Kết nối API SSI/DNSE an toàn: những điều cần biết

API key là gì và vì sao cần cẩn trọng

Khi kết nối bot tín hiệu với tài khoản chứng khoán qua API SSI hoặc DNSE, hệ thống của công ty chứng khoán sẽ cấp cho bạn một cặp khóa API (API key/secret) gắn liền với chính tài khoản của bạn. Khóa này hoạt động giống như một "chìa khóa phụ" cho phép phần mềm thao tác trên tài khoản thay bạn, trong giới hạn quyền mà bạn cấp. Vì vậy, bất kỳ ai cầm được khóa này — không chỉ riêng bot — đều có thể thực hiện các hành động mà quyền đó cho phép.

Nguyên tắc cấp quyền tối thiểu

Khi tạo API key cho kết nối API SSI DNSE, nên chỉ cấp đúng quyền cần thiết cho mục đích sử dụng:

Nếu chỉ muốn bot đọc dữ liệu giá, số dư, lịch sử lệnh để theo dõi và phát tín hiệu — chỉ cấp quyền đọc (read-only) nếu công ty chứng khoán hỗ trợ tách riêng quyền này.
Chỉ cấp quyền đặt lệnh khi bạn thực sự cần bot hỗ trợ đặt lệnh, và hiểu rõ Siêu Bot vẫn yêu cầu bạn tự xác nhận từng lệnh trước khi gửi thật.
Không bao giờ chia sẻ API key qua chat, email thông thường, hoặc dán vào bất kỳ công cụ/bot nào ngoài hệ thống bạn tin tưởng và đã tự kiểm tra.
Đặt giới hạn hạn mức giao dịch (nếu công ty chứng khoán hỗ trợ) để giảm thiệt hại tối đa nếu có sự cố.

Lưu trữ và luân chuyển khóa (key rotation)

API key nên được lưu trữ ở nơi mã hóa, không ghi ra file văn bản thường hay gửi qua các kênh không bảo mật. Nên định kỳ thu hồi (revoke) và tạo lại API key, đặc biệt sau khi đổi thiết bị, nghi ngờ rò rỉ, hoặc không còn sử dụng dịch vụ liên kết. Hầu hết công ty chứng khoán cho phép thu hồi key ngay trên ứng dụng hoặc website chính thức của họ — đây là bước đầu tiên nên làm nếu nghi ngờ có vấn đề.

Dấu hiệu cần xử lý ngay

Nếu phát hiện lệnh lạ không do bạn đặt, số dư thay đổi bất thường, hoặc nhận thông báo đăng nhập/giao dịch từ thiết bị không quen, cần thu hồi API key ngay trên hệ thống của công ty chứng khoán, đổi mật khẩu tài khoản, và liên hệ bộ phận hỗ trợ của SSI/DNSE để được hướng dẫn thêm. Việc này nằm ngoài khả năng xử lý của bot — chỉ công ty chứng khoán mới có quyền khóa/thu hồi API key ở phía họ.

Câu hỏi thường gặp

API key của SSI/DNSE có giống mật khẩu đăng nhập không?

Không hoàn toàn. API key dùng cho kết nối chương trình-với-chương trình và thường có thể giới hạn quyền hạn riêng, nhưng vẫn cần bảo vệ nghiêm ngặt như mật khẩu vì nó cho phép thao tác trên tài khoản.

Siêu Bot có lưu API key của tôi dạng rõ không?

Không. Thiết kế hệ thống hướng tới việc không lưu lộ khóa dạng văn bản thuần; tuy vậy bạn vẫn nên tự áp dụng nguyên tắc cấp quyền tối thiểu và luân chuyển khóa định kỳ như mô tả ở trên.

Tôi nên cấp quyền đặt lệnh cho bot ngay từ đầu không?

Không bắt buộc. Có thể bắt đầu với quyền đọc để theo dõi tín hiệu, chạy mô phỏng một thời gian, rồi mới xem xét cấp thêm quyền nếu thực sự cần.

Nếu tôi không dùng bot nữa thì phải làm gì với API key?

Vào hệ thống SSI/DNSE để thu hồi (revoke) key đó ngay, không chỉ đơn giản là ngừng dùng bot.

Nội dung này chỉ mang tính giải thích, không phải lời khuyên đầu tư. Siêu Bot mặc định luôn chạy ở chế độ mô phỏng và không tự đặt lệnh thật khi chưa có xác nhận trực tiếp của người dùng.

Xem phần dùng thử để trải nghiệm trực tiếp.