Chiave API in sola lettura: le autorizzazioni da selezionare su Kraken, Coinbase e OKX
Una chiave API in sola lettura lascia che un'app veda il tuo account senza poter fare trading né prelevare. Le autorizzazioni esatte su Kraken, Kraken Futures, Coinbase e OKX, e il limite per IP.
Una chiave API in sola lettura è una chiave di accesso al tuo account su una piattaforma che permette di consultare i tuoi saldi, i tuoi ordini e il tuo storico, senza poter inserire un ordine, trasferire o prelevare.
Perché contano le autorizzazioni della chiave
Un'app che segue il tuo portafoglio conserva la tua chiave per chiamare la piattaforma al posto tuo. Se quella chiave trapela, cede le sue autorizzazioni, e solo quelle. Coinbase avverte a proposito della sua autorizzazione Transfer: chi ottiene il segreto di una chiave del genere può inviare tutte le tue cripto fuori dal tuo account. Una chiave in sola lettura mostra solo quello che vedi tu stesso.
Le autorizzazioni su ogni piattaforma
| Piattaforma | Autorizzazioni da concedere | Autorizzazioni da rifiutare |
|---|---|---|
| Kraken | Query Funds, Query Open Orders & Trades, Query Closed Orders & Trades, Query Ledger Entries, Export Data | Deposito, prelievo e qualsiasi autorizzazione che crea, modifica o annulla ordini |
| Kraken Futures | General API in sola lettura | General API con accesso completo, Withdrawal API con accesso completo |
| Coinbase | View | Trade, Transfer |
| OKX | Read | Trade, Withdraw |
Cosa permette ogni autorizzazione
- Kraken: le autorizzazioni di consultazione leggono i fondi, gli ordini aperti e chiusi, il registro e le esportazioni; quelle di deposito, di prelievo e di ordini agiscono sul conto.
- Kraken Futures: una chiave a parte. In sola lettura, apre solo gli endpoint che non scrivono nulla sul server. L'accesso completo ne fa una chiave master, e i prelievi dipendono da un'autorizzazione separata, la Withdrawal API.
- Coinbase: View consulta l'account, Trade inserisce ordini, Transfer invia fondi.
- OKX: Read consulta l'account e il suo storico; Trade inserisce e annulla ordini, trasferisce fondi e cambia impostazioni; Withdraw preleva.
Limitare la chiave a un indirizzo IP
Una chiave può anche essere limitata a degli indirizzi IP: la piattaforma la rifiuta se la chiamata arriva da altrove, anche con il segreto giusto.
- Kraken offre, per ogni chiave, un elenco di indirizzi IP autorizzati e una data di scadenza.
- Coinbase raccomanda il suo elenco di indirizzi IP autorizzati, senza imporlo.
- OKX accetta fino a 20 indirizzi IP per chiave. Una chiave che può fare trading o prelevare senza essere legata a un indirizzo IP scade dopo 14 giorni di inutilizzo.
Hyperliquid: nessuna chiave
L'endpoint info di Hyperliquid risponde per qualsiasi indirizzo, indicato in chiaro nella richiesta: per seguire un account basta il suo indirizzo. Hyperliquid precisa di dare l'indirizzo dell'account stesso, non quello di un API wallet, che restituisce un risultato vuoto.
Verificare una chiave in seguito
- Ricontrolla le sue autorizzazioni: la pagina API della piattaforma mostra quelle di ogni chiave.
- Elimina una chiave inutile: una chiave eliminata non serve più a nulla, anche se il suo segreto è trapelato.
- Sostituisci una chiave di cui dubiti: crea la nuova, inseriscila nell'app, verifica che funzioni, poi elimina la vecchia.
Come CentraFIN tratta la tua chiave
- Verificata prima di essere conservata: CentraFIN chiede a Coinbase e a OKX le autorizzazioni di una nuova chiave, e la rifiuta se può fare trading, trasferire o prelevare. Kraken non permette questa verifica: la finestra di aggiunta elenca le autorizzazioni da selezionare.
- Cifrata: la chiave e il suo segreto vengono cifrati (AES-256-GCM) appena arrivano e non vengono mai più mostrati.
- Un solo indirizzo: le chiamate partono dal nostro relay, 130.110.240.91, l'indirizzo da autorizzare sulla tua chiave.
Per ogni piattaforma, passo per passo: Kraken, Kraken Futures, Coinbase, OKX e Hyperliquid.
Fonti
- Kraken: come creare una chiave API
- Kraken Futures: come creare una chiave API
- Coinbase: autenticazione con chiave API
- OKX: creazione di una chiave API
- Hyperliquid: l'endpoint info
Domande frequenti
Una chiave in sola lettura può svuotare il mio account?
No. Non può inserire ordini, né trasferire, né prelevare. Mostra invece i tuoi saldi e il tuo storico a chi la possiede.
Serve una chiave per ogni app?
È preferibile: così puoi eliminarne una senza toccare le altre.
Perché limitare la chiave a un indirizzo IP?
Perché una chiave rubata diventa inutilizzabile altrove: la piattaforma rifiuta qualsiasi chiamata che non arrivi da un indirizzo autorizzato.
Cosa vede CentraFIN con la mia chiave?
Ciò che la chiave permette di consultare: saldi, posizioni, ordini, esecuzioni e trasferimenti. Niente di più, perché non può fare altro.
Prendi il controllo del tuo patrimonio
Il tuo account è pronto in un minuto, senza password.