API-ключ действует как техническая учётная запись. Относитесь к нему как к паролю с узкими полномочиями и отзывайте доступ, когда он больше не нужен.
Принцип минимальных прав
- Никогда не включайте вывод средств.
- Разрешайте только нужные типы рынка.
- Создавайте отдельный ключ для каждого сервиса.
- Используйте IP-ограничение, если оно доступно.
Не раскрывайте секрет
Не пересылайте ключи в чатах, письмах и скриншотах. Никогда не помещайте Secret Key во frontend-код или публичный репозиторий. Формы ELIXOAI должны передавать данные только по HTTPS.
Если ключ мог быть раскрыт
Немедленно отзовите его на бирже, создайте новый и проверьте недавнюю активность аккаунта.
Проверяйте и обновляйте
- Проверяйте каждый месяц Просматривайте активные ключи и удаляйте неиспользуемые интеграции.
- Обновляйте без простоя Сначала создайте и проверьте новый ключ, затем отзовите старый.
- Следите за активностью Включите уведомления биржи о входах, изменениях API и сделках.