Seguridad

Esta página es el detalle operativo de las nueve medidas; el bloque de seguridad de la página de inicio muestra las cuatro más visibles. Léala con calma la primera semana: cada párrafo describe algo que se toca una vez y protege todos los días.

1. Verificación en dos pasos (2FA)

La verificación en dos pasos agrega una segunda llave a su cuenta: además de la contraseña, un código de un solo uso que se genera en su teléfono y que caduca a los treinta segundos. Aunque su contraseña se filtre en un filtro de datos de otro sitio, sin ese código el ingreso falla. Puede activarse con aplicación autenticadora o por SMS, y recomendamos la primera: los SMS se interceptan más fácil que un código local.

Viene desactivada por defecto y conviene activarla el mismo día del registro. Al activarla, la plataforma le muestra un código de respaldo único: guárdelo fuera del teléfono, porque es la única vía de entrada si pierde el dispositivo.

2. Cifrado de datos

Toda la comunicación entre su navegador y la plataforma viaja cifrada con TLS, y los datos sensibles se guardan cifrados en reposo. Las contraseñas se almacenan con funciones de hash lentas e irreversibles: ni el equipo de soporte puede leerlas, y por eso nadie legítimo jamás se las va a pedir. Los datos de la clave de API de su exchange se guardan cifrados y solo se usan para las lecturas de mercado.

El cifrado protege el transporte y el almacenamiento; no lo exime del control de acceso. Una sesión abierta en una computadora compartida es un candado perfecto en una puerta abierta.

Las claves de API merecen la misma rutina que las contraseñas: una por servicio, nunca reutilizadas entre plataformas, y revocadas apenas dejan de usarse. Si una clave quedó cargada en un exchange que ya no usa, el lugar seguro para esa clave es la papelera.

3. Protección antifraude

El sistema monitorea patrones de uso anómalos: ingresos desde países inusuales, cambios de dispositivo seguidos de solicitudes de retiro, o modificaciones de datos de contacto poco después de un acceso nuevo. Cuando un patrón se activa, la operación sensible se pone en espera y se confirma por correo con el titular antes de continuar. La página de advertencia de fraudes lista las señales de las estafas más comunes contra usuarios de servicios financieros en Argentina.

Regla práctica que cubre el noventa por ciento de los casos: ninguna persona de Tavora Brunesia le pedirá contraseña, código de verificación, ni que instale un programa de acceso remoto. Ante esa petición, corte el contacto y escríbanos.

4. Alertas de inicio de sesión

Cada acceso desde un dispositivo o ubicación nueva dispara una alerta inmediata a su correo registrado, con la hora y el dato aproximado del origen. Si fue usted, la alerta se archiva sola; si no lo reconoce, el mismo correo tiene el enlace para cerrar esa sesión y cambiar la contraseña en un paso. Las alertas no se pueden desactivar: son el sistema nervioso de la cuenta.

Revíselas con la misma atención que los movimientos de su home banking. La primera señal de una cuenta comprometida casi siempre es un acceso que el titular no reconoce.

5. Control de sesiones activas

Su perfil muestra todas las sesiones abiertas: dispositivo, navegador, ubicación aproximada y última actividad. Puede cerrar cualquiera desde cualquier lado, o cerrarlas todas con un clic, lo que invalida los tokens de las demás. Conviene revisar la lista después de usar una computadora ajena o vender o cambiar de teléfono.

Las sesiones expiran solas tras un período de inactividad, y el ingreso desde un dispositivo nuevo siempre exige el correo de confirmación. La comodidad de «mantenerme conectado» es un riesgo calculado: actívela solo en dispositivos de uso exclusivo personal.

Un hábito que recomendamos a todos los usuarios: cerrar sesión al terminar el día en la computadora de trabajo y dejarla activa solo en el teléfono personal, que además suele tener su propia biometría como capa previa.

6. Recuperación de acceso

Si pierde la contraseña, la recuperación se hace por correo desde la opción «Olvidé mi contraseña», con un enlace de un solo uso que caduca a los treinta minutos. Si perdió también el teléfono con el 2FA, la recuperación exige el código de respaldo guardado al activar la verificación, o una verificación de identidad manual con DNI que toma hasta dos días hábiles: la demora es deliberada, porque una recuperación fácil es una puerta trasera para quien no es usted.

Mantenga actualizado su correo de contacto: es la llave de toda la cadena de recuperación. Un correo que ya no consulta vuelve irrecuperable una cuenta perfectamente sana.

7. Permisos de acceso de la API

La clave de API que vincula su exchange se crea con permisos de solo lectura: ver saldos, precios e historial, nada más. La plataforma no puede iniciar retiros ni órdenes con esa clave, y le recomendamos generarla usted mismo desde su exchange para verificar el tipo de permiso antes de cargarla. Si su exchange permite restringir la clave por dirección IP, hágalo: es una capa más que cuesta un minuto.

Las claves se pueden revocar desde su exchange en cualquier momento, y la revocación corta la lectura de datos de inmediato, sin pasar por soporte. Es su interruptor general: conozcalo antes de necesitarlo.

8. Historial de auditoría

Cada acción relevante queda registrada con fecha, hora, dispositivo y resultado: ingresos, cambios de datos, creación y revocación de claves, solicitudes de retiro y cambios de plan. Ese registro está disponible en su perfil y es la base para responder cualquier discrepancia: si algo se movió, el historial dice quién lo movió, desde dónde y cuándo.

Ante una queja sobre movimientos, el historial es la primera evidencia que revisamos junto con usted. Más sobre el proceso formal en la página de quejas y reclamos.

9. Atención a incidentes

Si sospecha actividad extraña en su cuenta, escriba de inmediato a [email protected] con el asunto «Incidente»: esos casos pasan al frente de la cola con revisión prioritaria. Primeros pasos mientras responde el equipo: cambie la contraseña, cierre todas las sesiones desde su perfil y, si el incidente involucra su exchange, revoque la clave de API desde ahí.

Los incidentes confirmados se comunican a los usuarios afectados con el detalle del acceso no autorizado y las medidas aplicadas, y las lecciones aprendidas alimentan las capas de monitoreo descritas arriba. La seguridad no es un estado: es un proceso que se audita.

Checklist personal de seguridad

• 2FA activado y código de respaldo guardado fuera del teléfono.
• Contraseña única para la plataforma, guardada en un gestor.
• Correo de contacto al día: es la llave de toda la recuperación.
• Sesiones revisadas después de usar dispositivos ajenos.
• Clave de API de solo lectura, sin permisos de retiro en el exchange.
• Conocidos los canales oficiales: soporte por correo, nunca por chat de redes.

Seis puntos, quince minutos de trabajo inicial, y la cuenta queda ordenada para operar. La página de riesgos complementa este marco con los riesgos que ninguna medida técnica elimina.