Software de gestoría con API: qué se puede conectar de verdad, qué publica cada programa y qué exigir antes de contratar (2026)

Actualizado: 5 de octubre de 2026.

A 5 de octubre de 2026, de los programas de gestoría que hemos revisado, solo Holded y Quipu publican en abierto la documentación técnica de una API: Holded con límites por plan y webhooks firmados, Quipu con un tope de 5 peticiones cada 5 segundos, un único ámbito de acceso y sin webhooks en su especificación. En Cegid y Contasimple hay documentación parcial o dirigida a partners, Quantum Economics ofrece una clave de acceso con recargo opcional, y en a3, Sage Despachos y Anfix no hemos localizado documentación pública de API. Antes de contratar conviene exigir por escrito quince cosas, entre ellas permisos por clave, límites, coste, webhooks firmados, claves de idempotencia, entorno de pruebas y una vía de salida para los datos.

La pregunta suele llegar cuando el despacho ya tiene otro problema: quiere que los datos de sus clientes lleguen a su CRM, a la web de captación, al programa contable de siempre o a lo que construya un integrador, y descubre que «integración» significa cosas muy distintas en la página comercial y en la práctica.

El contexto empuja en esa dirección. Según la encuesta ETICCE del INE (nota del 22 de octubre de 2025), el 63,6 % de las empresas de 10 o más empleados utiliza un sistema ERP y el 34,5 % un CRM. Según el Barómetro de la Asesoría 2026 de Wolters Kluwer, recogido por la prensa económica, en torno al 71 % de los asesores ya usa inteligencia artificial. Y según el informe «Fotografía de la Pequeña Asesoría en España 2026» de Cegid, citado por MuyPymes, el 70 % de las asesorías sigue operando con hojas de cálculo. Los dos últimos son datos de fuente secundaria: no hemos podido abrir los informes originales.

Entre querer conectar y poder hacerlo hay una distancia que no se ve en una demostración. Un fichero que se importa a mano no es una conexión, una API con un único ámbito de acceso puede no servir, y un recargo por cliente cambia el coste real. Este artículo recoge lo que publica cada fabricante y lo que dice la norma, y termina con una lista de preguntas y un plan para comprobarlo en un mes.

Una advertencia de método: todo lo que se afirma aquí de otros programas procede de su documentación pública consultada el 5 de octubre de 2026. Donde escribimos «no hemos localizado», significa que lo buscamos y no apareció, no que no exista.

1. Qué significa «tener API» y qué no

Cinco cosas que se anuncian como integración

En la web de un fabricante, «se integra con…» puede describir cinco mecanismos muy distintos. La tabla los ordena de menos a más capacidad.

El matiz que decide la compra: quién puede usarla y para qué

Que exista una API no dice qué se puede hacer con ella. La página de ejemplo que Contasimple ofrece a sus partners describe un sistema estándar de OAuth 2.0 cuyas credenciales «deberán ser proporcionados por el equipo de soporte», y los servicios que detalla son la creación de usuarios, el cambio de contraseña y el acceso automático. No hemos localizado documentación pública de acceso a datos contables. En Quipu, la especificación obliga a que el ámbito sea siempre «ecommerce» en cada petición: está pensada para ese caso de uso, y quien quiera conectar un CRM o una herramienta de análisis debe preguntar si encaja.

La documentación de Golfmanager sobre su enlace con A3 es un buen ejemplo del caso contrario: explica que no es una conexión en vivo, sino un fichero de exportación que se descarga y que el despacho importa en A3. Es una práctica legítima, pero conviene llamarla por su nombre.

Por qué importa más allá de la técnica

Una API determina cuánto trabajo manual desaparece, quién puede ver los datos de cada cliente y qué ocurre el día que se cambia de programa. Por eso la evaluación no debería quedarse en «¿tiene API?», sino en qué permisos, con qué límites, a qué precio y con qué salida.

2. Qué publica cada programa a 5 de octubre de 2026

La tabla comparativa

La tabla recoge únicamente lo que cada fabricante publica y hemos podido leer. «No localizado» significa que lo buscamos y no apareció. «No verificable» indica que existe la fuente, pero no pudimos leerla.

