مفتاح API هو كلمة مرور لا تطلب منك رمز التحقق الثاني أبداً. فبمجرد أن تُنشئ مفتاحاً على منصة عملات رقمية وتلصقه في روبوت تداول أو أداة لتتبّع المحفظة أو خدمة "توصيات"، يصبح بإمكان ذلك الطرف الثالث التصرف في حسابك طوال عمر المفتاح، ومن أي مكان يعمل منه، وبكل الصلاحيات التي فعّلتها على عجل. ومعظم حالات تفريغ الحسابات التي شهدناها في هذا القطاع لم تبدأ باختراق المنصة نفسها، بل بمفتاح يملك صلاحيات تفوق كثيراً ما تتطلبه مهمته.
تمنح بطاقة التقييم هذه درجة لكل خيار من خيارات الصلاحيات التي تحددها عند ربط أي أداة بحساب تداول العملات الرقمية. وهي موجهة إلى القرّاء في دبي والرياض والدوحة ومدينة الكويت ممن يستخدمون أكثر من تطبيق، ويريدون معرفة الإعدادات التي تحدّ من الضرر فعلاً وتلك التي لا تعدو كونها مظهراً شكلياً للأمان. وفي الختام نعرض الطريق الأبسط الذي تقدمه Traderise: أن تتداول عبر منصة تداول العملات الرقمية من داخل تطبيق واحد، دون مفتاح تُنشئه أو تخزّنه أو يتسرّب منك.
ما الذي يمنحه مفتاح API فعلياً
يأتي مفتاح API عادةً في صورة زوج: مفتاح عام يعرّف بهويتك، ومفتاح سري يوقّع كل طلب. ومن يملك الاثنين يستطيع إرسال أوامر تبدو للمنصة وكأنها صادرة منك تماماً، دون رسالة نصية أو تطبيق مصادقة أو بريد ينبهك إلى "جهاز جديد" في معظم الطلبات. فهذه هي فكرة الواجهة البرمجية أصلاً: آلات تتخاطب مع آلات دون تدخل بشري.
لذلك تكمن الحماية في إعدادات المفتاح لا في تسجيل دخولك. وعلى المنصات الكبرى يتشابه نموذج الصلاحيات إلى حد بعيد، وإن اختلفت المسميات:
- القراءة: عرض الأرصدة والأوامر المفتوحة وسجل الصفقات. لا يتحرك أي مبلغ.
- التداول: وضع الأوامر وإلغاؤها. يتغير شكل الأموال لكنها تبقى داخل الحساب.
- الهامش أو العقود الآجلة: فتح مراكز بالرافعة المالية، وقد تتجاوز الخسائر ما كان يُفترض أن يخاطر به الروبوت.
- التحويل الداخلي: نقل الأموال بين الحسابات الفرعية أو المحافظ داخل المنصة نفسها.
- السحب: إرسال العملات إلى عنوان خارجي، وهي الصلاحية التي تحوّل التسريب إلى سرقة.
وتتفق أدلة أمان المفاتيح على قاعدة أساسية واحدة: أقل صلاحية ممكنة، وتقييد بعنوان IP، وعدم منح صلاحية السحب لأي أداة يديرها طرف ثالث، وتجديد المفاتيح دورياً، كما يلخص دليل CoinPaprika لمفاتيح API. لا شيء من ذلك معقّد، لكنه نادراً ما يُطبَّق.
بطاقة التقييم: درجة لكل صلاحية
نقيّم كل إعداد بسؤال واحد: لو تسرّب هذا المفتاح غداً، فما أسوأ نتيجة واقعية؟ الدرجة A تعني أن الضرر يكاد يكون معدوماً، والدرجة F تعني أن الضرر هو رصيدك كله.
القراءة فقط: الدرجة A
تسرّب مفتاح للقراءة فقط يكشف أرصدتك وسجلك. هذه مشكلة خصوصية، وقد تجعلك هدفاً لرسائل التصيّد، لكن لا يمكن وضع أي أمر ولا يمكن سحب أي عملة. أدوات الضرائب ومتتبعات المحافظ لا تحتاج إلى أكثر من ذلك. وإذا طلبت أداة تتبّع صلاحية التداول، فذلك إنذار بشأن المنتج نفسه وليس ميزة إضافية.
