با یک کلید API یک ابزار پیگیری سبد دارایی یا یک ربات معاملهگری کوچک را به حساب صرافی خود وصل کردهاید و چند هفته بیدردسر کار کرده است. یک روز صبح گزارش ربات پر میشود از پیامی مانند «Invalid API-key, IP, or permissions for action» (کلید API، IP یا مجوزهای این عملیات نامعتبر است) و ابزار پیگیری هیچ چیزی نشان نمیدهد. شما به کلید دست نزدهاید. آنچه عوض شده نشانیای است که رایانه شما از آن به اینترنت میرود: مودم شب دوباره وصل شده، ارائهدهنده اینترنت نشانی تازهای به شما داده و صرافی کلید را فقط از همان نشانیای میپذیرد که به او داده بودید.
این نوشته برای معاملهگران شخصی و کسانی است که بهعنوان سرگرمی با ربات کار میکنند. توضیح میدهیم لیست سفید IP روی کلید API صرافی چیست، چرا صرافیها شما را به استفاده از آن تشویق میکنند، کدام نشانی را باید اضافه کنید و چرا اتصال خانگی مدام آن را از کار میاندازد. منابع ممکن برای یک نشانی ثابت را مقایسه میکنیم، مجوزهای کلید را که از هر نشانیای مهمترند مرور میکنیم و در پایان با یک بررسی کوتاه نشانیای را که ربات شما واقعاً از آن بیرون میرود پیدا میکنیم.
لیست سفید IP روی کلید API صرافی چیست؟
کلید API یک جفت رشته بلند است، یک کلید و یک رمز محرمانه (secret)، که به یک برنامه اجازه میدهد بدون رمز عبور شما روی حساب صرافی کار کند. ربات معاملهگری، ابزار محاسبه مالیات یا اپ سبد دارایی با آن موجودی شما را میخواند و اگر اجازه دهید سفارش ثبت میکند.
لیست سفید IP فهرستی از نشانیهای اینترنتی است که به همان کلید وصل شده است. وقتی درخواستی میرسد، صرافی اول به نشانی مبدأ آن نگاه میکند. اگر نشانی در فهرست نباشد، درخواست حتی با کلید درست رد میشود. نسخهای از کلید که به دست کس دیگری افتاده باشد از نشانی او به کاری نمیآید.
نشانیای که اهمیت دارد نشانی IP عمومی شماست، همان نشانیای که بقیه اینترنت میبیند. نشانی 192.168.x.x که در تنظیمات شبکه رایانهتان میبینید فقط داخل شبکه خانگی معتبر است و نمیتوان آن را در لیست سفید گذاشت.
چرا صرافیها میخواهند کلید API را به یک IP ببندید؟
کلیدهای API نشت میکنند: در یک فایل تنظیمات که در انجمنی به اشتراک گذاشته شده، در یک اسکرینشات یا از طریق ابزار شخص ثالثی که بعدها هک میشود. کلیدی که مجوز معامله دارد و محدودیت نشانی ندارد از هر جایی قابل استفاده است.
صرافیها کنار گذاشتن این محدودیت را سختتر کردهاند. طبق راهنمای ساخت کلید API در Binance، کلیدی که با دسترسی «Unrestricted» (بدون محدودیت) ساخته شود جز خواندن هیچ مجوزی نمیگیرد و پیش از روشن کردن مجوز برداشت، محدودیت IPv4 الزامی است. راهنمای ساخت کلید API در Kraken لیست سفید IP را قابلیتی معرفی میکند که استفاده از کلید را به نشانیهای مشخصی در سمت کاربر محدود میکند، در کنار تنظیماتی مانند تاریخ انقضای کلید.
قواعد از صرافی به صرافی فرق میکند و تغییر میکند؛ اول صفحه راهنمای صرافی خودتان را بخوانید.
این بررسی چگونه انجام میشود؟
- ربات شما اتصالی باز میکند به سرور API صرافی، از طریق HTTPS.
- صرافی نشانی مبدأ را میبیند. این نشانی متعلق به آخرین دستگاه پیش از اینترنت است: مودم شما، VPS شما یا یک پروکسی.
- نشانی را با فهرست کلید مقایسه میکند. اگر یکی نباشد درخواست رد میشود و در حساب شما چیزی تغییر نمیکند.
- اگر یکی باشد امضا و مجوزها را بررسی میکند. درخواست معامله با کلیدی که فقط مجوز خواندن دارد در این مرحله باز هم رد میشود.
