Chave de API somente leitura: as permissões para marcar na Kraken, Coinbase e OKX

Uma chave de API somente leitura é uma chave de acesso à sua conta em uma plataforma que permite consultar os seus saldos, as suas ordens e o seu histórico, sem poder enviar uma ordem, transferir nem sacar.

Por que as permissões da chave importam

Um aplicativo que acompanha o seu portfólio guarda a sua chave para chamar a plataforma em seu nome. Se essa chave vazar, ela entrega as permissões que tem, e só elas. A Coinbase alerta sobre a sua permissão Transfer: quem obtém o segredo de uma chave assim pode enviar todas as suas criptomoedas para fora da sua conta. Uma chave somente leitura mostra apenas o que você mesmo vê.

As permissões em cada plataforma

O que cada permissão permite

• Kraken: as permissões de consulta leem os fundos, as ordens abertas e fechadas, o livro-razão e as exportações; as de depósito, de saque e de ordens agem sobre a conta.
• Kraken Futures: uma chave à parte. Em modo somente leitura, ela só abre os endpoints que não gravam nada no servidor. O acesso total faz dela uma chave mestra, e os saques dependem de uma permissão separada, a Withdrawal API.
• Coinbase: View consulta a conta, Trade envia ordens, Transfer envia fundos.
• OKX: Read consulta a conta e o histórico dela; Trade envia e cancela ordens, transfere fundos e muda configurações; Withdraw saca.

Limitar a chave a um endereço IP

Uma chave também pode ser limitada a endereços IP: a plataforma a recusa se a chamada vier de outro lugar, mesmo com o segredo certo.

• Kraken oferece, para cada chave, uma lista de endereços IP autorizados e uma data de expiração.
• Coinbase recomenda a sua lista de endereços IP autorizados, sem torná-la obrigatória.
• OKX aceita até 20 endereços IP por chave. Uma chave que pode negociar ou sacar sem estar vinculada a um endereço IP expira após 14 dias sem uso.

Hyperliquid: nenhuma chave

O endpoint info da Hyperliquid responde para qualquer endereço, informado em texto puro na requisição: para acompanhar uma conta, basta o endereço dela. A Hyperliquid especifica que é preciso informar o endereço da própria conta, e não o de uma API wallet, que retorna um resultado vazio.

Verificar uma chave depois

• Revise as permissões dela: a página de API da plataforma mostra as de cada chave.
• Exclua uma chave inútil: uma chave excluída não serve mais para nada, mesmo que o segredo dela tenha vazado.
• Substitua uma chave de que você desconfia: crie a nova, coloque-a no aplicativo, verifique se ela funciona e depois exclua a antiga.

Como o CentraFIN trata a sua chave

• Verificada antes de ser guardada: o CentraFIN pede à Coinbase e à OKX as permissões de uma chave nova e a recusa se ela puder negociar, transferir ou sacar. A Kraken não permite essa verificação: a janela de inclusão lista as permissões para marcar.
• Criptografada: a chave e o segredo dela são criptografados (AES-256-GCM) assim que chegam e nunca mais são exibidos.
• Um único endereço: as chamadas saem do nosso servidor de retransmissão, 130.110.240.91, o endereço que você deve autorizar na sua chave.

Para cada plataforma, passo a passo: Kraken, Kraken Futures, Coinbase, OKX e Hyperliquid.

Fontes

• Kraken: como criar uma chave de API
• Kraken Futures: como criar uma chave de API
• Coinbase: autenticação por chave de API
• OKX: criação de uma chave de API
• Hyperliquid: o endpoint info

Perguntas frequentes

Uma chave somente leitura pode esvaziar a minha conta?

Não. Ela não pode enviar ordens, nem transferir, nem sacar. Por outro lado, ela mostra os seus saldos e o seu histórico a quem a tiver.

Devo usar uma chave por aplicativo?

É preferível: assim você pode excluir uma sem mexer nas outras.

Por que limitar a chave a um endereço IP?

Porque uma chave roubada fica inútil em qualquer outro lugar: a plataforma recusa qualquer chamada que não venha de um endereço autorizado.

O que o CentraFIN vê com a minha chave?

O que a chave permite consultar: saldos, posições, ordens, execuções e transferências. Nada mais, já que ela não pode fazer mais nada.