Seguridad local primero, dicha con precisión

El agente, tus terminales, la nube y tu navegador se conectan mediante tres conexiones independientes con identidades distintas, y a propósito no están encadenadas. Tu terminal habla con el agente de escritorio por loopback; el agente habla con la nube por HTTPS firmado por el dispositivo para el emparejamiento, la licencia y la sincronización del panel; tu navegador habla con la nube para el panel. La nube nunca está en la ruta de ejecución de las operaciones.

Esa separación es todo el modelo. Todo lo que decide o mueve una orden vive a la izquierda de la línea, en tu equipo. Todo lo que queda a la derecha es licencia y revisión.

Tus sesiones de Telegram y Discord viven en el PC que ejecuta la app: los secretos de inicio de sesión, los archivos de sesión y los datos del chat se quedan detrás del límite interno de la aplicación, y los registros los ocultan en lugar de grabarlos.

El texto de los mensajes de los chats que elegiste se guarda solo en la base de datos local, con un tope de 8 KiB por mensaje, y se purga a los siete días. La app de escritorio crea su propia identidad de dispositivo en el primer inicio y liga la clave privada a tu usuario de Windows mediante cifrado del sistema operativo; la clave nunca se escribe en la base de datos, nunca se muestra en la interfaz, y no se guarda ninguna credencial de la nube junto a ella.

• Sesiones de origen y texto de los mensajes: solo este PC, nunca se suben
• Clave privada del dispositivo: ligada a tu usuario de Windows, nunca guardada en texto plano
• Tokens de la nube de corta duración: nunca se guardan, nunca se registran, nunca se muestran

Las órdenes llegan a MetaTrader a través de un puente que se enlaza explícitamente a la dirección loopback, así que solo responde a programas de tu propio equipo. El EA incluido se autentica con tokens de sesión aleatorios de 256 bits de los que solo se guardan hashes, se comparan en tiempo constante, caducan a los 15 minutos y están ligados al terminal, la cuenta y el bróker registrados.

El primer contacto usa una credencial de un solo uso escrita en la propia carpeta de datos de ese terminal, con acceso limitado a tu usuario de Windows: caduca a los diez minutos, se consume una vez y se elimina tras el registro. Los cuerpos de las peticiones se limitan a 16 KiB, y el binario del EA incluido está fijado con SHA-256 y se verifica antes de instalarlo.

El emparejamiento empieza con un token de un solo uso de tu panel, válido diez minutos y de un solo uso. La app de escritorio firma la solicitud de emparejamiento con su clave de dispositivo, y la política de licencia que vuelve se verifica byte a byte contra una clave pública integrada antes de guardar nada. Una política que no pase alguna de las dos comprobaciones se descarta y el dispositivo sigue sin emparejar.

Las conexiones a la nube usan TLS con raíces públicas de Web PKI, y los puntos de conexión sin TLS se rechazan. Después la licencia se vuelve a emitir cada unos 15 minutos mediante un latido firmado y sigue siendo válida hasta 60, así que una caída de la nube no detiene el enrutamiento, que continúa con la última política verificada. Cuando caduca, las entradas nuevas se detienen mientras las acciones que reducen riesgo y la visibilidad del panel conservan sus últimos valores firmados, y todo lo inválido bloquea ante la duda.

Desemparejar borra la política en caché pero conserva la identidad del dispositivo. Revocar un dispositivo desde el panel rechaza su siguiente latido y lo bloquea, pero la revocación no es instantánea, así que un dispositivo en ejecución puede seguir operando hasta que caduque su política en caché.

La nube recibe el reflejo del panel, vaciado en lotes de 50: resultados de operaciones, eventos de posiciones, instantáneas de la cuenta, notas del diario y mapeos de símbolos. Las actualizaciones de mapeo de símbolos llegan firmadas y se verifican antes de aplicarse, y solo a señales futuras, nunca a comandos ya admitidos. La sincronización va en un solo sentido, del escritorio a la nube.

Lo que nunca recibe: el contenido de los mensajes, las sesiones de origen y los secretos de API, la contraseña de tu bróker (que no se lee en absoluto), la clave privada del dispositivo, y los propios comandos de operación, que nunca viajan a la nube. Los comandos de operación se autentican con la sesión loopback de corta duración; no se firman uno por uno. El instalador no está firmado, así que Windows SmartScreen avisa una vez en el primer inicio; los hashes de cada compilación se publican junto a cada instalador para que puedas verificar lo que ejecutaste.