API-ключи бирж: как создать и не потерять деньги

Некоторые трейдеры теряют деньги из-за того, что кто-то получает доступ к аккаунту через некорректно настроенный API-ключ. Это происходит регулярно, особенно с теми, кто подключает сторонние терминалы или боты и не думает о последствиях.

Разберём всё по порядку: что такое API-ключ, зачем он нужен трейдеру, как его создать на Binance и Bybit, какие права давать и как выстроить нормальную защиту.

Что такое API-ключ

API-ключ (Application Programming Interface key), то есть ключ программного интерфейса приложения, это пара строк (Access Key + Secret Key), которая даёт стороннему приложению доступ к вашему аккаунту на бирже. Без вашего логина и пароля.

Работает это так. Биржа генерирует уникальную пару: публичный ключ (он идентифицирует вас как пользователя) и секретный ключ (он подписывает каждый запрос). Когда торговый терминал хочет поставить ордер или получить данные стакана, он отправляет запрос на серверы биржи с подписью секретного ключа. Биржа проверяет подпись, сверяет права ключа и либо выполняет запрос, либо отклоняет.

Секретный ключ показывается ровно один раз, сразу после создания. Потом никогда. Не сохранили, придётся генерировать заново.

Зачем это нужно трейдеру? Три основных сценария:

• Подключение торгового терминала для работы со стаканом, лентой принтов и быстрого выставления ордеров.
• Использование торговых ботов и автоматических стратегий.
• Экспорт торговой истории в аналитические инструменты или дневник трейдера.

Во всех трёх случаях API-ключ — точка входа в ваш аккаунт. Хорошо настроенный ключ даёт контролируемый доступ. Плохо настроенный открывает двери злоумышленнику.

Как создать API-ключ на Binance

Заходите в аккаунт Binance. Нажимаете на иконку профиля в правом верхнем углу, из выпадающего меню выбираете «Управление API» (API Management).

Система попросит пройти верификацию через почту или 2FA. После жмёте «Создать API».

Биржа предложит два режима:

Системный сгенерированный ключ. Binance сам создаёт пару ключей. Стандартный путь для большинства трейдеров.

Самостоятельно сгенерированный ключ (Ed25519). Вы генерируете ключи на своей стороне и загружаете публичный ключ. Для обычного использования избыточно.

Выбираете первый вариант, придумываете метку: например, «scalping_terminal» или «bybit_bot». Называйте ключи так, чтобы потом понимать, для чего создавался каждый. Пять ключей без названий, и вы не поймёте, какой удалить, когда понадобится.

После создания система один раз показывает и API Key, и Secret Key. Копируете оба. Сохраняете. Закрываете окно только после того, как убедились, что данные сохранены.

Разрешения на Binance

На странице настройки ключа три блока разрешений:

Чтение (Read Info). Просмотр баланса, позиций, торговой истории. Включить.

Торговля (Enable Spot & Margin Trading / Enable Futures). Выставление ордеров. Включить те рынки, на которых торгуете.

Вывод средств (Enable Withdrawals). Разрешение на вывод с аккаунта. Никогда не включать для торговых терминалов.

Отдельно, привязка к IP-адресу. Если провайдер даёт статический IP, привяжите ключ к нему. Тогда, даже если кто-то получит строки ключа, воспользоваться им с другого адреса не получится. При динамическом IP биржа предупредит, что ключи без привязки действуют только 90 дней.

Как создать API-ключ на Bybit

На Bybit путь похож, интерфейс немного другой.

Заходите в личный кабинет Bybit, кликаете на иконку аккаунта, выбираете «Настройки API». Нажимаете «Создать новый ключ».

Bybit сразу предлагает выбрать тип:

Системный. Стандартный вариант для подключения к терминалам.

Ключ для сторонних приложений. Если разработчик приложения зарегистрирован на Bybit как партнёр.

Выбираете системный. Задаёте метку. Настраиваете разрешения.

На Bybit права разбиты детальнее:

• Аккаунт: «Просмотр сведений об аккаунте» — включить.
• Торговля: «Просмотреть детали ордера» и «Торговля» — включить оба.
• Вывод: «Просмотр сведений о депозите/выводе» можно включить, само разрешение на вывод оставить выключенным.
• Фьючерсы: «Просмотр сведений об аккаунте», «Просмотреть детали ордера», «Ордер (Торговля)» — включить, если торгуете фьючерсами.

