Ein Punkt, den man beim Einrichten des API-Schlüssels am leichtesten übersieht: die IP-Whitelist.
Viele lassen aus Bequemlichkeit einfach „alle IPs zulassen“. Das führt dazu, dass man nach einer Schlüssel-Leak nicht merkt, dass das Vermögen leergeräumt wurde. Die richtige Vorgehensweise ist, nur die feste IP deines Servers oder deines eigenen Rechners zu binden; alle anderen IPs sollen den API-Zugriff direkt abweisen.
Außerdem wird die API niemals „nur Abfragen + Handel“ öffnen, auf keinen Fall „Auszahlungen“. Selbst wenn der Schlüssel gestohlen wird, kann höchstens das Transaktionsvolumen missbraucht werden, aber das Vermögen bleibt im Konto. Diese Regel hat mir einmal dabei geholfen, aus einer misslichen Lage zu entkommen: Ein Freund hatte Auszahlungsberechtigungen aktiviert, und sein Konto wurde leergeräumt.
Viele lassen aus Bequemlichkeit einfach „alle IPs zulassen“. Das führt dazu, dass man nach einer Schlüssel-Leak nicht merkt, dass das Vermögen leergeräumt wurde. Die richtige Vorgehensweise ist, nur die feste IP deines Servers oder deines eigenen Rechners zu binden; alle anderen IPs sollen den API-Zugriff direkt abweisen.
Außerdem wird die API niemals „nur Abfragen + Handel“ öffnen, auf keinen Fall „Auszahlungen“. Selbst wenn der Schlüssel gestohlen wird, kann höchstens das Transaktionsvolumen missbraucht werden, aber das Vermögen bleibt im Konto. Diese Regel hat mir einmal dabei geholfen, aus einer misslichen Lage zu entkommen: Ein Freund hatte Auszahlungsberechtigungen aktiviert, und sein Konto wurde leergeräumt.