API-ключ только для чтения: какие права отметить в Kraken, Coinbase и OKX

API-ключ только для чтения представляет собой ключ доступа к вашему аккаунту на платформе, который позволяет просматривать ваши балансы, ордера и историю, но не позволяет выставить ордер, сделать перевод или вывести средства.

Почему права ключа важны

Приложение, которое отслеживает ваш портфель, хранит ваш ключ, чтобы обращаться к платформе от вашего имени. Если этот ключ утечёт, он даст свои права, и только их. Coinbase предупреждает о своём разрешении Transfer: тот, кто получит секрет такого ключа, может отправить все ваши криптовалюты за пределы вашего аккаунта. Ключ только для чтения показывает лишь то, что видите вы сами.

Права на каждой платформе

Что позволяет каждое право

• Kraken: права на просмотр читают средства, открытые и закрытые ордера, журнал операций и выгрузки; права на пополнение, вывод и ордера действуют на аккаунт.
• Kraken Futures: отдельный ключ. В режиме только для чтения он открывает лишь те точки доступа, которые ничего не записывают на сервере. Полный доступ превращает его в мастер-ключ, а выводы зависят от отдельного права, Withdrawal API.
• Coinbase: View позволяет просматривать аккаунт, Trade выставляет ордера, Transfer отправляет средства.
• OKX: Read позволяет просматривать аккаунт и его историю; Trade выставляет и отменяет ордера, переводит средства и меняет настройки; Withdraw выводит средства.

Ограничение ключа IP-адресом

Ключ также можно ограничить IP-адресами: платформа отклоняет его, если запрос пришёл откуда-то ещё, даже с правильным секретом.

• Kraken предлагает для каждого ключа список разрешённых IP-адресов и дату истечения срока действия.
• Coinbase рекомендует свой список разрешённых IP-адресов, но не требует его.
• OKX принимает до 20 IP-адресов на ключ. Ключ, который может торговать или выводить средства и не привязан к IP-адресу, истекает после 14 дней без использования.

Hyperliquid: ключ вообще не нужен

Точка доступа info Hyperliquid отвечает для любого адреса, переданного в запросе открытым текстом: чтобы отслеживать аккаунт, достаточно его адреса. Hyperliquid уточняет, что нужно указывать адрес самого аккаунта, а не адрес API-кошелька, который возвращает пустой результат.

Как проверить ключ потом

• Перепроверьте его права: страница API платформы показывает права каждого ключа.
• Удалите ненужный ключ: удалённый ключ ни на что не годится, даже если его секрет утёк.
• Замените ключ, в котором сомневаетесь: создайте новый, укажите его в приложении, убедитесь, что он работает, затем удалите старый.

Как CentraFIN обращается с вашим ключом

• Проверка перед сохранением: CentraFIN запрашивает у Coinbase и OKX права нового ключа и отклоняет его, если он может торговать, переводить или выводить средства. Kraken такой проверки не допускает: окно добавления перечисляет права, которые нужно отметить.
• Шифрование: ключ и его секрет шифруются (AES-256-GCM) сразу при получении и больше никогда не показываются.
• Один адрес: запросы отправляются с нашего ретранслятора, 130.110.240.91, и именно этот адрес нужно разрешить для вашего ключа.

Для каждой платформы, шаг за шагом: Kraken, Kraken Futures, Coinbase, OKX и Hyperliquid.

Источники

• Kraken: создание API-ключа
• Kraken Futures: создание API-ключа
• Coinbase: аутентификация по API-ключу
• OKX: создание API-ключа
• Hyperliquid: точка доступа info

Частые вопросы

Может ли ключ только для чтения опустошить мой аккаунт?

Нет. Он не может ни выставить ордер, ни сделать перевод, ни вывести средства. Зато он показывает ваши балансы и историю тому, у кого он есть.

Нужен ли отдельный ключ для каждого приложения?

Так лучше: тогда можно удалить один, не трогая остальные.

Зачем ограничивать ключ IP-адресом?

Потому что украденный ключ становится бесполезным в любом другом месте: платформа отклоняет любой запрос, который приходит не с разрешённого адреса.

Что CentraFIN видит с моим ключом?

То, что ключ позволяет просматривать: балансы, позиции, ордера, исполнения и переводы. Ничего больше, поскольку ничего другого он делать не может.