Claves de API en exchanges de criptomonedas: qué permisos necesita de verdad tu herramienta fiscal y cuáles desactivas

Una clave de API no es una contraseña ni un acceso a tu cuenta en el sentido habitual. Es un poder con permisos que se marcan uno a uno y que entregas a un programa ajeno: a la herramienta fiscal que reúne tus operaciones para la declaración, al rastreador de cartera o al bot de trading. Lo decisivo son las casillas que marcas al crearla. Hemos mirado qué permisos ofrecen realmente los exchanges que usan los inversores alemanes y dónde están los ajustes de fábrica peligrosos.

Qué permite una clave de API en un exchange de criptomonedas

Una clave de API se compone de dos cadenas de caracteres, una clave pública y una contraparte secreta, con las que un programa se identifica ante el exchange sin conocer tu contraseña. Ese es justamente el punto: como la clave es una identidad propia, también rige para ella un paquete de permisos propio. Un programa que lee tu historial de operaciones para la declaración necesita permisos de lectura y nada más.

En la práctica ocurre a menudo lo contrario. Quien quiere terminar deprisa marca todo lo que se le ofrece, porque no sabe qué querrá consultar más adelante la herramienta de turno. La clave queda entonces años en una cuenta ajena cargando permisos que nunca se usaron. Para el bitcoin y para cualquier otro saldo en ese mismo exchange, ese poder vale exactamente igual.

El motivo: una oleada de phishing en septiembre apuntó justo a esas claves

El 10 de septiembre de 2026, unos atacantes lograron acceso a cuentas de clientes del proveedor de correo Brevo y enviaron a través de ellas mensajes que salían de los circuitos de envío auténticos de proveedores cripto conocidos. Entre los afectados había usuarios de fabricantes de carteras de hardware y de servicios fiscales y de seguimiento. Lo que distingue esta oleada del phishing corriente es la dirección del remitente: era auténtica, y las señales habituales no servían. Repasamos el incidente en nuestro informe sobre la brecha de Brevo y los datos de usuarios afectados.

Para quienes introdujeron credenciales en una página así, la recomendación de los proveedores es unánime: cambiar la contraseña, revisar la autenticación en dos factores y, si allí se habían anotado claves de un exchange, revocarlas directamente en el exchange y generarlas de nuevo. Este último punto se pierde con regularidad en medio del sobresalto, porque muchos inversores ya ni saben cuántas claves han repartido con los años.

Qué hemos comprobado y cómo

Este análisis lo ha elaborado cryptoticker.io el 16 de septiembre de 2026. Método: consultamos las páginas de documentación y ayuda de acceso público de los proveedores y evaluamos exclusivamente lo que allí figura en texto claro, sin abrir cuenta y sin generar ninguna clave. Se examinaron doce páginas de ocho proveedores y herramientas.

Tres limitaciones forman parte de esto, y no son un formalismo. Las páginas de ayuda de Bitvavo y Bitpanda respondieron a nuestra consulta automatizada con el código 403 y bloquean así a las máquinas, no a los lectores; su contenido lo confirmamos a través de la versión indexada públicamente. La página de ayuda de Binance respondió con el código 202 y no entregó texto alguno que pudiera evaluarse. Y no hemos medido si los exchanges aplican en funcionamiento los permisos documentados exactamente como los describen.

Kraken, Bitvavo y Binance: qué permisos concedes uno a uno

El hallazgo primero: los tres exchanges separan leer, operar y retirar en permisos distintos, y los tres ofrecen una restricción a direcciones IP fijas. La diferencia está en el detalle, y el detalle es lo que decide.

Kraken: el reparto más fino de los tres

Kraken desglosa los permisos más que sus competidores. La página de ayuda de Kraken sobre la creación de una clave de API enumera, entre otros, «Query Funds», «Deposit Funds» y «Withdraw Funds» para el apartado de fondos, así como «Query Open Orders & Trades», «Query Closed Orders & Trades», «Modify Orders» y «Cancel/Close Orders» para la operativa, además de «Query Ledger Entries» y «Export Data». Retirar es una casilla aparte: según la documentación, «Withdraw Funds» solo hace falta para los puntos de acceso de retirada. Hay un ajuste llamativo porque en otros sitios falta: Kraken permite una fecha de caducidad para la clave, expresamente también para plazos cortos como una semana.

Para una herramienta fiscal bastan, pues, los permisos de consulta junto con «Query Ledger Entries» y «Export Data». Todo lo demás puede quedarse desactivado.

