Wie konfiguriere ich den Ablauf des API-Tokens in der Kraken-Börse?

API-Token-Lebenszyklusmanagement auf Kraken

1. Kraken unterstützt keinen konfigurierbaren Token-Ablauf zum Zeitpunkt der Erstellung – Token bleiben aktiv, bis sie manuell widerrufen oder durch Sicherheitsereignisse ungültig gemacht werden.

2. Benutzer müssen zum Abschnitt „API-Einstellungen“ unter der Registerkarte „Sicherheit“ in ihrem Kraken-Konto-Dashboard navigieren, um Berechtigungen anzuzeigen, zu bearbeiten oder Token zu widerrufen.

3. Alle API-Schlüssel erben den bei der Generierung zugewiesenen Berechtigungsbereich. Nach der Ausstellung ist keine rückwirkende Änderung des Ablaufdatums möglich.

4. Wenn ein Token kompromittiert wird, stoppt die sofortige Sperrung den gesamten damit verbundenen Zugriff – einschließlich Handels-, Auszahlungs- und Abfrageendpunkten – ohne Verzögerung.

5. Kraken erzwingt die obligatorische Zwei-Faktor-Authentifizierung (2FA) für jeden API-Schlüssel mit Auszahlungsrechten und deaktiviert diese Schlüssel automatisch, wenn 2FA für das Konto deaktiviert ist.

Granularität der Token-Berechtigung

1. Jedem API-Schlüssel sind diskrete Berechtigungsflags zugewiesen: Abfrage, Handel, Einzahlung, Auszahlung, Spread und Abbrechen.

2. Die Berechtigung „Zurückziehen“ erfordert bei jeder Aktivierung eine ausdrückliche Bestätigung per E-Mail oder 2FA – nicht nur bei der Ersteinrichtung.

3. Schlüssel mit aktivierter „Handel“-Funktion können Aufträge ausführen, aber keinen vollständigen Auftragsverlauf abrufen, es sei denn, „Abfrage“ ist ebenfalls zulässig.

4. Nur-Einzahlungsschlüssel generieren eindeutige Einzahlungsadressen, können jedoch keine Auszahlungen initiieren oder auf Kontostandsdaten zugreifen, die über diesen bestimmten Vermögenswert hinausgehen.

5. Kraken verbietet die Kombination von „Zurückziehen“- und „Abbrechen“-Berechtigungen auf demselben Schlüssel für eine risikoreiche betriebliche Trennung.

Sicherheitsauslöser, die Token ungültig machen

1. Durch das Zurücksetzen des Passworts werden alle vorhandenen API-Schlüssel automatisch ungültig, ohne dass eine Benachrichtigung oder eine Frist erforderlich ist.

2. Das Aktivieren oder Deaktivieren von SMS-basierter 2FA löst den vollständigen Token-Widerruf für alle aktiven Schlüssel aus.

3. Mehr als fünf fehlgeschlagene Anmeldeversuche innerhalb von zehn Minuten führen zur vorübergehenden Sperrung aller API-Endpunkte für dieses Konto.

4. Geolocation-Diskrepanzen – wie wiederholte API-Aufrufe von IPs außerhalb zuvor registrierter Länder – lösen eine automatische Schlüsseldeaktivierung aus.

5. Kraken protokolliert jeden API-Aufruf mit Zeitstempel, IP, Benutzeragent und Endpunkt; Ungewöhnliche Muster lösen einen stillen Widerruf aus, gefolgt von einer E-Mail-Benachrichtigung.

Einschränkungen der Bot-Integration

1. Grid-Trading-Bots, die die REST-API von Kraken verwenden, müssen sich aufgrund der Durchsetzung des Nonce-Fensters alle 15 Minuten erneut mit neuen Signaturen authentifizieren.

2. WebSocket-Verbindungen erfordern ein regelmäßiges Neuabonnement alle 30 Minuten; Ein Fehler führt dazu, dass Feeds gelöscht werden, ohne dass sich der Fehler ausbreitet.

3. Ratenbegrenzungen gelten pro Schlüssel – nicht pro IP – und werden bei 15 Anfragen/Sekunde für öffentliche Endpunkte und 20 Anfragen/Sekunde für private Endpunkte durchgesetzt.

4. Bots, die versuchen, die Ratenbegrenzung über rotierende Schlüssel zu umgehen, werden nach drei Verstößen innerhalb von 24 Stunden dauerhaft auf die schwarze Liste ihrer IP-Adressen gesetzt.

5. Kraken lehnt jede API-Anfrage ab, die Leerzeichen im API-Sign-Header oder fehlerhafte Base64-codierte Nutzdaten enthält, und gibt HTTP 400 ohne Protokollierung zurück.

Häufig gestellte Fragen

F: Kann ich API-Schlüssel ohne Ausfallzeit rotieren? Ja – generieren Sie einen neuen Schlüssel mit identischen Berechtigungen, während der alte aktiv bleibt, und widerrufen Sie dann den alten Schlüssel, nachdem Sie bestätigt haben, dass alle Dienste die neuen Anmeldeinformationen verwenden.

F: Bietet Kraken Token-Aktualisierungsmechanismen wie OAuth2 an? Nein – Kraken verwendet statische HMAC-SHA512-signierte Anfragen; Es gibt keinen Aktualisierungstokenfluss oder ein Sitzungserneuerungsprotokoll.

F: Was passiert, wenn mein API-Schlüssel in einem öffentlichen GitHub-Repository verfügbar gemacht wird? Kraken scannt kontinuierlich öffentliche Code-Repositorys; Die Offenlegung löst einen sofortigen Widerruf aus und sendet eine E-Mail-Benachrichtigung an den Kontoinhaber.

F: Werden Unterkonten für die isolierte Verwendung von API-Schlüsseln unterstützt? Nein – Kraken bietet keine Unterkontofunktion; Alle API-Schlüssel unterliegen dem Kontostand und den Berechtigungen des Hauptkontos.