دسترسی API با مجوز فقط‌خواندنی اجازه می‌دهد یک ابزار موجودی، پوزیشن‌ها و تاریخچه ترید را ببیند، بدون توان ثبت سفارش یا جابه‌جایی وجه؛ مجوز معامله توان باز و بستن پوزیشن را اضافه می‌کند؛ مجوز برداشت توان خارج کردن وجه از صرافی را اضافه می‌کند — و تفاوت این سه، تفاوت بین یک کلید لو رفته که فقط مزاحمت است و یک کلید لو رفته که کل حساب را از بین می‌برد است.

نکات کلیدی

• بیشتر صرافی‌ها مجوزهای کلید API را به کلیدهای جدا تقسیم می‌کنند — خواندن، معامله و برداشت — و یک ابزار باید فقط همان مجوزی را بخواهد که واقعاً به آن نیاز دارد.
• کلید فقط‌خواندنی لو رفته داده حساب را افشا می‌کند اما نمی‌تواند سفارشی ثبت کند یا وجهی جابه‌جا کند؛ کلید با مجوز معامله لو رفته می‌تواند برای باز، بستن یا دستکاری پوزیشن‌ها استفاده شود.
• مجوز برداشت خطرناک‌ترین دسترسی برای دادن به هر ابزار شخص ثالث است، چون اجازه می‌دهد وجه مستقیم از حساب خارج شود.
• ادعای بازاریابی یک ابزار درباره «فقط‌خواندنی بودن» باید در برابر محدوده مجوز واقعی که هنگام ساخت کلید داده شده تأیید شود، نه فرض شود.
• محدودسازی IP، جایی که صرافی از آن پشتیبانی می‌کند، حتی یک کلید لو رفته را در داخل همان محدوده مجوزش بیشتر محدود می‌کند.
• اتصال توبیت DRKN فقط دسترسی فقط‌خواندنی درخواست می‌کند؛ هرگز برای بررسی حساب به مجوز معامله یا برداشت نیاز ندارد.

هر محدوده مجوز واقعاً چه اجازه‌ای می‌دهد

سامانه‌های API صرافی معمولاً سه کلید جدا هنگام ساخت یک کلید نشان می‌دهند. مجوز خواندن اجازه می‌دهد یک اپلیکیشن متصل موجودی، پوزیشن‌های باز و تاریخچه ترید را ببیند — کافی برای بررسی حساب، اما ناکافی برای تغییر هرچیزی. مجوز معامله توان ثبت، تغییر و لغو سفارش را اضافه می‌کند، یعنی یک کلید به‌خطرافتاده با این دسترسی می‌تواند پوزیشن‌های واقعی و ریسک حساب را تغییر دهد. مجوز برداشت توان خارج کردن کامل وجه از صرافی را اضافه می‌کند، مستقل از فعالیت معاملاتی — مستقیم‌ترین مسیر از یک کلید به‌خطرافتاده تا از دست رفتن حساب.

یک مثال عددی: یک لو رفتن، سه نتیجه متفاوت

حساب ۵٬۰۰۰ دلاری و همان کلید API لو رفته را در سه محدوده مجوز متفاوت در نظر بگیرید. با مجوز فقط‌خواندنی، لو رفتن موجودی، پوزیشن‌های باز و تاریخچه ترید را در معرض هرکسی که کلید را به دست آورده قرار می‌دهد — نگرانی حریم خصوصی واقعی، اما وجه و پوزیشن‌ها دقیقاً همان‌طور که بودند باقی می‌مانند، چون کلید نمی‌تواند سفارشی ثبت کند یا چیزی را جابه‌جا کند.

با افزودن مجوز معامله، همان لو رفتن به فرد اجازه می‌دهد پوزیشن جدید باز کند، پوزیشن موجود را ببندد یا معاملات عمداً مخرب ثبت کند — که می‌تواند حساب را به سمت زیان بزرگ یا لیکوییدیشن ببرد حتی وقتی خودِ برداشت غیرفعال است. با افزودن مجوز برداشت روی این، فرد می‌تواند به‌سادگی ۵٬۰۰۰ دلار را مستقیم خارج کند، که هم سریع‌تر و هم کامل‌تر از رسیدن به زیان مشابه فقط از طریق فعالیت معاملاتی است. محدوده مجوز، نه قدرت رمز عبور محافظ حساب صرافی، تعیین می‌کند یک کلید تک لو رفته واقعاً چقدر می‌تواند بد باشد.

