Sitio seguro: qué comprobar

El candado de la barra de direcciones significa una cosa concreta: la conexión entre tu navegador y ese servidor va cifrada, así que nadie en el camino puede leer lo que escribes. Es imprescindible y es insuficiente. Imprescindible porque sin él tus credenciales viajan legibles; insuficiente porque el candado no dice nada sobre quién está al otro lado.

Ese matiz es importante porque un sitio fraudulento puede tener candado. Obtener un certificado es gratuito y automático hoy en día, así que la presencia del candado no acredita identidad ni honradez: acredita cifrado. Lo que sí puedes hacer es abrirlo: el navegador muestra para qué dominio se emitió el certificado, y eso te confirma que el candado corresponde a la dirección que crees estar visitando.

Hay un tercer elemento que casi nadie mira y que ayuda: la antigüedad del certificado. Al abrir el candado, el navegador muestra desde cuándo es válido. Un certificado emitido hace unas horas para un dominio que imita una marca conocida es una combinación muy característica de los sitios de suplantación, que se levantan y se abandonan en días. No es prueba de nada por sí sola, pero junto con un dominio raro es señal suficiente para cerrar la pestaña.

La comprobación completa es, por tanto, doble: candado presente y dominio correcto, leído letra por letra. Las copias suelen tener las dos cosas mal alineadas: candado sí, dominio con una palabra añadida o una letra sustituida por otra de aspecto parecido.

Y una nota sobre las advertencias del navegador. Si aparece un aviso de certificado no válido o de sitio no seguro, no hay ninguna razón legítima para continuar. Ese aviso significa que el cifrado no se puede verificar, y en una página donde vas a escribir credenciales o datos de pago, es el final del camino. La forma de identificar la dirección buena la desglosamos en dirección real y sus espejos.

En México el tratamiento de datos personales por parte de particulares está regulado, y de ahí sale una obligación muy concreta y muy útil para ti: el aviso de privacidad. Cualquier sitio que recoja datos debe tener uno accesible, y ese documento tiene que decir qué datos recoge, para qué finalidades, si los comparte y cómo puedes ejercer tus derechos.

Esos derechos se resumen en cuatro: acceder a los datos que tienen sobre ti, rectificarlos si están mal, cancelarlos cuando ya no sean necesarios y oponerte a determinados tratamientos. Para ejercerlos hay que dirigirse al responsable, que el propio aviso debe identificar con un medio de contacto. Un aviso sin responsable identificado ni canal de contacto es un aviso incompleto.

En una cuenta de juego, los datos en cuestión no son triviales: nombre, fecha de nacimiento, domicilio, documento de identidad, medio de pago. Es un paquete con el que se abre una cuenta bancaria, y por eso conviene leer al menos dos cosas del aviso: cuánto tiempo conservan los documentos de verificación y si los comparten con terceros procesadores.

Lo que nosotros tratamos es mínimo, justamente porque aquí no hay formularios que rellenar, y queda explicado en datos personales de esta guía. Lo que pide una verificación de identidad, y cómo enviarlo con cuidado, está en documentos que te van a pedir.

La mayoría de los incidentes con cuentas de juego no explotan una vulnerabilidad del sitio: explotan una contraseña repetida o un mensaje creíble.

La tercera medida es la que más gente olvida y la más importante de todas. Quien controla tu correo puede restablecer la contraseña de casi cualquier servicio, incluido el casino. Proteger el correo con doble factor es, en la práctica, proteger todo lo que pasa por él.

La sexta requiere una aclaración porque los impostores son buenos: ningún operador legítimo pide tu contraseña, ni el código de seguridad del reverso de una tarjeta, ni un código de un solo uso que te acaba de llegar por mensaje. Si alguien lo pide, con cualquier excusa y por cualquier canal, la respuesta correcta es cortar la conversación y avisar por el canal oficial del sitio.

Cuatro patrones que se repiten y que, una vez conocidos, se detectan en segundos.

Los cuatro comparten una estructura: crear una emoción —miedo, alegría, prisa— para que actúes antes de comprobar. La defensa no es técnica, es de procedimiento: nada urgente se resuelve por un canal que no iniciaste tú. Cierra el mensaje, abre el sitio desde tu marcador y mira si hay algún aviso real en tu cuenta. En el noventa y nueve por ciento de los casos, no lo hay.

