API Key (klucz API) to para danych dostępowych, dzięki której zewnętrzny program – bot, arkusz, aplikacja do śledzenia portfela albo platforma do analizy – łączy się z Twoim kontem na giełdzie lub u brokera bez logowania przez stronę. Składa się zwykle z dwóch części: API Key, który identyfikuje konto, i Secret Key, którym program podpisuje każde zapytanie. Ogólnie o interfejsach programistycznych przeczytasz w haśle API – tutaj chodzi o klucz, czyli praktyczną i najbardziej ryzykowną część.
Klucz API działa jak pełnomocnictwo. Kto ma oba elementy pary, może wykonywać na koncie wszystko, na co pozwalają nadane uprawnienia – bez hasła, bez kodu 2FA i bez potwierdzenia e-mailem.
Z czego składa się klucz API
| Element | Rola | Czy jest tajny |
|---|---|---|
| API Key (public key) | identyfikuje konto i klucz | częściowo – sam niewiele daje, ale nie publikuj go |
| Secret Key | służy do podpisywania zapytań | tak – giełda pokazuje go zwykle tylko raz, przy tworzeniu |
| Passphrase (na części giełd) | dodatkowe hasło do klucza | tak |
| Uprawnienia | określają, co klucz może zrobić | ustawiasz je sam |
| Whitelist IP | lista adresów, z których klucz działa | ustawiasz je sam |
Uprawnienia – najważniejsza decyzja
Przy tworzeniu klucza wybierasz, co wolno programowi. Typowe poziomy to:
- Tylko odczyt (read-only) – podgląd sald, historii i otwartych pozycji. Wystarcza do trackerów portfela, arkuszy i programów do rozliczeń podatkowych.
- Handel (trade) – składanie i anulowanie zleceń na spocie lub derywatach. Potrzebny botom i narzędziom do automatycznego wykonywania sygnałów.
- Wypłaty (withdraw) – przelewy środków poza giełdę. Prawie żadne narzędzie tradingowe tego nie potrzebuje.
- Przelewy wewnętrzne – między kontami głównymi, subkontami i portfelami na giełdzie.
Zasada jest prosta: nadawaj minimum uprawnień potrzebnych do zadania. Klucz do trackera portfela ma być tylko do odczytu. Klucz dla bota – tylko do handlu. Uprawnienia do wypłat nie włączaj praktycznie nigdy, a jeśli już musisz, to wyłącznie z whitelistą IP i whitelistą adresów wypłat.
Jak klucze API wyciekają
- Serwis zewnętrzny, któremu dałeś klucz, zostaje zhakowany i wyciekają klucze wszystkich użytkowników.
- Klucz trafia do publicznego repozytorium kodu, zrzutu ekranu, nagrania albo wiadomości na czacie.
- Złośliwe oprogramowanie na komputerze kradnie pliki konfiguracyjne bota.
- Fałszywy „bot z gwarantowanym zyskiem” albo „darmowe narzędzie” prosi o klucz z uprawnieniami do handlu lub wypłat.
- Oszust podaje się za support i prosi o klucz „do weryfikacji konta”.
Klucz z uprawnieniem do handlu też jest niebezpieczny, nawet bez wypłat. Znanym schematem jest użycie cudzych kont do kupowania mało płynnego tokena po zawyżonej cenie – atakujący wcześniej kupuje ten token taniej i sprzedaje go Twojemu kontu. Środki nie wychodzą z giełdy, ale zamieniasz je na coś, co po chwili jest warte ułamek ceny.
Przykład 1: ile możesz stracić przy wycieku klucza
Załóżmy, że masz na koncie głównym 20 000 USDT i podpinasz bota kluczem z uprawnieniem do handlu. Klucz wycieka razem z bazą danych serwisu, w którym uruchamiałeś bota. Atakujący może zamienić całe saldo na mało płynny token. Jeśli po takiej operacji token jest wart 10% ceny zakupu, zostaje Ci około 2 000 USDT – strata około 18 000 USDT.
Ten sam bot uruchomiony na subkoncie, na które przelałeś tylko 3 000 USDT, ogranicza możliwą stratę do około 2 700 USDT. Główne saldo jest poza zasięgiem klucza. Jeśli dodatkowo ustawisz whitelistę IP, a atakujący nie zna adresu Twojego serwera, klucz jest dla niego bezużyteczny – zapytania z innego adresu giełda odrzuci.
