API-ключ биржи

Ключ представляет собой вторую дверь в тот же счет, открываемую токеном и подписью, а не экраном входа. Условия использования Bitstamp, последняя редакция от 30 мая 2025 года, возлагают на вас каждый убыток по ключу, который вы создали, включая несанкционированный доступ и потерю средств. Выдавайте разрешение только на чтение, никогда на вывод, и удаляйте ключи, которые больше не используете.

Как это работает

API-ключ биржи выдается в виде пары: публичный идентификатор, называющий счет, и секрет, которым вызывающая сторона подписывает каждый запрос. Секрет показывается один раз, при создании, а биржа хранит свою копию, чтобы проверять каждую подпись. После этого программа может размещать ордера, получать балансы или переводить средства, подписывая запрос, без браузера, без запроса пароля и без второго фактора на этом пути.

Разрешения составляют весь продукт. Условия Bitstamp говорят об этом одной строкой: "The scope of access you permit by such API key is defined by you when you create API Key" (объем доступа, который вы разрешаете таким API-ключом, определяется вами при создании API-ключа), и указывают на страницу управления доступом к счету. Площадки делят этот объем на чтение, торговлю и вывод, и многие позволяют привязать ключ к фиксированным IP-адресам, так что украденный секрет бесполезен в другом месте. Ключ только для чтения, переданный в трекер, не может привести к потере денег. Ключ с разрешением на вывод представляет собой постоянное указание платить тому, у кого есть секрет.

С точки зрения договора запрос, подписанный вашим ключом, является вашим распоряжением. Условия Bitstamp UK Limited, версия от 01 июля 2026 года, определяют Инструкцию как любой ордер или указание, полученные от вас, а пункт об API освобождает от ответственности за убытки, "resulting from use or Instructions submitted through API Keys" (возникающие из использования или Инструкций, поданных через API-ключи). Тот же пункт действует в шести условиях юридических лиц группы, охватывающих Bitstamp Limited, Bitstamp Europe S.A., Bitstamp USA Inc., Bitstamp UK Limited, Bitstamp Global Ltd и Bitstamp Asia Pte. Ltd. Bitstamp также оставляет за собой право приостановить любой ключ без предварительного уведомления, если считает, что безопасность была нарушена.

Где это встречается

API-ключи биржи находятся в настройках безопасности каждой площадки, публикующей торговый интерфейс, обычно под заголовком вроде управления доступом. Вы создаете ключ, чтобы подключить трекер портфеля, налоговый инструмент, скрипт регулярных покупок или таблицу, выгружающую вашу историю сделок. Площадка может также позволить внешнему приложению запросить ключ от вашего имени: Bitstamp называет это Bitstamp Connect и требует вашего согласия внутри вашего счета, прежде чем подключение интегратора будет установлено.

Две привычки покрывают большую часть риска. Приводите объем разрешений в соответствие с задачей, поскольку налоговому инструменту, читающему историю ваших исполненных сделок, незачем иметь права на торговлю или вывод, и отзывайте ключ сразу, как только его инструмент перестает использоваться, потому что сам по себе ключ никогда не истекает. Если ваша площадка поддерживает белые списки IP-адресов, используйте их. Если вы считаете, что секрет утек, сначала удалите ключ, а расследование проведите после.

Одна особенность удивляет тех, кто создает собственные инструменты. Условия Bitstamp для Великобритании лицензируют рыночные данные, которые возвращает ключ, только для Разрешенного использования рыночных данных, что охватывает просмотр цен, подачу ордеров, сверку ваших транзакций и выполнение налоговых или аудиторских обязательств. Повторная публикация этих цен, их объединение с потоками данных других площадок или обучение модели на них считается Коммерческим использованием рыночных данных и требует отдельного соглашения о рыночных данных.

API-ключ биржи vs приватный ключ

Приватный ключ управляет биткоином в блокчейне; API-ключ биржи управляет счетом в компании. Разница проявляется, когда утекает любой из них. Скомпрометированный API-ключ можно отозвать: удалите его, и площадка перестанет принимать подписи, сделанные с его помощью. Скомпрометированный приватный ключ не может отозвать никто, потому что сеть не имеет представления о том, кому он должен принадлежать, и единственная защита состоит в том, чтобы перевести биткоины на новый ключ раньше вора. Эта асимметрия также ограничивает то, чего может стоить утекший API-ключ: он может затронуть только баланс, который биржа хранит для вас, и ничего из того, что вы уже вывели.