اشتباهات رایج در مجوزهای API

• دادن مجوز معامله یا برداشت به ابزاری که فقط نیاز به خواندن داده حساب دارد، اغلب چون همین گزینه پیش‌فرض هنگام ساخت کلید بود.
• فرض درست بودن ادعای «فقط‌خواندنی» یک ابزار بدون بررسی کلیدهای مجوز واقعی که در صفحه مدیریت کلید خودِ صرافی داده شده.
• استفاده نکردن از محدودسازی IP، جایی که صرافی پشتیبانی می‌کند، که حتی یک کلید لو رفته را در داخل همان محدوده بیشتر محدود می‌کرد.
• استفاده مجدد از یک کلید API در چند ابزار مختلف به‌جای صدور کلید جدا برای هر ابزار، تا مشکل یک اتصال بقیه را در معرض قرار ندهد.
• هرگز چرخش یا لغو نکردن کلیدهایی که دیگر فعال استفاده نمی‌شوند و مجوزهای قدیمی را نامحدود فعال نگه می‌دارند.

دو تریدر، یک صرافی

• تریدر — کلیدهای اختصاصی و محدود: کلید فقط‌خواندنی با محدودسازی IP دقیقاً برای ابزارهای بررسی حساب صادر می‌کند و دسترسی با مجوز معامله را فقط برای جلسات دستی مرورگر نگه می‌دارد — نتیجه: یک کلید ابزار بررسی لو رفته فقط داده را افشا می‌کند، بدون توان اثرگذاری روی پوزیشن یا وجه.
• تریدر — یک کلید با همه مجوزها: از یک کلید API واحد با مجوز معامله و برداشت در همه ابزارهای متصل برای راحتی استفاده می‌کند — نتیجه: هر اتصال به‌خطرافتاده می‌تواند کل حساب را تحت تأثیر قرار دهد، صرف‌نظر از اینکه کدام ابزار کلید را لو داده.

این را روی حساب خودتان اجرا کنید: پیش از دادن هر دسترسی، از DRKN بخواهید به شما کمک کند بررسی کنید یک اتصال فقط‌خواندنی چه کاری می‌تواند و نمی‌تواند انجام دهد. اتصال توبیت DRKN فقط از مجوز فقط‌خواندنی روی حساب زنده شما استفاده می‌کند. DRKN فقط راهنمایی آموزشی ریسک ارائه می‌دهد؛ هرگز مجوز معامله یا برداشت درخواست نمی‌کند و سفارشی برای شما ثبت نمی‌کند.

جایگاه بررسی حساب DRKN

اتصال توبیت DRKN دقیقاً به این دلیل دسترسی فقط‌خواندنی درخواست می‌کند که بررسی حساب نیازی به توان ثبت سفارش یا جابه‌جایی وجه ندارد — محدوده مجوز با عملکرد هم‌خوان است. چک‌لیست امنیت کلید API پیش از اتصال به DRKN را برای مراحل عملی تأیید محدوده یک کلید ببینید و چرا ربات‌ها و ابزارهای ریسک به کلیدهای API جدا نیاز دارند را بخوانید تا بدانید چرا یک کلید برای هر ابزار حتی وقتی هر محدوده به‌تنهایی معقول به نظر می‌رسد اهمیت دارد.

پرسش‌های متداول

آیا DRKN هرگز به مجوز معامله نیاز دارد؟

خیر. DRKN داده حساب را بررسی می‌کند و راهنمایی ریسک ارائه می‌دهد؛ سفارشی ثبت، تغییر یا لغو نمی‌کند، پس مجوز فقط‌خواندنی تنها چیزی است که هرگز درخواست یا نیاز دارد.

اگر تصادفاً هنگام اتصال یک ابزار مجوز معامله دادم چه کار کنم؟

بیشتر صرافی‌ها اجازه می‌دهند مجوزهای یک کلید API را بعد از ساخت ویرایش یا لغو کنید. محدوده فعلی کلید را در صفحه مدیریت کلید صرافی بررسی کنید و هر مجوزی که ابزار متصل واقعاً به آن نیاز ندارد را حذف کنید.

آیا یک کلید فقط‌خواندنی هنوز می‌تواند موجودی حساب من را ببیند؟

بله. مجوز فقط‌خواندنی دقیقاً برای اجازه دیدن موجودی، پوزیشن‌ها و تاریخچه ترید طراحی شده — همین دید است که بررسی حساب را بدون دادن توان تغییر هرچیزی ممکن می‌کند.

گام بعدی

اگر هر ابزار شخص ثالثی را به حساب صرافی خود متصل کرده‌اید، همین امروز مجوزهای واقعی داده‌شده به آن را در صفحه مدیریت کلید صرافی بررسی کنید.

منابع

• آکادمی بایننس: کلید API چیست و چطور امن استفاده کنیم
• Coinbase: اجتناب از اشتباهات رایج در دیریواتیو کریپتو

هشدار ریسک: این مقاله آموزشی است و توصیه مالی نیست. سامانه مجوز API بین صرافی‌ها فرق دارد و هیچ محدوده مجوزی تمام ریسک به‌خطر افتادن حساب را حذف نمی‌کند.