Риски API-ключей для торговых ботов

В кабинете Bybit или OKX откройте раздел управления API и создайте новый ключ. Снимите галочку Withdraw / Transfer наружу — для торгового бота она не нужна. Оставьте права на чтение (Read) и торговлю (Trade) только на тех рынках, где будет работать бот (спот, USDT-M и т.д.).

На OKX при создании ключа задаётся passphrase — это третья часть связки вместе с API Key и Secret. Сохраните все три значения в менеджере паролей; passphrase не восстанавливается «по почте» так же просто, как пароль.

Secret показывается один раз при создании. Скопируйте сразу в бота или менеджер — не храните в Telegram «Избранном», не отправляйте скрин в поддержку Discord.

Если сервис просит ключ с правом вывода «для стейкинга» или «для автоматического ребаланса на cold wallet» — откажитесь или уходите с площадки. Легитимному торговому боту вывод не нужен.

Суб-аккаунт только под бота — если биржа поддерживает. Даже без суб-аккаунта держите на основном счёте с ключом только лимит, необходимый для стратегии; остальное — на споте без API или на другом контуре.

IP whitelist: привяжите ключ к IP сервера бота или вашего VPS. Если IP сервиса Veles/3Commas известен — укажите его. Ключ без whitelist работает с любого IP в интернете — это лишний риск при утечке.

Срок ключа: некоторые биржи позволяют задать expiration. Поставьте напоминание перевыпустить ключ через 30–90 дней.

Не используйте один ключ для пяти ботов «на всякий случай». Компрометация одного контура убьёт все.

Включите уведомления биржи о входе с нового IP, крупных ордерах, попытках вывода. Раз в день (не раз в минуту) сверяйте открытые ордера и историю сделок с тем, что ожидаете от бота.

Сигналы немедленного revoke: ордера на парах, которые бот не торгует; резкий рост объёма; запросы на вывод; сообщение от «поддержки бота» с просьбой прислать secret; ключ случайно попал в скрин или публичный репозиторий.

Смена пароля биржи не всегда отключает существующие API-ключи — отзывайте ключи явно в API Management.

При подозрении: Delete/Disable key → проверка истории выводов → смена пароля и 2FA при необходимости → только потом разбор.

Veles, 3Commas, Bitsgap и аналоги получают доступ через ваш ключ. Перед вставкой проверьте: официальный домен сервиса (не фишинг-копия), наличие документации по правам API, отзывы именно про остановку и вывод средств, а не только про «профит».

Начните с минимального баланса на бирже и простой стратегии. Если за первые дни бот открывает непонятные сделки — stop + revoke, разбор потом.

Не оставляйте ключ активным «на будущее» после паузы бота. Мёртвый ключ с Trade-правами — дыра в безопасности.

Порядок: остановите стратегию в UI бота → закройте или отмените открытые ордера на бирже → удалите/отзовите API-ключ → проверьте, что новых ордеров нет.

Не оставляйте «спящий» доступ месяцами «вдруг снова включу». Перевыпуск ключа при возобновлении занимает две минуты и дешевле инцидента.

Журнал: дата создания ключа, дата revoke, причина. Через полгода вы не вспомните, зачем живёт ключ #3.