Чтобы ограничить ущерб от утечки ключа, некоторые действия доступны только на сайте, с кодами подтверждения:

смена email или пароля, двухфакторной аутентификации или антифишингового кода;
верификация личности;
выдача ключу разрешения Пользователь: Запись: его можно дать только на сайте, поэтому ключ никогда не сможет создать другой ключ, управляющий ключами.

Через API:

выводы и создание или изменение API-ключей работают только с ключом основного аккаунта, у которого есть белый список IP;
у нового ключа, созданного через API, белый список IP должен входить в белый список ключа, который его создаёт;
ключ может дать новому или изменяемому ключу только те разрешения, которые есть у него самого: например, ключ без разрешения Кошелёк: Вывод не создаст ключ, который выводит средства (на сайте можно дать любое разрешение);
ключи субаккаунтов не могут управлять субаккаунтами и API-ключами и не могут выводить средства; ключ субаккаунта может только заморозить свой субаккаунт;
статус субаккаунта через API изменить нельзя. Ключ основного аккаунта с разрешением Пользователь: Запись может заморозить субаккаунт; разморозка — только на сайте, с кодом подтверждения;
для вывода через API код подтверждения не нужен, поэтому разрешение Кошелёк: Вывод давайте только там, где оно действительно нужно.

Выводы через API подчиняются тем же правилам, что и на сайте: лимиты, блокировка на 24 часа после изменений безопасности и ручная проверка некоторых выводов.

Подробности для разработчиков — в документации API.

Безопасность: поддержка Strade никогда не просит пароль, коды 2FA, сид-фразу или секрет API-ключа.

Что нельзя сделать через API?