Conviene distinguir la seguridad informática de la seguridad financiera, porque se confunden. Que una conexión esté cifrada no garantiza que un depósito se acredite; que un sitio tenga buenas prácticas técnicas no garantiza que pague pronto. La seguridad del dinero se apoya en otras tres cosas: rastro, titularidad y prudencia en los importes.

El rastro es el comprobante de cada operación, y ya insistimos bastante en él: referencia y ticket, clave de rastreo, captura del movimiento. La titularidad es el principio de que el dinero entra y sale a nombre de la misma persona, que es lo que protege tu saldo frente a un acceso ajeno. Y la prudencia es no dejar dentro más de lo que estás jugando.

Esa tercera es la más infravalorada. Un saldo grande dentro de una cuenta de juego está expuesto a cualquier incidencia: una disputa, un bloqueo por verificación, un acceso indebido. Retirar con frecuencia no es desconfianza, es custodia, y tiene el efecto secundario de convertir las ganancias en dinero real.

El rastro documental de cada vía de pago está detallado en pagar desde México, y los filtros por los que pasa un cobro, en tiempos de cobro.

El orden importa más que la velocidad, y son cinco pasos. Primero, cambia la contraseña del correo, porque es la llave maestra. Segundo, cambia la del casino y activa la verificación en dos pasos si no estaba. Tercero, revisa el historial de accesos y de transacciones y captura cualquier cosa que no reconozcas, con fecha y hora visibles.

Cuarto, avisa al soporte de Apexo por el canal del sitio, describiendo qué detectaste y adjuntando las capturas. Pide el número de folio y guárdalo: eso convierte tu aviso en un registro con fecha, que es lo que después sostiene cualquier reclamación. Quinto, si hubo movimiento de dinero desde tu banco o tarjeta, presenta la reclamación financiera por la vía mexicana que corresponde.

Hay un paso que conviene no dar: seguir jugando «para recuperar» lo que se movió. Además de no tener sentido matemático, mezcla tus propias operaciones con las ajenas y complica muchísimo la reconstrucción del caso.

Y si el acceso ajeno vino de un dispositivo comprometido —anuncios fuera de las aplicaciones, batería que se agota, aplicaciones que no instalaste—, limpia el dispositivo antes de volver a entrar, porque una contraseña nueva escrita en un teléfono infectado dura lo que tarda en teclearse. Ese escenario está descrito en qué revisar antes de instalar un archivo, y el procedimiento formal en reclamaciones y su orden de pasos.

Por coherencia, conviene decir qué medidas aplica esta guía. La primera: no hay formularios. Ni uno. No pedimos correo, ni nombre, ni teléfono, así que no hay datos que se puedan filtrar desde aquí. Si ves una página con nuestro aspecto pidiéndote datos, no es nuestra, y agradecemos el aviso para poder advertirlo aquí.

La segunda: no cargamos medición ni publicidad de terceros. Eso significa que ningún script externo se ejecuta en tu navegador mientras lees, lo que reduce a cero la superficie de ese tipo de riesgo y, como efecto colateral agradable, hace el sitio muy rápido. Lo que sí guardamos, que es solo tu elección sobre la nota de cookies, está explicado en qué guarda tu navegador.

La tercera: los enlaces que llevan al casino van marcados como comerciales y pasan por una página de paso propia, de modo que sabes que estás saliendo de la guía. Y la cuarta: nuestro contacto es un correo, [email protected], que sirve para señalar errores y avisar de suplantaciones, pero no puede actuar sobre tu cuenta de juego.

La quinta, que no es una medida técnica sino editorial: cada dato de estas páginas viene de la fuente que lo produce, y cuando el dato es del operador lo decimos y remitimos a su sitio. En un sitio que habla de seguridad, inventar una certificación o dar por bueno un sello sin comprobarlo sería la peor de las contradicciones posibles.

Todo eso, con el detalle de nuestro método de verificación y nuestras reglas de redacción, está en quiénes somos.