Как безопасно использовать API-ключи биржи: настройка, хранение и проверка
Чтобы безопасно использовать API-ключи биржи, выдавайте каждому приложению отдельный ключ только для чтения или только для торговли, добавьте список разрешённых IP-адресов и храните секрет в менеджере паролей.
Vahe HakobyanГлавный редактор
Обновлено 6 окт. 20263 мин чтенияПроверено фактами
На этой странице
- Ключи только для чтения видят данные аккаунта, но не могут размещать сделки.
- Отдельный ключ для каждого приложения ограничивает утечку.
- Белый список IP снижает риск, но не даёт полной защиты.
- Храните секрет в менеджере паролей, а не в чате или коде.
- Отзывайте неиспользуемые ключи; удаление приложения их не убирает.
Боту или трекеру нужен доступ к вашему аккаунту на бирже без вашего пароля. API-ключ это обеспечивает, и именно его разрешения определяют, что может сделать утечка.
Какие разрешения должны быть у API-ключа биржи?
Когда вы подключаете бота или трекер, биржа спрашивает, какие действия разрешены ключу. Выберите только чтение, если приложение лишь смотрит балансы и историю. Выберите только торговлю, если оно размещает ордера, и не включайте доступ к выводу средств. Используйте отдельный подписанный ключ для каждого приложения.
Как создать ключ и защитить его?
Привяжите ключ к одной сети и храните секрет в недоступном месте. Биржа обычно показывает секрет один раз, поэтому заранее подготовьте менеджер паролей. Используйте белый список IP, если биржа его поддерживает.
- 1Создайте ключЗадайте выбранные разрешения и назовите ключ по имени приложения.
- 2Настройте белый список IPВведите IP вашего сервера или доверенной сети.
- 3Скопируйте секрет один разБиржа обычно показывает его только один раз.
- 4Храните секретИспользуйте менеджер паролей или зашифрованную переменную окружения.
- 5Подключение и проверкаУбедитесь, что приложение работает как задумано.
Что делать после настройки?
Настройка не заканчивается, когда приложение начинает работать. Ключ может оставаться активным после того, как вы о нём забудете. Заведите регулярную проверку и ведите записи о назначении каждого ключа.
Часто задаваемые вопросы
Нет. Ключ только для чтения может просматривать балансы и историю, но не может отправлять ордера. Для размещения сделок нужно разрешение на торговлю, а это несёт больше риска, если ключ утечёт.
Считайте, что секрет уже скомпрометирован. Используйте отдельный ключ для этого приложения, дайте ему только необходимые разрешения и отзовите его, когда перестанете пользоваться приложением.
Обычно нет. Многие ключи остаются активными, пока вы их не отзовёте, хотя некоторые биржи позволяют задать дату истечения. Проверьте настройки и удалите всё, чем больше не пользуетесь.
Нет. Удаление приложения или бота не удаляет ключ из вашего аккаунта на бирже. Отзовите ключ в настройках API на бирже.