- درخواست اجرا میشود. سفارش ثبت میشود یا موجودی برگردانده میشود.
نشانی درست هیچوقت مجوزی به کلید اضافه نمیکند و نشانی نادرست حتی جلوی یک درخواست خواندن ساده را میگیرد.
کدام نشانی IP را باید در لیست سفید بگذارید؟
نشانی باید همان باشد که ربات شما واقعاً از آن بیرون میرود و باید ثابت بماند. جدول زیر گزینههای رایج را مقایسه میکند.
| ترافیک ربات از کجا بیرون میرود | آیا نشانی ثابت میماند؟ | مناسب بودن برای لیست سفید API |
|---|---|---|
| خط خانگی معمولی | اغلب با راهاندازی دوباره مودم عوض میشود | ضعیف؛ کلید هر بار از کار میافتد |
| خط خانگی پشت CGNAT | عوض میشود و با مشترکان دیگر مشترک است | نامناسب؛ افراد ناشناس از همان نشانی بیرون میروند |
| خط خانگی با IP ثابت از ارائهدهنده اینترنت | بله | خوب، اگر ارائهدهنده شما آن را عرضه کند |
| VPS یا سرور ابری با IP رزروشده | بله، تا وقتی سرور را نگه دارید | خوب؛ ربات حتی با خاموش بودن رایانه شما کار میکند |
| نشانی پروکسی استاتیک ISP، دیتاسنتر یا IPv4 | بله، تا وقتی آن را واگذار نکنید اختصاصی شماست | خوب برای رباتی روی خط خانگی پویا |
| پروکسی مسکونی چرخشی | نه، طبق طراحی عوض میشود | نامناسب |
| اپ VPN مصرفی | معمولاً عوض میشود و میان کاربران زیادی مشترک است | نامناسب |
پروکسی مسکونی چرخشی نقطه خروجش را عمداً عوض میکند، یعنی درست برعکس چیزی که لیست سفید لازم دارد.
IP خروجی خود را چگونه پیدا کنید؟
- روی همان دستگاهی اندازه بگیرید که ربات را اجرا میکند. اگر ربات روی VPS اجرا میشود، آنجا اندازه بگیرید، نه روی لپتاپ.
- یک صفحه «IP من چیست» را در مرورگر باز کنید. روی سرور، از فرمان بخش پیشرفته در پایین همین نوشته استفاده کنید.
- مطمئن شوید نشانی IPv4 است. نشانی IPv4 شبیه
203.0.113.10است؛ نشانی IPv6 بلندتر است و دونقطه دارد. Binance قالب IPv4 را میخواهد. - بعداً دوباره اندازه بگیرید. مودم را دوباره راهاندازی کنید، یک روز صبر کنید و باز بررسی کنید. اگر نشانی عوض شده باشد، خط شما پویاست.
- با روتر مقایسه کنید. اگر نشانی WAN در صفحه وضعیت روتر با نشانیای که صفحه نمایش IP نشان میدهد فرق داشته باشد، احتمالاً پشت CGNAT هستید؛ نوشته CGNAT چیست، چگونه تشخیص دهیم و چطور از آن خارج شویم؟ روش تشخیص را توضیح میدهد.
چگونه محدودیت IP را به کلید API اضافه کنید؟
صفحهها فرق میکنند اما مراحل یکی است. در نسخه وب Binance با رابط انگلیسی مسیر Account > API Management > Create API است (حساب، مدیریت API، ساخت API)؛ در صرافیهای دیگر در منوی حساب یا امنیت دنبال «API keys» یا «مدیریت API» بگردید.
- یک کلید تازه بسازید با نامی که آن را بشناسید، مثلاً نام ربات.
- مجوزها را انتخاب کنید. برای ابزار پیگیری فقط خواندن؛ برای ربات معاملهگری خواندن و معامله اسپات.
- تنظیم دسترسی IP را پیدا کنید و آن را از «Unrestricted» (بدون محدودیت) به محدود کردن دسترسی به IPهای مورد اعتماد تغییر دهید.
- نشانی خود را وارد کنید با قالب IPv4. اگر ربات سرور پشتیبان دارد، نشانی آن را هم اضافه کنید.
- با احراز هویت دوعاملی تأیید کنید و ذخیره کنید. رمز محرمانه معمولاً فقط یک بار نمایش داده میشود؛ آن را در یک مدیر رمز عبور نگه دارید.
