API para la emisión de tarjetas criptográficas: una guía práctica sobre su funcionamiento real.

Crear un programa de tarjetas a la antigua usanza implica un banco patrocinador, un procesador, una oficina de personalización y una función de cumplimiento, conformados contrato por contrato. El plazo que se suele mencionar para ello es de dieciocho meses.

Una API para la emisión de tarjetas argumenta que ya no es necesario hacerlo. No elimina ese trabajo por completo, sino que lo traslada en su mayor parte a otra empresa, y conviene comprender lo que queda antes de firmar.

Puntos Clave

• Una API de emisión de tarjetas de criptomonedas permite a una empresa crear y gestionar tarjetas de pago vinculadas a saldos de criptomonedas, normalmente sin necesidad de tener su propia licencia de tarjeta, patrocinio bancario o infraestructura de procesamiento.
• UPay Business ofrece la emisión de tarjetas Visa físicas y virtuales a través de una única API, comisiones por pagos con criptomonedas inferiores al 1%, frente al 3% al 5% que cobra por los pagos transfronterizos tradicionales, y acepta BTC, ETH, USDT y más de 50 activos adicionales en los estándares TRC20, ERC20 y BSC.
• UPay Business publica aproximadamente cinco minutos para la liquidación de criptomonedas y T+0 o T+1 para el pago en moneda fiduciaria, según el canal, con la liquidación bancaria en T+1. Son tramos diferentes, no una contradicción, así que pregunte en qué tramo finaliza su transacción.
• La propia documentación para desarrolladores de UPay publica un entorno de prueba, una ventana de validez de firma de 60 segundos por solicitud y la inclusión obligatoria de direcciones IP en una lista blanca, y señala que su URL base de producción no se divulga públicamente.
• El cumplimiento normativo que usted hereda es real: verificación de identidad, monitoreo de transacciones, control de sanciones, la Regla de Viajes de 3,000 dólares estadounidenses en los Estados Unidos y PCI DSS v4.0.1, actualmente la única versión activa, cuyos 51 requisitos con fecha futura entraron en vigor el 31 de marzo de 2025.
• En cuanto a los registros, tenga en cuenta lo que UPay enumera: una licencia de operador de servicios monetarios de Hong Kong, una aprobación preliminar como proveedor de servicios de activos virtuales de Lituania y registros comerciales de servicios monetarios en Estados Unidos y Canadá.

¿Qué es una API de emisión de tarjetas criptográficas?

Una API para la emisión de tarjetas de criptomonedas es un conjunto de puntos finales programables que permiten a una empresa crear, financiar, bloquear y cancelar tarjetas de pago vinculadas al saldo de criptomonedas de un cliente, sin necesidad de poseer la infraestructura subyacente.

El proveedor gestiona las relaciones difíciles de conseguir: la pertenencia a la red, el acuerdo de emisión, el procesamiento y la conversión. Usted conserva al cliente, la marca y las reglas de gasto.

El paso de conversión es donde reside la parte de las criptomonedas. La tarjeta es una tarjeta común en una red común; lo que agrega el proveedor convierte el saldo de criptomonedas en moneda de liquidación al momento de la autorización, de modo que el comerciante ve una transacción normal y el cliente un débito en criptomonedas.

Cómo funciona el flujo, paso a paso

Proceso de incorporación y verificación de identidad. Tu aplicación recopila los datos del cliente y los envía a través de los puntos de verificación del proveedor. El resultado se recibe de forma asíncrona, por lo que debes diseñar la aplicación para que muestre un estado pendiente en lugar de una respuesta afirmativa o negativa.

Financiamiento del saldo. El cliente transfiere criptomonedas a la cuenta asociada a la tarjeta. En UPay, esto se realiza mediante una recarga desde la billetera UPay, en lugar de un débito directo, por lo que el saldo es algo que el cliente mantiene actualizado.

Emisión y activación. Una tarjeta virtual se emite rápidamente. Una tarjeta física debe producirse y enviarse, por lo que los puntos de acceso a las tarjetas de UPay incluyen activación y seguimiento logístico, además del registro.

Autorización. Cuando el cliente paga, la red envía una solicitud de autorización, el proveedor verifica el saldo y las reglas de gasto, realiza la conversión y aprueba o rechaza el pago. Todo lo que desee controlar debe configurarse con antelación.

