Una integración puede funcionar perfectamente y, aun así, dejar una credencial expuesta en el repositorio o en un archivo compartido. Antes de ejecutar un cBot que consulta un servicio externo, localiza la clave, identifica quién puede leerla y comprueba cómo la anularías si se filtrase.
Primero, localiza la credencial
Busca el valor desde su origen hasta el punto donde el cBot lo utiliza: código, configuración, ejemplos y materiales que se envían a otras personas. Una cadena de texto de prueba sirve para mostrar el formato; una clave válida no debe acabar en un commit, una captura de pantalla ni un registro de soporte.
OWASP explica en su guía de gestión de secretos por qué conviene evitar secretos en texto claro dentro del código o la configuración y limitar quién puede acceder a cada uno. Microsoft trata las claves API y los tokens OAuth como secretos en sus recomendaciones para aplicaciones, junto con el almacenamiento protegido, el acceso restringido y la auditoría.
Qué permiten los permisos de cTrader
El atributo AccessRights determina el acceso declarado por el algo. La documentación de permisos de cTrader describe FullAccess como un permiso amplio, que incluye Internet y lectura y escritura de archivos. Para ciertos algos, la guía de operaciones con archivos documenta una alternativa limitada a la carpeta asignada al propio algo. La revisión debe partir de lo que el código necesita, no de la comodidad de conceder acceso amplio.
Y ojo con una confusión: AccessRights.None no impide por sí solo toda comunicación de red. cTrader indica en su guía de acceso a la red que sus funciones HTTP y WebSocket pueden utilizarse con None. Por eso, además de comprobar los permisos sobre archivos, revisa a qué destinos puede enviar datos el cBot.
Deja preparada la respuesta a una filtración
Antes de habilitar la conexión externa, averigua qué servicio acepta la clave y dónde se administra. Si el proveedor permite limitar permisos, concede únicamente los necesarios para esa integración. Anota cómo revocar la credencial y emitir otra; OWASP recomienda gestionar la rotación y revocar secretos que ya no hagan falta o puedan haberse expuesto. Microsoft también separa la renovación planificada de la revocación de emergencia.
Puedes recorrer esta lista sin enviar ninguna orden:
- Identifica cada clave y el servicio al que da acceso.
- Retira los valores activos de los archivos que compartes y del control de versiones.
- Comprueba el
AccessRightsdeclarado y cada destino de red utilizado. - Confirma las restricciones disponibles para esa clave con el proveedor del servicio.
- Practica la revocación y el reemplazo fuera de una operación real.
Una prueba de credenciales no necesita abrir ni cerrar posiciones. Mantén separada la conexión con el servicio de la lógica que decide operar y revisa esa lógica por su cuenta. Si también quieres delimitar el acceso de un asistente, consulta permisos de IA y cuenta en cTrader; para entender la autorización de API, revisa los scopes de cuenta y trading de cTrader Open API.
El alcance de la comprobación
La documentación describe las opciones del producto; no certifica que un cBot concreto sea seguro ni que un servicio externo merezca confianza. Revisa el código y el entorno exactos que utilizas. Tener permisos limitados ayuda, pero no reemplaza el análisis del flujo de la credencial.