IP-Whitelist

Eine IP-Whitelist ist eine Liste von IP-Adressen, von denen aus ein Börsen-API-Key, ein Webhook-Endpunkt oder ein Server genutzt werden darf; Anfragen von jeder anderen Adresse werden abgelehnt, sodass ein gestohlener Key oder ein gefälschter Webhook nutzlos ist, sofern der Angreifer nicht auch eine gelistete Adresse kontrolliert.

Warum es wichtig ist

Zugangsdaten sickern durch; Adressen sind schwerer zu stehlen. Einen API-Key an die Adressen der Ausführungsserver zu binden bedeutet, dass selbst ein durchgesickerter Key nicht vom Rechner eines Angreifers genutzt werden kann, und mehrere Börsen lassen unbeschränkte Keys genau aus diesem Grund nach einer bestimmten Zeit ablaufen. Auf der Webhook-Seite ist die Prüfung, ob eine Anfrage tatsächlich von den veröffentlichten Adressen von TradingView oder von einer von Ihnen kontrollierten Adresse stammt, das, was einen URL-basierten Webhook für den Live-Handel sicher macht, da TradingView keine Authentifizierungs-Header senden kann.

So geht AlgoVesta damit um

AlgoVesta sendet Krypto-Orders von Ausführungsservern mit festen öffentlichen IP-Adressen, die im Dashboard und in den Börsen-Einrichtungsanleitungen angezeigt werden, sodass Sie sie der Whitelist Ihres API-Keys hinzufügen können; die Server bleiben gleich, und ein darauf beschränkter Key kann selbst bei einem Leck von nirgendwo anders genutzt werden. Bei TradingView-Webhooks wird die Live-Ausführung nur akzeptiert, wenn die Anfrage von einer veröffentlichten IP-Adresse von TradingView oder von einer für diese Strategie freigegebenen Adresse stammt; Anfragen von anderswo werden protokolliert und nicht gehandelt, und eine leere oder nicht auswertbare Quelladresse zählt niemals als verifiziert. Die Plattform bittet Sie niemals, ihren Hauptserver auf die Whitelist zu setzen, der hinter einem CDN bleibt. Siehe Unterstützte Börsen und die Seite TradingView-Bot.

Beispiel

Ein Trader erstellt einen Trade-only-Key bei Bybit, beschränkt ihn auf die beiden im Dashboard angezeigten Ausführungs-IP-Adressen und verbindet ihn. Monate später taucht das Secret in einer durchgesickerten Datei auf. Jeder Versuch, es von einem anderen Rechner zu nutzen, wird von Bybit abgelehnt, während die Server von AlgoVesta normal weiterhandeln, und der Trader wechselt den Key in aller Ruhe aus.

Häufige Fehler

• Die eigene Heim-IP an der Börse auf die Whitelist setzen, obwohl die Orders von den Servern der Plattform gesendet werden.
• Einen Key unbeschränkt lassen und später feststellen, dass die Börse ihn ablaufen lassen hat.
• TradingView-Alerts über einen Vermittler senden, der die Quelladresse verändert, sodass die Verifizierung scheitert.
• Die Adressen der Ausführungsserver mit der Webadresse der Plattform verwechseln.