Chiavi API degli exchange: controllare e revocare accessi

Lucchetto in ottone e chiavi su sfondo bianco

Indice

In breve

Verifica gli accessi di bot e app di portafoglio, elimina le chiavi API inutilizzate e prova quelle nuove senza operazioni. Esempi per Kraken Pro e Coinbase Exchange.

Distingui la manutenzione da un possibile incidente

Una chiave API dell’exchange consente al software di accedere a un conto senza usare la normale schermata di accesso a ogni richiesta. Un’app di monitoraggio del portafoglio può leggere i saldi; un bot di trading può inserire ordini. Questa guida aiuta il titolare del conto a elencare le connessioni, rimuovere i permessi superflui e verificare una revoca. Riguarda le API degli exchange, non le frasi seed dei wallet o le autorizzazioni dei token sulla blockchain.

Servono un dispositivo affidabile, l’accesso all’exchange e al suo metodo di autenticazione e le impostazioni di ciascun servizio collegato. Non partire da un link contenuto in un messaggio inatteso dell’assistenza. Operazioni sconosciute, un segreto esposto o una chiave ignota indicano un possibile incidente: revoca tempestivamente l’accesso interessato sull’exchange e contatta l’assistenza ufficiale. Non rimandare il contenimento per completare questa lista.

Per una manutenzione programmata, individua prima le attività automatiche e gli ordini aperti che dipendono dalla connessione. Organizza una pausa, se possibile. Revocare le credenziali può interrompere il monitoraggio o la gestione degli ordini; non dimostra che quelli esistenti siano stati annullati. Controllali separatamente nell’interfaccia dell’exchange. [1][2]

Crea un inventario senza copiare i segreti

Apri l’exchange dall’indirizzo salvato o dall’app ufficiale e cerca la gestione delle API. Il percorso documentato per Kraken Pro è menu del conto, Settings, poi API. Coinbase Exchange indica una voce API nella barra laterale della dashboard; l’esempio riguarda specificamente Exchange, non tutti i prodotti Coinbase. Se l’interfaccia è diversa, consulta la guida del prodotto effettivamente utilizzato.

Crea un registro privato con etichetta della chiave, applicazione collegata, conto o portafoglio, compito previsto, permessi, scadenza ed eventuali restrizioni IP. Annota creazione o ultimo utilizzo solo se l’interfaccia li mostra. Non incollare il segreto API, la passphrase o il codice QR nel registro o in una richiesta di assistenza. Un’etichetta descrittiva basta per identificare la connessione.

Classifica ogni voce: mantenere, sostituire, eliminare o approfondire. Un’etichetta sconosciuta richiede un controllo, ma non prova una compromissione. Verifica le tue vecchie integrazioni prima di attribuire un’attività a un aggressore. Distingui lo stato mostrato dall’exchange da ciò che l’applicazione afferma di utilizzare. [1][4]

Abbina i permessi al compito effettivo

Prima di modificare le caselle, scrivi cosa deve fare l’applicazione. Visualizzare un saldo non richiede la possibilità di inserire ordini. Un rapporto storico può richiedere accesso alle transazioni o al registro contabile oltre alla lettura del saldo. Per ogni permesso richiesto, chiedi quale funzione documentata non funzionerebbe senza: una generica richiesta di accesso completo non è una spiegazione.

L’accesso in sola lettura rivela comunque informazioni finanziarie. I diritti di trading possono causare perdite anche con i prelievi disabilitati. Valuta questi rischi separatamente. Coinbase Exchange distingue View, Trade, Transfer e Manage; la documentazione afferma che Transfer aggira l’autenticazione a due fattori. Un accesso web protetto non implica quindi che ogni azione API richieda una conferma sul telefono.

Usa il minimo insieme di permessi compatibile con il compito e la documentazione corrente del prodotto. Non trasferire automaticamente i nomi dei permessi tra piattaforme. Se una semplice app di visualizzazione del portafoglio pretende i prelievi, interrompi la configurazione e chiedi una spiegazione tecnica precisa. Non verificare l’affermazione concedendo temporaneamente un accesso illimitato. [1][4]

Controlla restrizioni di rete e conservazione

Se disponibile, una lista di IP consentiti limita gli indirizzi di rete dai quali la chiave può essere usata. Conferma gli indirizzi in uscita documentati dal servizio collegato tramite le impostazioni ufficiali o l’assistenza. L’indirizzo rilevante può appartenere al suo server, non al tuo computer di casa. Non aggiungere un indirizzo fornito soltanto in un messaggio non richiesto.

