1. Qué conservamos, y durante cuánto tiempo
Por este servicio pasan cuatro clases de material sensible: los códigos de los cupones, los documentos de identidad y los datos leídos en ellos, el registro de la orden y el registro de auditoría que anota quién accedió a qué. El registro de la orden contiene la marca del cupón, el valor nominal, el destino de pago que usted nos indicó, el resultado de la verificación y las marcas de tiempo asociadas.
Cada uno tiene una vida distinta. El código de un cupón es el de vida más corta de los cuatro. Existe desde el momento en que usted lo envía hasta que la orden se liquida, y entonces se destruye. Todo lo demás es un registro, y los registros se conservan durante cinco años, porque quien opera en este negocio debe poder reconstruir qué hizo y por qué.
No conservamos nada que permita sacar dinero de sus cuentas. Un destino de pago es una dirección, no una credencial: una dirección de monedero, un IBAN, una dirección de PayPal. No pedimos un número de tarjeta, una contraseña de banca electrónica, un PIN ni un código de un solo uso enviado por su banco. Quien le pida alguna de esas cosas en nuestro nombre no somos nosotros.
2. El código de un cupón, desde el envío hasta su destrucción
Un código sigue un solo camino, y es corto.
- Usted lo envía. El código viaja desde su navegador hasta nuestros servidores por una conexión cifrada. Se escribe en el formulario de orden de este sitio y en ningún otro lugar.
- Se cifra al llegar. Antes de que el código se escriba en el almacenamiento, se cifra. No se escribe en un registro de la aplicación, en un informe de errores, en una copia de seguridad de un registro ni en un correo electrónico.
- Un solo operador se ocupa de la orden. El código es legible para el operador que tramita esa orden, y solo mientras la orden está abierta. No es visible para el resto del personal, ni aparece en ninguna pantalla a la que usted pueda llegar.
- Cada lectura queda anotada. Cada vez que el código se descifra y se muestra, entra una anotación en el registro de auditoría: qué operador, qué orden, a qué hora.
- El operador lo verifica con el emisor. La verificación la hace una persona, por teléfono o a través del canal propio del emisor, antes de que se mueva dinero alguno. Cómo comprobamos un cupón detalla ese paso.
- Lo liquidan dos personas, no una. El operador que aprueba la orden no puede ser el operador que libera el pago.
- El código se destruye. Una vez liquidada la orden, el código se elimina del almacenamiento. Lo que sobrevive es el registro de la orden, no el código que la financió.
Aquí hay algo que merece decirse sin rodeos: un ser humano sí lee su código. Verificar significa leerle el código al emisor, así que no puede ser de otro modo. La cuestión no es si alguien lo ve. La cuestión es cuán pocas personas, durante cuánto tiempo y con qué constancia; y las respuestas son una, hasta la liquidación, y cada acceso anotado.
3. El cifrado en reposo, y lo que no hace
El cifrado en reposo significa que lo que hay en el almacenamiento es texto cifrado. Una copia de la base de datos, un archivo de copia de seguridad o un disco extraído de una máquina resultan ilegibles sin la clave, y las claves se guardan aparte de los datos que protegen, de modo que obtener una no es obtener los otros.
Eso es todo lo que hace, y conviene ser claro sobre lo que deja intacto.
El cifrado en reposo no protege los datos en uso. Una aplicación en ejecución tiene que poder descifrar un código para mostrárselo al operador que lo verifica, así que quien tome el control de la aplicación en ejecución está dentro del mismo perímetro en el que está la aplicación. No protege frente a una persona con acceso legítimo que abuse de ese acceso. Y no hace absolutamente nada respecto de lo que le ocurriera a un código antes de llegar hasta nosotros.
Esas lagunas son la razón de que existan los demás controles. Un acceso estrecho, una lectura anotada, una vida corta y dos personas sobre el dinero no son un adorno alrededor del cifrado. Son las piezas que cubren lo que el cifrado no puede cubrir.
4. Por qué guardamos una huella del número de documento y no el número
Porque necesitamos reconocer un documento de nuevo sin conservar el número que lo identifica.
Una huella es el resultado de un cálculo de un solo sentido. El mismo número de documento produce siempre la misma huella, y la huella no puede convertirse de vuelta en el número. Eso basta para el trabajo que realmente necesitamos hacer: ver que el mismo pasaporte se ha presentado en dos cuentas distintas, o que un documento que rechazamos antes ha vuelto, o que el documento que consta en el expediente es el documento que tenemos delante.
Hay un ataque evidente contra esa idea, y conviene nombrarlo. Un número de documento es corto y sigue un formato previsible, así que alguien que tuviera una tabla de huellas simples podría recorrer todos los números posibles, calcular la huella de cada uno y buscar una coincidencia. Por eso el cálculo incorpora un valor secreto guardado aparte de la base de datos. Sin él, una tabla robada de huellas es una tabla de valores que no significan nada.
