¿Es seguro conectar tu bróker o exchange a una app?

Conectar un bróker o un exchange a una app puede ser seguro si la conexión es de solo lectura y no entregas ni tu contraseña ni una clave que pueda operar o retirar fondos. Fíjate en tres cosas: inicias sesión en las pantallas de tu entidad (OAuth o un servicio como Plaid) y no en un formulario de la app, las claves API del exchange solo tienen permiso de consulta, y puedes revocar el acceso cuando quieras. Si una app pide más de lo que necesita para mostrar tu cartera, no la conectes.

Ninguna conexión está libre de riesgo, así que conviene saber cómo funciona cada tipo y qué comprobar.

Las tres formas en que una app se conecta a tus cuentas

1. Compartir usuario y contraseña

Los agregadores antiguos pedían tus credenciales y entraban en tu cuenta en tu nombre, lo que se conoce como «screen scraping». Funciona, pero la app guarda unas credenciales que permiten hacer todo lo que tú puedes hacer en esa cuenta. La FINRA estadounidense explica los riesgos en su alerta Know Before You Share.

En Europa, la directiva PSD2 regula el acceso a cuentas de pago por parte de proveedores autorizados, que usan interfaces específicas en lugar de tu contraseña. Las cuentas de valores y los exchanges no siempre entran en ese marco, por eso conviene comprobar, app por app, cómo se hace la conexión.

2. Conexiones por token (OAuth y Plaid)

Con OAuth, te envían a la página de inicio de sesión de tu bróker. Entras allí, apruebas lo que la app puede ver y el bróker le da a la app un token limitado a ese acceso. La app nunca ve tu contraseña y normalmente puedes revocar el token desde los ajustes de seguridad de tu cuenta.

Servicios como Plaid hacen de intermediarios para muchas apps: eliges tu entidad, inicias sesión en las pantallas de Plaid o de la entidad y la app recibe acceso a los tipos de datos que pidió. Plaid explica su enfoque en cómo trata tus datos y en su página de seguridad.

3. Claves API (exchanges de cripto)

Los exchanges permiten crear claves API con permisos concretos. Creas la clave en el exchange, eliges sus permisos y la pegas en la app.

Aquí los permisos lo son todo:

• Coinbase tiene niveles de permiso. Su documentación sobre autorización describe View como acceso a API que no sacan fondos de tu cuenta, mientras que Trade y Transfer permiten dar órdenes y enviar fondos.
• Kraken separa permisos sobre fondos (consultar, depositar, retirar), sobre órdenes y operaciones (consultar, crear o modificar, cancelar) y sobre datos, como explica su guía How to create an API key.

Un gestor de cartera solo necesita leer: saldos e historial de operaciones. Nunca debería necesitar permisos para operar, retirar, transferir o depositar.

Qué debería significar «solo lectura»

«Solo lectura» solo vale si se hace cumplir. Pregúntate:

• ¿La app comprueba los permisos de la clave y rechaza las que pueden operar o retirar, o solo te pide amablemente que crees una de consulta?
• ¿Vuelve a comprobarlo después? Los permisos se pueden cambiar tras crear la clave.
• En un bróker, ¿qué tipos de datos se piden? Posiciones y operaciones bastan para un gestor. No hace falta mover dinero.

Lista de comprobación antes de conectar una cuenta

1. ¿Dónde inicio sesión? En la web de mi bróker, en las pantallas de Plaid o en el propio exchange, no en un formulario dentro de la app.
2. ¿Qué permisos tiene la clave o la conexión? Solo consulta. Sin operar, sin retiradas, sin transferencias ni depósitos.
3. ¿Cómo se guardan las credenciales? Busca cifrado en reposo y una explicación clara de quién puede acceder.
4. ¿Puedo revocar el acceso? Desde la app y desde el bróker o el exchange.
5. ¿La app exige verificación en dos pasos para acciones sensibles como conectar un bróker?
6. ¿Qué pasa con mis datos? ¿Se venden o se usan para publicidad? ¿Se borran cuando desconecto una cuenta o cierro la mía?
7. ¿La app explica lo que no puede hacer? Un claro «no podemos operar ni mover tus fondos» es buena señal. Los eslóganes de seguridad vagos no sustituyen a los datos concretos.
8. ¿Puedo restringir más la clave? Algunos exchanges permiten limitar una clave a ciertas direcciones IP o a una sola cartera.

