آموزش وصل کردن ربات تریدر به صرافی+ گرفتن api صرافی

آموزش وصل کردن ربات تریدر به صرافی معمولاً شامل چهار مرحله اصلی است: ساخت کلید API با سطح دسترسی درست، ذخیره امن کلید مخفی، وارد کردن این اطلاعات در تنظیمات ربات، و امضای هر درخواست با الگوریتم HMAC-SHA256 پیش از ارسال به صرافی. در ادامه همین فرایند را قدم‌به‌قدم روی صرافی ترو ترید توضیح می‌دهیم؛ نکته مهم این است که مکانیزم اصلی در بیشتر صرافی‌های دیگر، از جمله هنگام اتصال صرافی کوکوین به ربات ترید، تقریباً همین ساختار را دنبال می‌کند و فقط نام هدرها یا مسیرهای API ممکن است کمی فرق داشته باشد. بنابراین اگر در د ترو ترید یا هر صرافی دیگری اکانت دارید و می خواهید ربات تریدر را به اکانتتان وصل کنید، این راهنمای جامع ویژه شماست.

وصل کردن ربات به api صرافی در 6 قدم

خیلی از کاربران وقتی اسم API را می‌شنوند فکر می‌کنند حتما باید برنامه‌نویس باشند تا بتوانند از آن استفاده کنند. ولی موضوع اینقدرها هم پیچیده نیست؛ API فقط یک راه ارتباطی است که به جای اینکه شما دستی وارد سایت صرافی شوید و روی دکمه‌ها کلیک کنید، ربات یا برنامه‌تان مستقیماً و به‌صورت خودکار همان کارها را انجام می‌دهد. یعنی برای اینکه ربات تریدر بتواند با اکانت شما ترید کند، لازم است که از صرافی api گرفته و آن را فعال نمائید. در ادامه ما در 6 قدم ساده تمام مراحل وصل کردن ربات تریدر به صرافی و گرفتن api  را آموزش می دهیم.

۱- ساخت کلید API و انتخاب سطح دسترسی مناسب

اولین قدم برای گرفتن API از صرافی ترو ترید، ورود به بخش تنظیمات حساب و انتخاب گزینه api managment است. همانطور که در تصویر مشخص شده، بعد از کلیک روی گزینه api managment در صفحه جدیدی که باز می شود روی گزینه آبی creat رنگ کلیک نمائید.

در این بخش نوبت آن است که نام api و سطوح دسترسی را مشخص کنید. همچنین در کادر آخر می توانید ip های مجاز تعیین کنید تا سایر ای پی ها نتوانند به اکانتتان وصل شوند.

در د ترو ترید چهار سطح دسترسی وجود دارد:

• خواندن اطلاعات حساب (readonly): فقط مشاهده موجودی، تراکنش‌ها و اطلاعات پروفایل.

• معاملات فیوچرز (trade-futures): یک دسترسی یک‌پارچه که هم مشاهده پوزیشن‌ها و هم ثبت یا لغو سفارش را شامل می‌شود؛ نسخه فقط-خواندنی جداگانه‌ای برای فیوچرز وجود ندارد.

• انتقال وجه (transfer): جابه‌جایی پول بین حساب‌های داخلی خودتان.
• برداشت وجه (withdrawal): خارج کردن پول از صرافی؛ حساس‌ترین سطح دسترسی.

برای اکثر ربات‌های ترید، فقط دسترسی معاملات فیوچرز کافی است. توصیه می‌شود دسترسی برداشت وجه اصلاً روی کلید ربات فعال نشود، مگر اینکه خود ربات وظیفه مدیریت برداشت را هم داشته باشد. 

پس از تعیین دسترسی ها، همانطور که در عکس زیر مشخص شده، آدرس api و عبارت سکرت کد، برای شما به نمایش در می آید و می توانید از آن جهت وصل کردن ربات تریدر به اکانتتان استفاده کنید.

۲- ذخیره امن کلید مخفی و تنظیم فهرست IP مجاز

بلافاصله بعد از ساخت کلید، صرافی یک کلید مخفی (Secret Key) نشان می‌دهد که فقط همان یک‌بار قابل مشاهده است و دیگر هیچ‌وقت قابل بازیابی نیست. این کلید را باید در یک مدیریت رمز عبور امن ذخیره کنید، نه در تلگرام، اسکرین‌شات گوشی یا فایل‌های اشتراکی عمومی.