La huella no es toda la historia, porque la imagen del documento sigue existiendo. De eso trata la sección siguiente.
5. Cómo se almacenan y se sirven los documentos de identidad
Se almacenan fuera de la raíz web, que es la parte práctica de la respuesta.
Un servidor web publica archivos desde un directorio. Cualquier cosa que esté dentro de ese directorio queda a una dirección adivinada o filtrada de volverse pública, sea cual sea la intención. Los documentos de identidad no están en ese directorio. Ninguna dirección web apunta a ellos, así que ninguna dirección puede compartirse, reenviarse, indexarse ni forzarse por fuerza bruta.
Para ver un documento, un miembro del personal debe haber iniciado sesión, y la petición pasa por una ruta que comprueba la sesión, comprueba si esa persona tiene derecho a ver ese documento, escribe una anotación en el registro de auditoría y solo entonces devuelve la imagen. La anotación se escribe lea alguien el registro o no lo lea nunca. Los archivos están además cifrados en reposo.
No usamos enlaces inadivinables para los documentos. Un enlace que funciona para cualquiera que lo tenga es un enlace que funciona para cualquiera a quien se le reenvíe, incluso por accidente. Toda consulta pasa por la ruta autenticada y auditada, o no ocurre.
Por qué se exigen los documentos es otra cuestión, respondida en la política de verificación de identidad. Se conservan documentos de los clientes cuyo volumen acumulado a lo largo de un periodo móvil de doce meses alcanza EUR 1,000. Por debajo de esa cifra el cliente opera con un nombre completo y un país de residencia declarados, y no hay ningún documento que almacenar.
6. El registro de auditoría, y por qué solo admite anexos y va encadenado por huellas
El registro de auditoría anota quién consultó qué, y está construido de forma que las anotaciones no puedan eliminarse ni alterarse en silencio.
Que solo admita anexos significa que las anotaciones se añaden y nunca se actualizan ni se borran. No hay en la aplicación ninguna vía ordinaria que edite una línea pasada, porque el valor del registro está en que dice lo que ocurrió y no lo que alguien preferiría que hubiera ocurrido.
Encadenado por huellas significa que cada anotación lleva una huella calculada sobre su propio contenido junto con la huella de la anotación anterior. Las anotaciones forman una cadena. Altere una línea y su huella deja de coincidir, y todas las huellas posteriores dejan de coincidir también. La cadena puede recalcularse de principio a fin y comprobarse.
Esto no hace imposible la manipulación. Alguien con acceso suficientemente profundo podría reescribir la cadena entera a partir del punto alterado. Lo que sí vuelve difícil es la manipulación silenciosa —una única edición discreta que no deja rastro—, porque una edición aislada no es una forma posible del daño.
Lo que entra en el registro incluye todo acceso al código de un cupón, toda consulta de un documento de identidad, toda aprobación, toda liberación de fondos, los eventos de sesión y las decisiones de cumplimiento. El registro forma parte del historial de cinco años.
7. Cuatro ojos sobre la liquidación
El operador que aprueba una orden no puede ser el operador que libera su dinero. Dos personas, dos cuentas, dos anotaciones de auditoría.
La razón es estrecha y práctica. Una cuenta de personal comprometida, o una cuenta deshonesta, no puede mover dinero por sí sola. Puede llevar una orden hasta el borde de la liquidación, y ahí se detiene, delante de otra persona que tiene que mirarla.
Junto a esa regla hay una segunda: un expediente de cumplimiento abierto congela la liquidación. Mientras el expediente está abierto, no se libera nada de esa orden: ni por quien abrió el expediente, ni por nadie más. Congelar es fácil; descongelar exige que el expediente se cierre en sus propios términos.
El dinero que una sola persona puede mover a solas es dinero que un solo error puede mover.
8. Las sesiones, y por qué pueden revocarse
Aquí una sesión es un registro en nuestro servidor, no un billete autónomo que su navegador lleva encima. La cookie de su navegador contiene un identificador aleatorio que por sí solo no significa nada; el significado vive de nuestro lado, asociado a ese identificador.
Ese diseño tiene una propiedad que importa más que ninguna otra: como el registro es nuestro, podemos terminarlo. Cerrar sesión termina una sesión en lugar de pedirle a su navegador que olvide algo. Cambiar su contraseña termina las demás sesiones de su cuenta. Cuando un miembro del personal pierde el acceso, sus sesiones terminan en ese momento, no cuando hubiera caducado un token. Un token autónomo no puede retirarse una vez emitido; sigue siendo válido hasta que se le agota el reloj, que es justo el comportamiento equivocado el día en que uno necesita que desaparezca.
La cookie de sesión está marcada de modo que los scripts de la página no puedan leerla, que solo se envíe por una conexión cifrada y que otros sitios no puedan hacer que su navegador la envíe. Las sesiones terminan tras un periodo de inactividad y de nuevo en un límite absoluto con independencia de la actividad. Las sesiones del personal están sujetas a límites más estrictos que las de los clientes, y el acceso del personal a una orden termina cuando termina la orden.
