En resumen
La clave de exchange que conectas se cifra en el momento de conectarla y a partir de ahí no existe en claro en ningún sitio: ni en la base de datos, ni en los logs, ni en la interfaz. Solo se abre para una petición al exchange, en una parte aislada del sistema a la que los servidores de la aplicación no pueden llegar, y solo mientras dura esa petición. Una clave con permiso de retiro no se acepta en absoluto.
Qué pasa al conectarla
- Una petición de lectura al exchange, para confirmar que la clave funciona y no tiene permiso de retiro. Una clave con ese permiso no se guarda. Una clave con permisos de trading se conecta, pero queda marcada, y te recomendamos sustituirla por una de solo lectura.
- La clave se cifra. Cada clave tiene su propia clave de cifrado, y estas están protegidas por un servicio gestionado de claves con un módulo de hardware en una región europea (Fráncfort), del que la clave maestra no se exporta nunca, por nadie, nosotros incluidos. La base de datos solo guarda texto cifrado.
- A partir de ahí la interfaz muestra solo los cuatro primeros y los cuatro últimos caracteres de la clave. Mostrarla entera es imposible: esa función no existe, ni para ti ni para nosotros.
Cómo se usa la clave
- Lo único que hace el producto con la clave es leer el historial de ejecuciones y pagos. No coloca órdenes, no mueve fondos, no lee el saldo.
- El descifrado ocurre en un servicio aislado aparte, sin dirección pública y sin acceso a la base de datos. Los servidores que reciben tus peticiones nunca ven las claves y no pueden abrirlas.
- Cada uso de la clave queda registrado: conexión, comprobación, importación, borrado. También cada llamada al servicio de claves, en un log independiente que no podemos editar.
- El formulario de conexión indica las direcciones desde las que llamamos al exchange. Restringe la clave a ellas en el lado del exchange y no servirá de nada desde ningún otro sitio.
El peor caso
- Se filtra una copia de la base de datos. Contiene texto cifrado sin las claves de cifrado: ilegible.
- Se compromete un servidor de la aplicación. Las claves no están ahí y no se pueden abrir desde ahí.
- Alguien llega a la propia clave. Una clave de solo lectura con restricción por IP da exactamente lo que obtiene Arbiq: el historial de operaciones. No puede retirar ni operar: no tiene esos permisos.
- Borras la clave. Se elimina para siempre, al instante. Los borradores importados y los registros del diario siguen siendo tuyos.
Qué puedes hacer tú
- Crea la clave de solo lectura, sin retiro: el diario no necesita más.
- Restringe la clave por IP a las direcciones del formulario de conexión.
- Crea una clave aparte para Arbiq y revócala en el exchange cuando quieras: borrar la clave en el exchange detiene la importación al instante.
- En los DEX: Hyperliquid funciona sin ningún secreto, por dirección pública; en Aster solo guardamos la clave privada de la cartera API, a la que retiras los permisos en el exchange con un clic. Más en Conectar DEX.