¿Es seguro conectar la API del exchange a un software fiscal?

Usar una clave API para que un rastreador de impuestos o de portafolio lea tus operaciones es práctico y, bien configurado, de bajo riesgo: si la clave solo puede leer, nadie puede operar ni retirar con ella. Lo que conviene vigilar es qué permisos activas, quién guarda la clave, qué datos personales acumula el proveedor y cuánto tiempo dejas la conexión abierta.

Qué datos ve un rastreador cuando le das tu API

Aunque la clave sea de solo lectura, el proveedor puede acceder a:

• Todo tu historial de operaciones, depósitos y retiros.
• Saldos actuales y pasados de cada activo.
• Direcciones de depósito y, en algunos casos, de retiro.
• Datos de comisiones, recompensas o productos de rendimiento.

Esta información, junto con tu correo y tu nombre en la cuenta del rastreador, dice mucho sobre tu patrimonio. Por eso no basta con que la clave no pueda mover fondos: también importa cómo protege los datos el proveedor.

Permisos: activa solo lo necesario

Al crear la clave en el exchange, revisa cada casilla:

• Lectura (habilitada): es lo único que necesita un software de impuestos o de portafolio.
• Trading spot, margen o futuros (desactivado): un rastreador no debería operar por ti.
• Retiros (desactivado): nunca lo actives para una herramienta de reportes.
• Transferencias internas o entre subcuentas (desactivado).

En Binance el permiso de lectura se llama “Enable Reading” y solo permite consultar datos de la cuenta; una clave HMAC sin restricción de IP solo puede tener lectura, y el permiso de retiro exige restringir por IP. En OKX los permisos básicos son Read, Trade y Withdraw (más Transfer para mover fondos entre tus cuentas): para un rastreador basta con Read.

Si una herramienta te pide permisos de trading o de retiro “para funcionar”, desconfía o busca otra opción. Algunas permiten subir el CSV exportado en lugar de conectar la API, lo que reduce aún más la exposición.

Restringe por IP y separa claves

• Si el proveedor publica las IP desde las que se conecta, añádelas en la restricción de IP de la clave (OKX admite hasta 20 por clave).
• Crea una clave distinta para cada herramienta. Así puedes revocar una sin afectar a las demás.
• Ponle un nombre descriptivo a cada clave (proveedor y fecha) para reconocerla luego.

Cómo elegir un proveedor de impuestos o portafolio

Antes de conectar, revisa:

• Dónde está registrada la empresa y bajo qué legislación de privacidad opera.
• Cómo almacena las claves API y si ofrece doble factor en su propia cuenta.
• Si permite borrar tus datos y las claves cuando cancelas.
• Si tiene historial de incidentes de seguridad y cómo los comunicó.
• Que el sitio al que entras es el dominio oficial, no un enlace recibido por mensaje o anuncio.

Nunca conectes tu API a través de enlaces de terceros no verificados ni a “bots de rentabilidad” que dicen calcular impuestos y operar a la vez.

Lleva un inventario de tus claves API

Una tabla simple te ahorra problemas:

• Proveedor y finalidad.
• Fecha de creación y permisos activos.
• IP permitidas.
• Fecha prevista de revocación y fecha real en que la revocaste.
• Informes exportados con esa clave.

Revisa la lista al menos al cerrar cada periodo fiscal y elimina lo que ya no uses. No cuentes con que la plataforma las borre por ti: OKX, por ejemplo, solo elimina automáticamente tras 14 días sin uso las claves sin IP vinculada que tienen permisos de trading o retiro; las claves vinculadas a IP o de solo lectura no caducan.

Qué hacer si sospechas un mal uso

1. Revoca la clave desde la gestión de API del exchange.
2. Revisa el historial de inicios de sesión y las operaciones recientes.
3. Cambia la contraseña del exchange y del rastreador.
4. Comprueba que no hay direcciones de retiro nuevas en la whitelist.
5. Si ves operaciones o retiros que no hiciste, contacta con el soporte oficial del exchange y conserva capturas y horas exactas.

Preguntas frecuentes

¿Una clave API de solo lectura puede robar mis fondos? Con solo lectura no se pueden hacer operaciones ni retiros. El riesgo pasa a ser de privacidad: alguien con la clave puede ver tu historial y saldos.

¿Es mejor subir el CSV que conectar la API? Subir el CSV evita mantener una conexión abierta, pero requiere que lo actualices a mano. Para muchos usuarios es una buena opción si solo necesitan el informe anual.

¿Debo borrar la clave cuando termine la declaración? Si no vas a usar el rastreador de forma continua, sí: revócala y crea una nueva cuando la necesites.

¿Qué hago si el rastreador me pide la clave secreta otra vez por correo? No respondas al correo. Entra directamente en la web oficial del proveedor y comprueba si hay algún aviso. Las solicitudes de claves por correo suelen ser intentos de phishing.