La seguridad del bot empieza por el permiso que la clave no tiene
La seguridad en Captay parte de una negativa. El servicio no está diseñado para tomar custodia. Una conexión futura usaría una clave API que creas en el exchange, con trading activado y retiro desactivado. Esta página es específica sobre ese plan e igual de específica sobre lo que falta: aquí no se guarda ninguna clave, no se ha encargado ninguna revisión y ningún exchange ha respaldado el producto.
Lo que la clave podría hacer
Leer saldos y órdenes abiertas. Colocar y cancelar órdenes spot dentro de los límites. Eso basta para perder una parte grande de una cuenta, porque comprar un mercado que se desploma no es un retiro. El límite interesante es el que la clave no tiene: no puede solicitar una transferencia a una dirección externa, y no puede barrer a otra cuenta dentro de la plataforma si ese permiso es un interruptor aparte y lo dejas apagado.
Los exchanges nombran estos interruptores de forma distinta. Captay no publicará una captura de una consola asociada, porque no hay asociación que ilustrar. Cuando exista un panel, las notas de configuración tendrían que cotejarse con la pantalla de permisos real, no con este párrafo. Hasta entonces, la suposición segura es que no creas nada.
Lo que un error sigue sin poder inventar
Si la clave se creó sin retiro, una versión defectuosa no puede añadir ese bit. Todavía puede dimensionar mal una orden, duplicar un envío o no cancelar. Esos son fallos de trading, y por eso existen en el diseño los límites externos y la parada. No son una certificación de que los fallos hayan sido cazados. No se reclama ninguna auditoría externa, y ninguna debería inferirse del tono de una página de seguridad.
Controles previstos que no están activos
- Un segundo factor en el inicio de sesión del panel, para que una contraseña robada no sea una clave robada.
- Un diario de actividad de activaciones, desactivaciones, límites alcanzados y cambios de clave, escrito para poder leerse después.
- Una recomendación, no un control que Captay pueda imponer, de restringir la clave por IP si el exchange lo ofrece.
- Cifrado para las claves almacenadas, descrito en la nota de privacidad como un plan posterior, no como una bóveda presente.
La autenticación de dos factores y el diario son intenciones del producto. No son funciones que puedas activar. No hay inicio de sesión. La lista de actividad está vacía porque el panel nunca ha aceptado una sesión. Decir que están 'previstos' no es una fecha ni una promesa de que se publicarán sin cambios.
Este sitio no pide una clave, una frase semilla ni un código de un solo uso. Si alguna vez un formulario de Captay desarrolla un campo para eso, trátalo como hostil. El único formulario publicado ahora comprueba una dirección de correo en local y no la envía.