Clave API de solo lectura: Binance, Bybit, OKX y MT5
Qué permite una clave API de solo lectura y por qué es segura: permisos en Binance, Bybit y OKX, contraseña de inversor de MT5, vínculo a IP, filtraciones.
Una clave API de solo lectura ve tu saldo, tus posiciones y tu historial de operaciones, pero no puede colocar órdenes, transferir ni retirar. Por eso puedes dársela a un diario de trading o a una herramienta de impuestos: aunque te la roben, expone datos, no la cuenta. Abajo: qué permisos dejar en Binance, Bybit y OKX, qué da MetaTrader 5 en lugar de una clave, cuándo vincular una clave a una dirección IP y qué hacer si una clave se filtra.
Qué puede hacer una clave de solo lectura
Una clave API es un par de cadenas: la clave y la clave secreta. Con ellas, un programa entra en tu cuenta del exchange sin tu contraseña y hace lo que permitan los permisos de la clave. Hay tres tipos de permiso:
- Lectura. Saldos, posiciones, órdenes e historial de operaciones.
- Trading. Colocar, modificar y cancelar órdenes en tu nombre.
- Retiro y transferencia. Sacar dinero de la cuenta o moverlo entre cuentas.
Una clave que puede operar ya da acceso a tu dinero. Si la roban de un servicio o de tu equipo, un desconocido puede operar en tu cuenta y, con permisos de retiro, llevarse también los fondos. Binance lo dice claramente: introducir tus claves en una plataforma de terceros es un riesgo de seguridad.
Una clave de solo lectura elimina ese riesgo. Aun así, expone datos: tu historial de operaciones y el tamaño de tu cuenta. Dásela solo a servicios en los que confíes, y a cada uno, su propia clave.
Qué permisos dejar: Binance, Bybit, OKX y MetaTrader 5
Cada plataforma usa sus propios nombres. El esquema sigue las páginas de ayuda y la documentación de los exchanges y de MetaQuotes, con datos del 8 de octubre de 2026. No es una captura de pantalla: las pantallas cambian según la región y la versión.
| Dónde | Dejar | Desactivar | Cómo lo comprueba un servicio |
|---|---|---|---|
| Binance | Enable Reading | Enable Spot & Margin Trading, Enable Margin Loan, Repay & Transfer, Enable Futures, Enable Withdrawals | la solicitud apiRestrictions: enableReading = true, todos los demás permisos, false |
| Bybit | Read-Only | Read-Write | la solicitud query-api: readOnly = 1 |
| OKX | Read | Trade, Withdraw | la solicitud account/config: perm = read_only |
| MetaTrader 5 | contraseña de inversor | contraseña principal | no hay claves: la propia contraseña fija los permisos |
Si un diario o una herramienta de análisis pide permisos de trading o de retiro, es un motivo para decir que no. Leer es todo lo que necesitan.
Cómo crear la clave en cada exchange
Binance
Primero, Binance pide tres cosas: la autenticación en dos pasos (2FA), un depósito de cualquier importe en tu billetera spot (Spot Wallet) y la verificación de identidad completada.
- Abre API Management. Icono del perfil → Account → API Management.
- Crea la clave. Create API → System generated, ponle un nombre y confirma con 2FA o con una passkey.
- Guarda la clave secreta. La Secret Key solo se ve al crearla; después queda oculta.
- Revisa los permisos. Edit restrictions: solo está marcada Enable Reading. Viene activada por defecto.
Desde el 30 de enero de 2023, una clave generada por el sistema sin restricción de IP solo puede leer. Binance solo activa los retiros en una clave vinculada a direcciones IP.
Bybit
Las claves solo se crean en la web; la app no puede hacerlo. Una cuenta nueva puede tener bloqueada la creación de claves durante sus primeras 48 horas.
- Abre API Management. Icono del perfil, arriba a la derecha → API.
- Crea la clave. Create New Key → System-generated API Keys → API Transaction, y ponle un nombre.
- Elige Read-Only. La otra opción, Read-Write, permite operar.
- Marca las secciones. Por ejemplo, Unified Trading. Una clave Read-Only solo las leerá.
- Confirma y guarda la clave secreta. Tu código de Google Authenticator y, después, la API Key y la API Secret. La clave secreta se muestra una sola vez.
OKX
- Abre la sección API. Perfil → API; en la web puede llamarse API and connections. Haz clic en Create API key.
- Rellena el formulario. Un nombre, la cuenta (la principal o una subcuenta) y el propósito de la clave.
- Deja un solo permiso: Read. Deja desactivados Trade y Withdraw.
- Pon una passphrase. Es la contraseña propia de la clave. No podrás verla después: si la pierdes, elimina la clave y crea una nueva.
- Guarda las tres cadenas. API key, Secret key y Passphrase.
En algunas regiones, OKX solo deja crear una clave si la cuenta tiene más de 100 USD. Los residentes del Espacio Económico Europeo y de Estados Unidos tienen sus propios sitios de OKX, y sus claves funcionan a través de eea.okx.com y us.okx.com. Comprueba que el servicio admite el tuyo.
MetaTrader 5: la contraseña de inversor
Una cuenta de MetaTrader 5 tiene dos contraseñas. La contraseña principal da todos los permisos. La contraseña de inversor permite ver la cuenta y analizar los precios, pero no operar. Esa es la que recibe un diario en lugar de una clave.
Puedes cambiar la contraseña de inversor en el terminal: Herramientas → Opciones → la pestaña Servidor → Cambiar → Cambiar contraseña de inversor. Si el bróker obliga a cambiar la contraseña principal, la contraseña de inversor también se anula.
