Nueve capas de protección
Del 2FA al historial de auditoría, cada capa se describe abajo con pasos prácticos.
Cifrado de extremo a extremo
Los datos se protegen en tránsito y en reposo en todos los sistemas que los almacenan.
Personas al teléfono
Si algo se ve mal, el canal de incidentes pone a una persona en el caso de inmediato.
1. Autenticación en dos pasos (2FA/MFA)
La autenticación en dos pasos añade una segunda barrera al inicio de sesión: tras tu contraseña, confirmas un código de una app autenticadora. Soportamos apps TOTP (contraseñas de un solo uso basadas en tiempo), y el 2FA es obligatorio para retiros y cambios de datos de pago. Activarlo para iniciar sesión es opcional, pero lo recomendamos desde el día del registro: toma un minuto y protege las partes de tu cuenta por donde se mueve dinero.
Si pierdes tu dispositivo, la recuperación se gestiona con el equipo de soporte mediante verificación de identidad. Espera preguntas sobre la actividad reciente de tu cuenta y presentación de documentos; la recuperación es deliberadamente más lenta que el acceso normal, porque debe serlo.
2. Cifrado de datos
Todo el tráfico entre tu navegador y la plataforma viaja cifrado con TLS. Los datos en reposo (documentos de identidad, datos de contacto, registros de transacciones) se cifran en la capa de almacenamiento de cada sistema que los contiene. El acceso a los datos descifrados se limita a los sistemas y roles que lo necesitan: el personal de cumplimiento para documentos de verificación, el de soporte para datos de contacto, y nadie tiene acceso total a todo.
3. Protección contra fraude y phishing
Los mensajes oficiales de Nexora Calvarix provienen solo de nuestros dominios. Nunca pedimos tu contraseña, tus códigos 2FA ni acceso remoto a tu dispositivo. Los mensajes sobre retiros o "problemas de cuenta" que generan urgencia son el patrón clásico de phishing: pausa y verifica. Si un mensaje se ve raro, reenvíalo a [email protected] y confirmaremos si lo enviamos. La página de Advertencia sobre fraudes lista los patrones de empresas clon que vemos actualmente.
4. Notificaciones de inicio de sesión
Cada inicio de sesión desde un dispositivo nuevo dispara un correo con el tipo de dispositivo, la ubicación aproximada y la hora. Si recibes uno y no fuiste tú, cambia tu contraseña de inmediato, revisa las sesiones activas y contacta a soporte. Las notificaciones sobre actividad sospechosa (por ejemplo, intentos repetidos de contraseña fallida) siguen la misma ruta.
5. Gestión de dispositivos y sesiones
El panel muestra cada sesión activa: dispositivo, navegador, dirección IP y última actividad. Puedes cerrar cualquier sesión con un clic, lo que expulsa a ese dispositivo. Las sesiones caducan tras un periodo de inactividad y cambiar la contraseña invalida todas las demás sesiones. Si compartes computadora, cierra sesión al terminar: la lista de sesiones es la forma de verificar que no quedó nada abierto.
6. Recuperación de cuenta
Los restablecimientos de contraseña siempre requieren acceso al correo registrado y confirmación de identidad para cuentas con 2FA activo. Las solicitudes de recuperación las atiende el equipo de soporte, no un proceso automático: una persona real verifica que quien la pide es el titular. Eso hace la recuperación más lenta que un restablecimiento en un clic, y es intencional: un proceso de restablecimiento rápido es también un proceso de intrusiones rápido.
7. Permisos de llaves API
Conectar una cuenta de exchange usa llaves API que tú creas en el exchange, con los permisos que eliges. La plataforma necesita permisos de lectura y de operación para funcionar, pero nunca necesita permiso de retiro: deja el permiso de retiro deshabilitado al crear la llave. Guardamos las llaves cifradas, con los permisos mínimos necesarios y enmascaradas tras la configuración inicial.
8. Historial de auditoría
Inicios de sesión, conexiones de API, arranques y paradas de estrategias, cambios de configuración y ediciones de datos de pago quedan registrados con hora e IP. El historial está disponible en el panel de tu cuenta, para que verifiques que cada acción listada fue tuya. Si ves algo que no hiciste, el registro de auditoría es el punto de partida de la investigación: repórtalo por el canal de incidentes de abajo.
9. Soporte ante incidentes
Si sospechas acceso no autorizado, escribe a [email protected] con "URGENTE" en el asunto. La cuenta puede bloquearse temporalmente mientras se revisa la situación. Espera un acuse de recibo dentro de la primera hora hábil en días hábiles, una persona asignada al caso y actualizaciones en lenguaje claro conforme avanza la revisión. Al terminar recibirás un resumen de lo ocurrido y de lo que se cambió.
La seguridad es un esfuerzo compartido: nosotros protegemos la plataforma y estos nueve pasos protegen tu cuenta. Ante la duda, pregunta: un correo de dos minutos cuesta menos que un proceso de recuperación.