APIs Bancárias e Portfolio Trackers: Por Que Conectar o Seu Broker É Mais Arriscado do que Parece

Uma API (Application Programming Interface) é um canal padronizado através do qual um sistema de software solicita dados a outro. No contexto do rastreamento de carteira, uma API bancária ou de broker permite a uma aplicação externa — o tracker — ler os dados da sua conta diretamente dos servidores do broker, sem que precise exportar ou carregar nada manualmente. A maioria dos portfolio trackers com conectividade de broker usa um de três métodos: 1. Open Banking (PSD2 na Europa): um quadro regulatório que obriga bancos e brokers a exporem APIs de leitura a terceiros autorizados. Autentica-se uma vez via OAuth e o terceiro recebe um token de acesso de longa duração para recuperar os dados da conta periodicamente. 2. Screen scraping via agregadores: serviços como Plaid, Salt Edge ou Yapily funcionam como intermediários. Fornece-lhes as suas credenciais do broker (ou um token OAuth) e eles recuperam os dados em seu nome. 3. Chaves API diretas: alguns brokers expõem APIs para programadores. Um portfolio tracker pode pedir-lhe para gerar uma chave API na conta do broker e colá-la no tracker. Em todos os casos, o resultado é o mesmo: um terceiro detém uma credencial persistente que pode usar para recuperar os seus dados financeiros a qualquer momento.

A maioria dos investidores fica surpreendida. Supõem que o tracker vê apenas o que exibe — posições e saldos. A realidade depende do âmbito do token OAuth ou chave API concedidos. Campos de dados comumente acessíveis através de APIs de broker: — Todas as posições atuais (nome, ISIN, quantidade, valor atual) — Histórico completo de transações (cada compra, venda, dividendo, taxa desde a abertura da conta) — Saldos de caixa em todas as subcontas — Ordens pendentes — Dados de identificação pessoal (nome, morada, data de nascimento, NIF em alguns casos) — Dados da conta bancária vinculada (IBAN para levantamentos) — Documentos KYC em algumas integrações O histórico de transações é o elemento mais sensível: revela não apenas o que detém hoje, mas cada decisão financeira tomada ao longo dos anos. São dados financeiros comportamentais — muito mais valiosos para anunciantes, data brokers e seguradoras do que um simples snapshot do saldo.

Os riscos dividem-se em quatro categorias: 1. Corretagem de dados e partilha com terceiros Muitas aplicações gratuitas monetizam através dos dados. O histórico de transações e padrões comportamentais são vendidos a redes publicitárias, agregadores de dados financeiros ou seguradoras. Mesmo dados anonimizados podem ser re-identificados pelo padrão único de ativos, montantes e datas. 2. Exposição a violações no nível do agregador Se conectou o broker através de um agregador, as suas credenciais estão na infraestrutura desse agregador. Uma violação expõe todas as conexões de todas as aplicações que o usam. A Plaid chegou a acordo de 58 milhões de dólares em 2022 por armazenamento não autorizado de credenciais. 3. Persistência de tokens e conexões esquecidas Tokens OAuth permanecem válidos até revogação explícita. Investidores que deixam de usar uma app raramente revogam o token — uma app abandonada pode ainda ter credenciais válidas anos depois. 4. Alargamento de âmbito e pedidos de reautorização Algumas apps pedem periodicamente para reautenticar ou ampliar permissões — apresentado como melhoria de conveniência, raramente como compromisso de privacidade.

Para conexões PSD2/Open Banking: — Aceda às definições de conta do broker ou banco — Procure "Aplicações conectadas", "Acesso de terceiros" ou "Permissões Open Banking" — Revogue qualquer conexão não utilizada ativamente — Programe um lembrete para verificar conexões de 6 em 6 meses Para chaves API diretas: — Aceda à gestão de API da conta broker e elimine chaves de apps não utilizadas — Rode as chaves ativas pelo menos uma vez por ano Para conexões via agregador: — Verifique as definições de privacidade de cada app de carteira — Use o portal do próprio agregador para visualizar e desligar conexões armazenadas — Submeta pedidos de eliminação de dados RGPD às apps que já não usa A verdade desconfortável: a maioria dos investidores tem entre 3 e 8 conexões de terceiros ativas, a maioria esquecidas.

A DonkyCapital foi desenhada desde o início sem qualquer conectividade API com brokers. Não é uma limitação — é uma escolha arquitetónica deliberada que oferece verdadeira privacidade by design. Como funciona a DonkyCapital: — Importa a carteira via ficheiro CSV ou introdução manual — Os dados residem na conta DonkyCapital — nunca conectados ao broker — Nunca armazenamos chaves API, tokens OAuth ou credenciais de contas de corretagem — Não podemos recuperar novos dados do broker sem ação explícita sua — Uma violação na DonkyCapital não pode expor credenciais do broker, porque nunca as tivemos Na prática: a conta broker nunca está exposta a um armazém de credenciais de terceiros; não há token persistente; se deixar de usar a DonkyCapital não há nada a revogar no broker. A contrapartida é real: deve reimportar manualmente quando realiza novas operações. Para investidores de longo prazo que operam raramente, é uma operação de 2 minutos — um preço pequeno por uma arquitetura fundamentalmente mais privada.