Le API key sono uno dei componenti principali dell'autenticazione e della sicurezza API; sono l'equivalente API del nome utente e della password del Suo account Kraken.
Le API key sono necessarie per chiamare qualsiasi endpoint API specifico dell'account (privato), come gli endpoint account data, trading, funding ed earn. Le API key non sono necessarie per chiamare gli endpoint API market data (pubblici), poiché gli endpoint market data non sono associati a nessun account Kraken specifico.
Le API key possono essere utilizzate da qualsiasi software che interagisce con i nostri mercati e account, come i nostri client a riga di comando REST API, app mobili e piattaforme di trading di terze parti, trading bot di terze parti e vari altri prodotti/servizi.
Creazione di una API key
Configurazione di una API key (autorizzazioni/impostazioni)
Utilizzo di una API key
Autenticazione a due fattori con API key (2FA)
Apri il menu dell'account (clicca sull’icona del profilo nell’angolo in alto a destra della pagina).
Seleziona l’opzione Impostazioni.
Seleziona la scheda API e clicca su Crea API key.
Prima di utilizzare una API key è necessario impostare varie opzioni e configurazioni, in particolare la descrizione o il nome e le autorizzazioni di accesso.
Descrizione della Key
La descrizione della key è sostanzialmente il nome dell'API key, che può essere scelta a piacere purché risulti univoca (diversa dalle descrizioni di tutte le altre API key nello stesso account).
Per impostazione predefinita, la descrizione della key viene automaticamente popolata con un codice quale "api-key-1605316109249". Tale descrizione predefinita può essere mantenuta o sostituita da un nome più descrittivo, come "Key di Trading", "Key Gestione Account", "API Key Python 6" o "Key app mobile".
Autorizzazioni della Key
Le autorizzazioni della key determinano quali endpoint API specifici (privati) dell'account l'API key è autorizzata a richiamare:
L'autorizzazione Dati sui fondi è necessaria per gli endpoint API che recuperano informazioni relative al saldo dell'account, come Balance e TradeBalance.
L'autorizzazione Deposito fondi è necessaria per gli endpoint di versamento correlati ai depositi, come DepositMethods e DepositAddresses.
L'autorizzazione Prelievo fondi è necessaria per gli endpoint di versamento correlati ai prelievi, come WithdrawInfo, Withdraw e WithdrawCancel.
L'autorizzazione Dati su trade e ordini aperti è necessaria per gli endpoint API che recuperano informazioni su posizioni con margine e ordini esistenti, come OpenOrders, QueryOrders e OpenPositions.
L'autorizzazione Dati su trade e ordini chiusi è necessaria per gli endpoint che recuperano informazioni su posizioni con margine e ordini chiusi o annullati in precedenza, come ClosedOrders, QueryOrders e QueryTrades.
L'autorizzazione Modifica ordini è necessaria per gli endpoint di trading che eseguono nuovi ordini, come AddOrder, EditOrder eAddOrderBatch.
L'autorizzazione Annulla/Chiudi ordini è necessaria per gli endpoint di trading che annullano gli ordini aperti o in sospeso, come CancelOrder, CancelAll e CancelOrderBatch.
L'autorizzazione Dati su voci ledger è necessaria per gli endpoint API che recuperano i dati storici dell'account dal relativo ledger, ovvero Ledgers e QueryLedgers.
L'autorizzazione Esportazione dati è necessaria per gli endpoint che esportano (scaricano) il ledger dell'account, ovvero AddExport, RetrieveExport, ExportStatus e RemoveExport.
L’autorizzazione Accesso API WebSocket è necessaria per recuperare un token di autenticazione per le API WebSocket tramite l'endpoint GetWebSocketsToken.
Come esempio di utilizzo corretto delle autorizzazioni della chiave, considera una API key che viene fornita a terze parti a scopo di trading. Una API key di questo tipo richiede sicuramente le autorizzazioni Modifica ordini e Annulla/Chiudi ordini, potrebbe richiedere l'autorizzazione Dati su trade e ordini aperti, ma quasi sicuramente non richiede l'autorizzazione Prelievo fondi.
Configurando correttamente le autorizzazioni, si offre all'API client la possibilità di eseguire trade per l'account, ma non quella di accedere alle informazioni sull'account o di eseguire attività di versamento.
Impostazioni opzionali
Le altre impostazioni relative all'API key sono necessarie solo per le configurazioni più avanzate e, in genere, è possibile mantenere i valori predefiniti:
Finestra nonce è un'impostazione utilizzata per risolvere i problemi di rete che potrebbero causare la mancata esecuzione delle richieste API fornendo un breve intervallo di tempo (1 secondo, 10 secondi e così via) durante il quale le richieste API con un nonce non valido (un valore del nonce inferiore a uno utilizzato in precedenza) non causeranno un errore.
Whitelist degli IP è una funzionalità di sicurezza che limita l'uso della API key a indirizzi IP specifici lato cliente.
Scadenza key può essere utilizzata per creare un'API key che funziona solo per un determinato periodo di tempo, ad esempio per una sola settimana.
Dati su ora/data di inizio/fine è un'impostazione che limita le richieste di dati cronologici di un account a un intervallo di tempo specifico, ad esempio una key che potrebbe recuperare la cronologia di trading di quest'anno, ma non degli anni precedenti.
Una volta configurate correttamente le impostazioni relative, è possibile generare la nuova API key cliccando sul pulsante Genera key.
IMPORTANTE: L'API key, la key privata e il codice QR devono essere trattati come se fossero nome utente e password. Salvali in un password manager per potervi accedere nuovamente in seguito e qualora fosse necessario. Non salvarli in un formato non criptato!
Una API key è costituita da una coppia di chiavi (pubblica/privata) che devono essere fornite al software dell'API client.
Le API key possono essere fornite in diversi modi, ad esempio:
La coppia di chiavi può essere copiata e incollata come testo semplice direttamente nel codice del client API. Esempio: metodo utilizzato dal nostro PHP API client.
La coppia di chiavi può essere copiata e incollata in file di testo semplice accessibili all'API client. Esempio: metodo utilizzato dal nostro command line API client.
Nota: in alcuni software API client, la chiave privata prende il nome di "API secret" (o semplicemente "secret").
Le API key offrono già un metodo sicuro per autenticare l'accesso tramite API a un account Kraken, ma è possibile aumentare ulteriormente il livello di protezione aggiungendo l'autenticazione a due fattori (2FA).
La 2FA per l'API key può essere aggiunta a una API key esistente tramite la pagina Sicurezza e può utilizzare una password statica o Google Authenticator.
Nota: per aggiungere la 2FA a una API key è necessario utilizzare anche un API client che supporta la 2FA, fornendo i dati relativi per ogni richiesta ai metodi API privati. In caso contrario, al posto dell'output desiderato dell'API viene restituito un errore imprevisto.
Per ulteriori informazioni sul funzionamento della 2FA per le API key, clicca qui.