Seguridad de claves API en exchanges: creación, permisos y revocación

Conectar un bot, una hoja de cálculo o una herramienta de seguimiento a tu cuenta de exchange casi siempre implica crear una clave API. El problema es que esa clave es una credencial con la que un tercero puede actuar sobre tu cuenta, y muchos usuarios la generan con la configuración que aparece por defecto, sin revisar qué permisos concede ni a quién. Esta guía te ayuda a tomar decisiones concretas antes de crearla: qué tipo de clave necesitas, qué permisos son realmente imprescindibles, cómo limitar el origen de las peticiones, dónde guardar el secreto y cómo revocar todo si algo deja de estar bajo tu control. Trabajamos con criterios aplicables a Binance, OKX, Bybit y Bitget, y en cada paso te indicamos qué revisar en el centro de ayuda, la página de configuración de la cuenta y la sección de gestión de claves API de tu exchange. No encontrarás aquí cifras de comisiones ni límites concretos: esos datos cambian y debes confirmarlos siempre en la página oficial de comisiones y en la documentación vigente antes de operar.

Qué es una clave API y por qué debes tratarla como una contraseña

Una clave API es un par de credenciales que tu exchange emite para que un programa externo pueda consultar datos o enviar órdenes en tu nombre, sin que ese programa conozca tu contraseña de acceso. Normalmente se compone de una clave pública, que identifica la conexión, y un secreto, que firma cada petición. Quien tenga ambas partes puede actuar como tú dentro de los permisos que hayas concedido, así que el secreto debe recibir el mismo trato que la contraseña de tu cuenta: no se comparte, no se pega en chats ni en formularios de sitios no verificados y no se guarda en capturas de pantalla.

Antes de crear nada, define para qué la necesitas. Una herramienta de solo lectura, como un visor de saldos o un registro de operaciones, no requiere permiso de trading ni de retiro. Un bot que opera necesita enviar órdenes, pero casi nunca necesita mover fondos fuera de la plataforma. Cuanto más estrecho sea el propósito, más fácil será limitar los permisos y detectar un uso anómalo. Escribe ese propósito en una nota antes de abrir el formulario de creación, porque la interfaz te pedirá marcar casillas y conviene saber de antemano cuáles dejar sin marcar.

Consulta la sección de gestión de claves API dentro de la configuración de tu cuenta y lee la página de ayuda correspondiente a API. Allí se explica qué significa cada permiso y qué restricciones adicionales ofrece la plataforma. Si algo no queda claro, no generes la clave todavía: primero resuelve la duda en el centro de ayuda oficial.

Crear la clave con permisos mínimos y restricción de IP

Al crear la clave, la interfaz suele ofrecer un nombre o etiqueta. Usa uno descriptivo que identifique la herramienta y la fecha, por ejemplo el nombre del programa y el mes de creación. Eso te permitirá saber después qué clave revocar sin afectar a otras integraciones. Evita etiquetas genéricas como prueba o bot, porque cuando tengas varias claves activas no podrás distinguirlas.

El paso más importante es la selección de permisos. Deja sin marcar todo lo que no sea estrictamente necesario. En particular, el permiso de retiro debe permanecer desactivado salvo que exista una razón operativa muy concreta y hayas evaluado el riesgo. Si la plataforma permite separar lectura, trading y transferencias internas, actívalos solo cuando la herramienta los use de verdad. Muchos problemas empiezan con una clave creada para consultar saldos que termina con permisos de trading porque se marcó una casilla por costumbre.

Si tu exchange permite restringir la clave a una o varias direcciones IP, actívalo. Así, aunque el secreto se filtre, la credencial no servirá desde otro origen. Comprueba que la dirección IP de tu servidor o de tu conexión sea fija antes de configurarlo, porque si cambia, las peticiones fallarán y tendrás que editar la restricción. Anota en tu registro la IP configurada y la fecha, y revisa ese dato cada vez que cambies de proveedor de internet o de servidor.

