Chave de API só de leitura: as permissões a selecionar na Kraken, Coinbase e OKX
Uma chave de API só de leitura deixa uma aplicação ver a sua conta sem poder negociar nem levantar fundos. As permissões exatas na Kraken, Kraken Futures, Coinbase e OKX, e o limite por IP.
Uma chave de API só de leitura é uma chave de acesso à sua conta numa plataforma que permite consultar os seus saldos, as suas ordens e o seu histórico, sem poder colocar uma ordem, transferir nem levantar fundos.
Porque é que as permissões da chave contam
Uma aplicação que acompanha o seu portefólio guarda a sua chave para fazer pedidos à plataforma em seu nome. Se essa chave for exposta, dá as permissões que tem, e só essas. A Coinbase avisa, a propósito da sua permissão Transfer: quem obtiver o segredo de uma chave destas pode enviar todas as suas criptomoedas para fora da sua conta. Uma chave só de leitura mostra apenas o que vê por si próprio.
As permissões em cada plataforma
| Plataforma | Permissões a conceder | Permissões a recusar |
|---|---|---|
| Kraken | Query Funds, Query Open Orders & Trades, Query Closed Orders & Trades, Query Ledger Entries, Export Data | Depósito, levantamento e qualquer permissão que crie, altere ou cancele ordens |
| Kraken Futures | General API só de leitura | General API com acesso total, Withdrawal API com acesso total |
| Coinbase | View | Trade, Transfer |
| OKX | Read | Trade, Withdraw |
O que cada permissão permite
- Kraken: as permissões de consulta leem os fundos, as ordens abertas e fechadas, o livro-razão e as exportações; as de depósito, de levantamento e de ordens atuam sobre a conta.
- Kraken Futures: uma chave à parte. Só de leitura, abre apenas os endpoints que não escrevem nada no servidor. O acesso total torna-a uma chave mestra, e os levantamentos dependem de uma permissão separada, a Withdrawal API.
- Coinbase: View consulta a conta, Trade coloca ordens, Transfer envia fundos.
- OKX: Read consulta a conta e o respetivo histórico; Trade coloca e cancela ordens, transfere fundos e altera definições; Withdraw levanta fundos.
Limitar a chave a um endereço IP
Uma chave também pode ser limitada a endereços IP: a plataforma recusa-a se o pedido vier de outro lado, mesmo com o segredo certo.
- Kraken propõe, para cada chave, uma lista de endereços IP autorizados e uma data de expiração.
- Coinbase recomenda a sua lista de endereços IP autorizados, sem a impor.
- OKX aceita até 20 endereços IP por chave. Uma chave que pode negociar ou levantar fundos sem estar associada a um endereço IP expira após 14 dias sem utilização.
Hyperliquid: nenhuma chave
O endpoint info da Hyperliquid responde para qualquer endereço, indicado em claro no pedido: para acompanhar uma conta, basta o respetivo endereço. A Hyperliquid especifica que se deve indicar o endereço da própria conta, e não o de uma API wallet, que devolve um resultado vazio.
Verificar uma chave depois
- Reveja as permissões: a página de API da plataforma mostra as de cada chave.
- Elimine uma chave inútil: uma chave eliminada deixa de servir para o que quer que seja, mesmo que o respetivo segredo tenha sido exposto.
- Substitua uma chave de que desconfie: crie a nova, coloque-a na aplicação, verifique que funciona e depois elimine a antiga.
Como o CentraFIN trata a sua chave
- Verificada antes de ser guardada: o CentraFIN pede à Coinbase e à OKX as permissões de uma chave nova e recusa-a se puder negociar, transferir ou levantar fundos. A Kraken não permite esta verificação: a janela de adição lista as permissões a selecionar.
- Encriptada: a chave e o respetivo segredo são encriptados (AES-256-GCM) assim que chegam e nunca mais são apresentados.
- Um único endereço: os pedidos partem do nosso servidor de retransmissão, 130.110.240.91, o endereço a autorizar na sua chave.
Para cada plataforma, passo a passo: Kraken, Kraken Futures, Coinbase, OKX e Hyperliquid.
Fontes
- Kraken: como criar uma chave de API
- Kraken Futures: como criar uma chave de API
- Coinbase: autenticação por chave de API
- OKX: criação de uma chave de API
- Hyperliquid: o endpoint info
Perguntas frequentes
Uma chave só de leitura pode esvaziar a minha conta?
Não. Não pode colocar ordens, nem transferir, nem levantar fundos. Em contrapartida, mostra os seus saldos e o seu histórico a quem a detiver.
Deve usar-se uma chave por aplicação?
É preferível: assim pode eliminar uma sem mexer nas outras.
Porquê limitar a chave a um endereço IP?
Porque uma chave roubada se torna inutilizável noutro lado: a plataforma recusa qualquer pedido que não venha de um endereço autorizado.
O que vê o CentraFIN com a minha chave?
O que a chave permite consultar: saldos, posições, ordens, execuções e transferências. Nada mais, já que não pode fazer mais nada.
Assuma o controlo do seu património
A sua conta fica pronta num minuto, sem palavra-passe.