Liquidación y conciliación. Las transacciones liquidadas se envían al comerciante a través de la red, mientras que su sistema realiza la conciliación con los webhooks. El registro se encuentra en la fuente de datos del webhook y el panel de control ofrece un resumen.

Nuestra nota sobre cómo funcionan los pagos en USDT explica lo que realmente indica una confirmación de cadena, que es la información de entrada para esa conciliación.

Lo que realmente publica la documentación de la API de UPay

Esto es lo que indican la documentación para desarrolladores y las páginas comerciales de UPay.

Lo que pide un comprador	Lo que publica el propio material de UPay	Donde dice
¿Qué tarjetas puedo emitir?	Tarjetas Visa físicas y virtuales a través de una única API.	Sitio web de negocios de UPay
¿Hay un entorno de pruebas?	Se publica un entorno de prueba; el entorno de pruebas aparece como no disponible y la URL base de producción no se divulga públicamente.	Referencia de la API de UPay
¿Cómo se autentica una solicitud?	Cada solicitud se firma, y ​​una firma es válida durante 60 segundos antes de que deba regenerarse.	Referencia de la API de UPay
¿Existen restricciones de red?	Las direcciones IP que realizan las llamadas deben estar en la lista de permitidos, y las respuestas solo provienen de direcciones designadas.	Referencia de la API de UPay
¿Qué puedo hacer con una tarjeta?	Registrarse, activar, recargar, bloquear y desbloquear, cancelar, consultar facturas, establecer una contraseña comercial, realizar el seguimiento de la logística, confirmar 3-D Secure, autorizar un importe de gasto	Referencia de la API de UPay
¿Qué más abarca la API?	Comerciante, Cuenta, Grupo de clientes, Cliente, Dirección, Tarjeta, Billetera, Adquirente, Gasto, IFrame, Carga de archivos, Lista de regiones, Lista de códigos y Grupos de webhook	Referencia de la API de UPay
¿La documentación está en inglés?	La referencia principal está en chino simplificado; una versión completa en inglés se publica en upay-api-en.readme.io (https://upay-api-en.readme.io/)	Referencia de la API de UPay, ambas ediciones
¿Cómo sé que algo ha pasado?	Notificaciones de webhook para eventos de tarjeta, billetera, adquisición y pago.	Referencia de la API de UPay
¿Cuánto cuesta procesarlo?	Menos del 1 por ciento en pagos con criptomonedas, frente al 3 al 5 por ciento citado para las transacciones transfronterizas tradicionales.	Sitio web de negocios de UPay
¿Con qué rapidez se liquida el dinero?	Aproximadamente 5 minutos en la cadena (“~ 5 minutos”); pago en moneda fiduciaria T+0 o T+1 dependiendo del canal; liquidación bancaria T+1	Sitio web de UPay Business y su página de pagos con criptomonedas.

Vale la pena leer ambos antes de definir el alcance del trabajo: la lista de permisos restringe dónde se ejecuta el código, y una ventana de firma de 60 segundos restringe cómo se reintenta.

UPay Business publica que la liquidación de criptomonedas tarda unos cinco minutos, lo que supone "~ 5 minutos" frente a los 1 a 5 días hábiles de los sistemas tradicionales, mientras que su página de pagos con criptomonedas indica que la liquidación en cadena "puede completarse en tiempo real, mientras que la liquidación en moneda fiduciaria suele ser T+0 o T+1, dependiendo del canal de pago", y la liquidación bancaria aparece como T+1.

La cifra rápida corresponde al tramo en cadena y T+0 o T+1 al tramo de pago en moneda fiduciaria, así que pregunte en qué tramo termina realmente su transacción. UPay también publica la única cifra de retorno de la inversión (ROI) en esta categoría: un ahorro de entre 20 000 y 50 000 dólares estadounidenses por millón procesado en comparación con las redes bancarias tradicionales.

El cumplimiento normativo que usted hereda

La tecnología funciona a toda velocidad. El archivo de cumplimiento tarda un trimestre y determina la fecha de lanzamiento.

Verificación de identidad. La emisión de tarjetas es una actividad regulada en todos los mercados relevantes para un programa de tarjetas, por lo que cada titular se verifica antes de que exista la tarjeta. UPay publica puntos de acceso para enviar, consultar y consultar el estado de la solicitud, por lo que su producto debe mostrar un estado intermedio entre "solicitado" y "aprobado".

Nuestra guía sobre el cumplimiento de la normativa "conozca a su cliente" en el sector de las criptomonedas detalla en qué consisten las comprobaciones.

