Seguridad de su cuenta

1. Verificación en dos pasos (2FA)

La verificación en dos pasos agrega una segunda llave a su cuenta: además de la contraseña, un código de un solo uso que se genera en su teléfono. Aunque alguien robe su contraseña, sin el código no entra. Puede activarla al registrarse y le recomendamos hacerla obligatoria desde el primer día; se solicita en cada inicio de sesión y en cada operación sensible, como cambiar el correo de la cuenta o iniciar un retiro.

no reemplaza la contraseña: la complementa. La contraseña sigue siendo suya, larga y única para este servicio; el código de un solo uso es la segunda cerradura. Si pierde el teléfono, el camino es la recuperación por correo verificado y verificación de identidad con soporte, nunca un código enviado por otra persona.

2. Cifrado de datos

Toda la comunicación entre su navegador y la plataforma viaja cifrada, y los datos en reposo se guardan cifrados en almacenamiento. Las contraseñas nunca se guardan en texto plano: se almacenan con funciones de hash irreversibles, de modo que ni el equipo de la plataforma puede leerlas. Las claves de sesión tienen vencimiento y rotación automática.

Una precisión sobre qué significa cifrado y qué no: el cifrado protege los datos mientras viajan y mientras duermen en el almacenamiento, pero no impide que un atacante use una contraseña robada. Por eso el cifrado trabaja en equipo con el 2FA y con las alertas de acceso: cada medida cubre el flanco que las otras no.

3. Sistema antifraude

El monitoreo antifraude revisa patrones sospechosos: intentos de inicio de sesión desde ubicaciones inusuales, cadenas de operaciones fallidas o cambios bruscos de comportamiento de la cuenta. Cuando un patrón supera el umbral, la acción se frena y se pide verificación adicional antes de continuar. Prefiere molestarlo dos minutos con una verificación extra que descubrir un problema tres días después.

El sistema también mira del lado de los pagos: los retiros a destinos nuevos o por montos inusuales reciben revisión adicional, y los intentos de suplantación que se detectan se bloquean y se informan. Si alguna vez una verificación extra le resulta incómoda, recuerde que del otro lado hay alguien intentando entrar a la cuenta de otro: a veces a la suya.

4. Alertas de inicio de sesión

Cada vez que su cuenta se abre desde un dispositivo nuevo o una ubicación distinta, recibe una notificación inmediata a su correo registrado. Si fue usted, no hace falta hacer nada. Si no fue usted, el mismo correo tiene el enlace para cortar la sesión y cambiar la contraseña en un paso. Revise esas alertas con atención: son el sistema de alarma de su cuenta.

Cuide el correo asociado a la cuenta con el mismo criterio: si alguien accede a ese correo, puede recibir las alertas de su plataforma y borrarlas antes de que usted las vea. El correo de la cuenta debe ser uno que controle bien, con su propia verificación en dos pasos activada.

5. Control de sesiones activas

En la configuración de su cuenta ve la lista de sesiones activas: dispositivo, ubicación aproximada y hora del último acceso. Puede cerrar cualquiera de ellas al toque, o todas a la vez si perdió un equipo o compartió de más. Las sesiones inactivas vencen automáticamente. Una revisión de esa lista cada tanto toma un minuto y aporta tranquilidad.

Un consejo de higiene digital que cuesta poco: cierre las sesiones que ya no usa, sobre todo en equipos compartidos o de trabajo, y revise la lista después de cada viaje. Las sesiones olvidadas son la puerta que nadie vigila.

6. Recuperación de acceso

Si olvida la contraseña, la recuperación se hace por correo verificado con enlaces de un solo uso que expiran. Si pierde el acceso al correo y al teléfono a la vez, el camino es la verificación de identidad con su cédula a través de soporte: más lento, a propósito, porque justo ahí es cuando los estafadores intentan colarse. Nadie de soporte le pedirá jamás su contraseña ni su código 2FA.

Cada paso de la recuperación agrega una prueba de que usted es usted, y ningún empleado puede acelerarlo ni saltárselo. Esa lentitud molesta justo cuando uno tiene prisa, que es también cuando los estafadores aparecen con soluciones mágicas: cualquier persona que se ofrezca a "recuperarle la cuenta" por fuera del canal oficial le está tendiendo una trampa.

7. Permisos de acceso de terceros

Las vinculaciones con exchanges son de solo lectura: permiten leer información de mercado y de su cuenta, nunca mover fondos. Revise periódicamente las vinculaciones activas y elimine las que ya no use. No comparta las claves de API con nadie y desconfíe de cualquier servicio que se las pida con permisos de retiro: no lo necesita para analizar.

Lo mismo vale para los servicios conectados de terceros: revise qué tiene vinculado, con qué permisos, y depure lo que no usa. Menos conexiones activas significan menos superficies de ataque y menos cosas que vigilar cuando algo falla.

8. Historial de auditoría

Cada acción relevante de su cuenta queda registrada con fecha, hora y dispositivo: inicios de sesión, cambios de configuración, vinculaciones, solicitudes de retiro. Ese historial está disponible para usted en cualquier momento y es la fuente de verdad cuando algo se discute. Lo que está en el registro ocurrió; lo que no está, no.

Ese registro también lo protege en los reclamos: cuando algo se discute, el historial muestra qué pasó sin depender de la memoria de nadie. Por eso las operaciones importantes se confirman siempre dentro de la plataforma, donde quedan grabadas, y no por canales que no dejan rastro.

9. Atención a incidentes

Si detecta algo raro, una sesión que no reconoce o un correo sospechoso que dice venir de nosotros, escríbanos de inmediato a [email protected] con el asunto "Seguridad". El incidente se atiende con prioridad: se bloquea lo que haya que bloquear, se preservan los registros y se le informa qué pasó y qué se hizo. También le pedimos que reporte cualquier suplantación de nuestra marca: la advertencia de fraudes explica cómo reconocerla.

Los incidentes confirmados se comunican a los usuarios afectados con lo ocurrido, qué datos estuvieron comprometidos, si hay algo que hacer y qué se cambió para que no se repita. Esa comunicación llega siempre desde el correo oficial del servicio; cualquier anuncio de incidente que llegue por otro canal debe verificarse en la plataforma antes de actuar.