Plataforma & Segurança
Uma lista de IPs permitidos (allowlist) é uma lista de endereços IP a partir dos quais uma chave de API de exchange, um endpoint de webhook ou um servidor podem ser usados; requisições de qualquer outro endereço são rejeitadas, de modo que uma chave roubada ou um webhook forjado se tornam inúteis, a menos que o invasor também controle um endereço listado.
Credenciais vazam; endereços são mais difíceis de roubar. Vincular uma chave de API aos endereços dos servidores de execução significa que mesmo uma chave vazada não pode ser usada a partir da máquina de um invasor, e várias exchanges expiram chaves irrestritas depois de um período, exatamente por esse motivo. No lado do webhook, verificar que uma requisição realmente vem dos endereços publicados do TradingView, ou de um endereço que você controla, é o que torna um webhook baseado em URL seguro para uso em operação ao vivo, já que o TradingView não consegue enviar cabeçalhos de autenticação.
A AlgoVesta envia ordens de cripto a partir de servidores de execução com endereços IP públicos fixos, que são exibidos no painel e nos guias de configuração de exchange, para que você possa adicioná-los à lista de permissões da sua chave de API; os servidores são consistentes, e uma chave restrita a eles não pode ser usada de nenhum outro lugar, mesmo que vaze. Para webhooks do TradingView, a execução ao vivo só é aceita quando a requisição vem dos endereços IP publicados do TradingView ou de um endereço que você tenha permitido para aquela estratégia; requisições de outros lugares são registradas e não são operadas, e um endereço de origem vazio ou não interpretável nunca conta como verificado. A plataforma nunca pede para você adicionar seu servidor principal à lista de permissões, que permanece atrás de uma CDN. Veja Exchanges suportadas e a página do bot do TradingView.
Um trader cria uma chave somente-trading na Bybit, a restringe aos dois endereços IP de execução listados no painel, e a conecta. Meses depois o segredo aparece em um arquivo vazado. Qualquer um que tente usá-lo a partir de outra máquina é rejeitado pela Bybit, enquanto os servidores da AlgoVesta continuam operando normalmente, e o trader troca a chave com tranquilidade.