# Seguridad URL: https://docs.fxapis.com/es/security > Cómo protegemos las credenciales de tu broker, tus claves y tus datos. Conectar una cuenta significa confiarnos su contraseña. Esta página explica qué hacemos con ella y qué sigue siendo tu responsabilidad. ## Contraseñas del broker [#broker-passwords] * **Se envían una sola vez, por TLS**, cuando conectas la cuenta. * **Se cifran de inmediato, con una clave única para esa cuenta.** Una contraseña cifrada no puede moverse a otra cuenta y descifrarse ahí. * **Nunca se devuelven** en ningún endpoint, nunca se muestran en la consola y nunca se escriben en un log ni en un mensaje de error. * **Se usan solo para iniciar sesión con la cuenta** en su broker —o para volver a guardarla cuando mueves la cuenta a un servidor corregido— y cada uso queda registrado en un registro de auditoría. * **Se borran cuando desconectas la cuenta.** El historial de trading de la cuenta se conserva; la contraseña no. Envía la contraseña **de trading**. Una contraseña de inversor inicia sesión pero no puede operar. ## API keys [#api-keys] * Una clave se muestra una sola vez, al crearla, y nunca guardamos la clave en sí: nadie, ni siquiera nosotros, puede volver a leerla. * Las claves tienen **alcances (scopes)**: da a cada integración solo lo que necesita, como `trading:reduce` para una herramienta de riesgo que debe poder cerrar pero nunca abrir. * **Las claves live y test están etiquetadas** (`fx_live_…`, `fx_test_…`), así cada configuración es fácil de distinguir. Ambas llegan a brokers reales: prueba con cuentas demo. * Revocar una clave surte efecto en su **siguiente solicitud**. Las claves son credenciales de servidor a servidor. Mantenlas fuera de navegadores, apps móviles y control de versiones. Consulta [Autenticación](/es/authentication). ## Iniciar sesión en la consola [#signing-in-to-the-console] * La cookie de sesión está pasando a una cookie `__Host-`, que solo fxapis.com puede crear o leer, nunca un subdominio. El cambio se está desplegando ahora; el nombre de cookie actual se acepta hasta que termine. * Una sesión dura siete días y termina tras un día sin uso. La consola del staff pide al staff volver a iniciar sesión cada 12 horas y tras 30 minutos de ausencia. * Las contraseñas incorrectas repetidas activan una verificación humana rápida y luego una pausa de 15 minutos para la cuenta, con un correo a su dueño. * Crear una clave que pueda mover dinero o cuentas, ampliar una clave a ese alcance o cambiar los límites de una clave que ya los tiene, los cambios de equipo y los cambios de plan te piden confirmar que eres tú si no lo hiciste en las últimas dos horas. El staff mantiene una ventana de diez minutos en la consola del staff. * Cada inicio de sesión, inicio de sesión fallido, cierre de sesión, cambio de contraseña y cambio de verificación en dos pasos queda en el registro de auditoría de tu workspace. Un inicio de sesión desde un navegador que no se vio en esa red en 30 días se te notifica por correo. ## Tus datos [#your-data] * **Cada workspace está aislado.** La cuenta, la orden o la clave de otro workspace simplemente *no se encuentra*: ni siquiera confirmamos que exista. * **Todo el tráfico entre tú y fxapis está cifrado**: la API solo es accesible por HTTPS. Las credenciales pasan entre nuestros servicios por TLS mutuo en una red privada. * **Todo lo que cambia una cuenta queda auditado**: conectar, desconectar, cada orden, cada clave emitida o revocada. * **Tu historial de trading se conserva** durante la vida de la cuenta, porque es con lo que se resuelve una disputa o una auditoría. ## Tu parte [#your-part] * **Emite claves con alcance limitado y rótalas.** Una clave con `accounts:write` puede desconectar cuentas; una clave con `trading:execute` puede abrir posiciones. * **Usa una cuenta de MT5 dedicada** para el trading automatizado cuando puedas, y considera activar las protecciones propias de tu broker. * **Protege tu inicio de sesión en la consola.** Los miembros de tu workspace pueden gestionar sus claves según su rol. Activa el inicio de sesión en dos pasos (una app de autenticación, con códigos de respaldo) en Security, en la consola, y revisa de vez en cuando ahí la lista de navegadores donde tienes la sesión iniciada. ## Reportar una vulnerabilidad [#reporting-a-vulnerability] Escribe a **[security@fxapis.com](mailto:security@fxapis.com)**. Respondemos en un día hábil. Por favor, no lo divulgues públicamente hasta que hayamos tenido la oportunidad de corregirlo.