API de exchange de criptomonedas: permisos, firma y límites de tasa

Lo primero que entregas a una API de exchange de criptomonedas no es código. Es una clave. Todas las guías te dicen que la mantengas a salvo; casi ninguna te muestra lo que la clave puede hacer realmente en un exchange específico, que es donde reside el riesgo real. Este recorrido utiliza la documentación oficial de la API de WEEX como muestra de trabajo y responde a cuatro preguntas en orden: qué es la API, qué puede hacer, cómo se construye una llamada firmada y qué sucede si la clave se filtra.

Cada parámetro, límite de tasa y código de error a continuación proviene de la documentación oficial de la API de WEEX (FAQs de spot y futuros actualizadas por última vez el 14-04-2026), verificadas en agosto de 2026. Los documentos cambian entre versiones: verifica contra las páginas en vivo antes de implementar.

Qué hace realmente una API de exchange de criptomonedas

Una API de exchange de criptomonedas expone dos familias de endpoints, y la división depende de si la solicitud lleva tu identidad.

• Endpoints públicos devuelven datos de mercado y configuración: velas, profundidad del libro de órdenes, operaciones recientes, lista de símbolos negociables. Sin autenticación, abiertos a cualquiera, limitados por tasa según IP.
• Endpoints privados tocan tu cuenta: saldos, posiciones, colocación de órdenes, cancelación. Cada solicitud debe llevar una firma que el servidor verifica antes de ejecutar nada.

Esa división debería guiar tu arquitectura. Los datos de mercado pueden ejecutarse en cualquier lugar: un endpoint público filtrado no te cuesta nada. Las llamadas privadas pertenecen a un host cuya IP de salida controles. Muchos equipos ejecutan ambos en un mismo proceso porque es conveniente, y luego una vulnerabilidad de dependencia en el lado de datos de mercado entrega la clave de trading.

WEEX sirve REST de spot desde https://api-spot.weex.com, con rutas de spot bajo /api/v3/ y futuros bajo /capi/v3/. Los prefijos no son intercambiables, y mezclarlos es la causa más común de un 404 inexplicable.

Permisos de clave API: lo que la mayoría de las guías hace mal

Casi todos los artículos sobre "seguridad de claves API" en la primera página de Google asumen tres niveles de permisos (lectura, trading, retiro) y te dicen que dejes el retiro desactivado. Ese consejo está bien, pero oculta una pregunta más útil: ¿ofrece el exchange un permiso de retiro en absoluto?

En WEEX, no es así. Los permisos disponibles al crear una clave son estos, y son independientes entre sí:

Esto importa más que cualquier detalle de cifrado. Cuando lees sobre "una filtración de clave API que vació una cuenta", los fondos generalmente no fueron retirados: el atacante usó el permiso de trading para ejecutar un pump-and-dump en un par sin liquidez, comprando en la cuenta de la víctima a precios inflados y vendiendo sus propias bolsas en ella. No tener permiso de retiro no significa que los activos estén seguros. Significa que el ataque cambia de robo a pérdida inducida.

Las claves vienen por defecto en Readonly. Debes marcar un permiso de trading deliberadamente, que es el valor predeterminado correcto y también la razón por la que una primera orden a menudo devuelve -1052 (Permisos insuficientes). Cada cuenta puede tener hasta 10 grupos de claves; divídelos por propósito en lugar de compartir uno. Una clave de solo lectura para monitoreo y una clave de trading separada para la estrategia significa que cuando algo sale mal, puedes identificar y revocar exactamente una.

Crear una clave te entrega tres credenciales con tres trabajos diferentes:

La frase de contraseña no se puede cambiar ni recuperar. Guárdala en un administrador de secretos junto con la SecretKey, no en un archivo de configuración en tu repositorio. El detalle a nivel de campo está en la documentación de preparación de integración de API de WEEX.

Cómo firmar una solicitud: construyendo el encabezado ACCESS-SIGN

Los endpoints privados dependen del encabezado ACCESS-SIGN. La regla es corta; el modo de fallo es que un carácter incorrecto en la concatenación rompe todo con un error que apunta a otro lado.

WEEX concatena en este orden, ejecuta HMAC SHA256 con tu SecretKey, luego codifica el resultado en Base64:

timestamp + method.toUpperCase() + requestPath + "?" + queryString + body

Cuando queryString está vacío, elimina el signo de interrogación: timestamp + method + requestPath + body.

