Los sistemas que hemos construido para negociar con nuestro propio capital

El módulo define la geometría de la rejilla en torno a un precio de referencia: los límites del rango, el número de niveles, el tipo de espaciado y el tamaño en cada nivel. El espaciado puede ser aritmético — una diferencia de precio igual entre niveles adyacentes — o geométrico, donde la razón entre precios adyacentes es constante. El espaciado geométrico es más robusto en rangos amplios; el aritmético basta dentro de una banda estrecha. Los precios y tamaños calculados se ajustan a las reglas de precisión del instrumento en la capa de adaptadores. Los niveles que quedan por debajo del nocional mínimo se descartan mientras la rejilla aún se está ensamblando — antes de que la plataforma los rechazara.

Cada nivel se describe mediante una máquina de estados: cancelado, colocado, parcialmente ejecutado, totalmente ejecutado. Tras una ejecución completa, el módulo coloca una orden contraria en el nivel adyacente; una ejecución parcial no reinicia el estado del nivel. Las órdenes se colocan como maker-only (post-only): una orden rechazada se recoloca al precio actual en lugar de cruzar el diferencial. Un movimiento más allá del rango se gestiona mediante una de varias políticas definidas explícitamente — congelar la rejilla, desplazarla un paso o una reconstrucción completa con un número de generación incrementado. Las reconstrucciones están acotadas por histéresis y un tiempo de enfriamiento; de lo contrario, la rejilla se recolocaría en cada tick y alcanzaría el límite de frecuencia de peticiones.

El motor convierte la intención de una estrategia en un flujo concreto de órdenes. Una orden limitada post-only — cuando el objetivo es seguir aportando liquidez y no cruzar el diferencial. Una orden limitada agresiva con un precio de protección en lugar de una orden a mercado — cuando importa acotar el deslizamiento (slippage). IOC o FOK — cuando una ejecución parcial o retardada es inaceptable. Cada orden vive como una máquina de estados: desde la creación local hasta un estado terminal, con transiciones que solo avanzan. Una posición se calcula a partir del tamaño realmente ejecutado y del precio medio de ejecución — el tamaño solicitado de la orden no dice nada sobre el resultado.

El canal hacia el exchange es poco fiable, de modo que el motor asume que una respuesta puede perderse, entregarse dos veces o llegar desordenada. Un identificador de orden autoasignado se genera antes del envío y sirve como clave de idempotencia: una petición repetida con la misma clave no crea una segunda orden. Tras un tiempo de espera agotado, el motor no reenvía a ciegas — consulta el estado por esa clave. Los eventos del flujo privado se deduplican por identificador de ejecución y se descartan si se refieren a un estado anterior al ya aplicado. La cancelación y la ejecución siempre compiten entre sí, por lo que un rechazo de cancelación con el motivo «orden ya ejecutada» se trata como una transición normal de la máquina de estados, no como un fallo.

El módulo construye el estado del instrumento a partir de un flujo de velas cerradas y entrega a la capa de negociación tres magnitudes: una estimación de volatilidad, los límites del rango vigente y una medida continua de cuán lateral está el mercado. La volatilidad se calcula de varias formas — el ATR de Wilder, su forma normalizada por precio NATR y estimadores basados en el rango (Parkinson, Rogers–Satchell, Yang–Zhang). Cada método se calcula sobre una ventana corta y una larga: la corta reacciona con rapidez, la larga aporta una estimación estructural estable. El espaciado de la rejilla se deriva del NATR y se acota por ambos lados: por abajo por el coste de un ciclo completo de ida y vuelta (comisión más diferencial), por arriba por el tiempo de inactividad aceptable de un nivel. El número de niveles está acotado por el límite de órdenes abiertas y el capital por nivel.

El régimen de mercado se clasifica a partir de medidas independientes: ADX, la razón de eficiencia del movimiento, el R² de una regresión lineal de precio, una razón de varianzas, el exponente de Hurst sobre una ventana larga y la compresión de las Bandas de Bollinger dentro de los Canales de Keltner. Lo que se expone no es un indicador binario, sino un peso continuo, sujeto a un requisito de estabilidad durante N barras. Los parámetros se reevalúan al cierre de la barra, con histéresis y solo ante una desviación significativa respecto de la configuración vigente: reconstruir la rejilla implica cancelar y colocar órdenes, es decir, carga sobre los límites de frecuencia y riesgo de deslizamiento. Todos los indicadores se calculan de forma causal, a fecha de la barra, sin ventanas centradas ni suavizado retrospectivo. Ante una interrupción del flujo, huecos en el historial o un calentamiento incompleto, el módulo notifica un estado «indefinido» y la capa de negociación deja de aumentar la posición.

