Seguridad: lo que hacemos, sin humo

• Contraseñas con hash irreversible (nunca se guardan en claro).
• Sesiones con tokens de corta duración y refresco rotativo por dispositivo.
• Verificación por correo antes de desbloquear todas las funciones.

• El pago y la gestión de la suscripción ocurren en Stripe, no en Metruta.
• Los datos de tu tarjeta nunca pasan por nuestros servidores.
• Cancelas tú mismo desde el portal de Stripe, sin tener que pedirlo.

• La clave de corrección nunca viaja al navegador antes de enviar.
• Cada envío se aplica una sola vez: reintentos y caídas no duplican XP.
• La demo pública responde con la clave ya eliminada.

• Límites de ritmo en autenticación, IA y facturación.
• Verificación de origen (CSRF) en las operaciones sensibles.
• Registro de auditoría en pagos y accesos administrativos.

• StripeProcesa pagos y suscripciones.
• GroqGenera las respuestas de IA (explicaciones, planes).
• MongoDBGuarda cuentas, respuestas y progreso.
• Proveedor SMTPEnvía correos de verificación y recordatorios.

Ningún sistema es perfecto. Si ves algo raro, nuestra política de divulgación responsable explica cómo contárnoslo de forma segura.