Как безопасно выдать API-ключ торговому боту

Подключая бота к бирже, вы отдаёте ему часть контроля над счётом. Правильно выданный ключ ограничивает ущерб даже при полной компрометации сервиса: бот сможет торговать, но не вывести ваши средства.

Попробовать бесплатно

Без карты. Paper trading и бэктест доступны сразу после регистрации.

5 шагов онбординга: ключ API → агент → paper trading → первая сделка → тариф.

Права на вывод средств не требуются

Сравнить с другими ботами

Права: только чтение и торговля

Ключ должен иметь Read и Trade. Права на вывод (Withdraw) и на внутренние переводы включать нельзя никогда — ни один торговый бот в них не нуждается. CryptoTradingAI проверяет права ключа при сохранении и отклоняет ключ, который может выводить средства.

IP-whitelist — самая недооценённая защита

Привязка ключа к IP-адресам сервиса делает украденный ключ бесполезным вне этих адресов. И OKX, и Bybit поддерживают whitelist; на Bybit ключ без whitelist к тому же истекает через 90 дней.

Как ключ должен храниться

Секрет нельзя держать в открытом виде в базе или в логах. В CryptoTradingAI key, secret и passphrase шифруются PGP и лежат в Vault; расшифровка происходит только внутри серверной функции в момент запроса к бирже, а RLS изолирует записи по владельцу.

Отдельный суб-аккаунт вместо основного

Держите на торговом суб-аккаунте только ту сумму, которой готовы рисковать. OKX даёт до 20 суб-аккаунтов, Bybit — отдельные UID: бот работает с изолированным балансом, а основной капитал остаётся вне досягаемости.

Признаки, что ключ пора отозвать

Сделки, которых нет в логе бота; изменение настроек плеча; запросы с незнакомых IP в истории биржи; письмо о новом API-ключе. В любом из этих случаев сначала удалите ключ на бирже, и только потом разбирайтесь.

Чек-лист выдачи ключа

1
Создайте суб-аккаунт
Переведите на него только торговый капитал; основной баланс оставьте на главном аккаунте.
2
Выдайте ключ с Read + Trade
Withdraw и Transfer — выключены. Для OKX задайте passphrase и сохраните её отдельно.
3
Включите IP-whitelist
Укажите адреса сервиса. Без whitelist ключ на Bybit истечёт через 90 дней и торговля остановится.
4
Сохраните ключ в платформе
После сохранения права проверяются автоматически, а результат проверки пишется в audit log.
5
Настройте ротацию
Меняйте ключ раз в 60–90 дней и сразу после любой подозрительной активности.

Частые вопросы

Может ли бот вывести мои деньги?

Нет, если ключ выдан без права на вывод — это ограничение биржи, а не сервиса, и обойти его невозможно.

Что делать, если ключ утёк?

Немедленно удалите его в кабинете биржи, закройте открытые позиции вручную и создайте новый ключ с whitelist.

Виден ли secret после сохранения?

Нет. Он шифруется и не возвращается в интерфейс; UI показывает только маскированный фрагмент ключа.

Нужен ли отдельный ключ на каждую биржу?

Да, ключи OKX и Bybit независимы и хранятся раздельно.

Подключите биржу безопасно

Проверка прав ключа, PGP-шифрование и audit log — по умолчанию.