Políticas

Define salvaguardas programables que permiten, bloquean o envían automáticamente las acciones sensibles de tu workspace al flujo de aprobación normal. Las políticas evalúan cada retiro y cada llamada a smart contracts según las reglas que definas, de modo que la actividad riesgosa se detiene antes de llegar a la blockchain.

Descripción general

Una política es un conjunto de reglas que se ejecuta automáticamente cada vez que alguien inicia una acción protegida, como solicitar un retiro o llamar a un smart contract. Cada regla describe una condición (por ejemplo, "retiro por más de $10,000 a una dirección que no está en la lista blanca") y un efecto:

• Deny: bloquea la acción por completo
• Allow: permite que la acción omita la cola de aprobación y continúe directamente

Las políticas actúan como una capa de defensa siempre activa que complementa las aprobaciones de tus firmantes. En lugar de depender de que cada aprobador recuerde tus reglas de tesorería, codificas esas reglas una sola vez y dejas que Fystack las aplique en cada transacción.

Cómo se evalúan las políticas

Cuando se ejecuta una acción protegida, Fystack la verifica contra todas las políticas activas que apuntan a la billetera correspondiente y aplica un modelo de decisión seguro para la custodia:

1. Deny siempre gana: si alguna regla coincide con un efecto Deny, la acción se bloquea, aunque otra regla la permita.
2. Allow omite la aprobación: si una regla coincide con un efecto Allow y nada la deniega, la acción omite la cola de aprobación y continúa.
3. Sin coincidencias: si ninguna regla coincide, la acción sigue tu flujo de aprobación normal.

Acciones disparadoras

Cada regla se aplica a una acción disparadora, es decir, al tipo de operación que protege:

Cómo crear una política

Paso 1: Abre la página de políticas

En la barra lateral izquierda, abre Policies y haz clic en Create Policy.

Paso 2: Asigna un nombre a la política y elige un grupo de aprobación

Dale a la política un Name claro que describa lo que protege (por ejemplo, "Protección de retiros grandes"). Luego selecciona el Approval Group que revisará los cambios de esta política.

Cada política está vinculada a un grupo de aprobación. Esto significa que una política no puede crearse ni editarse de forma silenciosa: cualquier cambio debe revisarse y aprobarse, igual que un retiro.

Paso 3: Apunta a billeteras específicas (opcional)

De forma predeterminada, una política se aplica a todas las billeteras del workspace. Para limitarla a un subconjunto, selecciona una o más billeteras en el campo Wallets. Las reglas de la política solo se evaluarán para las acciones sobre esas billeteras.

Paso 4: Agrega reglas

Agrega una o más reglas a la política. Para cada regla, elige el Trigger (Withdrawal, Contract Call, Web3 Transfer o Web3 Message Signing), construye la Condition y selecciona el Effect (Allow o Deny).

El constructor de condiciones muestra los campos disponibles para el disparador seleccionado, de modo que puedes construir expresiones sin memorizar los nombres de los campos. Para no escribir reglas desde cero, parte de una de las plantillas de políticas que se muestran más abajo.

Las políticas también se pueden programar con el constructor JSON, útil para usuarios avanzados que quieren copiar y pegar reglas o usar una lógica más compleja de la que admite la interfaz.

Paso 5: Envía para aprobación

Haz clic en Create. Como toda política requiere aprobación, la nueva política todavía no está activa: se envía a su grupo de aprobación como una solicitud Pending Approval, junto con todas sus reglas.

Paso 6: Aprueba la política

Un miembro del grupo de aprobación asignado abre la solicitud pendiente, revisa la política propuesta y sus reglas, y la aprueba. Solo entonces la política pasa a estar Active y comienza a proteger las transacciones.

Plantillas de políticas

Parte de una plantilla en lugar de una política en blanco. Cada una de las siguientes es una política completa para una configuración de billeteras habitual: qué protege, las reglas explicadas en lenguaje sencillo y un JSON que puedes pegar directamente en el editor de políticas.

Usar una plantilla

1. Ve a Policies, haz clic en Create Policy y cambia el editor a la pestaña JSON.
2. Pega el Policy JSON de la plantilla.
3. Vuelve a Form. Elige el Approval Group y las Wallets que debe cubrir la política. Las plantillas dejan ambos vacíos a propósito, y una lista de billeteras vacía significa todas las billeteras del workspace.
4. Abre cada regla y reemplaza cualquier marcador entre corchetes angulares, como <payout_api_key_id>. Las reglas que hacen referencia a un miembro, una API key, una billetera o una entrada de la libreta de direcciones muestran un selector en el constructor, para que puedas elegirlo por nombre en lugar de buscar su ID.
5. Ajusta los límites a tu propio volumen, luego haz clic en Create y haz que se apruebe la política.

