Borsa API Güvenliği ve Risk Azaltma: Trading Bot Altyapınızı Koruma

#Borsa API Güvenliği ve Risk Azaltma: Trading Bot Altyapınızı Koruma

Trading botunuz tek bir arayüz üzerinden çalışır: borsa API'si. Her emir, her bakiye kontrolü, her pozisyon sorgulaması oluşturduğunuz API kimlik bilgileri üzerinden akar. Bu bilgiler yanlış yapılandırılmış, ele geçirilmiş veya yanlış anlaşılmışsa, sonuçlar yetkisiz işlemlerden hesabın tamamen boşaltılmasına kadar uzanır.

Bu rehber, temel güvenlik hijyeninin ötesine geçerek (temel güvenlik rehberimizde ele alınan konular) profesyonel bot operatörlerini amatörlerden ayıran operasyonel güvenlik çerçevesini derinlemesine inceler. İzin mimarisi, ağ düzeyinde erişim kontrolleri, kimlik bilgisi yaşam döngüsü yönetimi, borsa arıza yönetimi ve eksiksiz bir olay müdahale planını kapsıyoruz.

#API Anahtar İzin Seviyeleri: En Az Yetki İlkesi

Her büyük borsa, API anahtarları için ayrıntılı bir izin sistemi uygular. İlke basittir: bota tam olarak ihtiyaç duyduğu izinleri verin, fazlasını değil. İşte her seviyenin neyi kontrol ettiği:

#İzin Mimarisi

#Çekim İzni Neden Ölüm Düğmesidir

Çekim devre dışıyken, ele geçirilmiş bir API anahtarından en kötü senaryo şudur: saldırgan kötü işlemler yapar. Sermayeniz darbe alır ama borsada kalır. Kurtarabilirsiniz.

Çekim etkinken, en kötü durum toplam kayıptır. Saldırgan hesabınızı saniyeler içinde kendi cüzdanına boşaltır. Kripto işlemleri geri alınamaz. İade yok, kurtarma yok.

Matematik nettir. Binance'de 50.000$'ınız olduğunu varsayalım:

• Çekim devre dışı, anahtar ele geçirildi: Saldırgan düzensiz işlemler yapar. Gerçekçi kayıp: anahtarı fark edip iptal edene kadar kayma ve kötü dolumlardan 2.000$–10.000$. Kalan sermaye: 40.000$–48.000$.
• Çekim etkin, anahtar ele geçirildi: Saldırgan 50.000$'ı kendi cüzdanına gönderir. Kalan sermaye: 0$.

#Borsaya Özel İzin Kurulumu

Binance: Hesap → API Yönetimi → API Oluştur'a gidin. "API kısıtlamaları" altında yalnızca "Spot ve Margin İşlemini Etkinleştir"i etkinleştirin. "Çekimleri Etkinleştir" ve "Dahili Transferi Etkinleştir"i işaretlenmemiş bırakın. Vadeli botlar için "Vadeli İşlemi Etkinleştir"i de işaretleyin.

Bybit: Profil → API Yönetimi → Yeni Anahtar Oluştur'a gidin. İzinler altında yalnızca Spot için "Okuma-Yazma"yı (veya gerekiyorsa Türevler) etkinleştirin. "Çekim" düğmesi KAPALI kalmalıdır.

OKX: Profil → API Anahtarları → API Anahtarı Oluştur'a gidin. "İzinler" altında yalnızca "İşlem"i seçin. OKX, API kimlik doğrulaması için ek bir parola gerektirir — bunu anahtar ve gizli anahtarla birlikte şifre yöneticinizde saklayın.

#IP Beyaz Listesi: Ağ Düzeyinde Erişim Kontrolü

IP beyaz listesi, çalınan API anahtarlarına karşı en etkili tek savunmadır. Bir saldırgan API anahtarınızı ve gizli anahtarınızı ele geçirse bile kullanamaz — borsa, beyaz listeye alınmamış bir IP adresinden gelen tüm istekleri reddeder.

