Operar con credenciales de app
Usar app-id y app-secret para operar en el P2P, sin guardar un token de cuenta.
Si tu integración tiene una app registrada, puede operar en el P2P con app-id y app-secret, sin guardar ningún token de tu cuenta.
Es la opción recomendada para bots de arbitraje y sistemas automáticos: las credenciales de la app se rotan desde el panel, no caducan con tu sesión y no sobreviven a nada que tú no controles.
Activarlo
En qvapay.com/dev, abre tu app y activa Comprar en el P2P, Vender en el P2P o los dos. Ambos nacen desactivados.
| Permiso | Qué abre |
|---|---|
| Comprar en el P2P | Publicar ofertas de compra, tomar ofertas de venta, marcar pagado, calificar y chatear. Nunca bloquea tu saldo. |
| Vender en el P2P | Publicar ofertas de venta, tomar ofertas de compra, liberar el pago, calificar y chatear. Bloquea tu saldo en escrow. |
Si tu integración solo compra, activa solo Comprar: así, aunque alguien obtenga tu app-secret, no puede poner tu saldo en una oferta de venta ni liberar un escrow.
Rutas disponibles
| Ruta | Método | Permiso |
|---|---|---|
/p2p · /p2p/index | GET | cualquiera de los dos |
/p2p/create | POST | el del type que publicas |
/p2p/:uuid/apply | POST | el contrario de la oferta (tomar una venta es comprar) |
/p2p/:uuid/paid | POST, PATCH | Comprar |
/p2p/:uuid/received | POST | Vender |
/p2p/:uuid/cancel | POST | el lado que juegas en la oferta |
/p2p/:uuid/rate | POST | el lado que juegas en la oferta |
/p2p/:uuid/chat · /p2p/:uuid/chat/stream | GET, POST | el lado que juegas en la oferta |
curl -X POST "https://api.qvapay.com/p2p/7c9e6679-7425-40de-944b-e07fc1f90ae7/apply" \
-H "app-id: tu-app-id" \
-H "app-secret: tu-app-secret"El chat funciona igual que con tu sesión: puedes leer el historial, escribir (texto o imagen) y suscribirte al stream de las ofertas en las que participas.
Quién opera
Las operaciones son de la cuenta dueña de la app, no de un sujeto nuevo. En la práctica:
- Cuentan para tu ranking y tus estadísticas P2P.
- Se les aplican tu KYC, tus límites y tus permisos de cuenta.
- Si tu cuenta verificó con documento de EE. UU., sigues sin poder tomar ofertas (solo crearlas).
- El beneficiario de una oferta de venta se somete al mismo screening de siempre.
La app es otra forma de autenticarte, no una forma de saltarte nada.
Errores
| Código | code | Descripción |
|---|---|---|
403 | P2P_NOT_ALLOWED | La app no tiene activado ninguno de los dos permisos P2P |
403 | P2P_SIDE_NOT_ALLOWED | La app tiene el P2P activado, pero no para este lado. required dice cuál falta (buy o sell) |
¿App o token acotado?
Los dos sirven, y puedes usar ambos.
- Credenciales de app: tu integración ya es una app, quieres rotar credenciales desde el panel y no te importa que las operaciones figuren a nombre de la cuenta dueña. Es lo más simple.
- Token de API acotado: no tienes app, o quieres varios tokens con permisos distintos (uno que solo lea el mercado, otro que solo compre), o quieres poder revocar uno sin tocar el resto.
Lo que no deberías hacer es guardar el token de POST /auth/login: ese puede retirar tu dinero.