اگر کلید شما دسترسی برداشت وجه دارد، تنظیم فهرست IP مجاز (IP Allowlist) عملاً ضروری است. دلیلش این است که کلیدهای دارای دسترسی برداشت، نیاز به کدهای دومرحله‌ای وب‌سایت را دور می‌زنند و تنها لایه حفاظتی باقی‌مانده، همین کلید مخفی و فهرست IP است. با کلیدهایی از این جنس باید مثل پول نقد خودتان رفتار کنید.

۳- وارد کردن اطلاعات API در تنظیمات ربات تریدر

بعد از آماده شدن کلید API و کلید مخفی، نوبت اتصال ترو ترید به ربات تریدر می‌رسد. این کار معمولاً در بخش تنظیمات یا کانفیگ ربات انجام می‌شود، جایی که باید کلید API، کلید مخفی و آدرس پایه سرویس مورد نظر (مثلاً بخش فیوچرز) وارد شود. از همین مرحله به بعد، هر درخواستی که ربات به صرافی می‌فرستد باید همراه با یک امضای دیجیتال باشد که در بخش بعدی توضیح می‌دهیم.

۴- ساخت امضای HMAC-SHA256 برای هر درخواست

هسته اصلی امنیت این نوع اتصال، امضای درخواست است. هر درخواست باید سه هدر همراه داشته باشد: کلید API خام، زمان فعلی به میلی‌ثانیه، و یک امضای HMAC-SHA256 که با کلید مخفی ساخته شده است. این امضا از ترکیب سه بخش ساخته می‌شود: زمان ارسال‌شده، متد HTTP با حروف بزرگ (مثل GET یا POST)، و مسیر دقیق درخواست شامل کوئری‌استرینگ در صورت وجود. نکته‌ای که خیلی از تازه‌کارها فراموش می‌کنند این است که بدنه درخواست (body) هیچ‌وقت جزو امضا نیست، حتی برای درخواست‌های POST یا PATCH. همچنین اگر فاصله زمانی درخواست از زمان سرور بیش از ۳۰ ثانیه باشد، سرور آن را رد می‌کند؛ به همین دلیل ساعت سیستمی که ربات روی آن اجرا می‌شود باید دقیق باشد.

۵- تست اتصال با یک درخواست ساده

قبل از هر کاری، بهتر است با یک درخواست GET ساده مثل گرفتن پروفایل کاربر مطمئن شوید همه‌چیز درست تنظیم شده است. اگر پاسخ با خطای ۴۰۱ یا ۴۰۳ برنگردد، یعنی کلید، امضا و زمان‌بندی به‌درستی کار می‌کنند و می‌توانید به مرحله بعد بروید.

۶- ثبت اولین سفارش آزمایشی روی فیوچرز

بعد از تأیید اتصال، وقت آن است که ربات یک سفارش واقعی اما با حجم کم ثبت کند؛ مثلاً یک پوزیشن مارکت با مقدار کوچک از سرمایه. این کار نشان می‌دهد کل زنجیره  از احراز هویت تا اجرای سفارش و دریافت شناسه پوزیشن درست کار می‌کند. اگر تازه کار هستید توصیه می کنیم ابتدا حتما مقاله آموزش ترید با ربات تریدر را بخوانید. برای سفارش‌ها باید دقیقاً یکی از سه فیلد حجم قرارداد، مقدار وثیقه یا ارزش پوزیشن را مشخص کنید، نه بیشتر از یکی. جدول زیر تفاوت دو نوع رایج سفارش را خلاصه می‌کند:

