SHARKRULE / Aprender

Claves API para bots de trading: permisos y seguridad

Conectar un bot a un exchange consiste en delegar acciones mediante una API. La pregunta clave es qué podrá hacer el programa si funciona bien, si se equivoca o si alguien obtiene sus credenciales. Una configuración útil combina permisos mínimos, límites de operación y un procedimiento de parada comprobable.

SharkRule · Revisado

Una API del exchange no es una conexión a tu wallet

La clave identifica el acceso de un programa a una cuenta del exchange. Según sus permisos, puede consultar información o enviar órdenes. No necesitas entregar la frase de recuperación de una cartera para configurar ese acceso. Distingue también el secreto API de una clave privada de autocustodia: sirven a sistemas distintos.

Los activos de la cuenta permanecen bajo custodia del exchange. Esto no impide que una clave con permiso de trading origine pérdidas mediante operaciones. Desactivar retiros reduce una vía de salida de fondos; no convierte al bot en inocuo.

Asigna permisos por tarea, no por comodidad

Prepara esta matriz antes de crear la clave. Los nombres de las casillas cambian entre plataformas; relaciona cada permiso solicitado con una función concreta. Un requisito sin explicación merece una pausa.

Matriz práctica para revisar una conexión
TareaAcceso que debes justificarComprobación
Consultar el mercadoDatos públicos cuando basten¿Necesita realmente una clave?
Mostrar el saldoLectura de la cuenta¿Puede funcionar sin negociar?
Ejecutar tus reglasCrear y gestionar órdenes¿Incluye consultar y cancelar?
Preparar informesLectura del historial necesario¿Tiene una clave separada?
Retirar o transferir fondosAcceso financiero adicionalDéjalo desactivado para un bot que solo negocia

Revisa la conexión antes de activar operaciones

La IP de tu navegador no tiene por qué ser la del servidor que envía órdenes. Pide al proveedor que identifique sus direcciones de salida y cómo avisa de cambios. No resuelvas una conexión fallida abriendo el acceso a cualquier IP.

  1. Verifica el dominio del exchange y protege el inicio de sesión con los controles de seguridad disponibles.
  2. Crea una clave exclusiva para el servicio y anota su nombre, finalidad y fecha, sin copiar el secreto al registro.
  3. Concede primero la lectura imprescindible y añade trading solo cuando hayas definido la operación permitida.
  4. Restringe las IP a las direcciones de salida verificadas del servicio, cuando esa restricción esté disponible.
  5. Guarda las credenciales cifradas; exclúyelas de capturas, chats, repositorios y registros de errores.
  6. Comprueba dónde revocar la clave y quién revisará las órdenes si el servicio deja de responder.

Los permisos no sustituyen a los límites de tu regla

Define pares permitidos, importe máximo por orden, presupuesto acumulado, frecuencia y condiciones para detenerse. Especifica si el presupuesto cuenta órdenes pendientes, ejecuciones y comisiones. Un control del programa y una restricción impuesta por el exchange son protecciones diferentes; comprueba dónde se aplica cada una.

Ejemplo ficticio: tu regla permite comprometer 100 unidades de la moneda cotizada. Hay 35 ejecutadas y 25 reservadas en una orden abierta. Quedan como máximo 40 antes de considerar comisiones. Si el programa solo resta las ejecuciones, podría autorizar otra orden de 65 y superar tu límite. Esta cuenta explica un control de exposición, no una recomendación de inversión.

Ensaya la parada y la respuesta a una filtración

En una baja normal del servicio, pausa las reglas, consulta las órdenes activas, cancela las que corresponda y confirma sus resultados antes de retirar el acceso. No presupongas que apagar el bot o eliminar la clave cancela órdenes o vende activos. Conserva una forma de acceder directamente al exchange.

Si sospechas que el secreto se ha filtrado, revoca el acceso comprometido de inmediato desde el exchange y revisa allí la actividad. No retrases esa revocación para completar el procedimiento habitual. Registra horas e identificadores sin secretos, contacta con el soporte oficial y crea credenciales nuevas solo cuando hayas corregido el origen de la exposición.

Preguntas frecuentes

¿Un bot sin permiso de retiro puede perder mi dinero?

Sí. Puede enviar operaciones desfavorables, repetir órdenes o consumir saldo en comisiones. La restricción de retiros no elimina el riesgo de trading.

¿Puedo usar la misma clave para todos mis programas?

Separar claves facilita limitar permisos, investigar actividad y revocar un servicio sin interrumpir los demás. Evita compartir una credencial entre herramientas con finalidades distintas.

¿Debo compartir mi frase de recuperación?

No para conectar la API de un exchange. Una solicitud de esa frase describe otro tipo de acceso y no forma parte del procedimiento explicado aquí.

Fuentes oficiales

Elaborado con ayuda de IA a partir de la documentación oficial enlazada. Los ejemplos son hipotéticos; no se realizaron pruebas con cuentas reales ni comparaciones de rentabilidad.