API-ключи криптобиржи: проверка прав и отзыв доступа

Содержание

Коротко о главном

Проверьте доступ ботов и приложений учёта портфеля, удалите ненужные API-ключи и проверьте замену без сделки. Примеры Kraken Pro и Coinbase Exchange.

Определите: плановая проверка или инцидент

API-ключ биржи позволяет программе обращаться к счёту без обычного входа через экран авторизации при каждом запросе. Приложение учёта портфеля может читать остатки, а торговый бот — выставлять ордера. Руководство поможет владельцу счёта перечислить подключения, убрать лишние права и проверить отзыв доступа. Речь об API биржи, а не о сид-фразах кошельков или разрешениях на токены в блокчейне.

Понадобятся доверенное устройство, доступ к бирже и её способу подтверждения входа, а также настройки каждого подключённого сервиса. Не начинайте со ссылки из неожиданного сообщения поддержки. Если обнаружены незнакомые сделки, раскрытый секрет или неизвестный ключ, рассматривайте это как возможный инцидент: оперативно отзовите соответствующий доступ через биржу и обратитесь в официальную поддержку. Не откладывайте ограничение доступа ради завершения этого списка.

При плановой проверке сначала определите автоматические задания и открытые ордера, зависящие от подключения. По возможности организуйте паузу. Отзыв учётных данных может прервать наблюдение или управление ордерами; он не доказывает отмену уже существующих ордеров. Их нужно проверить отдельно в интерфейсе биржи. [1][2]

Составьте список, не копируя секреты

Откройте биржу по сохранённому адресу или через официальное приложение и найдите управление API. В документации Kraken Pro указан путь: меню аккаунта, Settings, затем API. Coinbase Exchange указывает пункт API в боковом меню панели; этот пример относится именно к Exchange, а не ко всем продуктам Coinbase. Если интерфейс отличается, изучите справку того продукта, которым пользуетесь.

Создайте закрытый реестр: название ключа, подключённое приложение, счёт или портфель, задача, права, срок действия и ограничения IP. Время создания или последнего использования записывайте, только если оно показано в интерфейсе. Не вставляйте секрет API, парольную фразу или QR-код в реестр либо обращение в поддержку. Для сопоставления подключения достаточно понятного названия.

Отметьте каждую запись: сохранить, заменить, удалить или выяснить. Незнакомое название требует проверки, но само по себе не доказывает взлом. Прежде чем приписывать действия злоумышленнику, проверьте собственные старые интеграции. Разделяйте состояние, которое показывает биржа, и сведения о подключении со стороны приложения. [1][4]

Сопоставьте права с реальной задачей

До изменения флажков запишите, что именно должна делать программа. Отображению баланса не нужно выставление ордеров. Для исторического отчёта может потребоваться доступ к операциям или журналу сверх запроса остатка. По каждому запрошенному праву выясните, какая документированная функция без него не работает; расплывчатая просьба о полном доступе ничего не объясняет.

Доступ только для чтения всё равно раскрывает финансовые сведения. Торговые права могут привести к убыткам даже при отключённом выводе. Оценивайте эти риски отдельно. В Coinbase Exchange View, Trade, Transfer и Manage — разные права; документация указывает, что Transfer обходит двухфакторную аутентификацию. Поэтому защищённый вход на сайт не означает, что каждое действие через API потребует подтверждения на телефоне.

Выбирайте минимальный набор прав, достаточный для задачи согласно текущей документации продукта. Не переносите названия разрешений между платформами. Если простое приложение показа портфеля требует вывод средств, остановите настройку и запросите конкретное техническое объяснение. Не проверяйте такое требование временной выдачей неограниченного доступа. [1][4]

Проверьте ограничения сети и хранение

Если функция поддерживается, список разрешённых IP ограничивает сетевые адреса, с которых можно использовать ключ. Подтвердите исходящие адреса подключённого сервиса через его официальные настройки или поддержку. Нужный адрес может принадлежать серверу сервиса, а не домашнему компьютеру. Не добавляйте адрес, полученный только в непрошеном сообщении.

Такой список не ограничивает действия уже допущенного сервиса в пределах прав ключа. Для домашнего подключения с меняющимся публичным адресом заранее определите порядок обновления ограничения; не отключайте его автоматически при ошибке соединения. Kraken также описывает срок действия ключа, которым можно ограничить временное подключение.

Храните необходимые учётные данные в зашифрованном хранилище или менеджере паролей. Избегайте скриншотов, синхронизируемых с общей фотобиблиотекой. Если секрет уже раскрыт, перенос того же значения в более надёжное хранилище не отзывает раскрытую копию. Замените ключ через биржу. [1][2]

Отзовите или замените выбранный ключ

Для ненужного подключения выберите соответствующий ключ в управлении API биржи и используйте действие отзыва или удаления. Внимательно прочитайте подтверждение и сверьте выбранное название со своим реестром. Удаление приложения с телефона или отключение в его панели не заменяет проверку учётных данных на стороне биржи.

При плановой замене соблюдайте порядок из документации продукта. Coinbase Exchange предлагает сначала отозвать существующий ключ, создать замену с минимальными правами, обновить приложения и проверить её. При таком порядке ожидайте перерыв. Не обещайте бесшовную замену и не сохраняйте скомпрометированный ключ лишь ради непрерывной работы.

Если сервис ещё нужен, надёжно сохраните замену и обновите только предназначенную для неё интеграцию. Повторно проверьте выбранный портфель, права и сетевое ограничение, не предполагая, что они перенеслись автоматически. Никогда не отправляйте новый секрет человеку, предлагающему проверить изменение за вас. [2][3]

Проверьте результат в обеих системах

Обновите список API на бирже и убедитесь, что старый ключ отсутствует или явно отозван. Затем проверьте следующую попытку синхронизации подключённого сервиса и её время. Видимый на экране баланс может быть закэширован; он не доказывает сохранение доступа. И наоборот, одна ошибка подключения не доказывает отзыв: такой же симптом бывает при сетевом сбое.

