Klucz API tylko do odczytu: jakie uprawnienia zaznaczyć w Kraken, Coinbase i OKX

Klucz API tylko do odczytu to klucz dostępu do Twojego konta na platformie, który pozwala sprawdzać Twoje salda, zlecenia i historię, ale nie pozwala złożyć zlecenia, przesłać ani wypłacić środków.

Dlaczego uprawnienia klucza mają znaczenie

Aplikacja, która śledzi Twój portfel inwestycyjny, przechowuje Twój klucz, aby w Twoim imieniu odpytywać platformę. Jeśli ten klucz wycieknie, daje on swoje uprawnienia, i tylko je. Coinbase ostrzega w sprawie swojego uprawnienia Transfer: kto zdobędzie sekret takiego klucza, może wysłać wszystkie Twoje kryptowaluty poza Twoje konto. Klucz tylko do odczytu pokazuje tylko to, co i Ty widzisz.

Uprawnienia na każdej platformie

Na co pozwala każde uprawnienie

• Kraken: uprawnienia do wglądu odczytują środki, otwarte i zamknięte zlecenia, rejestr i eksporty; uprawnienia do wpłat, wypłat i zleceń działają na koncie.
• Kraken Futures: osobny klucz. W trybie tylko do odczytu otwiera wyłącznie punkty dostępu, które niczego nie zapisują na serwerze. Pełny dostęp czyni z niego klucz główny, a wypłaty zależą od osobnego uprawnienia, Withdrawal API.
• Coinbase: View pozwala przeglądać konto, Trade składa zlecenia, Transfer wysyła środki.
• OKX: Read pozwala przeglądać konto i jego historię; Trade składa i anuluje zlecenia, przesyła środki i zmienia ustawienia; Withdraw wypłaca.

Ograniczenie klucza do adresu IP

Klucz można też ograniczyć do adresów IP: platforma odrzuca go, jeśli zapytanie pochodzi z innego miejsca, nawet z poprawnym sekretem.

• Kraken oferuje dla każdego klucza listę dozwolonych adresów IP i datę wygaśnięcia.
• Coinbase zaleca swoją listę dozwolonych adresów IP, ale jej nie wymaga.
• OKX akceptuje do 20 adresów IP na klucz. Klucz, który może handlować lub wypłacać, a nie jest powiązany z adresem IP, wygasa po 14 dniach nieużywania.

Hyperliquid: bez żadnego klucza

Punkt dostępu info platformy Hyperliquid odpowiada dla dowolnego adresu, podanego jawnie w zapytaniu: do śledzenia konta wystarczy jego adres. Hyperliquid zaznacza, że należy podać adres samego konta, a nie adres portfela API, który zwraca pusty wynik.

Sprawdzanie klucza po fakcie

• Przejrzyj jego uprawnienia: strona API platformy pokazuje uprawnienia każdego klucza.
• Usuń niepotrzebny klucz: usunięty klucz do niczego już nie służy, nawet jeśli jego sekret wyciekł.
• Wymień klucz, co do którego masz wątpliwości: utwórz nowy, wprowadź go w aplikacji, sprawdź, czy działa, a potem usuń stary.

Jak CentraFIN traktuje Twój klucz

• Sprawdzony przed zapisaniem: CentraFIN pyta Coinbase i OKX o uprawnienia nowego klucza i odrzuca go, jeśli może on handlować, przesyłać lub wypłacać środki. Kraken nie pozwala na takie sprawdzenie: okno dodawania wymienia uprawnienia do zaznaczenia.
• Zaszyfrowany: klucz i jego sekret są szyfrowane (AES-256-GCM) od razu po dotarciu i nigdy więcej nie są wyświetlane.
• Jeden adres: zapytania wychodzą z naszego przekaźnika, 130.110.240.91, czyli z adresu, który należy dopuścić w ustawieniach klucza.

Dla każdej platformy, krok po kroku: Kraken, Kraken Futures, Coinbase, OKX i Hyperliquid.

Źródła

• Kraken: tworzenie klucza API
• Kraken Futures: tworzenie klucza API
• Coinbase: uwierzytelnianie kluczem API
• OKX: tworzenie klucza API
• Hyperliquid: punkt dostępu info

Najczęściej zadawane pytania

Czy klucz tylko do odczytu może wyczyścić moje konto?

Nie. Nie może złożyć zlecenia, przesłać ani wypłacić środków. Pokazuje natomiast Twoje salda i historię temu, kto go posiada.

Czy potrzebny jest osobny klucz dla każdej aplikacji?

Tak jest lepiej: możesz wtedy usunąć jeden, nie ruszając pozostałych.

Po co ograniczać klucz do adresu IP?

Bo skradziony klucz staje się bezużyteczny gdzie indziej: platforma odrzuca każde zapytanie, które nie pochodzi z dozwolonego adresu.

Co CentraFIN widzi dzięki mojemu kluczowi?

To, co klucz pozwala przeglądać: salda, pozycje, zlecenia, realizacje i transfery. Nic więcej, ponieważ nie może on zrobić nic innego.