Se ti hanno chiesto una chiave API del tuo exchange per preparare il report fiscale, avere dubbi è la reazione giusta. «E se accedessero ai miei fondi?» «Possono spostare le mie crypto?»
Risposta breve: no, non possono. In questo articolo trovi il perché, nel dettaglio.
Che cos’è un’API, senza tecnicismi
API sta per Application Programming Interface, interfaccia di programmazione. Suona tecnico, ma l’idea è semplice:
Un’API è una porta controllata che permette a un programma esterno di dialogare con il tuo exchange.
Pensa alla tessera di un albergo:
- La tessera della tua stanza apre solo la tua stanza, non tutte le porte dell’edificio.
- Un’API funziona allo stesso modo: porta con sé i permessi precisi che scegli tu quando la crei.
Ogni volta che crei una chiave su un exchange come Binance, Kraken o Bit2Me, sei tu a decidere che cosa quella connessione può fare.
I tre livelli di permesso
Tutti gli exchange organizzano i permessi delle API in modo simile. In genere esistono tre livelli:
1. Sola lettura (Read Only)
- Cosa consente: consultare lo storico delle operazioni, vedere i saldi, scaricare i movimenti.
- Cosa NON consente: comprare, vendere, prelevare o spostare fondi.
- L’equivalente: mostrare a qualcuno l’estratto conto. I numeri si leggono, un centesimo non si tocca.
2. Trading
- Cosa consente: tutto quanto sopra, più eseguire ordini di acquisto e vendita all’interno dell’exchange.
- Cosa NON consente: prelevare fondi verso wallet esterni.
- L’equivalente: lasciare che qualcuno operi a tuo nome, senza poter far uscire denaro dal conto.
3. Prelievo (Withdrawal)
- Cosa consente: tutto quanto sopra, più inviare crypto a indirizzi esterni.
- È l’unico livello che potrebbe mettere a rischio i tuoi fondi.
- L’equivalente: consegnare le chiavi complete del conto.
Che cosa serve davvero per un report fiscale: la sola lettura
Per produrre un report fiscale sulle crypto serve solo il primo livello, niente di più.
Con quella chiave si fa esclusivamente questo:
- scaricare lo storico di acquisti e vendite
- consultare depositi e prelievi
- leggere data e prezzo di ogni operazione
Nessun ordine. Nessun prelievo. Solo leggere dati.
Perché con una chiave in sola lettura è tecnicamente impossibile spostare fondi
Non è una questione di fiducia: è un limite tecnico imposto dall’exchange stesso.
Quando crei una chiave in sola lettura, l’exchange genera credenziali (API Key e Secret Key) soggette a regole rigide lato server:
-
L’exchange verifica i permessi a ogni richiesta. Ogni volta che la chiave viene usata, il server controlla che cosa quella chiave può fare. Se qualcuno prova a piazzare un ordine o un prelievo con una chiave in sola lettura, l’exchange rifiuta l’operazione automaticamente.
-
I permessi non si possono ampliare. Sono fissati al momento della creazione. Estendere una chiave esistente è impossibile senza accedere al tuo conto con password e autenticazione a due fattori (2FA).
-
Ogni chiave ha la propria coppia di credenziali. Avere la chiave di lettura non dà accesso ad altre chiavi che tu abbia creato con permessi più ampi.
È come voler aprire una cassaforte con la tessera della palestra: semplicemente non funziona, perché il sistema non lo prevede.
Le protezioni aggiuntive degli exchange
I principali exchange aggiungono ulteriori livelli di sicurezza:
| Protezione | Che cosa fa |
|---|---|
| Whitelist di IP | La chiave funziona solo da indirizzi IP specifici |
| 2FA per crearla | Serve l’autenticazione a due fattori per generare qualsiasi chiave |
| Permessi granulari | Ogni singolo permesso si attiva o disattiva al momento della creazione |
| Data di scadenza | Alcuni exchange fanno scadere la chiave automaticamente |
| Notifiche | Ricevi un’e-mail ogni volta che viene creata una nuova chiave sul tuo conto |
A confronto: che cosa consente ogni tipo di chiave
| Azione | Sola lettura | Trading | Prelievo |
|---|---|---|---|
| Vedere lo storico operazioni | Sì | Sì | Sì |
| Consultare i saldi | Sì | Sì | Sì |
| Scaricare i movimenti | Sì | Sì | Sì |
| Comprare o vendere crypto | No | Sì | Sì |
| Piazzare ordini | No | Sì | Sì |
| Prelevare verso un wallet esterno | No | No | Sì |
| Inviare crypto a un’altra persona | No | No | Sì |
E se volessi togliere l’accesso?
Puoi eliminare la chiave dal tuo exchange in qualsiasi momento. L’effetto è immediato: una volta cancellata, le credenziali smettono di funzionare all’istante.
Anche se condividi una chiave di lettura per un report fiscale, quindi, puoi revocare l’accesso appena il lavoro è concluso.
In sintesi
- Una chiave in sola lettura non può spostare, comprare né vendere le tue crypto.
- È un limite tecnico dell’exchange, non una promessa di chi riceve la chiave.
- Un report fiscale ha bisogno soltanto di leggere il tuo storico, nient’altro.
- Puoi eliminare la chiave quando vuoi, se non ti serve più.
- Condividere una chiave in sola lettura è sicuro quanto mostrare un estratto conto: i numeri si vedono, il denaro resta intoccabile.
Ti serve aiuto con il report fiscale delle tue crypto?
In colvence ci basta una chiave in sola lettura. Non chiediamo permessi di trading né di prelievo, per la semplice ragione che non ci servono.
Se non sai come creare la tua chiave, abbiamo una guida passo passo per ogni exchange.
Victor Lazaro
Consulente fiscale, colvence.com
