Seguridad de la cuenta: 2FA, passkeys y sesiones
Protege tu cuenta de SolumeCore: verificación en dos pasos, passkeys, códigos de respaldo, dispositivos de confianza, sesiones y borrado de cuenta.
Tu cuenta de SolumeCore controla servidores, facturas y claves de API, así que conviene protegerla bien. El panel de cliente reúne todos los controles en dos sitios: Cuenta → Seguridad (lista de protección, verificación en dos pasos, códigos de respaldo, passkeys y formas de entrar) y Cuenta → Dispositivos y sesiones. Esta guía explica cada control, de qué te protege y qué hacer si algo sale mal.
El camino más rápido para la mayoría: confirma tu correo, activa la verificación en dos pasos, guarda tus códigos de respaldo y añade una passkey. El panel califica tu cuenta como «Bien protegida», «Bien, se puede mejorar» o «Necesita tu atención» y te muestra qué paso falta.
La lista de protección de la cuenta
Arriba de la pestaña Seguridad está la tarjeta «Protección de la cuenta», que sigue estos puntos:
| Paso | Por qué importa |
|---|---|
| Confirmar tu correo | Podemos avisarte y tú puedes recuperar la cuenta. |
| Añadir una passkey | Entras con huella, rostro, PIN del dispositivo o una llave de seguridad. |
| Activar la verificación en dos pasos | Con la contraseña robada no basta para entrar. |
| Guardar tus códigos de respaldo | Una puerta de entrada si pierdes el teléfono. |
| Tener una segunda forma de entrar | Vincula Discord o Google, o crea una contraseña, para no quedarte fuera. |
| Recibir avisos de seguridad por correo | Un mensaje cuando alguien entra desde un dispositivo nuevo o cambia algo importante. |
Verificación en dos pasos (2FA)
La verificación en dos pasos pide, además de la contraseña, un código de 6 dígitos de una app autenticadora. El código cambia cada 30 segundos y funciona sin internet; vale cualquier app autenticadora estándar.
Para activarla, abre Cuenta → Seguridad → Verificación en dos pasos y sigue los tres pasos: instala una app, escanea el código QR (o escribe la clave de configuración a mano) y escribe los 6 dígitos para confirmar. Desde ese momento, entrar con la contraseña también te pide el código.
Puedes desactivarla desde la misma tarjeta. Te pedirá la contraseña y un código vigente, porque reduce la protección de la cuenta.
Importante: si pierdes el teléfono y no tienes códigos de respaldo, tendrás que contactar con soporte y demostrar que eres tú. Genera los códigos de respaldo en cuanto actives la 2FA.
Códigos de respaldo
Mientras la verificación en dos pasos esté activa, puedes generar un juego de códigos de respaldo. Cada código sirve una sola vez y te deja entrar si pierdes tu autenticador. El panel te muestra cuántos te quedan y te avisa cuando quedan pocos.
- Guárdalos en un gestor de contraseñas o imprímelos. Solo se muestran una vez; puedes copiarlos todos o descargar un archivo
.txt. - Al generar un juego nuevo, los códigos anteriores dejan de funcionar.
- Los códigos de respaldo solo existen junto a la verificación en dos pasos: actívala primero.
Passkeys
Una passkey te permite entrar con tu huella, tu rostro, el PIN del dispositivo o una llave física como una YubiKey. No hay contraseña que recordar ni nada que se pueda suplantar con phishing. Puedes registrar varias (una por dispositivo) y ponerle a cada una un nombre reconocible en Cuenta → Seguridad → Passkeys.
Una passkey puede hacer tres cosas:
- Iniciar sesión sin contraseña.
- Actuar como segundo factor después de la contraseña («Pedir mi passkey después de la contraseña»). Si la pierdes, un código de respaldo o un código enviado a tu correo te deja entrar igualmente.
- Confirmar acciones sensibles (más abajo).
Las passkeys quedan atadas al dominio del propio panel, así que una creada para SolumeCore no funciona en ningún otro sitio. Si el panel dice «Las passkeys no están disponibles por ahora», SolumeCore ha desactivado la función; tu contraseña y el resto de métodos siguen funcionando. Además, tu navegador debe admitir passkeys (un Chrome, Edge, Safari o Firefox reciente).
Formas de entrar: contraseña, Discord y Google
En «Formas de entrar» puedes vincular o desvincular Discord y Google, y crear una contraseña si te registraste con alguno de ellos. El panel no te deja desvincular tu única forma de entrar: crea antes una contraseña. Esa contraseña (mínimo 10 caracteres) también puede abrir el SFTP de los servidores de juego, pero solo mientras la verificación en dos pasos esté desactivada: con ella activa, la contraseña de la cuenta se rechaza para SFTP y necesitas una contraseña SFTP propia o una llave SSH, de modo que nadie entre con un solo factor. Mira datos de conexión SFTP.
Dispositivos y sesiones
Abre Cuenta → Dispositivos y sesiones para revisar desde dónde has entrado.