Bitvavo: tres permisos y una frase que deberías conocer

Bitvavo conoce tres permisos: ver los datos de la cuenta y el saldo, operar, y retirar a una dirección externa o a una cuenta bancaria verificada. Al crearla fijas además las direcciones IP desde las que la clave es válida, y la creación exige una autenticación en dos factores activa. La frase más importante de la página de ayuda de Bitvavo sobre claves de API se refiere, sin embargo, a la retirada: las retiradas solicitadas mediante una clave de API se saltan la petición del segundo factor.

Quien crea que el segundo factor lo detiene todo llegado el caso se equivoca en esta vía concreta. La autenticación en dos factores protege tu inicio de sesión. Una clave con permiso de retirada trabaja al margen de ella.

Binance: permiso de operativa con caducidad incorporada

Binance separa la lectura, la operativa al contado y con margen y las retiradas en interruptores propios. La particularidad es una regla que muchos usuarios advierten solo cuando su bot se detiene de golpe: sin una dirección IP registrada, el permiso de operativa caduca por sí solo a los 90 días y se desmarca automáticamente. Con restricción de IP se mantiene. El permiso de retirada, a su vez, solo puede activarse si hay una restricción de IP establecida.

Este acoplamiento es el más estricto entre los proveedores examinados, y sirve de modelo: el permiso más peligroso solo se concede junto con el ajuste que lo desactiva.

Por qué una clave sin permiso de retirada puede costarte dinero igualmente

La suposición evidente dice: sin permiso de retirada, una clave robada no puede causar daño. Esa suposición es demasiado optimista, y la literatura especializada la contradice desde hace años. Investigadores de seguridad han descrito cómo los atacantes convierten en dinero claves sin permiso de retirada: operan con el saldo ajeno contra órdenes propias en mercados poco líquidos. El saldo nunca sale del exchange, solo cambia de dueño a precios absurdos. Dos patrones aparecen una y otra vez: la compra de un muro de venta y el encarecimiento deliberado de un token ilíquido.

Junto a eso hay una valoración más sobria, salida de la práctica de los desarrolladores, que no minimiza el daño pero lo sitúa: sin permiso de retirada, al ladrón solo le queda hacer operaciones extrañas, y esas son malas, limitadas en importe y detenibles revocando la clave. Ambas visiones son compatibles. Un permiso de operativa no evita la pérdida, la acota. Un permiso de retirada, en cambio, no conoce más límite que tu saldo.

En la práctica eso significa: si conectas un bot de trading, el permiso de operativa es inevitable, y deberías mantener pequeño el saldo de la cuenta conectada. Si conectas una herramienta fiscal, sencillamente sobra.

La lista blanca de IP deja sin valor una clave robada

La lista blanca de IP es el ajuste más eficaz disponible en este terreno y, a la vez, el que menos se establece. Determina desde qué direcciones de internet se acepta siquiera la clave. Un atacante que se haga con la cadena de caracteres no puede hacer nada con ella mientras no envíe además desde esa dirección exacta. Bitvavo lo formula con claridad en su ayuda: quien no registra ninguna lista de IP da a cualquiera que posea las claves la posibilidad de operar en la cuenta.

La pega está en el uso doméstico. Una herramienta fiscal recoge tus datos desde los servidores de su proveedor, no desde tu portátil. La dirección que corresponde es, por tanto, la del servicio, y hay que pedírsela; los proveedores serios la publican. Para un bot que gestionas tú en un servidor alquilado, la cosa es sencilla, porque su dirección es fija. Para un bot en el ordenador de casa con dirección cambiante resulta poco práctica, y justo ahí el campo se queda vacío.

Si no puedes establecer la restricción de IP, queda la caducidad como sustituto. Kraken ofrece para ello una fecha de caducidad y Binance la impone al permiso de operativa a los 90 días. Una clave que morirá de todos modos en tres meses es un problema bastante menor que otra que lleva desde 2021 en una cuenta olvidada.

Bitpanda, Trade Republic y Bison: cuando no hay ninguna clave que entregar

En los proveedores a través de los cuales compran de verdad muchos inversores alemanes, el panorama es distinto, y a su favor. Bitpanda concede claves de API con los apartados de operativa, transacciones y saldo, y esos accesos son exclusivamente de lectura. Una clave que no conoce ningún permiso de operativa ni de retirada tampoco puede perderlo. Quien conecta una herramienta fiscal ni siquiera tiene que tomar la decisión.

Trade Republic va un paso más allá y no ofrece interfaz oficial a los clientes particulares. Desde mayo de 2026 hay en su lugar una exportación en CSV del historial de transacciones que descargas y subes a la herramienta fiscal. Es más incómodo, porque lo haces a mano en cada actualización, y más seguro, porque no nace ningún poder duradero. Para Bison rige el mismo camino a través de la exportación.