Al terminar, la plataforma mostrará el secreto una sola vez. Cópialo directamente a tu gestor de contraseñas o al almacén cifrado de la herramienta, sin pasos intermedios. Si cierras el aviso sin guardarlo, tendrás que revocar la clave y crear otra.

Guardar el secreto y controlar quién lo usa

El secreto no debe vivir en un archivo de texto plano, en una hoja de cálculo compartida ni en el historial de un chat. Guárdalo en un gestor de contraseñas o en el sistema de secretos que use tu herramienta, y protege ese acceso con autenticación en dos pasos. Si la herramienta se ejecuta en un servidor, revisa quién tiene acceso a ese servidor: una clave API solo es tan segura como el entorno donde está almacenada.

Revisa periódicamente la lista de claves activas en la configuración de tu cuenta. Para cada una, comprueba la etiqueta, los permisos, la restricción de IP si existe y la última vez que se usó. Si encuentras una clave que no reconoces o que ya no usas, revócala de inmediato. Este repaso es rápido y evita que credenciales olvidadas sigan activas durante meses.

Cuando compartas una herramienta con otra persona, no le entregues tu clave. Lo correcto es que cada usuario cree su propia credencial con sus propios permisos, de modo que puedas revocar la de esa persona sin afectar al resto. Si la herramienta no admite varias claves, valora si realmente necesitas ese acceso compartido.

Registra en una nota privada la fecha de creación, el propósito y la fecha de la última rotación de cada clave. Ese historial te permitirá decidir con criterio cuándo renovarla y qué revocar primero si detectas actividad extraña.

Rotar y revocar cuando algo cambia

Rota la clave cuando cambies de herramienta, cuando una persona con acceso al secreto deje de colaborar contigo o cuando sospeches que el secreto pudo quedar expuesto. El procedimiento habitual es crear una clave nueva con los mismos permisos mínimos, actualizarla en la herramienta, verificar que funciona y solo entonces revocar la antigua. Así evitas cortar el servicio antes de tener el reemplazo listo.

La revocación debe ser inmediata si observas órdenes que no reconoces, movimientos que no autorizaste o inicios de sesión desde ubicaciones que no te corresponden. En ese caso, revoca todas las claves activas, cambia la contraseña de la cuenta, revisa la configuración de seguridad y contacta al soporte oficial desde los canales que aparecen en el centro de ayuda. No intentes arreglarlo solo desactivando la herramienta externa: la clave sigue siendo válida hasta que la revocas en la plataforma.

Antes de revocar, comprueba si la herramienta tiene operaciones abiertas que dependan de esa credencial. Si las hay, ciérralas o espera a que terminen, porque una revocación corta la comunicación de inmediato. Anota la fecha y el motivo de cada revocación en tu registro.

Después de revocar, confirma que la clave desapareció de la lista de claves activas y que la herramienta ya no puede conectarse. Si la herramienta muestra un error de autenticación, es la señal esperada. Si sigue operando, detén la herramienta y revisa si quedó otra credencial activa en tu cuenta.

Límite de riesgo: Colombia Crypto Guide

Los activos digitales son volátiles y los derivados pueden ampliar pérdidas. Este sitio no tiene inicio de sesión, cartera, depósito ni chat de soporte. Un enlace de referido solo registra atribución; no garantiza acceso, precio, recompensa, aprobación ni resultados de inversión. La disponibilidad puede variar por residencia, entidad y producto; el idioma o la marca no confirman acceso regional.

Control del escenario

• Define el propósito exacto de la clave antes de crearla y escribe qué permisos necesita la herramienta.
• Deja desactivado el permiso de retiro salvo que exista una razón operativa concreta y evaluada.
• Activa la restricción por dirección IP si la plataforma la ofrece y anota la IP configurada.
• Guarda el secreto en un gestor de contraseñas o almacén cifrado, nunca en texto plano ni en capturas.
• Revisa la lista de claves activas y revoca las que no reconozcas o ya no uses.
• Rota la clave creando primero la nueva, actualizando la herramienta y revocando la antigua después.