#IP Beyaz Listesi Nasıl Çalışır

Bot Sunucunuz (IP: 34.85.123.45) → Borsa API → ✅ Beyaz listede → Emir Yürütüldü
Saldırganın Sunucusu (IP: 192.168.0.99) → Borsa API → ❌ Beyaz listede değil → İstek Reddedildi

Borsa, her API anahtarı için bir IP adresleri izin listesi tutar. Gelen her API isteğinin kaynak IP'si, herhangi bir işlem yapılmadan önce bu listeye karşı kontrol edilir. Beyaz listede olmayan IP'lerden gelen istekler, API anahtarı ve imza geçerli olsa bile bir kimlik doğrulama hatasıyla reddedilir.

#Neden Vazgeçilmezdir

IP beyaz listesi olmadan, API bilgilerinizi elde eden herkes bunları dünyanın herhangi bir yerinden kullanabilir. IP beyaz listesiyle saldırganın ayrıca bot platformunuzun sunucu altyapısını da ele geçirmesi gerekir — çok daha zor bir hedef.

#Platforma Özel Kurulum

Binance:

1. API Yönetiminde anahtarınızı seçin ve "Kısıtlamaları düzenle"ye tıklayın
2. "IP erişim kısıtlamaları" altında "Yalnızca güvenilir IP'lerle erişimi kısıtla"yı seçin
3. Her IP adresini ayrı satıra girin (Binance anahtar başına 30 IP'ye kadar destekler)
4. Kaydedin ve 2FA doğrulamasını tamamlayın
5. Not: Binance, IP beyaz listesi değişikliklerinden sonra 5 dakikalık bir yayılma gecikmesi uygular

Bybit:

1. API Yönetiminde API anahtarınızı düzenleyin
2. "IP Erişimi" altında "Değiştir"e tıklayın
3. Platformunuzun sunucu IP'lerini girin (Bybit 20 IP'ye kadar destekler)
4. IP kısıtlaması olmayan anahtarlar Bybit'te 90 gün sonra otomatik olarak sona erer
5. Kaydetmek için 2FA doğrulamasını tamamlayın

OKX:

1. API yönetim panelinde API anahtarınızı düzenleyin
2. "IP Adresi" alanına IP adreslerini ekleyin (OKX 20 IP'ye kadar destekler)
3. OKX beyaz listeyi şiddetle önerir — kısıtlanmamış anahtarların rate limitleri daha düşüktür
4. Kaydedin ve 2FA ile onaylayın

#Yaygın IP Beyaz Listesi Hataları

#API Anahtar Rotasyonu: 90 Günlük Yaşam Döngüsü

API anahtarları şifreler gibi ele alınmalıdır: raf ömürleri vardır. Bir anahtar ne kadar uzun süredir mevcutsa, log dosyaları, destek talepleri, ekran görüntüleri veya bellek dökümleri yoluyla ifşa edilmiş olma olasılığı o kadar yüksektir. Profesyonel operatörler anahtarları sabit bir programa göre rotasyona alır.

#Önerilen Rotasyon Sıklığı

#Sıfır Kesintili Rotasyon Prosedürü

Anahtar rotasyonu asla işlem kesintisine neden olmamalıdır. Bu sırayı izleyin:

Adım 1: Borsada yeni API anahtarını oluşturun Eskisiyle aynı izinlere ve IP beyaz listesi ayarlarına sahip yeni bir anahtar oluşturun. Güncel tarihle etiketleyin (örn. "Freya Bot — Mayıs 2026").

Adım 2: Bot platformunuzu yeni anahtarla güncelleyin Yeni API anahtarını ve gizli anahtarını bot platformunuzun ayarlarına girin. Çoğu platform, botları durdurmadan kimlik bilgilerini güncellemeye olanak tanır.

Adım 3: Bağlantıyı doğrulayın Yeni anahtarın çalıştığını onaylayın: platformun başarılı bir bağlantı gösterdiğini, bakiyelerin doğru görüntülendiğini ve bir test işleminin (uygulanabilirse) yürütüldüğünü kontrol edin.

Adım 4: Borsada eski anahtarı silin Yalnızca yeni anahtarın çalıştığını doğruladıktan sonra, eski anahtarı borsanızın API yönetim sayfasından silin.