Przykład 2: jak dobrać ustawienia do narzędzia
| Narzędzie | Uprawnienia | Whitelist IP | Gdzie podpiąć |
|---|---|---|---|
| Tracker portfela, arkusz | tylko odczyt | jeśli serwis podaje stałe adresy | konto główne |
| Program do rozliczenia podatku | tylko odczyt | jak wyżej | konto główne |
| Własny bot na serwerze | handel | tak – adres serwera | osobne subkonto |
| Bot w zewnętrznym serwisie | handel | adresy podane przez serwis | osobne subkonto z limitowanym kapitałem |
| Automatyczne wypłaty | wypłaty | obowiązkowo | tylko z whitelistą adresów wypłat |
Na części zdecentralizowanych giełd kontraktów działa podobny mechanizm pod inną nazwą – osobny portfel API (agent), który może składać zlecenia, ale nie może wypłacać środków. Tak jest np. na Hyperliquid, opisanym w recenzji Hyperliquid.
Jak zabezpieczyć klucze API
- Twórz osobny klucz dla każdego narzędzia – łatwiej go wyłączyć i sprawdzić, skąd był wyciek.
- Nadawaj nazwy kluczom, żeby wiedzieć, do czego służy każdy z nich.
- Włącz whitelistę IP wszędzie, gdzie to możliwe. Na części giełd klucz bez whitelisty wygasa po określonym czasie – to rozsądne zabezpieczenie.
- Trzymaj Secret Key w menedżerze haseł albo w zmiennych środowiskowych serwera, nie w kodzie ani w notatkach.
- Usuwaj klucze, których nie używasz, i regularnie przeglądaj listę aktywnych kluczy.
- Po każdym podejrzeniu wycieku natychmiast usuń klucz – nowy wygenerujesz w minutę.
- Nie podawaj kluczy nikomu, kto obiecuje zyski, „odblokowanie konta” albo „weryfikację”.
Najczęstsze błędy
- Włączanie wszystkich uprawnień „na wszelki wypadek”.
- Jeden klucz dla kilku narzędzi.
- Podpinanie bota do konta głównego z całym kapitałem.
- Klucze bez whitelisty IP, działające latami.
- Wklejanie klucza do kodu, który potem trafia do publicznego repozytorium.
- Traktowanie klucza „tylko do handlu” jako bezpiecznego.
Perspektywa tradera
Klucz API to część zarządzania ryzykiem, a nie tylko techniczny szczegół. Bot podpięty kluczem to pozycja, której nie pilnujesz na bieżąco – błąd w kodzie, zerwane połączenie albo zbyt szeroki zakres handlu może zamknąć lub otworzyć pozycje w złym momencie. Dlatego boty najlepiej uruchamiać na subkontach z kapitałem, którego utratę wkalkulowałeś w plan, i z twardymi limitami wielkości pozycji. Wielkość pojedynczej pozycji i ryzyko na transakcję policzysz w kalkulatorze wielkości pozycji.
Najczęstsze pytania
Czym różni się API Key od Secret Key?
API Key identyfikuje konto i klucz, a Secret Key służy do podpisywania zapytań. Program potrzebuje obu. Secret Key giełda zwykle pokazuje tylko raz – jeśli go zgubisz, usuwasz klucz i tworzysz nowy.
Czy klucz API tylko do odczytu jest bezpieczny?
Nie pozwala handlować ani wypłacać, ale ujawnia salda, historię transakcji i pozycje. Takie dane mogą posłużyć do dopasowania oszustwa lub szantażu, więc też je chroń.
Czy klucz z uprawnieniem do handlu może doprowadzić do utraty środków?
Tak. Bez wypłat nikt nie przeleje środków poza giełdę, ale może zamienić je na mało płynny token po zawyżonej cenie albo otworzyć stratne pozycje z dźwignią.
Co zrobić, jeśli klucz API wyciekł?
Natychmiast usuń go na giełdzie, sprawdź historię zleceń i wypłat, zmień hasło i 2FA, a jeśli widzisz nieautoryzowane transakcje – skontaktuj się z supportem giełdy i zgłoś sprawę.
Czy każda giełda wymaga whitelisty IP?
Nie, ale wiele giełd ją oferuje, a część ogranicza czas ważności kluczy bez whitelisty. Jeśli narzędzie podaje stałe adresy IP, zawsze je dodaj.
Tekst ma charakter edukacyjny i nie stanowi rekomendacji inwestycyjnej.
