Seguridad de la cuenta
Protege tu panel de Half Off Dev con verificación en dos pasos, códigos de recuperación y control de sesiones, y consulta qué datos se guardan.
Dos cosas protegen tu cuenta. Tu correo y tu contraseña abren el panel, donde están tu saldo, tus claves y tus registros. Tus claves de API permiten que el código gaste ese saldo. Esta página trata lo primero y resume los hábitos que protegen lo segundo. Salvo que se indique lo contrario, todo lo que sigue está en Settings.
Verificación en dos pasos#
Con la verificación en dos pasos (2FA) activada, al iniciar sesión también se te pide un código de 6 dígitos de una app de autenticación. Sirve cualquier app que genere códigos temporales (TOTP): Google Authenticator, 1Password, Authy y otras.
Empieza la configuración
En Settings, dentro de Verificación en dos pasos, pulsa Configurar verificación en dos pasos.
Añade Half Off Dev a tu autenticador
Escanea el código QR o escribe en la app la clave de configuración que aparece al lado.
Comprueba que funciona
Escribe el código de 6 dígitos que muestra la app y pulsa Verificar y activar. El estado pasa a Activado.
Guarda los códigos de recuperación
Recibes diez códigos de recuperación de un solo uso, con este aspecto:
k7mq-2xpd. Cada uno sustituye una vez a un código del autenticador. No volverás a verlos: pulsa Copiar códigos, guárdalos en tu gestor de contraseñas y luego pulsa Ya los guardé.
A partir de entonces, para entrar necesitas tu correo, tu contraseña y un código vigente.
Sin códigos te quedas fuera
Si pierdes el autenticador y no te queda ningún código de recuperación, no podrás entrar al panel. Guárdalos en un lugar distinto del teléfono que tiene la app.
¿Los códigos fallan? Comprueba que tu teléfono ajusta la hora automáticamente. Se aceptan unos 30 segundos antes o después de su ventana.
Entrar con un código de recuperación#
Si no tienes el teléfono a mano, escribe un código de recuperación cuando se te pida el código. Las mayúsculas y el guion dan igual. Cada código funciona una vez, y Settings te dice cuántos te quedan sin usar.
Renovar los códigos de recuperación#
Junto a Generar códigos nuevos, escribe un código actual del autenticador. Diez códigos nuevos sustituyen al juego anterior, que deja de funcionar al momento. Hazlo cuando te queden pocos o sospeches que alguien los ha visto.
Desactivar la verificación en dos pasos#
Junto a Desactivar la verificación en dos pasos, escribe un código del autenticador o uno de recuperación y pulsa Desactivar. La clave de configuración y los códigos de recuperación se borran. Si vuelves a activarla, recibirás un QR nuevo, así que elimina la entrada antigua de tu app.
Qué protege y qué no#
La 2FA protege el inicio de sesión en el panel y, con él, tu saldo, la facturación, las claves y los registros. Las peticiones a la API nunca piden un segundo factor: una clave funciona por sí sola. Trata cada clave con el mismo cuidado que una contraseña.
Verificar tu correo#
Si el panel te muestra un aviso para verificar tu correo, abre el enlace que te enviamos al registrarte. Funciona una sola vez durante 48 horas; Enviar el enlace de nuevo, en el propio aviso, te manda uno nuevo. Usamos la dirección verificada para informarte de cambios en tu cuenta.
Cambiar la contraseña#
En Cambiar contraseña, escribe tu contraseña actual y una nueva de 8 caracteres o más, y pulsa Actualizar contraseña. Se cierra la sesión en todos los demás navegadores conectados a tu cuenta; el que estás usando sigue dentro.
Sesiones#
Un inicio de sesión dura 30 días en ese navegador. Cerrar sesión, al pie de la barra lateral del panel, la cierra ahí.
La tarjeta Sesiones de Settings cuenta cuántos otros navegadores o dispositivos tienen la sesión abierta. Cerrar las demás sesiones los cierra todos y te mantiene dentro donde estás. Úsalo después de usar un ordenador compartido o si sospechas que alguien más tiene acceso.
Protege tus claves de API#
- Crea una clave por aplicación y entorno, solo con los límites y modelos que necesita. Consulta Claves de API.
- Carga las claves desde variables de entorno o un gestor de secretos. Nunca las subas al repositorio ni las incluyas en código de cliente.
- Rótalas periódicamente y revoca enseguida cualquier clave que pueda haberse filtrado; la revocación se aplica desde la siguiente petición.
- Revisa Logs en busca de tráfico que no reconozcas. Cada petición indica qué clave la envió.
Más en Autenticación.
Qué guarda Half Off Dev#
| Dato | Cómo se guarda |
|---|---|
| Claves de API | Un hash, más los primeros caracteres para mostrarlos. La clave completa se muestra una vez al crearla y no se puede recuperar. |
| Contraseña | Un hash con sal y deliberadamente lento (PBKDF2-SHA256). La contraseña en sí nunca se guarda. |
| Sesiones del panel | Un token aleatorio en una cookie segura y HTTP-only. El servidor solo guarda su hash. |
| Secreto de la 2FA | Se conserva para comprobar tus códigos. Se borra al desactivar la 2FA. |
| Códigos de recuperación | Un hash de cada código sin usar. Los usados se borran. |
| Registros de peticiones | Solo metadatos: modelo, clave, número de tokens, cargo, tiempos y estado. No se guardan prompts ni respuestas. Se conservan 90 días. |
Idioma#
Elige tu idioma en Idioma, dentro de Settings, o con el selector de la barra lateral o de la cabecera de la documentación. La elección se aplica al panel y a la documentación en ese navegador. Mientras no elijas, Half Off Dev usa el idioma de tu navegador.