API-ключ биржи, который торгует и не выводит

Ключ API биржи — удостоверение, которое площадка примет вместо вошедшего человека, в пределах прав, которые вы отметили при создании. Это не пароль от всего сайта и не мнемоническая фраза кошелька. В переписке границы смазываются, и ключ получает власть, которую никто не собирался давать. Здесь границы держатся жёстко, и ещё жёстче один факт: сайт Captay ключ не принимает.

Права — это список, не настроение

Площадки режут доступ на биты со своими именами. Для этого замысла важны примерно такие: видеть остатки и заявки, ставить и снимать заявки, двигать средства внутри площадки и выводить на адрес. Аккуратная настройка включает первые два и выключает последние два. Подписи на экране важнее любого пересказа на странице продукта. Если бит назван так, что вы его не понимаете, он остаётся выключенным, пока не поймёте.

Где-то вывод спрятан за вторым подтверждением или адресной книгой. Это их контроль, он полезен, и это не повод включить бит «на всякий случай», если продукту позже захочется. Замыслу Captay он не нужен. Продукт, который просит включить вывод, чтобы автоматика «распоряжалась средствами», описывает хранение. Captay описывает обратное.

Только чтение — не тот инструмент

Ключ, который умеет только читать, годится для сводки и не годится для стратегии, которая должна поставить заявку. Автоматика без бита торговли может увидеть, что лимит пробит, и прислать уведомление, которое вы проспите. Такой продукт возможен. Это не этот продукт. Стратегии Captay ставят заявки. Им нужен торговый бит, и их нужно обернуть лимитами, потому что торгового бита уже хватает для вреда.

Вред не театральный. Цикл, который покупает тонкий рынок, может сам вести цену против себя. Повторные рыночные заявки могут весь день платить спред. Ошибка, которая не видит потолок позиции, может идти, пока не кончится котируемая валюта. Ни один из этих исходов не требует вывода. Если модель угрозы кончается на «монеты не увезут в другую сеть», вы описали кражу и пропустили убыток.

Вывод — лишнее право

Бит вывода позволяет ключу просить площадку отправить монеты на адрес. Вместе с утекшим ключом это прямой путь со счёта. Выключенный бит не делает остальной ключ безобидным. Он значит, что сбойный или чужой процесс, у которого есть только этот ключ, не выдумает перевод, который площадка исполнит. Площадка — тот, кто принуждает. Программа Captay, какой бы аккуратной она ни была, не второй страж права, которого ей не давали.

Внутренние переводы легко пропустить: кажется, что это перестановка собственной мебели. Если бит может увести средства на субсчёт, за которым вы не смотрите, это не мебель. Считайте его соседним с выводом и не включайте, пока нет причины, которая переживёт перечитывание на следующее утро.

Утечка и смена

Торговый ключ, вставленный в чат, заявку или форму, имеет ту же власть, что торговый ключ в сейфе, пока вы его не удалите. Вставка и есть утечка. Удаление ключа на бирже кончает это удостоверение, даже если копия осталась в чужих журналах. Новый ключ с теми же аккуратными битами — это смена. Вписать старый секрет в поле пароля, «чтобы поддержка увидела ошибку», — способ смену провалить.

Списки IP, где площадка их даёт, сужают сети, из которых ключ можно предъявить. Они не сужают то, что ключ умеет, если его предъявили из разрешённой сети. Позже их стоит включить на экране площадки как ваш контроль. Это не контроль, который может обещать Captay: Captay не ведёт ваш список и сегодня не имеет адреса, который туда ставить.

Хранилища, которого ещё нет

Будущему кабинету пришлось бы держать торговый ключ, чтобы подписывать заявки. Заметка о конфиденциальности говорит, что склад был бы зашифрован и не построен. Шифрование отвечает на вопрос хранения: снимок диска не должен содержать годный секрет открытым текстом. Оно не отвечает на вопрос поведения. Процесс, который умеет расшифровать ключ, умеет и послать заявку. Лимиты и остановка — контроль поведения. Это замыслы, не работающий процесс, и они не делают хранимый ключ безвредным.

На этом сайте нет поля ключа, нет загрузки и нет чата поддержки, который попросит вставить ключ «ненадолго». Если такое поле найдётся, это не этот выпуск. Форма контактов принимает текст, похожий на почту, и оставляет его на странице. Ключ — не почта. Не проверяйте, что валидатор с ним сделает.

Список, который можно пройти без Captay

• Ничего не создавайте, пока кабинет закрыт. Ключ без потребителя — ключ, который ждёт утечки.
• Когда потребитель появится, отметьте торговлю и чтение, вывод и внутренний перевод оставьте выключенными.
• Лучше новый ключ, чем тот, который уже жил в другом инструменте.
• Удалите ключ на площадке, как только опыт кончился или вы не можете сказать, где копии.
• Не отправляйте секрет человеку, который предлагает «проверить права за вас».

Список — обычная гигиена. Он не утверждает, что соблюдение делает автоматику безопасной, и не утверждает, что Captay смотрел экран вашей площадки. Пока вы читаете, заявки с этого сайта не уходят. Полезный итог заметки — более узкий ключ позже, а не ключ сегодня.

Пока интеграции нет, практический вывод короче любого списка прав. Ключ создавать не для Captay. Если он уже создан для проверки чужого интерфейса, его место на бирже, где его можно удалить, а не в письме и не в форме этого сайта.