Glosario / Compra y exchanges
Clave API del exchange
- ¿Qué es una clave API del exchange?
- Una clave API del exchange es una credencial que usted genera para permitir que un programa opere, lea o retire en su cuenta sin su contraseña, bajo los permisos que usted elija.
La clave es una segunda puerta hacia la misma cuenta, abierta por un token y una firma en lugar de una pantalla de inicio de sesión. Los Términos de Uso de Bitstamp, actualizados por última vez el 30 de mayo de 2025, ponen a su cargo toda pérdida bajo una clave que usted haya generado, incluido el acceso no autorizado y la pérdida de fondos. Conceda alcance de solo lectura, nunca de retiro, y elimine las claves que ya no use.
Cómo funciona
Una clave API del exchange llega como un par: un identificador público que nombra la cuenta, y un secreto con el que quien hace la llamada firma cada solicitud. El secreto aparece una sola vez, en el momento de la creación, y el exchange conserva su propia copia para comprobar cada firma. A partir de ahí, un programa puede colocar órdenes, obtener saldos o mover fondos firmando una solicitud, sin navegador, sin petición de contraseña y sin segundo factor en el camino.
Los permisos son todo el producto. Los términos de Bitstamp lo dicen en una línea: "The scope of access you permit by such API key is defined by you when you create API Key" (el alcance de acceso que usted permite mediante dicha clave API lo define usted al crear la clave API), y remiten a la página de control de acceso de la cuenta. Las plataformas dividen ese alcance en lectura, trading y retiro, y muchas permiten anclar una clave a direcciones IP fijas, de modo que un secreto robado es inútil en cualquier otro lugar. Una clave de solo lectura entregada a un rastreador no puede hacerle perder dinero. Una clave que lleva permiso de retiro es una instrucción permanente de pagar a quien tenga el secreto.
Contractualmente, una solicitud firmada con su clave es su orden. Los Términos de Bitstamp UK Limited, versión con fecha del 01 de julio de 2026, definen una Instrucción como cualquier orden o instrucción recibida de usted, y la cláusula de API exime de responsabilidad por pérdidas "resulting from use or Instructions submitted through API Keys" (resultantes del uso o de Instrucciones enviadas a través de Claves API). La misma cláusula figura en seis de los términos de entidad del grupo, que cubren Bitstamp Limited, Bitstamp Europe S.A., Bitstamp USA Inc., Bitstamp UK Limited, Bitstamp Global Ltd y Bitstamp Asia Pte. Ltd. Bitstamp también se reserva el derecho de suspender cualquier clave sin previo aviso cuando considere que la seguridad se ha visto comprometida.
Dónde aparece
Las claves API del exchange se encuentran en la configuración de seguridad de toda plataforma que publica una interfaz de trading, normalmente bajo un encabezado como control de acceso. Usted crea una para conectar un rastreador de cartera de inversión, una herramienta fiscal, un script de compra recurrente o una hoja de cálculo que extrae su historial de operaciones. Una plataforma también puede permitir que una aplicación externa solicite una clave en su nombre: Bitstamp llama a eso Bitstamp Connect, y exige su consentimiento dentro de su cuenta antes de que se establezca la conexión de un integrador.
Dos hábitos cubren la mayor parte del riesgo. Ajuste el alcance a la tarea, ya que una herramienta fiscal que lee su historial de operaciones ejecutadas no tiene motivo para tener derechos de operación o de retiro, y revoque una clave en el momento en que su herramienta se retire, porque nada en una clave caduca por sí solo. Si su plataforma admite listas blancas de IP, úselas. Si cree que un secreto se ha filtrado, elimine la clave primero e investigue después.
Un inconveniente sorprende a quienes construyen sus propias herramientas. Los términos del Reino Unido de Bitstamp licencian los datos de mercado que devuelve una clave únicamente para Uso Permitido de Datos de Mercado, que cubre ver precios, enviar órdenes, conciliar sus transacciones y cumplir obligaciones fiscales o de auditoría. Republicar esos precios, combinarlos con los flujos de datos de otras plataformas, o entrenar un modelo con ellos cuenta como Uso Comercial de Datos de Mercado y requiere un acuerdo de datos de mercado independiente.
Clave API del exchange frente a clave privada
Una clave privada controla bitcoin en la blockchain; una clave API del exchange controla una cuenta en una empresa. La diferencia se nota cuando cualquiera de las dos se filtra. Una clave API comprometida es revocable: elimínela, y la plataforma deja de aceptar firmas hechas con ella. Una clave privada comprometida no puede ser revocada por nadie, porque la red no tiene idea de quién debería tenerla, y la única defensa es mover las monedas a una clave nueva antes de que lo haga el ladrón. Esa asimetría también limita lo que una clave API filtrada puede costarle: alcanza el saldo que el exchange mantiene para usted y nada de lo que ya haya retirado.