También puedes enviar el mismo JSON a la API de políticas.

Elegir una plantilla

{
  "name": "Treasury vault guard",
  "description": "Hard limits for custody and treasury wallets",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "withdrawal.create",
      "condition": "!withdrawal.destination_is_internal && !withdrawal.is_whitelisted",
      "effect": "DENY",
      "description": "Only send to address book entries or workspace wallets"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "withdrawal.is_whitelisted && withdrawal.address_age_sec < 86400",
      "effect": "DENY",
      "description": "New address book addresses wait 24 hours"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "wallet.projected_outflow_24h > 250000",
      "effect": "DENY",
      "description": "Cap each wallet at 250000 USD per 24 hours"
    },
    {
      "trigger_action": "web3.transfer",
      "condition": "!withdrawal.destination_is_internal && !withdrawal.is_whitelisted",
      "effect": "DENY",
      "description": "Apply the address book rule to Web3 transfers"
    }
  ]
}

{
  "name": "Hot wallet payouts",
  "description": "Auto approve routine payouts and cap the worst case",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "withdrawal.create",
      "condition": "!withdrawal.destination_is_internal && !withdrawal.is_whitelisted && withdrawal.value_usd > 2000",
      "effect": "DENY",
      "description": "Unknown recipients are limited to 2000 USD"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "wallet.projected_outflow_24h > 50000",
      "effect": "DENY",
      "description": "Cap each wallet at 50000 USD per 24 hours"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "wallet.withdrawal_count_1h > 60",
      "effect": "DENY",
      "description": "Stop bursts of more than 60 withdrawals per hour"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "withdrawal.is_whitelisted && withdrawal.address_age_sec >= 86400 && withdrawal.value_usd <= 1000",
      "effect": "ALLOW",
      "description": "Auto approve small payouts to trusted addresses"
    }
  ]
}

{
  "name": "API payout bot",
  "description": "Budget and auto approval for the payout API key",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "withdrawal.create",
      "condition": "principal.api_key_id in ['<payout_api_key_id>'] && !(withdrawal.asset_symbol in ['USDT', 'USDC'])",
      "effect": "DENY",
      "description": "Payout key sends stablecoins only"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "principal.api_key_id in ['<payout_api_key_id>'] && withdrawal.value_usd > 2000",
      "effect": "DENY",
      "description": "Payout key cannot send more than 2000 USD at once"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "principal.api_key_id in ['<payout_api_key_id>'] && workspace.initiator_projected_outflow_24h > 20000",
      "effect": "DENY",
      "description": "Payout key is capped at 20000 USD per 24 hours"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "principal.api_key_id in ['<payout_api_key_id>'] && withdrawal.value_usd <= 500",
      "effect": "ALLOW",
      "description": "Auto approve payouts up to 500 USD"
    }
  ]
}

{
  "name": "Deposit sweep",
  "description": "Deposit wallets sweep to treasury only",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "withdrawal.create",
      "condition": "wallet.purpose == 'user' && !(withdrawal.destination_wallet_id in ['<treasury_wallet_id>'])",
      "effect": "DENY",
      "description": "Deposit wallets can only send to the treasury"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "wallet.purpose == 'user' && withdrawal.destination_wallet_id in ['<treasury_wallet_id>']",
      "effect": "ALLOW",
      "description": "Auto approve sweeps to the treasury"
    }
  ]
}

{
  "name": "DeFi operations guard",
  "description": "Approved contracts and safe signatures for dApp wallets",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "web3.contract_call",
      "condition": "!(resource.contract_address in ['<router_address>', '<vault_address>', '<token_address>'])",
      "effect": "DENY",
      "description": "Only call approved contracts"
    },
    {
      "trigger_action": "web3.contract_call",
      "condition": "resource.method_selector == '0x095ea7b3' && !(resource.contract_address in ['<token_address>'])",
      "effect": "DENY",
      "description": "Only approve allowances on known tokens"
    },
    {
      "trigger_action": "web3.transfer",
      "condition": "!withdrawal.asset_is_known",
      "effect": "DENY",
      "description": "Block transfers of unknown tokens"
    },
    {
      "trigger_action": "web3.sign_message",
      "condition": "resource.is_permit && resource.permit_amount_is_unlimited",
      "effect": "DENY",
      "description": "Block unlimited token permits"
    },
    {
      "trigger_action": "web3.sign_message",
      "condition": "resource.is_permit && !(resource.permit_spender in ['<trusted_spender_address>'])",
      "effect": "DENY",
      "description": "Block permits to untrusted spenders"
    },
    {
      "trigger_action": "web3.sign_message",
      "condition": "resource.method == 'eth_sign'",
      "effect": "DENY",
      "description": "Block raw eth_sign"
    }
  ]
}