Adım 5: Rotasyonu belgeleyin Rotasyon tarihini, yeni anahtar etiketini ve başarılı geçiş onayını kaydedin.

#Alt Hesap İzolasyonu: Patlama Yarıçapını Sınırlama

Borsa alt hesapları, ana hesabınız altında ayrı ticaret hesaplarıdır. Her alt hesabın kendi bakiyesi, kendi API anahtarları ve kendi işlem geçmişi vardır. Siber güvenlikteki ağ segmentasyonunun borsa karşılığıdır.

#Alt Hesaplar Neden Önemlidir

Şu senaryoyu düşünün: üç bot çalıştırıyorsunuz — bir BTC DCA botu, bir ETH grid botu ve bir SOL momentum botu — hepsi 30.000$ toplam sermayeyle ana hesabınıza bağlı.

Alt hesaplar olmadan: Ele geçirilmiş bir API anahtarı 30.000$'ı ifşa eder. Arızalı bir bot, hızlı ve düzensiz işlemler yoluyla tüm bakiyeyi boşaltabilir.

Alt hesaplarla: Her bot 10.000$ ile kendi alt hesabında çalışır. Ele geçirilmiş bir anahtar yalnızca 10.000$'ı ifşa eder. Arızalı bir bot yalnızca tahsis edilmiş sermayesini etkileyebilir. Diğer 20.000$ dokunulmazdır.

#Borsaya Göre Alt Hesap Kurulumu

#Önerilen Alt Hesap Mimarisi

Üç bota dağıtılmış 30.000$'lık bir portföy için:

Ana Hesap (Master)
├── Alt Hesap A: BTC DCA Bot — 10.000$
│   └── API Anahtarı A (spot işlem + okuma, IP beyaz listesinde)
├── Alt Hesap B: ETH Grid Bot — 10.000$
│   └── API Anahtarı B (spot işlem + okuma, IP beyaz listesinde)
├── Alt Hesap C: SOL Momentum Bot — 10.000$
│   └── API Anahtarı C (spot işlem + okuma, IP beyaz listesinde)
└── Yedek: 0$ (ana hesapta tutulur, gerektiğinde transfer edilir)

Her alt hesabın kendi API anahtarı, kendi IP beyaz listesi vardır ve yalnızca kendi fonlarına erişebilir. Ana hesap anahtarı — işlem izni olmayan — gerektiğinde alt hesaplar arasında fon transferlerini yönetir.

#Borsa İşlem Sırasında Çökerse Ne Olur?

Borsa kesintileri yaşanır. Binance, Bybit ve OKX'in hepsi kesinti yaşamıştır — bazen planlı (bakım), bazen plansız (DDoS saldırıları, altyapı arızaları, yük artışına neden olan aşırı piyasa volatilitesi). Botunuz bunları zarif bir şekilde yönetmelidir.

#Kesinti Sırasında Açık Emirler

Verdiğiniz açık limit emirleri, API erişilemez olsa bile borsanın emir defterinde kalır. Eşleştirme motoru API ağ geçidinden bağımsızdır. Emirleriniz API kesintisi sırasında dolmaya devam edebilir.

Bu şu anlama gelir: BTC için 99.500$'da bir limit alımınız varsa ve API çökerse, o emir hâlâ aktiftir. BTC 99.500$'a düşerse, botunuz borsayla iletişim kuramasa bile doldurursunuz.

#Bot Yeniden Bağlantısı ve Durum Mutabakatı

API geri geldiğinde, iyi tasarlanmış bir bot iç durumunu borsanın gerçek durumuyla mutabık kılmalıdır. Bu süreç şunları içerir:

1. Tüm açık emirleri sorgulama — Hangi emirlerin hâlâ aktif, hangilerinin dolmuş, hangilerinin kısmen dolmuş ve hangilerinin iptal edilmiş olduğunu kontrol edin
2. İç kayıtlarla karşılaştırma — Borsa durumunu botun beklediğiyle eşleştirin
3. Tutarsızlıkları çözme — Gerçek dolumlara göre iç pozisyonları güncelleyin
4. Normal operasyona devam — Mutabık kılınmış durumdan strateji yürütmeye devam edin

