Chính sách

Thiết lập các rào chắn có thể lập trình để tự động cho phép, chặn hoặc chuyển các hành động nhạy cảm qua quy trình phê duyệt thông thường trong workspace của bạn. Chính sách đánh giá mọi lệnh rút tiền và lời gọi smart contract dựa trên các quy tắc bạn định nghĩa, nhờ đó hoạt động rủi ro bị chặn lại trước khi chạm tới blockchain.

Tổng quan

Một chính sách là tập hợp các quy tắc tự động chạy mỗi khi có người khởi tạo một hành động được bảo vệ, chẳng hạn như yêu cầu rút tiền hoặc gọi smart contract. Mỗi quy tắc mô tả một điều kiện (ví dụ: "giá trị rút tiền trên $10,000 tới một địa chỉ không nằm trong whitelist") và một hiệu lực:

• Deny: chặn hoàn toàn hành động
• Allow: cho phép hành động bỏ qua hàng đợi phê duyệt và được thực hiện ngay

Chính sách đóng vai trò như một lớp phòng thủ luôn hoạt động, bổ sung cho việc phê duyệt của người ký. Thay vì trông chờ mọi người phê duyệt đều nhớ các quy tắc quản lý ngân quỹ, bạn mã hóa các quy tắc đó một lần và để Fystack áp dụng chúng cho mọi giao dịch.

Cách chính sách được đánh giá

Khi một hành động được bảo vệ diễn ra, Fystack kiểm tra nó với mọi chính sách đang hoạt động áp dụng cho ví liên quan và sử dụng mô hình quyết định an toàn cho lưu ký:

1. Deny luôn thắng: nếu bất kỳ quy tắc nào khớp với hiệu lực Deny, hành động sẽ bị chặn, ngay cả khi một quy tắc khác cho phép.
2. Allow bỏ qua phê duyệt: nếu một quy tắc khớp với hiệu lực Allow và không có quy tắc nào chặn, hành động sẽ bỏ qua hàng đợi phê duyệt và được thực hiện.
3. Không khớp: nếu không có quy tắc nào khớp, hành động tiếp tục đi qua luồng phê duyệt thông thường.

Hành động kích hoạt

Mỗi quy tắc áp dụng cho một hành động kích hoạt, tức là loại thao tác mà quy tắc bảo vệ:

Cách tạo chính sách

Bước 1: Mở trang Policies

Trên thanh bên trái, mở Policies, sau đó nhấp Create Policy.

Bước 2: Đặt tên chính sách và chọn nhóm phê duyệt

Đặt cho chính sách một Name rõ ràng mô tả những gì nó bảo vệ (ví dụ: "Large withdrawal guard"). Sau đó chọn Nhóm phê duyệt sẽ xem xét các thay đổi đối với chính sách này.

Mọi chính sách đều gắn với một nhóm phê duyệt. Điều này có nghĩa là một chính sách không thể được tạo hoặc chỉnh sửa một cách âm thầm, mọi thay đổi đều phải được xem xét và phê duyệt, giống như một lệnh rút tiền.

Bước 3: Áp dụng cho các ví cụ thể (tùy chọn)

Theo mặc định, chính sách áp dụng cho tất cả các ví trong workspace. Để giới hạn phạm vi cho một nhóm ví, hãy chọn một hoặc nhiều ví trong trường Wallets. Các quy tắc của chính sách sẽ chỉ được đánh giá cho các hành động trên những ví đó.

Bước 4: Thêm quy tắc

Thêm một hoặc nhiều quy tắc vào chính sách. Với mỗi quy tắc, chọn Trigger (Withdrawal, Contract Call, Web3 Transfer hoặc Web3 Message Signing), xây dựng Condition và chọn Effect (Allow hoặc Deny).

Trình xây dựng điều kiện hiển thị các trường có sẵn cho trigger đã chọn, nhờ đó bạn có thể tạo biểu thức mà không cần ghi nhớ tên trường. Để không phải viết quy tắc từ đầu, hãy bắt đầu từ một trong các Mẫu chính sách bên dưới.

