Seguridad de la plataforma y de tu cuenta

1. Verificación en dos pasos (2FA/MFA)

Soportamos segundo factor por aplicación autenticadora (TOTP) y por mensaje de texto. La 2FA es obligatoria para operaciones sensibles: cambios de datos de retiro, inicio de sesión desde un dispositivo nuevo y solicitudes de fondos. Si pierdes tu dispositivo, la recuperación se hace verificando tu identidad con el equipo de soporte: te pediremos tu documento y una videollamada breve, nunca una clave ni códigos por teléfono.

Recomendamos la aplicación autenticadora por sobre el SMS: los códigos por texto pueden interceptarse si alguien logra duplicar tu SIM, mientras que los códigos de la app viven solo en tu teléfono. La activación toma dos minutos desde el perfil y puedes guardar los códigos de respaldo impresos o en tu gestor de claves, para no quedar afuera si cambias de aparato.

2. Cifrado de datos

Los datos viajan cifrados con TLS entre tu navegador y la plataforma, y la información sensible se almacena cifrada en los sistemas responsables de su custodia. El acceso interno a esos sistemas está restringido por rol y registrado: nadie consulta datos de clientes sin dejar huella. Las claves de API se guardan cifradas y nunca se muestran completas después de creadas.

El cifrado alcanza también los respaldos: las copias de seguridad de los sistemas se guardan cifradas en ubicaciones separadas, de modo que un incidente físico en un centro de datos no expone información de clientes. Los certificados TLS de la plataforma se renuevan de forma automática y monitoreamos su vigencia para que nunca exista una ventana de conexión sin cifrar.

3. Protección contra fraude y phishing

Nuestro dominio oficial es cumbre-prendumbre.com y cualquier otro sitio que use el nombre es una copia. Los correos legítimos incluyen un código de seguridad personal que reconoces al leerlos; ningún mensaje nuestro te pedirá claves, códigos 2FA ni pagos a cuentas de terceros. Ante la duda, escribe directamente a [email protected] antes de hacer clic.

4. Notificaciones de inicio de sesión

Cada inicio de sesión desde un dispositivo o ubicación nueva dispara una alerta por correo, y las acciones inusuales (cambio de clave, retiro, nueva clave de API) generan su propia notificación. Si recibes un aviso de algo que no hiciste, cambia tu clave de inmediato y avisa a soporte con el botón de contacto del correo: atender esos reportes tiene prioridad máxima.

Las alertas incluyen el dato práctico que necesitas para decidir: desde qué país y tipo de dispositivo se intentó el acceso, y si fue exitoso o bloqueado. Con esa información en segundos puedes distinguir tu propio celular nuevo de un intento ajeno, y las notificaciones de retiro siempre enlazan directo al historial de movimientos para revisar el detalle completo.

5. Gestión de dispositivos y sesiones

Desde tu perfil ves la lista de sesiones activas: dispositivo, navegador y última actividad. Puedes revocar cualquiera con un clic o cerrar todas las sesiones menos la actual. Las sesiones expiran automáticamente tras un período de inactividad y no se extienden sin reautenticación en operaciones sensibles.

Esta vista es la primera que recomendamos revisar tras la activación de la cuenta y cada vez que cambies de teléfono o computador. Revocar una sesión no borra datos ni detiene estrategias: solo cierra ese acceso. Si un dispositivo aparece que no reconoces, revócalo, cambia la clave y escríbenos para que el equipo revise el origen en los registros internos.

6. Recuperación de cuenta

Si pierdes el acceso, la recuperación exige verificación de identidad con documento vigente y respuesta a preguntas sobre la actividad de la cuenta. Durante el proceso se congela la posibilidad de retiros hasta confirmar que eres el titular. Este trámite demora lo necesario para ser seguro: preferimos una espera a entregar una cuenta a la persona equivocada.

Para que la recuperación sea rápida cuando de verdad la necesites, conviene tener al día el documento registrado y un correo alternativo verificado en tu perfil. Si cambias de número de teléfono, actualízalo el mismo día: el número viejo es la puerta más común de adueñarse de cuentas ajenas, y mantenerlo vigente evita que un tercero reciba códigos que ya no te pertenecen.

7. Permisos de claves de API

Las claves de integración se crean con permisos explícitos de lectura, de operación o de retiro. Puedes crear una clave de solo lectura para consultar datos y otra con permiso de operación para el motor de análisis, dejando el permiso de retiro desactivado salvo que lo necesites. Cada clave tiene etiqueta, fecha de creación y revocación inmediata.

El principio es simple: cada integración recibe el permiso mínimo que necesita para funcionar, nunca el máximo disponible. Si en algún momento dudas de una clave, revócala y crea una nueva: el motor de análisis se reconecta en segundos y el historial de auditoría muestra exactamente qué hizo cada clave mientras existió. Revocar una clave sospechosa no interrumpe el resto de la cuenta.

8. Historial de auditoría

Tu cuenta mantiene un registro inmutable de inicios de sesión, conexiones de API, cambios de configuración de estrategias, ajustes de límites y solicitudes de retiro, con fecha y hora. Ese historial está disponible para ti en el panel y para nuestros equipos de cumplimiento, que lo revisan con criterios de detección de actividad inusual.

Ese mismo registro es tu mejor herramienta ante discrepancias: si un reporte no calza con lo que recuerdas, el historial de auditoría muestra la secuencia exacta de eventos sin depender de la memoria de nadie. Las entradas no se editan ni se borran desde el panel, ni siquiera por soporte, y ante un reclamo formal son la base objetiva sobre la que se investiga el caso.