Holded: la documentación más completa

Holded publica una API v2 con unos 360 puntos de acceso según su documentación, autenticación mediante clave y permisos específicos por clave: si falta el permiso, la respuesta es 403. Sus webhooks llevan firma HMAC-SHA256, un identificador de entrega que recomienda usar como clave de idempotencia y reintentos con espera creciente cuando el receptor no responde con un código 2xx. Según su artículo de ayuda del 8 de junio de 2026, la API está disponible en todos los planes de pago y no en el plan Free. No hemos localizado un entorno de pruebas.

Cualquier comparativa de 2025 que describa la API de Holded como limitada está desfasada. Eso no la hace perfecta: la página de gestión de errores indica 100 peticiones por minuto por clave, mientras que la página de límites publica una tabla por plan y aclara que las claves de una misma cuenta comparten contadores. Es un ejemplo de por qué el límite aplicable conviene pedirlo por escrito.

Quipu: una API pensada para un caso concreto

La especificación de Quipu describe una API REST con formato JSON:API, OAuth 2.0 con credenciales de cliente, tokens de dos horas y un límite de «5 requests per 5 seconds». No aparece la palabra «webhook» en todo el documento, de modo que, si el despacho necesita enterarse de un cambio, tendrá que consultar periódicamente. La página de integraciones de Quipu lista «Integraciones y API» a partir del plan intermedio, Solution, y no en Starter.

Los que no hemos podido documentar

Sobre a3, Sage Despachos y Anfix la conclusión es incómoda y debe leerse con cuidado. En Sage, la respuesta de su personal en la comunidad tiene más de dos años según el propio hilo, y conviene confirmarla hoy con el distribuidor. En otro hilo, un integrador pregunta si el programa tiene una API pública con documentación y se le remite a soporte o al distribuidor. En a3, el portal de desarrolladores existe, pero no hemos podido leerlo. En Anfix, la tabla de precios incluye una fila de «Integración API», pero no hemos podido confirmar en qué planes está. Ante cualquiera de estos tres, la pregunta al comercial es la misma: documentación pública, fecha y plan.

3. Fichero, API o webhooks: tres caminos y cuándo vale cada uno

No todos los despachos necesitan una API. Muchos resuelven su caso con un fichero bien definido; otros necesitan sincronizar en continuo. La elección depende de la frecuencia, del volumen y de quién tiene que actuar.

El fichero sigue siendo una opción seria

Para pasar los asientos de un trimestre a otro programa contable, un fichero con formato conocido es más simple y más fácil de auditar que una conexión continua. Lo que hay que exigir es que el formato esté documentado y que la importación admita el mismo programa en ambos sentidos. Es el camino que más se parece a la salida del programa: si algún día cambia de proveedor, el despacho usará ese fichero.

La API: leer lo que cambió, no todo cada vez

Una API útil permite paginar por cursor y pedir solo lo modificado desde una fecha. Sin ese filtro, cada sincronización vuelve a leer todo y consume cuota. Si el proveedor limita el número de llamadas al mes, ese detalle decide si la integración cabe en el plan.

Los webhooks: enterarse sin preguntar

Un webhook es un aviso que el programa envía a una dirección del despacho cuando ocurre un evento. Evita consultar cada pocos minutos y ahorra llamadas de la cuota. Para que sean fiables deben llevar una firma que el receptor pueda comprobar, reintentarse si la entrega falla y ofrecer un historial de entregas. Además, el receptor debe tolerar recibir el mismo aviso dos veces: por eso Holded entrega un identificador pensado como clave de idempotencia.

4. Qué dice la norma: Reglamento de Datos y RGPD

El Reglamento de Datos y las interfaces abiertas

El Reglamento (UE) 2023/2854, conocido como Reglamento de Datos, se publicó en el DOUE y es aplicable desde el 12 de septiembre de 2025, según su artículo 50. Su capítulo IV regula el cambio entre servicios de tratamiento de datos. El artículo 30.2 dispone: «Los proveedores de servicios de tratamiento de datos, distintos de a los que se refiere el apartado 1, pondrán gratuitamente interfaces abiertas a disposición de todos sus clientes y de los proveedores de servicios de tratamiento de datos de destino afectados, de igual manera, para facilitar el proceso de cambio.» El artículo 29.1 añade: «A partir del 12 de enero de 2027, los proveedores de servicios de tratamiento de datos no impondrán al cliente ningún coste por cambio por el proceso de cambio.»

El texto se puede leer en el DOUE-L-2023-81895. El artículo 25.2.d) fija además que el preaviso para iniciar el cambio no excederá de dos meses. Las consecuencias prácticas para un despacho se analizan en el artículo sobre el Data Act y el cambio de software de gestoría.

