Любой сервис автоматической торговли просит одно и то же: API-ключ к вашему биржевому аккаунту. Вопрос справедливый: что именно вы отдаёте? Короткий ответ: правильно созданный ключ позволяет боту торговать, но не красть, и какой из двух вариантов вы получите, решают три настройки.
Что такое API-ключ
API-ключ - пара строк (ключ и секрет; у OKX ещё passphrase), которая представляет ваш аккаунт программному интерфейсу биржи. У каждого ключа свой набор прав, выбранный при создании. Ключ не раскрывает пароль, не даёт доступа к веб-интерфейсу и отзывается в любой момент без последствий для аккаунта.
Три настройки, которые решают всё
1. Без права вывода. Торговому боту нужно читать балансы и выставлять ордера. Выводить ему не нужно никогда. Оставьте Вывод (а на Binance ещё и Разрешить внутренние переводы) выключенным. Ключ без этого права не сможет вывести ни одного USDT, у кого бы он ни оказался.
2. Белый список IP. Биржи позволяют привязать ключ к списку IP-адресов. С ограничением запрос, подписанный вашим ключом с любого другого компьютера, отклоняется. Если ключ утечёт, вору придётся ещё и захватить серверы сервиса. EDVI публикует свои адреса на каждой странице биржи; вставляйте все.
3. Только те права, которые называет сервис. Для фьючерсной торговли нужны Фьючерсы (Binance), Единый торговый аккаунт (Bybit), Торговля (OKX) или Бессрочные фьючерсы (BingX). Маржинальное кредитование, спот, управление субаккаунтами: выключены, если сервис не объяснил, зачем они ему.
Что бот всё же может с правильным ключом
Честность требует сказать: ключ с правом торговли может открывать позиции, в том числе плохие, и закрывать их с убытком. Риск, который вы берёте с ботом, это торговый риск его стратегии, а не риск кражи. Поэтому правила стратегии, её публичная статистика и ваш множитель риска важнее самого ключа. Прочитайте что такое просадка и как её читать, прежде чем выставлять множитель.
Субаккаунты: ещё одна стена
Все четыре биржи, которые поддерживает EDVI, дают субаккаунты. У субаккаунта свой баланс, свои API-ключи, и он не может трогать основной аккаунт. Переведите туда только торговый депозит и создайте ключ внутри субаккаунта: тогда бот физически не видит остальные ваши средства.
Если ключ утёк
- Удалите ключ на бирже. Ордера, подписанные им, перестают приниматься сразу.
- Проверьте открытые позиции и ордера; закройте то, чего не ожидали.
- Создайте новый ключ с теми же ограничениями и подключите заново. В EDVI это Настройки стратегии → API-ключ.
С белым списком IP первый шаг скорее предосторожность, чем спасение: никто вне разрешённых серверов ключом воспользоваться не мог.
Чек-лист
- 2FA на бирже включена
- Ключ создан только для торговли, вывод выключен
- В белом списке IP все адреса сервиса
- Депозит на субаккаунте, если биржа это умеет
- Секрет сохранён один раз в менеджере паролей, не в чате
С этими пятью пунктами отдать боту API-ключ не опаснее, чем стратегия, которую вы просите его вести.