Chính sách cũng có thể được lập trình bằng trình xây dựng JSON, hữu ích cho người dùng nâng cao muốn sao chép/dán quy tắc hoặc dùng logic phức tạp hơn mức giao diện hỗ trợ.

Bước 5: Gửi để phê duyệt

Nhấp Create. Vì mọi chính sách đều phải qua phê duyệt, chính sách mới chưa có hiệu lực ngay, mà được gửi tới nhóm phê duyệt của nó dưới dạng yêu cầu Pending Approval, cùng với tất cả các quy tắc.

Bước 6: Phê duyệt chính sách

Một thành viên của nhóm phê duyệt được chỉ định mở yêu cầu đang chờ, xem xét chính sách được đề xuất cùng các quy tắc của nó và phê duyệt. Chỉ khi đó chính sách mới chuyển sang Active và bắt đầu bảo vệ giao dịch.

Mẫu chính sách

Hãy bắt đầu từ một mẫu thay vì một chính sách trống. Mỗi mẫu dưới đây là một chính sách hoàn chỉnh cho một cấu hình ví phổ biến: những gì nó bảo vệ, các quy tắc được diễn giải bằng ngôn ngữ thông thường, và JSON bạn có thể dán thẳng vào trình chỉnh sửa chính sách.

Sử dụng mẫu

1. Vào Policies, nhấp Create Policy và chuyển trình chỉnh sửa sang tab JSON.
2. Dán Policy JSON của mẫu.
3. Chuyển lại sang Form. Chọn Approval Group và các Wallets mà chính sách cần áp dụng. Các mẫu cố ý để trống cả hai, và danh sách ví trống nghĩa là mọi ví trong workspace.
4. Mở từng quy tắc và thay thế mọi placeholder trong dấu ngoặc nhọn, chẳng hạn <payout_api_key_id>. Các quy tắc tham chiếu đến thành viên, khóa API, ví hoặc mục sổ địa chỉ sẽ hiển thị bộ chọn trong trình xây dựng, nhờ đó bạn có thể chọn theo tên thay vì phải tra cứu ID.
5. Điều chỉnh các giới hạn theo khối lượng của bạn, sau đó nhấp Create và đưa chính sách đi phê duyệt.

Bạn cũng có thể gửi cùng JSON đó tới Policies API.

Chọn mẫu

{
  "name": "Treasury vault guard",
  "description": "Hard limits for custody and treasury wallets",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "withdrawal.create",
      "condition": "!withdrawal.destination_is_internal && !withdrawal.is_whitelisted",
      "effect": "DENY",
      "description": "Only send to address book entries or workspace wallets"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "withdrawal.is_whitelisted && withdrawal.address_age_sec < 86400",
      "effect": "DENY",
      "description": "New address book addresses wait 24 hours"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "wallet.projected_outflow_24h > 250000",
      "effect": "DENY",
      "description": "Cap each wallet at 250000 USD per 24 hours"
    },
    {
      "trigger_action": "web3.transfer",
      "condition": "!withdrawal.destination_is_internal && !withdrawal.is_whitelisted",
      "effect": "DENY",
      "description": "Apply the address book rule to Web3 transfers"
    }
  ]
}

{
  "name": "Hot wallet payouts",
  "description": "Auto approve routine payouts and cap the worst case",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "withdrawal.create",
      "condition": "!withdrawal.destination_is_internal && !withdrawal.is_whitelisted && withdrawal.value_usd > 2000",
      "effect": "DENY",
      "description": "Unknown recipients are limited to 2000 USD"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "wallet.projected_outflow_24h > 50000",
      "effect": "DENY",
      "description": "Cap each wallet at 50000 USD per 24 hours"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "wallet.withdrawal_count_1h > 60",
      "effect": "DENY",
      "description": "Stop bursts of more than 60 withdrawals per hour"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "withdrawal.is_whitelisted && withdrawal.address_age_sec >= 86400 && withdrawal.value_usd <= 1000",
      "effect": "ALLOW",
      "description": "Auto approve small payouts to trusted addresses"
    }
  ]
}