La cautela de ámbito

Que un programa de gestoría concreto sea un «servicio de tratamiento de datos» en el sentido del artículo 2.8, y que el contrato quede dentro del capítulo IV según su fecha, es una cuestión jurídica que debe valorar un abogado caso por caso. No es seguro que todos los programas entren. Sí es razonable preguntar al proveedor cómo interpreta su situación y qué exportación ofrece, con independencia de la respuesta.

RGPD: portabilidad, encargo y seguridad

El artículo 20.1 del Reglamento (UE) 2016/679 establece que «el interesado tendrá derecho a recibir los datos personales que le incumban, que haya facilitado a un responsable del tratamiento, en un formato estructurado, de uso común y lectura mecánica, y a transmitirlos a otro responsable del tratamiento sin que lo impida el responsable al que se los hubiera facilitado». Es un derecho de la persona física, no del despacho como cliente profesional.

Lo que sí puede exigir el despacho, como responsable de los datos de sus clientes, está en el artículo 28.3, letra h): el encargado «pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable». La letra g) del mismo apartado prevé que, a elección del responsable, el encargado suprima o devuelva los datos al terminar el servicio. El artículo 32 exige medidas técnicas y organizativas adecuadas al riesgo, entre ellas el cifrado y la capacidad de garantizar la confidencialidad y la disponibilidad. El texto está en el DOUE L 119, de 4 de mayo de 2016.

Traducido a una API: claves con permisos mínimos, registro de quién accedió a qué, posibilidad de revocar el acceso y una vía para exportar y suprimir los datos de un cliente.

5. Cuánto cuesta de verdad: plan, recargo y límites

El precio de una API es el dato más disperso. Entre los programas que lo publican hay cuatro modelos distintos.

En el caso de Holded, los datos proceden de su página de límites del 5 de octubre de 2026. Cegid describe esa estructura en la documentación de Loop, su producto para despachos, y no hemos comprobado que aplique a todos sus programas en España.

El efecto del recargo por cliente

Según la página de precios de Quantum Economics, el plan Basic cuesta 2,5 € por cliente al mes y ofrece la opción de acceso a Q-Api por 2 € al mes por cliente; el plan Standard cuesta 5 € por cliente al mes y lista Q-Api entre sus prestaciones. Un cálculo propio sobre esas cifras, para un despacho con 100 clientes: 250 € al mes en Basic sin API, 450 € con la opción de Q-Api y 500 € en Standard. La diferencia entre las dos últimas es de 50 €, y Standard incluye además otras prestaciones que no hemos comparado. El recargo sube el coste un 80 % respecto a la cuota base de Basic.

Cuota compartida y exceso: dos letras pequeñas

Holded aclara que todas las claves de la misma cuenta comparten los mismos contadores, así que crear más claves no amplía el cupo. Y el modo de tratar el exceso importa: bloquear la lectura hasta el mes siguiente obliga a vigilar el consumo, mientras que facturar el exceso lo convierte en un coste variable. Ninguna de las dos opciones es mala, pero conviene saber cuál se contrata.

6. Quince preguntas para el proveedor antes de firmar

La lista que sigue pide pruebas, no promesas. Cada pregunta tiene un ejemplo real documentado el 5 de octubre de 2026, que muestra que se puede pedir; no son estándares universales.

Documentación y versiones

1. ¿Hay documentación pública, versionada y con fecha? Holded declara obsoleta su v1 y publica la v2; Quipu fija la versión en una cabecera. Pide la política de retirada de versiones.
2. ¿Es una API sobre datos contables o solo de alta de usuarios? La documentación de partners de Contasimple describe usuarios y acceso, no asientos.
3. ¿Qué formato tienen los errores? Holded devuelve tipo, título, estado y detalle; un formato estable facilita el diagnóstico.

Acceso y seguridad

4. ¿Qué autenticación usa y puedo rotar y revocar claves? Clave en Holded; OAuth 2.0 con token de dos horas en Quipu.
5. ¿Hay permisos por clave? En Holded, cada clave tiene permisos concretos y la falta de uno da un 403.
6. ¿Puedo limitar a qué clientes accede cada clave? Es relevante para el artículo 32 del RGPD. No lo hemos localizado en las documentaciones leídas.
7. ¿Hay registro de consumo y de accesos? Tampoco localizado en las documentaciones leídas; pregúntalo.
8. ¿Quién es encargado y subencargado, y puedo auditar? Artículos 28.2 y 28.3.h del RGPD.