 تفاوت اتصال کوکوین به ربات ترید نسبت به ترو ترید

همان‌طور که در ابتدای مقاله اشاره شد، اتصال صرافی کوکوین به ربات ترید هم از همین منطق کلی پیروی می‌کند: ساخت کلید API با سطح دسترسی مشخص، دریافت یک‌بارهٔ کلید مخفی، و امضای هر درخواست پیش از ارسال. تفاوت اصلی معمولاً در نام هدرها، ساختار دقیق پیام امضا (بعضی صرافی‌ها علاوه بر متد و مسیر، پارامترهای اضافه‌ای هم داخل امضا قرار می‌دهند) و همچنین نام‌گذاری سطوح دسترسی است. به همین دلیل، بهترین کار این است که قبل از اتصال هر ربات به هر صرافی، بخش مستندات API همان صرافی (API Reference) را باز کنید و دقیقاً همان‌جا فرمت امضا و هدرهای موردنیاز را چک کنید؛ چارچوب کلی که در این مقاله گفته شد، تقریباً برای همه صرافی‌های مشابه (از جمله کوکوین) صدق می‌کند.

چرا اصلا لازم است api فعال کنیم؟

فرض کنید می‌خواهید یک ربات ترید برایتان معامله کند. ربات که دست و چشم ندارد تا وارد سایت شود و روی «خرید» کلیک کند؛ پس نیاز به یک «در پشتی» رسمی دارد که صرافی در اختیارش گذاشته باشد. این در پشتی همان API است. با گرفتن API:

• ربات می‌تواند بدون دخالت شما، ۲۴ ساعته بازار را زیر نظر بگیرد و در لحظه مناسب سفارش بزند.
• شما مجبور نیستید رمز عبور اصلی حساب‌تان را جایی وارد کنید؛ کلید API جداست و محدودتر است.
• می‌توانید دقیقاً مشخص کنید ربات چه کارهایی حق دارد انجام دهد (مثلاً فقط ترید کند، نه برداشت پول).
• سرعت اجرا خیلی بالاتر از کلیک کردن دستی است، که در بازارهای پرنوسان اهمیت زیادی دارد.

رفع خطاهای رایج در اتصال ربات به صرافی

بعد از راه‌اندازی اولیه، معمولاً چند خطای تکراری پیش می‌آید که شناخت آن‌ها فرایند عیب‌یابی را خیلی کوتاه‌تر می‌کند:

• فرستادن timestamp بر حسب ثانیه به‌جای میلی‌ثانیه.
• امضا کردن مسیری متفاوت از مسیر واقعی درخواست (مثلاً فراموش کردن کوئری‌استرینگ).
• ننوشتن متد HTTP با حروف بزرگ در پیام امضا.
• اضافه کردن بدنه درخواست به امضا، در حالی که body هرگز نباید امضا شود.
• تنظیم نبودن ساعت سیستم، که باعث رد شدن درخواست به دلیل خارج بودن از بازه ۳۰ ثانیه‌ای می‌شود.

برای شناسایی سریع‌تر مشکل، جدول زیر پرتکرارترین کدهای خطا و معنای آن‌ها را نشان می‌دهد:

علاوه بر این‌ها، اگر ربات درخواست‌های بیش‌ازحد پرتکرار بفرستد، هم بر اساس کلید API و هم بر اساس IP محدود می‌شود و با خطای ۴۲۹ مواجه خواهید شد؛ در چنین حالتی باید فاصله بین درخواست‌ها را افزایش دهید تا از سقف مجاز عبور نکنید.

نکات امنیتی قبل از فعال کردن ترید واقعی

پیش از آنکه ربات را روی سرمایه اصلی فعال کنید، رعایت چند نکته امنیتی ضروری است:

1. هرگز کلید مخفی را در سورس‌کد عمومی، لاگ‌ها یا چت‌های عمومی قرار ندهید.
2. به هر کلید فقط کمترین دسترسی لازم را بدهید و در صورت امکان تاریخ انقضا تعیین کنید.
3. کلیدهای استفاده‌نشده را به‌طور دوره‌ای حذف یا غیرفعال کنید.
4. برای کلیدهای دارای دسترسی برداشت، همیشه فهرست IP مجاز را فعال نگه دارید.

