← 首页

Permisos mínimos y rotación de claves API en exchanges

Guides · 2026-09-26

Una clave API es una credencial que permite que un programa actúe sobre tu cuenta sin que tengas que escribir tu contraseña cada vez. Si esa credencial se filtra y además tiene permisos amplios, quien la obtenga puede operar, mover fondos o leer información sensible según lo que hayas autorizado. El problema más frecuente no es el robo de la clave en sí, sino que se creó con todo habilitado y nunca se cambió. En esta guía verás cómo decidir qué permisos necesita realmente tu caso de uso, cómo comprobar lo que ya tienes activo y cómo rotar claves de forma ordenada. Trabajaremos con criterios aplicables a Binance, OKX, Bybit y Bitget, y con la idea de que cada plataforma nombra sus opciones de manera distinta: lo importante es que verifiques en la página de gestión de claves de tu cuenta, no que asumas una disposición concreta. También conviene distinguir entre una clave que solo lee datos y una que puede retirar: la primera casi nunca necesita existir con permisos de escritura, y la segunda debería ser una excepción justificada.

Qué permisos existen y cuáles pedir según tu caso

En la mayoría de exchanges las claves API se dividen por funciones: lectura de datos de cuenta, operación al contado, operación de futuros, transferencias internas y retiros. Cada bloque se activa o desactiva por separado, y algunos incluyen subpermisos como permitir solo ciertos pares o limitar el uso a determinadas direcciones de retiro. Antes de marcar casillas, escribe en una nota qué tarea concreta hará el programa: consultar saldos, colocar órdenes, cerrar posiciones o mover fondos entre subcuentas. Esa frase determina el conjunto mínimo. Si tu herramienta solo muestra información, no necesita permisos de operación; si opera, normalmente no necesita retiros. La regla práctica es empezar por lo más restrictivo y ampliar solo cuando una prueba falle por falta de permiso, no antes.

Revisa la página de gestión de claves API de tu cuenta y anota los nombres exactos de cada permiso tal como aparecen, porque cambian entre plataformas y versiones. En Binance, OKX, Bybit y Bitget el panel de claves suele incluir además una restricción por dirección IP, que limita desde qué servidores puede usarse la clave. Si tu programa corre en un servidor con IP fija, activarla reduce mucho el riesgo; si corre en tu computador con IP dinámica, quizá no sea viable y tendrás que compensar con permisos más estrechos y rotación más frecuente. Deja constancia de qué elegiste y por qué.

Un error común es habilitar retiros porque 'algún día hará falta'. Los retiros suelen ser el permiso más peligroso y el que menos se usa en automatizaciones de trading. Si de verdad necesitas retirar mediante API, revisa si la plataforma permite limitar las direcciones de destino autorizadas y activa esa opción. Si no existe, valora hacer los retiros manualmente desde la interfaz web. Consulta el centro de ayuda de tu exchange para conocer las opciones disponibles en tu tipo de cuenta.

Crear la clave con nombre, etiqueta y registro

Asigna a cada clave un nombre que describa su función y su entorno, por ejemplo 'lectura-saldos-servidor-1' o 'ordenes-spot-portatil'. Ese nombre aparecerá en la lista de claves y te permitirá identificar cuál revocar si algo falla. Evita nombres genéricos como 'api1' o 'prueba', porque dentro de unos meses no sabrás qué hacía. Si la plataforma permite añadir una nota o etiqueta, úsala para indicar la fecha de creación y el programa que la utiliza.

Guarda la clave y el secreto en un gestor de contraseñas o en un almacén de secretos, nunca en capturas de pantalla, chats, correos ni archivos de texto dentro del proyecto. Muchos exchanges muestran el secreto una sola vez: si lo pierdes, tendrás que crear otra clave. Registra en tu cuaderno la fecha de creación, el nombre, los permisos marcados, si hay restricción por IP y la fecha prevista de la próxima revisión. Ese registro es lo que convierte la rotación en una tarea planificada y no en una reacción tardía.

