Behörigheten Add Withdrawal Addresses gör det möjligt för en API-nyckel att lägga till och ta bort uttagsadresser på ditt Kraken-konto. Den här artikeln förklarar vad behörigheten gör, vilka säkerhetsrisker den medför och hur du kan skydda ditt konto.
När du aktiverar behörigheten Add Withdrawal Addresses på en API-nyckel kan alla program eller tjänster som använder nyckeln:
Det innebär att API-nyckelns innehavare kan ändra vart dina medel får skickas, utan att logga in på kraken.com eller använda Kraken-appen.
Att aktivera den här behörigheten ökar risken avsevärt om din API-nyckel skulle hamna i fel händer. Tänk noga igenom följande risker innan du aktiverar den.
Om en angripare kommer över din API-nyckel (via ett dataintrång, nätfiske, skadlig programvara eller på annat sätt) kan de lägga till en egen uttagsadress på ditt konto. Kombinerat med behörigheten Withdraw Funds gör det möjligt för en angripare att ta ut dina tillgångar till en adress de kontrollerar.
Många kunder kopplar API-nycklar till tredjepartstjänster som portföljtracker, handelsbottar och verktyg för skatterapportering. Om du ger behörigheten Add Withdrawal Addresses till en nyckel som används av en tredjepartstjänst:
Rekommendation: Ge aldrig behörigheten Add Withdrawal Addresses till en API-nyckel som du delar med någon tredjepartstjänst. Aktivera bara den här behörigheten på nycklar som du använder i applikationer du har full kontroll över.
Behörigheten Add Withdrawal Addresses blir särskilt farlig om den kombineras med behörigheten Withdraw Funds på samma API-nyckel. En angripare med tillgång till en nyckel som har båda behörigheterna kan lägga till en egen uttagsadress och omedelbart initiera ett uttag – allt via API:et, utan någon ytterligare verifiering utöver nyckeln.
Rekommendation: Undvik att aktivera både Add Withdrawal Addresses och Withdraw Funds på samma API-nyckel om det inte är absolut nödvändigt. Använd separata nycklar med de minimibehörigheter som varje applikation behöver.
Om du behöver använda behörigheten Add Withdrawal Addresses bör du följa stegen nedan för att minska risken.
Begränsa din API-nyckel så att den bara kan användas från specifika IP-adresser. Det innebär att nyckeln inte kan användas från ett obehörigt nätverk, även om den skulle stjälas.
Konfigurera din API-nyckel så att den automatiskt upphör att gälla efter en angiven period. Det begränsar den tid en angripare har på sig att utnyttja en komprometterad nyckel.
Aktivera bara de behörigheter som din applikation faktiskt behöver. Om en applikation bara behöver läsa kontodata eller lägga order ska du inte ge den behörigheter för uttag eller adresshantering.
Använd en dedikerad API-nyckel för varje applikation eller användningsfall. På så sätt exponeras bara ett begränsat antal behörigheter om en nyckel komprometteras.
Granska regelbundet uttagsadresserna på ditt konto och kontrollera användningsloggarna för dina API-nycklar. Om du ser adresser eller aktivitet som du inte känner igen ska du omedelbart återkalla API-nyckeln och kontakta Kraken Support.
Lägg till ett extra skyddslager genom att aktivera 2FA direkt på din API-nyckel. När 2FA är aktiverat måste varje API-anrop med nyckeln innehålla en giltig 2FA-kod, vilket innebär att en stulen nyckel ensam inte räcker för att en angripare ska kunna göra ändringar på ditt konto.
Läs mer: Hur fungerar tvåfaktorsautentisering (2FA) för API-nycklar?
Åtgärd | Därför är det viktigt |
|---|---|
Aktivera bara på nycklar du har full kontroll över | Förhindrar exponering mot tredje part |
Kombinera aldrig med uttag av medel på samma nyckel (om det inte krävs) | Begränsar skadan vid en komprometterad nyckel |
Aktivera IP-vitlista | Blockerar användning från obehöriga nätverk |
Ange ett utgångsdatum för nyckeln | Begränsar en stulen nyckels användningstid |
Använd en nyckel per applikation | Begränsar skadeomfånget vid ett intrång |
Granska adresser och aktivitet regelbundet | Upptäcker obehöriga ändringar tidigt |