9. Lo que a usted le toca proteger
Parte de esto solo funciona si usted cumple su parte.
- Use una contraseña que no use en ningún otro sitio. Una contraseña reutilizada solo es tan segura como el sitio más débil que la guarda, y ningún control de nuestro lado puede distinguir una contraseña correcta de una robada.
- Proteja la cuenta de correo asociada a su cuenta aquí. Es la vía de recuperación, lo que la convierte en la entrada más blanda. Active el segundo factor que ofrezca su proveedor de correo.
- Envíe un código una sola vez, en el formulario de orden, en este sitio. Nunca en un correo, un mensaje de chat, una captura de pantalla o una llamada de teléfono, tampoco a nosotros.
- Mire la barra de direcciones antes de escribir un código, y llegue al sitio desde su propio marcador y no desde un enlace que alguien le haya enviado.
- Aquí nadie le pedirá su contraseña. Aquí nadie le pedirá que compre un cupón y lea el código en voz alta. Aquí nadie le telefoneará para pedirle que mueva su dinero para ponerlo a salvo. Conviene leer Quién nunca pide cupones antes de necesitarlo.
- Si cree que otra persona ha entrado en su cuenta, escriba a [email protected] de inmediato. Si cree que ha sido víctima de un fraude, escriba a [email protected].
10. Contra qué no protege esto
Un código que ya salió de sus manos. El código de un cupón puede gastarlo cualquiera que lo haya leído. Si se lo dio a alguien antes de venir aquí, el cifrado de nuestro lado no puede recuperarlo, y la verificación puede encontrar que el valor ya no está. Ya he enviado el código de un cupón explica qué se puede hacer todavía.
Un cliente al que engañan para que envíe él mismo un código. Todos los controles descritos arriba se comportan correctamente en este caso, que es lo que lo hace difícil. La persona correcta ha iniciado sesión, en su propia cuenta, con su propio documento, con un cupón que compró ella misma. La verificación confirma que el cupón es bueno. No puede confirmar por qué lo está vendiendo. Los defraudadores guían a la gente exactamente por este camino: la agencia tributaria que hay que pagar hoy mismo, el técnico de soporte que ha encontrado un virus, la persona con la que lleva semanas hablando y que tiene una emergencia en el extranjero. Nuestras preguntas y nuestras comprobaciones detectan parte de ello. No lo detectan todo. Si un operador le pregunta por qué está vendiendo, no es entrometimiento, y una respuesta breve y sincera es la vía más rápida. Fraudes con cupones expone los patrones.
Su propio dispositivo. Un programa malicioso en su ordenador o en su teléfono ve lo que usted ve, incluido un código mientras lo escribe.
Una imitación convincente de este sitio. Una conexión cifrada le dice que la conexión es privada. No le dice quién está al otro extremo.
Nosotros. Ningún operador puede prometer honestamente que sus sistemas nunca sufrirán una brecha, y no vamos a ser los primeros. Lo que sí podemos hacer es limitar hasta dónde llega una brecha: códigos que existen poco tiempo, acceso reducido a una sola persona y anotado, claves guardadas aparte de los datos, un registro que resiste la edición silenciosa y dos personas necesarias para liberar dinero.
11. Lo que no afirmamos
No tenemos ninguna certificación de seguridad, y en esta página no se afirma ninguna. No se ha completado ninguna auditoría independiente de estos sistemas. No se está informando del resultado de ninguna prueba de intrusión. La redacción de nada de esto pretende dar a entender ningún estándar. Si eso cambia, esta página nombrará la certificación, el estándar o la firma, y la fecha.
La actividad no está sujeta a licencia, y no se afirma tener ninguna autorización.
Esta página describe cómo está construido el servicio para funcionar. No describe una trayectoria, porque todavía no la hay. Nada de lo aquí escrito debe leerse como una afirmación sobre volúmenes gestionados, fraudes evitados o clientes atendidos.
No prestamos servicio en Francia, ni en las jurisdicciones sujetas al llamamiento a la acción del FATF, ni en las jurisdicciones sancionadas de forma integral, ni en mercados en los que no tenemos autorización local.
12. Decirnos que algo va mal
Si ha encontrado un fallo en este sitio, escriba a [email protected] con detalle suficiente para reproducirlo. No tenemos un programa de recompensas por fallos y no vamos a fingir lo contrario. Lo que sí haremos es leer lo que nos envíe, actuar en consecuencia y no mandarle un abogado por haberlo comunicado de buena fe.
Para sospechas de fraude en una orden, escriba a [email protected]. Para preguntas sobre qué datos suyos conservamos y qué puede pedirnos que hagamos con ellos, consulte privacidad o escriba a [email protected]. Para reclamar sobre cómo se ha tratado algo, escriba a [email protected]. Las preguntas generales van a [email protected].
VoucherPay LLC opera desde los Estados Unidos, en 1801 Peninsula Verde Dr.