Tiempo de lectura: … min

Tú tienes las llaves. TradingHost ejecuta el código.

TradingHost es el entorno de ejecución para estrategias de trading automatizado, no el almacén de credenciales de brókers o exchanges.

Guarda tus claves API, secretos de firma, contraseñas y tokens de proveedores de datos en el gestor de secretos en el que ya confías. TradingHost ofrece a tu estrategia una vía de ejecución para leer los valores que necesita sin incluir archivos .env en tus despliegues, escribir credenciales directamente en GitHub o pegarlas en el panel de TradingHost.

Sin archivos .env en las imágenes. Sin claves de bróker integradas en el código. Sin credenciales de exchanges pegadas en el panel.

Postura de secretos

  • Sin custodia de secretos
  • Gestores de secretos externos
  • Variables de entorno en ejecución
  • Despliegues nativos desde GitHub
  • Rotación controlada por el cliente
  • Registro de auditoría propio
  • Las credenciales de brókers y exchanges siguen siendo tuyas

Sección 01 · Enfoque

TradingHost es el entorno de ejecución, no el almacén.

TradingHost ejecuta el código de tus estrategias dentro de entornos de ejecución gestionados en la nube. Tus claves de bróker, claves API de exchanges, secretos de webhooks, claves de firma y tokens de datos de terceros deben permanecer en tu propio gestor de secretos.

El gestor de secretos sigue siendo la única fuente de verdad. El entorno de ejecución recibe los valores que necesita cuando se inicia la estrategia, y esta los lee mediante variables de entorno o un patrón de recuperación documentado.

TradingHost proporciona el flujo de despliegue, el entorno de ejecución, los registros, los controles de estado, la gestión de recursos, la selección de regiones y la superficie de control MCP para tu estrategia. No necesita convertirse en el lugar donde se almacenen tus credenciales de trading.

Esto mantiene el límite de seguridad claro y sencillo:

CapaResponsabilidad
Tu gestor de secretosAlmacena las credenciales, controla el acceso y registra el historial de auditoría.
Entorno de ejecución de TradingHostEjecuta la estrategia y expone los valores necesarios al proceso.
Tu estrategiaLee los valores y se conecta al bróker, exchange o proveedor de datos.
Bróker o exchangeAutentica la clave API y aplica los permisos a nivel de cuenta.

El resultado es un modelo de producción más limpio para el trading automatizado: tu código se ejecuta en TradingHost, mientras que la custodia de las credenciales sigue estando bajo tu control.

Sección 02 · ¿Qué se considera un secreto?

Cualquier valor privado que tu estrategia necesite para ejecutarse.

Un secreto es cualquier valor que, en caso de filtrarse, daría acceso a una cuenta, servicio, conexión o flujo de trabajo de trading.

Algunos ejemplos comunes son:

  • Claves API de brókers
  • Claves API de exchanges
  • Secretos de API
  • Claves de firma
  • Frases de contraseña
  • Secretos de webhook
  • Tokens de datos de mercado
  • Contraseñas de bases de datos
  • Credenciales de endpoints privados
  • Secretos de cliente OAuth
  • Tokens de servicios internos

Una credencial es un tipo específico de secreto que se utiliza para autenticarse ante un bróker, exchange, proveedor de datos, base de datos o servicio de terceros.

La mayoría de las credenciales de trading no constan de un único valor. Pueden incluir una clave, un secreto, una frase de contraseña, un ID de cuenta, un ID de subcuenta, un nombre de entorno o un alcance de permisos.

TradingHost trata estos elementos como entradas de tiempo de ejecución, no como datos del producto.

Sección 03 · Cómo llegan los secretos al tiempo de ejecución

Desde tu gestor de secretos hasta tu estrategia en ejecución.

El flujo en tiempo de ejecución es intencionadamente familiar. Funciona igual que el despliegue de aplicaciones en producción, los pipelines de CI y las cargas de trabajo modernas en la nube.