- کلید را در ابزار وارد کنید و پیش از اینکه اجازه معامله بدهید، یک آزمایش فقطخواندنی مانند گرفتن موجودی انجام دهید.
وقتی ربات را جابهجا میکنید، اول نشانی تازه را اضافه کنید، مطمئن شوید ربات از آن کار میکند و بعد نشانی قدیمی را حذف کنید.
چرا با تغییر IP خانگی کلید از کار میافتد؟
بیشتر خطهای خانگی IP پویا دارند: ارائهدهنده اینترنت نشانیای را از یک مخزن به شما امانت میدهد و ممکن است با وصل شدن دوباره مودم نشانی دیگری بدهد. صرافی هنوز نشانی قدیمی را نگه داشته است، پس هر درخواستی از نشانی تازه شکست میخورد. تفاوت این دو در نوشته تفاوت IP ثابت و IP پویا چیست و هرکدام چه کاربردی دارد؟ آمده است.
برخی ارائهدهندگان تعداد زیادی از مشترکان را پشت یک نشانی عمومی مشترک قرار میدهند. این CGNAT است: نشانی فقط مال شما نیست و ممکن است در اتصال بعدی عوض شود. گذاشتن آن در لیست سفید کلید شما را به روی همه کاربران دیگر آن مخزن باز میکند.
یک اپ VPN، هاتاسپات گوشی یا یک روتر تازه هم میتواند بیصدا نشانی را عوض کند. پیش از تغییر کلید دوباره اندازه بگیرید.
مجوزها از نشانی مهمترند
لیست سفید اگر کلید نشت کند آسیب را کمتر میکند؛ مجوزها تعیین میکنند این آسیب چقدر میتواند بزرگ باشد.
- برداشت را خاموش بگذارید. ابزار پیگیری یا ربات معاملهگری نیازی ندارد رمزارز را از صرافی بیرون ببرد. وقتی برداشت خاموش است، کلید دزدیدهشده نمیتواند دارایی شما را به کیف پول کس دیگری بفرستد.
- برای ابزار پیگیری و محاسبه مالیات از کلید فقطخواندنی استفاده کنید. آنها فقط باید موجودی و سابقه را ببینند.
- برای هر ابزار یک کلید. اگر یک ابزار هک شود، فقط یک کلید را حذف میکنید.
- اگر صرافی تاریخ انقضا دارد آن را تنظیم کنید و کلیدهایی را که دیگر استفاده نمیکنید حذف کنید.
صفحه امنیت کلید API در Kraken همین توصیه را دارد: کلید را با کمترین مجوز لازم بسازید و مانند رمز عبور از آن نگهداری کنید.
داشتن نشانی ثابت برای رباتی که در خانه اجرا میشود
از ارائهدهنده اینترنت IP ثابت بخواهید. بسیاری از ارائهدهندگان آن را بهعنوان سرویس جانبی عرضه میکنند. چیز تازهای وارد مسیر نمیشود، اما نشانی فقط روی همان خط کار میکند.
ربات را به یک VPS منتقل کنید. یک سرور مجازی کوچک با نشانی رزروشده شب و روز بدون رایانه شما کار میکند. برای رباتی که خودش معامله میکند، این معمولاً تمیزترین چیدمان است.
ترافیک ربات را از یک نشانی پروکسی استاتیک عبور دهید. ربات روی رایانه شما میماند و ترافیکش از نشانیای بیرون میرود که اختصاصی شماست. در Proxynet این گزینه پروکسی ISP است، یا یک نشانی پروکسی دیتاسنتر یا پروکسی IPv4؛ هرکدام تا وقتی آن را واگذار نکنید مال شما میماند. این نشانیها برای سایتی تحویل داده میشوند که هنگام سفارش نام میبرید؛ پس دامنه API صرافی را بهعنوان مقصد انتخاب کنید یا گزینه «دسترسی به همه وبسایتها» را اضافه کنید.
پروکسی یک طرف سوم را وارد مسیر میکند، هرچند HTTPS کلید و سفارشهای شما را داخل تونل رمزگذاریشده نگه میدارد. مزایا و معایب، و اینکه چرا یکپارچهسازیهای پرداخت باید از خط یا سرور خودتان استفاده کنند، در نوشته IP ثابت برای API: خطای مجوز IP چگونه رفع میشود؟ آمده است.
لیست سفید IP برای چه کاری نیست
محدودیت نشانی از کلید خود شما محافظت میکند. راهی برای عوض کردن کشوری نیست که صرافی فکر میکند در آن هستید.