Cómo crear una clave de exchange de solo lectura

Sonar no la necesita: los exchanges se conectan a través de Plaid. Si otra app te pide una clave, estos son pasos generales; los menús cambian con el tiempo, así que sigue la ayuda actual de tu exchange.

1. Abre la sección de API en los ajustes de tu cuenta.
2. Crea una clave nueva y ponle un nombre reconocible, como el de la app.
3. Marca solo los permisos de consulta de saldos e historial.
4. Deja sin marcar operar, retirar, transferir y depositar.
5. Si se ofrece, limita la clave a una sola cartera o a una lista de IP.
6. Copia la clave y el secreto directamente en la app. No los guardes en notas ni en el correo.
7. Borra la clave en el exchange si dejas de usar la app.

Cómo conecta Sonar las cuentas

Sonar es de solo lectura por diseño. En la práctica:

• Los monederos se conectan solo por dirección pública. Sonar nunca pide una clave privada ni una frase semilla. Consulta cómo seguir un monedero cripto por su dirección.
• Los exchanges como Coinbase o Kraken se conectan a través de Plaid, igual que los brókeres, cuando Plaid los ofrece. Sonar no acepta claves API de exchanges, así que no hay ninguna clave que crear, guardar o filtrar.
• Los brókeres se conectan a través de Plaid en los planes Starter, Standard y Premium, solo para datos de inversión: posiciones, operaciones, dividendos y comisiones. Inicias sesión en las pantallas de Plaid o de tu bróker, así que tu contraseña nunca llega a Sonar. Conectar un bróker o un exchange exige la verificación en dos pasos en tu cuenta de Sonar, y eliminar la conexión revoca el acceso de Sonar en Plaid. Las entidades disponibles dependen de la cobertura de Plaid en tu país. Consulta el gestor de cuentas de bróker.
• Tus datos no se venden ni se usan para publicidad. Desconectar una cuenta borra sus datos y revoca el acceso.

La página de seguridad detalla lo que Sonar guarda, lo que nunca almacena y cómo informar de una vulnerabilidad. Los límites de cuentas conectadas por plan están en la página de precios.

Los riesgos que quedan incluso con solo lectura

La solo lectura elimina el mayor riesgo, que alguien opere o retire con tus accesos, pero no todos:

• Privacidad. La app ve tus posiciones y tu historial. Elige servicios que expliquen qué guardan y que no vendan datos.
• Una brecha en la app podría exponer lo que almacena. Credenciales cifradas y pocos datos guardados limitan el daño.
• Phishing. Versiones falsas de apps o exchanges pueden engañarte para que inicies sesión. Mira la barra de direcciones antes de escribir tus credenciales. La CNMV publica avisos y consejos en su sección para inversores.
• Claves olvidadas con demasiados permisos. Revisa y borra de vez en cuando las claves API que ya no uses.

Preguntas frecuentes

¿Puede una app de cartera robarme el dinero?

No a través de una conexión realmente de solo lectura. Una clave API de consulta, una dirección pública de monedero o una conexión de bróker limitada a datos de inversión no pueden dar órdenes ni retirar fondos. El riesgo viene de las apps que piden permisos para operar o retirar, contraseñas o frases semilla.

¿Es seguro Plaid?

Plaid lo usan muchas apps financieras, y con él inicias sesión en sus pantallas o en las de tu entidad en lugar de dar tu contraseña a la app. Como con cualquier servicio, revisa qué datos pide la app y su política de privacidad. Plaid explica su enfoque en su página de seguridad.

¿Debo darle a una app el secreto de mi clave API?

Solo si es una clave de consulta y solo a una app que explique cómo la guarda. Nunca compartas con un gestor una clave con permisos para operar o retirar.

¿Qué hago si creo que una clave se ha filtrado?

Bórrala de inmediato en el exchange y crea una nueva de consulta si quieres mantener la conexión. Revisa la actividad reciente de la cuenta y los ajustes de seguridad.

¿Estoy obligado a conectar cuentas?

No. Puedes importar un CSV o introducir posiciones a mano. Consulta cómo exportar tus operaciones a CSV.