Supervisión de transacciones y sanciones. El análisis se realiza comparando los nombres y, en el caso de las criptomonedas, las direcciones de las billeteras. La Oficina de Control de Activos Extranjeros del Departamento del Tesoro de EE. UU. incluye las direcciones de criptomonedas en su lista de sanciones desde 2018, por lo que una dirección es un identificador que se puede analizar, al igual que un nombre.

UPay nombra a sus socios de infraestructura, algo que la mayoría de los proveedores no hacen: verificación de identidad con Sumsub, anunciada por UPay en mayo de 2024 ; liquidación de stablecoins con StraitsX; e infraestructura en la nube con Tencent Cloud. Los tres aparecen en UPay Business bajo el apartado «Construido sobre alianzas globales de confianza». Los socios nombrados se pueden verificar; la «infraestructura de nivel empresarial» no.

La regla de viaje. En Estados Unidos, la norma 31 CFR 1010.410(f) exige que la información del remitente y del beneficiario se transmita junto con transferencias de 3,000 dólares estadounidenses o más. Esta regla es anterior a las criptomonedas y se aplica a ellas.

PCI DSS. La seguridad de los datos de las tarjetas se basa en el Estándar de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS). El Consejo de Estándares de Seguridad de la Industria de Tarjetas de Pago (PCI DSS) retiró la versión 4.0 el 31 de diciembre de 2024, por lo que la versión 4.0.1 es ahora la única versión activa.

De los 64 requisitos introducidos en la versión 4.x, 51 tenían fecha futura y entraron en vigor el 31 de marzo de 2025 , por lo que la evaluación actual se realiza con base en el conjunto completo de requisitos y no en el conjunto transitorio.

Utilizar los campos de tarjeta alojados por un proveedor limita el alcance de tu código. No lo elimina, y la pregunta que te hará el auditor será qué campos utiliza tu propio código.

Licencias. Solicite la lista y compárela con los registros oficiales, no con la página de marketing. UPay cuenta con una licencia de operador de servicios monetarios en Hong Kong, una aprobación preliminar como proveedor de servicios de activos virtuales en Lituania y registros comerciales de servicios monetarios en Estados Unidos y Canadá.

UPay ha publicado los identificadores de ambas entidades: 31000257909666 para el registro estadounidense y M24993747 para el canadiense. Búsquelos usted mismo en el buscador de entidades registradas de MSB de FinCEN y en el registro de MSB de FINTRAC, y si en alguno de ellos no aparece la entidad con la que está contratando, pregunte el motivo antes de continuar.

Las dos páginas de UPay no coinciden en este punto. Su página de inicio enumera las cuatro como ya en posesión; su página "Acerca de" todavía las incluye en una línea de tiempo de "Objetivos y planes" como licencias por obtener, con fechas del tercer trimestre de 2023 y el primer trimestre de 2024, junto con una licencia fiduciaria que no aparece en la página de inicio.

Esa es la práctica habitual en el marketing de los vendedores, y por eso la respuesta está en el registro, en lugar de en la página web.

Desafíos en el uso de las API de emisión de tarjetas criptográficas

Las normas varían según el mercado y la nacionalidad. Una sola API no garantiza un solo producto. Las listas de sanciones, las normas de red y la lista de países del propio proveedor limitan a quién puedes prestar servicio.

El riesgo de conversión no desaparece, sino que se traslada. Convertir en el momento de la autorización concentra la exposición del cliente en los segundos previos y posteriores a cada compra. En un activo de financiación volátil, una disminución en un saldo que parecía suficiente una hora antes constituye una incidencia de soporte, no un error.

Sigues creando la parte aburrida. La API gestiona los problemas y las tarjetas de control. Los extractos, la recepción de reclamaciones, el flujo de verificación 3-D Secure, el recordatorio de recarga y la exportación de impuestos son tu responsabilidad. Los equipos definen el alcance de los puntos finales y se olvidan del resto del producto.

Sus clientes necesitan información. Una tarjeta financiada con una cartera digital se rechaza si el saldo es insuficiente, sin descubierto ni recarga automática. Indíquelo durante el proceso de incorporación, no en los términos y condiciones.

Usted hereda la estabilidad del proveedor. Un programa de tarjetas no es algo que se pueda cambiar de un día para otro. Pregunte qué sucede con las tarjetas activas si el proveedor cambia de socio emisor.