صرافیها هویت شما را با بررسیهای KYC (شناخت مشتری؛ از عبارت انگلیسی know your customer) تأیید میکنند و حساب شما را به کشوری گره میزنند که در آن احراز هویت کردهاید. برای نمونه شرایط استفاده Binance استفاده از VPN برای تغییر نشانی IP بهمنظور دور زدن محدودیتهای مکانی آن را ممنوع میکند. دسترسی به صرافی از کشوری که در آن خدمات نمیدهد ممکن است به مسدود شدن حساب بینجامد و این نوشته روش آن را توضیح نمیدهد. از نشانیای در کشوری استفاده کنید که در آن زندگی میکنید و حسابتان را در آن تأیید کردهاید. قواعد مکانی بهطور کلی در نوشته مسدودسازی جغرافیایی چیست؟ و جنبه حقوقی در آیا استفاده از VPN یا پروکسی قانونی است؟ توضیح داده شده است.
پیشرفته: بررسی کنید ربات از کدام نشانی بیرون میرود
اگر ربات را از ترمینال یا روی VPS اجرا میکنید، یک فرمان نشانیای را که صرافی میبیند نشان میدهد. خط دوم از پروکسی نمونه pr.proxynet.io:8000 با اطلاعات ورود user:pass استفاده میکند؛ گزینه -4 استفاده از IPv4 را اجباری میکند.
# The address your line shows without a proxy
curl -4 https://api.ipify.org
# The address the exchange sees when the bot goes through your static proxy
curl -4 -x http://user:pass@pr.proxynet.io:8000 https://api.ipify.orgهر دو فرمان را از طریق یک پروکسی محلی کوچک آزمایش کردیم: هرکدام فقط یک نشانی IPv4 چاپ کرد. با رمز عبور نادرست، curl با پیام «CONNECT tunnel failed, response 407» متوقف شد و بیصدا به اتصال مستقیم برنگشت. فرمان دوم را با چند ساعت فاصله اجرا کنید؛ اگر هر بار همان نشانی را چاپ کرد، همان نشانیای است که باید در لیست سفید بگذارید. بررسیهای بیشتر در نوشته آیا پروکسی کار میکند؟ چگونه پروکسی را آزمایش کنیم آمده است.
کاربردها
- ربات معاملهگری روی رایانه خانگی با خط پویا: یک نشانی پروکسی استاتیک به آن یک نشانی واحد برای لیست سفید میدهد؛ صفحه پروکسی برای امور مالی را ببینید.
- ابزار سبد دارایی یا مالیات با کلید فقطخواندنی: ارائهدهنده ابزار معمولاً نشانی سرورهای خودش را برای لیست سفید منتشر میکند؛ حفاظت از دادههای حساب در صفحه امنیت داده توضیح داده شده است.
- سفر با ربات فعال: ربات نشانی ثابت خود را نگه میدارد در حالی که اپ گوشی شما از خارج وارد حساب میشود و این ممکن است یک بررسی امنیتی را فعال کند؛ نوشته اپلیکیشن بانک در خارج از کشور کار نمیکند؟ را ببینید.
- هشدار ورود از مکانی ناشناس: آن را مانند هشدار بانک جدی بگیرید و نوشته هشدار ورود از مکان مشکوک را دنبال کنید.
اشتباههای رایج
- گذاشتن نشانی محلی در لیست سفید.
192.168.1.20نشانی رایانه شما داخل خانه است؛ صرافی هیچوقت آن را نمیبیند. - اندازهگیری روی دستگاه اشتباه. نشانی لپتاپ شما نشانی VPSای که ربات را اجرا میکند نیست.
- قاطی کردن IPv4 و IPv6. نشانی IPv4 را در لیست سفید میگذارید در حالی که ربات از طریق IPv6 وصل میشود، یا برعکس.
- گذاشتن خروجی VPN یا پروکسی چرخشی در لیست سفید. این نشانی عوض میشود و دیگران هم از آن استفاده میکنند.
- روشن کردن برداشت «محض احتیاط». این همان مجوزی است که دزد دنبالش است.
- نگه داشتن نشانی قدیمی پس از جابهجایی. نشانیای که دیگر در اختیار شما نیست نباید روی کلیدتان بماند.
- اشتباه گرفتن دو لیست سفید. ارائهدهنده پروکسی هم میتواند نشانی خانه شما را در لیست سفید بگذارد تا بدون رمز عبور وصل شوید؛ این فهرست دیگری است که در نوشته احراز هویت پروکسی: نام کاربری و رمز یا لیست سفید IP توضیح داده شده است.
