Что такое API-ключ только для торговли
API-ключ только для торговли - это ключ доступа к бирже ровно с двумя возможностями: читать данные счёта и размещать или отменять ордера. Право на вывод средств отключено, поэтому никто, у кого есть этот ключ, не может вывести деньги со счёта. Это ограничение обеспечивает сама биржа на своих серверах, а не приложение, которое вы подключаете.
Последняя фраза - и есть вся суть, поэтому повторим её проще: защита не зависит от честности бота, платформы или кого-либо ещё. Её обеспечивает Binance, Bybit или та биржа, где лежат ваши средства. Ключ только для торговли, которым пытаются оформить вывод, отклоняется самой биржей, каждый раз, автоматически.
Именно поэтому ключи только для торговли - самое важное понятие для всех, кто задумывается об автоматической торговле. Не стратегия, не доходность, не отзывы. Тип ключа решает, каким будет худший сценарий: «несколько убыточных сделок» или «пустой счёт».
Как работают API-ключи на криптобирже
API-ключ - это не ваш пароль, и он не даёт доступа к входу в аккаунт. Это отдельные учётные данные, которые вы создаёте внутри своего биржевого счёта, из двух частей:
- API Key - публичный идентификатор, что-то вроде имени пользователя для машин
- Secret Key - закрытая половина, которая подписывает запросы, показывается один раз при создании
Когда вы создаёте пару, биржа спрашивает, какие разрешения к ней привязать. Стандартный набор:
| Разрешение | Что позволяет | Ключ только для торговли |
|---|---|---|
| Чтение (Read) | Просмотр баланса, позиций, истории сделок | Вкл |
| Спот / Фьючерсы (Trading) | Размещение и отмена ордеров | Вкл |
| Вывод (Withdrawal) | Вывод средств с биржи | Выкл |
| Внутренний перевод | Перемещение средств между субсчетами | Выкл |
Каждый запрос, который отправляет подключённое приложение, несёт подпись ключа. Прежде чем что-либо выполнить, биржа проверяет список разрешений. Запрос на вывод, подписанный ключом без права на вывод, отклоняется ещё до того, как коснётся вашего баланса. Нет обходного пути, нет обращения в поддержку, нет исключений. Приложение не может «вежливо попросить».
Из такой конструкции следуют два свойства, и оба в вашу пользу:
Разрешения задаёте вы, а не приложение. Бот никогда не выбирает свой уровень доступа сам. Вы отмечаете галочки при создании, и приложение получает ровно то, что вы дали.
Доступ отзывается за секунды. Удалите ключ на бирже - и подключение мгновенно перестаёт работать. Согласие оператора приложения для отключения вам не нужно.
Почему честной автоматизации никогда не нужен доступ к выводу
Подумайте, что на самом деле делает торговая стратегия: следит за ценами, открывает позиции, закрывает позиции. Каждое из этих действий покрывается Чтением и Торговлей. Ни в одной торговой логике, простой или сложной, нет шага, который требовал бы вывода средств с биржи.
Поэтому правило абсолютно: ни у одного торгового продукта нет технической причины запрашивать право на вывод. Когда он это делает, сам запрос и есть ответ на вопрос, стоит ли им пользоваться. Это превращает экран разрешений в самый быстрый фильтр от мошенников в крипте: его чтение занимает пять секунд и его нельзя подделать, потому что галочки стоят на странице биржи, а не продукта.
Обратное тоже стоит замечать как признак доверия. Платформа, которая прямо говорит держать вывод отключённым, показывает, какие галочки ставить, и выстраивает подключение так, что доступ к выводу был бы ей бесполезен, согласовала свою архитектуру с вашей безопасностью, а не просит верить её намерениям. Algotitan устроен именно так: подключение принимает ключ только для торговли, средства остаются на вашей бирже, а вывод отключён по устройству системы, а не по обещанию.
Как создать API-ключ только для торговли (общие шаги)
Точные нажатия отличаются от биржи к бирже, но схема везде одинакова:
- Войдите на биржу и откройте Управление API (обычно в настройках аккаунта или безопасности)
- Выберите Создать API-ключ и дайте ему узнаваемое название, например «algotitan-trade-only»
- Пройдите проверку безопасности (2FA, код на почту)
- На экране разрешений включите только Чтение и Спот и/или Фьючерсы. Оставьте Вывод и внутренние переводы невыбранными
- Если биржа предлагает привязку к IP (IP whitelisting), добавьте IP-адреса, которые публикует подключаемая платформа. Тогда ключ будет отклонять запросы из любого другого места
- Сразу скопируйте Secret Key: большинство бирж показывают его один раз и больше никогда
- Вставьте пару ключей в платформу, которую подключаете, и не храните ничего открытым текстом в чатах или заметках
Одна привычка, которую стоит завести: один ключ на одно приложение, всегда. Подключаете два инструмента - создавайте два ключа. Перестали пользоваться инструментом - удалите его ключ в тот же день. Старые ключи с забытыми разрешениями - самый частый риск, который люди создают себе сами во всей этой теме.