Qué comprobar antes de firmar

¿Qué mercados y con qué criterio? La elegibilidad para la tarjeta se basa en la nacionalidad, no en la residencia, y varía según el modelo. La tarjeta Premier de UPay rechaza las solicitudes de una larga lista de países y territorios, la mayoría deshabitados o en disputa.

Su tarjeta Platinum rechaza solicitudes de una lista mucho más reducida, que incluye a Estados Unidos, China, India, Indonesia, Pakistán, Vietnam, Turquía, Arabia Saudita e Israel, entre otros. Esta lista reducida es la que pone fin a las transacciones, y ambas tarjetas prohíben directamente a las nacionalidades sancionadas.

UPay actualiza la lista e indica que se basa en las listas de Visa y en las principales listas globales de riesgos regulatorios y sanciones, por lo que recomienda obtener la versión actual en su Centro de Ayuda.

¿Quién es el emisor? Las tarjetas de UPay son emitidas por instituciones asociadas, no por UPay directamente, y es esa entidad la que rige las normas de su programa.

UPay ha identificado a una entidad: JC Credit Limited, para su tarjeta de crédito en Hong Kong, bajo términos que hacen referencia a Mastercard. Sus tarjetas Premier y Platinum actuales, así como la emisión de su API Business, funcionan con Visa. Pregunte qué entidad emite la suya.

¿Qué tipo de interés se aplica? Pregunte qué tipo de interés se establece en el momento de la autorización, qué margen se aplica y quién asume la diferencia entre la autorización y la liquidación.

Cómo darse de baja. Pregunte qué sucede con los titulares de sus tarjetas si usted se da de baja, quién es el propietario de las credenciales tokenizadas y qué preaviso se aplica. La respuesta rara vez se encuentra en la documentación.

¿Priorizas los proveedores sobre la mecánica? Nuestra guía de plataformas de emisión de tarjetas criptográficas para startups las compara, y la infraestructura de pagos criptográficos B2B cubre el aspecto de la liquidación.

Lo que realmente consume tiempo

Un despliegue inicial realista dura entre tres y cuatro meses, y muy poco de ese tiempo corresponde a ingeniería: la ingeniería dura semanas, mientras que el archivo de cumplimiento dura un trimestre. Ambas son estimaciones de trabajo, no cifras publicadas.

La verificación de identidad empresarial en una entidad con estructura de propiedad compleja es el paso que suele demorarse. Tenga listos los documentos de constitución, un organigrama de la propiedad y la identificación de los directores.

A partir de ahí, se trata de decisiones más que de código: qué controles de gasto se exponen, qué hace el servicio de asistencia cuando una tarjeta es rechazada en un surtidor de gasolina debido a una retención de preautorización, y cómo un cliente recarga un saldo que se ha agotado.

La integración en sí es la parte más sencilla, y es la parte que se explica en detalle en nuestra guía de integración de la API de la pasarela de pago.

Preguntas Frecuentes

¿Es difícil integrar una API para la emisión de tarjetas criptográficas?

La integración no es lo más complicado. La documentación, un entorno de prueba y los webhooks hacen que la ingeniería sea cuestión de semanas. La verificación de su propia empresa, la aprobación de cumplimiento y los términos comerciales determinan la fecha.

¿Necesito mi propia licencia para emitir tarjetas a través de una API?

Por lo general, no: el proveedor y su socio emisor son los titulares de las licencias, y usted opera como gestor del programa con su autorización. Esta es una postura comercial, no una opinión legal, por lo que conviene confirmarla para cada mercado en el que opere.

¿Cómo gestiona una tarjeta de criptomonedas las fluctuaciones de precio entre la compra y la liquidación?

El proveedor realiza la conversión al momento de la autorización, por lo que el saldo se debita según el tipo de cambio vigente en ese momento. La diferencia entre la autorización y la liquidación se transfiere a algún lugar, y el contrato especifica dónde.

¿Cuál es la diferencia entre la emisión de tarjetas y una pasarela de pago?

Una pasarela de pago te permite aceptar dinero de los clientes. La emisión de tarjetas les proporciona una tarjeta para que la utilicen. Son dos cosas parecidas, pero con problemas opuestos, y muchas empresas quieren ambas.

¿Puedo emitir tarjetas a clientes en cualquier lugar?

No. Un programa de tarjetas tiene una lista de países y nacionalidades a los que no puede prestar servicio, debido a sanciones y normas de la red. Consulta la lista actualizada antes de analizar un mercado.