Documentación de la API

Mejores prácticas y fortalecimiento de seguridad para API

Implementa prácticas de seguridad integrales para la integración de Smart Money API. Domina la gestión de secretos, seguridad de red, límite de solicitudes y cumplimiento normativo.

Publicado el 21 de marzo de 2026 • 19 min de lectura • Crítico

Resumen de seguridad

Smart Money API sigue las mejores prácticas de seguridad de la industria. Esta guía cubre tus responsabilidades en la protección de tu integración y los datos de usuarios.

Capas de seguridad:

  • Capa de transporte — Cifrado TLS 1.3 para todo el tráfico
  • Capa de autenticación — Claves API, OAuth 2.0, MFA
  • Capa de autorización — Control de acceso basado en alcances
  • Límite de solicitudes — Protección contra DDoS y fuerza bruta
  • Protección de datos — Cifrado en reposo y en tránsito

Crítico: Nunca codifiques claves API directamente en el código. Usa variables de entorno o sistemas de gestión de secretos.

Gestión de secretos

Mejores prácticas

  • Almacena en variables de entorno, no en código
  • Usa sistemas de gestión de secretos (Vault, AWS Secrets Manager)
  • Rota las claves periódicamente (mínimo trimestral)
  • Audita los registros de acceso regularmente
  • Rota inmediatamente las claves comprometidas
  • Usa claves diferentes para distintos entornos

Implementación

Carga segura de claves API
// Carga desde entorno, no codificado
const apiKey = process.env.SMARTMONEY_API_KEY;
if (!apiKey) throw new Error('API key not configured');
// Usa en cabeceras, nunca registres
const headers = {
'Authorization': `Bearer ${apiKey}`
};
Obtén tu clave API en 30 segundos

¿Listo para construir? Obtén una clave API gratuita (200 llamadas/día, sin tarjeta) y comienza a obtener datos en vivo de ballenas, financiamiento y cadena de bloques.

Obtén tu clave API →

Seguridad de red

Requisitos TLS/SSL

  • Mínimo TLS 1.2 requerido (se recomienda TLS 1.3)
  • Verifica certificados SSL en producción
  • Nunca deshabilites la validación de certificados
  • Usa fijación de certificados para apps móviles

Lista blanca de IP

Configuración de lista blanca de IP
// Restringe el acceso API a tus servidores
POST /v1/account/ip-whitelist
-d '{
"cidr": "203.0.113.0/24",
"description": "Servidores de producción"
}'

Límite de solicitudes y DDoS

Implementación de retroceso

Retroceso exponencial
// Implementa retroceso exponencial ante error 429
async function apiCall(retries = 0) {
try {
return await fetch(url, options);
} catch (err) {
if (err.status === 429 && retries < 5) {
const delay = Math.pow(2, retries) * 1000;
await sleep(delay);
return apiCall(retries + 1);
}
throw err;
}
}

Cifrado y SSL/TLS

Validación de certificados

HTTPS seguro
// Node.js: Verifica certificados (comportamiento predeterminado)
const https = require('https');
const agent = new https.Agent({
rejectUnauthorized: true, // ¡NUNCA deshabilitar!
minVersion: 'TLSv1.2'
});

Cabeceras de seguridad

Cabeceras requeridas

Cabecera Propósito
X-Request-ID Trazabilidad y auditoría
User-Agent Identifica tu aplicación
Accept Formato solicitado (application/json)
Authorization Credenciales de autenticación

Protección contra DDoS

Protección de Smart Money

  • Protección DDoS de Cloudflare (capa 3/4 y capa 7)
  • Límite de solicitudes por clave API
  • Límites geográficos de solicitudes
  • Detección y mitigación automática

Tus responsabilidades

  • Implementa tiempo de espera para solicitudes (30 segundos)
  • Usa agrupación de conexiones
  • Implementa patrón de cortocircuito
  • Monitoriza actividad inusual

Respuesta a incidentes

Si tu clave está comprometida

  1. Inmediatamente — Llama al endpoint para revocar la clave API
  2. Revisa registros — Examina registros de acceso API por uso no autorizado
  3. Auditoría — Verifica saldo y transacciones por actividad sospechosa
  4. Genera — Crea una nueva clave API
  5. Implementar — Actualizar la aplicación con una nueva clave
  6. Monitorear — Vigilar el acceso no autorizado continuo

Cumplimiento

Cumplimiento de Normativas

  • SOC 2 Tipo II — Controles de seguridad certificados
  • ISO 27001 — Gestión de seguridad de la información
  • GDPR — Cumplimiento de privacidad de datos
  • PCI DSS — Normativas de la industria de tarjetas de pago

Lista de Verificación de Seguridad

Preproducción

  • Claves API en variables de entorno, no en código
  • HTTPS forzado, certificados validados
  • Límites de tasa y retroceso implementados
  • Rotación de secretos programada trimestralmente
  • Encabezados de seguridad configurados correctamente
  • Registros configurados (sin credenciales registradas)

Producción en Curso

  • Monitorear registros de acceso API diariamente
  • Rotar claves según el cronograma
  • Ejecutar auditoría de seguridad trimestralmente
  • Actualizar dependencias por vulnerabilidades
  • Probar procedimientos de respuesta a incidentes
  • Revisar y actualizar políticas de seguridad

Protege tu Integración

Seguridad de nivel empresarial para Smart Money API. Implementa las mejores prácticas con documentación y soporte completos.

Ver Características de Seguridad
Todos los planes incluyen cifrado, límites de tasa y registro de auditoría.

Recursos Relacionados

Autenticación Avanzada →

OAuth 2.0, JWT, patrones de rotación de claves

Guía de Límites de Tasa →

Administrar cuotas y límites de tasa

Monitoreo →

Monitoreo y alertas de seguridad
Comienza gratis — 200 llamadas/día, sin tarjeta

Obtén flujo de ballenas, financiación, interés abierto y datos on-chain en 3 exchanges desde una sola API. Plan gratuito, sin tarjeta de crédito, actualiza cuando quieras.

Comienza gratis →
Prueba la consola API en vivo → (no se necesita cuenta)