Como criar uma chave de API Coinbase e mantê-la segura
Para criar um Chave API Coinbase, faça login na Coinbase Developer Platform (CDP), abra Secret API Keys e clique em Create API key. Dê um nome, defina o portfólio e os limites de permissão, adicione uma lista de permissões de IP e mude o algoritmo de assinatura para ECDSA.
Em seguida, salve a chave privada em algum lugar fora do seu código. Dê à chave apenas as permissões que seu script precisa e nunca a permissão de transferência, a menos que a movimentação de fundos seja o objetivo.
Os fatos abaixo vêm da documentação do próprio desenvolvedor da Coinbase. A Coinbase deixa explícito que a autenticação da chave API serve apenas para acessar sua própria conta. Os aplicativos que atuam para outros usuários devem usar o OAuth2.
Passo a passo: criando a chave no portal CDP
As chaves do aplicativo Coinbase são criadas por meio do portal CDP. A sequência de documentos Coinbase é:
- Abra a plataforma de desenvolvedor Coinbase e escolha Chaves de API secretas na guia Chaves de API.
- Clique Criar chave de API e dê a ele um apelido que você reconhecerá mais tarde, como “tax-export-readonly”.
- Expandir Restrições de API e Configurações avançadas.
- Insira seus endereços IP na lista de permissões de IP. A Coinbase marca isso como recomendado, mas não obrigatório.
- Defina o portfólio e as permissões.
- Altere o algoritmo de assinatura para ECDSA. A Coinbase diz que as chaves Ed25519 não são suportadas pelos SDKs do aplicativo Coinbase e a autenticação pode falhar.
- Clique em Criar chave de API e armazene o par de chaves com segurança.
Um detalhe surpreende as pessoas. A Coinbase não baixa mais o arquivo de chave automaticamente, então copie o nome da chave e a chave privada do modal antes de fechá-lo. A Coinbase recomenda carregá-los como variáveis de ambiente em vez de manter um arquivo próximo ao seu código.
Vídeo: Tutoriais SmartMoney
Visualizar, Negociar ou Transferir: qual permissão dar uma chave
O endpoint de permissões de chave da Coinbase relata três sinalizadores para cada chave: can_view, can_trade e can_transfer. Cada um amplia o que uma chave roubada poderia fazer.
| Permissão | O que a chave pode fazer | Uso típico | Se a chave vazar |
|---|---|---|---|
| Visualizar | Leia saldos, pedidos e dados da conta | Rastreadores de portfólio, exportações fiscais | Suas participações ficam expostas, os fundos ficam parados |
| Troca | Fazer pedidos | Negociando bots no Advanced Trade | Alguém pode negociar mal o seu saldo |
| Transferir | Envie criptografia para fora da conta | Somente saques automatizados | Coinbase avisa que todas as moedas digitais podem ser enviadas |
Fonte: Documentação do desenvolvedor da Coinbase, páginas de autenticação de chave de API e obtenção de permissões de chave de API, verificadas em 22 de outubro de 2026.
A maioria das pessoas precisa apenas do View. Um bot precisa do View plus Trade. A Coinbase também define cada chave para um único portfólio, de modo que um bot pode ser executado em seu próprio portfólio enquanto suas participações de longo prazo ficam em outro cujo escopo a chave não tem.
Bloqueando a chave depois de criá-la
A página de práticas recomendadas de segurança da Coinbase começa com armazenamento. Nunca incorpore chaves no código e mantenha os arquivos-chave fora da pasta do projeto para que eles nunca sejam confirmados no GitHub.
Um gerenciador de segredos como AWS Secrets Manager ou HashiCorp Vault é uma opção sugerida pela Coinbase.
A lista de permissões de IP aceita endereços IPv4 e IPv6 e intervalos CIDR. Você pode adicionar um posteriormente em Gerenciar, em Editar chave e em Restrições de API. Se o seu IP residencial muda com frequência, execute o script em um servidor com endereço fixo em vez de pular a lista de permissões.
O JWT que seu código assina com a chave expira após dois minutos e a Coinbase exige um novo para cada solicitação. Isso limita os ataques de repetição, mas não faz nada se a própria chave privada estiver fora.
O que fazer se uma chave da API Coinbase vazar
Trate qualquer chave colada em um bate-papo ou repositório público como comprometida.
A orientação da Coinbase é excluir chaves não utilizadas e rotacionar criando uma nova chave e excluindo a antiga, porque o CDP usa criptografia assimétrica, então rotação significa uma nova chave em vez de editar a antiga.
Exclua primeiro a chave vazada no portal CDP e, em seguida, crie uma substituição com permissões mais restritas.
Verifique pedidos e transferências recentes em sua conta. Para um risco relacionado, leia o Sinais de alerta de fraude de texto Coinbase.
Se você ainda estiver escolhendo uma bolsa para negociação automatizada, nosso Comparação Bitpanda vs Coinbase para usuários da UE cobre taxas e disponibilidade. Para saber como a Coinbase obtém receita, consulte como a Coinbase ganha dinheiro.
Perguntas-chave da API Coinbase
Devo escolher Ed25519 ou ECDSA?
Depende da API. A Coinbase recomenda Ed25519 para novas chaves CDP em geral, mas os documentos do aplicativo Coinbase exigem ECDSA. Para acesso ao aplicativo Coinbase, escolha ECDSA.
Por que minha chave API Coinbase não consegue autenticar?
Uma das razões pelas quais os documentos da Coinbase são o tipo de chave. Os SDKs de aplicativos Coinbase precisam de chaves ECDSA e uma chave Ed25519 pode falhar. Um JWT expirado ou um IP ausente na lista de permissões também bloqueia solicitações.
Posso usar uma chave API para vários portfólios?
A Coinbase diz que cada nova chave CDP tem como escopo um portfólio, portanto, crie uma chave dedicada para cada portfólio que você automatizar.
