API-ключі криптобіржі: перевірка прав і відкликання

Зміст

Коротко про головне

Перевірте доступ ботів і застосунків обліку портфеля, видаліть зайві API-ключі та перевірте заміну без угоди. Приклади Kraken Pro і Coinbase Exchange.

Визначте: планова перевірка чи інцидент

API-ключ біржі дає програмі доступ до рахунку без звичайного входу через екран авторизації для кожного запиту. Застосунок обліку портфеля може читати залишки, а торговий бот — виставляти ордери. Посібник допоможе власникові рахунку перелічити підключення, прибрати зайві права й перевірити відкликання доступу. Йдеться про API біржі, а не про сід-фрази гаманців чи дозволи на токени в блокчейні.

Потрібні довірений пристрій, доступ до біржі та її способу підтвердження входу, а також налаштування кожного підключеного сервісу. Не починайте з посилання в неочікуваному повідомленні підтримки. Якщо бачите незнайомі угоди, розкритий секрет або невідомий ключ, розглядайте це як можливий інцидент: оперативно відкличте відповідний доступ через біржу й зверніться до офіційної підтримки. Не відкладайте обмеження доступу заради завершення цього списку.

Під час планової перевірки спершу визначте автоматичні завдання й відкриті ордери, залежні від підключення. За можливості організуйте паузу. Відкликання облікових даних може перервати моніторинг або керування ордерами; воно не доводить скасування вже наявних ордерів. Перевірте їх окремо в інтерфейсі біржі. [1][2]

Складіть перелік без копіювання секретів

Відкрийте біржу за збереженою адресою або через офіційний застосунок і знайдіть керування API. Документація Kraken Pro вказує шлях: меню облікового запису, Settings, потім API. Coinbase Exchange описує пункт API у бічному меню панелі; приклад стосується саме Exchange, а не всіх продуктів Coinbase. Якщо інтерфейс відрізняється, перегляньте довідку продукту, яким користуєтеся.

Створіть закритий реєстр: назва ключа, підключений застосунок, рахунок або портфель, задача, права, строк дії та обмеження IP. Час створення або останнього використання записуйте, лише якщо інтерфейс його показує. Не вставляйте секрет API, парольну фразу або QR-код у реєстр чи звернення до підтримки. Для зіставлення підключення достатньо зрозумілої назви.

Позначте кожний запис: зберегти, замінити, видалити або з'ясувати. Незнайома назва потребує перевірки, але сама собою не доводить злам. Перш ніж приписувати дії нападнику, перевірте власні старі інтеграції. Розділяйте стан, показаний біржею, і відомості про підключення з боку застосунку. [1][4]

Зіставте права з реальною задачею

До зміни прапорців запишіть, що саме має робити програма. Відображенню балансу не потрібне виставлення ордерів. Історичному звіту може знадобитися доступ до операцій або журналу понад запит залишку. Для кожного запитаного права з'ясуйте, яка документована функція без нього не працює; нечітке прохання про повний доступ нічого не пояснює.

Доступ лише для читання все одно розкриває фінансові відомості. Торгові права можуть спричинити збитки навіть за вимкненого виведення. Оцінюйте ці ризики окремо. У Coinbase Exchange View, Trade, Transfer і Manage є різними правами; документація зазначає, що Transfer обходить двофакторну автентифікацію. Отже, захищений вхід на сайт не означає, що кожна дія через API вимагатиме підтвердження на телефоні.

Вибирайте найменший набір прав, достатній для задачі згідно з поточною документацією продукту. Не переносіть назви дозволів між платформами. Якщо простий застосунок перегляду портфеля вимагає виведення коштів, зупиніть налаштування й попросіть конкретне технічне пояснення. Не перевіряйте цю вимогу тимчасовим наданням необмеженого доступу. [1][4]

Перевірте мережеві обмеження та зберігання

Якщо функція підтримується, список дозволених IP обмежує мережеві адреси, з яких можна використовувати ключ. Підтвердьте вихідні адреси підключеного сервісу через його офіційні налаштування або підтримку. Потрібна адреса може належати серверу сервісу, а не домашньому комп'ютеру. Не додавайте адресу, отриману лише в непроханому повідомленні.

