Permisos de la API key de Bybit para P2P: qué activar y qué no

La pregunta no es solo qué casillas marcar, sino qué puede hacer la key con lo que marcas. Quitar el permiso de retiro protege tus fondos frente a una salida directa, pero el riesgo no desaparece: se traslada a las órdenes. Una key que puede gestionar órdenes llega hasta la función de liberar cripto. Por eso el criterio es dar lo mínimo que la tarea exige, y nada más.

Aquí tienes qué elegir en cada opción del formulario de Bybit, el paso a paso, cuándo vincular una IP y los errores que más se repiten. Si aún no sabes qué permite la API P2P, empieza por la guía de la API P2P de Bybit.

La key mínima para automatizar precios

Antes, dos términos. Una API key es una llave que creas en Bybit para que un programa actúe en tu cuenta sin tu contraseña, y solo con los permisos que tú le das. El secret es la segunda mitad de esa llave: Bybit solo te lo enseña al crearla, y quien lo tenga junto a la key puede usarla. Con la firma RSA, ese papel lo cumple tu clave privada.

Una API key con permisos P2P de anuncios, en modo lectura y escritura y sin ningún permiso de cartera ni de trading, es suficiente para que una herramienta mueva el precio de tus anuncios. Así queda cada opción:

Los nombres entre paréntesis son los que usa la API en la respuesta que describe una key (página «Get API Key Information» de la documentación de la API de Bybit, consultada el 14 de octubre de 2026). En el formulario de la web aparecen traducidos.

(abrir la imagen a tamaño completo en una pestaña nueva)

Paso a paso: crear la key en Bybit

Necesitas ser anunciante P2P: la API P2P es solo para anunciantes de nivel General o superior, según la página «P2P Authentication» de la documentación de Bybit. Después:

1. Entra desde la web, no desde la app. Bybit no permite crear keys en la app. Si tu cuenta es nueva, la creación puede estar bloqueada las primeras 48 horas (Cómo crear tu clave de API↗ (se abre en una pestaña nueva), actualizado el 24 de marzo de 2026).
2. Abre «Gestión de API» desde el icono de tu perfil y pulsa «Crear nueva clave».
3. Elige el tipo de clave. La generada por Bybit firma con HMAC. La autogenerada firma con RSA: creas tú el par de claves y Bybit nunca tiene tu clave privada.
4. Elige el uso y ponle un nombre que diga para qué es, por ejemplo el nombre de la herramienta. Te servirá para borrarla sin dudar el día que dejes de usarla.
5. Marca lectura y escritura y activa solo los permisos P2P que necesitas, según la tabla anterior.
6. Decide la IP: vincúlala si tienes las direcciones desde las que se usará; si no, la key caducará a los 90 días.
7. Confirma con tu código de doble factor (2FA) y copia la key y el secret en un lugar seguro. Pégalos directamente en la herramienta, nunca en un chat.

Solo lectura o lectura y escritura

El centro de ayuda de Bybit lo resume así en «Introducción a la API abierta P2P» (actualizada el 25 de noviembre de 2025):

Hay un detalle que cambia la decisión: el modo es de toda la key, no de cada permiso. En la API aparece como un único campo, readOnly, para la key entera. Es decir, no puedes dar escritura a los anuncios y solo lectura a las órdenes en la misma key.

Por eso el permiso de órdenes pesa tanto. Entre las funciones de órdenes de la API están marcar una orden como pagada y liberar activos, según la sección de órdenes de la documentación P2P de Bybit. La documentación no detalla qué permiso exige cada función. Lo prudente es suponer que una key de escritura con permiso de órdenes llega a ellas.

La regla práctica:

• Solo lectura, para herramientas que solo miran: un panel de resultados o una alerta de precio.
• Lectura y escritura con anuncios, para mover precios.
• Lectura y escritura con anuncios y órdenes, solo si la herramienta necesita tus órdenes y te dice por escrito que no marca pagos ni libera cripto. Confirma tú cada pago en tu banco: lo explico en qué hacer ante un pago de terceros.

¿Vincular la key a una IP?

Sí, siempre que puedas. Vincular una IP significa decirle a Bybit desde qué direcciones de internet se puede usar la key; el resto se rechaza. Si alguien la copiara, no podría usarla desde otro sitio.

Si no la vinculas, la key caduca. La documentación de Bybit lo dice así: una key creada sin IP vinculada caduca a los 90 días (FAQ de la API de Bybit, consultada el 14 de octubre de 2026). Puedes alargarla otros 90 días sin cambiar la key ni el secret. En «Gestión de API», pulsa editar en la columna de IP, elige «sin restricción de IP» y confirma con tu correo y tu 2FA.

Un aviso que pocos conocen: según la descripción de la key en la API, la fecha de caducidad también se aplica a las keys de cuentas que han cambiado la contraseña. Si cambias la contraseña de Bybit, revisa después la fecha de tus keys en «Gestión de API».

Cuando una key caduca, la herramienta deja de poder mover tus anuncios. Si funcionaba de noche, te enteras por la mañana. Apunta la fecha o vincula la IP.

5 errores comunes al crear la key

1. Crearla en una subcuenta. Parece una buena idea para aislar riesgos, pero los permisos P2P «no son para subcuentas»: en ellas la API siempre devuelve esa lista vacía, según «Get API Key Information». La key P2P va en la cuenta principal.
2. Marcar permisos de trading «por si acaso». Contratos, spot o derivados no sirven para el P2P. Cada permiso de más es una puerta más.
3. Activar el retiro porque la herramienta lo pide. Ninguna herramienta de precios lo necesita. Una key sin retiro no puede retirar fondos; si te lo piden, busca otra.
4. Usar la misma key para varias herramientas. Si una falla o la dejas, tienes que revocar la key de todas. Una key por herramienta, con su nombre.
5. Olvidar las keys viejas. Bórralas en cuanto dejes de usarlas, desde la web, en «Gestión de API», con el botón de eliminar («Cómo eliminar tu clave de API», centro de ayuda de Bybit, actualizado el 25 de noviembre de 2025).

Cómo revisar una key que ya tienes

En «Gestión de API» ves cada key con sus permisos, su IP y, si no tiene IP, su fecha de caducidad. Comprueba tres cosas:

• Que el retiro está desactivado.
• Que solo están los permisos P2P que usas. Si ves trading o transferencias, edítala o créala de nuevo.
• Que sabes para qué es cada key. Si no lo recuerdas, bórrala: la herramienta que la use te avisará y la creas de nuevo con lo justo.

Una herramienta seria también puede leer los permisos de la key que le das y avisarte si sobra alguno. Antes de pegar tu key en cualquier sitio, repasa qué preguntar antes de dar tu API key.

Soy el fundador de P2P4YOU, así que tenlo en cuenta al leer esto. La herramienta se conecta con una key que creas tú, solo con permisos P2P y sin permiso de retiro. Lo comprueba al conectarla y te avisa. Además, no libera cripto ni marca pagos como recibidos: eso lo confirmas tú. Si encaja con lo que buscas, puedes probar P2P4YOU 7 días.

Preguntas frecuentes