Uma chave de API pode permitir que um aplicativo externo consulte informações da sua conta ou execute ações em seu nome. O que ele consegue fazer depende das permissões ativadas na corretora: uma chave restrita à leitura tem alcance diferente de outra habilitada para negociar ou transferir ativos.
- Uma chave de API autoriza apenas as funções permitidas pela configuração e pela corretora.
- Leitura, negociação e transferência são acessos diferentes; saque e cadastro de endereços podem elevar o impacto de uma chave comprometida.
- Conceda o mínimo necessário, use chaves separadas por serviço e restrinja por IP quando a plataforma oferecer esse controle.
- Revogue chaves sem uso ou suspeitas e confira a atividade da conta; os controles variam entre corretoras.
Por isso, conectar um robô, um organizador de carteira ou uma ferramenta de impostos não significa que você precise liberar todos os acessos disponíveis. O ponto principal é conceder somente o necessário para o serviço funcionar e retirar a chave quando ela deixar de ser usada.
O que é uma chave de API
API é uma forma de um programa conversar com outro sistema. No caso de uma corretora, a chave funciona como uma credencial que autoriza um aplicativo a acessar funções da conta sem que você precise realizar cada consulta ou operação manualmente na plataforma.
Na prática, a corretora pode fornecer identificadores e dados secretos que o aplicativo usa para se autenticar. Os nomes e a forma de criar as credenciais variam. A Coinbase, por exemplo, informa que sua chave exige uma chave pública, uma chave secreta e uma frase-senha; a plataforma mostra os dados secretos uma única vez na criação. Isso reforça a importância de armazená-los com cuidado e não os enviar por mensagem ou formulário que você não tenha confirmado como legítimo. A documentação da Coinbase Exchange detalha esses campos e suas permissões.
A chave não é automaticamente um passe para todas as funções da conta. Ela autoriza o que a configuração permite e o que a plataforma disponibiliza por API. Como as opções variam entre corretoras, confira a tela de criação e a documentação oficial da sua plataforma antes de conectar qualquer serviço.
Leitura, negociação e transferência não são a mesma coisa
As permissões costumam separar ações diferentes. A leitura permite que um programa consulte determinados dados privados, como saldo, ordens ou histórico, conforme o acesso liberado pela corretora. Isso pode ser suficiente para organizar a carteira ou acompanhar movimentações, mas ainda expõe informações que talvez você prefira manter privadas.
A permissão de negociação permite enviar ordens e, conforme a plataforma, consultar dados de negociação. Uma ferramenta automatizada pode operar em seu nome dentro desse escopo. Isso não quer dizer, por si só, que ela também possa sacar: negociar e transferir são capacidades distintas quando a corretora as separa. Ainda assim, uma ordem enviada sem sua intenção pode alterar sua posição ou gerar movimentações na conta.
As permissões de transferência ou saque merecem atenção especial. A Coinbase descreve a permissão Transfer como capaz de movimentar valores, incluindo depósitos e saques, e informa que ela pode contornar a verificação em duas etapas. Na Kraken, a permissão para cadastrar endereços de retirada, combinada com a permissão para sacar, pode permitir que alguém adicione um endereço e solicite uma retirada pela API. A orientação da Kraken recomenda evitar essa combinação na mesma chave, salvo necessidade.
| Permissão | O que pode permitir | Observação |
|---|---|---|
| Leitura | Consultar dados privados da conta | O alcance exato depende da corretora e dos dados liberados. |
| Negociação | Enviar, alterar ou cancelar ordens, conforme a plataforma | Não equivale necessariamente a permissão de saque. |
| Transferência ou saque | Movimentar valores para fora ou dentro da conta, conforme as opções | É uma permissão de impacto elevado. |
| Gestão | Alterar configurações da conta ou gerenciar endereços, dependendo da plataforma | Confira quais recursos estão incluídos antes de habilitar. |
Os rótulos não são universais. Na documentação da Binance Spot, por exemplo, TRADE se refere a operações de negociação e USER_DATA a informações privadas da conta; a negociação precisa ser habilitada na gestão da chave. A Coinbase usa nomes como View, Trade, Transfer e Manage, com descrições próprias. Não deduza a capacidade de uma opção apenas pelo nome: leia o que a corretora diz que ela permite. A documentação da Binance descreve esses tipos de acesso.
Onde está o risco de uma permissão excessiva
O risco não depende apenas de alguém descobrir sua chave. Ele também está no nível de acesso que você entregou e em como o serviço conectado guarda e utiliza a credencial. Se a ferramenta sofre uma invasão, se a chave é exposta ou se alguém com acesso ao serviço a usa indevidamente, as permissões disponíveis podem ampliar o impacto.
Uma chave somente de leitura pode revelar dados da conta, mas não deveria ter autorização para enviar ordens ou sacar se essas funções estiverem desativadas. Uma chave com negociação pode permitir operações não desejadas. Se também houver permissões de transferência, cadastro de endereços ou saque, a consequência potencial pode ser maior. A combinação específica depende da corretora e da configuração.
