La seguridad de tu cuenta, explicada punto por punto

La verificación en dos pasos agrega una segunda llave a tu cuenta: además de la contraseña, pedimos un código de un solo uso que se genera en tu celular. Soportamos apps de autenticación (TOTP) y mensajes de texto al teléfono verificado. La app de autenticación es la opción recomendada: los códigos vencen en treinta segundos y no dependen de la señal celular.

La activación es opcional al registrarse, pero se vuelve obligatoria para habilitar retiros de fondos. La configuramos junto con tu asesor en la llamada inicial, y lleva menos de dos minutos.

Recomendación práctica: guardá los códigos de respaldo que muestra la plataforma al activar 2FA en un lugar físico, no en una nota del teléfono. Son tu plan B si cambiás de celular.

Todo el tráfico entre tu navegador y la plataforma viaja cifrado con TLS, incluidos el inicio de sesión, el formulario de registro y las operaciones del panel. Los datos sensibles que se guardan, como los documentos de verificación de identidad y los datos bancarios de retiro, se almacenan cifrados en reposo en sistemas separados del frontend público.

El área de cifrado y gestión de claves depende del equipo de infraestructura, que rota credenciales de acceso con periodicidad definida y mantiene un inventario de sistemas autorizados a tratar cada tipo de dato. Ninguna persona del soporte puede ver tu contraseña: no la almacenamos, solo su derivación.

Recomendación práctica: usá una contraseña única para Trocavaleza, que no repitas en otros servicios. El gestor de contraseñas de tu teléfono o navegador alcanza.

El dominio oficial de la plataforma es trocavaleza-ai.com. Cualquier otro sitio, incluidas variaciones parecidas con guiones o palabras extra, no es nuestro. Publicamos esta regla en cada comunicación oficial para que sepas qué esperar: nunca te pedimos contraseñas ni códigos 2FA por correo, teléfono o chat, y nunca te vamos a pedir que instales programas de control remoto.

Cada mensaje que enviamos incluye un código de seguridad personal que también podés ver desde el panel, en la sección de comunicaciones. Si un mensaje dice ser de Trocavaleza pero no tiene ese código o el código no coincide, es suplantación: reenvíanoslo a [email protected] sin hacer clic en nada.

Recomendación práctica: ingresá siempre escribiendo la dirección en el navegador o desde tu marcador, nunca desde un enlace de un correo urgente. La página de alerta de fraude detalla los casos reportados.

Cada vez que tu cuenta se abre desde un dispositivo nuevo o desde una ubicación distinta a la habitual, enviás de recibir una notificación por correo con fecha, hora, tipo de dispositivo y ciudad aproximada de la conexión. También avisamos cuando se cambia la contraseña, se agrega o quita un método de retiro, o se desactiva la verificación en dos pasos.

Las alertas de actividad sospechosa, como intentos de ingreso repetidos con contraseña incorrecta, generan un aviso adicional y pueden derivar en el bloqueo preventivo del acceso hasta que confirmes que fuiste vos.

Recomendación práctica: si recibís una notificación de ingreso que no fuiste vos, entrá al panel desde tu dispositivo de confianza, cambiá la contraseña y cerrá las sesiones activas. Después avisános para revisar el caso.

Desde el panel, en la sección de seguridad, ves la lista de sesiones activas: navegador de tu computadora, celular, tablet. Cada entrada muestra cuándo empezó y desde qué dispositivo. Podés cerrar cualquier sesión con un clic, y también cerrar todas las sesiones menos la que estás usando.

Las sesiones expiran automáticamente después de un período de inactividad, y las que quedan abiertas en dispositivos compartidos se pueden revocar de forma remota. Cambiar la contraseña revoca todas las sesiones existentes por diseño.

Recomendación práctica: si usaste tu cuenta en la computadora de otra persona o en un cibercafé, cerrá esa sesión desde tu celular apenas puedas. No hace falta esperar a llegar a casa.

Si perdiste el acceso, la recuperación empieza siempre por la verificación de identidad: los datos de tu cuenta, el documento cargado en el proceso de verificación y una prueba de control del correo o el teléfono registrados. El equipo de soporte guía el proceso por el canal oficial y nunca lo hace por chat de redes sociales.

Hay límites claros: durante una recuperación no se pueden cambiar el método de retiro ni solicitar extracción de fondos, hasta que la verificación completa termine. Esa pausa es a propósito, para que nadie use el proceso de recuperación para vaciar una cuenta ajena.

Recomendación práctica: mantenés actualizado tu correo y teléfono en el perfil. Un dato de contacto viejo es la causa más común de recuperaciones largas.

Si conectás tu cuenta de una casa de trading asociada mediante clave API, vos elegís qué permisos habilitás: solo lectura, lectura y operación, o lectura, operación y extracción de fondos. La recomendación por defecto es habilitar solo lectura y operación, y dejar el permiso de extracción desactivado salvo necesidad concreta.

Podés revocar una clave o generar una nueva en cualquier momento desde el panel, y cada clave muestra la fecha de creación y su último uso. Las claves se guardan cifradas y nunca se exhiben completas después de creadas.

Recomendación práctica: revisá la lista de claves activas de vez en cuando y borrá las que ya no use. Una clave vieja con permisos de sobra es una puerta que no necesitás dejar abierta.

Tu cuenta mantiene un registro chronological de los eventos relevantes: inicios de sesión con dispositivo y hora, cambios de contraseña, activación y desactivación de 2FA, alta y baja de claves API, conexión de cuentas asociadas, cambios de estrategia y configuración de retiros. El historial es de solo lectura y no se puede borrar desde la cuenta de usuario.

Ese registro sirve para dos cosas: que vos puedas reconstruir qué pasó si algo no cierra, y que el equipo de soporte pueda investigar un incidente con la secuencia completa de eventos en lugar de suposiciones. Ante un reclamo de seguridad, es la primera fuente que se revisa.

Recomendación práctica: si notás un movimiento que no reconocés, abrí el historial de auditoría antes de escribirnos: la fecha y hora exactas que ves ahí aceleran mucho la investigación.

El canal para reportar incidentes es [email protected], atendido en horario de Lunes a viernes, 9:00 a 17:30 ART. Los reportes de seguridad se priorizan sobre el resto de las consultas y tienen un orden de comunicación definido: confirmación de recepción, bloqueo preventivo si corresponde, investigación con plazos estimados y cierre con explicación de lo ocurrido.

Si el incidente involucra acceso no autorizado, la cuenta puede bloquearse de inmediato de forma preventiva, con la suspensión temporal de retiros, hasta completar la verificación de identidad del titular. Sabemos que es una molestia; preferimos la molestia al vaciamiento.

Recomendación práctica: reportá desde tu correo registrado, así verificamos tu identidad en el primer mensaje y no perdemos un round-trip pidiendo datos.