Политика безопасности

1. Обращение с биржевыми реквизитами

API-ключ биржи предоставляет те права, которые вы включили на бирже. Доступ к чтению и торговле позволяет раскрывать сведения о счёте и изменять позиции, даже когда вывод средств отключён.

• Хранение реквизитов: сохранённые биржевые ключи, секреты и необходимые парольные фразы управляются через HashiCorp Vault.
• Доступ для исполнения: сервер выдаёт сервисам исполнения временные обёрнутые реквизиты для использования в настроенных сессиях и стратегиях.
• Доступ к аккаунту: биржевые подключения связаны с вашим аккаунтом Decoded. Защищайте учётную запись для входа наряду с подключаемыми биржевыми ключами.

2. Сетевая безопасность и разрешённые IP-адреса

Перед настройкой доступа к API биржи изучите актуальные инструкции по подключению:

• Ограничения по IP: если биржа поддерживает список разрешённых IP-адресов, используйте адреса серверов из актуальных инструкций Decoded. Проверьте их перед сохранением ключа. Ограничения по IP сокращают число мест, откуда можно использовать ключ; они не отменяют его торговые права и не гарантируют защиту от компрометации.
• Проверка подключения: используйте официальные HTTPS-сайты консоли и биржи. Не отправляйте API-секреты по электронной почте, в чатах или на скриншотах.

3. Рекомендуемые настройки безопасности API

Настраивайте каждый ключ под сервис и рынок, которыми собираетесь пользоваться:

• Без права вывода средств: Decoded не требует возможности вывода. Никогда не включайте «Enable Withdrawals» для своего API-ключа биржи.
• Разрешения рынков: Trade Copier требует права чтения и торговли для поддерживаемого фьючерсного рынка. Разрешения Security Strategy зависят от выбранного продукта Binance, например Spot, Margin, USD-M или COIN-M. Включайте только права, необходимые для вашей конфигурации.
• Жизненный цикл ключа: проверяйте актуальные правила биржи о сроке действия и доступе. Регулярно проверяйте ключи; отзывайте или заменяйте те, которые больше не используете либо считаете раскрытыми.

4. Прекращение доступа и проверка ордеров

Чтобы ключ больше не мог авторизовывать запросы к API, отзовите его на бирже. Удаление подключения в Decoded и отзыв ключа на бирже — разные действия. Проверьте работающие сессии и стратегии, открытые ордера и позиции: отзыв доступа к API сам по себе не отменяет размещённые биржевые ордера и не закрывает позиции.

5. Сообщения об уязвимостях

Сообщайте о предполагаемых уязвимостях на security@decodedtrading.com. Укажите затронутую функцию, время и шаги воспроизведения, не добавляя API-ключи, секреты или персональные данные других пользователей. Если ключ мог быть раскрыт, отзовите его на бирже, пока обращение рассматривается.