#Kısmi Dolumlar

Kısmi dolumlar, emrinizin yalnızca bir kısmı kesintiden önce (veya yetersiz likidite nedeniyle) yürütüldüğünde gerçekleşir. Örnek:

• 100.000$'dan 0,5 BTC için limit alım emri verirsiniz (50.000$ emir)
• API bağlantısı kesilmeden önce 0,3 BTC dolar (30.000$)
• Bot yeniden bağlandığında pozisyonda 0,3 BTC ve hâlâ açık 0,2 BTC bulur

Sağlam bir bot bunu şöyle yönetir:

• Kısmi dolumu tanır ve pozisyon boyutunu günceller
• Kalan 0,2 BTC emrini aktif tutup tutmamaya veya iptal etmeye karar verir
• Take-profit ve stop-loss seviyelerini gerçek pozisyon boyutuna (amaçlanan 0,5 BTC değil, 0,3 BTC) göre ayarlar

#Borsa Kesintisi Sırasında Ne Yapmalısınız

#Rate Limiting: Borsa Sınırlarına Saygı

Borsalar altyapılarını aşırı yüklenmekten korumak için rate limitleri uygular. Her API çağrısı — her emir yerleştirme, her bakiye kontrolü, her piyasa veri isteği — rate limit bütçenizden düşer.

#Borsa Rate Limitleri

#Botlar Rate Limitleri Nasıl Yönetir

Profesyonel botlar çeşitli rate limit yönetim teknikleri uygular:

İstek kuyruğu: API çağrılarını hemen göndermek yerine, istekler bunları kontrollü bir hızla serbest bırakan bir kuyruğa girer. Binance için bu, 1.200/dk limitinin çok altında kalmak amacıyla saniyede 20'den fazla istek olmaması anlamına gelir.

Ağırlık tabanlı bütçeleme: Bazı borsalar (özellikle Binance) farklı endpoint'lere farklı "ağırlıklar" atar. Basit bir bakiye kontrolü 1 ağırlık, karmaşık bir emir geçmişi sorgusu 20 ağırlık maliyetli olabilir. Botlar limite ulaşmamak için kümülatif ağırlığı takip eder.

Üstel geri çekilme: Bot bir rate limit hatası alırsa (HTTP 429), yeniden denemeden önce giderek daha uzun süre bekler: 1 saniye, sonra 2, sonra 4, sonra 8. Bu, yeniden deneme patlamasının durumu kötüleştirmesini önler.

REST yerine WebSocket: Piyasa verileri için WebSocket bağlantıları, REST endpoint'lerini yoklamaktan çok daha verimlidir. Tek bir WebSocket bağlantısı, rate limit bütçesi tüketmeden gerçek zamanlı fiyat güncellemeleri sağlar. İyi yapılmış botlar veri için WebSocket'i ve yalnızca emir yönetimi için REST'i kullanır.

#Borsa Karşı Taraf Riski: FTX Dersi

Kasım 2022'de dünyanın üçüncü büyük kripto borsası FTX, bir haftadan kısa sürede çöktü. 8 milyar dolarlık müşteri fonu buharlaştı. Tüm ticaret sermayesini FTX'te tutan kullanıcılar, API anahtarları ne kadar güvenli olursa olsun veya botları ne kadar iyi performans gösterirse göstersin her şeylerini kaybetti.

Ders: Borsanın kendisi başarısız olursa API anahtar güvenliğiniz önemsizdir.

#Karşı Taraf Riski Türleri

#Çoklu Borsa Çeşitlendirmesi

Azaltma basittir: tüm ticaret sermayenizi tek bir borsada tutmayın. 2–3 büyük, bağımsız işletilen borsaya dağıtın.

60.000$ toplam sermaye için örnek dağılım:

Herhangi bir borsa başarısız olursa, sermayenizin en fazla %42'sini kaybedersiniz — acı verici ama hayatta kalınabilir. 60.000$'ı yalnızca FTX'te tutsaydınız, %100 kaybederdiniz.

