É seguro conectar sua corretora ou exchange a um app?

Conectar uma corretora ou exchange a um app pode ser seguro quando a conexão é somente leitura e você não entrega nem sua senha nem uma chave capaz de negociar ou sacar. Confira três coisas: você entra pelas telas da sua instituição (OAuth ou um serviço como a Plaid), e não num formulário do app; as chaves de API da exchange só têm permissão de consulta; e você pode revogar o acesso quando quiser. Se um app pede mais do que precisa para mostrar sua carteira, não conecte.

Nenhuma conexão é livre de risco, então vale entender como cada tipo funciona e o que conferir.

As três formas de um app se conectar às suas contas

1. Compartilhar usuário e senha

Agregadores antigos pediam seu login e entravam na conta no seu lugar, prática conhecida como "screen scraping". Funciona, mas o app passa a guardar credenciais que permitem fazer tudo o que você pode fazer naquela conta. A FINRA americana explica os riscos no alerta Know Before You Share.

No Brasil, o Open Finance criou um caminho regulado para compartilhar dados financeiros com consentimento e sem entregar senha a terceiros. Nem toda corretora ou exchange participa para todos os tipos de dado, por isso vale conferir, app por app, como a conexão é feita.

2. Conexões por token (OAuth e Plaid)

Com OAuth, você é levado à página de login da sua corretora. Entra lá, aprova o que o app pode ver, e a corretora entrega ao app um token limitado a esse acesso. O app nunca vê sua senha, e normalmente você pode revogar o token nas configurações de segurança da conta.

Serviços como a Plaid fazem essa ponte para muitos apps: você escolhe a instituição, entra pelas telas da Plaid ou da instituição, e o app recebe acesso aos tipos de dados que pediu. A Plaid explica sua abordagem em como trata seus dados e na página de segurança.

3. Chaves de API (exchanges de cripto)

As exchanges permitem criar chaves de API com permissões específicas. Você cria a chave na exchange, escolhe as permissões e cola no app.

Aqui, as permissões são tudo:

• Coinbase tem níveis de permissão. A documentação sobre autorização descreve View como acesso a APIs que não tiram fundos da sua conta, enquanto Trade e Transfer permitem dar ordens e enviar fundos.
• Kraken separa permissões de fundos (consultar, depositar, sacar), de ordens e operações (consultar, criar ou alterar, cancelar) e de dados, como explica o guia How to create an API key.

Um app de carteira só precisa ler: saldos e histórico de operações. Ele nunca deveria precisar de permissão para negociar, sacar, transferir ou depositar.

O que "somente leitura" deveria significar

"Somente leitura" só vale se for garantido. Pergunte-se:

• O app confere as permissões da chave e recusa as que podem negociar ou sacar, ou só pede com educação que você crie uma chave de consulta?
• Ele confere de novo depois? As permissões podem ser alteradas depois que a chave é criada.
• Numa corretora, que tipos de dados são pedidos? Posições e operações bastam para um app de carteira. Movimentar dinheiro não é necessário.

Checklist antes de conectar uma conta

1. Onde eu faço login? No site da corretora, nas telas da Plaid ou na própria exchange, não num formulário dentro do app.
2. Que permissões a chave ou a conexão tem? Só consulta. Nada de negociar, sacar, transferir ou depositar.
3. Como as credenciais são guardadas? Procure criptografia em repouso e uma explicação clara de quem pode acessá-las.
4. Posso revogar o acesso? Pelo app e pela corretora ou exchange.
5. O app exige verificação em duas etapas para ações sensíveis, como conectar uma corretora?
6. O que acontece com meus dados? São vendidos ou usados para publicidade? São apagados quando desconecto uma conta ou encerro a minha?
7. O app diz o que não consegue fazer? Um claro "não conseguimos negociar nem movimentar seu dinheiro" é bom sinal. Slogans vagos de segurança não substituem informações concretas.
8. Dá para restringir mais a chave? Algumas exchanges permitem limitar a chave a certos IPs ou a uma única carteira.