Fiabilidad

9. ¿Qué límites hay y qué ocurre al superarlos? Pídelo por escrito, porque la propia documentación de Holded presenta dos cifras distintas.
10. ¿Hay webhooks, están firmados y se reintentan? Quipu no los publica; Holded sí.
11. ¿Las escrituras admiten clave de idempotencia? No lo hemos localizado en ninguna documentación de otro fabricante. Sin ella, reintentar una escritura puede duplicar una factura.
12. ¿Existe entorno de pruebas? No lo hemos localizado en Holded ni en Quipu; Cegid permite probar en su portal.

Coste y salida

13. ¿En qué plan entra y cuánto cuesta, incluido el exceso? Hay cuatro modelos, como muestra la sección 5.
14. ¿Puedo exportar todos mis datos, en qué formato y cuánto cuesta salir? Artículos 28.3.g del RGPD y, si aplica, 25.2 y 29.1 del Reglamento de Datos.
15. ¿Cuánto tarda la salida y qué preaviso exige? El Reglamento de Datos habla de un máximo de dos meses de preaviso, si el servicio entra en su ámbito.

7. Cómo lo resuelve CopilotGestoria y qué no hace su API

Qué ofrece

CopilotGestoria publica desde septiembre de 2026 una API pública con documentación abierta y sin registro. Es REST sobre JSON, tiene 93 rutas y 36 permisos que el gestor marca clave a clave en el panel (Integraciones, API y desarrolladores). Solo el titular o un administrador del equipo puede crear claves. La clave pertenece a la gestoría, se muestra una sola vez y se envía como cabecera de autorización.

El gestor autoriza los clientes uno a uno en cada clave. La petición indica sobre qué cliente actúa mediante una cabecera, y si ese cliente no está autorizado no se lee: la respuesta es el error sin_consentimiento. Toda escritura exige una clave de idempotencia, porque emitir una factura consume un número correlativo de serie y un eslabón de la cadena de huellas, y un reintento sin clave crearía una segunda factura real; el resultado se conserva 24 horas.

La paginación es por cursor, de 1 a 100 elementos, con filtro de modificaciones desde una fecha en facturas y documentos. Las operaciones largas, como subir un documento a digitalización, generar modelos anuales o importar un extracto o un listado de clientes, responden con un 202 y un trabajo consultable. Los errores traen un código estable, un identificador de petición y un enlace a su registro en el panel. Los webhooks llevan la firma CG-Signature, se verifican antes de activarse enviando una firma correcta y otra falsa, y tienen historial de entregas y reenvío. Los eventos incluyen factura emitida, cobro registrado, documento procesado o rechazado, alerta detectada, modelo generado, consentimiento revocado y credencial a punto de caducar.

Sobre la seguridad de las claves: al rotar una, la anterior sigue viva 7 días; una clave sin uso durante 90 días se marca para caducar con 30 días de aviso. Con un permiso aparte se pueden consultar la actividad de la integración sobre un cliente, exportar sus datos completos en un fichero y suprimir el rastro de la integración. Por fichero, además, exporta asientos a 11 formatos de programas contables e importa libro diario en 9, una vía que convive con la API.

Qué no hace, dicho sin adornos

• No hay OAuth 2.0 en esta versión: el acceso es por clave.
• No hay SDK oficiales.
• No hay conectores nativos publicados con Zapier, Make ni con ningún CRM concreto. Existen la API y los webhooks, con los que un integrador puede construir esa conexión, pero no un producto ya preparado.
• No hay conexión bancaria PSD2: los extractos se importan como fichero (CSV, Norma 43 u OFX).
• La API no presenta modelos ante la AEAT, porque la presentación exige teclear en el panel, en ese momento, la contraseña del certificado del cliente. Consulta modelos, descarga sus ficheros y puede generarlos, pero la presentación se hace en el panel. Hay más sobre este límite en el artículo sobre software que presenta modelos sin subir el fichero a mano.
• No anula ni rectifica facturas, no escribe asientos contables, no confirma conciliaciones (solo las propone), no genera nóminas ni remesas SEPA, no cambia el NIF ni el correo de un cliente y no borra físicamente.
• La clave de pruebas lee todo pero no escribe sobre datos de clientes; permite gestionar los destinos de webhook. No hay un entorno de pruebas con datos ficticios separado.

