Permissões de chave API

Uma chave API é uma credencial que permite a um programa agir sobre uma conta de negociação sem palavra-passe, e as suas permissões decidem até onde pode ir. As plataformas costumam separar leitura, negociação e levantamento, e essa separação é todo o mecanismo de segurança: uma chave de leitura consulta saldos, uma chave de negociação move posições e só uma chave com levantamento pode enviar fundos para fora. A maioria das ferramentas de terceiros precisa de leitura e negociação e nada mais, pelo que um pedido de permissão de levantamento merece ser recusado sem hesitação. Onde existam, dois controlos adicionais importam — limitar a chave a endereços IP específicos e dar-lhe validade — porque uma chave fugida sem nenhum dos dois é utilizável por qualquer pessoa, de qualquer lugar, indefinidamente. As chaves são independentes da palavra-passe e da autenticação de dois fatores, por isso mudar a palavra-passe não desativa uma chave já emitida.