Tu cuenta

Seguridad

El panel controla tu Instagram. Estas son las decisiones concretas que lo protegen.

Contraseñas

Se guardan con scrypt y sal aleatoria por cuenta. No hay forma de recuperar la contraseña original desde la base, ni siquiera teniendo acceso completo a ella. La comparación es en tiempo constante.

El mínimo es de 10 caracteres cuando el panel está en internet.

Sesiones

La cookie de sesión va firmada, es HttpOnly y viaja solo por HTTPS. La firma incluye el hash de tu contraseña y un contador propio de tu cuenta, lo que tiene una consecuencia concreta: cambiar la contraseña invalida todas las cookies viejas al instante, incluida una que te hayan robado.

Intentos de ingreso

Ocho intentos fallidos por dirección IP cada 15 minutos. El contador vive en la base de datos, no en la memoria del servidor: en un entorno sin servidor fijo, cada pedido puede caer en una instancia distinta y un contador en memoria no limitaría absolutamente nada.

Secretos

Los tokens y las API keys se enmascaran al salir del servidor: el panel solo ve los últimos cuatro caracteres. Esto vale para el permiso de Instagram y para tu API key de inteligencia artificial.

Webhooks

Cada aviso de Meta viene firmado y se verifica antes de procesarlo. Sin firma válida, se descarta.

Falla cerrado

Cuando el panel está en internet y todavía no tiene ninguna cuenta creada, la API entera está bloqueada salvo el alta del primer administrador. Nunca queda abierta "por defecto".

Si se te filtra algo

• Se filtró tu contraseña: cambiala. Eso solo ya cierra todas tus sesiones.
• Se filtró una API key de IA: revocala en el panel de tu proveedor y pegá una nueva.
• Sospechás de tu conexión con Instagram: desconectala desde Configuración y volvé a conectarla. Eso invalida el permiso anterior.
• Perdiste un dispositivo: usá Cerrar sesión en todos lados.
• Sospechás de una cuenta del equipo: desactivala desde Cuentas. La sesión se le cae en el momento.

Lo que todavía no hay

Honestidad sobre los límites actuales:

• No hay segundo factor propio del panel. Si entrás con Google, el segundo factor de Google aplica.
• No hay recuperación de contraseña por email autogestionada: por ahora la resuelve el soporte.
• Cada cuenta de VelionChat maneja una cuenta de Instagram. Poder administrar varias desde el mismo lugar está en el plan, pero todavía no está.