Checklist de permissões para chaves API na Bybit

Criar uma chave API na Bybit é o passo que conecta um bot ou uma ferramenta de terceiros à sua conta. O problema mais comum não é a ferramenta em si, mas o excesso de permissões: uma chave criada às pressas costuma sair com acesso de negociação, saque e leitura de tudo, quando o robô precisava apenas enviar ordens. Este checklist organiza o processo em etapas verificáveis: entender o que cada permissão permite, criar a chave com escopo mínimo, restringir por IP quando a ferramenta permitir, testar antes de operar de verdade e revisar depois. Como a Bybit altera rótulos, telas e opções com frequência, trate cada nome de campo como algo a confirmar na própria interface e na central de ajuda, em vez de assumir que continua igual. Também não presuma valores de taxa, limite ou bônus: consulte a página oficial de taxas quando o custo importar para a sua estratégia e anote o que encontrou com data. Ao final de cada etapa, registre o que foi configurado, em qual ferramenta e com qual finalidade. Esse registro é o que permite revogar a chave certa sem afetar outras automações.

Entenda o que cada permissão permite antes de marcar qualquer caixa

Antes de gerar a chave, liste em um papel ou bloco de notas o que a ferramenta realmente precisa fazer: enviar ordens, cancelar ordens, consultar saldo, ler histórico de execuções ou apenas acompanhar posições. Cada uma dessas funções corresponde a um grupo de permissões diferente, e a maioria dos bots de negociação não precisa de saque nem de transferência entre carteiras internas. Se a ferramenta não explica claramente quais escopos exige, pergunte ao desenvolvedor ou procure a documentação dela antes de criar a chave.

Na tela de criação, leia os rótulos com atenção e confirme o significado de cada opção na central de ajuda da Bybit, porque nomes como leitura, negociação e saque podem aparecer agrupados de formas diferentes ao longo do tempo. Uma prática segura é criar uma chave separada por finalidade: uma só para ordens, outra só para leitura de dados, em vez de uma chave única que faz tudo. Assim, se uma ferramenta for comprometida, o dano possível fica limitado ao escopo daquela chave.

Anote também se a chave é de conta unificada ou de um subperfil, e se as permissões escolhidas se aplicam a spot, derivativos ou ambos. Essa distinção muda o que a chave consegue alcançar e deve constar no seu registro junto com a data de criação e o nome da ferramenta vinculada.

Crie a chave com escopo mínimo e restrição de IP quando possível

Gere a chave somente depois de decidir o escopo. Na maioria dos casos, marque apenas as permissões de negociação e de leitura estritamente necessárias, deixando saque e transferência desmarcados, a menos que exista uma razão concreta e documentada para habilitá-los. Se a ferramenta roda em um servidor com endereço fixo, use a restrição por IP na própria criação da chave, informando apenas aquele endereço. Isso reduz o risco de a chave ser usada de outro lugar caso vaze.

Copie a chave e o segredo uma única vez, no momento da criação, e guarde-os em um gerenciador de senhas ou em um cofre de segredos da ferramenta, nunca em capturas de tela, chats ou arquivos de texto soltos no computador. Se o segredo for exibido apenas uma vez e você perder, o caminho é revogar e criar outra chave, não tentar recuperar.

Antes de salvar, revise a lista final de permissões marcadas e compare com a lista de necessidades que você escreveu. Se houver divergência, volte e ajuste. Esse é o ponto de maior impacto de todo o processo, porque corrigir depois exige revogar a chave e reconfigurar a ferramenta.

Teste a chave em ambiente controlado antes de operar de verdade

Depois de criar a chave, conecte a ferramenta e faça um teste pequeno e reversível, como consultar saldo e listar posições, para confirmar que as permissões de leitura funcionam. Em seguida, teste uma ordem de valor mínimo e cancele-a, verificando se a ferramenta consegue tanto enviar quanto cancelar. Se a ferramenta falhar em alguma dessas operações, o problema pode ser escopo insuficiente ou configuração incorreta, e não necessariamente a chave em si.

Observe o comportamento da ferramenta nos primeiros ciclos: ela tenta acessar funções fora do escopo concedido, mostra mensagens de permissão negada ou solicita que você habilite saque? Qualquer pedido para ampliar permissões sem justificativa clara é um sinal de alerta, e nesse caso pare, revogue a chave e reavalie a ferramenta antes de continuar.

Registre o resultado do teste com data e hora, o que funcionou, o que falhou e qual mensagem de erro apareceu. Esse histórico ajuda a distinguir, mais tarde, uma mudança na Bybit de uma mudança na própria ferramenta. Consulte a central de ajuda se a mensagem de erro não for clara, mas evite concluir que a chave está correta apenas porque a interface não reclamou.

Revise, rotacione e revogue chaves periodicamente

Defina uma rotina de revisão, por exemplo a cada trimestre ou sempre que trocar de ferramenta, e abra a lista de chaves API na conta para conferir o que cada uma faz, quando foi criada e se ainda é usada. Chaves antigas de ferramentas que você não usa mais devem ser revogadas, não apenas esquecidas. Se uma ferramenta deixou de funcionar, revogue a chave correspondente antes de criar outra, para não acumular credenciais ativas sem dono.

Quando precisar trocar uma chave, crie a nova, teste-a e só então revogue a antiga, para reduzir o tempo sem automação. Atualize o registro com a data da troca e o motivo. Se você usa várias ferramentas, mantenha uma chave por ferramenta e nomeie cada uma de forma reconhecível, evitando rótulos genéricos que dificultam saber o que pode ser revogado sem quebrar outra coisa.

Sempre que a Bybit publicar mudanças na central de ajuda sobre chaves API ou permissões, releia a sua configuração e ajuste o que for necessário. Como taxas e condições de negociação também mudam, consulte a página oficial de taxas quando o custo por operação for relevante para o seu bot e anote os valores encontrados com a data da consulta, sem tratá-los como fixos.

Limite de risco: Bybit Brazil Guide

Ativos digitais são voláteis e derivativos podem ampliar perdas. Este site não possui login, carteira, depósito ou chat de suporte. Um link de indicação registra apenas atribuição; não garante acesso, preço, recompensa, aprovação ou resultado de investimento. A disponibilidade pode variar por residência, entidade e produto; idioma ou marca não comprovam acesso regional.

Ponto de controle

• Liste por escrito quais funções a ferramenta precisa antes de criar a chave, separando leitura, negociação e saque.
• Marque apenas as permissões estritamente necessárias e deixe saque e transferência desmarcados sem justificativa documentada.
• Restrinja a chave ao endereço IP do servidor quando a ferramenta rodar em local com endereço fixo.
• Guarde chave e segredo em gerenciador de senhas ou cofre de segredos, nunca em capturas de tela ou arquivos soltos.
• Teste leitura, envio e cancelamento com valores mínimos antes de deixar a automação operando de verdade.
• Registre nome, finalidade, data de criação e data de revogação de cada chave, e revise a lista periodicamente.