É seguro dar minha API key? Quais permissões o IR do Investidor pede?
É uma das dúvidas mais legítimas de quem vai conectar uma corretora. A resposta curta: sim, é seguro — porque o IR do Investidor usa somente chaves de leitura (read-only) e guarda suas credenciais cifradas. Vamos detalhar o porquê.
A plataforma só pede permissão de leitura
Uma API Key pode ter níveis de acesso muito diferentes. Os três principais que as exchanges oferecem são:
- Leitura (read-only) — consultar trades, saldos, depósitos, saques e rendimentos. Não move nada.
- Negociação (trade) — comprar e vender em seu nome.
- Saque (withdraw) — transferir fundos para fora da corretora.
O IR do Investidor só precisa do primeiro nível: leitura. Ele lê o seu histórico para montar a apuração — e nada mais. Ao criar a chave, deixe desligadas as permissões de negociação e de saque.
Na prática, isso significa que, mesmo no pior cenário, uma chave read-only não permite movimentar seus fundos. Ninguém consegue sacar ou negociar com ela.
Como suas credenciais são guardadas
Ao salvar uma exchange, a Key e a Secret não ficam em texto puro no banco de dados. Elas são protegidas com criptografia forte:
- as credenciais são cifradas com AES-256-GCM (um padrão moderno de criptografia autenticada);
- a chave de cifragem fica separada dos dados, em variável de ambiente protegida;
- depois de salvas, as credenciais não são exibidas de volta na tela.
Ou seja: além de a chave ser inofensiva por ser read-only, ela ainda é armazenada de forma cifrada.
Camadas extras de segurança que você pode usar
Do seu lado, na própria corretora, dá para reforçar ainda mais:
- Restrinja por IP, se a exchange permitir — assim a chave só funciona a partir de um endereço autorizado.
- Dê um nome reconhecível à chave (ex.: "IR do Investidor") para identificá-la depois.
- Revogue a chave na corretora a qualquer momento, se quiser cortar o acesso — isso não apaga o histórico já importado.
E os meus dados na plataforma?
O IR do Investidor trata seus dados sob a LGPD. Além da cifragem das credenciais de exchange, a conta conta com recursos de segurança como autenticação em dois fatores (2FA), gestão de sessões e registro de atividades sensíveis (login de IP novo, inclusão/remoção de chave de exchange etc.). Você também pode exercer seus direitos de titular, incluindo a exclusão de dados.
Resumo das permissões
| Permissão | O IR do Investidor pede? |
|---|---|
| Leitura (read-only) | Sim — é tudo de que precisa |
| Negociação (trade) | Não — deixe desligada |
| Saque (withdraw) | Não — deixe desligada |
Em resumo
Dar uma API Key read-only é seguro: ela não pode mover seus fundos, é guardada cifrada e pode ser revogada quando você quiser. Nunca crie uma chave com permissão de saque ou negociação para usar aqui — a plataforma não precisa disso. Se a corretora oferecer trava por IP, ative-a para uma camada extra de proteção.