¿Conviene vincular la clave a una dirección IP?
Vincular a IP significa que la clave solo acepta solicitudes desde las direcciones que indiques. Los exchanges lo recomiendan: una clave vinculada y robada no funcionará desde el equipo de otra persona.
La regla es sencilla. Si un servicio publica sus direcciones IP, introdúcelas. Si no, una clave de solo lectura puede quedarse sin vincular: de todos modos no puede operar ni retirar. Pero cada exchange tiene sus propios límites para las claves sin vincular.
| Exchange | Una clave sin vínculo a IP |
|---|---|
| Bybit | Deja de funcionar a los 90 días, o 7 días después de que cambies la contraseña de la cuenta |
| Binance | Se elimina tras 30 días sin uso |
| OKX | Una clave con Trade o Withdraw se elimina tras 14 días sin uso |
Un servicio que usa la clave todo el tiempo nunca llega a la regla de 30 días de Binance. En Bybit, en cambio, una clave sin vincular deja de funcionar a los 90 días. Qué elegir al conectar un diario en cada exchange, y cómo renovar una clave de Bybit, se explica en nuestras páginas sobre cómo conectar Binance, Bybit y OKX.
Qué hacer si una clave se filtra
Bybit enumera dónde nunca debe ir una clave secreta: capturas de pantalla y videos, código fuente y repositorios públicos, mensajes por canales inseguros. Si la clave secreta pudo llegar a otra persona:
- Elimina la clave enseguida. En Binance, en API Management; en Bybit, con Delete en la columna Action (solo en la web); en OKX, en la sección API. Una clave eliminada no le sirve a nadie.
- No confíes en un cambio de contraseña. En Bybit, una clave sin vincular sigue funcionando 7 días después de que cambies la contraseña de la cuenta. Solo eliminarla la desactiva.
- Revisa el historial. Órdenes, operaciones, transferencias y retiros de los últimos días. En OKX, el Security Center muestra cuándo se usaron claves con Trade o Withdraw y sin vínculo a IP.
- Crea una clave nueva. De solo lectura, y una distinta para cada servicio, para que una filtración en uno no te obligue a arreglarlo todo.
- Escribe al soporte del exchange. Si ves operaciones o retiros que no hiciste.
Una lista de control antes de entregar una clave
- Un solo permiso: lectura. Compruébalo en la página de API después de crear la clave, no solo mientras la creas.
- Una clave por servicio. Así eliminas la que ya no necesitas sin tocar las demás.
Un diario conectado con una clave registra las operaciones por su cuenta, con comisiones, financiación y MAE y MFE. Si llevas tu diario a mano, no necesitas ninguna clave: basta con la plantilla de diario de trading para Excel, y qué anotar se explica en Cómo llevar un diario de trading.
Fuentes
- Binance: How to Create API Keys on Binance?: los requisitos, los pasos, Enable Reading; desde el 30 de enero de 2023, una clave sin restricción de IP solo puede leer; los retiros necesitan una restricción de IP.
- Binance: Frequently Asked Questions on API: la Secret Key solo se ve al crearla; las plataformas de terceros son un riesgo de seguridad.
- Binance: How to Use an API Key Securely: las claves sin vincular inactivas durante 30 días se eliminan; una clave por propósito; cambia una clave enseguida si sospechas que está comprometida.
- Binance Developers: Wallet Quick Start: la restricción por defecto de una clave nueva es Enable Reading.
- Binance Developers: Margin Trading Best Practice: los permisos Enable Spot & Margin Trading y Enable Margin Loan, Repay & Transfer.
- Binance: How to Create an API Key for a Futures Lead Trading Portfolio?: el botón Edit restrictions y el permiso Enable Futures.
- Binance: How to Download and Set up Binance Gift Card API: el permiso Enable Withdrawals.
- Binance Developers: Get API Key Permission: la solicitud apiRestrictions y sus campos.
- Bybit: How to Create Your API Key?: solo en la web, 48 horas para una cuenta nueva, los pasos de API Management.
- Bybit EU: What Is API Trading and How to Set It Up: Read-Only y Read-Write, la lista blanca de IP y No IP restriction, 90 días sin vincular, la clave secreta mostrada una sola vez, dónde nunca debe ir una clave secreta.
- Bybit API: Create Sub UID API Key: una clave sin vincular deja de funcionar a los 90 días, o 7 días después de un cambio de contraseña.
- Bybit API: Get API Key Information: la solicitud query-api y su campo readOnly.
- Bybit: How to Delete Your API Key: Delete en la columna Action, solo en la web.
- OKX: API FAQ: crear una clave, la passphrase, el requisito de 100 USD, los sitios del EEE y de EE. UU., la caducidad de las claves sin vínculo a IP.
- OKX API v5 documentation: los permisos Read, Trade y Withdraw; hasta 20 direcciones IP; 14 días para una clave sin vincular con Trade o Withdraw; el Security Center; la solicitud account/config y su campo perm.
- Ayuda de MetaTrader 5: Conectarse a la cuenta: las contraseñas principal y de inversor, y lo que permite el acceso de inversor.
- Ayuda de MetaTrader 5: Ajustes de la plataforma: el cambio de la contraseña de inversor en la pestaña Servidor.
Los nombres de los botones de los exchanges vienen de sus sitios en inglés, y los de MetaTrader 5, de su ayuda en español. Otros idiomas y sitios regionales pueden llamarlos de otra forma, y los exchanges rediseñan sus páginas de vez en cuando.
