Permisos de Clave de API

Una clave de API es la credencial con la que un programa alcanza una cuenta de trading sin contraseña, y sus permisos deciden qué puede hacer ese programa. Un acceso bien diseñado es granular: claves de solo lectura capaces de obtener saldos, posiciones e historial pero no de operar; claves de negociación que abren y cierran posiciones; y, separada de ambas, cualquier capacidad de mover dinero, que no debería ir asociada a una clave de negociación en absoluto. Las reglas son las de cualquier credencial capaz de gastar. Emite una clave por aplicación, para poder revocar una sin romper las demás; concede el permiso más estrecho que exija la tarea; restringe la clave a las direcciones desde las que se usará, donde la plataforma lo permita; y rota las claves por calendario y de inmediato tras retirar cualquier máquina que haya guardado una. Una clave pegada en un panel de terceros, en una hoja de cálculo o en una ventana de chat es una credencial viva bajo custodia ajena.