Isso não significa que toda ferramenta externa seja mal-intencionada, nem que qualquer chave permita retirar ativos. Significa que você deve avaliar o serviço e limitar o alcance da credencial. A Kraken também alerta que um terceiro pode guardar a chave de forma insegura ou sofrer uma violação, e recomenda não conceder permissões de gestão de endereços a chaves compartilhadas com serviços externos. A orientação da Kraken detalha esse risco.
Como limitar o acesso antes de conectar uma ferramenta
Comece identificando o que o serviço realmente precisa fazer. Um painel para acompanhar saldos pode exigir leitura; um robô de negociação pode precisar enviar ordens. Se a função anunciada não envolve transferências, não habilite saque nem cadastro de endereços por conveniência. Quando não entender uma permissão, pare e procure a explicação oficial da corretora ou do aplicativo antes de confirmar.
Crie uma chave dedicada para cada serviço, em vez de reutilizar a mesma credencial em várias ferramentas. Assim, você consegue identificar qual integração está ligada a cada chave e revogar apenas o acesso que não precisa mais. Se a plataforma oferecer restrição por endereço IP, avalie ativá-la seguindo as instruções do serviço conectado: esse controle limita de quais endereços de internet a chave pode ser usada, mas não substitui a revisão das permissões.
Confira também se há prazo de validade, registros de uso ou uma opção de autenticação adicional para a chave. Esses recursos dependem da corretora. A Kraken descreve controles de validade e lista de IPs autorizados; na Coinbase Exchange, a lista de IPs autorizados é exigida na criação da chave. Não suponha que o mesmo controle exista em todas as plataformas. A documentação da Kraken e a da Coinbase apresentam os controles de cada plataforma.
Antes de confirmar, leia a tela de permissões uma vez mais e verifique se ela corresponde ao uso planejado. A senha da conta e a verificação em duas etapas continuam importantes, mas não tornam inofensiva uma chave com acessos amplos: a própria documentação da Coinbase alerta que a permissão de transferência pode contornar essa verificação. Confira as permissões descritas pela Coinbase.
Como acompanhar e revogar uma chave
Revise periodicamente as chaves cadastradas na área de segurança, API ou integrações da corretora. Compare cada uma com os serviços que você ainda usa e confira os registros de atividade, quando disponíveis. Procure nomes de aplicativos desconhecidos, acessos que você não reconhece ou mudanças em endereços de retirada. O local e o nível de detalhe desses registros variam entre plataformas.
Se uma chave não é mais necessária, revogue-a na própria corretora. Se você suspeita que ela foi exposta ou usada sem autorização, retire o acesso sem esperar a investigação do serviço externo e verifique a atividade recente da conta. Se houver movimentação ou alteração que você não reconhece, siga os canais oficiais de atendimento da corretora. Revogar uma chave interrompe o uso daquela credencial, mas não apaga o histórico de ações já feitas nem substitui a revisão da conta.
Também vale confirmar se o aplicativo continua conectado depois da revogação e se há outras chaves associadas ao mesmo serviço. Uma integração pode parar de funcionar quando perde acesso; isso é esperado. Se você decidir reconectá-la, crie uma chave nova e conceda apenas as permissões necessárias, em vez de reativar uma credencial antiga sem revisar sua configuração.
O que a regulamentação não padroniza
As fontes oficiais consultadas descrevem controles próprios de cada plataforma, mas não estabelecem um conjunto universal de permissões de API para corretoras de cripto no Brasil. A página da CVM sobre corretoras e distribuidoras trata de instituições que intermedeiam operações em mercados regulamentados de valores mobiliários; ela não define quais acessos uma chave de API de corretora cripto deve oferecer. Portanto, não use essa página como prova de que existe um padrão geral para essas chaves. A página da CVM descreve o escopo de corretoras e distribuidoras de valores mobiliários.
Para você, a regra prática é verificar a configuração concreta da sua conta: o que a chave consulta, o que pode alterar e se permite transferências ou saques. Uma ferramenta confiável não precisa automaticamente de acesso amplo. Quanto mais restrito o escopo, menor o conjunto de ações que aquela credencial pode autorizar se for exposta ou usada de forma indevida.
Perguntas frequentes
Uma chave de API permite sacar minhas criptomoedas?
Não necessariamente. O saque depende das permissões habilitadas e dos controles da corretora. Confira se a chave permite transferências, retiradas ou cadastro de endereços.
Uma ferramenta que só consulta meu saldo precisa de permissão de negociação?
Em geral, a consulta pede acesso de leitura, mas os nomes e requisitos variam por plataforma. Verifique a documentação do serviço e da corretora antes de habilitar negociação.
O que faço se não reconheço uma chave de API?
Revogue a chave na corretora, confira a atividade recente da conta e procure os canais oficiais de atendimento se encontrar ordens, transferências ou alterações que não reconhece.
Fontes
- How to create an API key — Coinbase Help
- General REST API Information — Binance Developer Docs
- Add Withdrawal Addresses API Permission — Kraken Support
- Corretoras e Distribuidoras — Comissão de Valores Mobiliários
Este conteúdo tem caráter exclusivamente informativo e não constitui recomendação de investimento. Rentabilidade passada não é garantia de rentabilidade futura. Investimentos envolvem riscos. Leia os documentos do produto antes de investir.