{
  "name": "API payout bot",
  "description": "Budget and auto approval for the payout API key",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "withdrawal.create",
      "condition": "principal.api_key_id in ['<payout_api_key_id>'] && !(withdrawal.asset_symbol in ['USDT', 'USDC'])",
      "effect": "DENY",
      "description": "Payout key sends stablecoins only"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "principal.api_key_id in ['<payout_api_key_id>'] && withdrawal.value_usd > 2000",
      "effect": "DENY",
      "description": "Payout key cannot send more than 2000 USD at once"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "principal.api_key_id in ['<payout_api_key_id>'] && workspace.initiator_projected_outflow_24h > 20000",
      "effect": "DENY",
      "description": "Payout key is capped at 20000 USD per 24 hours"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "principal.api_key_id in ['<payout_api_key_id>'] && withdrawal.value_usd <= 500",
      "effect": "ALLOW",
      "description": "Auto approve payouts up to 500 USD"
    }
  ]
}

{
  "name": "Deposit sweep",
  "description": "Deposit wallets sweep to treasury only",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "withdrawal.create",
      "condition": "wallet.purpose == 'user' && !(withdrawal.destination_wallet_id in ['<treasury_wallet_id>'])",
      "effect": "DENY",
      "description": "Deposit wallets can only send to the treasury"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "wallet.purpose == 'user' && withdrawal.destination_wallet_id in ['<treasury_wallet_id>']",
      "effect": "ALLOW",
      "description": "Auto approve sweeps to the treasury"
    }
  ]
}

{
  "name": "DeFi operations guard",
  "description": "Approved contracts and safe signatures for dApp wallets",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "web3.contract_call",
      "condition": "!(resource.contract_address in ['<router_address>', '<vault_address>', '<token_address>'])",
      "effect": "DENY",
      "description": "Only call approved contracts"
    },
    {
      "trigger_action": "web3.contract_call",
      "condition": "resource.method_selector == '0x095ea7b3' && !(resource.contract_address in ['<token_address>'])",
      "effect": "DENY",
      "description": "Only approve allowances on known tokens"
    },
    {
      "trigger_action": "web3.transfer",
      "condition": "!withdrawal.asset_is_known",
      "effect": "DENY",
      "description": "Block transfers of unknown tokens"
    },
    {
      "trigger_action": "web3.sign_message",
      "condition": "resource.is_permit && resource.permit_amount_is_unlimited",
      "effect": "DENY",
      "description": "Block unlimited token permits"
    },
    {
      "trigger_action": "web3.sign_message",
      "condition": "resource.is_permit && !(resource.permit_spender in ['<trusted_spender_address>'])",
      "effect": "DENY",
      "description": "Block permits to untrusted spenders"
    },
    {
      "trigger_action": "web3.sign_message",
      "condition": "resource.method == 'eth_sign'",
      "effect": "DENY",
      "description": "Block raw eth_sign"
    }
  ]
}

{
  "name": "Workspace backstop",
  "description": "Workspace wide ceilings for all wallets",
  "approval_group_id": "",
  "wallet_ids": [],
  "rules": [
    {
      "trigger_action": "withdrawal.create",
      "condition": "workspace.projected_outflow_24h > 500000",
      "effect": "DENY",
      "description": "Cap the workspace at 500000 USD per 24 hours"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "workspace.withdrawal_count_1h > 300",
      "effect": "DENY",
      "description": "Stop bursts of more than 300 withdrawals per hour"
    },
    {
      "trigger_action": "withdrawal.create",
      "condition": "context.day_of_week in ['Saturday', 'Sunday'] && withdrawal.value_usd > 25000",
      "effect": "DENY",
      "description": "No withdrawals over 25000 USD on weekends"
    }
  ]
}

Công thức quy tắc

Các quy tắc đơn lẻ bạn có thể thêm vào bất kỳ chính sách nào. Dán điều kiện vào tab Expression của một quy tắc, hoặc xây dựng nó trong Fields.

Triển khai chính sách

Quy tắc Allow thay đổi việc ai phải xem xét một giao dịch, vì vậy hãy đưa chúng vào sau cùng.