Consultando la profundidad de BTCUSDT:

String to sign: 1591089508404GET/api/v3/market/depth?symbol=BTCUSDT&limit=20
Signature = base64.encode(hmac_sha256(secretKey, message))

Tres detalles causan la mayoría de las integraciones fallidas:

1. La marca de tiempo está en milisegundos y debe estar dentro de los 30 segundos de la hora del servidor. WEEX compara ACCESS-TIMESTAMP contra su propio reloj y rechaza cualquier cosa fuera de ese rango. Las instancias en la nube se desvían; consulta el endpoint de hora del servidor al inicio y corrige contra él en lugar de confiar en Date.now() local.
2. El método debe estar en mayúsculas. Enviar get en lugar de GET rompe la firma, pero la respuesta se lee como un fallo de autenticación, lo que hace que la gente busque una clave incorrecta.
3. Los símbolos distinguen entre mayúsculas y minúsculas y deben estar en mayúsculas. btcusdt no está normalizado. Para endpoints de órdenes, toma el valor del símbolo de la respuesta /products en lugar de construirlo a mano.

El ejemplo completo, incluida la concatenación del cuerpo para órdenes POST, está en la documentación de firma de solicitudes de WEEX. Haz que funcione un GET antes de intentar un POST.

Límites de tasa: qué activa un 429 y cómo retroceder

Exceder un límite devuelve un HTTP 429 y conlleva una prohibición de aproximadamente 10s. WEEX no ejecuta un contador global: los límites se definen por dimensión:

Fuente: FAQs de API de spot y futuros de WEEX, última actualización 14-04-2026.

Vale la pena interiorizar dos mecánicas. La colocación de órdenes se mide por cuenta (userId) y no consume peso de IP: el contador de IP en esos encabezados de respuesta dice 0. Todo lo demás se mide por peso de IP, con endpoints más pesados que conllevan mayor peso. Por lo tanto, varias máquinas que comparten una IP de salida competirán por el presupuesto de datos de mercado pero no por el presupuesto de órdenes.

No calcules tu presupuesto restante con un contador local. Cada respuesta lleva X-USED-WEIGHT-1M y X-REMAINING-WEIGHT-1M; las solicitudes de órdenes llevan adicionalmente X-ORDER-COUNT-* y X-ORDER-REMAINING-*. Retrocede basándote en los encabezados en lugar de codificar "5 solicitudes por segundo", y ten en cuenta que los documentos en inglés y chino de WEEX actualmente no están de acuerdo sobre el límite de órdenes spot (el inglés dice 100/min, el chino dice 100/10s). Los encabezados de respuesta son la única fuente de verdad.

¿Es segura una API de exchange de criptomonedas? Tres eslabones en la cadena

La seguridad aquí es una propiedad de tu configuración, no solo del exchange. El exchange posee un eslabón de tres.

Eslabón uno: almacenamiento de claves. La SecretKey se muestra una vez y nunca más, por lo que las filtraciones se originan de tu lado: confirmadas en Git, integradas en un bundle de frontend, escritas en registros, pegadas en un chat de trabajo. Variables de entorno o un administrador de secretos, más una regla sin excepciones: las claves nunca viajan a través de herramientas de mensajería.

Eslabón dos: lista blanca de IP. WEEX te permite vincular direcciones IP cuando creas una clave y recomienda explícitamente habilitarlo. Una clave no vinculada funciona desde cualquier lugar de la tierra en el momento en que se filtra; una vinculada obliga al atacante a comprometer tu servidor primero. No establezcas 0.0.0.0/0 en producción: eso es lo mismo que no establecerlo.

Eslabón tres: privilegio mínimo. Volviendo a la tabla de permisos: los procesos de monitoreo obtienen Readonly, para siempre. Una estrategia de spot no tiene razón para mantener Futuros. Esto no es meticulosidad, es control del radio de explosión.

Dos trampas operativas están documentadas pero son fáciles de pasar por alto:

• Una clave nueva o recién modificada tarda aproximadamente 15 minutos en propagarse globalmente. Un error de permiso inmediatamente después de la configuración suele ser retraso de propagación, no una mala configuración.
• Activar el control de riesgos de la plataforma (inicios de sesión sospechosos, inundaciones de solicitudes no válidas) puede deshabilitar los permisos de API automáticamente, y la reincorporación pasa por soporte. No hagas pruebas de carga con una clave de producción.

Un juicio que no encontrarás en las guías genéricas: para la mayoría de los usuarios minoristas y de fondos pequeños, la probabilidad de robo de claves está muy por debajo de la probabilidad de perder dinero debido a tu propio manejo de errores bajo presión de límite de tasa. Configura la seguridad correctamente, luego dedica la misma energía a los reintentos y a la colocación de órdenes idempotentes. El rendimiento esperado es mayor.

