Безопасность API-ключей: права и IP-whitelist

Безопасность API-ключей при автоматической торговле

Права «только торговля», IP-белый список, шифрование и гигиена ключей — что настроить на бирже и что требовать от любого сервиса, который просит ваши ключи.

Обновлено: июнь 2026

Права: торговля — да, вывод — никогда

Право на вывод: никогда

API-ключи бирж несут гранулярные права, и автоматической торговле нужны только: чтение данных аккаунта, выставление и отмена ордеров. Право на вывод не требуется никогда — сервис, который его просит, построен либо небрежно, либо злонамеренно, и в обоих случаях правильный ответ — уйти.

Ключ «только торговля» ограничивает худший сценарий: даже утёкший публично, он не позволит вывести средства с биржи. Оставшееся злоупотребление (манипулятивная торговля против вашего счёта) реально, но многократно меньше — и следующий раздел закрывает большую его часть.

Разрешения API-ключа

Настройте на бирже перед подключением

Чтение рыночных данных

Вкл
Размещение ордеров / Торговля

Вкл
Вывод средств
Никогда не включайте

Выкл

Белый список IP

Ключи привязаны к вашему серверу

Шифрование при хранении (AES-256)

Расшифровка только при торговле

IP-белый список: сильнейший замок, который все пропускают

Каждая крупная биржа позволяет привязать API-ключ к конкретным IP-адресам: запросы с любых других отклоняются ещё до проверки подписи. Утёкший ключ из белого списка почти бесполезен — атакующему понадобился бы ещё и контроль над сервером за вашим IP.

Для белого списка нужен постоянный адрес

Подвох: белому списку нужен СТАБИЛЬНЫЙ адрес, который сервисы на общей инфраструктуре честно предложить не могут. Arbitron выдаёт каждому пользователю выделенный сервер с собственным статическим IP именно для этого — ключи привязаны к одной машине, на которой работает только ваша торговля. Какой бы сервис вы ни выбрали, спросите, с какого адреса идут его запросы и принадлежит ли он только вам.

Хранение: вопросы, на которые обязан ответить любой сервис

Этот сценарий не гипотетический

Взлом крупной бот-платформы в 2022 году слил ~100 000 API-ключей и опустошил аккаунты примерно на $20 млн — этот сценарий не гипотетический. Прежде чем подключать ключи куда-либо, получите ответы на три вопроса: как ключи хранятся в зашифрованном виде, существует ли один мастер-ключ, расшифровывающий всех пользователей сразу, и попадают ли ключи в логи или бэкапы открытым текстом.

Наши ответы, проверяемые

Ответы Arbitron, проверяемые на нашей странице безопасности: шифрование AES-256-GCM, индивидуальный ключ шифрования на пользователя под защитой AWS KMS (мастер-пароля, открывающего всех, не существует), расшифровка только в момент использования и никогда — в логах или аналитике. Серьёзный сервис обязан публиковать эквиваленты.

Гигиена ключей: дешёвые привычки, закрывающие остальное

Отдельный ключ на сервис

Создавайте ОТДЕЛЬНЫЙ ключ под каждый сервис — один ключ на несколько инструментов означает, что взлом любого из них сжигает все. Подписывайте ключи по имени сервиса на бирже, чтобы отзыв был одним кликом, и удаляйте ключи брошенных сервисов в тот же день.

Двухфакторка с обеих сторон

Наконец, защитите аккаунт-владельца ключей: двухфакторная аутентификация и на бирже, И на торговом сервисе — захват любого из них обходит все остальные контроли. Пять минут настройки закрывают именно те пути атаки, которые случаются на практике.

Частые вопросы

Может ли Arbitron вывести мои средства?

Нет. Arbitron нужны только права на торговлю, никогда — на вывод. Создайте API-ключ с отключённым выводом, и в худшем случае возможны лишь сделки — средства не смогут покинуть ваш биржевой счёт через ключ. Arbitron некастодиален по своей конструкции.

Какие права должны быть у API-ключа?

Включите только торговлю фьючерсами/перпетуалами. Оставьте вывод отключённым и не давайте прав на переводы или перемещение между субаккаунтами. Если биржа предлагает пресет «чтение + торговля» без вывода — это ровно то, что нужно.

Стоит ли вносить IP сервера Arbitron в белый список?

Да — это самый надёжный замок, который чаще всего пропускают. Привязка ключа к статическому IP вашего выделенного сервера делает утёкший ключ бесполезным откуда-либо ещё. Каждый пользователь Arbitron получает выделенный статический IP именно для того, чтобы его можно было внести в белый список.

Как хранятся мои API-ключи?

Зашифрованы в покое алгоритмом AES-256 и расшифровываются только на вашем изолированном сервере для постановки ордеров — никогда не показываются в интерфейсе и не пишутся в логи. Любой сервис, который не может ответить, как он хранит ваши ключи и нужны ли ему вообще права на вывод, их не заслужил.

Что делать, если ключ скомпрометирован?

Немедленно отзовите его на бирже и выпустите новый — это мгновенно делает старый ключ недействительным повсюду. Поскольку у ключа нет прав на вывод и он привязан к IP, радиус поражения и так мал, но ротация закрывает его полностью.

Попробуйте Arbitron — спреды на 19 биржах

Сигналы по спредам в реальном времени, автоматическое исполнение, полная статистика PnL. Регистрация бесплатна, доступ по инвайту на этапе бета-теста.