Como revogar o token da Deriv de um robô
Um token de API funciona como uma chave da sua conta: quem tem o token consegue fazer, pelo programa, tudo o que as permissões dele autorizam. Por isso, saber revogar um token da Deriv é tão importante quanto saber criar um. Neste artigo explicamos quando revogar, onde fica essa opção, como conferir aplicativos autorizados por OAuth e o que fazer depois para voltar a operar com segurança.
Por que revogar um token
Revogar é invalidar o token para sempre. A partir desse momento, qualquer programa que tente se conectar com ele recebe erro de autorização. Isso é útil em várias situações:
- Você deixou de usar um robô ou serviço que tinha acesso à sua conta.
- O token foi colado em um chat, e-mail, print de tela ou repositório de código.
- Você não lembra mais para que serve um token antigo listado na conta.
- Notou operações, conexões ou alterações que não reconhece.
- Um computador ou servidor onde o token estava salvo foi formatado, vendido ou pode ter sido comprometido.
A regra prática é simples: na dúvida, revogue. Criar um token novo leva poucos segundos, e o risco de deixar uma chave antiga ativa é bem maior do que o incômodo de reconfigurar um robô.
Onde revogar o token na Deriv
Os tokens de API ficam na área de configurações de segurança da conta Deriv, na seção de token de API. Lá aparece a lista de tokens criados, com o nome que você deu, as permissões (escopos) de cada um e a data do último uso. Para revogar, basta excluir o token desejado e confirmar. A posição exata dos menus pode mudar com atualizações da plataforma, então, se não encontrar, procure por "API token" nas configurações da conta ou na central de ajuda da Deriv.
Depois de excluir, confira se o token sumiu da lista. Se o robô que usava esse token ainda estiver ligado, ele deve começar a falhar na autorização, o que é o comportamento esperado.
Tokens e apps OAuth são coisas diferentes
Além dos tokens criados manualmente, a Deriv permite que aplicativos peçam acesso pelo login OAuth, em que você entra com a sua conta e autoriza o app sem copiar nenhum token. Esses acessos aparecem em uma lista de aplicativos conectados, também nas configurações de segurança. Revogar o token manual não remove esses apps, e vice-versa. Por isso, ao fazer uma limpeza, revise as duas listas.
Explicamos a diferença entre os dois modelos, e por que o OAuth costuma ser mais seguro, no guia como conectar a conta Deriv por API com segurança.
Checklist depois de revogar
- Troque a senha da conta se houver qualquer suspeita de acesso indevido.
- Ative ou revise a verificação em duas etapas. O passo a passo está em segurança da conta Deriv com 2FA.
- Confira o histórico de operações e de transações para ver se há algo que você não reconhece.
- Apague o token antigo de arquivos de configuração, variáveis de ambiente, scripts e anotações. Um token revogado não funciona mais, mas deixar segredos espalhados é um mau hábito.
- Revise os apps conectados e remova os que você não usa.
Como criar um token novo com segurança
Se você precisa reconectar um robô, crie um token novo seguindo o princípio do menor privilégio:
- Dê só as permissões necessárias. Um painel que apenas mostra saldo precisa de leitura. Um robô que opera precisa de permissão de negociação. Quase nenhum robô precisa de permissões administrativas ou de pagamentos.
- Use um nome descritivo, como "robo-vps-novembro", para saber depois onde ele está em uso.
- Um token por aplicação. Assim você revoga um acesso sem derrubar os outros.
- Guarde fora do código. Use variáveis de ambiente ou um arquivo de segredos com permissão restrita, nunca um arquivo enviado para um repositório.
Se o robô roda em servidor, o artigo robô 24 horas em VPS traz cuidados extras com o ambiente onde o token fica salvo.
Revogação periódica como rotina
Mesmo sem nenhum incidente, vale revisar os tokens de tempos em tempos, por exemplo uma vez por mês. Tokens sem uso recente podem ser apagados. Esse hábito reduz a quantidade de chaves válidas espalhadas por aí e facilita perceber quando aparece algo estranho.
Resumo
Revogar um token da Deriv corta imediatamente o acesso de qualquer programa que dependa dele. Faça isso sempre que deixar de usar um robô, quando o token tiver sido exposto ou quando houver qualquer suspeita. Revise também os aplicativos conectados por OAuth, troque a senha e ative a verificação em duas etapas se necessário, e crie tokens novos com permissões mínimas, um por aplicação. Para outros temas de proteção, veja a categoria API e segurança.
Perguntas frequentes
O que acontece quando revogo um token da Deriv?
O token deixa de funcionar na hora e para sempre. Qualquer robô ou programa que dependa dele passa a receber erro de autorização até ser configurado com um token novo.
Quando devo revogar um token de API?
Quando deixar de usar um robô ou serviço, quando o token tiver sido exposto em chat, print ou repositório, quando não lembrar para que ele serve ou quando notar qualquer atividade que não reconhece.
Revogar o token também desconecta apps autorizados por OAuth?
Não. Tokens criados manualmente e aplicativos autorizados pelo login OAuth são acessos diferentes. Revise também a lista de aplicativos conectados nas configurações de segurança da conta.
Preciso trocar a senha depois de revogar um token?
Se houver qualquer suspeita de acesso indevido, sim. Aproveite para revisar a verificação em duas etapas e conferir o histórico de operações e transações.
Como criar um token novo com mais segurança?
Dê só as permissões necessárias, use um nome descritivo, crie um token por aplicação e guarde-o fora do código, em variável de ambiente ou arquivo de segredos com acesso restrito.