  • Paso 1

    Almacena la credencial

    Guarda la credencial del bróker o exchange en el gestor de secretos que ya utilices. Puede ser GitHub Actions secrets, HashiCorp Vault, AWS Secrets Manager, Doppler, 1Password Secrets Automation, Infisical, Bitwarden Secrets Manager o cualquier otro gestor compatible. Tu gestor de secretos sigue siendo la única fuente de verdad.

  • Paso 2

    Despliega el tiempo de ejecución

    Tu despliegue gestionado desde GitHub inicia el tiempo de ejecución de TradingHost. Este recibe los valores que tu estrategia necesita mediante el patrón de entrega de secretos configurado. Para la mayoría de las estrategias, estos valores se exponen como variables de entorno al arrancar.

  • Paso 3

    Inicia la estrategia

    Tu estrategia lee las variables, se conecta al bróker, exchange, proveedor de datos de mercado o servicio interno, y comienza a ejecutarse dentro del entorno de TradingHost. La relación operativa sigue siendo directa entre tu estrategia y la plataforma de negociación.

Sección 04 · Gestores de secretos compatibles

Utiliza un gestor de secretos en el que ya confíes.

TradingHost está diseñado para patrones de origen de secretos externos. No necesitas trasladar cada credencial de bróker o exchange a una bóveda propiedad de TradingHost solo para ejecutar una estrategia.

Los proveedores que se muestran a continuación son los patrones de gestión de secretos que TradingHost documenta de forma prioritaria.

Gestor de secretosIdeal para
GitHub Actions secretsSi GitHub ya es tu fuente de verdad para el código y los flujos de trabajo de despliegue.
HashiCorp VaultSi ya utilizas Vault para políticas, secretos dinámicos, tokens de corta duración o HCP Vault.
AWS Secrets ManagerSi trabajas en AWS y dependes de IAM, la rotación gestionada y las herramientas de auditoría de AWS.
DopplerSi buscas un panel de control de secretos sencillo para todos tus entornos.
1Password Secrets AutomationSi ya utilizas las bóvedas de 1Password para la gestión de credenciales.
InfisicalSi prefieres una plataforma de secretos de código abierto con opciones de autohospedaje.
Bitwarden Secrets ManagerSi ya utilizas Bitwarden para tus flujos de trabajo de contraseñas y secretos.
Trae el tuyo propioCualquier gestor compatible que pueda exponer valores a través de variables de entorno o mediante un patrón de obtención en tiempo de ejecución.

TradingHost no te obliga a abandonar tu configuración de seguridad actual. Si ya cuentas con un gestor de secretos, un modelo de acceso, una frecuencia de rotación y un registro de auditoría, el objetivo es que sigas utilizándolos.

Sección 05 · De un vistazo

El modelo de secretos explicado de forma sencilla.

PreguntaRespuesta
¿Quién tiene la custodia?El cliente.
¿Dónde deben residir los secretos?En el gestor de secretos elegido por el cliente.
¿Es TradingHost el gestor de secretos?No.
¿Se deben subir los secretos a GitHub?No.
¿Se deben integrar los archivos .env en las imágenes?No.
¿Cómo lee los secretos una estrategia?Mediante variables de entorno o patrones de obtención en tiempo de ejecución documentados.
¿Quién rota las credenciales?El cliente, a través de su gestor de secretos o de la cuenta del broker o exchange.
¿Quién revoca las credenciales filtradas?El cliente, a través del gestor de secretos, broker, exchange o proveedor de datos.
¿Dónde se guarda el registro de auditoría?Principalmente en el gestor de secretos, el broker, el exchange y el historial de despliegues.
¿Pueden aparecer secretos en los logs?Solo si la estrategia los imprime en pantalla, algo que nunca debería hacer.
¿Qué ve TradingHost?Metadatos de ejecución, estado del despliegue, señales de estado y los logs emitidos por el proceso.
¿Qué puede ver el personal de TradingHost?Ninguna interfaz interna expone las credenciales de los brokers o exchanges de los clientes al personal de TradingHost.

La diferencia clave es sencilla:

TradingHost ejecuta el proceso. Tu gestor de secretos controla las credenciales.

Sección 06 · Lo que TradingHost no necesita

Sin dispersión de credenciales para ejecutar una estrategia.

