Seguridad de la plataforma

1. Verificación en dos pasos (2FA/MFA)

Ambiorax soporta la verificación en dos pasos mediante aplicación autenticadora y código de un solo uso enviado a su correo registrado. El segundo factor puede activarse desde el perfil en cualquier momento y recomendamos hacerlo el mismo día que crea la cuenta, porque protege el acceso incluso si alguien obtiene su contraseña. La verificación no es obligatoria para navegar el panel, pero sí se exige para acciones sensibles como cambiar datos de retiro o conectar una nueva integración.

Si pierde el acceso a su segundo factor, la recuperación se hace por el canal de soporte con verificación de identidad, nunca por un enlace automático. Recomendación práctica: guarde los códigos de respaldo que la plataforma le muestra al activar la verificación en un lugar seguro fuera de su teléfono.

2. Cifrado de la información

Toda la comunicación entre su navegador y la plataforma viaja cifrada mediante TLS, y la información sensible queda cifrada en reposo en los sistemas que la procesan. El área de aplicación incluye los datos de la cuenta, los expedientes de verificación de identidad y los registros de operaciones. Las contraseñas se almacenan con funciones de derivación resistentes a fuerza bruta, jamás en texto plano.

El responsable de cada sistema está definido internamente: el equipo de infraestructura mantiene el cifrado en tránsito y en almacenamiento, y el equipo de producto aplica el cifrado de campos sensibles en las bases de datos. Cuando un proveedor externo procesa datos, su contrato exige niveles equivalentes de protección.

3. Protección contra fraude y phishing

Las comunicaciones oficiales de Ambiorax salen únicamente desde el dominio ambiorax.org y desde la dirección [email protected]. Ningún mensaje oficial le pedirá su contraseña ni su código de verificación completo. Para ayudarlo a distinguir mensajes verdaderos de falsificados, las notificaciones de la plataforma incluyen un código de seguridad personal que usted puede comparar contra el que aparece en su perfil.

Si recibe un mensaje que dice ser de Ambiorax pero viene de otro dominio, con enlaces raros o urgencia exagerada, no responda ni abra enlaces: reenvíelo a nuestro correo de soporte y elimínelo. La página de alerta de fraude explica cómo reportar suplantaciones de marca.

4. Notificaciones de inicio de sesión

Cada vez que su cuenta se abre desde un dispositivo nuevo o desde una ubicación inusual, la plataforma envía una notificación por correo con los datos del acceso: fecha, hora aproximada, tipo de dispositivo y país de origen. También se notifican los cambios de contraseña, las conexiones nuevas de integraciones y las solicitudes de retiro. Si usted no reconoce la actividad, el mismo correo incluye la vía rápida para cerrar sesiones y contactar a soporte.

Las alertas funcionan para actividad sospechosa detectada por el sistema, como intentos repetidos de ingreso fallidos. No es necesario configurar nada: las notificaciones de seguridad vienen activadas por defecto y no pueden desactivarse por completo, porque son parte del monitoreo de la cuenta.

5. Gestión de dispositivos y sesiones

Desde la sección de seguridad del panel puede ver todas las sesiones activas de su cuenta: en qué dispositivo, desde cuándo y desde qué dirección aproximada. Puede cerrar cualquier sesión individual o todas menos la actual con un clic. La plataforma cierra automáticamente las sesiones inactivas después de un período sin actividad, de modo que un equipo olvidado abierto no deja la cuenta expuesta por siempre.

Recomendación práctica: revise la lista de sesiones después de usar un equipo compartido o público, y cierre las que no reconozca. Si aparece una sesión que no es suya, cierre todo, cambie la contraseña y avise a soporte de inmediato.

6. Recuperación de la cuenta

La recuperación de acceso sigue un proceso diseñado para probar que usted es usted: verificación de identidad con documento, confirmación de datos de la cuenta y revisión por parte del área de Atención al Cliente y Cumplimiento. No existen atajos automáticos que permitan tomar el control de una cuenta solo con conocer el correo, precisamente para evitar que un tercero lo haga.

El proceso tiene limitaciones deliberadas: durante la revisión se pueden pausar los retiros y los cambios de datos sensibles hasta confirmar la identidad. Puede parecer incómodo, pero es lo que impide que una suplantación convierta su cuenta en una vía de salida de fondos ajenos. El contacto se hace siempre desde el correo oficial indicado arriba.

7. Permisos de las claves API

Cuando la plataforma se conecta a un exchange en su nombre, la clave se configura con el permiso mínimo necesario: lectura del estado de la cuenta y ejecución de operaciones según la estrategia activa. El permiso de retiro o transferencia de fondos hacia direcciones externas no forma parte de la configuración estándar de las integraciones de la plataforma. Cada clave queda asociada a su cuenta y puede revisarse y revocarse desde el panel.

Si en algún momento usted mismo administra claves en un exchange, aplique la misma regla: cree la clave solo con los permisos que la integración realmente necesita, restrinja las direcciones desde las que puede usarse y rote la clave si sospecha que estuvo expuesta.

8. Historial de auditoría

Su cuenta mantiene un registro auditable de los eventos importantes: inicios de sesión, conexiones y desconexiones de integraciones, activación y pausa de estrategias, cambios de configuración y solicitudes de retiro. El historial muestra fecha, hora, evento y dispositivo, y está disponible para usted desde el panel en todo momento.

Ese mismo registro sirve al equipo interno cuando investiga un reclamo o un incidente: en lugar de reconstruir lo ocurrido por testimonios, se revisa la secuencia de eventos tal como quedaron registrados. Ante una solicitud formal suya o de una autoridad competente, el extracto correspondiente puede exportarse como soporte.

9. Soporte ante incidentes de seguridad

Si sospecha acceso no autorizado, movimientos que no reconoce o cualquier otro incidente de seguridad, escriba de inmediato a [email protected] con el asunto Incidente de seguridad. El canal activa un flujo prioritario: primero se puede bloquear preventivamente la cuenta para frenar cualquier operación en curso, luego se revisa el historial de auditoría y se le informa el resultado.

El orden de comunicación esperado es: acuse de recibo, bloqueo o medida preventiva si corresponde, investigación interna y respuesta final con las acciones tomadas. El horario de atención es Lunes a viernes, 9:00 a 18:00 EST (excepto días feriados), y los reportes que llegan fuera de horario quedan registrados y se atienden al abrir el siguiente día hábil.

Para profundizar: vea la política AML / KYC con la verificación de identidad, y la divulgación de riesgos, porque ninguna medida de seguridad convierte la inversión en un negocio sin riesgo de pérdida.