La lista non limita ciò che un servizio già autorizzato può fare entro i permessi della chiave. Per una connessione domestica con indirizzo pubblico variabile, pianifica come aggiornare la restrizione; non eliminarla automaticamente quando la connessione fallisce. Kraken documenta anche una scadenza, utile per limitare la durata di un collegamento temporaneo.

Conserva le credenziali necessarie in un archivio cifrato o in un gestore di password. Evita screenshot sincronizzati con una libreria fotografica condivisa. Se un segreto è già stato esposto, spostare lo stesso valore in un archivio più sicuro non revoca la copia divulgata. Sostituiscilo attraverso l’exchange. [1][2]

Revoca o sostituisci la chiave selezionata

Per una connessione inutilizzata, seleziona la chiave corrispondente nella gestione API dell’exchange e usa l’azione di revoca o eliminazione. Leggi attentamente la conferma e confronta l’etichetta selezionata con il registro. Disinstallare un’app dal telefono o scollegarla nella sua dashboard non sostituisce il controllo della credenziale sull’exchange.

Per una sostituzione programmata, segui l’ordine documentato per il prodotto. Coinbase Exchange indica di revocare prima la chiave esistente, crearne una nuova con permessi minimi, aggiornare le applicazioni e provarla. Con questa procedura è prevista un’interruzione. Non promettere un passaggio senza disservizi e non mantenere una chiave compromessa solo per evitare una pausa.

Se il servizio è ancora necessario, salva la sostituta in modo sicuro e aggiorna soltanto l’integrazione prevista. Ricontrolla portafoglio selezionato, permessi e restrizione di rete, senza presumere che siano stati ereditati automaticamente. Non inviare mai il nuovo segreto a qualcuno che si offre di verificare la modifica al tuo posto. [2][3]

Verifica il risultato in entrambi i sistemi

Aggiorna l’elenco API dell’exchange e conferma che la vecchia chiave sia assente o esplicitamente revocata. Controlla poi il successivo tentativo di sincronizzazione del servizio collegato e il suo orario. Un saldo ancora visibile può provenire dalla cache; non dimostra che l’accesso continui. Viceversa, un errore di connessione da solo non prova la revoca, perché un guasto di rete può causare lo stesso sintomo.

Per la sostituta usa una lettura innocua già supportata dall’applicazione, per esempio l’aggiornamento dei saldi. Confronta il conto e l’ora restituiti con quelli dell’exchange. Non occorre fare trading o prelevare fondi soltanto per verificare una connessione. Esamina i permessi salvati sull’exchange invece di sperimentare un’operazione finanziaria indesiderata.

Controlla separatamente ordini aperti e attività recenti. Documenta ciò che hai verificato e quanto resta incerto. Questo procedimento controlla le impostazioni di accesso; non può provare la cancellazione di dati già condivisi né l’annullamento di una precedente transazione non autorizzata. [3]

Esempio: dismettere una vecchia connessione di portafoglio

Supponiamo che una vecchia app di portafoglio non sia più utile. Il registro dice che dovrebbe solo leggere i dati del conto, ma l’exchange mostra anche il permesso di trading. È un esempio ipotetico, non un incidente segnalato.

Annota etichetta e permessi senza il segreto, verifica se altre attività condividono la stessa chiave e rimuovila sull’exchange. Aggiorna l’elenco delle chiavi. Un successivo aggiornamento della vecchia app non dovrebbe più ottenere dati privati del conto tramite quella credenziale; annota il risultato senza considerare un vecchio saldo visualizzato come prova di accesso. Elimina la connessione salvata nell’app con un passaggio separato.

