プラットフォーム & セキュリティ
IPホワイトリスト（許可リスト）とは、取引所のAPIキー、Webhookエンドポイント、またはサーバーが使用を許可されるIPアドレスの一覧です。それ以外のアドレスからのリクエストは拒否されるため、盗まれたキーや偽造されたWebhookは、攻撃者が登録済みのアドレスも制御していない限り無用のものになります。
認証情報は漏洩しますが、アドレスを盗むのはより困難です。APIキーを執行サーバーのアドレスに紐づけることで、漏洩したキーであっても攻撃者のマシンからは使用できなくなり、複数の取引所がまさにこの理由から、制限のないキーを一定期間後に失効させています。Webhook側では、リクエストが本当にTradingViewの公開アドレスから来ているか、あなたが管理するアドレスから来ているかを検証することが、URLベースのWebhookをライブ取引に安全に使えるものにする要素です。TradingViewは認証ヘッダーを送信できないためです。
AlgoVestaは、ダッシュボードと取引所のセットアップガイドに表示される固定の公開IPアドレスを持つ執行サーバーから暗号資産の注文を送信するため、それらをAPIキーの許可リストに追加できます。サーバーは一貫しており、それらに制限されたキーは、漏洩したとしても他のどこからも使用できません。TradingViewのWebhookについては、リクエストがTradingViewの公開IPアドレス、またはその戦略向けに許可リストに登録したアドレスから来た場合にのみライブ執行が受け付けられます。それ以外からのリクエストは記録されるだけで取引はされず、空または解析不能な送信元アドレスが検証済みとみなされることは決してありません。プラットフォームは、CDNの背後にある自身のメインサーバーをホワイトリストに登録するようあなたに求めることは決してありません。対応取引所とTradingViewボットのページをご覧ください。
あるトレーダーがBybitの取引専用キーを作成し、ダッシュボードに表示された2つの執行用IPアドレスに制限してから接続します。数か月後、そのシークレットが漏洩したファイルの中に現れます。別のマシンから使用しようとする者はBybitに拒否されますが、AlgoVestaのサーバーは通常どおり取引を続け、そのトレーダーは余裕を持ってキーをローテーションできます。