API Bybit без права вывода: три вещи, которые ломаются на практике

Год держу торговых ботов на Bybit по API. Самый частый вопрос от знакомых: «если дать боту ключ без права вывода — деньги в безопасности?»

Короткий ответ: от вывода — да, от слива — нет. А ещё есть три момента, о которых обычно не пишут в инструкциях «как создать ключ».

Как устроены права ключа

В Bybit V5 права ключа разбиты на группы. Торговля — ContractTrade (Order, Position) и Spot (SpotTrade). Деньги — группа Wallet: AccountTransfer, SubMemberTransfer, Withdraw.

Это разные разрешения. Ключ с торговыми правами и без права Withdraw может совершать разрешённые торговые операции, но не получает право на вывод средств.

Отдельно есть режим readOnly: для одного ключа может быть доступ только на чтение, для другого — разрешённые операции записи, необходимые для торговли.

Что ломается №1: ключ без IP может перестать работать

При работе с API важно отдельно проверить срок действия ключа и возможность привязки разрешённых IP-адресов.

Если сервис предоставляет фиксированные IP своих серверов, их имеет смысл добавить в белый список. Это дополнительный уровень защиты: даже при компрометации Secret запрос с постороннего адреса не должен пройти при корректно настроенном ограничении.

Что ломается №2: удалил ключ — позиция осталась

Удаление API-ключа отключает дальнейший доступ бота к аккаунту, но уже открытая на бирже позиция сама по себе от этого не исчезает.

Если отключаете торговый сервис, сначала проверьте открытые позиции и ордера непосредственно на бирже.

Хороший вопрос любому сервису заранее:

«Что произойдёт с открытыми позициями, если я отключу API?»

Это намного важнее красивой фразы «деньги остаются на вашей бирже».

Что ломается №3: API — не кнопка «полная безопасность»

Ключ без права Withdraw защищает от прямого вывода средств через это разрешение.

Но если у алгоритма есть право открывать сделки, остаётся торговый риск.

Бот может открыть неудачную позицию, использовать доступные ему торговые параметры или попасть в сильное движение рынка.

Деньги при этом никуда не выводятся — убыток возникает непосредственно в результате торговли.

Поэтому безопасность API и риск торговой стратегии — две разные вещи.

Мой чек-лист перед подключением любого бота

1. Требует ли сервис право Withdraw или переводы — и зачем.
2. Можно ли ограничить API по IP.
3. Где и как хранится API Secret.
4. Что происходит с открытыми позициями при отключении.
5. Какие ограничения риска используются при торговле.
6. Можно ли быстро остановить алгоритм и отозвать доступ.

И ещё один простой принцип: торговому алгоритму стоит выдавать только те разрешения, которые действительно необходимы для его работы.

API Secret нельзя публиковать, отправлять в открытые чаты или оставлять на скриншотах.

Ключ всегда можно отозвать отдельно от основного аккаунта.

Главное, что я вынес из работы с API: фраза «бот не может вывести деньги» не означает «бот не может принести убыток».

Это две совершенно разные вещи.

Автоматическая торговля, особенно с использованием кредитного плеча, связана с риском потери средств. Материал основан на личном опыте и не является инвестиционной рекомендацией.

Rafael
01.10.2026