{
  "name": "Workspace backstop",
  "description": "Workspace wide ceilings for all wallets",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "withdrawal.create",
      "condition": "workspace.projected_outflow_24h > 500000",
      "effect": "DENY",
      "description": "Cap the workspace at 500000 USD per 24 hours"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "workspace.withdrawal_count_1h > 300",
      "effect": "DENY",
      "description": "Stop bursts of more than 300 withdrawals per hour"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "context.day_of_week in ['Saturday', 'Sunday'] && withdrawal.value_usd > 25000",
      "effect": "DENY",
      "description": "No withdrawals over 25000 USD on weekends"
    }
  ]
}

Recetas de reglas

Reglas individuales que puedes agregar a cualquier política. Pega la condición en la pestaña Expression de una regla, o constrúyela en Fields.

Desplegar una política

Las reglas Allow cambian quién tiene que revisar una transacción, así que introdúcelas al final.

1. Semana 1, solo reglas Deny: crea la política solo con sus reglas Deny. Todavía no se aprueba nada automáticamente, y las reglas solo bloquean lo que nunca debería ocurrir.
2. Revisa la cola de aprobación: busca los retiros que tus aprobadores aprueban sin cambios cada vez, como los mismos destinatarios, activos y rango de montos.
3. Agrega una regla Allow acotada: escribe una regla Allow exactamente para ese tráfico, con un límite menor del que crees que necesitarás.
4. Sube los límites poco a poco: amplía la regla Allow solo después de que haya funcionado sin problemas durante un tiempo. Cada cambio pasa por aprobación y aparece en el historial de cambios de la política.

Escribir condiciones de reglas

Una condición es una expresión que se evalúa como verdadera o falsa. Cuando es verdadera, se aplica el efecto de la regla. Combina campos con and, or y not, y compara valores con operadores como >, >=, == y !=.

Campos de condición

Los campos disponibles en el constructor dependen del disparador de la regla. Usa las etiquetas siguientes para decidir qué campo corresponde a una regla.

Disponibles en todos los disparadores

Campos de retiro

Campos de actividad de retiros

Campos de actividad pendiente y proyectada

Campos de llamadas a contratos

Campos de transferencias Web3

Las reglas de Web3 Transfer usan los campos de retiro más los campos siguientes. Los campos de actividad no están disponibles, porque estas transferencias no son retiros.

Campos de firma de mensajes

Estados de las políticas

Historial de cambios

Cada cambio en una política queda registrado. El History de la política muestra cada revisión con quién la propuso, qué cambió (campo por campo) y si se aprobó o rechazó. Esto te da un registro de auditoría completo de cómo evolucionaron tus salvaguardas con el tiempo.

Buenas prácticas

• Empieza con reglas Deny para tus escenarios de mayor riesgo (transferencias grandes, destinos desconocidos) antes de agregar reglas Allow de conveniencia
• Recuerda que Deny siempre gana: úsalo para fijar límites estrictos que ninguna regla Allow pueda anular
• Limita las políticas a billeteras específicas cuando distintas billeteras tengan perfiles de riesgo diferentes, en lugar de aplicar una política amplia en todas partes
• Usa las reglas Allow con moderación: omiten tu cola de aprobación, así que resérvalas para patrones de bajo valor y claramente confiables
• Cuando una regla Allow confíe en entradas de la libreta de direcciones, conserva la condición de antigüedad de la dirección que agrega el constructor. Cualquiera que pueda editar la libreta de direcciones puede agregar una dirección a una entrada de confianza, y la verificación de antigüedad hace que una dirección nueva espere antes de aprobarse automáticamente
• Valida cada condición antes de enviarla y revisa el cambio en el paso de aprobación para confirmar que se comporta como esperas
• Trata los cambios de políticas con el mismo cuidado que los retiros: la aprobación existe para que ninguna persona pueda debilitar tus controles sin que se note