Kunci API hanya baca (read-only): izin yang dicentang di Kraken, Coinbase, dan OKX

Kunci API hanya baca adalah kunci akses ke akun Anda di sebuah platform yang memungkinkan melihat saldo, order, dan riwayat Anda, tanpa bisa memasang order, mentransfer, atau menarik dana.

Mengapa izin kunci itu penting

Aplikasi yang melacak portofolio Anda menyimpan kunci Anda untuk memanggil platform atas nama Anda. Jika kunci itu bocor, kunci itu memberikan izin-izinnya, dan hanya itu. Coinbase memperingatkan soal izin Transfer miliknya: siapa pun yang mendapatkan secret kunci seperti itu bisa mengirim semua kripto Anda keluar dari akun Anda. Kunci hanya baca hanya menampilkan apa yang Anda lihat sendiri.

Izin di setiap platform

Apa yang diizinkan setiap izin

• Kraken: izin lihat membaca dana, order terbuka dan tertutup, ledger, dan ekspor; izin deposit, penarikan, dan order bertindak atas akun.
• Kraken Futures: kunci terpisah. Dalam mode hanya baca, kunci ini hanya membuka endpoint yang tidak menulis apa pun di server. Akses penuh menjadikannya kunci utama, dan penarikan bergantung pada izin terpisah, yaitu Withdrawal API.
• Coinbase: View melihat akun, Trade memasang order, Transfer mengirim dana.
• OKX: Read melihat akun dan riwayatnya; Trade memasang dan membatalkan order, mentransfer dana, dan mengubah pengaturan; Withdraw menarik dana.

Membatasi kunci ke alamat IP

Kunci juga bisa dibatasi ke alamat IP: platform menolaknya jika panggilan datang dari tempat lain, bahkan dengan secret yang benar.

• Kraken menyediakan, untuk setiap kunci, daftar alamat IP yang diizinkan dan tanggal kedaluwarsa.
• Coinbase menyarankan daftar alamat IP yang diizinkannya, tanpa mewajibkannya.
• OKX menerima hingga 20 alamat IP per kunci. Kunci yang bisa trading atau menarik dana tanpa terikat ke alamat IP akan kedaluwarsa setelah 14 hari tidak dipakai.

Hyperliquid: tanpa kunci sama sekali

Endpoint info Hyperliquid menjawab untuk alamat mana pun, yang diberikan sebagai teks biasa di permintaan: untuk melacak sebuah akun, alamatnya sudah cukup. Hyperliquid menegaskan bahwa Anda harus memberikan alamat akun itu sendiri, bukan alamat wallet API, yang mengembalikan hasil kosong.

Memeriksa kunci setelahnya

• Baca ulang izinnya: halaman API platform menampilkan izin setiap kunci.
• Hapus kunci yang tidak terpakai: kunci yang sudah dihapus tidak bisa dipakai lagi, meskipun secret-nya bocor.
• Ganti kunci yang Anda ragukan: buat yang baru, masukkan ke aplikasi, pastikan kunci itu berfungsi, lalu hapus yang lama.

Cara CentraFIN menangani kunci Anda

• Diperiksa sebelum disimpan: CentraFIN menanyakan izin kunci baru kepada Coinbase dan OKX, dan menolaknya jika kunci itu bisa trading, mentransfer, atau menarik dana. Kraken tidak memungkinkan pemeriksaan ini: jendela penambahan mencantumkan izin yang perlu dicentang.
• Terenkripsi: kunci dan secret-nya dienkripsi (AES-256-GCM) begitu tiba dan tidak pernah ditampilkan lagi.
• Satu alamat: panggilan dikirim dari relay kami, 130.110.240.91, alamat yang perlu Anda izinkan pada kunci Anda.

Untuk setiap platform, langkah demi langkah: Kraken, Kraken Futures, Coinbase, OKX, dan Hyperliquid.

Sumber

• Kraken: membuat kunci API
• Kraken Futures: membuat kunci API
• Coinbase: autentikasi dengan kunci API
• OKX: pembuatan kunci API
• Hyperliquid: endpoint info

Pertanyaan umum

Bisakah kunci hanya baca mengosongkan akun saya?

Tidak. Kunci ini tidak bisa memasang order, mentransfer, atau menarik dana. Namun, kunci ini menampilkan saldo dan riwayat Anda kepada siapa pun yang memegangnya.

Perlukah satu kunci per aplikasi?

Itu lebih baik: Anda lalu bisa menghapus satu kunci tanpa menyentuh yang lain.

Mengapa membatasi kunci ke alamat IP?

Karena kunci yang dicuri menjadi tidak berguna di tempat lain: platform menolak setiap panggilan yang tidak datang dari alamat yang diizinkan.

Apa yang dilihat CentraFIN dengan kunci saya?

Apa yang bisa dilihat lewat kunci itu: saldo, posisi, order, eksekusi, dan transfer. Tidak lebih, karena kunci itu tidak bisa melakukan hal lain.