API-ключи торгового бота: права, IP, вывод, стоп-кран

Бот торгует через API-ключ, а не через ваш пароль. Ключ лежит там, где работает бот: на вашем сервере, ноутбуке или у стороннего сервиса. Поэтому главный вопрос не «надёжен ли бот», а «что сможет сделать тот, кто получит ключ». Ниже — пять правил и порядок действий, если что-то пошло не так.

Проверено 2 октября 2026 · следующий пересмотр 2 января 2027. Правила бирж — по их документации на эту дату.

Коротко

Права — только чтение и торговля. Права вывода у бота нет.
Ключ привязан к IP сервера, на котором работает бот.
Бот торгует на отдельном суб-аккаунте, где лежит только сумма, которую вы готовы потерять.
Ключ не лежит в коде и не пересылается в чатах; у него есть дата замены.
Стоп-кран отработан заранее: вы знаете, где удалить ключ и отменить ордера.

1. Права: чтение и торговля, без вывода

Права выбирают при создании ключа. Боту нужны чтение и торговля на своём рынке — споте или фьючерсах. Право вывода ему не нужно: не включайте его.

Но ключ без права вывода ещё не безопасен. С правом торговли на ваши деньги можно купить что угодно — в том числе неликвидную монету по завышенной цене.

Публичный случай: в марте 2018 года через API-ключи пользователей Binance выставили продажи их активов и скупили Viacoin: за минуты капитализация VIA выросла с 64 до 159 млн долларов. Binance остановила вывод и заявила, что на тот момент подтверждённые пострадавшие — пользователи, которые регистрировали API-ключи (для торговых ботов и не только), а признаков взлома самой платформы нет. TechCrunch

Поэтому ограничения по IP и отдельный счёт нужны даже ключу без права вывода.

2. Привязка к IP

Ключ с белым списком IP не сработает с чужого компьютера, даже если утечёт. Крупные биржи подталкивают к привязке своими правилами:

Биржа	Ключ без привязки к IP	Право вывода
Binance	Системный ключ (HMAC) без ограничения по IP получает только чтение. Для других прав — ограничение по IP, собственный ключ Ed25519 или RSA, либо отключение защиты по умолчанию (не отключайте)	Только с ограничением по IP
Bybit	Перестаёт действовать через 90 дней; после смены пароля аккаунта — через 7 дней	Только у ключа основного аккаунта
OKX	По объявлению от 4 января 2023 года ключи с правами торговли и вывода без привязки к IP автоматически истекают после 14 дней без активности	—

Источники: FAQ Binance (обновлено 20.03.2025), документация API Bybit — создание ключа и сведения о ключе, объявление OKX.

Если у вас динамический IP (так часто бывает у домашнего интернета), привязка будет ломаться. Бота с привязкой по IP запускают на сервере со статическим адресом. Если ключ нужен стороннему сервису, впишите в белый список адреса этого сервиса из его документации.

3. Отдельный суб-аккаунт

Держите бота на суб-аккаунте и переводите туда только рабочую сумму. Основной баланс тогда ключу недоступен, а убыток от ошибки бота или утечки ограничен этой суммой.

На Bybit ключ суб-аккаунта не может получить право вывода: по документации API оно есть только у ключа основного аккаунта.

4. Где хранить ключ и когда менять

Только на сервере бота. Секрет — в переменных окружения или в менеджере секретов. Не в коде, не в репозитории, не на скриншотах и не в переписке.
Свой ключ вместо системного, где можно. Binance рекомендует ключи Ed25519, а ключи HMAC называет устаревшими. С Ed25519 вы отдаёте бирже только открытый ключ, а запросы подписываете закрытым, который не покидает ваш сервер. Документация Binance
Сторонний сервис — отдельный ключ. Ваш ключ хранится на его серверах. В декабре 2022 года сервис торговых ботов 3Commas подтвердил, что в выложенных в сеть файлах — действующие API-ключи пользователей. Компания попросила биржи отозвать все ключи, связанные с 3Commas, а пользователей — выпустить новые; до этого она объясняла потери пользователей фишингом и заражёнными приложениями. BleepingComputer Давайте такому сервису отдельный ключ с минимальными правами и IP сервиса и удаляйте его, когда перестаёте пользоваться сервисом.
Замена. Меняйте ключи раз в 60–90 дней, неиспользуемые удаляйте. На Bybit ключ без привязки к IP и так перестаёт работать через 90 дней.

5. Стоп-кран

До запуска запишите и один раз проверьте на тестовом ключе:

Как остановить бота: процесс, сервис или кнопку у провайдера.
Где удалить ключ. Удалённым ключом нельзя подписать ни один новый запрос.
Где отменить все открытые ордера и посмотреть позиции в интерфейсе биржи. Уже выставленные ордера проверяйте отдельно.

Если подозреваете утечку: сначала удалите ключ, потом отмените ордера и проверьте позиции и историю аккаунта. Новый ключ — только когда поняли, откуда утёк старый.

Для тех, кто пишет бота сам. На фьючерсах USDⓈ-M у Binance есть автоотмена ордеров (countdownCancelAll). Документация предлагает раз в 30 секунд ставить таймер на 120 секунд: если бот перестал его продлевать, все ордера по инструменту отменяются. Документация Binance Похожая функция Bybit (DCP) по документации доступна только институциональным клиентам. Документация Bybit

Чек-лист перед запуском

Что	Как должно быть
Права	Чтение и торговля; вывода нет
IP	Ключ привязан к серверу бота
Счёт	Суб-аккаунт, на нём только рабочая сумма
Хранение	Не в коде и не в чатах; дата замены записана
Сторонний сервис	Отдельный ключ, IP сервиса; удалить, когда сервис больше не нужен
Стоп-кран	Знаю, где удалить ключ и отменить ордера; проверил на тестовом ключе

Чем этот гайд не является

Это не финансовая рекомендация и не аудит безопасности. Правила бирж меняются: перед созданием ключа сверяйтесь с текущими настройками и документацией своей биржи. Сроки и цифры приведены по источникам на дату проверки.

Источники

Binance — How to Create API Keys on Binance (FAQ, обновлено 20.03.2025)
Binance — API Key Types (документация Spot API)
Binance — Auto-Cancel All Open Orders (USDⓈ-M Futures)
Bybit — Create Sub UID API Key (API v5)
Bybit — Get API Key Information (API v5)
Bybit — Set Disconnect Cancel All (API v5)
OKX — объявление о защите API-ключей (04.01.2023)
BleepingComputer — Crypto platform 3Commas admits hackers stole API keys (29.12.2022)
TechCrunch — Bitcoin price drops 10% as hackers exploit Binance’s API keys (07.03.2018)

Связанное: Перед тем как дать AI-агенту право записи: семь проверок — BitEvo