القراءة مع التداول الفوري: الدرجة B
لا يستطيع اللص الذي يحمل مفتاح تداول فقط أن يسحب أموالك، لكنه قادر على إيذائك. والحيلة المعروفة هي شراء عملة ضعيفة السيولة بأسعار مبالغ فيها من حساب يسيطر عليه المهاجم على الطرف الآخر، فينتقل رصيدك إليه عبر دفتر الأوامر لا عبر السحب. الضرر حقيقي لكنه محدود، ويمكنك إيقافه لحظة إلغاء المفتاح. وهذا هو المستوى المناسب لروبوت يتداول في السوق الفورية فقط.
تفعيل الهامش والعقود الآجلة: الدرجة C
الرافعة المالية تغيّر الحسابات كلياً. فالروبوت الذي يملك صلاحية العقود الآجلة وفيه خلل برمجي، أو اللص الذي يحمل المفتاح نفسه، قد يفتح مراكز تفوق رصيدك بأضعاف ويتعرض للتصفية خلال دقائق. لا تفعّل هذه الصلاحية إلا إذا كانت الاستراتيجية تتطلبها حقاً، وعلى حساب فرعي مموَّل بالمبلغ الذي تقبل خسارته فقط.
التحويل الداخلي: الدرجة D
يسهل إغفال صلاحيات التحويل لأنها تبدو بريئة، لكنها تسمح بنقل القيمة بين حساباتك الفرعية أو أنواع المحافظ، ما قد يسحب المال من الرصيد "الآمن" إلى الرصيد الذي يتحكم فيه المفتاح المخترق. لا تحتاج أي أتمتة تقريباً إلى هذه الصلاحية، فاتركها معطلة.
السحب: الدرجة F
لا يحتاج أي روبوت تداول مشروع أو أداة نسخ صفقات أو متتبع محافظ إلى إرسال عملاتك إلى عنوان خارجي. الروبوت يتداول ولا يسحب. والمفتاح الذي يملك صلاحية السحب دون تقييد بعنوان IP هو أسوأ ما يمكن أن تُنشئه على حساب عملات رقمية. وإذا أصرّت خدمة ما على هذه الصلاحية، فابتعد عنها.
ضوابط ترفع الدرجة
الصلاحيات تحدد ما يستطيع المفتاح فعله، أما الضوابط التالية فتحدد من أين، ولأي مدة، وبأي مبلغ.
القائمة البيضاء لعناوين IP
ربط المفتاح بعنوان IP ثابت للخادم الذي يشغّل الروبوت يعني أن المنصة سترفض أي طلب من مكان آخر حتى لو انكشف المفتاح السري. وقد أدخلت منصات عدة هذا الشرط في قواعدها؛ فمنصة Binance مثلاً لا تسمح بتفعيل السحب على مفتاح غير مقيد بعنوان IP، كما تُلغى صلاحية التداول الفوري تلقائياً بعد 90 يوماً على المفاتيح غير المقيدة، وفق مقارنة CoTrading بين المنصات ودليل Fincode لأمان الروبوتات. ويذكر مركز مساعدة Crypto.com أن المفاتيح الجديدة تكون للقراءة فقط افتراضياً، وأن تفعيل التداول أو السحب يتطلب قائمة بيضاء لعناوين IP، بحسب صفحة المساعدة الخاصة بالواجهة البرمجية. والقواعد تتغير، فتأكد من الصياغة الحالية على منصتك قبل الاعتماد عليها.
وهنا تفصيل عملي يخص مستخدمي الخليج: معظم اتصالات الإنترنت المنزلية في الإمارات والسعودية وقطر تعتمد عناوين IP متغيرة تتبدل دون إشعار. فإذا أضفت عنوان منزلك إلى القائمة البيضاء، سيتوقف الروبوت عند أول إعادة اتصال للراوتر. والحل العملي هو تشغيل الروبوت على خادم سحابي بعنوان ثابت، وإضافة ذلك العنوان وحده.
الحسابات الفرعية كجدار عازل
الحساب الفرعي الذي يحتوي على رأس مال أسبوعين من التداول لا يمكن أن يخسر أكثر من رأس مال أسبوعين. وهذا أقوى من أي إعداد للصلاحيات، لأنه يحدّ أيضاً من ضرر روبوت يعمل "بشكل صحيح" لكن بغباء، كأن يواصل الشراء في سوق هابطة لأن مصدر الأسعار توقف عن التحديث.
القائمة البيضاء لعناوين السحب
بمعزل عن المفتاح، تتيح معظم المنصات قصر السحب على عناوين محافظ معتمدة مسبقاً، وغالباً مع مهلة قبل تفعيل أي عنوان جديد. فعّل هذا الخيار حتى لو لم يكن لدى أي مفتاح صلاحية سحب، فهو يحميك من سرقة بيانات الدخول كما يحميك من سرقة المفتاح.
