Cómo se protege tu cuenta

Revisiones externas

Estos servicios revisan el sitio desde fuera, sin acceso al código. Los enlaces abren el resultado en vivo: si algo cambia, ahí se ve.

La conexión

• Todo va por HTTPS. Si alguien entra por http, se le redirige, y el navegador recuerda durante un año que nunca debe conectarse sin cifrar (HSTS).
• Solo se aceptan TLS 1.2 y TLS 1.3. Las versiones antiguas están desactivadas.
• El dominio declara qué autoridad puede emitir sus certificados (registro CAA), para que nadie más pueda sacar uno a nombre de Fintora.

Tu cuenta

• Las contraseñas se guardan con Argon2. Ni siquiera quien administra el servicio puede leerlas.
• Cinco intentos fallidos bloquean el acceso durante 15 minutos. Además hay un tope por cuenta, aunque los intentos vengan de direcciones distintas, y otro por dirección, aunque prueben cuentas distintas.
• Los enlaces que llegan por correo, para confirmar la cuenta o cambiar la contraseña, aceptan un número limitado de intentos por hora.
• Verificación en dos pasos disponible, con códigos de respaldo.
• Entrada con Face ID o huella, que no depende de una contraseña que se pueda adivinar o filtrar.
• La sesión se cierra sola después de 8 horas sin uso.
• Puedes ver desde qué aparatos está abierta tu cuenta y cerrar cualquiera a distancia, desde Perfil.
• Cada acceso, cada intento fallido y cada cambio de seguridad queda anotado con fecha, dirección y navegador. Es lo que permite reconstruir qué pasó si algo sale mal.

En tu navegador

• Política de contenido con un valor único por respuesta: un script ajeno que alguien intente meter en la página no se ejecuta.
• Las imágenes solo se cargan desde el propio sitio y desde el almacenamiento de Fintora.
• Dentro de la app, las tipografías, los iconos y los gráficos se cargan desde el propio servidor: tu navegador no le pide nada a terceros. En la portada y en estas páginas, las herramientas de medición se cargan solo si aceptas las cookies.
• Ningún otro sitio puede mostrar Fintora dentro de un marco, que es como se arman las páginas falsas que imitan un botón.
• Las cookies de sesión solo viajan por HTTPS y no las puede leer ningún script.

Tus datos

• Cada consulta a la base filtra por tu usuario, y hay pruebas automáticas que verifican que nadie alcance los datos de otro cambiando un número en la dirección.
• La base está en una red privada, con el almacenamiento cifrado por el proveedor.
• La foto de perfil está en un almacenamiento privado y se muestra con enlaces que caducan a las pocas horas.
• Una copia diaria de la base, verificada, en un almacenamiento privado separado del resto.

El detalle de qué se guarda, dónde y por cuánto tiempo está en la política de privacidad.

Si encuentras una falla

Escribe a [email protected] con lo que encontraste y cómo reproducirlo. Se agradece el aviso y se responde por correo.

Mientras lo revisas, no entres a datos de otras personas ni hagas pruebas que dejen el servicio sin funcionar. Los datos de contacto también están en security.txt, el formato estándar para estos avisos.