Торговый API-ключ

API-ключ только для торговли — это API-ключ биржи, разрешения которого позволяют читать балансы, а также размещать, изменять и отменять ордера, но не выводить средства и не изменять настройки счета; это стандартный способ позволить сторонней платформе торговать на вашем счете, никогда не имея возможности переместить ваши деньги.

Почему это важно

API-ключ — это пароль для машин. Ключ, созданный с включенным выводом средств, может опустошить счет из любой точки мира, что и происходило в нескольких известных случаях взлома ботов и копировщиков. API-ключ только для торговли ограничивает ущерб от любой компрометации тем, что может сделать сделка: в худшем случае кто-то может открыть неудачные позиции, что серьезно, но ограничено и заметно, вместо вывода баланса. Большинство бирж также позволяют привязать ключ к списку IP-адресов, что добавляет второй, независимый барьер.

Как это реализовано в AlgoVesta

AlgoVesta запрашивает только API-ключи только для торговли и объясняет для каждой биржи, какие флажки разрешений нужно установить, а какие оставить пустыми. Ключи хранятся в зашифрованном виде с использованием AES-256, а панель управления показывает фиксированные IP-адреса серверов исполнения, чтобы вы могли внести их в белый список на бирже; на биржах, которые это поддерживают, это делает ключ бесполезным с любой другой машины, даже если он утечет. Платформа некастодиальна: ваши средства остаются на вашей бирже, AlgoVesta никогда не запрашивает права на вывод средств, и вы можете в любой момент отозвать ключ на бирже, чтобы немедленно разорвать соединение. Активация ключа для реальной торговли требует свежей проверки личности, а важные действия со счетом защищены двухфакторной аутентификацией (2FA). Список из 16 поддерживаемых бирж и руководства по настройке ключей — на странице Поддерживаемые биржи; подробности о безопасности — на странице Безопасность.

Пример

На Bybit пользователь создает ключ с правом «Read-Write» для торговли контрактами и спотом, оставляет флажок «Withdrawal» неотмеченным, ограничивает ключ IP-адресами исполнения AlgoVesta и вставляет ключ и секрет в панель управления. Платформа проверяет ключ, считывая баланс, подтверждает область разрешений и отмечает счет как готовый. Если трейдер позже удалит ключ на Bybit, каждая попытка размещения ордера из AlgoVesta немедленно завершится неудачей, и бот будет показан как отключенный.

Типичные ошибки

• Создание ключа со «всеми разрешениями», чтобы «избежать ошибок»; платформе они не нужны, и с ними она не будет работать лучше.
• Повторное использование одного ключа в нескольких сервисах; утечка в любом из них раскрывает один и тот же счет, и вы не сможете определить, какой именно сервис стал причиной.
• Забывание о том, что некоторые биржи прекращают действие ключей, не ограниченных по IP, по истечении заданного срока; бот тогда молча останавливается до продления ключа.
• Передача секрета ключа в чате поддержки или на скриншоте; секрет показывается один раз при создании и никогда не должен вставляться нигде, кроме формы подключения.