La capa de control de riesgo se sitúa en el camino de cada orden: una estrategia no tiene acceso directo a la pasarela de ejecución y técnicamente no puede eludir las comprobaciones — esto es una propiedad de la arquitectura, no un acuerdo interno. Antes de su envío, cada orden se coteja con las reglas del instrumento, su desviación respecto del precio de referencia y la frecuencia de mensajes. Por encima se sitúan los límites por estrategia, por instrumento y sobre la posición neta agregada en todas las plataformas. Hay tres modos de funcionamiento: normal, solo reducción y una parada total en la que solo pasan las cancelaciones.

Una comprobación previa a la operación no es más fiable que los datos sobre los que se ejecuta: si el registro local de posición ha divergido del del exchange, el límite se activará correctamente pero sobre una entrada errónea. Por ello, la capa incorpora un bucle de conciliación compartido por toda la infraestructura. La fuente de verdad es el estado obtenido mediante una consulta específica al exchange; el flujo de actualizaciones se trata como poco fiable por defecto. Una discrepancia solo se aborda si se repite varias veces seguidas y supera un umbral nocional — de lo contrario, los huecos en la secuencia del flujo provocarían reconstrucciones constantes del estado. El interruptor de emergencia (kill switch) está duplicado del lado del exchange: si nuestro proceso deja de enviar su señal periódica, el exchange cancela por sí mismo las órdenes abiertas.

El módulo mantiene un registro único de cuánto capital propio de la empresa está disponible para cada estrategia y cada instrumento. El tamaño de una posición individual se fija como una fracción constante del presupuesto asignado y se normaliza por la volatilidad actual del instrumento: el mismo nocional conlleva un riesgo distinto en un mercado tranquilo y en uno volátil. Los presupuestos de las estrategias no se solapan, y cualquier exceso es rechazado por la comprobación previa a la operación antes incluso de enviar una orden.

Una porción del capital nunca se asigna a la apertura de posiciones y se mantiene como reserva frente al margen de variación, los costes de financiación y los saltos de precio. Sin tal reserva, un salto en el precio de referencia de una sola posición afectaría al colateral compartido y a las demás estrategias. El saldo libre y el bloqueado, el margen inicial y el de mantenimiento se contabilizan por separado. El reequilibrio se dispara por una banda de desviación en torno a los pesos objetivo y no según un calendario: una banda estrecha implica rotación y coste excesivos, una amplia implica deriva acumulada.

Cada plataforma tiene su propio transporte, su propia nomenclatura de instrumentos y sus propias reglas de precisión, y el adaptador aísla estas diferencias. REST se emplea para instantáneas de estado, datos de referencia y peticiones de servicio; WebSocket para los flujos de cotizaciones y los eventos de órdenes; FIX allí donde está disponible y justificado. Hacia arriba presenta un único modelo de dominio: un instrumento con su paso de precio, paso de tamaño, nocional mínimo y precisión, además de eventos de libro de órdenes, operaciones y estado de órdenes reducidos a una forma común. Los datos de referencia del instrumento se releen según un calendario — una plataforma cambia sus reglas de precisión sin previo aviso.

El redondeo se hace en el adaptador, antes del envío, de modo que los demás módulos no tienen que pensar en ello. El precio se ajusta al paso de precio, el tamaño al paso de tamaño y se trunca hacia abajo para no exceder el saldo disponible. A continuación se comprueban el nocional mínimo — precio por cantidad — y la precisión permitida; una orden que no supera el nocional se rechaza de nuestro lado. Una conexión caída se gestiona mediante un camino específico: reconexión con backoff creciente y jitter aleatorio, resuscripción a los flujos y una petición a la plataforma del estado actual.

El motor está construido como un único bucle de procesamiento de eventos: los datos de mercado, los temporizadores, las órdenes y los acuses del exchange pasan por una sola cola en estricto orden cronológico. Una estrategia solo ve el estado del mercado que existía en la marca temporal actual. El libro de órdenes se reconstruye a partir de un flujo de actualizaciones de niveles y órdenes (L2/L3); allí donde esa resolución es excesiva, se dispone de un modo de barras agregadas. El código de la estrategia es el mismo en simulación, sobre una fuente en vivo en modo operativa en simulación (paper trading) y en producción — solo difieren los adaptadores de datos y de ejecución.

