Para conectar un bot de trading cuantitativo o herramientas de terceros con Binance, necesitas crear una API Key. Pero si configuras mal los permisos de la API, en el mejor caso no funcionaran las funciones y en el peor caso tus activos estaran en riesgo. Como elegir entre los tres tipos de permisos?
Para usar la funcion de API necesitas primero registrarte en Binance y completar la verificacion de identidad. Puedes gestionar las claves API en la APP de Binance o en la version web.
Cuales son los tres permisos de la API?
Al crear una API Key, debes elegir que permisos activar:
Permiso de lectura (Read):
- Consultar saldo de cuenta
- Ver historial de transacciones
- Obtener datos de cotizaciones del mercado
- Ver informacion de posiciones
- No puede realizar ninguna operacion de modificacion
Permiso de trading (Trade/Enable Trading):
- Incluye todas las funciones del permiso de lectura
- Puede colocar ordenes de compra y venta (spot, futuros, etc.)
- Puede cancelar ordenes
- No puede retirar fondos
Permiso de retiro (Enable Withdrawals):
- Incluye todas las funciones de los dos permisos anteriores
- Puede iniciar retiros de criptomonedas
- Es el de mayor riesgo
Nivel de seguridad
Lectura < Trading < Retiro
Cuanto mas alto el nivel de permiso, mayor es el riesgo y las consecuencias si es comprometido. El principio es activar solo los permisos minimos que necesites.
Que permisos elegir segun el caso?
Solo ver cotizaciones y analisis de datos: Solo activa lectura. Para investigacion de datos o tableros de cotizaciones.
Bot de trading cuantitativo: Activa lectura + trading. El bot necesita consultar cotizaciones y colocar ordenes automaticamente. La gran mayoria de herramientas de trading solo necesitan estos dos permisos.
Retiro automatizado (muy poco comun): Requiere activar permiso de retiro. Generalmente no se recomienda, a menos que tengas una necesidad de negocio muy especifica y medidas de seguridad adecuadas.
Pasos para crear una API Key
En la version web:
- Inicia sesion en el sitio oficial de Binance
- Ve a Configuracion de cuenta → Gestion de API
- Ingresa un nombre de etiqueta para la API (para identificar su uso)
- Completa la verificacion de seguridad (2FA)
- El sistema genera la API Key y la Secret Key
- Guarda la Secret Key inmediatamente; solo se muestra una vez
- Configura los permisos necesarios
- Configura la lista blanca de IPs (altamente recomendado)
Aviso importante sobre la Secret Key
Al crear la API se generan dos valores:
- API Key: Equivale al nombre de usuario; se puede consultar multiples veces
- Secret Key: Equivale a la contrasena; solo se muestra una vez al crearla
Si no guardaste la Secret Key, solo puedes eliminar esa API y crear una nueva. Asi que copiala y guardala en un lugar seguro inmediatamente despues de crearla.
Es obligatorio configurar la lista blanca de IPs?
Altamente recomendado. La lista blanca de IPs limita que solo las direcciones IP especificadas puedan usar esta API Key. Incluso si se filtra la API Key, un atacante sin la IP correspondiente no podra usarla.
Como configurarla: En la pagina de gestion de API, busca tu API Key y agrega las direcciones IP permitidas.
Usa un servidor con IP fija: Si tu bot corre en un servidor en la nube, agrega la IP del servidor a la lista blanca.
Que hacer si tu IP domestica cambia: Si tu IP no es fija, puedes optar por no configurar la lista blanca, pero asegurate de tener otras medidas de seguridad y no actives permisos de retiro.
Mejores practicas de seguridad para la API
- Principio de minimo privilegio: Solo activa los permisos que necesitas; si no necesitas retiros, no los actives
- Configura lista blanca de IPs: Si puedes, hazlo; reduce drasticamente el riesgo
- Rotacion periodica: De vez en cuando elimina la API antigua y crea una nueva
- No compartas: No le des la API Key y Secret Key a nadie
- Verifica plataformas de terceros: Al usar plataformas de trading de terceros, confirma su seguridad y reputacion
- Activa 2FA: Activa Google Authenticator u otra verificacion de dos factores en tu cuenta
- Monitorea la actividad de la API: Revisa periodicamente los registros de trading de la API; si detectas anomalias, eliminala inmediatamente
Restricciones adicionales del permiso de retiro
Incluso con el permiso de retiro activado, Binance tiene medidas de seguridad adicionales:
- Lista blanca de direcciones de retiro: Solo se puede retirar a direcciones preconfiguradas
- Periodo de espera de 24 horas: Despues de agregar una nueva direccion de retiro hay que esperar
- Limites de retiro: Los retiros por API pueden tener limites adicionales
Cuantas APIs se pueden crear por cuenta?
Binance permite crear multiples API Keys por cuenta. Puedes crear diferentes APIs para diferentes propositos, con diferentes permisos cada una. Por ejemplo, una de solo lectura para analisis de datos y otra con permisos de trading para el bot cuantitativo.
Que hacer si te roban la API Key?
- Inicia sesion inmediatamente en Binance y elimina todas las API Keys
- Cambia la contrasena de tu cuenta
- Verifica si hay transacciones o retiros anomalos
- Si hay perdida de activos, contacta inmediatamente al soporte de Binance
- Investiga la causa de la filtracion para evitar que se repita
La API es el puente entre Binance y las herramientas externas; la configuracion de seguridad esta directamente relacionada con la seguridad de tus activos. Es mejor dedicar unos minutos extra a configurar bien las opciones de seguridad que ignorar los riesgos por comodidad.