Permisos de clave API

Una clave API es una credencial que permite a un programa actuar sobre una cuenta de una plataforma sin contraseña, y sus permisos deciden hasta dónde puede llegar. Las plataformas suelen separar lectura, negociación y retirada, y esa separación es todo el mecanismo de seguridad: una clave de lectura consulta saldos, una de negociación mueve posiciones y solo una con permiso de retirada puede sacar fondos. La mayoría de las herramientas de terceros necesita lectura y negociación y nada más, así que una petición de permiso de retirada conviene rechazarla de plano. Donde existan, importan otros dos controles —limitar la clave a direcciones IP concretas y ponerle caducidad—, porque una clave filtrada sin ninguno de los dos la puede usar cualquiera, desde cualquier sitio y sin límite de tiempo. Las claves son independientes de la contraseña y de la autenticación de dos factores, así que cambiar la contraseña no desactiva una clave ya emitida.