API-Schlüssel mit Leserechten: Diese Rechte aktivierst du bei Kraken, Coinbase und OKX

Ein API-Schlüssel mit Leserechten ist ein Zugangsschlüssel zu deinem Konto auf einer Plattform, mit dem sich deine Salden, deine Orders und deine Historie abfragen lassen, ohne eine Order platzieren, übertragen oder auszahlen zu können.

Warum die Rechte des Schlüssels zählen

Eine App, die dein Portfolio verfolgt, speichert deinen Schlüssel, um die Plattform in deinem Namen abzufragen. Wird dieser Schlüssel geleakt, gibt er seine Rechte preis, und nur diese. Coinbase warnt bei seiner Berechtigung Transfer: Wer das Secret eines solchen Schlüssels erhält, kann all deine Kryptowährungen von deinem Konto wegschicken. Ein Schlüssel mit Leserechten zeigt nur, was du selbst siehst.

Die Rechte auf jeder Plattform

Plattform	Rechte erteilen	Rechte verweigern
Kraken	Query Funds, Query Open Orders & Trades, Query Closed Orders & Trades, Query Ledger Entries, Export Data	Einzahlung, Auszahlung und jedes Recht, das Orders erstellt, ändert oder storniert
Kraken Futures	General API nur lesend	General API mit Vollzugriff, Withdrawal API mit Vollzugriff
Coinbase	View	Trade, Transfer
OKX	Read	Trade, Withdraw

Was jedes Recht erlaubt

Kraken: Die Abfragerechte lesen die Guthaben, die offenen und geschlossenen Orders, das Ledger und die Exporte; die Rechte für Einzahlungen, Auszahlungen und Orders wirken auf das Konto.
Kraken Futures: ein eigener Schlüssel. Im Lesemodus öffnet er nur die Endpunkte, die nichts auf den Server schreiben. Vollzugriff macht ihn zu einem Master-Schlüssel, und Auszahlungen hängen von einem separaten Recht ab, der Withdrawal API.
Coinbase: View fragt das Konto ab, Trade platziert Orders, Transfer sendet Guthaben.
OKX: Read fragt das Konto und seine Historie ab; Trade platziert und storniert Orders, überträgt Guthaben und ändert Einstellungen; Withdraw zahlt aus.

Den Schlüssel auf eine IP-Adresse beschränken

Ein Schlüssel kann ausserdem auf IP-Adressen beschränkt werden: Die Plattform lehnt ihn ab, wenn die Anfrage von woanders kommt, selbst mit dem richtigen Secret.

Kraken bietet für jeden Schlüssel eine Liste erlaubter IP-Adressen und ein Ablaufdatum.
Coinbase empfiehlt seine Liste erlaubter IP-Adressen, ohne sie vorzuschreiben.
OKX akzeptiert bis zu 20 IP-Adressen pro Schlüssel. Ein Schlüssel, der handeln oder auszahlen kann, ohne an eine IP-Adresse gebunden zu sein, läuft nach 14 Tagen ohne Nutzung ab.

Hyperliquid: gar kein Schlüssel

Der Endpunkt info von Hyperliquid antwortet für jede beliebige Adresse, die im Klartext in der Anfrage steht: Um ein Konto zu verfolgen, genügt seine Adresse. Hyperliquid weist darauf hin, dass du die Adresse des Kontos selbst angeben musst, nicht die einer API-Wallet, die ein leeres Ergebnis liefert.

Einen Schlüssel nachträglich prüfen

Prüfe seine Rechte: Die API-Seite der Plattform zeigt die Rechte jedes Schlüssels.
Lösche einen unnötigen Schlüssel: Ein gelöschter Schlüssel ist nutzlos, selbst wenn sein Secret geleakt ist.
Ersetze einen Schlüssel, bei dem du Zweifel hast: Erstelle den neuen, trage ihn in der App ein, prüfe, dass er funktioniert, und lösche dann den alten.

Wie CentraFIN mit deinem Schlüssel umgeht

Geprüft, bevor er gespeichert wird: CentraFIN fragt bei Coinbase und OKX die Rechte eines neuen Schlüssels ab und lehnt ihn ab, wenn er handeln, übertragen oder auszahlen kann. Kraken erlaubt diese Prüfung nicht: Der Dialog zum Hinzufügen listet die Rechte auf, die du aktivieren musst.
Verschlüsselt: Schlüssel und Secret werden beim Eingang sofort verschlüsselt (AES-256-GCM) und nie wieder angezeigt.
Eine einzige Adresse: Die Anfragen gehen von unserem Relay aus, 130.110.240.91, der Adresse, die du für deinen Schlüssel freigibst.

Für jede Plattform, Schritt für Schritt: Kraken, Kraken Futures, Coinbase, OKX und Hyperliquid.

Quellen

Häufige Fragen

Kann ein Schlüssel mit Leserechten mein Konto leeren?

Nein. Er kann weder eine Order platzieren noch übertragen noch auszahlen. Dafür zeigt er jedem, der ihn hat, deine Salden und deine Historie.

Brauche ich einen Schlüssel pro App?

Es ist besser: Dann kannst du einen löschen, ohne die anderen anzutasten.

Warum den Schlüssel auf eine IP-Adresse beschränken?

Weil ein gestohlener Schlüssel anderswo unbrauchbar wird: Die Plattform lehnt jede Anfrage ab, die nicht von einer erlaubten Adresse kommt.

Was sieht CentraFIN mit meinem Schlüssel?

Was er abfragen kann: Salden, Positionen, Orders, Ausführungen und Transfers. Nicht mehr, denn er kann nichts anderes.