کلید API بدون دسترسی برداشت؛ چرا پولت از حسابت بیرون نمی‌رود

اولین سؤالِ هر کسی که می‌خواهد یک سرویسِ معاملهٔ خودکار را به حسابِ صرافی‌اش وصل کند این است: «اگر کلید را بدهم، کسی می‌تواند پولم را ببرد؟» جوابِ کوتاه این است که اگر کلید را بدونِ دسترسیِ برداشت بسازی، نه. در این مطلب می‌بینی کلید API دقیقاً چه کاری می‌کند، چه چیزی را باز می‌گذارد و چه چیزی را نه.

کلید API چیست

API راهی است که یک نرم‌افزار بدونِ ورود به سایت با حسابِ صرافیِ تو حرف بزند. به‌جای نام کاربری و رمز، صرافی دو رشته به تو می‌دهد: کلید API (شبیهِ نامِ کاربری) و کلید محرمانه (شبیهِ رمز). هر سرویسی که این دو را داشته باشد، فقط همان کارهایی را می‌تواند بکند که موقعِ ساختنِ کلید اجازه داده‌ای.

نکتهٔ مهم همین «فقط» است. کلید API رمزِ ورودِ تو نیست. با آن نمی‌شود واردِ حساب شد، رمز را عوض کرد، تأییدِ دومرحله‌ای را برداشت یا نشانیِ برداشتِ تازه اضافه کرد.

سه سطحِ دسترسی

تقریباً همهٔ صرافی‌ها موقعِ ساختنِ کلید سه گزینه نشان می‌دهند. نامشان در هر صرافی کمی فرق دارد، ولی معنا یکی است:

سرویسِ معاملهٔ خودکار فقط باید بتواند موجودی را ببیند و سفارش بگذارد. هیچ دلیلی ندارد دارایی را از حسابت بیرون ببرد. پس اگر سرویسی برای کار کردن دسترسیِ برداشت خواست، همین یک نشانه برای کنار گذاشتنش کافی است.

چرا پول در حسابِ خودت می‌ماند

وقتی کلید فقط دسترسیِ خواندن و معامله دارد، همهٔ کارها داخلِ حسابِ خودت انجام می‌شود. تتر به بیت‌کوین تبدیل می‌شود، بیت‌کوین دوباره به تتر، ولی هر دو در همان حساب و به نامِ خودت می‌مانند.

در موتوتریدر هم همین‌طور است. سرمایه هیچ‌وقت به حسابِ ما نمی‌آید و ما به برداشت دسترسی نداریم. هر وقت بخواهی می‌توانی واردِ صرافی شوی و دارایی‌ات را همان‌جا ببینی.

IPِ مجاز؛ قفلِ دوم

بیشترِ صرافی‌ها اجازه می‌دهند کلید را به یک یا چند IP گره بزنی. IP نشانیِ اینترنتیِ سروری است که با کلید کار می‌کند. وقتی IP را مجاز کنی، صرافی درخواستی را که از جای دیگری بیاید رد می‌کند، حتی اگر کلید درست باشد.

یعنی اگر روزی کلیدت به هر دلیلی لو برود، کسی بیرون از آن سرور نمی‌تواند با آن کاری بکند. این کار یک دقیقه وقت می‌گیرد و امنیت را چند برابر می‌کند. سرویسی که نشانیِ IPِ سرورش را به تو نمی‌دهد، این قفل را از تو گرفته است.

پس هیچ خطری نمی‌ماند؟

صادقانه بگوییم: کلیدِ بدونِ برداشت جلوی بردنِ پول را می‌گیرد، ولی هیچ روشی بدون ریسک نیست. دو چیز را باید بدانی:

• معاملهٔ بد هنوز ممکن است. کسی که کلیدِ معامله دارد می‌تواند خرید و فروشِ زیان‌ده بکند. برای همین کلید را فقط به سرویسی بده که می‌شناسی، و IP را مجاز کن تا کلیدِ لورفته به کارِ کسِ دیگری نیاید.
• خودِ بازار ریسک دارد. معاملهٔ خودکار ریسکِ بازار را از بین نمی‌برد. قیمت‌ها پایین هم می‌آیند و هیچ نرم‌افزاری نمی‌تواند سود را تضمین کند.

چک‌لیستِ پیش از وصل‌کردن

1. کلیدِ تازه بساز و برای هر سرویس کلیدِ جدا داشته باش.
2. فقط «خواندن» و «معامله» را فعال کن.
3. IPِ سرورِ سرویس را در تنظیماتِ کلید مجاز کن.
4. کلیدِ محرمانه را جایی ننویس و برای کسی نفرست. صرافی آن را فقط یک بار نشان می‌دهد.
5. هر وقت سرویسی را کنار گذاشتی، کلیدش را از صرافی پاک کن.

سؤال‌های رایج

اگر کلید را پاک کنم، چه می‌شود؟

سرویس دیگر نمی‌تواند سفارش بگذارد. دارایی‌ات همان‌طور که هست در حساب می‌ماند و چیزی از آن کم نمی‌شود.

کلیدِ محرمانه را گم کرده‌ام. چه کنم؟

صرافی کلیدِ محرمانه را دوباره نشان نمی‌دهد. کلیدِ قبلی را پاک کن و یک کلیدِ تازه با همان دسترسی‌ها بساز.

چرا صرافی موقعِ ساختنِ کلید تأییدِ دومرحله‌ای می‌خواهد؟

چون ساختنِ کلید کارِ حساسی است. همین تأیید مطمئن می‌شود که خودت آن را ساخته‌ای، نه کسی که فقط رمزت را دارد.

این مطلب آموزشی است و توصیهٔ مالی نیست. معامله در بازارِ ارز دیجیتال ریسک دارد و ممکن است بخشی از سرمایه از دست برود. عملکردِ گذشته تضمینِ آینده نیست و تصمیمِ نهایی با خودِ توست.