После создания биржа покажет Access Key и Secret Key. Сохраните оба. Показываются один раз.

Какие разрешения давать, а какие нет

Принцип один: минимум прав, необходимых для работы. Всё остальное выключено.

Для торгового терминала (читать стакан, выставлять ордера) нужны:

• Права на чтение (баланс, позиции, история).
• Права на торговлю (спот, фьючерсы — только то, чем пользуетесь).

Для аналитических инструментов или экспорта истории нужны только права на чтение. Торговля не нужна.

Что никогда не включать для внешних приложений:

• Право на вывод средств. Никогда. Если разработчик говорит, что это нужно для работы продукта, это повод насторожиться и хорошо подумать перед использованием.
• Право на перевод между счетами (если биржа это предлагает отдельно).

Логика прямая. Ключ без права вывода, попав в чужие руки, не позволяет вынести деньги напрямую. Максимум злоумышленник сможет торговать на ваши средства, что тоже плохо, но несравнимо лучше, чем нулевой баланс.

Типичные ошибки при работе с API-ключами

Вот где чаще всего что-то идёт не так.

Одним ключом подключают несколько приложений. Если один из ботов окажется скомпрометированным, непонятно, какой ключ отзывать. Правило: один ключ — одно приложение.

Включают право на вывод «на всякий случай». На всякий какой? Ни один торговый терминал не требует права на вывод для работы. Если требует, это либо ошибка разработчика, либо красный флаг.

Хранят ключи в незащищённом месте. Текстовый файл «api_keys.txt» на рабочем столе, скриншот в Google Photos, пересылка через Telegram — всё это уже слитые ключи, которые просто ещё не использованы. Я лично держу ключи в зашифрованном менеджере паролей, и только там.

Не удаляют старые ключи. Ключ от бота, который тестировали три месяца назад и забыли, остаётся активной точкой уязвимости. Раз в месяц стоит заходить на страницу управления API и чистить неиспользуемые.

Не привязывают к IP при статическом адресе. Это бесплатная дополнительная защита, которую почти никто не настраивает. Займёт 30 секунд.

Забывают о рассинхронизации времени. Редко упоминаемая проблема: если системное время на компьютере отличается от серверного на бирже, запросы будут падать с ошибкой авторизации. Ключи правильные, всё настроено, ничего не работает. Синхронизируйте системное время.

Правила безопасности

Несколько конкретных правил, которые реально работают.

Двухфакторная аутентификация на аккаунте. Базовое. Без 2FA злоумышленнику, получившему пароль, не нужен даже API-ключ, он просто войдёт и создаст свой.

Регулярно проверяйте список ключей. Раз в месяц зайдите на страницу управления API и удалите неиспользуемые. Чем меньше активных ключей, тем меньше поверхность атаки.

Не давайте ключи незнакомым сервисам. «Аналитический бот», «сигнальный сервис» с правами на торговлю и вывод — либо мошенничество, либо очень плохая безопасность. В любом случае нет.

Следите за временем жизни ключа на Binance. Без привязки к IP ключи истекают автоматически через 90 дней. Поставьте напоминание.

На моём опыте, большинство инцидентов с потерей средств через API происходит не от хитрого взлома. Человек сам отдаёт ключи с неправильными разрешениями, сам хранит их в незащищённом месте. Технически биржевые системы достаточно надёжны, уязвимое место это человек и его привычки.

Когда API-ключ не поможет: граничные случаи

Несколько ситуаций, когда даже правильно настроенный ключ не спасёт.

Скомпрометированный компьютер. Если на машине есть кейлоггер или троян, он может считать ключи в момент их копирования. Никакая настройка разрешений не поможет, если ключ украден ещё до использования. Поэтому защита начинается с антивируса и здравого смысла при загрузке программ.

Фишинговые сайты. Поддельные сайты бирж или терминалов, куда вы «добровольно» вводите ключи. Всегда проверяйте адрес сайта.

Взлом облачного сервиса. Если терминал или бот хранит ваши ключи на своих серверах, один взлом этого сервиса компрометирует ключи всех пользователей одновременно. Это системный риск, который не зависит от ваших настроек.