Привязка к IP: второй замок
Привязка к IP заслуживает отдельного раздела, потому что она превращает ключ только для торговли из безопасного в очень трудный для злоупотребления.
Без привязки украденный ключ только для торговли всё же может использоваться злоумышленником, чтобы совершать сделки на вашем счёте откуда угодно. Ущерб ограниченный, но всё же ущерб. С привязкой ключ работает только с тех серверов, которые вы одобрили. Украденный ключ превращается в строку бесполезных символов: не то местоположение, запрос отклонён.
Не каждая биржа предлагает это для каждого типа счёта, а некоторые биржи автоматически аннулируют ключи без привязки к IP через 90 дней, подталкивая к её включению. Там, где она доступна, включайте. Это стоит одной лишней минуты при настройке и убирает почти весь сценарий с утечкой ключа.
От чего ключ только для торговли вас не защищает
Доверие означает называть ограничения, поэтому вот они без прикрас:
- Торговые убытки. Ключ только для торговли полностью разрешает торговлю, а значит, полностью разрешает и убыточные сделки. Настройки доступа не влияют на риск стратегии. Торговля связана с риском убытков, включая потерю вложенных средств, и никакая конфигурация ключа этого не меняет.
- Накопление комиссий. Плохо сделанный или вредоносный бот может торговать слишком часто и сжечь ваш баланс на комиссиях. Защита здесь - наблюдение за поведением до подключения, а не ключ.
- Несоответствие стратегии. Стратегия с высоким риском у нервного пользователя - проблема, которую не решит никакое разрешение.
- Фишинг вашего настоящего логина. API-ключи не защищают ваш пароль от биржи или 2FA. Обычная гигиена аккаунта по-прежнему нужна.
Именно поэтому безопасный порядок подключения ставит ключ последним, а не первым: понаблюдайте за работой стратегии в демо-режиме с демо-деньгами, оцените её поведение в течение двух недель и только потом создавайте ключ и переходите к реальной торговле. Ключ только для торговли убирает сценарий кражи; демо-период перед ним закрывает всё, чего ключ закрыть не может. Демо-результаты смоделированы и могут отличаться от реальных из-за комиссий, проскальзывания и ликвидности, а прошлые результаты не гарантируют будущих, но поведение, увиденное на реальных рыночных данных, - это самое весомое доказательство из доступных до того, как в дело вступают реальные средства.
Версия в виде чек-листа
Прежде чем подключать что-либо к бирже, проверьте все пять пунктов:
- Чтение: вкл. Торговля: вкл. Вывод: выкл. Переводы: выкл
- Привязка к IP включена, если биржа её поддерживает
- Один отдельный ключ на одно приложение, с понятным названием
- Secret Key нигде не выложен публично и никому не отправлен в переписке
- Вы знаете, где кнопка удаления, и что её нажатие мгновенно отключает доступ
Пять пунктов, две минуты - и разница между ограниченным и неограниченным риском.
Частые вопросы
Может ли API-ключ только для торговли вывести мою криптовалюту? Нет. Запросы на вывод, подписанные ключом без права на вывод, отклоняются собственными серверами биржи. Это верно независимо от того, что пытается сделать подключённое приложение.
Безопасно ли давать торговому боту ключ только для торговли? Он убирает сценарий кражи - самый катастрофический. Торговый риск остаётся: бот может открывать убыточные позиции в пределах вашего баланса. Сначала оцените поведение стратегии в демо-режиме, потом подключайте.
Какие разрешения должны быть у API-ключа торгового бота? Только Чтение и Торговля. Ни одному честному торговому продукту не нужны права на вывод или перевод, и любой такой запрос - повод уйти.
Что делать, если мой ключ только для торговли утёк? Немедленно удалите его на бирже; доступ прекращается в момент удаления ключа. При включённой привязке к IP утёкший ключ бесполезен из местоположения злоумышленника ещё до того, как вы его отзовёте.
Истекает ли срок у ключей только для торговли? Некоторые биржи автоматически аннулируют ключи без привязки к IP через определённый срок, часто 90 дней. Ключи с привязкой обычно действуют, пока вы их не удалите. Проверьте политику API вашей биржи.
