Seguridad de tu información

Controles que utiliza awalletb

La seguridad combina controles del servidor, la aplicación y tu dispositivo. Las siguientes medidas describen la implementación actual; no son una certificación ni una garantía de riesgo cero.

• Conexión cifrada: todo el tráfico usa HTTPS con TLS 1.3 o TLS 1.2; las versiones antiguas del protocolo se rechazan. El navegador recibe la instrucción de no volver a conectarse sin cifrado (HSTS) y el certificado se renueva automáticamente. Los puertos internos de cada billetera solo escuchan en el propio servidor, nunca en internet.
• Separación real entre usuarios: cada billetera corre como un usuario distinto del sistema operativo, con su propia base de datos y su propia carpeta de archivos, legibles solo por ese usuario. No es una separación por filtros dentro de una base compartida: un proceso no puede leer los archivos de otro aunque falle el código.
• Contraseñas y enlaces: las contraseñas se guardan con la función de derivación scrypt, nunca en texto legible, y se exigen al menos 12 caracteres. Los enlaces de activación y recuperación llevan un código aleatorio de 256 bits que se guarda solo como huella criptográfica (SHA-256): sirven una sola vez, caducan (24 horas la bienvenida, 30 minutos la recuperación) y al usarlos se cierran las sesiones anteriores. La dirección de cada billetera incluye un identificador aleatorio irrepetible, pero por sí sola no da acceso: siempre se exige la contraseña.
• Defensa de sesión: las cookies viajan con las marcas Secure, HttpOnly y SameSite=Strict, quedan limitadas a la ruta de su billetera y el servidor lleva su propio registro para poder revocarlas. Cada operación que modifica datos exige un testigo anti-falsificación (CSRF) y se comprueba el origen de la solicitud. Los intentos de acceso, recuperación y registro están limitados por frecuencia.
• Defensas del navegador: política de contenido estricta que solo permite recursos propios, sin analítica ni rastreadores de terceros, bloqueo de incrustación en otros sitios y restricción de permisos del navegador a lo necesario.
• Sin datos de pago en el servidor: la licencia se paga fuera de la aplicación, por el canal que se acuerda por WhatsApp, y la activa el operador a mano. El servidor nunca recibe ni almacena números de tarjeta ni credenciales bancarias: de tu licencia solo guarda el plan, su valor, la fecha de inicio y la del próximo cobro.
• Servidor mantenido: actualizaciones de seguridad automáticas, bloqueo de direcciones tras intentos repetidos de acceso, servicios con privilegios recortados (sin capacidades del núcleo, sistema de archivos de solo lectura salvo su propia carpeta) y administración del proxy por un canal interno que no está expuesto a internet.
• iOS: la versión nativa restringe la conexión al dominio de awalletb, utiliza el llavero para el acceso y solicita permisos para funciones como la ubicación.

Qué permanece bajo el control del operador

Con transparencia, porque una política seria también dice lo que no hace: el cifrado protege los datos en tránsito. En el servidor, los archivos están protegidos por permisos y cuentas separadas del sistema operativo, no por cifrado de disco, de modo que quien administra el servidor puede acceder a ellos para operar el servicio. No hay cifrado de extremo a extremo, no existe una auditoría ni certificación ISO, SOC o PCI, y ningún sistema puede prometer riesgo cero. Tampoco se envían contraseñas por correo en ningún caso.

Cómo cuidar tu billetera

• Usa una contraseña larga y exclusiva; la app exige al menos 12 caracteres al establecerla.
• Comprueba que estás en https://www.awalletb.com antes de entrar.
• No compartas enlaces de recuperación ni claves de Atajos. Guarda tus exportaciones en un lugar al que solo accedan las personas que elijas.
• Mantén el sistema del iPhone actualizado y protege el bloqueo del dispositivo.
• Cierra sesión en equipos compartidos y comunica cualquier acceso que no reconozcas.

Reportar un incidente

Contacta con hola@awalletb.com. Describe qué ocurrió, cuándo y qué cuenta podría estar afectada. No incluyas contraseñas ni datos de otros usuarios.

La respuesta debe evaluar el alcance, restringir accesos comprometidos y atender las comunicaciones a titulares y autoridades exigidas por la normativa aplicable. Los plazos de notificación dependen de la jurisdicción y del incidente; una medida de contención no sustituye esa evaluación.