Autenticación OAuth vs. clave API en Tradovate
Compare el flujo de token de acceso directo y el de inicio de sesión OAuth para la API de futuros, vea cómo funciona cada uno y elija el método de autenticación adecuado para su bot.
On This Page
Hay dos formas de hacer que el código se comunique con la API de Tradovate, y la gente las confunde todo el tiempo. Una es la solicitud directa de token de acceso, en la que usa una clave API que generó para su propia cuenta. La otra es OAuth, en la que un operador inicia sesión en la propia página de Tradovate y entrega un token a su aplicación sin darle nunca su contraseña. Si elige la equivocada, o bien conservará credenciales que no debería tener, o bien se topará con un muro en cuanto intente conectar la cuenta de otra persona. Aquí le explicamos cómo funciona realmente cada flujo y cuándo recurrir a él.
Ambos métodos terminan en el mismo lugar: un token bearer de corta duración que adjunta a cada solicitud como Authorization: Bearer {token}. La diferencia está por completo en cómo obtiene ese token y de quién es la cuenta.
| Token de acceso directo (clave API) | OAuth | |
|---|---|---|
| Ideal para | Automatizar su propia cuenta | Una aplicación en la que inician sesión otros operadores |
| Credenciales que usted conserva | Su propio nombre de usuario, contraseña y clave API (cid + secret) | Un client ID y un secret de Tradovate, nunca la contraseña del usuario |
| Dónde inicia sesión el usuario | Dentro de su propio código | En la página de inicio de sesión alojada por Tradovate |
| Cómo se configura | Genere usted mismo la clave en Settings | Solicite las credenciales de cliente a Tradovate |
| Qué se devuelve | Token de acceso bearer | Token de acceso bearer |
El método de token de acceso directo
Es el camino más sencillo y el adecuado cuando la cuenta que automatiza le pertenece. Crea una clave API dentro de la plataforma una sola vez y después intercambia un breve POST por un token cuando lo necesite.
Active el acceso a la API y genere su clave
Abra la configuración de su cuenta y busque el complemento «API Access». Tiene una pequeña tarifa recurrente y la generación de claves requiere una cuenta real financiada con un saldo mínimo. Esas cifras cambian, así que confirme el precio y el umbral actuales en su propia cuenta. Una vez activo, abra la pestaña «API Access», genere una nueva clave, asígnele un nombre, permita acceso completo y créela. Copie de inmediato el CID y el secret. Tradovate muestra el secret exactamente una vez y no lo vuelve a mostrar, así que guárdelo en un lugar seguro y manténgalo fuera de los repositorios públicos.
Solicite directamente un token bearer
Envíe un POST a /auth/accesstokenrequest con su name, password, appId, appVersion, cid, sec y un deviceId estable. Use el host de demo mientras prueba y el host real cuando coloque órdenes reales. La respuesta devuelve un accessToken para operar, un mdAccessToken independiente para datos de mercado y una hora de expiración.
Ese token es de corta duración. La respuesta le indica exactamente cuándo expira, y lo renueva llamando a /auth/renewAccessToken con el token todavía válido un poco antes de esa hora, no reenviando su contraseña en bucle, que es como la gente termina bloqueada con un 401.
El método OAuth
Recurra a OAuth en cuanto actúe en nombre de alguien que no sea usted: un panel, una herramienta de copy trading, cualquier producto en el que inicien sesión operadores reales. Inician sesión en la página de Tradovate, por lo que su contraseña nunca toca sus servidores. Usted obtiene un token limitado a su cuenta y nada más.
Obtenga las credenciales de cliente OAuth
A diferencia de una clave API, no puede obtenerlas por su cuenta. Póngase en contacto con Tradovate, solicite un client ID y un client secret y registre el URI de redirección exacto que usará su aplicación, por ejemplo https://yourapp.com/oauth/callback. El URI de redirección tendrá que coincidir después carácter por carácter.
Envíe al usuario a la página de autorización
Redirija al operador a la URL de autorización de Tradovate, https://trader.tradovate.com/oauth, con response_type=code, su client_id codificado como URL y su redirect_uri codificado como URL. Inicia sesión con sus propias credenciales de Tradovate y aprueba el acceso. Tradovate lo devuelve entonces a su URI de redirección con un code de un solo uso añadido a la cadena de consulta.
Intercambie el código por un token
Haga esto desde su servidor, nunca desde el navegador, porque el client secret debe permanecer privado. Envíe un POST al endpoint de token de OAuth, https://live.tradovateapi.com/auth/oauthtoken, con grant_type=authorization_code, el code que acaba de recibir, su client_id, client_secret y el redirect_uri correspondiente. Recibirá un access_token y un expires_in. A partir de aquí es idéntico al flujo directo: adjunte el token bearer a cada solicitud y renuévelo antes de que caduque.
¿Cuál debería usar?
Si solo automatiza su propia cuenta, use el flujo de token de acceso directo. Tiene menos piezas móviles, usted controla la clave y no hay un tercero con quien coordinarse. Si está creando algo a lo que se conectan otros operadores, use OAuth siempre. Gestionar usted mismo la contraseña de otra persona es una responsabilidad que no quiere asumir, y el flujo OAuth existe precisamente para que nunca tenga que hacerlo.
Dos cosas que debe comprobar antes de construir sobre una cuenta financiada o de evaluación: si la automatización directa por API está permitida depende de su firma, algunas la permiten y otras no, y los datos de mercado en tiempo real por API pueden conllevar una tarifa de bolsa aparte. Confirme ambas cosas con las reglas actuales de su firma y su propia cuenta en lugar de darlas por sentadas.
Automatice esto con PickMyTrade
¿Prefiere no ocuparse de tokens, renovaciones y URIs de redirección? PickMyTrade conecta sus alertas de TradingView directamente con Tradovate sin que tenga que escribir una línea de código de autenticación.
Olvídese del código de autenticación
Deje que PickMyTrade conecte sus alertas de TradingView directamente con Tradovate, sin tokens, renovaciones ni URIs de redirección que gestionar.
Comience su prueba gratuita de 7 díasEsta guía tiene fines exclusivamente educativos e informativos y no constituye asesoramiento financiero, de inversión ni de trading. Operar con futuros y otros productos apalancados conlleva un riesgo sustancial de pérdida y no es adecuado para todos los inversores. PickMyTrade es una plataforma de automatización independiente de terceros y no está afiliada, avalada ni patrocinada por Tradovate, Inc. "Tradovate" y todos los nombres, logotipos y marcas relacionados son propiedad de sus respectivos titulares. Las funciones y los pasos de la plataforma cambian con el tiempo, por lo que debe confirmar siempre el proceso actual en la plataforma y la documentación oficiales de Tradovate antes de actuar.