#Karşı Taraf Riski İçin Neleri İzlemeli

• Rezerv Kanıtı raporları — Düzenli olarak yayınlanıyor mu? Saygın firmalar tarafından denetleniyor mu?
• Çekim işleme süreleri — Çekimlerde ani gecikmeler erken bir uyarı işaretidir
• Sosyal medya ve haberler — Borsa yöneticilerinin düzensiz davranması, olağan dışı kurumsal değişiklikler
• Düzenleyici gelişmeler — Önemli pazarlarda davalar, düzenleyici eylemler veya lisans iptalleri
• Kendi çekim yeteneğiniz — Fonlarınıza erişebildiğinizi doğrulamak için periyodik olarak çekim testi yapın

#Olay Müdahale Kontrol Listesi

Bir güvenlik olayı meydana geldiğinde — veya hatta birinden şüphelendiğinizde — müdahale hızı sonucu belirler. Bu kontrol listesini sırayla izleyin:

#Adım 1: Şüpheli API Anahtarını Hemen Devre Dışı Bırakın

Borsaya doğrudan giriş yapın (URL'yi manuel olarak yazın, hiçbir bağlantıya tıklamayın). Ele geçirilmiş anahtarı silin veya devre dışı bırakın. Bu 30 saniye sürer ve tüm yetkisiz erişimi anında keser.

#Adım 2: Tüm Açık Emirleri Kontrol Edin ve İptal Edin

Borsadaki her açık emri gözden geçirin. Vermediğiniz veya tanımadığınız her şeyi iptal edin. Yalnızca botunuzun kullandığı çiftleri değil, tüm işlem çiftlerini kontrol edin — bir saldırgan asla seçmeyeceğiniz çiftlerde işlem yapabilir.

#Adım 3: Çekim Geçmişini Doğrulayın

Son 24–48 saatlik çekim geçmişini kontrol edin. Her çekimin sizin tarafınızdan yetkilendirildiğini doğrulayın. Yetkisiz çekimler görürseniz, hemen borsa desteğiyle iletişime geçin ve işlem hash'lerini belgeleyin.

#Adım 4: Borsa Şifrenizi Değiştirin

Şifrenizi yeni, rastgele oluşturulmuş bir dizeyle sıfırlayın (şifre yöneticinizi kullanın). Saldırganın daha geniş hesap erişimi olduysa, eski şifre ele geçirilmiştir.

#Adım 5: IP Beyaz Listesiyle Yeni API Anahtarları Oluşturun

Minimum gerekli izinler ve sıkı IP beyaz listesiyle yeni API anahtarları oluşturun. Ele geçirilmiş anahtardan hiçbir ayarı yeniden kullanmayın.

#Adım 6: Bot Yapılandırmasını Güncelleyin

Yeni API kimlik bilgilerini bot platformunuza girin. İşlemi sürdürmeden önce bağlantıyı ve doğru çalışmayı doğrulayın.

#Adım 7: Erişim Günlüklerini Denetleyin

Şunları gözden geçirin:

• Tanıdık olmayan IP adresleri için borsa API erişim günlükleri
• Yetkisiz oturumlar için borsa giriş geçmişi
• Yetkisiz erişim veya yönlendirme kuralları için e-posta hesabı
• Yetkisiz yapılandırma değişiklikleri için bot platform hesabı

#Adım 8: Olayı Bildirin

Bulgularınızla borsanın resmi güvenlik ekibiyle iletişime geçin. Fon çalındıysa, yerel kolluk kuvvetlerine ve ülkenizin mali suç otoritesine rapor verin.

#Güvenlik Denetimi Kontrol Listesi: Her Bot Operatörünün Doğrulaması Gereken 10 Madde

Bu kontrol listesinden aylık olarak geçin. Her maddenin doğrulanması bir dakikadan az sürer:

#Her Şeyi Bir Araya Getirmek: Derinlemesine Savunma

Hiçbir tek güvenlik önlemi yeterli değildir. Profesyonel bot operatörleri, herhangi bir tek katmanın başarısızlığı bir ihlalle sonuçlanmayacak şekilde birden fazla savunmayı katmanlar:

Her katman bağımsızdır. Bir saldırgan IP beyaz listesini atlasa bile (bot sunucusunu ele geçirerek), hâlâ izin kapsamıyla (çekim yok), alt hesap izolasyonuyla (sınırlı sermaye maruziyeti) ve olay müdahale prosedürünüzle karşı karşıya kalır.

