Безопасно ли давать роботу API-ключи

Вопрос правильный, и ответ на него не «доверьтесь нам», а конкретный механизм: что ключ позволяет сделать, что запрещает и почему запрет работает даже против того, кто ключ украл.

Обновлено 30 октября 2026

Короткий ответ

Дальше — почему это так, а не просто обещание.

Что такое API-ключ и какие у него права

API-ключ — это способ разрешить программе действовать от вашего имени, не давая ей пароль от аккаунта. Ключ состоит из открытой части (API Key) и секретной (Secret Key); на OKX добавляется третья — Passphrase, которую вы придумываете сами.

Главное в ключе — не он сам, а набор прав, который вы отмечаете галочками при создании. Права независимы, и биржа проверяет их при каждом запросе.

Почему без права вывода деньги увести нельзя

Проверка прав происходит на стороне биржи, а не внутри программы. Когда приходит запрос на вывод, биржа смотрит, разрешён ли вывод этому ключу. Если нет — запрос отклоняется с ошибкой, и никакая хитрость в коде программы этого не изменит: у неё просто нет способа заставить биржу согласиться.

Отсюда следует важное: защищает вас не репутация разработчика, а настройка, которую вы сделали сами и можете проверить в кабинете биржи в любую минуту. Это и есть правильная модель доверия — не верить на слово, а ограничить возможности.

Где хранятся ключи у наших роботов

• Ключи лежат в настройках программы на вашем компьютере и используются только для обращений к бирже.
• На наши серверы они не отправляются — ни при запуске, ни при проверке лицензии.
• Сами ключи на сервер лицензий не уходят. Лицензия привязана к аккаунту биржи (UID), на который выданы ключи. Робот узнаёт этот номер у биржи обычным запросом на чтение и отправляет серверу только его. Ни API Key, ни Secret сервер не получает.

Это легко проверить: отключите интернет у сервера лицензий — робот продолжит торговать. И наоборот, смена API-ключа не требует переоформления лицензии.

Как создать ключ правильно

1. Зайдите в раздел управления API в кабинете своей биржи — Binance, Bybit или OKX.
2. Создайте новый ключ отдельно для робота. Не используйте ключ, который уже где-то применяется: отозвать его потом будет означать сломать и то, другое.
3. Отметьте права на чтение и на торговлю тем рынком, который вам нужен — спот или фьючерсы.
4. Убедитесь, что вывод средств не отмечен. Это главный пункт, проверьте дважды.
5. Скопируйте Secret Key сразу: большинство бирж показывают его один раз и больше никогда.
6. Вставьте обе части в «Настройки подключения» робота и нажмите «Сохранить», затем «Подключить» на главном окне.

Если подключение не удалось, чаще всего дело в одном из трёх: не отмечено право на торговлю нужным рынком, ключ скопирован с лишним пробелом, или на OKX не заполнена Passphrase.

Привязка к IP-адресу: кому нужна

Биржи позволяют разрешить работу ключа только с определённых IP-адресов. Это сильная дополнительная защита: украденный ключ не сработает с чужого адреса.

Есть нюанс. Привязка удобна, если робот работает на сервере с постоянным адресом. На домашнем интернете адрес обычно меняется — после смены ключ перестаёт работать, и робот останавливается в самый неподходящий момент. Если не готовы это отслеживать, спокойнее обойтись без привязки: запрет вывода и так закрывает главный риск.

Если ключ всё-таки утёк

1. Удалите ключ в кабинете биржи. Он перестанет действовать немедленно — это самое быстрое и надёжное действие.
2. Создайте новый и впишите его в робота.
3. Проверьте историю ордеров: если у ключа была только торговля, худшее, что мог сделать посторонний, — наторговать на вашем счёте. Деньги при этом остаются на бирже.

Не откладывайте первый шаг ради разбирательств. Сначала отозвать, потом выяснять.

Чего стоит опасаться на самом деле

Риск в этой области почти никогда не связан с правами ключа — он связан с тем, кому вы ключ показали.

• Ключ в переписке. Никогда не отправляйте Secret Key в чат, в группу, в поддержку — никому. Нормальная поддержка его не просит. Наша — тоже.
• Скриншоты. Перед отправкой картинки с окном настроек убедитесь, что поля ключей не попали в кадр.
• Поддельные сайты и сборки. Скачивайте робота только по ссылке с этого сайта или из нашего бота. Программа «с форума» может выглядеть так же и при этом отправлять ваши ключи куда угодно.
• «Менеджеры», обещающие доход. Если кто-то предлагает «поторговать за вас» и просит ключ с правом вывода — это не торговля, это кража.