Такий список не обмежує дії вже допущеного сервісу в межах прав ключа. Для домашнього підключення зі змінною публічною адресою заздалегідь визначте порядок оновлення обмеження; не вимикайте його автоматично через помилку з'єднання. Kraken також описує строк дії ключа, яким можна обмежити тимчасове підключення.

Зберігайте потрібні облікові дані в зашифрованому сховищі або менеджері паролів. Уникайте знімків екрана, що синхронізуються зі спільною фотобібліотекою. Якщо секрет уже розкрито, перенесення того самого значення до кращого сховища не відкликає розкриту копію. Замініть ключ через біржу. [1][2]

Відкличте або замініть вибраний ключ

Для непотрібного підключення виберіть відповідний ключ у керуванні API біржі та скористайтеся дією відкликання або видалення. Уважно прочитайте підтвердження й звірте вибрану назву зі своїм реєстром. Видалення застосунку з телефона або відключення в його панелі не замінює перевірку облікових даних на боці біржі.

Для планової заміни дотримуйтеся порядку з документації продукту. Coinbase Exchange пропонує спочатку відкликати наявний ключ, створити заміну з мінімальними правами, оновити застосунки та перевірити її. За такого порядку очікуйте перерву. Не обіцяйте безшовну заміну й не зберігайте скомпрометований ключ лише заради безперервної роботи.

Якщо сервіс іще потрібен, надійно збережіть заміну й оновіть лише призначену для неї інтеграцію. Знову перевірте вибраний портфель, права та мережеве обмеження, не припускаючи, що вони перенеслися автоматично. Ніколи не надсилайте новий секрет людині, яка пропонує перевірити зміну за вас. [2][3]

Перевірте результат в обох системах

Оновіть список API на біржі й переконайтеся, що старий ключ відсутній або явно відкликаний. Далі перевірте наступну спробу синхронізації підключеного сервісу та її час. Видимий на екрані баланс може бути кешованим; він не доводить збереження доступу. І навпаки, сама помилка підключення не доводить відкликання: мережевий збій може дати такий самий симптом.

Для заміни використайте нешкідливу операцію читання, яку вже підтримує застосунок, наприклад оновлення балансу. Звірте отриманий рахунок і час із біржею. Для перевірки підключення не потрібні угода або виведення коштів. Перегляньте збережені права на біржі замість експерименту з небажаною фінансовою операцією.

Окремо перевірте відкриті ордери й недавні дії. Зафіксуйте підтверджене та те, що лишається невідомим. Цей порядок перевіряє налаштування доступу; він не доводить видалення раніше переданих даних чи скасування попередньої несанкціонованої операції. [3]

Приклад: відключення старого застосунку портфеля

Припустімо, старий застосунок обліку портфеля більше не потрібен. У реєстрі зазначено, що він має лише читати відомості про рахунок, але біржа показує також торговий дозвіл. Це умовний приклад, а не повідомлення про інцидент.

Запишіть назву й права без секрету, з'ясуйте, чи не використовує той самий ключ інше завдання, і видаліть його на біржі. Оновіть список ключів. Наступне оновлення у старому застосунку вже не має отримувати закриті дані рахунку через ці облікові дані; запишіть результат, не сприймаючи старий видимий баланс як доказ доступу. Окремо видаліть збережене підключення із застосунку.

Якщо звітність іще потрібна, створіть окреме підключення з відповідними обмеженнями, попередньо перевіривши вимоги нового сервісу. Залиште старий ключ відкликаним. У записі про завершення вкажіть видалене підключення, заміну за її наявності, час перевірки й невирішені питання. Не додавайте до запису облікові дані. [2][3]

Якщо перевірка не вдалася

Якщо після підтвердження старий ключ залишається активним, припиніть створювати заміни та зверніться до біржі через самостійно відкритий канал підтримки. Якщо заміна не підключається, перевірте сумісність продукту, вибраний рахунок, права, дозволену адресу й те, чи справді застосунок зберіг нові облікові дані. Не виправляйте незрозумілу помилку ввімкненням усіх дозволів.

