Почему бот работает на вашем сервере и держит ваши ключи

Есть два способа запускать торгового бота для клиента. Он работает на его инфраструктуре с его ключами — или на инфраструктуре подрядчика. Второй удобнее всем и меняет саму суть договорённости.

Что на самом деле означает бот на чужом хостинге

Если бот работает на серверах подрядчика, то у инфраструктуры подрядчика есть ваши API-ключи. А значит:

• Их безопасность — это ваша безопасность. Их взлом — ваш взлом.
• Их доступность — это ваша доступность, и вы её не видите.
• Их непрерывность бизнеса — это непрерывность вашей торговли.
• Вы доверяете контролю, который не можете проверить, постоянно и бессрочно.

Ничто из этого не требует, чтобы кто-то вёл себя плохо. Это описание того, где лежит риск.

Граница по хранению средств

Есть чёткая линия, которую стоит назвать. Торговому боту нужно разрешение на торговлю на API-ключе. Разрешение на вывод средств ему не нужно никогда и ни при какой архитектуре.

С торговыми ключами и собственной инфраструктурой худший случай полной компрометации — плохая торговля: реально, ограниченно и видно в вашем аккаунте. С правом вывода на чужом сервере худший случай — средств больше нет.

Практические выгоды помимо риска

Последняя строка важнее всех и рассматривается реже всех. Программа на вашем сервере продолжает работать, когда отношения заканчиваются. Для того, что управляет позициями, это немалое свойство.

Чего это стоит вам

Честность требует назвать обратную сторону: запускать самому означает взять на себя эксплуатацию. Оплачиваемый VPS, система, которую надо обновлять, мониторинг, за которым надо следить, алерт, который вас разбудит.

Это настоящая работа, и поэтому хостинг у подрядчика привлекателен. Наш ответ — сделать эксплуатационную нагрузку маленькой, а не забирать её себе: деплой в контейнере, systemd-юнит с перезапуском при падении, health-эндпоинты, пульт в Telegram, чтобы повседневная работа не требовала SSH, и инструкция, где написано, что означает каждый алерт.

Для одного бота на одном VPS текущая эксплуатация должна занимать несколько минут в неделю. Если подрядчик говорит, что должно быть больше, он описывает своё программное обеспечение, а не объективное ограничение.

Разумная середина

Между двумя вариантами есть законная схема: бот работает на инфраструктуре, которой владеете и за которую платите вы — ваш облачный аккаунт, ваш VPS, — а у подрядчика есть ограниченный по времени операционный доступ для деплоя и отладки.

У вас остаются ключи, аккаунт и рубильник. У них достаточно доступа, чтобы делать работу. Доступ отзывается одним действием из аккаунта, который им не принадлежит. Именно такую форму мы рекомендуем, когда заказчик действительно не хочет эксплуатировать систему сам.