Se ti servono ancora i rapporti, crea una connessione distinta e opportunamente limitata dopo aver verificato i requisiti del nuovo servizio. Mantieni revocata la vecchia chiave. Il resoconto finale deve indicare la connessione rimossa, l’eventuale sostituta, l’ora della verifica e le questioni irrisolte. Non allegare credenziali a questo resoconto. [2][3]

Se la verifica non riesce

Se dopo la conferma la vecchia chiave risulta ancora attiva, smetti di creare sostitute e contatta l’exchange tramite un canale di assistenza aperto autonomamente. Se la nuova chiave non si collega, controlla compatibilità del prodotto, conto selezionato, permessi, indirizzo consentito e se l’applicazione ha davvero salvato la nuova credenziale. Non risolvere un errore inspiegato abilitando tutti i permessi.

Se le attività sconosciute continuano, usa da un dispositivo affidabile la procedura dell’exchange per i conti compromessi. Conserva orari e identificativi delle transazioni senza divulgare segreti. Controlla altre chiavi e sessioni: cambiare una chiave API non equivale a un’indagine completa sul conto.

Programma una nuova verifica quando smetti di usare un servizio, cambi il suo server o vieni a sapere di un incidente pertinente. L’obiettivo è un inventario accurato e la revoca confermata degli accessi superflui, con ogni dipendenza residua chiaramente documentata. [2][3]

Domande frequenti

La sola lettura significa assenza di rischi?

No. Limita le azioni, ma può rivelare saldi e cronologia del conto. Concedi soltanto l’accesso alle informazioni necessarie per il compito. [2]

Eliminare un bot revoca la sua chiave?

Non darlo per scontato. Controlla la gestione API sull’exchange e revoca lì la credenziale; elimina separatamente la connessione salvata nell’app. [3]

Devo fare trading per provare la nuova chiave?

No. Inizia da un aggiornamento autorizzato del saldo e controlla i permessi salvati. Non inserire un ordine finanziario soltanto per verificare l’accesso. [3]

Prove e fonti

Documento fonte: 29 ott 2026 · Verificato: 5 nov 2026

Limiti della documentazione · Documentazione ufficiale verificata il 5 novembre 2026. La guida di configurazione di Kraken Pro è stata aggiornata il 29 ottobre 2026. Questa è una guida preventiva, non la notizia di un nuovo attacco. I controlli variano tra prodotti.

[1]Riportato da una fonte
Kraken Pro documenta permessi API separati e restrizioni opzionali di rete e scadenza.
Estratto a supporto: Kraken Pro: creare e configurare una chiave API
Traduzione dell’estratto
Die IP-Adressbeschränkung ist eine Sicherheitsfunktion
Citazione originale
Die IP-Adressbeschränkung ist eine Sicherheitsfunktion
So erstellen Sie einen API-Schlüssel auf Kraken Pro ↗
Lingua della fonte: DE · Acquisito 5 nov 2026
[2]Riportato da una fonte
Kraken raccomanda di ridurre al minimo i permessi API e cancellare le chiavi non più necessarie.
Estratto a supporto: Kraken: sicurezza delle chiavi API
Traduzione dell’estratto
Lösche regelmäßig API-Schlüssel, die nicht mehr relevant sind.
Citazione originale
Lösche regelmäßig API-Schlüssel, die nicht mehr relevant sind.
Sicherheit für API-Schlüssel ↗
Lingua della fonte: DE · Acquisito 5 nov 2026
[3]Riportato da una fonte
Coinbase Exchange documenta la revoca della chiave esistente prima di creare e provare la sostituta.
Estratto a supporto: Coinbase Exchange: sostituire una chiave API
Traduzione dell’estratto
First, revoke or delete the current API key.
Citazione originale
First, revoke or delete the current API key.
How to rotate your API key ↗
Lingua della fonte: EN · Acquisito 5 nov 2026
[4]Riportato da una fonte
Coinbase Exchange distingue View, Trade, Transfer e Manage e avverte che Transfer aggira l’autenticazione a due fattori.
Estratto a supporto: Coinbase Exchange: creare una chiave API
Traduzione dell’estratto
Key can transfer value for accounts, including deposits and withdrawals (and bypasses 2FA)
Citazione originale
Key can transfer value for accounts, including deposits and withdrawals (and bypasses 2FA)
How to create an API key ↗
Lingua della fonte: EN · Acquisito 5 nov 2026