Permissões de Chave de API

Uma chave de API é a credencial com que um programa alcança uma conta de negociação sem palavra-passe, e as suas permissões decidem o que esse programa consegue fazer. Um acesso bem desenhado é granular: chaves de leitura que obtêm saldos, posições e histórico mas não negoceiam; chaves de negociação que abrem e fecham posições; e, separada de ambas, qualquer capacidade de mover dinheiro — que não deve sequer estar ligada a uma chave de negociação. As regras são as de qualquer credencial capaz de gastar. Emita uma chave por aplicação, para que uma possa ser revogada sem partir as outras; conceda a permissão mais estreita que a tarefa exige; restrinja a chave aos endereços de onde será usada, onde a plataforma o permita; e faça rotação das chaves por calendário e imediatamente após retirar de serviço qualquer máquina que tenha guardado uma. Uma chave colada num painel de terceiros, numa folha de cálculo ou numa janela de conversa é uma credencial viva à guarda de outra pessoa.