OAuth da Deriv: como funciona a autorização
Quando você clica em "conectar com a Deriv" em uma ferramenta de automação, o que acontece por trás é um fluxo de autorização do tipo OAuth. Ele permite que o aplicativo opere em seu nome sem nunca ver a sua senha. Entender esse fluxo ajuda a separar ferramentas bem construídas das mal construídas e a saber exatamente o que você está autorizando. Neste artigo explicamos o OAuth da Deriv do ponto de vista técnico, sem exigir que você seja programador.
O problema que o OAuth resolve
Sem OAuth, a única forma de um programa acessar a sua conta seria você entregar a senha ou criar manualmente um token de API e colar na ferramenta. A primeira opção é inaceitável: quem tem a senha tem controle total. A segunda funciona, mas depende de você configurar as permissões corretamente, como explicamos em como conectar a conta Deriv com segurança. O OAuth cria um caminho intermediário: você faz login no próprio site da Deriv, autoriza o aplicativo e a Deriv entrega a ele um acesso limitado.
Os atores do fluxo
- Você (titular da conta): quem decide autorizar ou não.
- A Deriv (servidor de autorização): quem autentica você e emite o acesso.
- O aplicativo (cliente): a ferramenta que quer operar, identificada por um
app_idregistrado na Deriv. - A URL de redirecionamento: o endereço do aplicativo para onde a Deriv devolve você depois da autorização. Ela é cadastrada junto com o
app_id, o que impede que outro site receba o seu acesso.
Passo a passo do fluxo
- No aplicativo, você clica em conectar. Ele redireciona o navegador para a página de autorização da Deriv, informando o seu
app_id. - Na página da Deriv (confira o domínio na barra de endereço), você faz login normalmente, inclusive com o segundo fator, se estiver ativado.
- A Deriv mostra qual aplicativo está pedindo acesso. Você confirma.
- A Deriv redireciona o navegador de volta para a URL cadastrada do aplicativo, levando informações de acesso. No modelo clássico da API da Deriv, isso inclui a identificação de cada conta (real e demo) e um token de sessão para cada uma.
- O aplicativo abre uma conexão WebSocket com a API e envia o comando
authorizecom o token recebido. A partir daí, pode consultar saldo e negociar dentro das permissões concedidas.
Os detalhes exatos do fluxo podem mudar conforme a Deriv atualiza a sua API, então desenvolvedores devem sempre seguir a documentação oficial. A lógica, porém, é a mesma: a senha fica na Deriv e o aplicativo recebe apenas um acesso delegado. Para ver como a conexão continua depois disso, leia Deriv API via WebSocket.
Escopos: o que o aplicativo pode fazer
Ao registrar o aplicativo, o desenvolvedor declara quais escopos ele precisa, como leitura, negociação, informações de negociação, pagamentos e administração. Uma ferramenta de automação séria precisa de leitura e negociação, e nada além disso. Escopos de pagamento ou administração permitiriam movimentar dinheiro ou gerenciar a conta, o que nenhum robô precisa. O detalhamento de cada permissão está no artigo sobre como revogar token da Deriv, que também mostra onde conferir os acessos ativos.
OAuth x token de API
| Aspecto | OAuth | Token de API manual |
|---|---|---|
| Onde a senha é digitada | Somente no site da Deriv | Somente no site da Deriv |
| Quem define as permissões | O aplicativo, no registro do app_id | Você, ao criar o token |
| Facilidade para o usuário | Alta: um clique | Média: criar, copiar e colar |
| Risco de vazamento por cópia | Menor | Maior, se o token for compartilhado |
| Revogação | Em aplicativos autorizados | Na lista de tokens |
O que um aplicativo bem feito deve fazer com o token
- Trafegar só por HTTPS e WSS, nunca em conexões sem criptografia.
- Não registrar o token em logs nem exibi-lo completo na interface.
- Guardar com o menor alcance possível, e apagar ao desconectar.
- Tratar erros de autorização: se o
authorizefalhar, parar e pedir nova conexão, sem tentar em loop. - Deixar claro qual conta está ativa, demo ou real, antes de qualquer operação.
Revogação: o seu botão de desligar
Uma autorização OAuth não é para sempre. Nas configurações de segurança da conta Deriv há uma área de aplicativos autorizados onde é possível revogar o acesso de qualquer ferramenta. Faça isso sempre que deixar de usar um aplicativo ou se notar algo estranho no histórico. Combine com a autenticação em dois fatores para fechar a porta de entrada principal.
Sinais de alerta
- A "página de login" abre em um domínio que não é o da Deriv.
- A ferramenta pede senha, código de verificação ou acesso ao seu e-mail.
- O aplicativo solicita escopos de pagamento ou administração.
- Não existe forma de desconectar a conta pela interface.
Como o Codexium usa a autorização
O Codexium se conecta pela autorização oficial da Deriv e precisa apenas de leitura e negociação. Ele não tem acesso à sua senha, mostra qual conta está selecionada e permite desconectar quando você quiser. Recomendamos começar sempre pela conta demo. Nenhuma forma de conexão, por mais segura, elimina o risco das operações: você pode perder todo o capital utilizado.
Resumo
O OAuth da Deriv permite que um aplicativo opere na sua conta sem conhecer a sua senha: você autoriza no site da Deriv, o aplicativo recebe um acesso limitado e você pode revogá-lo a qualquer momento. Confira o domínio, os escopos e a forma de desconexão antes de autorizar qualquer ferramenta. Mais conteúdo técnico em API e segurança.
Para os detalhes técnicos de code_verifier, code_challenge S256 e state, veja OAuth PKCE na Deriv. O Codexium conecta a sua conta exatamente por esse fluxo oficial, sem pedir a sua senha.
Criar conta / Acessar o robô WhatsApp
Perguntas frequentes
O OAuth da Deriv pede a minha senha?
Não. Você autoriza o aplicativo no site oficial da Deriv. A senha não deve ser digitada em nenhum painel de terceiros.
Posso revogar o acesso depois?
Sim. No painel da Deriv você revoga o aplicativo ou o token a qualquer momento. Depois disso, a ferramenta deixa de operar na sua conta.
Quais permissões o aplicativo precisa ter?
Só as mínimas para o que ele faz, em geral leitura e negociação. Não libere pagamentos nem administração da conta se a ferramenta não precisar disso.
OAuth elimina o risco de perder dinheiro?
Não. A autorização segura a forma de acesso, não o resultado das operações. Você pode perder todo o capital utilizado.
