Seguridad de la plataforma

Renta Solvica admite la autenticación de dos factores mediante aplicación autenticadora, del tipo Google Authenticator o similar, que genera códigos de un solo uso de seis dígitos. El código llega al dispositivo que usted registra, nunca por mensaje de texto a un número que no controla, lo que reduce el riesgo de interceptación.

El uso del segundo factor es obligatorio antes del primer retiro y en cada inicio de sesión desde un dispositivo nuevo. Es opcional para el resto de acciones, pero se recomienda activarlo desde el primer día. La recuperación se describe en el punto 6: exige verificar su identidad con un asesor, nunca basta un correo.

Toda la comunicación entre su navegador y la plataforma viaja cifrada con TLS. En los sistemas internos, los datos sensibles se cifran también en reposo: nombre completo, número de documento, datos bancarios y el historial de operaciones no se guardan en texto plano.

Los documentos de identidad que usted entrega durante la verificación se almacenan en un sistema separado del resto de la cuenta, con acceso restringido al equipo de cumplimiento. Ni el soporte de primer nivel ni su gerente pueden abrir esos archivos; solo el personal autorizado para revisar expedientes.

El dominio oficial del sitio es renta-solvica.org y ningún otro. Las comunicaciones oficiales se envían únicamente desde direcciones terminadas en ese dominio. No usamos enlaces acortados en mensajes a clientes ni pedimos contraseñas o códigos de verificación por teléfono, chat o correo.

Cada cuenta cuenta con un código de seguridad verbal que usted define con su gerente en la primera llamada. Si alguien llama diciendo ser su asesor y no puede confirmar ese código, cuelgue y escriba a [email protected]. La página de advertencia sobre fraudes lista las señales de alerta más comunes.

Cada inicio de sesión desde un dispositivo o ubicación nueva genera una notificación por correo a la dirección registrada, con fecha, hora aproximada y el tipo de dispositivo usado. La notificación no contiene enlaces de confirmación: si usted no fue, debe entrar a la cuenta y cerrar esa sesión desde la configuración.

La actividad sospechosa, como intentos fallidos repetidos o accesos desde dos países en pocas horas, dispara una alerta interna que puede congelar transacciones de retiro hasta que usted confirme por el canal de soporte. Preferimos una hora de fricción antes que una pérdida evitable.

En la configuración de la cuenta se listan todas las sesiones activas: navegador de escritorio, teléfono, tableta. Cada entrada muestra el dispositivo, la última actividad y un botón para cerrarla de forma remota, útil si olvidó su sesión abierta en una computadora ajena.

Las sesiones expiran automáticamente tras un periodo de inactividad, y el cierre de sesión borra el token del dispositivo. Cambiar la contraseña invalida todas las sesiones abiertas de una vez. Esta combinación reduce la ventana de oportunidad de cualquiera que haya obtenido acceso temporal a un equipo suyo.

Si pierde el acceso por olvido de contraseña o cambio de teléfono, la recuperación comienza en el sitio oficial con el correo registrado. El restablecimiento exige confirmar datos de la cuenta y, en la mayoría de los casos, una llamada breve con el equipo de soporte para verificar su identidad con preguntas y documentos.

Existen limitaciones deliberadas: no se cambia el correo de la cuenta ni el número de teléfono de verificación en un solo paso, y nunca mediante un único mensaje. Este proceso más lento existe porque la recuperación es el punto favorito de un atacante; la demora de unas horas es el costo de proteger el saldo.

Cuando la estrategia requiere conectar una cuenta de intercambio, la clave API se configura con el menor permiso necesario. Para el análisis y la ejecución basta el permiso de lectura y de trading. El permiso de retiro, cuando la plataforma del intercambio lo permite, se deja desactivado.

Cada clave se registra con una etiqueta que describe su uso, y la sección de seguridad de la cuenta muestra qué claves existen y cuándo se usaron por última vez. Si una clave deja de necesitarse, se revoca desde la misma pantalla. Una clave sin uso es una puerta que conviene cerrar.

La cuenta guarda un registro de los eventos que la modifican: inicios de sesión, cambios de contraseña, conexiones y desconexiones de claves API, ajustes de estrategia y de límites de riesgo, depósitos y solicitudes de retiro. Cada entrada incluye fecha, hora y el origen del cambio.

Ese registro está disponible para usted en todo momento, no solo para el equipo interno. Si algo no cuadra, por ejemplo un cambio de límite que usted no recuerda haber hecho, el historial permite reconstruir qué pasó y cuándo, y es el punto de partida de cualquier reclamo técnico.

Si sospecha acceso no autorizado, el primer paso es escribir a [email protected] con el asunto que corresponda a su caso; el equipo responde en horario de De lunes a viernes, de 8:00 a 17:00, hora de Costa Rica (excluyendo días feriados) y las alertas de seguridad tienen prioridad en la cola. A la primera señal confirmada, la cuenta se congela: se pausan las operaciones y los retiros quedan en espera.

Después sigue una revisión del historial de auditoría junto con usted, un reporte escrito de lo ocurrido y, si hace falta, la rotación de credenciales. La comunicación se mantiene por un solo canal, con un responsable asignado, para que no tenga que repetir su caso a personas distintas. Cerrar bien un incidente incluye decirle con claridad qué se hizo y qué queda por hacer.