Prueba primero en trading en papel: cinco errores que afectan a las nuevas integraciones

WEEX ejecuta endpoints de trading en papel en el lado de futuros usando SUSDT simulado, bajo /capi/v3/sim/: sim/balance, sim/position/allPosition, sim/order, sim/order/history, con posiciones duales en modo cobertura soportadas. Ejecutar una nueva estrategia de principio a fin allí es la depuración más barata que harás.

Antes de que entre capital real, mantén esta tabla cerca:

Dos cosas más a resolver por adelantado: WEEX actualmente no admite trading de señales de TradingView ni API FIX, por lo que las estrategias que dependen de cualquiera necesitan otra ruta; y los endpoints V1/V2 están siendo obsoletos, por lo que el nuevo trabajo debería apuntar directamente a V3. La pregunta y respuesta completa sobre permisos y límites de tasa se encuentra en la FAQ de API de spot de WEEX, y los constructores de futuros deberían comenzar desde la documentación de API de futuros.

El orden correcto para integrar una API de exchange de criptomonedas

Volviendo a las cuatro preguntas. Una API de exchange de criptomonedas es el punto de entrada programático a un exchange, dividido en endpoints públicos que leen y endpoints privados que actúan. Cómo la uses depende de qué permiso marques: Readonly, Spot y Futuros son independientes, y WEEX no expone retiros a través de la API en absoluto. Cómo la llames se reduce a la firma: HMAC SHA256 más Base64, con una tolerancia de marca de tiempo de 30 segundos. Si es segura depende de ti; el exchange suministra vinculación de IP y niveles de permisos, y el resto es tu disciplina operativa.

Si recuerdas una cosa, recuerda la secuencia: clave de solo lectura primero para probar datos de mercado y consultas, trading en papel después para validar la estrategia, y solo entonces permisos de trading, vinculación de IP y fondos reales. Invertir ese orden tiende a ser costoso.

¿Listo para construir? Comienza en el centro de desarrolladores de WEEX, crea una clave, configura los permisos y trabaja a través de los endpoints V3 uno por uno.

FAQ

1. ¿Cuesta dinero o requiere una solicitud una API de exchange de criptomonedas?

En WEEX, no se aplica ningún proceso de calificación: inicia sesión en la plataforma web y autoservicio, hasta 10 grupos de claves API por cuenta. Esto difiere de las API de corretaje de acciones, que comúnmente restringen el acceso detrás de requisitos de capital, volumen o antecedentes profesionales.

2. Si mi clave API se filtra, ¿puede alguien retirar mis fondos?

No a través de la API de WEEX: el conjunto de permisos es solo Readonly, Spot y Futuros, sin alcance de retiro. Una clave con permiso de trading aún puede ser abusada para operar contra ti en pares sin liquidez, moviendo valor hacia afuera como pérdidas realizadas. Elimina el grupo de claves inmediatamente si sospechas de exposición.

3. ¿Necesito una clave API solo para datos de mercado?

No. Las velas, profundidad, tickers y listas de símbolos son endpoints públicos, no autenticados y limitados por tasa según IP. Solo los endpoints de cuenta y órdenes requieren una firma.

4. ¿Por qué una clave API nueva devuelve un error de permisos insuficientes?

Las claves nuevas o recién modificadas tardan aproximadamente 15 minutos en propagarse por el sistema. Si -1052 persiste después de esa ventana, verifica si realmente se marcó Spot o Futuros.

5. ¿Qué pasa si olvido la frase de contraseña de la API?

No se puede recuperar ni cambiar. Elimina el grupo de claves, crea uno nuevo y actualiza cada consumidor de esa credencial.

6. ¿WEEX admite TradingView o API FIX?

Ninguno es compatible a partir de agosto de 2026. Los equipos que necesiten acceso institucional de baja latencia deben evaluar si REST y WebSocket cumplen con sus requisitos antes de comprometerse.

Advertencia de riesgo

Los activos cripto son altamente volátiles, y el trading programático a través de una API de exchange de criptomonedas puede resultar en una pérdida parcial o total de capital. Los riesgos específicos de la API incluyen actividad de cuenta no autorizada tras la exposición de la clave, órdenes erróneas en cascada causadas por errores de estrategia o manejo débil de errores, órdenes dejadas sin gestionar tras una prohibición de límite de tasa y riesgo de liquidación amplificado al operar futuros apalancados. Implementa un manejo exhaustivo de excepciones y lógica de reintento, vincula listas blancas de IP a cada clave, aplica permisos de privilegio mínimo y compromete solo el capital que puedas permitirte perder. Los parámetros de endpoint y límites de tasa descritos aquí fueron verificados en agosto de 2026 y pueden cambiar con las actualizaciones de la plataforma: siempre remítete a la documentación oficial actual de la API de WEEX. Este artículo no es asesoramiento de inversión.