Antes de conectar la clave a un programa, haz una prueba con permisos mínimos: consulta un dato público de tu cuenta, como el saldo, y confirma que funciona. Después intenta una acción que no debería estar permitida y verifica que el sistema la rechaza. Si una operación prohibida pasa, revisa los permisos otra vez. Este paso de verificación negativa detecta configuraciones demasiado amplias antes de que el programa empiece a operar de verdad.

Cuándo y cómo rotar una clave

Rota una clave cuando haya pasado el tiempo que definiste en tu calendario, cuando cambie el programa que la usa, cuando alguien con acceso al servidor deje el equipo, o ante cualquier sospecha de filtración, como un repositorio público, un registro de errores con el secreto visible o un mensaje extraño. La rotación consiste en crear una clave nueva con los mismos permisos mínimos, actualizar el programa para que la use, comprobar que funciona y solo entonces revocar la anterior. No borres la vieja antes de confirmar que la nueva opera sin errores.

El orden importa. Primero crea la nueva clave y anota su registro. Segundo, actualiza las credenciales en el programa y reinícialo. Tercero, ejecuta una operación de prueba pequeña o una consulta que confirme que la autenticación funciona. Cuarto, revisa los registros del programa durante un periodo razonable para asegurarte de que no quedan llamadas usando la clave antigua. Quinto, revoca la clave anterior desde el panel de gestión. Si algo falla en el paso tres, no revoques nada: corrige y repite.

Fija un intervalo de rotación realista y escríbelo. Para claves con permiso de operación, plazos más cortos reducen la ventana de exposición; para claves de solo lectura el riesgo es menor, pero la disciplina de rotar evita que se acumulen credenciales olvidadas. Si tu exchange permite ver la última fecha de uso de cada clave, revísala: una clave sin actividad durante meses es candidata a revocación. Consulta el centro de ayuda de la plataforma para saber qué información de uso muestra el panel.

Errores frecuentes y cómo detectarlos a tiempo

El primer error es acumular claves. Cada prueba, cada script abandonado y cada integración antigua deja una credencial viva. Haz una auditoría periódica de la lista completa y para cada entrada pregúntate: ¿qué programa la usa hoy?, ¿qué permisos tiene?, ¿cuándo se creó?, ¿cuándo se usó por última vez? Si no puedes responder, revócala. Es más seguro volver a crear una clave cuando haga falta que mantener una abierta por si acaso.

El segundo error es compartir el secreto con terceros, incluidos bots de comunidades, supuestos soportes técnicos o herramientas que prometen rendimiento. Ningún soporte legítimo necesita tu secreto. Si alguien lo pide, es una señal de alerta. Recuerda que este sitio es independiente y no forma parte de ningún exchange: nadie aquí puede gestionar tu cuenta ni pedirte credenciales.

El tercer error es no revisar los permisos después de una actualización de la plataforma. Las interfaces cambian y una opción que antes estaba desactivada puede quedar marcada por defecto. Después de cada cambio relevante en tu programa o en el panel, vuelve a la lista de claves y confirma que los permisos siguen siendo los que definiste. Anota la fecha de esa comprobación.

El cuarto error es ignorar los avisos de seguridad. Si recibes una notificación sobre actividad inusual en tu cuenta o sobre una clave, no la archives sin más: revisa la lista de claves, los registros de acceso y, si procede, revoca y rota. Actuar rápido en ese momento es mucho más barato que intentar recuperar fondos después.

Límite de riesgo: Colombia Crypto Guide

Los activos digitales son volátiles y los derivados pueden ampliar pérdidas. Este sitio no tiene inicio de sesión, cartera, depósito ni chat de soporte. Un enlace de referido solo registra atribución; no garantiza acceso, precio, recompensa, aprobación ni resultados de inversión. La disponibilidad puede variar por residencia, entidad y producto; el idioma o la marca no confirman acceso regional.

Control del escenario