Cada capa de protección de Quetzal Prime explicada en nueve puntos: desde la verificación en dos pasos hasta el protocolo de atención ante incidentes. Usted mantiene el control de su cuenta; nosotros vigilamos lo que ocurre a su alrededor.
1. Verificación en dos pasos
La verificación en dos pasos agrega una segunda llave a su cuenta: además de la contraseña, un código de seis dígitos que se renueva cada treinta segundos. Recomendamos activarla el mismo día del registro.
Soportamos aplicaciones de autenticación compatibles con códigos de un solo uso basados en tiempo. La función es opcional pero la consideramos indispensable: sin ella, una contraseña filtrada basta para entrar.
Si pierde su teléfono, el recovery code que la plataforma le muestra una sola vez al activar la función le permite recuperar el acceso; guárdelo impreso y lejos de su equipo. Sin ese código, la recuperación pasa por verificación de identidad ante soporte.
2. Cifrado de datos
Las comunicaciones entre su navegador y la plataforma viajan cifradas con TLS, de modo que un tercero en la misma red no puede leer lo que usted envía. Las sesiones se re-negocian ante intentos de degradación del cifrado.
Los datos sensibles que descansan en nuestros sistemas, como credenciales cifradas de conexiones y documentos de verificación, permanecen cifrados en almacenamiento con claves gestionadas por servicio.
El alcance del cifrado cubre el portal, la aplicación, las interfaces de las casas de cambio conectadas y las copias de respaldo. Los proveedores que participan en la cadena heredan la obligación contractual de aplicar medidas equivalentes.
3. Protección contra fraude y suplantación
El dominio oficial es el único canal de acceso: cualquier otro sitio que use nuestro nombre es una copia. Publicamos la dirección verificada en cada comunicación y nunca pedimos contraseñas ni códigos de verificación por teléfono o chat.
Cada mensaje de la plataforma incluye un código de seguridad personal que usted encuentra en su perfil; si un correo no lo trae, no proviene de nosotros. Las campañas de suplantación suelen inventar urgencia, premios o bloqueos inexistentes.
Ante la menor duda, reenvíe el mensaje sospechoso a [email protected] antes de hacer clic. La página de aviso de fraudes detalla cómo reconocer empresas clonadas.
4. Notificaciones de inicio de sesión
Cada vez que su cuenta se abre desde un dispositivo o navegador nuevo, enviamos de inmediato un aviso a su correo registrado con lugar aproximado y hora del evento.
Las alertas también cubren actividad inusual: cambios de contraseña, incorporación de una llave de conexión o retiros por encima de su promedio. Revise el aviso con calma; si no fue usted, el propio correo incluye el enlace directo para cerrar sesiones.
Puede elegir entre notificaciones por correo, por la aplicación o ambas, y ajustar la sensibilidad de las alertas de actividad desde la sección de preferencias de seguridad de su perfil.
5. Gestión de dispositivos y sesiones
El panel muestra cada sesión activa con dispositivo, sistema y última actividad. Desde ahí usted puede cerrar de forma remota cualquier sesión que no reconozca, sin esperar a que expire.
Las sesiones expiran automáticamente tras un período de inactividad y requieren un nuevo ingreso con contraseña. En dispositivos de uso continuo puede marcar una confianza temporal que igualmente caduca y se revalida con el segundo factor.
Cambiar contraseña cierra las demás sesiones abiertas de una sola vez, acción que recomendamos tras usar una red pública o compartir por error una pantalla con credenciales visibles.
6. Recuperación de cuenta
La recuperación combina verificación de identidad documental y confirmación por correo: no existe atajo por teléfono, porque la voz no es una credencial. El proceso se realiza con el equipo de soporte por escrito.
Si su correo personal quedó inaccesible, la verificación documental permite reasignar el contacto tras un período de espera de seguridad. Durante ese período las retenciones de retiro evitan que un atacante vacíe la cuenta.
Al restablecer el acceso, la plataforma invalida credenciales previas, desconecta las llaves de intercambio y le pide revisar el historial de auditoría para confirmar que no hubo operaciones ajenas.
7. Permisos de las llaves de conexión
Las llaves que usted crea para conectar una casa de cambio llevan permisos explícitos: solo lectura, consulta y operación, o consulta, operación y retiro. La plataforma jamás exige el permiso de retiro para funcionar.
Sugerimos crear la llave con lectura y operación, y dejar el retiro manual desde la propia casa de cambio. Así, aun si una llave se comprometiera, el atacante no podría mover fondos fuera del intercambio.
Las llaves se guardan cifradas, pueden rotarse cuando usted quiera y conviene eliminarlas si deja de usar una integración. Cada rotación queda anotada en su historial de auditoría con fecha y origen del cambio.
8. Historial de auditoría
Su cuenta incluye un registro inalterable de eventos: ingresos, dispositivos utilizados, conexiones creadas o eliminadas, estrategias activadas, detenidas y modificaciones de parámetros.
Cada entrada muestra fecha, hora del centro de Guatemala y canal. El historial permite reconstruir cualquier decisión y es la primera herramienta que revisa soporte cuando usted reporta algo extraño.
Le recomendamos repasarlo una vez al mes junto con los reportes de resultados: cinco minutos de lectura evitan sorpresas y le ayudan a distinguir su propia actividad de la que no lo es.
9. Atención ante incidentes de seguridad
Si detecta una operación que no reconoce o un acceso ajeno, escriba de inmediato a [email protected] con el asunto incidente: el equipo responde en horario local y puede congelar la cuenta mientras se investiga.
El protocolo de escalamiento sigue cuatro pasos: bloqueo preventivo, revisión del historial de auditoría, rotación de credenciales y reporte escrito de conclusiones. Usted recibe el resultado por correo, con las acciones realizadas.
Para incidentes con dinero ya movido, se incorpora la casa de cambio involucrada y, cuando corresponde, la denuncia ante las autoridades locales. Conservar capturas y horas exactas acelera cada etapa del proceso.
Resumen operativo de las nueve medidas
Si tuviera que llevarse una sola idea de esta página, es que la seguridad funciona por capas y cada capa depende de una decisión suya o de un mecanismo nuestro, nunca de la suerte. La tabla resume quién responde por qué.
Medida
Quien la activa
Efecto principal
Verificación en dos pasos
Usted, desde el perfil
Bloquea accesos con contraseña filtrada
Cifrado de datos
Plataforma
Protege la información en tránsito y en reposo
Dominio y código de mensaje
Usted, al verificar cada correo
Corta el camino de la suplantación
Alertas de inicio de sesión
Plataforma, configurable
Aviso inmediato de accesos nuevos
Gestión de sesiones
Usted, desde el panel
Cierre remoto de dispositivos
Recuperación de cuenta
Ambos, por escrito
Retoma el control sin atajos telefónicos
Permisos de llaves
Usted, al crear cada llave
Sin permiso de retiro innecesario
Historial de auditoría
Plataforma
Constancia inalterable de eventos
Protocolo de incidentes
Ambos
Bloqueo, revisión y reporte escrito
Cinco minutos de configuración el primer día, verificación en dos pasos y revisión mensual del historial, cubren la mayor parte del camino. El resto lo sostienen los mecanismos de la plataforma y la disciplina de tratar cada mensaje con desconfianza inicial.
Su cuenta, sus reglas
Ninguna medida técnica reemplaza su criterio: active el segundo factor, revise sus alertas y trate cada mensaje que pida datos con desconfianza inicial. Con esos hábitos, la plataforma hace el resto del trabajo de vigilancia.