Подключение к Secret Terminal

Secret Terminal — торговый терминал для скальпинга, который работает со стаканом, лентой принтов и кластерами. Подключается к Binance, Bybit, OKX, MEXC, WhiteBIT через API-ключи.

Алгоритм подключения прямой.

• Скачайте терминал с официального сайта и установите.
• Создайте API-ключ на нужной бирже. Права: чтение + торговля. Вывод не включать.
• В терминале зайдите в «Настройки» — «Подключения» — «Добавить подключение».
• Выберите биржу из списка.
• В поля «API key» и «API secret» вставьте соответствующие строки.
• Нажмите «Подключить».

Если подключение не проходит, проверьте: лишние пробелы при копировании ключа (самая частая причина), права на ключе (должны быть разрешены просмотр и торговля), привязку к IP (добавьте IP своего компьютера в whitelist если она включена), синхронизацию системного времени.

Важный момент по безопасности: все данные в Secret Terminal хранятся локально на вашем компьютере. API-ключи, настройки, рабочие пространства — это не передаётся на серверы разработчиков. На внешние серверы уходит только техническая информация для синхронизации настроек между устройствами, и без ключей. Это принципиально отличает терминал от облачных решений.

Я обычно создаю отдельный ключ под каждое подключение: один для терминала на рабочем компьютере, второй для терминала на ноутбуке. Если что-то пойдёт не так, сразу понятно, какой ключ отзывать.

После подключения в терминале доступны стакан с картой плотностей, лента принтов в реальном времени, кластерный анализ, мониторинг фандингов и листингов. О том, как читать ленту принтов и использовать эти данные в торговле, подробнее в статье «Скальпинг от плотностей».

FAQ

• Что такое API-ключ биржи и для чего он нужен?

  API-ключ (api ключ бинанс, api ключ байбит) — это пара строк Access Key + Secret Key, которая даёт стороннему приложению доступ к аккаунту без ввода логина и пароля. Нужен для подключения торговых терминалов, ботов и аналитических инструментов. Без него эти приложения не смогут ни читать данные аккаунта, ни выставлять ордера.

• Можно ли потерять деньги из-за API-ключа?

  Да, но только если выдать право на вывод. Ключ без этого разрешения позволяет торговать на аккаунте, но не позволяет отправить деньги на чужой адрес. Правило одно: право на вывод для внешних приложений не включать никогда.

• Что делать, если ключ мог утечь?

  Немедленно зайдите в управление API на бирже и удалите ключ полностью. Не редактировать, не менять права. Удалить. Затем проверьте историю операций за последнее время. Создайте новый ключ с правильными правами.

• Сколько API-ключей можно создать?

  На Binance и Bybit — до 30 ключей на аккаунт. На практике больше 5-7 держать смысла нет: больше ключей — больше точек уязвимости для контроля.

• Ключ истёк. Что происходит с открытыми позициями?

  Открытые позиции на бирже остаются открытыми. Истечение ключа не влияет на то, что уже находится на бирже. Просто терминал или бот теряет доступ к управлению этими позициями. Перед обновлением ключей закройте позиции или будьте готовы управлять ими напрямую через интерфейс биржи.

• Нужно ли разное разрешение для спота и фьючерсов?

  На большинстве бирж да. Торговля спотом и фьючерсами — отдельные разрешения в настройках ключа. Если торгуете только фьючерсами, право на спот-торговлю включать необязательно.

• Что значит ошибка «Invalid API-key, IP, or permissions»?

  Три варианта: либо неправильно скопирован ключ (проверить пробелы), либо включена привязка к IP и запрос идёт с другого адреса, либо на ключе нет нужных прав. Например, нет права на торговлю фьючерсами при попытке открыть фьючерсную позицию.

API-ключ — инструмент, который делает работу трейдера быстрее и удобнее. Правильно настроенный ключ с минимально необходимыми правами несёт минимальный риск. Проблемы начинаются там, где трейдер не думает, какие галочки ставит.

Правило простое: отдельный ключ под каждое приложение, только нужные права, вывод не включать никогда, старые ключи удалять, 2FA держать включённым.

Скачайте Secret Terminal и подключите биржу через безопасный API за 5 минут. Стакан, лента принтов, кластеры — всё в одном интерфейсе, данные хранятся локально.