Ключ и secret — разные вещи
API key можно сравнить с номером пропуска: он сообщает бирже, какое подключение отправило запрос. API secret подтверждает подлинность команды. Его нельзя публиковать, отправлять третьим лицам или вставлять в формы, происхождение которых вызывает сомнение.
Биржа обычно показывает secret один раз при создании. Это сделано намеренно. Если значение потеряно, безопаснее удалить старый ключ и выпустить новый, а не пытаться восстановить его через сомнительные сервисы.
Три группы разрешений
Условно полномочия можно разделить на чтение, торговлю и вывод. Чтение нужно для баланса, позиций и истории ордеров. Торговое разрешение позволяет создавать и отменять ордера. Вывод перемещает активы за пределы аккаунта — обычному торговому боту он не нужен.
Даже доступ только к торговле нельзя считать безобидным. Компрометированный ключ способен открывать нежелательные позиции. Поэтому ограничение вывода — обязательный минимум, а не полная модель безопасности.
- Read: баланс, позиции, история операций.
- Trade: создание, изменение и закрытие ордеров.
- Withdraw: вывод активов; для торговой автоматизации оставляется выключенным.
Спокойный порядок подключения
Создавайте ключ из настроек биржи, открытых вручную, а не по случайной ссылке из сообщения. Дайте ключу понятное имя — например, по названию стратегии и дате. Так через несколько месяцев будет ясно, какое подключение можно отключить.
Если биржа поддерживает привязку по IP, используйте её только при наличии стабильных адресов сервиса. Неправильный список IP не усилит защиту, а просто остановит торговлю. Уточнять такие детали следует в актуальном интерфейсе сервиса перед запуском.
Что проверить после подключения
Первый тест — не доходность, а предсказуемость. Бот должен видеть нужный аккаунт, корректно читать баланс и работать только на выбранном рынке. Сделайте пробный запуск на небольшой сумме и сравните сообщения в Telegram с реальными ордерами на бирже.
Запишите дату создания ключа. Периодическая ротация полезна даже без признаков утечки: старый ключ удаляется, новый получает тот же минимальный набор прав. При любом подозрении на компрометацию сначала отзывают ключ на бирже, а уже потом выясняют причину.
Как полностью отключить бота
Остановка стратегии в интерфейсе и отзыв API-ключа — два разных действия. Первая команда прекращает работу алгоритма по правилам сервиса. Удаление ключа на бирже технически разрывает канал доступа.
Перед отзывом проверьте открытые позиции и активные ордера. Удалённый ключ не закроет их автоматически. Если позиции остаются, ими придётся управлять непосредственно в биржевом аккаунте.