معیارهای انتخاب ربات ترید امن برای اتصال به حساب صرافی

خیلی از کاربران وقتی می‌خواهند ربات به حساب‌شان وصل کنند، فقط به قابلیت‌های تریدینگ ربات نگاه می‌کنند و از کنار نکات امنیتی رد می‌شوند؛ در حالی که همین بی‌توجهی می‌تواند کل سرمایه را در معرض خطر بگذارد. قبل از وارد کردن کلید API در هر رباتی، رعایت چند معیار زیر می‌تواند ریسک را به‌طور محسوسی کم کند:

• منبع و سابقه ربات مشخص و قابل استعلام باشد: ترجیح با ربات‌هایی است که متن‌باز هستند یا حداقل سابقه و بازخورد کاربران واقعی دارند؛ نه اسکریپت‌های ناشناسی که فقط در کانال‌ها و گروه‌ها دست‌به‌دست می‌شوند.
• کلید مخفی روی سرور شخص ثالث بدون شفافیت ذخیره نشود: اگر رباتی کلید API شما را روی سروری نگه می‌دارد که کنترلی روی آن ندارید و توضیح روشنی هم درباره نحوه محافظت از آن نمی‌دهد، بهتر است از آن صرف‌نظر کنید.
• فقط دسترسی واقعاً لازم را درخواست کند: یک ربات امن معمولاً فقط به سطح دسترسی معاملات فیوچرز نیاز دارد؛ اگر بدون دلیل مشخص دسترسی برداشت وجه یا انتقال هم بخواهد، این خودش یک هشدار جدی است.
• اجازه فعال ماندن فهرست IP مجاز را بدهد: ربات‌های قابل‌اعتماد کاربر را مجبور نمی‌کنند برای کار کردن، IP Allowlist روی کلید API را غیرفعال کند.
• کد یا مستندات فنی آن قابل بررسی باشد: اگر امکانش هست، پیش از اتصال، حداقل بخش مربوط به مدیریت کلید و ارسال درخواست را خودتان یا فردی که کد می‌داند مرور کند.

نکته‌ای که نباید فراموش شود این است که هیچ رباتی، هرقدر هم معتبر، واقعا هیچ  نیازی به دسترسی برداشت وجه از اکانت شما را ندارد. اگر وظیفه ربات فقط ترید کردن است، محدود نگه داشتن کلید به دسترسی معاملات فیوچرز، مهم‌ترین لایه امنیتی است؛ نه اعتماد کورکورانه به نام یا شهرت ربات.

کلام آخر درباره وصل کردن ربات تریدر به صرافی

آموزش وصل کردن ربات تریدر به صرافی، در نهایت به چهار ستون اصلی برمی‌گردد: انتخاب درست سطح دسترسی، حفظ امنیت کلید مخفی، امضای صحیح هر درخواست بر پایه زمان، متد و مسیر، و تست تدریجی قبل از ورود به معاملات واقعی. این چارچوب چه برای اتصال ترو ترید به ربات تریدر و چه برای اتصال صرافی کوکوین به ربات ترید، تقریباً یکسان است و تفاوت‌ها معمولاً در جزئیات مستندات هر صرافی خلاصه می‌شود.

سوالات متداول وصل کردن ربات تریدر به صرافی

۱. آیا کلید مخفی API را می‌توان بعداً دوباره مشاهده کرد؟

خیر، کلید مخفی فقط یک‌بار در لحظه ساخت نمایش داده می‌شود و در صورت گم شدن باید کلید جدیدی ساخته شود.

۲. آیا برای ربات ترید باید دسترسی برداشت وجه هم فعال باشد؟

معمولاً نه؛ بیشتر ربات‌های ترید فقط به دسترسی معاملات فیوچرز نیاز دارند و فعال کردن دسترسی برداشت ریسک امنیتی غیرضروری ایجاد می‌کند.

۳. چرا درخواست‌های ربات با خطای ۴۰۱ رد می‌شود؟

رایج‌ترین دلایل عبارت‌اند از timestamp اشتباه (ثانیه به‌جای میلی‌ثانیه)، امضای نادرست، یا عدم تطابق مسیر امضاشده با مسیر واقعی درخواست.

۴. آیا مراحل اتصال کوکوین به ربات ترید هم همین‌قدر پیچیده است؟

منطق کلی یکسان است، اما باید حتماً هدرها و ساختار امضای همان صرافی را از مستندات رسمی‌اش چک کنید.