التجديد وانتهاء الصلاحية
تعامل مع المفاتيح على أنها مؤقتة. جدّد مفاتيح الاستخدام الفعلي كل بضعة أشهر، واحذف ما لم تعد تستخدمه، وألغِ المفتاح فوراً عند التوقف عن استخدام أداة ما أو تغيير هاتفك أو مشاركة شاشتك بالخطأ. وانتهاء الصلاحية الذي تفرضه المنصة ميزة لا مصدر إزعاج.
من أين تتسرب المفاتيح في الواقع
اختراقات المنصات تتصدر العناوين، لكن الخسائر الفردية تأتي عادةً من أماكن أقل إثارة بكثير:
- لقطات الشاشة والمحادثات: يلصق البعض المفتاح في مجموعة تيليغرام أو محادثة واتساب "لطلب المساعدة في إعداد الروبوت"، فتبقى الرسالة على هواتف عدة ونسخ احتياطية سحابية.
- مستودعات الشيفرة: المفتاح السري المكتوب داخل سكربت والمرفوع إلى مستودع عام كثيراً ما تكتشفه أدوات المسح الآلي خلال ساعات.
- خدمات الروبوتات غير الموثوقة: موقع أنيق ببرنامج إحالة ودون سجل واضح هو أسهل وسيلة لجمع آلاف المفاتيح دفعة واحدة. اسأل من يديره، وأين هو مسجّل، وما مصير مفتاحك إن اختفت الشركة.
- الأجهزة المشتركة وإضافات المتصفح: الإضافة الخبيثة التي تقرأ الحافظة قد تلتقط المفتاح السري لحظة نسخه.
- المفاتيح المنسية: الأداة التي جربتها العام الماضي ثم تركتها ما زال مفتاحها فعالاً بصلاحية تداول، ولا أحد يراقبه، ولا حتى أنت.
وشهد أواخر أكتوبر ما وصفه تقرير Charles Schwab الأسبوعي بأنه أكبر سرقة عملات رقمية مسجلة، وقد نجا العملاء إلى حد كبير بفضل تجميد الأصول وتغطية المنصة المتضررة للخسائر، بحسب التوقعات الأسبوعية للمتداولين من Schwab. تلك النتيجة كانت مرهونة بالمنصة؛ أما حين يكون التسريب من مفتاحك أنت، فلن يغطيه أحد.
مراجعة في خمس دقائق لحساباتك
افتح كل حساب لديك على منصات العملات الرقمية، وانتقل إلى صفحة إدارة مفاتيح API، وأجب عن الأسئلة التالية بالترتيب لكل مفتاح:
- هل ما زلت أستخدم الأداة المرتبطة بهذا المفتاح؟ إن لم يكن كذلك فاحذفه الآن.
- هل صلاحية السحب مفعّلة؟ إن كانت كذلك ولا تستطيع تحديد سبب دقيق، فعطّلها.
- هل صلاحيات التحويل أو الهامش أو العقود الآجلة مفعّلة دون حاجة واضحة؟ أوقفها.
- هل المفتاح مقيّد بعنوان IP؟ إن لم يكن، فإما أن تربطه بعنوان خادم ثابت، أو تقبل أنه مفتاح عالي المخاطر وتموّله بناءً على ذلك.
- متى أُنشئ؟ أي مفتاح تجاوز عمره نحو 90 يوماً يستحق الاستبدال.
- هل القائمة البيضاء لعناوين السحب مفعّلة على الحساب نفسه؟ إن لم تكن، ففعّلها.
دوّن النتائج في جدول بسيط: المنصة، الأداة، الصلاحيات، هل المفتاح مقيد بعنوان IP، تاريخ الإنشاء. ومعظم من يفعل ذلك يكتشف مفتاحاً واحداً على الأقل كان قد نسيه.
حجة تقليل المفاتيح: التداول من داخل تطبيق واحد
كل ربط تضيفه سرّ إضافي عليك حمايته. وبالنسبة إلى كثير من المتداولين الأفراد في الخليج، لا يوجد الروبوت أو لوحة التحكم الخارجية إلا لحل مشكلة لم يحلها التطبيق الأساسي: تداول العملات الرقمية إلى جانب أسواق أخرى، أو واجهة أوضح على الهاتف، أو تجنّب أثر العمولات على الأوامر الصغيرة. فإذا كان تطبيق واحد يلبي هذه الاحتياجات، فإن أكثر المفاتيح أماناً هو الذي لا تُنشئه أصلاً، وهذه هي الفجوة التي تسعى Traderise إلى سدّها.
