Qué protege una cuenta y el dinero que hay en ella

Cómo se entra y cómo se retira

Para una cuenta hace falta un correo o una cuenta de Telegram. La autenticación en dos pasos se ofrece al registrarte y se configura en unos treinta segundos: TOTP según el RFC 6238, que entiende cualquier app de autenticación.

Es opcional, y lo que vigila es la puerta de entrada: con ella activada, una contraseña robada por sí sola no da acceso a la cuenta. No es una segunda confirmación en cada retirada: a una sesión ya abierta no se le vuelve a preguntar. Activarla, igual que cambiar la contraseña, cierra todas las demás sesiones, y esa es la palanca que hay que usar si crees que hay alguien más dentro.

Los avisos de dinero llegan por Telegram, y sin tenerlo vinculado una cuenta no puede ingresar, pedir tarjeta ni suscribirse. A quien no se le puede avisar de que su dinero se ha movido, está usando su dinero a ciegas.

Los datos de la tarjeta no pasan por nosotros

El número, la caducidad y el CVV los dibuja el emisor asociado, dentro de su propio marco. No viajan por el backend de Blomo y no están ni en nuestra base de datos ni en nuestros registros.

Conviene decirlo con precisión, porque la fórmula del sector «guardamos los datos de tarjeta de forma segura» suele significar justo lo contrario: que se guardan. Aquí no se guardan en absoluto, y un robo de la base de Blomo no puede entregar un número de tarjeta que nunca estuvo ahí.

La contabilidad no se puede reescribir a posteriori

Un saldo no es un número en una columna que algo incrementa. Es la suma de asientos, y esos asientos solo se añaden: la propia base de datos rechaza modificarlos o borrarlos.

Quien rechaza es la base de datos, no nuestro código. Ni siquiera la aplicación, con permisos completos de escritura, puede alterar un asiento ya registrado. El error se corrige como lo corrigen los contables desde hace siglos, con un asiento contrario, y la historia de lo ocurrido queda intacta y auditable.

Cada evento on-chain se aplica exactamente una vez, por muchas veces que la red nos lo entregue. Un ingreso contado dos veces es tan erróneo como uno perdido, y de ambos protege la idempotencia.

Qué guardamos y durante cuánto tiempo

Las tarjetas virtuales no piden documentos en ninguna fase: ni al registrarte, ni al ingresar, ni al emitir, ni al pagar. Por el camino normal no hay pasaporte, ni selfi, ni justificante de domicilio, ni cuestionario sobre el origen de los fondos. Los fondos que entran sí se revisan, y la sección 6 de los términos detalla qué puede pedir una comprobación ampliada cuando una recarga plantea una duda de sanciones o de blanqueo. La excepción es el plástico, y ahí la exigencia viene del emisor asociado, no de Blomo.

Los registros se guardan siete días y se borran. El motivo es corto: lo que ya no existe no se filtra, no se puede reclamar y no lo puede vender alguien que se fue.

Cómo está montado por dentro

La aplicación funciona sin permiso para cambiar el esquema de la base: puede trabajar con datos y nada más. El esquema lo cambia una vía de migraciones aparte, con sus propias credenciales, así que una API comprometida no puede borrar una tabla.

El servicio de firma vive separado de la aplicación y solo responde a un conjunto pequeño y fijo de peticiones. No tiene una operación «envía a esta dirección»: un servicio que acepta el destinatario de quien le llama es un servicio que paga a cualquiera que lo pida de forma convincente.