugovor u javnoj knjizi koji ima vlastita pravila potpisivanja. To donosi nekoliko konkretnih prednosti:

Svojstvo	Što znači za člana i klub
Programabilna pravila potpisa	Klupski račun može zahtijevati više potpisa (npr. predsjednik + blagajnik), pa nijedna osoba sama ne raspolaže blagajnom.
Odvojeni računi po namjeni	Škola nogometa, teren, oprema — svaki fond može biti zaseban račun, pa sredstva namijenjena djeci ne mogu „procuriti" u druge troškove.
Zamjenjiv potpisnik	Kad se u klubu promijeni blagajnik, mijenja se potpisnik na računu — a povijest i sredstva ostaju na mjestu.
Široko korišten, otvoreni kod	Safe je javno dostupan i široko korišten skup ugovora, a ne naš vlastiti nepregledani kod. Manje površine za pogrešku.
Mreža	Predviđen je Gnosis Chain — javna mreža s niskim troškovima transakcija, na kojoj je EURe dostupan.

Prijava passkeyem (WebAuthn)

Umjesto lozinke ili papirića s dvanaest riječi, račun kontrolira passkey — kriptografski par ključeva prema standardu WebAuthn, istom koji koriste banke i veliki servisi za prijavu bez lozinke.

Privatni ključ ostaje na uređaju. Pohranjen je u sigurnom hardverskom spremniku telefona ili računala (Secure Enclave, TEE) i ne šalje se nama.
Biometrija ne napušta uređaj. Face ID ili otisak prsta samo lokalno otključavaju ključ. Otisak i sken lica nikada ne stižu do naših poslužitelja — mi ih ne vidimo i ne pohranjujemo.
Otporno na phishing. Passkey je vezan uz točnu domenu. Lažna stranica koja izgleda kao vaš klub ne može navesti passkey da potpiše, jer se domena ne podudara.
Nema seed fraze. Nema dvanaest riječi koje se mogu izgubiti, fotografirati ili izmamiti telefonskim pozivom — a upravo je to najčešći način na koji ljudi ostaju bez sredstava.

Oporavak pristupa

Najozbiljnije pitanje samoskrbništva: što ako izgubite telefon?

Sinkronizacija passkeya — passkeyevi se sigurnosno kopiraju i sinkroniziraju kroz Apple iCloud Keychain, odnosno Google Password Manager. Prijavom na novi uređaj vraća se i pristup novčaniku. Zato je zaštita tog računa (jaka lozinka i dvofaktorska autentikacija) neodvojiv dio vaše sigurnosti.
Više passkeyeva po računu planirano — mogućnost da isti Safe kontrolira više uređaja, pa gubitak jednoga ne znači gubitak pristupa.
Oporavak preko čuvara (guardiani) planirano — mehanizam u kojem unaprijed odabrane osobe ili uređaji mogu, uz vremensku odgodu, vratiti kontrolu nad računom. Čuvari ne mogu raspolagati sredstvima, samo pokrenuti oporavak; odgoda ostavlja prostor da se zlouporaba zaustavi.
Društveni oporavak na razini kluba planirano — razmatramo model u kojem klub može biti jedan od čuvara, ali nikada jedini i nikada bez odgode.

Dok mehanizmi čuvara nisu implementirani i revidirani, jedini oporavak jest onaj kroz vaš Apple ili Google račun. To jasno govorimo unaprijed, umjesto da otkrijete tek u trenutku kada vam zatreba.

Zašto klub ne može doći do novca člana

Ovo je ključna razlika u odnosu na klasičnu blagajnu, gdje sredstva fizički drži jedna osoba:

Članov novčanik je zaseban Safe račun čiji je jedini potpisnik njegov passkey.
Klub u tom ugovoru nije naveden kao potpisnik i nema nikakvu ovlast nad njim.
Plaćanje članarine ili donacije inicira i potpisuje član — to je prijenos s njegovog na klupski račun, a ne naplata koju klub povlači.
Klub vidi da je uplata stigla, jer je zapis javan; ali ne može posegnuti natrag u članov račun.
Ako član prestane biti član, njegov novčanik i preostala sredstva ostaju njegovi.

Isto vrijedi i u drugom smjeru: FootballFans nema ovlast nad klupskom blagajnom. Mi smo softverski sloj i prikaz, ne skrbnik.

Javna transparentnost blagajne

Klupski računi i fondovi žive u javnoj knjizi, što znači da je svaki priljev i odljev provjerljiv neovisno o nama:

Uvid bez povjerenja u nas. Stanje i povijest transakcija klupskog računa mogu se provjeriti u bilo kojem javnom pregledniku blokova, čak i ako ne vjerujete našem sučelju.
Bez osobnih podataka. U javnoj knjizi su adrese računa i iznosi. Imena, e-mail adrese i drugi identifikatori u nju se ne upisuju — nikada. Zapisi su trajni, pa je to namjerna i nepovratna odluka dizajna.
Pseudonimnost, ne anonimnost. Adresa nije ime, ali obrazac transakcija može otkriti više nego što se čini. Ako želite biti javno potpisani kao donator, to je vaš izbor, a ne zadana postavka.
Podudaranje s postojećim obvezama. Klubovi kao udruge ionako javno predaju godišnja izvješća u Registar neprofitnih organizacija (FINA); javna knjiga taj posao pretvara u kontinuirani, provjerljivi zapis.