Aquí anida un malentendido que se resiste: los apaños de la comunidad, es decir, las extensiones de navegador y las interfaces reconstruidas, no son accesos oficiales. Se apoyan en la sesión iniciada. Lo que les entregas no es un permiso estrictamente delimitado, sino tu inicio de sesión entero.

Herramientas fiscales y el deber alemán de colaboración

El motivo de que en Alemania circulen tantas claves de API está en el derecho tributario. Quien mantiene criptoactivos en su patrimonio privado debe poder acreditar fechas de adquisición, costes de adquisición y enajenaciones, porque de ello dependen el plazo anual y la cuantía de la ganancia. Ningún proveedor genera esos justificantes por sí solo en la forma que Hacienda quiere ver. Por eso muchos inversores recurren a una herramienta que reúne el historial y produce un desglose, y por eso entregan una clave.

Qué herramienta entra en consideración y cuánto cuesta lo desglosamos en nuestra comparativa de precios del software fiscal cripto; el repaso de los proveedores con sus vías de importación está en el apartado dedicado al software fiscal y los rastreadores de cartera. Para la cuestión de seguridad solo importa una cosa: una herramienta que para calcular impuestos exige un permiso de operativa o de retirada exige demasiado. No hay motivo fiscal alguno para poder operar desde un programa de impuestos.

Un segundo punto atañe al volumen de datos. Una clave con permiso de lectura da al proveedor acceso permanente a tu historial completo de operaciones y a tus saldos. Eso hace falta para el cálculo, pero convierte al proveedor en un objetivo rentable. Precisamente por eso los correos de septiembre alcanzaron a clientes de servicios fiscales y de seguimiento, y no solo a propietarios de carteras.

Revocar y regenerar claves de API: el orden correcto

Si sospechas que una clave se ha filtrado, rige un orden fijo, y el primer paso corresponde al exchange. Primero revocas la clave en los ajustes de tu cuenta del exchange. Desde ese momento la cadena de caracteres no vale nada, con independencia de quién la tenga. Solo después generas una nueva y la introduces en la herramienta. Quien invierte el orden y ordena primero en la herramienta deja la clave antigua funcionando.

Después llega el repaso del historial de la cuenta, y en dos cosas concretas: operaciones que no hayas ordenado tú y accesos o inicios de sesión desde direcciones desconocidas. Las operaciones llamativas en tokens poco líquidos son el patrón típico del ataque descrito arriba. Si encuentras algo, eso va sin demora al soporte del exchange, por escrito y con marcas de tiempo.

El tercer paso es el incómodo: un inventario completo de todas las claves que hayas entregado alguna vez. Cada exchange lista las claves activas en los ajustes, casi siempre con fecha de creación y último uso. Todo lo que no puedas asignar con seguridad, lo borras. Una clave que siga haciendo falta se anunciará en pocos días a través de una herramienta que ya no recoge datos. Es un precio pequeño por deshacerse de un poder olvidado.

Qué no muestra este análisis

La honestidad sobre los límites forma parte de cualquier trabajo propio. Hemos leído documentación, no hemos medido comportamientos. Si un exchange deniega de verdad un permiso desmarcado cuando llega el momento solo podría comprobarse con una cuenta real y órdenes reales, y eso no lo hemos hecho. Tampoco dice este análisis nada sobre con cuánto cuidado guarda cada proveedor fiscal o de seguimiento las claves que se le confían. Esa es la pregunta realmente abierta, y desde fuera no se puede responder.

Tampoco hemos examinado las ofertas que ni siquiera entraron en la selección porque en Alemania no desempeñan un papel reseñable. Los modelos de permisos allí pueden diferir. Fíate, por tanto, de la página de ajustes de tu propio proveedor y no de un repaso, tampoco de este.

Revisar las claves de API: lo que te llevas de aquí

1. Abre hoy el listado de API de tu exchange y cuenta cuántas claves hay. Todo lo que no puedas asignar a una herramienta en uso se borra. Qué exchange ofrece ese listado y con qué claridad lo tienes en nuestro apartado sobre los mejores exchanges de criptomonedas.
2. Quita a toda clave que solo deba entregar datos el permiso de operativa y el de retirada. Para una herramienta fiscal basta con leer. Qué herramientas se apañan con permisos de solo lectura lo muestra el apartado dedicado al software fiscal y los rastreadores de cartera.
3. Pon una restricción de IP y, si no es posible, una fecha de caducidad. En un bot que gestionas tú, la dirección del servidor es fija y el ajuste se despacha en dos minutos; los proveedores para eso los encuentras en el apartado sobre los bots de trading cripto.

Revisar los permisos en tu exchange lleva menos tiempo que leer este texto. La diferencia solo se ve el día en que llega un correo desde una dirección de remitente auténtica y te pide algo que no debe recibir.

(16 de septiembre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)