1. Tuần 1, chỉ quy tắc Deny: tạo chính sách chỉ với các quy tắc Deny. Chưa có gì được tự động phê duyệt, và các quy tắc chỉ chặn những điều không bao giờ nên xảy ra.
2. Xem xét hàng đợi phê duyệt: tìm các lệnh rút tiền mà người phê duyệt lần nào cũng duyệt mà không thay đổi gì, chẳng hạn cùng người nhận, cùng tài sản và cùng khoảng số tiền.
3. Thêm một quy tắc Allow hẹp: viết một quy tắc Allow cho chính xác lưu lượng đó, với hạn mức thấp hơn mức bạn nghĩ mình cần.
4. Nâng hạn mức từ từ: chỉ mở rộng quy tắc Allow sau khi nó đã chạy ổn định một thời gian. Mỗi thay đổi đều phải qua phê duyệt và xuất hiện trong Lịch sử thay đổi của chính sách.

Viết điều kiện quy tắc

Điều kiện là một biểu thức trả về true hoặc false. Khi biểu thức là true, hiệu lực của quy tắc sẽ được áp dụng. Kết hợp các trường bằng and, or và not, và so sánh giá trị bằng các toán tử như >, >=, == và !=.

Các trường điều kiện

Các trường có sẵn trong trình xây dựng phụ thuộc vào trigger của quy tắc. Hãy dùng các nhãn dưới đây khi quyết định trường nào phù hợp với một quy tắc.

Có sẵn trên mọi trigger

Các trường rút tiền

Các trường hoạt động rút tiền

Các trường hoạt động đang chờ và dự kiến

Các trường lời gọi hợp đồng

Các trường Web3 Transfer

Quy tắc Web3 Transfer sử dụng Các trường rút tiền cùng với các trường bên dưới. Không có các trường hoạt động, vì các giao dịch chuyển này không phải là lệnh rút tiền.

Các trường ký thông điệp

Trạng thái chính sách

Lịch sử thay đổi

Mọi thay đổi đối với chính sách đều được ghi lại. Mục History của chính sách hiển thị từng phiên bản cùng người đề xuất, những gì đã thay đổi (theo từng trường), và việc nó được phê duyệt hay bị từ chối. Điều này mang lại cho bạn một dấu vết kiểm toán đầy đủ về cách các rào chắn của bạn thay đổi theo thời gian.

Thực tiễn tốt nhất

• Bắt đầu với các quy tắc Deny cho những tình huống rủi ro cao nhất (giao dịch chuyển lớn, đích đến lạ) trước khi thêm các quy tắc Allow để tạo sự tiện lợi
• Hãy nhớ rằng Deny luôn thắng, hãy tận dụng điều này để đặt các giới hạn cứng mà không quy tắc Allow nào có thể ghi đè
• Giới hạn phạm vi chính sách cho các ví cụ thể khi các ví có mức độ rủi ro khác nhau, thay vì áp dụng một chính sách rộng cho mọi nơi
• Hạn chế sử dụng quy tắc Allow, vì chúng bỏ qua hàng đợi phê duyệt, nên chỉ dành chúng cho các mẫu giao dịch giá trị thấp và rõ ràng đáng tin cậy
• Khi một quy tắc Allow tin tưởng các mục sổ địa chỉ, hãy giữ lại điều kiện tuổi địa chỉ mà trình xây dựng tự thêm vào. Bất kỳ ai có quyền chỉnh sửa sổ địa chỉ đều có thể thêm một địa chỉ vào mục tin cậy, và việc kiểm tra tuổi buộc địa chỉ mới phải chờ trước khi được tự động phê duyệt
• Xác thực mọi điều kiện trước khi gửi, và xem xét thay đổi ở bước phê duyệt để xác nhận nó hoạt động như mong muốn
• Xử lý các thay đổi chính sách với sự cẩn trọng như với lệnh rút tiền, vì cổng phê duyệt tồn tại để không một cá nhân nào có thể âm thầm làm suy yếu các biện pháp kiểm soát của bạn