API-ключи биржи: подключение и защита доступа

Торговый бот работает через API-ключ: биржа выдаёт пару строк, и тот, у кого они есть, может действовать от вашего имени. Насколько широко — зависит от прав, которые вы выдали.

Это единственное место в алготрейдинге, где ошибка стоит не «части депозита», а всего.

Правило номер один: никогда не включайте вывод средств

У ключа есть отдельное право — вывод средств. Торговому боту оно не нужно никогда. Ни одному. Ни при каких настройках.

Бот открывает и закрывает позиции — для этого достаточно прав на торговлю. Если сервис просит право на вывод, объясняя это чем угодно, — это не сервис, а способ забрать деньги.

Правильный набор прав для торгового бота:

• ✅ чтение (баланс, позиции, история)
• ✅ торговля фьючерсами
• ❌ вывод средств
• ❌ внутренние переводы

Правило номер два: ограничьте ключ по IP

Биржи позволяют привязать ключ к конкретным IP-адресам. Ключ, привязанный к серверу бота, бесполезен для того, кто украл его любым другим способом: с другого адреса биржа просто откажет.

Это самая сильная защита из доступных, и она бесплатная. Если сервис не может назвать свой IP — у него, скорее всего, нет своего сервера, и это отдельный повод задуматься.

Почему ключи нельзя вводить на статической странице

Если сайт работает целиком в браузере, без сервера, — у него нет места, где безопасно хранить ваш ключ.

Варианта два, и оба плохие. Либо ключ лежит в памяти браузера, и тогда бот работает только пока открыта вкладка. Либо ключ сохраняется в хранилище браузера — а туда может добраться любой скрипт на странице, любое расширение и любой, кто получит доступ к вашему компьютеру.

Настоящее подключение выглядит иначе: ключ уходит на сервер, шифруется там, и торговый процесс работает круглосуточно независимо от вашей вкладки.

Мы говорим об этом прямо на экране подключения: пока серверная часть не запущена, экран ключей — демонстрация интерфейса, и вводить туда настоящие ключи не нужно.

Как проверить сервис до того, как дать ему доступ

Несколько вопросов, ответы на которые должны быть у любого честного сервиса:

1. Какие права нужны ключу? Если в списке есть вывод — разговор окончен.
2. Есть ли ограничение по IP? И какой IP вписывать.
3. Где хранится ключ и в каком виде? Ответ «в зашифрованном виде на сервере» — минимально приемлемый.
4. Что происходит, если сервис упадёт с открытой позицией? У бота должен быть ответ на этот вопрос, а не «такого не бывает».
5. Как отключить бота? Вы должны иметь возможность отозвать ключ на бирже в один клик и в любой момент — и это работает независимо от воли сервиса.

Последний пункт — ваша главная страховка. Отзыв ключа на стороне биржи мгновенно обрывает любой доступ. Держите эту кнопку в закладках.

Разумная гигиена

• Отдельный субсчёт под бота. Не давайте ключ к счёту, где лежат все ваши средства. Заведите столько, сколько готовы потерять.
• Свой ключ на каждый сервис. Тогда компрометация одного не тянет за собой остальные.
• Периодически перевыпускайте ключи. Особенно после того, как давали доступ куда-то, где больше не торгуете.
• Проверяйте историю ордеров. Раз в неделю посмотрите, что бот делал. Расхождение с ожидаемым поведением — повод отозвать ключ, а не «понаблюдать ещё немного».

И самое главное

Прежде чем давать доступ к счёту, проверьте саму стратегию. Ключ — это последний шаг, а не первый. Сначала прогоните логику на истории, посмотрите на просадку, найдите настройки, при которых счёт обнуляется. И только потом решайте, стоит ли она вашего API-ключа.