IP whitelist

Una whitelist IP (elenco consentiti) è un elenco di indirizzi IP dai quali una chiave API di un exchange, un endpoint webhook o un server possono essere usati; le richieste da qualsiasi altro indirizzo vengono rifiutate, così una chiave rubata o un webhook contraffatto sono inutili a meno che l'attaccante non controlli anche un indirizzo presente nell'elenco.

Perché è importante

Le credenziali trapelano; gli indirizzi sono più difficili da rubare. Legare una chiave API agli indirizzi dei server di esecuzione fa sì che anche una chiave trapelata non possa essere usata dalla macchina di un attaccante, e diversi exchange fanno scadere le chiavi non ristrette dopo un periodo esattamente per questo motivo. Sul lato webhook, verificare che una richiesta provenga realmente dagli indirizzi pubblicati di TradingView, o da un indirizzo che controlli, è ciò che rende un webhook basato su URL sicuro da usare per il trading live, dato che TradingView non può inviare header di autenticazione.

Come lo gestisce AlgoVesta

AlgoVesta invia gli ordini crypto da server di esecuzione con indirizzi IP pubblici fissi, mostrati nella dashboard e nelle guide di configurazione degli exchange, così puoi aggiungerli alla whitelist della tua chiave API; i server sono costanti, e una chiave ristretta a essi non può essere usata da nessun'altra parte anche se trapela. Per i webhook TradingView, l'esecuzione live viene accettata solo quando la richiesta proviene dagli indirizzi IP pubblicati di TradingView o da un indirizzo che hai inserito nella whitelist per quella strategia; le richieste provenienti da altrove vengono registrate e non tradate, e un indirizzo di origine vuoto o non analizzabile non conta mai come verificato. La piattaforma non ti chiede mai di inserire in whitelist il suo server principale, che resta dietro una CDN. Vedi Exchange supportati e la pagina del bot TradingView.

Esempio

Un trader crea una chiave Bybit solo-trading, la restringe ai due indirizzi IP di esecuzione elencati nella dashboard, e la collega. Mesi dopo il secret compare in un file trapelato. Chiunque provi a usarlo da un'altra macchina viene rifiutato da Bybit, mentre i server di AlgoVesta continuano a tradare normalmente, e il trader ruota la chiave con calma.

Errori comuni

• Inserire in whitelist il proprio IP di casa sull'exchange quando gli ordini vengono inviati dai server della piattaforma.
• Lasciare una chiave non ristretta e scoprire in seguito che l'exchange l'ha fatta scadere.
• Inviare gli alert di TradingView tramite un intermediario che cambia l'indirizzo di origine, facendo fallire la verifica.
• Confondere gli indirizzi dei server di esecuzione con l'indirizzo web della piattaforma.