Chiave API dell'exchange

La chiave è una seconda porta verso lo stesso conto, aperta da un token e una firma invece che da una schermata di accesso. I Termini di utilizzo di Bitstamp, aggiornati l'ultima volta il 30 maggio 2025, pongono a tuo carico ogni perdita sotto una chiave che hai generato, compresi l'accesso non autorizzato e la perdita di fondi. Concedi l'ambito di sola lettura, mai il prelievo, ed elimina le chiavi che non usi più.

Come funziona

Una chiave API dell'exchange arriva come una coppia: un identificatore pubblico che indica il conto e un segreto con cui chi effettua la chiamata firma ogni richiesta. Il segreto compare una sola volta, al momento della creazione, e l'exchange ne conserva una propria copia per verificare ogni firma. Da quel momento un programma può inserire ordini, leggere i saldi o spostare fondi firmando una richiesta, senza browser, senza richiesta della password e senza secondo fattore nel percorso.

I permessi sono tutto il prodotto. I termini di Bitstamp lo riassumono in una riga: "The scope of access you permit by such API key is defined by you when you create API Key", e rimandano alla pagina di controllo degli accessi del conto. Le piattaforme dividono questo ambito in lettura, trading e prelievo, e molte consentono di vincolare una chiave a indirizzi IP fissi, così un segreto rubato è inutile altrove. Una chiave di sola lettura affidata a un tracker non può farti perdere denaro. Una chiave con permesso di prelievo è un'istruzione permanente a pagare chiunque detenga il segreto.

Sul piano contrattuale, una richiesta firmata con la tua chiave è un tuo ordine. I Termini di Bitstamp UK Limited, nella versione datata 01 luglio 2026, definiscono un'Istruzione come qualsiasi ordine o istruzione ricevuti da te, e la clausola sull'API esclude la responsabilità per perdite "resulting from use or Instructions submitted through API Keys". La stessa clausola compare nei termini di sei entità del gruppo, che riguardano Bitstamp Limited, Bitstamp Europe S.A., Bitstamp USA Inc., Bitstamp UK Limited, Bitstamp Global Ltd e Bitstamp Asia Pte. Ltd. Bitstamp si riserva inoltre il diritto di sospendere qualsiasi chiave senza preavviso quando ritiene che la sicurezza sia stata compromessa.

Dove la vedi

Le chiavi API dell'exchange si trovano nelle impostazioni di sicurezza di ogni piattaforma che pubblica un'interfaccia di trading, di solito sotto un'intestazione come controllo degli accessi. Ne crei una per collegare un tracker di portafoglio, uno strumento fiscale, uno script di acquisto ricorrente o un foglio di calcolo che estrae la tua cronologia delle operazioni. Una piattaforma può anche consentire a un'applicazione esterna di richiedere una chiave per tuo conto: Bitstamp chiama questa funzione Bitstamp Connect e richiede il tuo consenso all'interno del tuo conto prima che venga stabilita la connessione di un integratore.

Due abitudini coprono la maggior parte del rischio. Abbina l'ambito al compito, dato che uno strumento fiscale che legge la cronologia delle tue esecuzioni non ha motivo di avere diritti di trading o di prelievo, e revoca una chiave nel momento in cui il suo strumento viene dismesso, perché nessuna chiave scade da sola. Se la tua piattaforma consente di impostare una lista di indirizzi IP autorizzati, usala. Se pensi che un segreto sia trapelato, elimina prima la chiave e indaga dopo.

Un dettaglio sorprende chi costruisce strumenti propri. I termini del Regno Unito di Bitstamp concedono in licenza i dati di mercato restituiti da una chiave solo per l'Uso consentito dei dati di mercato, che comprende la visualizzazione dei prezzi, l'invio di ordini, la riconciliazione delle tue transazioni e l'adempimento di obblighi fiscali o di revisione. Ripubblicare quei prezzi, unirli ai feed di altre piattaforme o addestrare un modello su di essi costituisce Uso commerciale dei dati di mercato e richiede un accordo separato sui dati di mercato.

Chiave API dell'exchange vs chiave privata

Una chiave privata gestisce il bitcoin sulla blockchain; una chiave API dell'exchange gestisce un conto presso una società. La differenza emerge quando l'una o l'altra trapela. Una chiave API compromessa è revocabile: eliminala e la piattaforma smette di accettare le firme fatte con essa. Una chiave privata compromessa non può essere revocata da nessuno, perché la rete non ha idea di chi dovrebbe detenerla, e l'unica difesa è spostare i bitcoin su una chiave nuova prima che lo faccia il ladro. Questa asimmetria limita anche quanto può costarti una chiave API trapelata: raggiunge il saldo che l'exchange detiene per te e nulla di ciò che hai già prelevato.