Tu cuenta, protegida como una bóveda

1. Verificación en dos pasos (2FA/MFA)

Arnove Pormento admite la verificación en dos pasos mediante aplicación autenticadora, que genera códigos de un solo uso de seis dígitos que caducan cada treinta segundos. Su uso es opcional y se activa desde la sección de seguridad del panel en menos de un minuto; recomendamos encarecidamente activarla porque convierte el robo de contraseña en un intento fallido. Al habilitarla se entrega un código de respaldo único para usar si perdés el teléfono: guardalo fuera del dispositivo, impreso o en tu gestor de contraseñas. Para restablecer el acceso sin el código ni el teléfono, el proceso exige verificación de identidad completa con documento y una videollamada con el equipo de cumplimiento, precisamente para que un tercero no pueda saltarse la barrera.

2. Cifrado de la información

Todas las comunicaciones entre tu navegador y la plataforma viajan cifradas con TLS, y los datos sensibles que se almacenan, como documentos de identidad y datos de contacto, permanecen cifrados en reposo dentro de sistemas de acceso restringido. Las claves de API que conectan la plataforma con los exchanges se guardan cifradas y segmentadas, de modo que ningún sistema expuesto a internet las muestra en texto plano. El alcance del cifrado alcanza también los respaldos: las copias de seguridad se mantienen cifradas y fuera del entorno principal. Los sistemas responsables son administrados por el equipo de infraestructura, con auditorías de acceso internas periódicas.

3. Protección contra fraude y phishing

Los correos oficiales de Arnove Pormento se envían únicamente desde el dominio arnove-pormento.com: cualquier mensaje que use otra dirección parecida es falso. Para que puedas distinguir un correo genuino, el panel permite configurar un código de verificación personal que se incluye en cada comunicación oficial, de modo que un mail sin tu código no provino de nosotros. No pedimos contraseñas, códigos 2FA ni claves de API por correo, teléfono o chat, jamás. Ante la menor duda, escribí directamente a [email protected] o consultá la advertencia sobre fraudes.

4. Notificaciones de inicio de sesión

Cada ingreso desde un dispositivo o navegador nuevo dispara un aviso a tu correo registrado, con fecha, hora aproximada y ubicación general de la conexión. También se notifica la actividad inusual, como intentos de retiro, cambios de datos de contacto o modificaciones de claves de API. Si recibís un aviso de un ingreso que no fuiste vos, cerrá las sesiones desde el panel, cambiá la contraseña y escribinos de inmediato: el equipo puede congelar la cuenta mientras se revisa el caso. Las notificaciones no se pueden desactivar: son la capa de seguridad que trabaja mientras dormís.

5. Gestión de dispositivos y sesiones

El panel muestra la lista de sesiones activas con dispositivo, navegador y última actividad, y permite cerrar cualquiera de ellas con un clic o cerrar todas a la vez, acción útil si perdiste un teléfono o una notebook. Las sesiones inactivas caducan de forma automática tras un período sin actividad y el ingreso exige autenticarse de nuevo. Desde la misma sección podés revocar los dispositivos recordados, de modo que el próximo acceso desde cada uno pida verificación completa otra vez. Revisar esa lista cada tanto toma segundos y es el hábito más simple para detectar accesos ajenos.

6. Recuperación de cuenta

Si perdés el acceso, la recuperación pasa siempre por la verificación de identidad: documento vigente, comprobante de domicilio y, según el caso, una videollamada breve con el equipo de cumplimiento. No existen atajos por correo ni por teléfono, porque un atajo para vos sería también un atajo para un atacante. Durante la revisión, la cuenta puede quedar temporalmente limitada para retiros, una medida de protección que se levanta en cuanto se confirma tu identidad. El tiempo habitual del proceso es de uno a dos días hábiles, y el estado se sigue por el mismo correo con el que abriste el caso.

7. Permisos de las claves de API

Las claves de API que conectan la plataforma con los exchanges se configuran con el principio de mínimo privilegio: lectura de datos y ejecución de órdenes, y nada más. El permiso de retiro de fondos nunca se solicita ni se usa: los retiros se gestionan por la plataforma con los métodos de la política de retiros, no por API. Cada clave queda registrada con la fecha de creación y el alcance otorgado, y podés revocarla desde el panel en cualquier momento. Si una clave dejó de usarse, revocala: una clave viva sin propósito es riesgo gratuito.

8. Historial de auditoría

Toda acción relevante queda registrada: inicios de sesión, conexiones y desconexiones de exchanges, cambios en estrategias, modificaciones de configuración y solicitudes de retiro. Ese historial está disponible en el panel con fecha y hora, de modo que puedas reconstruir qué pasó sin depender de la memoria de nadie. El registro es inmutable para el usuario y para el equipo interno, y sirve como base para investigar incidentes y para responder reclamos con evidencia. Revisarlo una vez por mes es una buena costumbre: cinco minutos que detectan movimientos extraños a tiempo.

9. Atención de incidentes de seguridad

Si detectás actividad sospechosa, el canal es [email protected] con el asunto "Seguridad": los reportes de seguridad priorizan su atención por encima de las consultas comunes. Lo primero que hace el equipo, si el caso lo amerita, es bloquear temporalmente la cuenta para frenar el daño mientras se investiga. Después te contacta con un único referente que te mantiene al tanto de cada paso, desde la revisión inicial hasta la resolución y las medidas correctivas. Al final del proceso recibís un resumen escrito de lo ocurrido y de las acciones tomadas, coherente con el proceso formal de la página de reclamos.