Seguridad de su cuenta
Nueve medidas protegen su cuenta y sus datos. Esta página las explica una por una, con el detalle suficiente para que sepa qué esperar de cada una y cómo usarla desde el primer día.
Regla de oro: Tolvera Brixan nunca le pedirá contraseñas, códigos de verificación ni pagos a cuentas personales. Cualquier mensaje con esa petición es falso y debe reportarse a [email protected].
Las nueve medidas, en detalle
1. Autenticación en dos pasos (2FA/MFA)
La cuenta puede protegerse con un segundo factor de autenticación además de la contraseña. Al activarlo, cada inicio de sesión desde un dispositivo no reconocido pide un código de un solo uso generado por una app autenticadora en su teléfono. El código cambia cada treinta segundos, así que aunque alguien obtenga su contraseña no le basta para entrar.
Recomendamos activar el 2FA el mismo día del registro, antes del primer depósito. La activación toma dos minutos desde la sección de seguridad de su perfil y se puede hacer con cualquier aplicación compatible con códigos TOTP. También puede solicitar que las operaciones sensibles, como cambiar la cuenta de retiro, pidan el segundo factor aunque la sesión ya esté abierta.
Si pierde el teléfono, la recuperación se hace por el canal oficial de soporte con verificación de identidad. Nunca por enlaces que lleguen por mensajería instantánea ni por llamadas no solicitadas.
2. Cifrado de datos
Toda la comunicación entre su navegador y la plataforma viaja por conexiones cifradas. Los datos sensibles, como documentos de identificación, se almacenan cifrados y el acceso interno a ellos queda restringido al personal de cumplimiento que los necesita para la verificación.
Las contraseñas no se guardan tal cual: se transforman con funciones de hash irreversibles, de modo que ni el equipo técnico puede leerlas. Cada contraseña nueva se compara contra listas de filtraciones conocidas para rechazar combinaciones ya comprometidas en otros servicios.
Las claves de API que usted conecta para el análisis de su exchange se guardan cifradas y con permisos de solo lectura. La plataforma no puede mover fondos con ellas y usted puede revocarlas desde su exchange en cualquier momento.
3. Protección contra fraude y phishing
El phishing, mensajes falsos que imitan a la empresa para robar credenciales, es la amenaza más frecuente contra usuarios de servicios financieros. Tolvera Brixan nunca le pedirá su contraseña, sus códigos 2FA ni pagos a cuentas personales por teléfono o chat. Cualquier mensaje con esas peticiones es falso.
Operamos con una lista corta de dominios oficiales y lo publicamos así en esta página. Si recibe un enlace dudoso, no lo abra: reenvíelo a [email protected] y el equipo de seguridad lo revisará. La página de advertencia de fraudes explica cómo reconocer suplantaciones de marca.
De nuestro lado, los sistemas de envío de correo están configurados con SPF, DKIM y DMARC para dificultar la falsificación de remitentes, y monitoreamos la aparición de dominios similares al nuestro para reportarlos.
4. Notificaciones de inicio de sesión
Cada vez que su cuenta se abre desde un dispositivo nuevo, o desde una ubicación inusual, enviamos de inmediato una notificación al correo registrado con los datos disponibles: fecha, hora aproximada y tipo de dispositivo. Si el acceso no fue suyo, el propio correo incluye el enlace para cerrar sesiones y cambiar la contraseña.
Las notificaciones también cubren cambios de perfil relevantes: nueva dirección de correo, modificación del teléfono de contacto o actualización de la cuenta bancaria de retiro. Este aviso doble le da una segunda oportunidad de detectar una intrusión antes de que cause daño.
Puede revisar en cualquier momento la lista de sesiones activas desde su perfil y cerrarlas todas con un botón si detecta algo extraño.
5. Gestión de dispositivos y sesiones
Cada sesión iniciada queda identificada con su dispositivo y su ubicación aproximada. Desde la sección de seguridad puede ver cuáles están activos, cuándo comenzaron y cerrarlos uno por uno o todos a la vez. Cambiar la contraseña cierra automáticamente todas las sesiones abiertas.
