Todo servicio de trading automatizado pide lo mismo: una clave API de su cuenta del exchange. La pregunta es justa: ¿qué entrega exactamente? La respuesta corta es que una clave bien creada permite al bot operar pero no robar, y tres ajustes deciden cuál de las dos cosas ocurre.
Qué es una clave API
Una clave API es un par de cadenas (clave y secreto; OKX añade una passphrase) que identifica su cuenta ante la interfaz de programación del exchange. Cada clave tiene su propio conjunto de permisos, elegidos al crearla. La clave no revela su contraseña, no da acceso a la interfaz web y puede revocarse en cualquier momento sin tocar la cuenta.
Los tres ajustes que importan
1. Sin permiso de retiro. Un bot de trading necesita leer saldos y colocar órdenes. Nunca necesita retirar. Deje Retiro (y en Binance Permitir transferencias internas) desactivado. Una clave sin ese derecho no puede sacar ni un USDT de la cuenta, la tenga quien la tenga.
2. Lista blanca de IP. Los exchanges permiten restringir una clave a una lista de direcciones IP. Con la restricción, una petición firmada con su clave desde cualquier otro ordenador se rechaza. Si la clave se filtra, el ladrón tendría que controlar además los servidores del servicio. EDVI publica sus direcciones en cada página de exchange; pegue todas.
3. Solo los permisos que el servicio indica. El trading de futuros necesita Futuros (Binance), Trading unificado (Bybit), Trade (OKX) o Futuros perpetuos (BingX). Préstamo de margen, spot, gestión de subcuentas: desactivados, salvo que el servicio explique por qué los necesita.
Qué puede hacer aún un bot con una clave correcta
La honestidad obliga a decirlo: una clave con derechos de trading puede abrir posiciones, incluidas malas, y cerrarlas con pérdidas. El riesgo que asume con un bot es el riesgo de trading de su estrategia, no el de robo. Por eso las reglas de la estrategia, sus estadísticas públicas y su multiplicador de riesgo importan más que la propia clave. Lea qué es el drawdown y cómo leerlo antes de fijar el multiplicador.
Subcuentas: un muro adicional
Los cuatro exchanges compatibles con EDVI ofrecen subcuentas. Una subcuenta tiene su propio saldo, sus propias claves API y no puede tocar la cuenta principal. Transfiera allí solo el depósito de trading y cree la clave dentro de la subcuenta: el bot entonces físicamente no ve el resto de sus fondos.
Si una clave se filtra
- Elimine la clave en el exchange. Las órdenes firmadas con ella dejan de aceptarse de inmediato.
- Revise posiciones y órdenes abiertas; cierre lo que no esperaba.
- Cree una clave nueva con las mismas restricciones y vuelva a conectarla. En EDVI es Ajustes de la estrategia → Clave API.
Con la lista blanca de IP, el paso 1 es una precaución más que un rescate: nadie fuera de los servidores autorizados pudo usar la clave.
Lista de comprobación
- 2FA activado en el exchange
- Clave creada solo para trading, retiro desactivado
- La lista blanca de IP contiene todas las direcciones del servicio
- Depósito en una subcuenta si el exchange lo permite
- Secreto guardado una vez, en un gestor de contraseñas, nunca en un chat
Con estos cinco puntos, darle a un bot una clave API no es más peligroso que la estrategia que le pide ejecutar.
