Seguridad de fábrica.
Executor opera con tu billetera, así que cada capa se pensó para el peor caso. Esto es exactamente lo que te protege.
Tus llaves se quedan con Privy.
Privy crea y protege tu billetera en un entorno aislado (TEE). Executor nunca ve ni guarda una llave privada.
Permiso, no posesión.
Executor recibe dos permisos limitados, cada uno con su propia política en Privy: vender las posiciones y comprar con la firma del guardián, siempre a través de Jupiter y dentro del tope. Solo valen para la billetera de trading, separada de tu billetera principal. Sin retiros y sin transferencias. Revócalos en la app cuando quieras: entonces deja de comprar y de vender.
La IA nunca opera por su cuenta.
La IA conversa y propone la estrategia. No puede activarla, pausarla, comprar ni vender: solo tu clic la activa, y quien opera es el motor, con reglas fijas.
Un servidor solo para el motor.
El motor corre en un servidor separado del sitio, con firewall, acceso solo por llave y una firma en cada solicitud entre los dos. Revisa cada transacción antes de pedir la firma.
Historial del chat cifrado en tu dispositivo.
AES-256-GCM en tu navegador, con una clave que no se puede exportar. Borra el historial cuando quieras.
Pagos procesados por Stripe.
Los datos de tu tarjeta van directo a Stripe, que tiene certificación PCI DSS Level 1. Nunca llegan a nuestros servidores.
¿Por qué un chat con IA no puede tener cifrado de extremo a extremo?
Una IA tiene que leer un mensaje para responderlo, así que ningún chat con IA puede sellarse como una app de mensajería privada. Esto es lo que hacemos en cambio: los mensajes viajan solo por HTTPS, el historial se cifra en tu dispositivo, las imágenes pierden la ubicación y los datos de la foto antes de salir del dispositivo, la voz se convierte en texto en el propio dispositivo siempre que el navegador lo permite, y la seguridad de tu dinero nunca depende de lo que diga el chat.
Por dentro
- HTTPS en todas partes, con HSTS
- Content Security Policy con un nonce por solicitud
- Hashes de integridad (SRI, SHA-384) en los scripts principales
- Encabezados de aislamiento de origen cruzado (COOP y CORP)
- Sin incrustación en otros sitios (clickjacking bloqueado)
- Fuentes y archivos servidos desde nuestro propio dominio
Cómo reportar una falla.
¿Encontraste una falla de seguridad en Executor? Cuéntanos primero, en privado, para corregirla antes de que alguien la use.
- Escribe a suporte@executor.fun con “Seguridad” en el asunto: qué encontraste, dónde y los pasos para reproducirlo.
- Dentro del alcance: executor.fun, la app, su API y @ExecutorFunBot. Fuera del alcance: servicios que usamos pero no operamos, como Privy, Stripe, Jupiter, pump.fun y Telegram (repórtalo a ellos), además de pruebas de carga o de denegación de servicio, spam e ingeniería social.
- Confirmamos que lo recibimos en un plazo de 2 días hábiles y te mantenemos al tanto hasta que esté corregido.
- Si actúas de buena fe, no tomaremos acciones legales contra ti: prueba solo con tu propia cuenta y billetera, no accedas, cambies ni borres datos o dinero de otras personas, no interrumpas el servicio y danos un plazo razonable para corregirlo antes de hacerlo público.
- Por ahora no hay programa de recompensas.