El valor de un simulador lo determina la honestidad con que modela la fricción. Una orden limitada no se cuenta como ejecutada por el mero hecho de que el precio la haya tocado: la posición en la cola del nivel, el volumen que pasó por él, las ejecuciones parciales y el rechazo de órdenes post-only que cruzarían el diferencial se tienen todos en cuenta. Encima vienen las comisiones maker y taker según un esquema escalonado, el devengo de financiación en los límites de intervalo y el deslizamiento dependiente de la profundidad. Las latencias se especifican por separado — al recibir datos, al enviar una orden y en el acuse de vuelta. Son precisamente estas las que determinan qué estado del mercado vio realmente la estrategia en el momento de la decisión.

La telemetría se captura en tres niveles. Infraestructura — procesos, memoria, pausas de ejecución, profundidad de la cola. Transporte — señales de salud en cada canal, la deriva de los relojes locales respecto de la hora del exchange, la tasa de reconexión. Negociación — posiciones abiertas y exposición, la proporción de órdenes ejecutadas y rechazadas, la desviación del precio de ejecución respecto del esperado. Las métricas se escriben en un almacén de series temporales a una cadencia fija en lugar de recogerse a demanda en el momento de la investigación: un incidente se reconstruye a partir de una serie continua de mediciones, para lo cual no bastan fragmentos de registros.

Las reglas de alerta se construyen en torno a síntomas: una divergencia entre el estado local y el del exchange, datos de mercado obsoletos, latencia creciente en los percentiles superiores, un pico de errores de la API. Un único umbral numérico produce demasiados falsos positivos como para basar una alerta solo en él. Las señales se separan por nivel de severidad, con deduplicación, agrupación y supresión de alertas derivadas; cada una lleva un manual de respuesta. Las rutas críticas disparan la cancelación de órdenes y una parada del ciclo sin esperar a un operador. Una capa aparte es el registro de auditoría: el recorrido de una orden desde la decisión hasta el estado final se escribe como eventos JSON estructurados con un identificador de extremo a extremo en un registro de solo anexado.

La configuración de los bots se describe como código: un esquema tipado con rangos de valores explícitos y capas sobre un conjunto base — una capa de entorno (ejecución histórica, sandbox, producción), luego variables de entorno y argumentos de arranque. El esquema es estricto: una clave desconocida, un tipo incorrecto o un valor fuera de rango detienen el arranque. Un valor por defecto sustituido en silencio significaría entrar a negociar con un conjunto de parámetros sin verificar. Las claves de acceso y las credenciales de infraestructura se toman de un almacén aparte, de modo que los propios parámetros se versionan por completo — con historial de cambios y la posibilidad de revertir.

Los parámetros se dividen según cómo se aplican. Los umbrales de riesgo, los límites y la habilitación de instrumentos se recogen sobre la marcha: se ensambla, se valida y se conmuta una nueva instantánea de configuración con un solo interruptor entre ciclos de negociación, de modo que ningún ciclo vea jamás un estado a medio aplicar. El esquema de conexión, el conjunto de plataformas y la estructura del almacén de estado cambian solo al reiniciar. Por debajo del nivel de estrategia se sitúan topes no deshabilitables: la posición y el tamaño de orden máximos, el apalancamiento, la frecuencia de envío y el umbral del interruptor de emergencia. La configuración solo puede endurecerlos — aflojarlos pasa por revisión y la publicación de una nueva versión.

Las claves API de exchange se emiten con el conjunto mínimo de permisos: la negociación está permitida, los retiros están deshabilitados del lado del exchange, y la propia clave solo es válida desde las direcciones IP de salida fijas de los nodos ejecutores. Allí donde un exchange admite claves asimétricas (Ed25519, RSA), las usamos en lugar de HMAC: solo la parte pública permanece del lado del exchange, y la parte privada nunca sale de nuestro perímetro. Cada petición se firma sobre una cadena canónica con una marca temporal y una ventana de validez estrecha. Los relojes de los nodos se sincronizan por NTP: el exchange descarta una firma caducada antes de que llegue a la lógica de negociación.

El almacén está separado de los nodos de negociación: los secretos yacen cifrados en disco bajo un esquema de sobre, la clave maestra nunca sale del módulo de hardware (HSM), y el texto cifrado se mantiene aparte de la clave de cifrado. El proceso de negociación nunca recibe el secreto en memoria — llama a un servicio de firma sobre TLS mutuo con su propio certificado de servicio y recibe una firma ya preparada. Cada llamada se escribe en un registro de solo anexado. El modelo de amenazas contempla el compromiso de un nodo individual, por lo que las claves se separan por exchanges, subcuentas y ciclos: la clave de negociación se mantiene aparte de la clave de solo lectura usada para la conciliación.