Como criar uma chave de exchange somente leitura

O Sonar não precisa de uma: exchanges se conectam a ele pelo Plaid. Se outro app pedir uma chave, estes são passos gerais; os menus mudam com o tempo, então siga a ajuda atual da sua exchange.

1. Abra a área de API nas configurações da conta.
2. Crie uma chave nova e dê um nome fácil de reconhecer, como o nome do app.
3. Marque só as permissões de consulta de saldos e histórico.
4. Deixe desmarcados negociar, sacar, transferir e depositar.
5. Se houver a opção, limite a chave a uma carteira ou a uma lista de IPs.
6. Copie a chave e o segredo direto para o app. Não guarde em notas nem em e-mail.
7. Apague a chave na exchange se parar de usar o app.

Como o Sonar conecta as contas

O Sonar é somente leitura por design. Na prática:

• Carteiras se conectam só pelo endereço público. O Sonar nunca pede chave privada nem frase-semente. Veja como acompanhar uma carteira cripto pelo endereço.
• Exchanges como a Coinbase ou a Kraken se conectam pelo Plaid, como as corretoras, quando o Plaid as oferece. O Sonar não aceita chaves de API de exchanges, então não há chave para criar, guardar ou vazar.
• Corretoras se conectam pela Plaid nos planos Starter, Standard e Premium, só para dados de investimento: posições, operações, dividendos e taxas. Você entra pelas telas da Plaid ou da corretora, então sua senha nunca chega ao Sonar. Conectar uma corretora ou exchange exige verificação em duas etapas na sua conta do Sonar, e remover a conexão revoga o acesso do Sonar na Plaid. As instituições disponíveis dependem da cobertura da Plaid no seu país. Veja o acompanhamento de contas em corretoras.
• Seus dados não são vendidos nem usados para publicidade. Desconectar uma conta apaga os dados dela e revoga o acesso.

A página de segurança lista o que o Sonar guarda, o que nunca armazena e como relatar uma vulnerabilidade. Os limites de contas conectadas por plano estão na página de preços.

Os riscos que continuam mesmo com somente leitura

O acesso somente leitura elimina o maior risco, o de alguém negociar ou sacar com os seus acessos, mas não todos:

• Privacidade. O app vê suas posições e seu histórico. Prefira serviços que expliquem o que guardam e não vendam dados.
• Um vazamento no app pode expor o que ele guarda. Credenciais criptografadas e poucos dados armazenados limitam o estrago.
• Phishing. Versões falsas de apps ou exchanges podem levar você a fazer login. Confira a barra de endereço antes de digitar suas credenciais. A CVM publica alertas no Portal do Investidor.
• Chaves esquecidas com permissões demais. Revise e apague de vez em quando as chaves de API que você não usa mais.

Perguntas frequentes

Um app de carteira pode roubar meu dinheiro?

Não por uma conexão realmente somente leitura. Uma chave de API de consulta, um endereço público de carteira ou uma conexão de corretora limitada a dados de investimento não conseguem dar ordens nem sacar. O risco vem de apps que pedem permissão para negociar ou sacar, senhas ou frases-semente.

A Plaid é segura?

A Plaid é usada por muitos apps financeiros, e com ela você entra pelas telas dela ou da sua instituição em vez de dar a senha ao app. Como em qualquer serviço, veja que dados o app pede e leia a política de privacidade dele. A Plaid descreve sua abordagem na página de segurança.

Devo dar o segredo da minha chave de API a um app?

Só se for uma chave de consulta e só para um app que explique como a guarda. Nunca compartilhe com um app de carteira uma chave com permissão para negociar ou sacar.

O que fazer se eu achar que uma chave vazou?

Apague a chave na exchange imediatamente e crie outra de consulta se quiser manter a conexão. Revise a atividade recente da conta e as configurações de segurança.

Sou obrigado a conectar contas?

Não. Você pode importar um CSV ou lançar posições à mão. Veja como exportar suas transações para CSV.