Permissões do token de API da Deriv: o essencial
Quando você cria um token de API na Deriv para conectar um robô ou outra ferramenta, a tela pede que você marque permissões. Muita gente marca tudo "para não dar erro". Esse é o erro. As permissões definem o que quem tiver o token pode fazer na sua conta, e um token com acesso demais transforma um vazamento pequeno num problema grande. Neste artigo explicamos o que cada permissão libera, quais um robô de trading realmente precisa e como manter os tokens sob controle.
O que é o escopo de um token
Um token de API é uma chave que autoriza chamadas à API da Deriv em nome da sua conta. Cada token tem um ou mais escopos (as permissões), e cada chamada da API exige um escopo específico. Se o token não tiver o escopo necessário, a API recusa a chamada com um erro de permissão.
Esse modelo é o que permite aplicar o princípio do menor privilégio: cada ferramenta recebe só o que precisa para funcionar, e nada além. Se ainda não criou um token, veja antes como conectar a conta Deriv com token de API com segurança.
As permissões disponíveis
Na tela de criação de token, nas configurações de segurança da conta, a Deriv apresenta estes escopos:
- Leitura (Read): consultar dados da conta, como saldo, configurações, limites e histórico. É a base para qualquer ferramenta que mostre informações.
- Negociação (Trade): comprar e vender contratos. É o que permite a um robô abrir operações.
- Pagamentos (Payments): movimentar dinheiro, como transferências entre contas e saques por agentes de pagamento.
- Informações de negociação (Trading information): consultar o histórico de negociação.
- Admin: gerenciar a conta, incluindo configurações e os próprios tokens.
Os nomes podem aparecer traduzidos conforme o idioma da interface, mas a lógica é a mesma.
O que um robô de trading realmente precisa
Para um robô que lê saldo, acompanha contratos e abre operações, leitura e negociação costumam bastar. Algumas ferramentas pedem também informações de negociação para montar relatórios a partir do histórico. Isso é razoável, desde que esteja explicado.
Já pagamentos e admin não têm motivo para estar num token de robô:
- Com pagamentos, quem tiver o token pode movimentar saldo para fora da conta.
- Com admin, pode alterar configurações e gerenciar tokens, inclusive criar outros.
Se uma ferramenta de automação exigir qualquer uma dessas duas, trate como sinal de alerta. No artigo robô Deriv é golpe? listamos outros sinais que merecem desconfiança.
Boas práticas com tokens
- Um token por ferramenta. Se você usa duas ferramentas, crie dois tokens com nomes claros. Assim dá para revogar um sem derrubar o outro.
- Nome descritivo. Algo como "robo-vps-novembro" ajuda a saber, meses depois, para que serve cada um.
- Comece pela demo. Crie o primeiro token para a conta demo e só depois para a real.
- Nunca envie o token em conversas. Token não é senha, mas dá acesso. Cole apenas no campo da ferramenta que vai usá-lo.
- Revise a lista com frequência. Apague tokens que você não reconhece ou não usa mais.
- Ative a autenticação em dois fatores. Ela protege o login da conta, onde os tokens são criados; veja segurança da conta Deriv com 2FA.
Token ou OAuth?
O token não é a única forma de autorização. No fluxo OAuth, você faz login na própria Deriv e autoriza o aplicativo, sem copiar nenhuma chave. Para muitos casos, isso reduz o risco de vazamento, porque não há um texto secreto circulando. Comparamos as duas opções em OAuth da Deriv: como funciona.
Se algo der errado
Se você suspeitar que um token vazou, ou que uma ferramenta está fazendo algo que não deveria, revogue o token na lista de tokens de API da conta. A revogação corta o acesso daquele token imediatamente. Depois, confira o histórico de operações e troque a senha da conta e do e-mail. O passo a passo está em como revogar token da Deriv.
Como o Codexium trata as permissões
O Codexium opera contratos e acompanha o resultado da sessão, por isso precisa de leitura e negociação. Ele não precisa e não deve receber permissões de pagamentos ou admin. Isso limita o que pode acontecer com a sua conta mesmo num cenário ruim, mas não elimina o risco das operações em si: um robô com as permissões certas ainda pode perder dinheiro se a configuração for arriscada.
Resumo
As permissões do token de API da Deriv definem o que uma ferramenta pode fazer na sua conta. Para um robô, leitura e negociação costumam bastar; pagamentos e admin não devem ser liberados. Use um token por ferramenta, revise a lista com frequência e revogue o que não reconhece.
Perguntas frequentes
Quais permissões dar ao token de API de um robô da Deriv?
Leitura e negociação costumam ser suficientes para um robô ler saldo e abrir operações. Pagamentos e admin não são necessários para automação.
O que acontece se eu criar um token com permissão de admin?
Quem tiver esse token pode gerenciar configurações da conta e os próprios tokens. Por isso, admin só faz sentido para ferramentas suas, nunca para serviços de terceiros.
Dá para mudar as permissões de um token depois de criado?
Na prática, o caminho mais seguro é criar um novo token com as permissões certas, atualizar a ferramenta e apagar o antigo.
Um token com permissão de negociação pode sacar meu dinheiro?
Não. Movimentar saldo para fora exige a permissão de pagamentos. Mesmo assim, um token de negociação pode abrir operações e gerar perdas, então proteja-o.
Como saber quais tokens estão ativos na minha conta?
Na área de token de API das configurações de segurança da Deriv há a lista de tokens criados, com nome e permissões. Apague os que não usa.
