API-ключ лише для читання: які права позначити на Kraken, Coinbase і OKX

API-ключ лише для читання є ключем доступу до вашого акаунта на платформі, який дає змогу переглядати ваші баланси, ордери й історію, але не дає змоги розмістити ордер, переказати чи вивести кошти.

Чому права ключа важливі

Застосунок, який відстежує ваш портфель, зберігає ваш ключ, щоб звертатися до платформи від вашого імені. Якщо цей ключ витече, він віддасть свої права, і тільки їх. Coinbase попереджає щодо свого дозволу Transfer: той, хто отримає секрет такого ключа, може надіслати всі ваші криптовалюти за межі вашого акаунта. Ключ лише для читання показує тільки те, що бачите ви самі.

Права на кожній платформі

Що дозволяє кожне право

• Kraken: права на перегляд читають кошти, відкриті й закриті ордери, реєстр і вивантаження; права на поповнення, виведення й ордери діють на акаунт.
• Kraken Futures: окремий ключ. У режимі лише для читання він відкриває тільки ті точки доступу, які нічого не записують на сервері. Повний доступ робить його головним ключем, а виведення залежить від окремого права, Withdrawal API.
• Coinbase: View дає змогу переглядати акаунт, Trade розміщує ордери, Transfer надсилає кошти.
• OKX: Read дає змогу переглядати акаунт та його історію; Trade розміщує й скасовує ордери, переказує кошти й змінює налаштування; Withdraw виводить кошти.

Обмеження ключа IP-адресою

Ключ також можна обмежити IP-адресами: платформа відхиляє його, якщо запит надходить звідкись інде, навіть із правильним секретом.

• Kraken пропонує для кожного ключа список дозволених IP-адрес і дату завершення дії.
• Coinbase рекомендує свій список дозволених IP-адрес, але не вимагає його.
• OKX приймає до 20 IP-адрес на ключ. Ключ, який може торгувати чи виводити кошти й не прив’язаний до IP-адреси, спливає після 14 днів без використання.

Hyperliquid: ключ узагалі не потрібен

Точка доступу info Hyperliquid відповідає для будь-якої адреси, переданої в запиті відкритим текстом: щоб відстежувати акаунт, достатньо його адреси. Hyperliquid уточнює, що треба вказувати адресу самого акаунта, а не адресу API-гаманця, яка повертає порожній результат.

Як перевірити ключ згодом

• Перегляньте його права ще раз: сторінка API платформи показує права кожного ключа.
• Видаліть непотрібний ключ: видалений ключ ні на що не придатний, навіть якщо його секрет витік.
• Замініть ключ, у якому сумніваєтеся: створіть новий, укажіть його в застосунку, переконайтеся, що він працює, потім видаліть старий.

Як CentraFIN поводиться з вашим ключем

• Перевірка перед збереженням: CentraFIN запитує в Coinbase і OKX права нового ключа й відхиляє його, якщо він може торгувати, переказувати чи виводити кошти. Kraken такої перевірки не дозволяє: вікно додавання перелічує права, які треба позначити.
• Шифрування: ключ і його секрет шифруються (AES-256-GCM) одразу після надходження й більше ніколи не показуються.
• Одна адреса: запити надходять із нашого ретранслятора, 130.110.240.91; саме цю адресу треба дозволити у вашому ключі.

Для кожної платформи, крок за кроком: Kraken, Kraken Futures, Coinbase, OKX та Hyperliquid.

Джерела

• Kraken: створення API-ключа
• Kraken Futures: створення API-ключа
• Coinbase: автентифікація за API-ключем
• OKX: створення API-ключа
• Hyperliquid: точка доступу info

Часті запитання

Чи може ключ лише для читання спустошити мій акаунт?

Ні. Він не може ні розмістити ордер, ні переказати, ні вивести кошти. Натомість він показує ваші баланси й історію тому, хто його має.

Чи потрібен окремий ключ для кожного застосунку?

Так краще: тоді можна видалити один, не чіпаючи інших.

Навіщо обмежувати ключ IP-адресою?

Бо викрадений ключ стає непридатним деінде: платформа відхиляє кожен запит, який надходить не з дозволеної адреси.

Що CentraFIN бачить із моїм ключем?

Те, що ключ дає змогу переглядати: баланси, позиції, ордери, виконання та перекази. Нічого більше, бо нічого іншого він робити не може.