Seguridad y modelo sin custodia

• Puede derivar direcciones de recepción a partir de una clave pública que tú aportas y mostrarlas en una página de pago.
• Puede leer datos públicos de la blockchain y determinar que una factura ha sido pagada.
• Puede avisar a tu servidor con un webhook firmado y registrar el estado del pedido en su propia base de datos.

• No puede mover, congelar, revertir ni reembolsar un pago, porque no posee ninguna clave capaz de firmar una transacción de blockchain. Eso es una propiedad arquitectónica, no una política que prometemos cumplir.

Un procesador de pagos sólo puede mover fondos si posee una clave capaz de firmar transacciones. Nosotros no tenemos ninguna. Cuando configuras un monedero nos das o bien una dirección de recepción o bien una clave pública extendida (xpub). Ambas son datos públicos. Una xpub puede derivar direcciones de recepción, pero matemáticamente no puede producir las claves privadas necesarias para gastar desde ellas. Nuestros workers llaman a endpoints de blockchain de sólo lectura — los mismos datos públicos que hay detrás de Tronscan, BscScan y mempool.space — y ninguna ruta de código de la plataforma construye, firma o difunde una transacción que gaste fondos del comercio.

• El endpoint de configuración de monedero rechaza cualquier clave extendida que contenga material privado: si pegas una xprv, se rechaza y no se almacena.
• El monedero de comisiones de la propia plataforma está sujeto a la misma regla en todos los entornos: el servicio se niega a arrancar si ese monedero se configura con una clave privada en lugar de una clave pública de sólo lectura.
• En producción, la validación de arranque además aborta el proceso si cualquier variable de entorno contiene una clave privada, una mnemónica o una frase semilla.
• Los workers on-chain usan adaptadores de datos de sólo lectura. En la plataforma no hay código de firma ni de difusión de transacciones.
• Una prueba automatizada verifica que ambos puntos de entrada de claves rechazan claves privadas, de modo que el invariante no puede eliminarse en silencio en una versión posterior. Y marcar un pedido como reembolsado en el panel cambia un registro de la base de datos: no mueve ni puede mover ninguna moneda.

Hay exactamente un punto en el que NextCryptoPay recibe USDT, y no es el dinero de tus clientes: el saldo prepago que recargas para pagar nuestra comisión de plataforma. Ese es nuestro ingreso, pagado por ti por adelantado, y está completamente separado del flujo de pago entre tu cliente y tú. El monedero de cobro de comisiones también está configurado como sólo lectura en nuestra infraestructura, y por eso mismo el servicio se niega a arrancar si se le proporciona una clave privada. Preferimos declarar nosotros mismos esta excepción antes que dejar que la descubras y te preguntes qué más omitimos.

Ver la comisión vigente en la página de precios →

• Lo que un atacante podría obtener: datos de cuentas de comercios, direcciones de recepción y xpubs configuradas, metadatos de pedidos, endpoints de webhook y secretos de webhook. Podría mostrar direcciones de recepción incorrectas en futuras páginas de pago.
• Lo que un atacante no podría obtener: tus fondos ni ningún pago pasado. En nuestros sistemas no existe ninguna clave capaz de gastar desde el monedero de un comercio, así que no hay nada que robar de los saldos en sí.
• Qué significa esto para ti: contrasta la dirección de recepción que aparece en la página de pago con el monedero que configuraste, y verifica la firma de cada webhook antes de actuar en consecuencia.

Toma la dirección de monedero que configuraste y búscala en un explorador de bloques público: Tronscan para TRC-20, BscScan para BEP-20, Etherscan para ERC-20 y mempool.space para Bitcoin. Verás el pago llegar desde la dirección de tu cliente directamente a la tuya, sin ningún salto intermedio. Si alguna dirección controlada por nosotros apareciera en esa ruta, se vería ahí mismo. No aparece.

• No podemos revertir ni reembolsar un pago. Las transacciones on-chain son definitivas. Un reembolso lo envías tú, desde tu propio monedero; nuestro panel sólo registra que lo hiciste.
• No podemos recuperar fondos enviados a una dirección equivocada. Si la dirección de monedero que configuraste es incorrecta, los pagos irán a esa dirección equivocada y se perderán. Revisa la dirección y prueba antes con un importe pequeño.
• No podemos recuperar tu monedero. Nunca tuvimos tus claves. Si las pierdes no podemos ayudarte: ningún canal de soporte, ninguna excepción.
• No podemos congelar ni incautar fondos, ni siquiera a petición tuya o de un tercero. No tenemos esa capacidad.

NextCryptoPay no ha pasado ninguna auditoría de seguridad externa, y no vamos a insinuar lo contrario. Tampoco publicamos la identidad de quienes lo operan: en este sitio no hay nombre de empresa, número de registro ni dirección de oficina, porque no existe una entidad legal que nombrar. Deberías sopesar ambos hechos antes de canalizar ingresos reales a través de cualquier servicio, incluido este. Lo que ofrecemos en lugar de un nombre y un certificado es un diseño en el que nuestra identidad no necesita importar: nunca tenemos una clave capaz de mover el dinero de tus clientes, y cada afirmación anterior es de las que puedes comprobar en vez de creer.

Envía tus hallazgos a [email protected] o consulta nuestra política de reporte más abajo. Confirmamos la recepción y te mantenemos al tanto de la corrección. Por favor, no hagas pruebas sobre facturas reales de comercios ni sobre pagos de otras personas.

/.well-known/security.txt