Plateforme & Sécurité
Une liste blanche d'IP (allowlist) est une liste d'adresses IP depuis lesquelles une clé API de bourse, un point de terminaison de webhook ou un serveur peuvent être utilisés ; les requêtes provenant de toute autre adresse sont rejetées, de sorte qu'une clé volée ou un webhook falsifié sont inutiles à moins que l'attaquant ne contrôle également une adresse répertoriée.
Les identifiants fuient ; les adresses sont plus difficiles à voler. Lier une clé API aux adresses des serveurs d'exécution signifie que même une clé divulguée ne peut pas être utilisée depuis la machine d'un attaquant, et plusieurs bourses font expirer les clés non restreintes après une certaine période pour cette raison précise. Côté webhook, vérifier qu'une requête provient réellement des adresses publiées par TradingView, ou d'une adresse que vous contrôlez, est ce qui rend un webhook basé sur une URL sûr à utiliser pour le trading en direct, puisque TradingView ne peut pas envoyer d'en-têtes d'authentification.
AlgoVesta envoie les ordres crypto depuis des serveurs d'exécution avec des adresses IP publiques fixes, affichées dans le tableau de bord et dans les guides de configuration par bourse, afin que vous puissiez les ajouter à la liste blanche de votre clé API ; les serveurs sont constants, et une clé restreinte à ceux-ci ne peut être utilisée depuis nulle part ailleurs même en cas de fuite. Pour les webhooks TradingView, l'exécution en direct n'est acceptée que lorsque la requête provient des adresses IP publiées par TradingView ou d'une adresse que vous avez mise en liste blanche pour cette stratégie ; les requêtes provenant d'ailleurs sont journalisées et non tradées, et une adresse source vide ou inanalysable ne compte jamais comme vérifiée. La plateforme ne vous demande jamais de mettre en liste blanche son serveur principal, qui reste derrière un CDN. Voir Bourses prises en charge et la page bot TradingView.
Un trader crée une clé trade-only Bybit, la restreint aux deux adresses IP d'exécution indiquées dans le tableau de bord, et la connecte. Des mois plus tard, le secret apparaît dans un fichier divulgué. Quiconque tente de l'utiliser depuis une autre machine est rejeté par Bybit, tandis que les serveurs d'AlgoVesta continuent de trader normalement, et le trader fait tourner la clé tranquillement.