Якщо незнайомі дії тривають, із довіреного пристрою виконайте процедуру біржі для скомпрометованого облікового запису. Збережіть час та ідентифікатори операцій, не розкриваючи секретів. Перевірте інші ключі й сеанси: сама заміна API-ключа не є повним розслідуванням стану облікового запису.

Призначте повторну перевірку, коли припиняєте користуватися сервісом, змінюєте його сервер або дізнаєтеся про пов'язаний інцидент. Результатом мають бути точний реєстр і підтверджене відкликання зайвого доступу з чітко записаними залежностями, що залишилися. [2][3]

Поширені запитання

Чи означає доступ лише для читання відсутність ризику?

Ні. Він обмежує дії, але може розкривати залишки й історію рахунку. Надавайте лише той доступ до інформації, який потрібен для задачі. [2]

Чи відкличеться ключ після видалення бота?

Не розраховуйте на це. Перевірте керування API на біржі й відкличте ключ там; збережене підключення в застосунку видаліть окремо. [3]

Чи потрібна угода для перевірки нового ключа?

Ні. Почніть із дозволеного оновлення балансу та перевірте збережені права. Не виставляйте фінансовий ордер лише заради перевірки доступу. [3]

Докази та джерела

Документ-джерело: 29 жовт. 2026 р. · Перевірено: 5 лист. 2026 р.

Обмеження відомостей · Офіційну документацію перевірено 5 листопада 2026 року. Інструкцію Kraken Pro оновлено 29 жовтня 2026 року. Це профілактичний посібник, а не повідомлення про новий злам. Налаштування залежать від продукту.

[1]Повідомлення джерела
Kraken Pro описує окремі права API та додаткові обмеження мережі й строку дії.
Підтверджувальний уривок: Kraken Pro: створення й налаштування API-ключа
Переклад уривка
Die IP-Adressbeschränkung ist eine Sicherheitsfunktion
Оригінальна цитата
Die IP-Adressbeschränkung ist eine Sicherheitsfunktion
So erstellen Sie einen API-Schlüssel auf Kraken Pro ↗
Мова джерела: DE · Збережено 5 лист. 2026 р.
[2]Повідомлення джерела
Kraken рекомендує мінімізувати права API й видаляти непотрібні ключі.
Підтверджувальний уривок: Kraken: безпека API-ключів
Переклад уривка
Lösche regelmäßig API-Schlüssel, die nicht mehr relevant sind.
Оригінальна цитата
Lösche regelmäßig API-Schlüssel, die nicht mehr relevant sind.
Sicherheit für API-Schlüssel ↗
Мова джерела: DE · Збережено 5 лист. 2026 р.
[3]Повідомлення джерела
Coinbase Exchange описує відкликання наявного ключа до створення й перевірки заміни.
Підтверджувальний уривок: Coinbase Exchange: заміна API-ключа
Переклад уривка
First, revoke or delete the current API key.
Оригінальна цитата
First, revoke or delete the current API key.
How to rotate your API key ↗
Мова джерела: EN · Збережено 5 лист. 2026 р.
[4]Повідомлення джерела
Coinbase Exchange розділяє права View, Trade, Transfer і Manage та попереджає, що Transfer обходить двофакторну автентифікацію.
Підтверджувальний уривок: Coinbase Exchange: створення API-ключа
Переклад уривка
Key can transfer value for accounts, including deposits and withdrawals (and bypasses 2FA)
Оригінальна цитата
Key can transfer value for accounts, including deposits and withdrawals (and bypasses 2FA)
How to create an API key ↗
Мова джерела: EN · Збережено 5 лист. 2026 р.