As chaves de API são um dos principais componentes da autenticação e segurança API. São o equivalente API do nome de utilizador e palavra-passe da sua conta Kraken.
As chaves de API são necessárias para aceder a qualquer um dos endpoints API específicos da conta (privados), como os endpoints de dados da conta, negociação, financiamento e ganhos. As chaves de API não são necessárias para aceder aos endpoints API de dados de mercado (públicos), uma vez que os endpoints de dados de mercado não estão associados a nenhuma conta Kraken específica.
As chaves de API podem ser utilizadas por qualquer software que interaja com os nossos mercados e contas, como os nossos clientes de linha de comando REST API, aplicações móveis e plataformas de negociação de terceiros, bots de negociação de terceiros e vários outros produtos/serviços.
Criar uma chave de API
Configurar uma chave de API (permissões/configurações)
Utilizar uma chave de API
Autenticação de dois fatores (2FA) da chave de API
Abra o menu da conta (clique no ícone do perfil no canto superior direito da página).
Selecione a opção Definições.
Selecione o separador API e clique em Criar chave de API.
As chaves de API têm várias definições e opções que devem ser configuradas antes que a chave de API possa ser utilizada, nomeadamente o nome/descrição e permissões de acesso.
Descrição da chave
A descrição da chave é essencialmente o nome da chave de API e pode ser praticamente tudo aquilo que quiser, desde que a descrição seja única (diferente das descrições de quaisquer outras chaves de API na mesma conta).
Por padrão, a descrição da chave será preenchida com algo como "api-key-1605316109249". Esta descrição padrão pode ser mantida ou alterada em favor de um nome mais descritivo (como "Chave de negociação", "Chave de gestão de conta", "Chave de API Python 6" ou "Chave da aplicação móvel", por exemplo).
Permissões da chave
As permissões da chave determinam quais os endpoints da API específicos da conta (privados) a que chave de API tem permissão para aceder:
Consultar fundos é necessário para os endpoints da API que consultam as informações de saldo da conta, como Saldo e Saldo de negociação.
Depositar fundos é necessário para os endpoints de financiamento relacionados a depósitos, como Métodos de depósito e Endereços de depósito.
Levantar fundos é necessário para os endpoints de financiamento relacionados a levantamentos, como Informações de levantamento, Levantar e Cancelar levantamento.
Consultar ordens abertas e negociações é necessário para os endpoints da API que consultam ordens e posições com margem já existentes, como Ordens abertas, Consultar ordens e Posições abertas.
Consultar ordens fechadas e negociações é necessário para os endpoints que consultam ordens e posições com margem previamente fechadas/canceladas, como Ordens fechadas, Consultar ordens e Consultar negociações.
Modificar ordens é necessário para os endpoints de negociação que executam novas ordens, como Adicionar ordem, Editar ordem e Adicionar lote de ordens.
Cancelar/fechar ordens é necessário para os endpoints de negociação que cancelam ordens abertas ou pendentes, como Cancelar ordem, Cancelar todas e Cancelar lote de ordens.
Consultar entradas do livro-razão é necessário para os endpoints da API que recuperam dados históricos da conta do livro-razão, nomeadamente Livros-razão e Consultar livros-razão.
Exportar dados é necessário para os endpoints que exportam (transferem) o livro-razão da conta, nomeadamente Adicionar exportação, Recuperar exportação, Estado da exportação e Remover exportação.
Aceder à API WebSockets é necessário para recuperar um token de autenticação para as API WebSocket através do endpoint Obter token WebSockets.
Como exemplo da utilização correta das permissões da chave de API, considere uma chave de API fornecida a terceiros para fins comerciais. Essa chave de API exigiria com toda a certeza as permissões Modificar ordens e Cancelar/fechar ordens, exigiria provavelmente a permissão Consultar ordens abertas e negociações, mas quase certamente não exigiria a permissão Levantar fundos.
Configurar as permissões adequadamente permitiria que o cliente da API fizesse negociações para a conta, mas impediria que o cliente da API acedesse a qualquer informação da conta ou realizasse tarefas de financiamento.
Definições opcionais
As restantes definições da chave de API só são necessárias para configurações mais avançadas, pelo que, por norma, podem ser mantidas nos seus valores predefinidos:
Janela de valor aleatório é uma definição utilizada para superar problemas de rede que podem fazer com que os pedidos de API cheguem incorretamente, fornecendo um curto intervalo de tempo (1 segundo, 10 segundos, etc.) durante o qual os pedidos de API com um valor aleatório inválido (um valor aleatório inferior a um valor aleatório utilizado anteriormente) não causarão um erro de valor aleatório inválido.
Lista de permissões de IP é uma funcionalidade de segurança que restringe o uso da chave de API a endereços IP específicos do lado do cliente.
Expiração da chave pode ser utilizada para criar uma chave de API que funciona apenas por um período de tempo específico, por exemplo, uma chave que é válida apenas por 1 semana.
Consultar data/hora de início/fim é uma definição que restringe os pedidos de dados históricos da conta a um período de tempo específico, por exemplo, uma chave que poderia recuperar o histórico de negociações deste ano, mas não de anos anteriores.
Assim que as definições da chave de API tiverem sido configuradas adequadamente, a nova chave de API pode ser criada clicando no botão Gerar chave.
IMPORTANTE: a chave de API, a chave privada e o código QR devem ser tratados da mesma forma que o seu nome de utilizador/palavra-passe. Guarde-os num gestor de palavras-passe se precisar de aceder aos mesmos mais tarde. Não os guarde num formato não encriptado!
As chaves de API consistem num par de chaves pública e privada. Ambas devem ser fornecidas ao software cliente da API.
As chaves de API podem ser fornecidas de diferentes formas, por exemplo:
O par de chaves pode ser copiado e colado como texto simples diretamente no código do cliente da API. Exemplo: o método utilizado pelo nosso cliente da API PHP.
O par de chaves pode ser copiado e colado em ficheiros de texto simples acessíveis ao cliente da API. Exemplo: o método utilizado pelo nosso cliente da API de linha de comando.
Observação: a chave privada também é conhecida como o segredo da API (ou apenas como o segredo) por alguns softwares clientes da API.
As chaves de API já oferecem uma forma segura de autenticar o acesso API a uma conta Kraken, mas a sua segurança pode ser reforçada com a adição da autenticação de dois fatores (2FA).
A 2FA da chave de API pode ser adicionada a uma chave de API já existente através da página "Segurança" e pode utilizar uma palavra-passe estática ou o Google Authenticator.
Observação: adicionar 2FA a uma chave de API também requer que o cliente da API suporte 2FA (forneça os dados 2FA para cada chamada aos métodos API privados), caso contrário, um erro inesperado seria apresentado em vez da saída API desejada.
Leia mais sobre como a 2FA funciona para chaves de API aqui.