Planes, permisos y límites

Las lecturas consumen cupo mensual y las escrituras no. Al agotar el cupo se bloquea la lectura con un 429 hasta el día 1, y el exceso no se factura. Se publican cabeceras de límite y un máximo de 8 peticiones simultáneas por clave. El plan se comprueba en cada petición: si la gestoría baja de plan, la clave deja de poder hacer lo que el plan nuevo no incluye. Empresa añade lista de IP autorizadas, caducidad elegida al crear la clave y avisos de cupo y de caducidad, además del alta de clientes, actividades, SEPA y trabajadores por API. Más detalle en las funcionalidades y en la página de compatibilidad.

8. Plan de implantación en 30 días

Probar una integración antes de apoyar el trabajo del despacho en ella es más barato que corregirla después. Este plan sirve para cualquier proveedor.

Semana 1: inventario

Anota qué dato tiene que moverse, en qué sentido, con qué frecuencia y quién actúa. Un ejemplo habitual: del programa al CRM, cada vez que se emite una factura. Separa lo que puede resolverse con un fichero de lo que necesita una conexión continua. Pide por escrito los límites, el plan y el coste.

Semana 2: pruebas con la clave de lectura

Haz tres llamadas representativas con una clave de solo lectura: listar clientes, leer facturas modificadas desde una fecha y descargar un documento. Registra un destino de webhook, provoca un evento y comprueba que la firma se verifica y que el aviso duplicado no genera efectos dobles. Mide el número de llamadas consumidas.

Semana 3: piloto con pocos clientes

Autoriza solo los clientes del piloto y los permisos mínimos. Si el programa permite escribir, hazlo primero sobre datos de prueba o con un cliente interno. Revisa el registro de accesos y de consumo, y confirma con cada cliente piloto el tratamiento de sus datos.

Semana 4: decisión y salida

Compara el consumo real con el cupo del plan. Comprueba que puedes exportar todos los datos de un cliente. Decide, y deja documentado quién rota las claves, quién vigila el consumo y qué se hace si el proveedor cambia de versión.

Conclusión: se evalúa lo que se puede comprobar

La respuesta a la pregunta del título es corta. Hoy, entre los programas que hemos revisado, la documentación pública y completa de una API es la excepción, no la norma: Holded y Quipu la publican, con diferencias importantes; Cegid y Contasimple publican parte; y en a3, Sage Despachos y Anfix no hemos localizado nada que un integrador pueda leer sin acuerdo previo. Eso no significa que no se pueda conectar; significa que el despacho debe pedir lo que no está publicado y no darlo por supuesto.

Los criterios que separan una integración útil de una frágil se repiten. Permisos por clave y por cliente, para que cada herramienta vea solo lo que necesita. Límites publicados por escrito y claros sobre qué ocurre al superarlos. Webhooks firmados, que evitan consultar sin parar. Claves de idempotencia en cada escritura, para que un reintento no duplique una factura. Un precio conocido, sin recargos que aparezcan después. Y una salida: un fichero completo de los datos, un plazo y un coste que se puedan comprobar antes de firmar.

La norma ayuda, pero no sustituye al contrato. El RGPD obliga a pactar con el encargado la devolución y la supresión de los datos y la posibilidad de auditar; el Reglamento de Datos puede reforzar el derecho a cambiar de proveedor, si el servicio entra en su ámbito, algo que debe valorar un abogado. Lo prudente es pedir esas garantías en el contrato y no esperar a que la norma las dé por añadidura.

Preguntas frecuentes

Fuentes consultadas el 5 de octubre de 2026: Reglamento (UE) 2023/2854, arts. 25, 29, 30 y 50, en el DOUE-L-2023-81895; Reglamento (UE) 2016/679, arts. 20, 28 y 32, en el DOUE L 119; Holded, límites de la API y artículo de ayuda; Quipu, especificación de la API v1 y página de integraciones; Quantum Economics, precios para asesorías; Cegid, documentación de Loop; Contasimple, página de integración para partners; TeamSystem, API DELSOL; comunidad de Sage Despachos Connected; Golfmanager, integración con A3; INE, encuesta ETICCE 2024-1T2025; Wolters Kluwer, Barómetro de la Asesoría 2026; Cegid, informe vía MuyPymes.