بُني تطبيق التداول من Traderise على هذه الفكرة: تتداول من داخل التطبيق نفسه، فلا مفتاح API تُنشئه أو تلصقه أو تجدده، ولا شيء تسلّمه لخدمة خارجية. وفي المقابل تحصل على حساب واحد يوفر:
- عقود فروقات على العملات الرقمية على مدار الساعة طوال الأسبوع في Traderise، فتتداول تحركات عطلة نهاية الأسبوع دون نقل أموالك إلى منصة أخرى.
- صفر عمولات وصفر رسوم في Traderise، وهذا مهم حين تكون الميزة الأساسية للروبوت هي خفض تكلفة الصفقات الصغيرة المتكررة.
- أكثر من 1000 أداة مالية عبر 8 أسواق، منها الأسهم الأمريكية عبر منصة الاسهم والذهب عبر منصة تداول الذهب، فلا تضطر إلى الجمع بين منصات عدة بمجموعات متعددة من بيانات الدخول.
- حد أدنى للإيداع قدره 10 دولارات، ما يسهّل تجربة التطبيق بمبلغ صغير قبل الالتزام بمبالغ أكبر.
- تغطية صفقتك الأولى حتى 100 دولار (تطبق الشروط والأحكام)، وهي هامش أمان لمركزك الأول ريثما تتعرف على طريقة عمل التطبيق.
ولأن هذا الموقع وُجد لكشف المبالغات التسويقية، نقولها بصراحة: تداول عقود الفروقات على العملات الرقمية يعني أنك تتداول تحركات الأسعار، لا أنك تحتفظ بالعملات في محفظة تتحكم فيها. هذا يناسب المتداول النشط الذي يهتم بالتعرض للسعر وسهولة التنفيذ، ولا يناسب من يريد الحفظ الذاتي للعملات أو ربط خوارزمية خاصة. اختر الأداة المناسبة للمهمة، واستخدم Traderise حين يكون التعرض للسعر هو ما تريده فعلاً.
التمويل من الخليج
أياً كان الطريق الذي تختاره، راجع مسار العملة. فمعظم حسابات العملات الرقمية وعقود الفروقات مقوّمة بالدولار الأمريكي. والدرهم الإماراتي والريال السعودي مربوطان بالدولار عند نحو 3.67 درهم و3.75 ريال، فيبقى سعر الصرف نفسه متوقعاً، لكن مصرفك أو مزوّد بطاقتك قد يضيف هامش تحويل أو رسوم معاملات أجنبية. قارن المبلغ الذي وصل إلى الحساب بالمبلغ الذي خرج من مصرفك قبل أن تلوم المنصة. وعلى القرّاء في الكويت وقطر والبحرين وعُمان إجراء الفحص نفسه مع التحويلات بالدينار الكويتي والريال القطري والدينار البحريني والريال العُماني.
خلاصة بطاقة التقييم
- A: مفتاح للقراءة فقط، مقيد بعنوان IP، تستخدمه أداة تثق بها.
- B: قراءة مع تداول فوري، مقيد بعنوان IP، على حساب فرعي ممول، والسحب معطّل.
- C: صلاحيات العقود الآجلة أو الهامش على حساب فرعي مخصص برصيد محدود.
- D: أي مفتاح يملك صلاحية التحويل أو غير مقيد بعنوان IP ويحتوي على مبالغ معتبرة.
- F: أي مفتاح يملك صلاحية السحب، أو أي مفتاح لا تتذكر أنك أنشأته.
وأفضل درجة على الإطلاق هي المفتاح غير الموجود. فإذا كان هدفك تداولاً مباشراً للعملات الرقمية بلا عمولات ومتاحاً على مدار الساعة، فافتح التطبيق وموّله خلال دقائق وتداول من مكان واحد. يمكنك بدء تداول عقود الفروقات على العملات الرقمية مع Traderise والاستغناء عن بيانات الدخول الإضافية كلياً.
تحذير من المخاطر: عقود الفروقات والعملات الرقمية منتجات متقلبة تعتمد على الرافعة المالية، وقد تخسر أموالك بسرعة. هذا المقال معلومات عامة وليس نصيحة مالية شخصية. راعِ ظروفك الخاصة ولا تتداول إلا بأموال يمكنك تحمّل خسارتها.