API-ключи и сторонние торговые сервисы

Трекеры портфеля, торговые боты, сервисы копитрейдинга и налоговые приложения хотят подключиться к вашему счёту на бирже, и обычный механизм для этого — API-ключ: учётные данные, которые вы создаёте внутри биржи, чтобы программа действовала от имени счёта без вашего пароля. Пользоваться этим разумно. Но это ещё и постоянно действующий доступ, который переживает большинство предположений, которые о нём делают.

Разрешения — это отдельные права

Биржи обычно делят API-доступ на отдельные разрешения: чтение, торговля и вывод — распространённое деление, хотя названия и степень детализации отличаются от площадки к площадке. Чтение раскрывает остатки и историю. Торговля позволяет выставлять и отменять заявки. Вывод позволяет перемещать активы с биржи. Они независимы: ключ может читать, не торгуя, и торговать, не выводя.

Правило, которое из этого следует

Почти ничему не нужно разрешение на вывод. Трекеру нужно чтение. Налоговому сервису нужно чтение. Боту нужны чтение и торговля. Если сервис просит право на вывод, спросите, что именно он с ним делает, и считайте отсутствие внятного ответа ответом. Если биржа это поддерживает, привяжите ключ к IP-адресам, которые публикует сервис, — тогда украденный ключ бесполезен откуда-либо ещё, — и задайте срок действия, если такая опция есть.

Что ключ переживает

Смена пароля от счёта не отключает уже выданный ключ, и на многих площадках его не отключает и подключение двухфакторной аутентификации. Ключ действует, пока его не удалят или пока не истечёт его срок. Именно это свойство превращает заброшенную интеграцию в открытую дверь: сервис, который вы попробовали один раз два года назад, может до сих пор иметь рабочий доступ, а его собственная безопасность теперь часть вашей.

Порядок, который действительно помогает

Создавайте отдельный ключ для каждого сервиса, а не переиспользуйте один везде, ведите заметку о назначении каждого и удаляйте ключи, когда перестаёте пользоваться инструментом, вместо того чтобы оставлять их спящими. Биржи показывают дату создания и часто время последнего использования каждого ключа: незнакомый ключ или знакомый, по которому идёт активность, когда вы не торгуете, — повод действовать немедленно.