Un entorno de ejecución de trading no debería requerir copias sueltas de credenciales confidenciales en portátiles, tickets de soporte, capturas de pantalla, mensajes de chat, herramientas de asistencia, repositorios o archivos .env sin gestionar.

Con TradingHost, no tendrás que:

  • Escribir claves de brokers directamente en el código de un repositorio
  • Integrar archivos .env en las imágenes de contenedor
  • Pegar credenciales de exchanges en un panel de control genérico
  • Enviar claves API al personal de soporte
  • Guardar secretos de producción en hojas de cálculo
  • Acceder por SSH a un servidor solo para editar variables de entorno
  • Compartir claves por chat o correo electrónico
  • Copiar credenciales manualmente entre entornos
  • Dejar claves antiguas activas por haber perdido el rastro de dónde se utilizan

El modelo más limpio consiste en mantener los secretos en un único lugar de confianza y permitir que el entorno de ejecución reciba únicamente lo que la estrategia necesita.

Sección 07 · Lo que sigue siendo tuyo

El control de las credenciales sigue estando en tus manos.

TradingHost proporciona el entorno de ejecución. Tú mantienes el control sobre las decisiones relativas a las credenciales confidenciales.

Tú decides:

  • Qué gestor de secretos utilizar
  • Qué estrategia puede acceder a qué credencial
  • A qué cuenta de broker o exchange pertenece cada clave
  • Si una clave puede operar, leer saldos, leer posiciones o retirar fondos
  • Con qué frecuencia se rotan las credenciales
  • Quién puede ver o modificar los secretos de producción
  • Cómo se gestiona la revocación
  • Dónde se revisan los registros de auditoría
  • Qué entornos pueden acceder a las credenciales de producción
  • Si se usan claves distintas para desarrollo, staging y producción

Esto es fundamental para la infraestructura de trading porque los permisos de las API pueden tener un gran impacto financiero. Una clave de un bróker o exchange puede otorgar acceso a saldos, posiciones abiertas, colocación de órdenes, historial de la cuenta o funciones de retiro.

TradingHost no debería ser la razón por la que esos permisos se vuelvan más difíciles de gestionar.

Sección 08 · Comportamiento en tiempo de ejecución

Tu estrategia lee los secretos como cualquier aplicación en producción.

Una estrategia desplegada en TradingHost debe tratar los secretos como configuración en tiempo de ejecución.

Por ejemplo:

  • Estrategia de criptomonedas

    • EXCHANGE_NAME
    • EXCHANGE_API_KEY
    • EXCHANGE_API_SECRET
    • EXCHANGE_API_PASSPHRASE
    • TRADING_MODE

  • Estrategia conectada a un bróker

    • BROKER_NAME
    • BROKER_ACCOUNT_ID
    • BROKER_API_KEY
    • BROKER_API_SECRET
    • BROKER_ENVIRONMENT

  • Estrategia de datos de mercado

    • DATA_PROVIDER
    • DATA_API_KEY
    • DATA_REGION
    • DATA_FEED

Los nombres exactos de las variables los define tu proyecto, framework, conector o flujo de despliegue.

TradingHost no necesita conocer el valor privado en sí. Solo necesita proporcionar al proceso en ejecución una forma de acceder a la configuración que espera.

Sección 09 · Registros y observabilidad

Los secretos nunca deben imprimirse.

TradingHost proporciona registros en tiempo de ejecución y visibilidad del estado de salud para que puedas ver si una estrategia se está ejecutando, fallando, reiniciando, conectando o emitiendo errores.

Esos registros son útiles para las operaciones de producción, pero no son un lugar seguro para los secretos.

Tu estrategia nunca debe imprimir:

  • Claves API
  • Secretos de API
  • Payloads de firma
  • Frases de contraseña
  • Cabeceras de autenticación
  • Tokens Bearer
  • Secretos de webhook
  • Cadenas de conexión completas
  • Volcados de entorno sin procesar
  • Tokens de sesión del bróker
  • Respuestas de autenticación del exchange

TradingHost muestra los registros emitidos por tu proceso. Si una estrategia escribe un secreto en stdout, stderr, trazas de pila (stack traces), salidas de depuración o payloads de error, ese valor podría quedar expuesto en los registros de ejecución.