- Dispositivos lista los navegadores desde los que has iniciado sesión. Un dispositivo marcado como de confianza no vuelve a pedir el código de dos pasos durante un tiempo (30 días por defecto). «Dejar de confiar» hace que lo vuelva a pedir; «Revocar» cierra sus sesiones y trata el próximo inicio de sesión desde él como un dispositivo nuevo.
- Sesiones abiertas muestra cada sesión activa con su dispositivo, IP y fecha de inicio. «Cerrar sesión» cierra una; «Cerrar todas las demás» deja abierto solo el navegador que estás usando. Hazlo si alguna vez entraste desde un ordenador que no es tuyo.
Una sesión dura 30 días por defecto antes de que tengas que volver a entrar. Cambiar la contraseña no cierra las demás sesiones, así que ciérralas tú desde esta pestaña si sospechas algo.
Cuando alguien entra desde un navegador que no conocemos, SolumeCore te envía un correo (el primer inicio de sesión de una cuenta nueva no lo envía). Si no lo reconoces, revoca el dispositivo y cambia la contraseña.
Confirmar acciones sensibles
Para acciones que mueven dinero o no tienen vuelta atrás, como cancelar un servicio al instante, aceptar el cobro automático o eliminar una tarjeta guardada, el panel te pide «Confirmar que eres tú» con tu contraseña, un código 2FA, una passkey o, si tu cuenta no tiene nada de eso, un código enviado por correo. La confirmación dura 5 minutos. Está activada por defecto, y el personal de soporte que vea tu cuenta no puede realizar esas acciones por ti.
Llaves SSH
La pestaña Seguridad también aloja tus llaves SSH: claves públicas que registras una vez para acceder por SSH con llave a tus servidores. Añadir o quitar una te pide confirmar que eres tú.
Actividad de la cuenta
Cuenta → Actividad de la cuenta muestra quién hizo qué y desde dónde: inicios de sesión (correctos y bloqueados), cambios de contraseña, dispositivos revocados, creación de claves de API y acciones sobre tus servicios, con filtros de Cuenta, Servicios, Juegos y Entradas. Si soporte hace un cambio mientras ve tu cuenta, también queda registrado ahí.
Tras varios intentos fallidos de inicio de sesión, los siguientes intentos para ese correo desde esa IP se bloquean temporalmente. Espera un rato y vuelve a intentarlo, o restablece la contraseña desde la pantalla de inicio de sesión.
Claves de API
Las claves de la API de cliente se crean en Cuenta → API y webhooks. Trata una clave como una contraseña: se muestra una sola vez y puedes revocarla cuando quieras. Más detalles en claves de API de la cuenta.
Borrar la cuenta
Cuenta → Perfil → Borrar la cuenta elimina de forma permanente tus datos, facturas, tickets e historial. Antes hay que cancelar los servicios activos y resolver las facturas pendientes, y el panel te lista lo que lo impide. Tras confirmar escribiendo tu nombre de usuario empieza un periodo de gracia (14 días por defecto) en el que la cuenta funciona con normalidad y puedes cancelar el borrado. Esta opción de autoservicio viene desactivada por defecto; si no la ves, abre un ticket y soporte lo hará por ti.
Una cuenta que nunca confirma su correo se elimina sola pasado un plazo corto (48 horas por defecto), así que confírmalo justo después de registrarte.
Recomendaciones
- Usa una contraseña larga y única, y un gestor de contraseñas.
- Prefiere una app autenticadora o una passkey, y guarda los códigos de respaldo fuera de línea.
- Revisa Dispositivos y sesiones de vez en cuando y revoca lo que no reconozcas.
- No compartas nunca un código de verificación, un código de respaldo ni una clave de API con nadie, ni siquiera con quien diga ser de soporte.
Documentos relacionados
- Recorrido por el panel de cliente
- Accesos delegados y subusuarios
- Protección DDoS y firewall
- Uso aceptable y medidas contra el abuso
FAQ
¿Necesito la verificación en dos pasos si ya uso una passkey?
No. Una passkey ya es un método de acceso robusto y puede actuar como segundo factor. Mucha gente conserva una passkey y una app autenticadora para tener siempre una alternativa.
He perdido el teléfono. ¿Cómo entro en mi cuenta?
Usa uno de tus códigos de respaldo en la pantalla de inicio de sesión. Si tienes una passkey como segundo factor, también sirve un código enviado a tu correo. Si no tienes ninguna de las dos cosas, escribe a soporte desde la página de contacto para que verifiquen tu identidad.
¿Cómo cambio el correo de mi cuenta?
Abre un ticket pidiendo el cambio. Soporte lo hace después de comprobar que eres tú.
¿Puedo mantener la sesión abierta en mi propio ordenador?
Sí. Las sesiones duran 30 días por defecto. Marca tu ordenador como dispositivo de confianza para no tener que escribir el código de dos pasos en él, y revócalo si alguna vez lo pierdes.
¿La opción «Borrar la cuenta» está disponible para todos?
Depende de cómo SolumeCore haya configurado la plataforma. Si no la ves, un ticket consigue el mismo resultado.