Для замены используйте безвредную операцию чтения, уже поддерживаемую приложением, например обновление баланса. Сверьте полученный счёт и время с биржей. Для проверки подключения не требуется сделка или вывод средств. Просмотрите сохранённые права на бирже вместо эксперимента с нежелательной финансовой операцией.

Отдельно проверьте открытые ордера и недавние действия. Зафиксируйте, что подтверждено, а что остаётся неясным. Этот порядок проверяет настройки доступа; он не доказывает удаление ранее переданных данных или отмену прежней несанкционированной операции. [3]

Пример: отключение старого приложения портфеля

Допустим, старое приложение учёта портфеля больше не нужно. В реестре указано, что оно должно лишь читать сведения о счёте, но биржа показывает также торговое разрешение. Это условный пример, а не сообщение об инциденте.

Запишите название и права без секрета, выясните, не использует ли тот же ключ другое задание, и удалите его на бирже. Обновите список ключей. Последующее обновление в старом приложении уже не должно получать закрытые данные счёта через эти учётные данные; запишите результат, не принимая старый видимый баланс за доказательство доступа. Отдельно удалите сохранённое подключение из приложения.

Если отчётность ещё нужна, создайте отдельное подключение с подходящими ограничениями, предварительно проверив требования нового сервиса. Старый ключ оставьте отозванным. В записи о завершении укажите удалённое подключение, замену при её наличии, время проверки и нерешённые вопросы. Не прикладывайте к записи учётные данные. [2][3]

Если проверка не удалась

Если после подтверждения старый ключ остаётся активным, прекратите создавать замены и обратитесь на биржу через самостоятельно открытый канал поддержки. Если замена не подключается, проверьте совместимость продукта, выбранный счёт, права, разрешённый адрес и то, сохранило ли приложение новые учётные данные. Не исправляйте непонятную ошибку включением всех разрешений.

Если незнакомые действия продолжаются, с доверенного устройства выполните процедуру биржи для скомпрометированного аккаунта. Сохраните время и идентификаторы операций, не раскрывая секреты. Проверьте другие ключи и сеансы: замена API-ключа сама по себе не является полным расследованием состояния аккаунта.

Назначьте повторную проверку при отказе от сервиса, смене его сервера или известии о связанном инциденте. Итогом должны стать точный реестр и подтверждённый отзыв ненужного доступа с ясно записанными оставшимися зависимостями. [2][3]

Частые вопросы

Означает ли доступ только для чтения отсутствие риска?

Нет. Он ограничивает действия, но может раскрывать остатки и историю счёта. Предоставляйте только тот доступ к информации, который необходим для задачи. [2]

Отзовётся ли ключ после удаления бота?

Не рассчитывайте на это. Проверьте управление API на бирже и отзовите ключ там; сохранённое подключение в приложении удалите отдельно. [3]

Нужна ли сделка для проверки нового ключа?

Нет. Начните с разрешённого обновления баланса и проверьте сохранённые права. Не выставляйте финансовый ордер только ради проверки доступа. [3]

Доказательства и источники

Документ-источник: 29 окт. 2026 г. · Проверено: 5 нояб. 2026 г.

Ограничения сведений · Официальная документация проверена 5 ноября 2026 года. Инструкция Kraken Pro обновлена 29 октября 2026 года. Это профилактическое руководство, а не сообщение о новом взломе. Настройки зависят от продукта.

[1]Сообщение источника
Kraken Pro описывает отдельные права API и дополнительные ограничения сети и срока действия.
Подтверждающая выдержка: Kraken Pro: создание и настройка API-ключа
Перевод выдержки
Die IP-Adressbeschränkung ist eine Sicherheitsfunktion
Оригинальная цитата
Die IP-Adressbeschränkung ist eine Sicherheitsfunktion
So erstellen Sie einen API-Schlüssel auf Kraken Pro ↗
Язык источника: DE · Сохранено 5 нояб. 2026 г.
[2]Сообщение источника
Kraken рекомендует минимизировать права API и удалять ненужные ключи.
Подтверждающая выдержка: Kraken: безопасность API-ключей
Перевод выдержки
Lösche regelmäßig API-Schlüssel, die nicht mehr relevant sind.
Оригинальная цитата
Lösche regelmäßig API-Schlüssel, die nicht mehr relevant sind.
Sicherheit für API-Schlüssel ↗
Язык источника: DE · Сохранено 5 нояб. 2026 г.
[3]Сообщение источника
Coinbase Exchange описывает отзыв существующего ключа до создания и проверки замены.
Подтверждающая выдержка: Coinbase Exchange: замена API-ключа
Перевод выдержки
First, revoke or delete the current API key.
Оригинальная цитата
First, revoke or delete the current API key.
How to rotate your API key ↗
Язык источника: EN · Сохранено 5 нояб. 2026 г.
[4]Сообщение источника
Coinbase Exchange разделяет права View, Trade, Transfer и Manage и предупреждает, что Transfer обходит двухфакторную аутентификацию.
Подтверждающая выдержка: Coinbase Exchange: создание API-ключа
Перевод выдержки
Key can transfer value for accounts, including deposits and withdrawals (and bypasses 2FA)
Оригинальная цитата
Key can transfer value for accounts, including deposits and withdrawals (and bypasses 2FA)
How to create an API key ↗
Язык источника: EN · Сохранено 5 нояб. 2026 г.