#Sıkça Sorulan Sorular

#IP beyaz listesi eklemeyi unutursam ne olur?

IP beyaz listesi olmadan, API anahtarınız dünya çapında herhangi bir IP adresinden çalışır. Birisi anahtarınızı elde ederse (bir veri ihlali, kazara ifşa veya phishing yoluyla), kendi altyapısından kullanabilir. Bybit'te IP kısıtlaması olmayan anahtarlar 90 gün sonra otomatik olarak sona erer — bir güvenlik ağı. Binance ve OKX'te süresiz olarak aktif kalır. IP beyaz listesini şimdi ekleyin; 2 dakika sürer.

#Birden fazla bot için aynı API anahtarını kullanabilir miyim?

Teknik olarak evet, ama kötü bir uygulamadır. Bir anahtarı paylaşan birden fazla bot rate limitleri paylaşır ve rate limit ihlallerini tetiklemeyi kolaylaştırır. Ayrıca bir bot için diğerlerini etkilemeden erişimi iptal edemeyeceğiniz anlamına gelir. Bot başına bir API anahtarı (ideal olarak ayrı alt hesaplarla) kullanın.

#API anahtarımın ele geçirildiğini nasıl anlarım?

Uyarı işaretleri şunları içerir: geçmişinizde görünen yetkilendirmediğiniz işlemler, beklenmedik bakiye değişiklikleri, botlarınız boştayken rate limit hataları (başka birinin anahtarınızı kullandığını düşündürür) veya tanıdık olmayan IP'lerden giriş uyarıları. Bunlardan herhangi birini görürseniz, anahtarı hemen silin ve olay müdahale kontrol listesini izleyin.

#Borsa IP beyaz listesi gereksinimlerini değiştirirse ne olur?

Borsalar ara sıra IP beyaz listesi sistemlerini günceller. Genellikle bir e-posta bildirimi alırsınız. Botunuz aniden işlem yapmayı durdurursa, borsanın API kimlik doğrulama gereksinimlerini değiştirip değiştirmediğini kontrol edin. Bu nadirdir — büyük borsalar geriye dönük uyumluluğu hedefler — ama izlemeye değer.

#Yalnızca bir bot çalıştırsam bile alt hesap kullanmalı mıyım?

Evet. Alt hesap, botunuzun ticaret sermayesi ile yedek fonlarınız arasında net bir sınır oluşturur. Tek bir bot bile olsa, alt hesap arızalı bir botun (veya stratejinizdeki bir hatanın) yalnızca ona açıkça tahsis edilen sermayeyi etkileyebilmesini sağlar. Kurulumu ücretsizdir ve anlamlı koruma ekler.

#Rate limit ihlalleri ticaretimi nasıl etkiler?

Rate limit ihlali, API isteklerinin geçici olarak reddedilmesiyle sonuçlanır. Yasak döneminde (genellikle 2–10 dakika) botunuz emir veremez, bakiye kontrol edemez veya pozisyon yönetemez. Volatil bir piyasada 5 dakika bile kilitli kalmak, bir stop-loss tetikleyicisini veya kârlı bir girişi kaçırmak anlamına gelebilir. Düzgün rate limit yönetimi isteğe bağlı değildir — güvenilir bot operasyonu için zorunludur.

#Çoklu borsa çeşitlendirmesi karmaşıklığa değer mi?

Kesinlikle. 2–3 borsada bot yönetmek biraz daha fazla idari çaba gerektirir, ancak risk azaltması muazzamdır. FTX çöküşü, sermayelerini tek bir platformda yoğunlaştıran yatırımcıları sildi. Çeşitlendirme, hiçbir API anahtar güvenliği veya IP beyaz listesinin önleyemeyeceği bir olaya karşı korur: borsanın kendisinin başarısız olması.