Regulatorni kontekst

Element	Status
EURe (token elektroničkog novca)	Izdaje Monerium EMI, licencirana institucija za elektronički novac, uz pokriće 1:1 u euro rezervama na zaštićenim računima i otkupivost za eure. Dostupan na Ethereumu, Gnosisu i Polygonu, uz dodatne mreže.
MiCA	Uredba EU 2023/1114 na snazi je u Europskoj uniji, a pravila za tokene elektroničkog novca primjenjuju se od 30. lipnja 2024. EURe je oblikovan kao token elektroničkog novca u tom okviru.
Identifikacija korisnika	KYC za fizičke i KYB za pravne osobe provodi izdavatelj, kao i svaka regulirana financijska institucija. FootballFans te podatke ne prikuplja.
Status FootballFansa	Nismo licencirana financijska institucija, nismo izdavatelj elektroničkog novca i ne pružamo platne ni investicijske usluge. Gradimo samoskrbnički softver iznad reguliranog e-novca.
Regulatorna analiza opsega usluge	u pripremi — pravna analiza obveza koje proizlaze iz konačnog opsega usluge provest će se s vanjskim savjetnikom prije pilota.

Što je spremno danas, a što je planirano

Stavka	Status	Napomena
Brandirani demo za 1014 klubova na `{slug}.ff.hr`	Spremno	Uživo, generirano iz javnog kataloga.
HTTPS na svim domenama i CDN-u	Spremno	Cloudflare Pages i `c.ff.hr`.
Stranica bez kolačića i praćenja	Spremno	Detalji u Politici privatnosti.
Prototip novčanika, svi ekrani	Spremno	Radi na mock podacima; ne drži sredstva.
Passkey prijava (WebAuthn)	planirano	Projektirano; implementacija ide uz prvi funkcionalni novčanik.
Safe računi na Gnosisu	planirano	Uključujući odvojene račune po fondovima.
Monerium EURe integracija	planirano	Sandbox pa produkcija; uvjet za bilo kakvu stvarnu uplatu.
Oporavak preko čuvara (guardiani)	planirano	Uz vremensku odgodu i bez ovlasti čuvara nad sredstvima.
Sigurnosna revizija pametnih ugovora	planirano prije pilota	Vanjska revizija svake naše prilagodbe ugovora; izvještaj objavljujemo javno.
Penetracijsko testiranje aplikacije	planirano prije pilota	Vanjski tim, sažetak nalaza objavljujemo.
Program za prijavu ranjivosti (bug bounty)	u pripremi	Opseg i nagrade definiraju se uz produkcijsko lansiranje.
SOC 2 / ISO 27001	nije pokrenuto	Nema smisla prije nego što postoji tim i produkcijska usluga; ne tvrdimo usklađenost koju nemamo.
Formalna politika odgovora na incidente	u pripremi	Uključit će rokove obavještavanja korisnika i AZOP-a.
Osiguranje od odgovornosti	u pripremi	Razmatra se uz registraciju pravnog subjekta.

Što još nije napravljeno — bez uljepšavanja

Nijedan naš pametni ugovor još nije prošao vanjsku sigurnosnu reviziju. Aplikacija nije penetracijski testirana. Ne postoji bug bounty program niti certifikacija poput SOC 2. Nemamo dokaz o sigurnosti u produkciji — jer produkcije još nema. Nijedna tvrdnja s ove stranice ne bi trebala biti razlog da već danas povjerite sustavu stvarna sredstva. To i ne tražimo od vas: prototip ih ne prima.

Redoslijed je namjeran: prvo revizija i testiranje, tek onda pilot s pravim novcem. Kada revizije budu gotove, izvještaje objavljujemo javno na ovoj stranici — uključujući nalaze koji nam ne idu u prilog.

Prijava ranjivosti

Ako ste pronašli sigurnosni propust, javite nam prije nego što ga objavite javno. Zahvalni smo na svakoj prijavi.

Kontakt za sigurnost	[email protected] — u predmet upišite „Sigurnosna prijava"
Rok potvrde primitka	2 radna dana
Rok prve procjene	10 radnih dana
Koordinirana objava	Molimo 90 dana od prijave, odnosno do objave popravka ako je ranije
Šifrirana komunikacija	u pripremi — PGP ključ i `security.txt` bit će objavljeni uz produkcijsko lansiranje.
Nagrade	u pripremi — formalni bug bounty program nije pokrenut; do tada javno zahvaljujemo prijaviteljima uz njihov pristanak.

Molimo vas da pri istraživanju ne pristupate tuđim podacima, ne narušavate dostupnost usluge i ne koristite automatizirane napade velikih razmjera. Prijave podnesene u dobroj vjeri i u skladu s ovim pravilima nećemo tretirati kao zlonamjerne.

Kako se štitite vi

Zaštitite svoj Apple ili Google račun jakom lozinkom i dvofaktorskom autentikacijom — to je temelj oporavka vašeg novčanika.
Držite operativni sustav uređaja ažuriranim.
Provjerite adresu u pregledniku prije potvrde transakcije. Legitimne adrese kluba završavaju na .ff.hr.
Nikada nikome ne dajte pristup uređaju radi „provjere novčanika". Mi vas za to nikada nećemo tražiti.
Prije potvrde provjerite iznos i primatelja — transakcija se ne može poništiti.

Vidi i: Impressum · Politika privatnosti · Uvjeti korištenja.