Cómo protegemos tu cuenta y tus datos

01 / Doble factor de autenticación (2FA/MFA)

Soportamos 2FA por aplicación autenticadora (TOTP), el método recomendado: generás códigos de seis dígitos que rotan cada treinta segundos en tu teléfono. También funciona 2FA por correo, aunque es más débil porque depende de la seguridad de tu casilla. El 2FA es opcional al registrarte, pero se exige para operaciones sensibles como agregar un método de extracción o cambiar datos de contacto cuando la cuenta ya opera.

Si perdés el teléfono o borrás la app, la recuperación se hace verificación de identidad mediante: documento, prueba de vida y validación de datos de la cuenta, con revisión por parte del equipo de soporte. Nadie puede "resetear" tu 2FA con un simple mail: el proceso existe justamente para que un atacante no pueda hacerlo.

02 / Cifrado de datos

Toda la comunicación entre tu navegador y la plataforma viaja cifrada mediante TLS. Los datos sensibles en reposo, como documentos de identidad y datos financieros, se almacenan encriptados en los sistemas responsables de procesarlos, con acceso restringido por rol y registrado.

Las contraseñas nunca se guardan en texto plano: se almacenan con funciones de derivación resistentes a fuerza bruta. Las claves de integración con exchanges se cifran con llaves gestionadas fuera de los servidores de aplicación, de modo que un acceso a la base de datos no expone tus credenciales de trading.

03 / Protección contra fraude y phishing

Nuestros dominios oficiales son block-guia.com y subdominios de esa misma raíz; cualquier otra variante con guiones distintos, letras extra o dominios de países raros que "parecen" nuestros es sospechosa. Los mensajes legítimos de soporte nunca te piden contraseñas, códigos de 2FA ni transferencias a cuentas de terceros, y siempre podés pedir un código de verificación verbal para confirmar que quien te atiende por teléfono es personal autorizado.

Si recibís un mensaje dudoso que nos imita, reenvialo a [email protected] y no hagas clic en nada. La página de advertencia sobre estafas describe los casos conocidos de empresas clonadas que usan nuestra marca.

04 / Notificaciones de inicio de sesión

Cada vez que se inicia sesión desde un dispositivo o ubicación nueva, te llega una notificación por correo con fecha, hora, tipo de dispositivo y origen aproximado de la conexión. Si ese ingreso no fuiste vos, el propio mail tiene el acceso directo para bloquear la cuenta y cerrar todas las sesiones activas.

Las alertas de actividad sospechosa (intentos fallidos repetidos, cambio de método de extracción, deshabilitación del 2FA) generan además un aviso interno: el equipo de seguridad revisa el caso y puede congelar la extracción de fondos hasta confirmar contigo que los cambios son legítimos.

05 / Gestión de dispositivos y sesiones

Desde tu perfil ves la lista de sesiones activas: navegador, sistema operativo, fecha del último uso y ubicación aproximada. Podés cerrar cualquier sesión individual o todas a la vez con un clic. Las sesiones inactivas expiran automáticamente tras un período sin actividad, y los dispositivos recordados requieren confirmación adicional para operaciones de retiro.

Al cambiar de teléfono o vender una computadora, revocá primero las sesiones desde la cuenta vieja, o pedí el cierre total al soporte: no hace falta esperar a que expiren solas.

06 / Recuperación de cuenta

Olvidar la contraseña es rutina: usás el enlace de recuperación desde la pantalla de ingreso y recibís un correo con enlace de única vez, válido por tiempo limitado. Casos más serios (correo comprometido, teléfono perdido, sospecha de acceso no autorizado) se resuelven con verificación de identidad completa: documento vigente, selfie con prueba de vida y confirmación de datos históricos de la cuenta.

Por diseño, la recuperación es más lenta que el uso normal: preferimos hacerte esperar unas horas antes de entregar el control de una cuenta con fondos a alguien que dice ser vos. El soporte te informa cada paso y el estado del expediente por correo.

07 / Permisos de claves API

Cuando conectás una cuenta de exchange a la plataforma, la clave API que creás define lo que Block Guía puede hacer en tu nombre. Hay tres niveles: lectura (ver saldos y estado de órdenes), trading (ejecutar órdenes según las estrategias que autorices) y retiro (mover fondos fuera del exchange). Nuestra recomendación explícita: nunca habilites el permiso de retiro en una clave de trading automatizado; los retiros hacelos desde tu propio panel del exchange.

Podés restringir cada clave por dirección IP, y revocarla en cualquier momento desde el exchange: la revocación es inmediata y no requiere aviso previo a la plataforma. Revisá tus claves activas y sus permisos al menos una vez por mes.

08 / Historial de auditoría

Tu cuenta mantiene un registro inmutable de eventos de seguridad y operativos: inicios de sesión con IP y dispositivo, conexiones y desconexiones de exchanges, creación y revocación de claves API, cambios de estrategia, modificaciones de parámetros de riesgo y solicitudes de extracción con su estado.

Ese historial es visible para vos desde el panel, y es la primera herramienta ante cualquier discrepancia: si una operación no te cierra, el registro dice qué se ejecutó, cuándo y bajo qué configuración. Los registros internos se conservan conforme a la normativa aplicable y a nuestra política de privacidad.

09 / Soporte ante incidentes

Si detectás actividad sospechosa, el canal es [email protected] con el asunto "Incidente de seguridad": esos correos tienen prioridad máxima y respuesta prioritaria en horario de atención. Como primera medida podés bloquear la cuenta desde tu perfil; el bloqueo impide ingresos y extracciones pero no toca tus fondos ni tus estrategias pausadas.

Ante un incidente confirmado, el equipo ejecuta el protocolo: contención (cierre de sesiones y claves comprometidas), análisis del historial de auditoría, comunicación con los exchanges involucrados y reporte a las autoridades competentes cuando corresponde. Te mantenemos informado del estado con actualizaciones en un plazo razonable y coordinamos el desbloqueo sólo cuando la causa quedó resuelta.

El orden esperado de una comunicación de incidente, para que sepas qué esperar: primero la confirmación de recepción y las acciones inmediatas de protección; después el análisis de qué ocurrió y qué datos o fondos estuvieron expuestos, si es que lo estuvieron; por último las medidas correctivas y la recomendación de cambios de credenciales de tu lado. Nunca te pediremos, en ninguno de esos pasos, contraseñas ni códigos: quien lo haga en nuestro nombre no es nuestro equipo.