Файл: faq/docs/getting-started/api-keys.md

Безопасность и управление API-ключами

Безопасность средств пользователя — фундамент архитектуры Algrid. В данном разделе описаны стандарты защиты и рекомендации по безопасному использованию ключей.

Принцип минимальных привилегий

При создании API-ключей всегда руководствуйтесь принципом наименьших необходимых прав:

Разрешение	Статус	Назначение
Read (Чтение)	:white_check_mark: Разрешено	Получение баланса, списка открытых ордеров и стакана
Spot Trading (Торговля)	:white_check_mark: Разрешено	Выставление и отмена лимитных ордеров сетки
Futures Trading (Фьючерсы)	:warning: Опционально	Только если используется фьючерсный сеточный модуль
Withdraw (Вывод средств)	:no_entry_sign: ЗАПРЕЩЕНО	Никогда не включайте это право для торговых ботов
Transfer (Переводы между субсчетами)	:no_entry_sign: ЗАПРЕЩЕНО	Не требуется для работы Algrid

IP Whitelist (Привязка к IP-адресу)

Если ваш инстанс Algrid развернут на фиксированном VPS-сервере: 1. Узнайте постоянный внешний IP-адрес вашего сервера (curl ifconfig.me). 2. В настройках API биржи включите ограничение по IP (Only trusted IPs). 3. Добавьте ваш IP-адрес в список разрешенных.

Это гарантирует, что даже в случае теоретической утечки секретного ключа никто не сможет выполнить запросы с посторонних адресов.

Как Algrid хранит ключи

Криптографическое разделение: В базе данных хранятся зашифрованные токены. Мастер-ключ шифрования генерируется и сохраняется изолированно в файле .env на сервере.
Отсутствие передачи третьим лицам: Торговые запросы идут напрямую с вашего сервера на официальные эндпоинты биржи (Bybit, Binance, OKX). Никакие промежуточные прокси-сервера не используются.