راهنمای انتخاب
| وضعیت شما | پیشنهاد |
|---|---|
| ابزار پیگیری سبد دارایی یا مالیات که یک شرکت اداره میکند | کلید فقطخواندنی؛ نشانیهایی را که ارائهدهنده ابزار منتشر میکند در لیست سفید بگذارید |
| ربات روی رایانه خانگی، ارائهدهنده اینترنت IP ثابت عرضه میکند | IP ثابت را سفارش دهید و در لیست سفید بگذارید |
| ربات روی رایانه خانگی، خط پویا یا CGNAT | یک نشانی پروکسی استاتیک ISP یا دیتاسنتر اختصاصی برای شما، یا یک VPS |
| رباتی که باید شبانهروز کار کند | VPS با نشانی رزروشده |
| کلید پس از راهاندازی دوباره مودم از کار افتاد | نشانی را دوباره اندازه بگیرید، سپس لیست سفید را بهروز کنید یا نشانی ثابت بگیرید |
| میخواهید از کشوری که صرافی در آن خدمات نمیدهد استفاده کنید | این کار را نکنید؛ سرویسی را انتخاب کنید که در محل زندگی شما در دسترس است |
پرسشهای متداول
آیا میتوانم بدون لیست سفید IP از API صرافی استفاده کنم؟
در بسیاری از صرافیها بله، اما با محدودیت. برای نمونه Binance کلیدهای بدون محدودیت را به خواندن داده محدود میکند و پیش از روشن شدن برداشت، محدودیت IP را الزامی میداند. پیش از ساختن ربات، قواعد صرافی خود را بررسی کنید.
چند نشانی IP میتوانم به یک کلید اضافه کنم؟
به صرافی بستگی دارد. بیشتر آنها چند نشانی برای هر کلید میپذیرند که برای یک سرور اصلی و یک سرور پشتیبان کافی است. سقف آن در صفحه تنظیمات کلید نمایش داده میشود.
آیا میتوانم پروکسی مسکونی را در لیست سفید بگذارم؟
فقط نوع استاتیک آن را. پروکسی مسکونی چرخشی طبق طراحی نشانیاش را عوض میکند، پس بیشتر درخواستها شکست میخورند. نشانی ISP استاتیک شبیه نشانی معمولی یک ارائهدهنده اینترنت است و ثابت میماند.
آیا ارائهدهنده پروکسی کلید API مرا میبیند؟
نه، وقتی ربات شما از طریق HTTPS با صرافی ارتباط میگیرد، که APIهای صرافیها از آن استفاده میکنند. پروکسی میبیند به کدام سرور وصل میشوید و چه مقدار داده جابهجا میشود؛ کلید، امضا و سفارشهای شما داخل تونل رمزگذاریشده میمانند.
آیا لیست سفید IP برای امن نگه داشتن حسابم کافی است؟
نه، فقط یک لایه است. احراز هویت دوعاملی را برای ورود روشن و برداشت را روی کلیدهای API خاموش نگه دارید.
آیا پروکسیای که در لیست سفید است اجازه میدهد از کشوری که صرافی در آن خدمات نمیدهد معامله کنم؟
نه. صرافی حساب شما را به کشوری گره میزند که در آن احراز هویت کردهاید و شرایط استفادهاش پنهان کردن موقعیت برای دور زدن محدودیتها را ممنوع میکند. لیست سفید فقط از کلید خود شما محافظت میکند.
خلاصه
لیست سفید IP کلید API صرافی را به نشانیهای مورد اعتماد شما گره میزند و برخی صرافیها بدون آن مجوز معامله یا برداشت را باز نمیکنند. نشانی عمومی IPv4 را که ربات واقعاً از آن بیرون میرود در لیست سفید بگذارید و مطمئن شوید تغییر نمیکند: IP ثابت از ارائهدهنده اینترنت، VPS با نشانی رزروشده یا نشانی پروکسی استاتیک اختصاصی برای شما همگی کار میکنند؛ پروکسیهای چرخشی و VPNهای مصرفی کار نمیکنند. برداشت را خاموش و مجوزها را در حداقل نگه دارید و هرگز از یک نشانی برای دور زدن قواعد کشوری صرافی استفاده نکنید. اگر ربات شما روی خط خانگی پویا اجرا میشود، گزینههای نشانی ثابت را در صفحه خدمات پروکسی مقایسه کنید.
