Seguridad de la plataforma
La seguridad en Faro Cripto no es un interruptor que se enciende: es un conjunto de capas que cubren el acceso a tu cuenta, el viaje de tus datos, el monitoreo de actividad y la respuesta cuando algo sale fuera de lo normal. Estos son los nueve pilares que sostienen la protección de tu cuenta y cómo se aplican en la práctica, con las recomendaciones concretas que pedimos a cada usuario.
Antes de entrar en detalle, una idea que resume nuestra postura: asumimos que cualquier acceso no verificado es sospechoso hasta comprobar lo contrario. Por eso los retiros exigen verificación de identidad, por eso las alertas de inicio de sesión son automáticas y por eso la recuperación de cuenta incluye pasos deliberadamente lentos. Cada fricción que sientes es una barrera contra alguien que intenta entrar a tu nombre.
1. Verificación en dos pasos (2FA/MFA)
Soportamos aplicaciones autenticadoras (TOTP) como Google Authenticator o Authy, además del código por correo. La activación es opcional al registrarte, pero la recomendamos con énfasis y puedes encenderla en dos minutos desde tu perfil. Si pierdes tu dispositivo, la recuperación se hace verificando tu identidad con el equipo de soporte: nadie más puede desactivar tu 2FA sin pasar por esa verificación, y ese es precisamente el objetivo.
2. Cifrado de datos
Todo el tráfico entre tu navegador y la plataforma viaja cifrado con TLS, incluidos los formularios de registro e inicio de sesión. Los datos sensibles que descansan en nuestros sistemas, como expedientes de verificación, se almacenan cifrados y separados de la información operativa. Las claves de API que conectan tu cuenta con los exchanges se guardan cifradas y con permisos mínimos, nunca en texto plano y nunca compartidas con terceros ajenos al funcionamiento del servicio.
3. Protección contra fraude y phishing
Nuestros dominios oficiales son faro-cripto.com.mx y los subdominios que aparecen en tu panel. Cada comunicación importante que enviamos incluye un código de verificación personal que puedes confirmar con soporte. Nunca te pedimos contraseñas, códigos 2FA ni transferencias a cuentas nuevas por teléfono o chat. Si un mensaje a nuestro nombre te lo pide, es fraude: repórtalo de inmediato en nuestra página de advertencia sobre fraudes y cambia tu contraseña.
4. Notificaciones de inicio de sesión
Cada inicio de sesión desde un dispositivo o navegador nuevo dispara un correo con fecha, hora aproximada, tipo de dispositivo y ubicación aproximada. También avisamos cuando se detecta actividad inusual: intentos fallidos repetidos, cambios de contraseña o retiros no habituales. Las alertas llegan al correo registrado y, si tú lo configuraste, también como notificaciones push en el panel móvil, para que reacciones en minutos y no en días.
¿Qué hacer al recibir una alerta que no reconoces? No la ignores ni la archives: cambia tu contraseña desde un dispositivo confiable, cierra las sesiones activas desde el panel y escribe a soporte con el asunto "Incidente" para que el equipo revise los accesos recientes. Un minuto de reacción evita la mayoría de los daños.
5. Gestión de dispositivos y sesiones
En la sección de seguridad del panel ves todas tus sesiones activas: computadora de la oficina, teléfono, tableta. Puedes cerrar cualquiera con un clic y cerrar todas las demás excepto la actual si sospechas de algo. Las sesiones expiran automáticamente tras un periodo de inactividad y cualquier cambio de contraseña revoca el resto de las sesiones abiertas, de modo que un dispositivo olvidado nunca queda escuchando para siempre.
Recomendación práctica: revisa la lista de sesiones después de usar computadoras ajenas o wifi público, y familiarízate con cómo se ve tu lista normal para que un elemento extra te salte a la vista de inmediato.
6. Recuperación de cuenta
Olvidar una contraseña no debe costarte la cuenta. La recuperación por correo funciona con enlaces de un solo uso que caducan rápido. Si perdiste también el acceso al correo o al dispositivo con tu 2FA, el equipo de soporte verifica tu identidad con tu identificación oficial y preguntas sobre la actividad de la cuenta antes de restaurar el acceso. El proceso es deliberadamente estricto: es la barrera que impide que alguien se haga pasar por ti con un correo bonito.
7. Permisos de las claves API
Cuando conectas un exchange, la clave que generes debe llevar solo los permisos necesarios: lectura de datos y ejecución de operaciones. El permiso de retiro de fondos existe, pero se deja desactivado salvo que lo necesites y entonces se combina con confirmación manual de cada retiro. Puedes revisar y revocar claves desde el panel en cualquier momento, y recomendamos rotarlas cada pocos meses igual que cambias de contraseñas importantes.
8. Historial de auditoría
Cada evento relevante de tu cuenta queda registrado: inicios de sesión, conexiones y desconexiones de exchanges, cambios de estrategia, ajustes de límites y solicitudes de retiro. Ese historial está disponible para ti en el panel con fecha y hora, y sirve para revisar qué pasó si algo no cuadra. Ante una disputa, ese registro es la fuente de verdad tanto para ti como para nuestro equipo, y por eso lo protegemos contra alteraciones.
9. Soporte ante incidentes
Si detectas movimiento que no reconoces, escribe de inmediato a [email protected] desde tu correo registrado con el asunto "Incidente". El primer paso del equipo es congelar la actividad sensible de la cuenta si hay señales de compromiso, y después se abre una investigación con comunicación continua: te mantenemos al tanto del avance y del resultado. En casos graves puedes solicitar el bloqueo total preventivo de la cuenta desde el primer mensaje.
Tu parte del acuerdo
Las capas técnicas protegen la puerta, pero tú llevas la llave. Usa una contraseña larga y única para Faro Cripto, activa la verificación en dos pasos hoy mismo si aún no la tienes, revisa los correos de inicio de sesión en lugar de archivarlos sin leer, y manten tus datos de contacto actualizados para que las alertas siempre te encuentren. La seguridad funciona como un acuerdo entre lo que construimos y lo que practicas.
Ten en cuenta, además, lo que la seguridad no puede hacer por ti: no elimina el riesgo de mercado, no recupera contraseñas que compartiste voluntariamente en un sitio falso y no protege fondos enviados a cuentas de terceros fuera de la plataforma. Ninguna capa técnica sustituye el criterio con que manejas tus accesos y tu dinero. Los retiros, por ejemplo, siempre pasan por verificación de identidad precisamente porque preferimos hacerte esperar unas horas antes de enviar un peso a una cuenta nueva sin confirmar que es tuya.
Para leer cómo protegemos tu identidad y tus datos personales en el proceso de verificación, visita la política AML/KYC y la Política de Privacidad. Para los riesgos de mercado que ninguna seguridad técnica elimina, la divulgación de riesgos los explica con detalle.