Seguridad

Conectar una cuenta significa confiarnos su contraseña. Esta página explica qué hacemos con ella y qué sigue siendo tu responsabilidad.

Contraseñas del brokerCopiar el enlace

• Se envían una sola vez, por TLS, cuando conectas la cuenta.
• Se cifran de inmediato, con una clave única para esa cuenta. Una contraseña cifrada no puede moverse a otra cuenta y descifrarse ahí.
• Nunca se devuelven en ningún endpoint, nunca se muestran en la consola y nunca se escriben en un log ni en un mensaje de error.
• Se usan solo para iniciar sesión con la cuenta en su broker —o para volver a guardarla cuando mueves la cuenta a un servidor corregido— y cada uso queda registrado en un registro de auditoría.
• Se borran cuando desconectas la cuenta. El historial de trading de la cuenta se conserva; la contraseña no.

Envía la contraseña de trading. Una contraseña de inversor inicia sesión pero no puede operar.

API keysCopiar el enlace

• Una clave se muestra una sola vez, al crearla, y nunca guardamos la clave en sí: nadie, ni siquiera nosotros, puede volver a leerla.
• Las claves tienen alcances (scopes): da a cada integración solo lo que necesita, como trading:reduce para una herramienta de riesgo que debe poder cerrar pero nunca abrir.
• Las claves live y test están etiquetadas (fx_live_…, fx_test_…), así cada configuración es fácil de distinguir. Ambas llegan a brokers reales: prueba con cuentas demo.
• Revocar una clave surte efecto en su siguiente solicitud.

Las claves son credenciales de servidor a servidor. Mantenlas fuera de navegadores, apps móviles y control de versiones. Consulta Autenticación.

Iniciar sesión en la consolaCopiar el enlace

• La cookie de sesión está pasando a una cookie __Host-, que solo fxapis.com puede crear o leer, nunca un subdominio. El cambio se está desplegando ahora; el nombre de cookie actual se acepta hasta que termine.
• Una sesión dura siete días y termina tras un día sin uso. La consola del staff pide al staff volver a iniciar sesión cada 12 horas y tras 30 minutos de ausencia.
• Las contraseñas incorrectas repetidas activan una verificación humana rápida y luego una pausa de 15 minutos para la cuenta, con un correo a su dueño.
• Crear una clave que pueda mover dinero o cuentas, ampliar una clave a ese alcance o cambiar los límites de una clave que ya los tiene, los cambios de equipo y los cambios de plan te piden confirmar que eres tú si no lo hiciste en las últimas dos horas. El staff mantiene una ventana de diez minutos en la consola del staff.
• Cada inicio de sesión, inicio de sesión fallido, cierre de sesión, cambio de contraseña y cambio de verificación en dos pasos queda en el registro de auditoría de tu workspace. Un inicio de sesión desde un navegador que no se vio en esa red en 30 días se te notifica por correo.

Tus datosCopiar el enlace

• Cada workspace está aislado. La cuenta, la orden o la clave de otro workspace simplemente no se encuentra: ni siquiera confirmamos que exista.
• Todo el tráfico entre tú y fxapis está cifrado: la API solo es accesible por HTTPS. Las credenciales pasan entre nuestros servicios por TLS mutuo en una red privada.
• Todo lo que cambia una cuenta queda auditado: conectar, desconectar, cada orden, cada clave emitida o revocada.
• Tu historial de trading se conserva durante la vida de la cuenta, porque es con lo que se resuelve una disputa o una auditoría.

Tu parteCopiar el enlace

• Emite claves con alcance limitado y rótalas. Una clave con accounts:write puede desconectar cuentas; una clave con trading:execute puede abrir posiciones.
• Usa una cuenta de MT5 dedicada para el trading automatizado cuando puedas, y considera activar las protecciones propias de tu broker.
• Protege tu inicio de sesión en la consola. Los miembros de tu workspace pueden gestionar sus claves según su rol. Activa el inicio de sesión en dos pasos (una app de autenticación, con códigos de respaldo) en Security, en la consola, y revisa de vez en cuando ahí la lista de navegadores donde tienes la sesión iniciada.

Reportar una vulnerabilidadCopiar el enlace

Escribe a [email protected]. Respondemos en un día hábil. Por favor, no lo divulgues públicamente hasta que hayamos tenido la oportunidad de corregirlo.