La práctica más segura es registrar el estado de la conexión, no los valores de las credenciales.

  • Correcto

    • Conectado a la cuenta spot de Binance.

  • Incorrecto

    • Conectado a Binance usando la clave API abc123...

Sección 10 · Límite de seguridad

El límite, explicado de forma clara.

TradingHost no debe considerarse el sistema de registro de las credenciales de brókers o exchanges.

Tus credenciales deben residir en tu propio gestor de secretos, bajo tus propios controles de acceso, políticas de rotación y procesos de auditoría.

TradingHost no debería requerir que los secretos se suban a GitHub, se incluyan en las imágenes de despliegue, se añadan a archivos .env dentro del contenedor o se compartan con el personal de soporte.

TradingHost proporciona la capa de ejecución que envuelve a la estrategia. Tu estrategia utiliza el patrón de entrega configurado en tiempo de ejecución para acceder a los valores que necesita. Tu bróker, exchange, proveedor de datos o servicio interno sigue siendo el sistema que autentica la credencial y aplica los permisos a nivel de cuenta.

Esa separación es precisamente el objetivo.

TradingHost ejecuta el código.
Tú gobiernas las claves.

Relacionado

Siguientes pasos

Preguntas frecuentes

Preguntas frecuentes

TradingHost está diseñado para que tu gestor de secretos siga siendo la fuente de verdad de las credenciales de tus brokers y exchanges. El runtime recibe los valores que tu estrategia necesita mediante un patrón de entrega de secretos configurado, en lugar de pedirte que escribas las claves directamente en el código o que integres archivos .env en las imágenes.

No. Las claves de brokers, claves API de exchanges, contraseñas, claves de firma y tokens de proveedores de datos nunca deben subirse a un repositorio. Utiliza los secretos de GitHub Actions, un gestor de secretos externo u otro patrón de secretos en runtime documentado.

La imagen de tu despliegue no debe incluir un archivo .env con credenciales activas. Los secretos deben proporcionarse en runtime, no empaquetarse en el código base ni en la imagen.

La mayoría de las estrategias leen los secretos de las variables de entorno al iniciarse. Algunas configuraciones utilizan un patrón de obtención en runtime desde Vault, AWS Secrets Manager, Doppler, 1Password, Infisical, Bitwarden u otro gestor compatible, según cómo esté configurado el flujo de trabajo de despliegue.

La rotación se realiza en tu gestor de secretos o directamente en el broker, exchange o proveedor de datos. Una vez rotada la credencial, reinicia o vuelve a desplegar el runtime afectado para que la estrategia reciba el nuevo valor.

Revoca la credencial en el sistema que la emitió. En el caso de las claves de trading, esto suele significar el broker, exchange, proveedor de datos o servicio interno. También debes eliminar o reemplazar el valor en tu gestor de secretos.

Solo si tu estrategia los imprime. TradingHost muestra los logs emitidos por tu proceso, por lo que las estrategias nunca deben imprimir credenciales, volcados de entorno, cabeceras de autenticación, tokens, contraseñas ni cadenas de conexión sin procesar.

TradingHost no proporciona ninguna interfaz para que su personal pueda leer las credenciales de brokers o exchanges de los clientes. Tu propio gestor de secretos debe seguir siendo el lugar donde se controle y audite el acceso a los valores de las credenciales.

Sí. TradingHost está diseñado en torno a patrones de origen de secretos externos. Si tu gestor de secretos puede exponer valores a través de variables de entorno o de un patrón de obtención en runtime documentado, por lo general se adaptará al modelo de despliegue de TradingHost.

TradingHost documenta patrones para secretos de GitHub Actions, HashiCorp Vault, AWS Secrets Manager, Doppler, 1Password Secrets Automation, Infisical y Bitwarden Secrets Manager.

Trae tu propio gestor de secretos. Despliega con GitHub.

Conecta GitHub, configura tu runtime y apunta tu estrategia al gestor de secretos en el que ya confías.

TradingHost ejecuta el código.
Tú conservas las claves.