Rutina práctica para crear, limitar y revocar claves API de forma segura

Una clave API es una credencial que permite que un programa actúe en tu cuenta sin que vos escribas la contraseña cada vez. El problema aparece cuando esa clave se crea con permisos de más, se guarda en un lugar compartido o queda activa durante meses sin que nadie la revise. Esta rutina te propone un método repetible: antes de crear la clave, definís qué necesita hacer la automatización; al crearla, limitás permisos e IP; después, la probás con operaciones pequeñas; y por último, la rotás o la revocás según un calendario. La idea no es confiar en la memoria sino en un registro escrito que puedas consultar cuando algo falle. Los pasos aplican a Binance, OKX, Bybit y Bitget, aunque los nombres exactos de las opciones cambian entre plataformas: por eso cada apartado te indica qué buscar en la configuración de la cuenta y en el centro de ayuda, en lugar de darte por cierta una pantalla que puede haber cambiado.

Antes de crear la clave: inventario y permisos mínimos

Empezá por escribir en un documento qué tarea concreta va a ejecutar la clave. No alcanza con decir que es para un bot: anotá si solo necesita leer saldos, si va a consultar historial, si va a crear órdenes o si además va a retirar fondos. Esa distinción es la que define los permisos que vas a marcar. La regla práctica es conceder lo mínimo: si la automatización solo lee datos, no habilites creación de órdenes; si crea órdenes, no habilites retiros. Muchas plataformas separan lectura, operación y transferencia en casillas independientes, así que revisá cada una antes de confirmar.

Después asigná un nombre descriptivo a la clave, por ejemplo el proyecto, el equipo y la fecha, para poder identificarla más adelante sin ambigüedad. Si la plataforma permite etiquetas o comentarios, usalos. Antes de seguir, abrí el centro de ayuda del exchange y buscá la sección de gestión de claves API: ahí se explica qué significa cada permiso y qué restricciones adicionales existen, como el vínculo a direcciones de retiro o la obligación de confirmar por correo. No asumas que todas las casillas funcionan igual entre Binance, OKX, Bybit y Bitget.

Por último, definí dónde vas a guardar la clave secreta. La opción razonable es un gestor de contraseñas o un archivo cifrado en tu equipo, nunca una nota sin protección, un chat o un repositorio público. Si la clave se muestra una sola vez al crearla, copiala en ese momento y verificá que quedó bien guardada antes de cerrar la ventana.

Restricciones de IP y alcance de la clave

La restricción por IP es una de las defensas más útiles y también una de las más fáciles de romper por descuido. Si tu automatización corre desde un servidor con dirección fija, cargá esa dirección en la lista blanca. Si corre desde tu casa con IP dinámica, vas a tener que decidir entre actualizar la lista cuando cambie o dejar la clave sin restricción de IP, lo que aumenta el riesgo. Anotá cuál de las dos situaciones aplica antes de crear la clave, porque cambiarla después puede exigir pasos adicionales.

Prestá atención a los detalles: algunas plataformas piden la IP en formato exacto y rechazan rangos, otras permiten varias entradas separadas por comas. Si copiás mal un dígito, la clave va a fallar con un error de permisos que parece un problema del bot y en realidad es la lista blanca. Cuando la automatización use más de un servidor, cargá todas las direcciones o creá claves separadas por entorno, así una falla en un servidor no obliga a rehacer todo.

Verificá también si la clave queda atada a una sola cuenta o a una subcuenta, y si el exchange permite limitar el alcance a ciertos productos. En el centro de ayuda suele haber artículos específicos sobre restricciones de IP y sobre buenas prácticas de seguridad; leelos antes de confirmar, porque las opciones disponibles cambian entre plataformas y versiones de la interfaz.

Prueba controlada y registro de la clave

Una vez creada la clave, no la conectes directamente a la operación real. Hacé una prueba con el menor impacto posible: una consulta de saldo, una lectura de historial o una orden mínima si el permiso lo permite. El objetivo es confirmar que la clave funciona, que la IP está bien cargada y que los permisos alcanzan para lo que necesitás, sin arriesgar más de lo necesario. Si la prueba falla, revisá en este orden: permisos marcados, restricción de IP, reloj del sistema y estado del servicio.

Cuando la prueba pase, registrá los datos que vas a necesitar para auditar después: nombre de la clave, fecha de creación, permisos otorgados, IP autorizadas, responsable y fecha prevista de rotación. Guardá ese registro en el mismo lugar seguro donde está la clave, no en un archivo aparte que se pierda. Si el exchange muestra un identificador de la clave, copialo también: sirve para distinguirla cuando haya varias activas.

Conviene además anotar qué automatización usa esa clave y quién más tiene acceso a ese sistema. Si la clave se comparte entre varias personas, el riesgo crece y la rotación se vuelve más difícil de coordinar. En ese caso, evaluá crear claves separadas por persona o por servicio, aunque sean más para administrar.

Rotación y revocación sin romper la automatización

La rotación consiste en crear una clave nueva, ponerla en funcionamiento y recién después revocar la vieja. Si hacés lo contrario, la automatización se corta y perdés tiempo diagnosticando. El orden práctico es: crear la nueva con los mismos permisos y restricciones, probarla en paralelo, actualizar la configuración del sistema que la usa, confirmar que las operaciones siguen funcionando y por último revocar la anterior. Guardá la clave vieja hasta terminar la verificación, pero no la dejes activa más tiempo del necesario.

Definí un calendario realista y escribilo: por ejemplo, rotar cada cierto período o cuando cambie el responsable, cuando se sospeche una filtración o cuando se modifiquen los permisos. Si no podés fijar una fecha, al menos dejá anotado el criterio que dispara la rotación. También revisá periódicamente la lista de claves activas en la configuración de la cuenta y revocá las que ya no uses: claves viejas olvidadas son un riesgo silencioso.

La revocación debe ser inmediata si detectás actividad que no reconocés o si la clave pudo haber quedado expuesta. Después de revocar, revisá el historial de operaciones y los registros de acceso, y cambiá cualquier otro dato que pudiera estar comprometido. Si algo no cierra, contactá al soporte del exchange desde los canales oficiales y no desde enlaces que llegaron por mensaje.

Límite de riesgo: Argentina Crypto Guide

Los activos digitales son volátiles y los derivados pueden ampliar pérdidas. Este sitio no tiene inicio de sesión, cartera, depósito ni chat de soporte. Un enlace de referido solo registra atribución; no garantiza acceso, precio, recompensa, aprobación ni resultados de inversión. La disponibilidad puede variar por residencia, entidad y producto; el idioma o la marca no confirman acceso regional.

Control del escenario

• Escribí qué tarea concreta hará la clave y marcá solo los permisos mínimos necesarios, sin habilitar retiros si no se usan.
• Cargá la restricción de IP correcta y verificá el formato que pide la plataforma antes de confirmar.
• Probá la clave con una lectura o una operación mínima antes de conectarla a la operación real.
• Registrá nombre, fecha, permisos, IP y responsable de cada clave en un lugar seguro.
• Al rotar, creá y probá la clave nueva antes de revocar la anterior, y revocá de inmediato si sospechás una filtración.
• Revisá la lista de claves activas cada tanto y eliminá las que ya no uses.