Seguridad y privacidad
Conoce las medidas que protegen el acceso a tu cuenta y la información de tus portafolios.
Acceso a tus carteras
El registro verifica tu correo mediante un enlace. Después accedes con tu correo y contraseña. Las contraseñas se protegen mediante hashes de seguridad; las sesiones tienen vencimiento y pueden revocarse.
Las consultas y modificaciones de carteras personales comprueban la cuenta que inició sesión y su propiedad sobre la cartera. Conocer el identificador de una cartera no concede acceso a ella.
Protección de la información
La web y sus servicios públicos utilizan HTTPS para proteger la información durante su transmisión. QPRO se aloja en Railway y sus servicios de aplicación se conectan a PostgreSQL mediante la red privada del proyecto.
La información de tus portafolios y su historial se almacena cifrada. Las claves se gestionan fuera de la base de datos.
El servidor descifra la información para calcular y mostrar tus resultados. Este esquema no es cifrado de extremo a extremo.
La protección se complementa con respaldos cifrados y comprobaciones de recuperación.
Portafolios y estimaciones
Puedes registrar cantidades y precios reales o hipotéticos. QPRO no verifica que poseas esos activos, no custodia fondos ni ejecuta operaciones de compra o venta.
Las valoraciones y medidas de riesgo son estimaciones basadas en tus datos, las cotizaciones disponibles y los supuestos de cada modelo. La información puede tener retrasos; revisa las fechas de las series y las limitaciones de cada herramienta.
Los resultados históricos no garantizan rendimientos futuros. El contenido tiene una finalidad de análisis y aprendizaje y no constituye asesoría financiera ni una recomendación de inversión.
Medición de uso del sitio
QPRO utiliza Google Analytics 4 para medir visitas y navegación dentro del sitio y conocer, de forma agregada, cómo se utilizan sus páginas. Esta medición puede procesar datos técnicos del navegador y utilizar cookies o identificadores similares. Para las vistas de página, QPRO no envía a Google la cadena de consulta de la URL.
Google presta el servicio de medición conforme a sus políticas de privacidad. La configuración del navegador puede limitar el almacenamiento de cookies.
Seguridad de la plataforma
QPRO combina conexión segura HTTPS, verificación del correo y sesiones con vencimiento y revocación. El acceso a cada cartera comprueba su propietario; su contenido y su historial se guardan cifrados, con claves separadas de la base de datos.
La infraestructura en Railway utiliza una red privada para conectar la aplicación con la base de datos. Los respaldos cifrados y las comprobaciones de recuperación complementan estas medidas. A continuación puedes consultar los protocolos, su alcance y la documentación oficial.
Conocer los protocolos y consultar las fuentes
Conexión segura · HTTPS/TLS. Protege la comunicación entre tu navegador y los servicios públicos de QPRO. Las conexiones de la aplicación a PostgreSQL utilizan la red privada de Railway, cuya infraestructura emplea túneles cifrados WireGuard.
Contenido guardado · AES-256-GCM. Cifra los datos financieros de tus portafolios y su historial, y permite detectar alteraciones del contenido cifrado. Las claves se mantienen separadas de la base de datos. Los identificadores y ciertos metadatos operativos permanecen visibles para gestionar los registros.
El contenido protegido incluye nombres de carteras, activos, cantidades, precios, pesos, comisiones y movimientos. Cada escritura utiliza un valor aleatorio nuevo, denominado nonce, y vincula criptográficamente el contenido con su propietario, registro y revisión para detectar modificaciones o intercambios entre registros. Se utilizan las bibliotecas criptográficas estándar de Go.
Contraseñas y sesiones. Las contraseñas se verifican mediante hashes, sin almacenarlas como texto legible ni como contenido que pueda descifrarse. La verificación por correo confirma el registro; las sesiones tienen vencimiento y pueden revocarse. La comprobación de identidad se complementa con permisos sobre cada cartera.
Acceso personal y comunicación interna. Se comprueban la sesión y la propiedad de la cartera en cada operación. Las solicitudes internas al servicio que almacena las carteras llevan firmas HMAC-SHA256 y controles de vigencia y de uso único para rechazar solicitudes alteradas o repetidas.
La firma interna vincula el método, la ruta y el contenido de la solicitud con su fecha y un identificador de uso único. El servicio de almacenamiento vuelve a comprobar la sesión antes de acceder a la información. La firma acredita la integridad de la solicitud; el cifrado de la red protege su transmisión.
Recuperación. Los respaldos se cifran con una clave independiente de la utilizada para las carteras. La verificación incluye restaurar una copia temporal y comprobar que su contenido coincide con el respaldo de origen. Una copia permite recuperar el estado guardado en ella; los cambios posteriores dependen de un nuevo respaldo.
Alcance de la protección. Separar las claves de los datos protege el contenido de las carteras ante una exposición de la base de datos por sí sola. El servidor necesita descifrarlo para realizar cálculos y mostrarlo a tu cuenta: un acceso indebido al servidor que también permita obtener las claves requiere medidas adicionales de respuesta. Estos mecanismos reducen riesgos y se complementan entre sí; no equivalen a una garantía absoluta ni a cifrado de extremo a extremo.
Estas fuentes amplían las tecnologías utilizadas y las recomendaciones para implementarlas:
- Railway: dominios, certificados y HTTPS
- Railway: red privada entre servicios
- OWASP: recomendaciones para proteger la autenticación
- OWASP: cifrado autenticado y gestión de claves
- OWASP: gestión y protección de sesiones
- Go: implementación estándar de cifrado GCM
Estas referencias explican tecnologías y buenas prácticas. No constituyen una certificación ni una auditoría de QPRO; las medidas descritas arriba corresponden a lo comprobado en el proyecto.