Comment configurer l'expiration du jeton API dans l'échange Kraken ?

Gestion du cycle de vie des jetons API sur Kraken

1. Kraken ne prend pas en charge l'expiration configurable des jetons au moment de la création : les jetons restent actifs jusqu'à ce qu'ils soient manuellement révoqués ou invalidés par des événements de sécurité.

2. Les utilisateurs doivent accéder à la section « Paramètres API » sous l'onglet Sécurité du tableau de bord de leur compte Kraken pour afficher, modifier les autorisations ou révoquer les jetons.

3. Toutes les clés API héritent de la portée d'autorisation attribuée lors de la génération ; aucune modification rétroactive de l'expiration n'est possible une fois émise.

4. Si un jeton est compromis, la révocation immédiate interrompt sans délai tous les accès associés, y compris les points de terminaison de négociation, de retrait et de requête.

5. Kraken applique une authentification obligatoire à deux facteurs (2FA) pour toute clé API dotée de privilèges de retrait et désactive automatiquement ces clés si 2FA est désactivée sur le compte.

Granularité des autorisations de jeton

1. Chaque clé API se voit attribuer des indicateurs d'autorisation discrets : requête, échange, dépôt, retrait, propagation et annulation.

2. L'autorisation « Retrait » nécessite une confirmation explicite par e-mail ou 2FA à chaque fois qu'elle est activée, pas seulement lors de la configuration initiale.

3. Les clés avec « Trade » activé peuvent exécuter des ordres mais ne peuvent pas récupérer l'historique complet des commandes à moins que « Query » ne soit également accordé.

4. Les clés « Dépôt » uniquement génèrent des adresses de dépôt uniques, mais ne peuvent pas lancer de retraits ni accéder aux données de solde au-delà de cet actif spécifique.

5. Kraken interdit de combiner les autorisations « Retirer » et « Annuler » sur la même clé pour une séparation opérationnelle à haut risque.

Déclencheurs de sécurité qui invalident les jetons

1. Une réinitialisation du mot de passe invalide automatiquement toutes les clés API existantes sans notification ni délai de grâce.

2. L'activation ou la désactivation du 2FA par SMS déclenche la révocation complète du jeton sur toutes les clés actives.

3. Les tentatives de connexion infructueuses dépassant cinq dans un délai de dix minutes entraînent la suspension temporaire de tous les points de terminaison d'API pour ce compte.

4. Les incompatibilités de géolocalisation, telles que les appels API répétés provenant d'adresses IP situées en dehors des pays précédemment enregistrés, déclenchent la désactivation automatique des clés.

5. Kraken enregistre chaque appel d'API avec l'horodatage, l'adresse IP, l'agent utilisateur et le point de terminaison ; les modèles anormaux déclenchent une révocation silencieuse suivie d’une alerte par e-mail.

Contraintes d'intégration de robots

1. Les robots de trading en grille utilisant l'API REST de Kraken doivent se réauthentifier avec de nouvelles signatures toutes les 15 minutes en raison de l'application de fenêtres occasionnelles.

2. Les connexions WebSocket nécessitent un réabonnement périodique toutes les 30 minutes ; l'échec entraîne la suppression de flux sans propagation d'erreur.

3. Les limites de débit s'appliquent par clé (et non par IP) et sont appliquées à 15 requêtes/seconde pour les points de terminaison publics et à 20 requêtes/seconde pour les points de terminaison privés.

4. Les robots qui tentent de contourner la limitation de débit via des touches rotatives sont confrontés à une liste noire permanente d'adresses IP après trois violations dans les 24 heures.

5. Kraken rejette toute demande d'API contenant des espaces dans l'en-tête API-Sign ou une charge utile codée en base64 malformée, renvoyant HTTP 400 sans journalisation.

Foire aux questions

Q : Puis-je effectuer une rotation des clés API sans temps d'arrêt ? Oui : générez une nouvelle clé avec des autorisations identiques pendant que l'ancienne reste active, puis révoquez l'ancienne clé après avoir confirmé que tous les services utilisent les nouvelles informations d'identification.

Q : Kraken propose-t-il des mécanismes d'actualisation des jetons comme OAuth2 ? Non : Kraken utilise des requêtes statiques signées HMAC-SHA512 ; il n'y a pas de flux de jetons d'actualisation ni de protocole de renouvellement de session.

Q : Que se passe-t-il si ma clé API est exposée dans un référentiel GitHub public ? Kraken analyse en permanence les référentiels de codes publics ; l’exposition déclenche une révocation immédiate et envoie une alerte par e-mail au titulaire du compte.

Q : Les sous-comptes sont-ils pris en charge pour l'utilisation isolée des clés API ? Non : Kraken ne fournit pas de fonctionnalité de sous-compte ; toutes les clés API fonctionnent sous le solde et les autorisations du compte principal.