Seguridad de tu cuenta y de tu plata

1. Doble factor de autenticación (2FA/MFA)

Wallet Clara admite doble factor mediante aplicación autenticadora (del estilo de Google Authenticator o Authy) y mediante SMS al teléfono declarado en tu cuenta. Recomendamos la opción de aplicación: el código se genera en tu dispositivo y no depende de la señal celular.

El 2FA puede activarse desde la sección Seguridad del panel en cualquier momento, y te sugerimos hacerlo el mismo día que creás la cuenta. Se pide para iniciar sesión desde un dispositivo nuevo, para cambiar datos sensibles y para autorizar extracciones.

Si perdés el acceso a tu segundo factor, la recuperación nunca es automática: se hace verificando tu identidad con el equipo de soporte (ver el punto 6). Esto es a propósito: un restablecimiento demasiado fácil convertiría el 2FA en decoración.

2. Cifrado de la información

Los datos se cifran en tránsito mediante TLS en todas las conexiones entre tu navegador, la plataforma y los proveedores que intervienen en el servicio. En reposo, la información de tu perfil y la de tus operaciones se guarda cifrada en sistemas con acceso restringido por roles y revisado periódicamente.

El alcance del cifrado cubre la base de datos de usuarios, los registros de actividad y los respaldos. Las claves de cifrado se gestionan separadas de los datos, con rotación programada. Ni el soporte ni tu gerente personal pueden ver tu contraseña: las contraseñas se almacenan únicamente como derivaciones criptográficas.

3. Protección contra fraude y phishing

Nuestro dominio oficial es wallet-clara.com y ningún otro dominio está autorizado a pedirte datos de cuenta. Todos los correos que enviamos incluyen un código de verificación de mensaje que también podés consultar desde tu panel, para que distingas un mensaje real de una imitación.

Nunca te pedimos la contraseña completa, el código de 2FA ni datos de tu tarjeta por teléfono, chat o correo. Si alguien lo hace diciendo representarnos, es un fraude: cortá la comunicación y reportala a [email protected]. La página de alerta por fraude detalla los casos conocidos y cómo verificarlos.

4. Notificaciones de inicio de sesión

Cada inicio de sesión desde un dispositivo o ubicación nueva genera una notificación inmediata por correo, con fecha, hora aproximada y tipo de dispositivo. La misma notificación incluye el enlace directo para cerrar esa sesión y cambiar la contraseña si no fuiste vos.

Si detectamos patrones sospechosos (intentos fallidos repetidos, ingresos simultáneos desde países distintos, cambios de contraseña seguidos de pedidos de extracción), marcamos la cuenta y te contactamos por el canal declarado antes de procesar movimientos salientes.

Un consejo de uso: leé esas notificaciones aunque estés seguro de que fuiste vos. Tardan cinco segundos en revisar y son la forma más rápida de detectar un acceso no autorizado mientras todavía no hizo daño. Si viajás, avisale a tu gerente para que los ingresos desde otra ubicación no generen bloqueos preventivos innecesarios.

5. Gestión de dispositivos y sesiones

Desde la sección Seguridad del panel ves la lista completa de sesiones activas: navegador, sistema operativo, fecha del último uso y ubicación aproximada. Podés revocar cualquiera de forma individual o cerrar todas las sesiones con un clic, lo que resulta útil si perdiste un dispositivo o usaste una computadora compartida.

Las sesiones inactivas se cierran automáticamente después de un período sin actividad, y el sistema pide reautenticación para operaciones sensibles aunque la sesión siga abierta. Cerrar sesión al terminar es un hábito que siempre suma, sobre todo en computadoras de uso compartido.

6. Recuperación de cuenta

Para recuperar el acceso verificamos tu identidad con datos de tu registro, comprobantes de domicilio si corresponde y, en algunos casos, una verificación con selfie que se compara con la del alta. Una vez confirmado, restablecemos el acceso y reactivamos el 2FA con un procedimiento guiado.

La verificación de identidad demora lo necesario para ser seria: normalmente se resuelve el mismo día hábil. Este plazo protege tu cuenta de intentos de suplantación, y preferimos demorar una recuperación legítima antes que entregarle una cuenta a la persona equivocada.

7. Permisos de las claves de API

Cuando conectás una cuenta de exchange para que la plataforma opere, la clave de API se configura con el principio de mínimo privilegio: permisos de lectura de mercado y de trading, según la estrategia que actives. No solicitamos permisos de retiro, y te recomendamos desactivar ese permiso en el exchange antes de crear la clave.

Las claves se guardan cifradas, se asocian únicamente a tu usuario y podés revocarlas desde el panel o desde el propio exchange en cualquier momento. Cada cambio de clave queda registrado en el historial de auditoría con fecha y origen.

8. Historial de auditoría

Tu cuenta mantiene un registro completo de eventos de seguridad y operación: inicios de sesión, conexiones de API, cambios de estrategia, ajustes de límites y pedidos de extracción. Cada entrada muestra fecha, hora y dispositivo, y el registro no se puede editar ni borrar desde el panel.

Ese historial es tu herramienta de control: si algo no cierra, ahí vas a encontrar la secuencia exacta de lo que pasó. El mismo registro nos permite a nosotros investigar incidentes con evidencia y reconstruir decisiones ante una consulta o un reclamo formal.

9. Soporte ante incidentes de seguridad

Si detectás actividad que no reconocés, escribí de inmediato a [email protected] con el asunto "Incidente de seguridad" o usá el enlace de reporte del panel. El primer paso es la contención: bloqueamos los movimientos salientes y las sesiones activas mientras verificamos.

Después sigue la investigación, con una respuesta inicial dentro de las 24 horas hábiles y actualizaciones periódicas hasta el cierre. Si el incidente afecta a varios usuarios, publicamos un aviso en el sitio y notificamos a los afectados con las medidas recomendadas. Los incidentes confirmados y su resolución quedan documentados para los procesos de mejora continua.

El orden esperado de comunicación es siempre el mismo: primero contención, después explicación de qué pasó, y al final las medidas concretas para que no se repita. Nunca te pedimos datos sensibles durante la investigación: si alguien lo hace en nombre del equipo, es suplantación y se reporta como tal.