Las sesiones expiran tras un periodo de inactividad y en equipos compartidos recomendamos marcar la opción de no recordar el inicio. El acceso desde redes públicas no está bloqueado, pero las operaciones sensibles siempre piden el segundo factor.
Si un dispositivo suyo se pierde o lo roban, el cierre remoto de sesiones más el cambio de contraseña bastan para cortar el acceso sin necesidad de esperar.
6. Recuperación de cuenta
Perder el acceso a la cuenta tiene un camino de solución documentado. La recuperación combina la verificación de identidad con pruebas de titularidad: el correo registrado, el teléfono de contacto y, cuando hace falta, la identificación oficial usada en el registro. El proceso se sigue por escrito para que quede constancia de cada paso.
La recuperación nunca se tramita por llamadas entrantes no solicitadas ni por chats de mensajería. Si alguien se ofrece a recuperar su cuenta a cambio de pagos o códigos, es un intento de fraude: repórtelo a [email protected].
Para que la recuperación sea rápida en caso de necesitarla, conviene mantener actualizados el correo y el teléfono de contacto, y tener a la mano el documento con el que verificó su identidad.
7. Permisos de claves de API
La plataforma funciona con claves de API de solo lectura conectadas a su exchange. Ese permiso permite leer información de mercado y de posiciones, pero no autorizar retiros ni crear órdenes. Es una decisión de diseño: el análisis no requiere poder mover su dinero, así que no se concede ese poder.
Al vincular su exchange, revise usted mismo qué permisos marca: solo lectura, sin retiros. Si una integración le pidiera permisos de retiro, sería una señal de alarma y puede reportarla. Las claves se pueden revocar desde el exchange en cualquier momento y el efecto es inmediato.
Rotar las claves cada cierto tiempo es una buena práctica que no interrumpe el servicio: se sustituyen en minutos desde su perfil.
8. Historial de auditoría
Las acciones relevantes de su cuenta quedan registradas en un historial de auditoría: inicios de sesión, cambios de datos, conexiones y desconexiones de exchange, solicitudes de retiro. Cada registro incluye fecha, hora y datos del dispositivo.
Ese historial es visible para usted, no solo para el equipo interno. Si alguna vez discute una operación con soporte, ambos ven la misma secuencia de eventos, lo que evita malentendidos y acelera la resolución.
Los registros se conservan durante el periodo que exige la normativa aplicable y se protegen contra modificación. Sirven además como insumo en las investigaciones internas cuando se reporta actividad sospechosa.
9. Atención ante incidentes
Si detecta actividad extraña en su cuenta, escriba de inmediato a [email protected] con el asunto Incidente. El primer paso del protocolo es asegurar la cuenta: cierre de sesiones y bloqueo temporal de retiros mientras se revisa. Después se reconstruye lo ocurrido con el historial de auditoría y se le informa el resultado por escrito.
Los incidentes de seguridad que afecten a varios usuarios se comunican de forma proactiva, con la descripción del problema, su alcance y las acciones recomendadas. La página de advertencia de fraudes se actualiza cuando aparecen campañas de suplantación nuevas.
Reportar rápido marca la diferencia: la mayoría de los incidentes se contienen por completo cuando se notifican dentro de las primeras horas. Nunca penalizamos un reporte que resulta ser una falsa alarma.
Lo que la seguridad no puede hacer por usted
Ninguna medida técnica elimina el riesgo de mercado ni convierte una operación en segura. La seguridad protege su cuenta y sus datos; el resultado de sus operaciones depende del mercado y de sus decisiones. Combine ambas cosas: cuenta bien protegida y expectativas realistas, apoyadas en la lectura del aviso de riesgos.
Para revisar los procesos de verificación que aplicamos a cada usuario, visite la página de AML / KYC.