Wat is een API Key en een Secret Key?
Stel je voor: je bouwt een Python-bot die automatisch trades uitvoert op Binance of Interactive Brokers. Je script moet weten dat het echt jij bent, niet een hacker die toegang probeert te stelen. Daar komen twee sleutels om de hoek kijken: de API Key en de Secret Key.
Zonder die twee kom je niet eens binnen. Ze zijn je digitale paspoort en je geheime wachtwoord in één.
Zonder ze kan je geen verbinding maken, geen data ophalen en geen orders plaatsen. Met ze ben je klaar om te starten met algoritmisch traden.
Wat zijn het precies?
Een API Key is een publieke identifier. Het is een stukje tekst dat je broker geeft om jouw account te herkennen.
Je kunt het vergelijken met je gebruikersnaam, maar dan specifiek voor software.
Je kunt deze key vrijelijk delen met je eigen scripts. Bij brokers zoals Interactive Brokers, Alpaca of Kraken zie je deze key direct na het aanmaken van een API-sessie. Een Secret Key is het geheime wachtwoord daarbij.
Deze deel je nooit, niet met vrienden, niet op forums, en al helemaal niet in je Git-repo. Je script gebruikt de Secret Key om elke aanroep naar de API te ondertekenen.
Zonder die ondertekening weigert de broker je verzoek. Denk aan Binance: je maakt een API-key aan, krijgt een publieke key en een private secret. Alleen met beide kom je verder. Samen vormen ze een sterk authenticatiemechanisme.
Je API Key zegt wie je bent, de Secret Key bewijst dat het echt jij bent.
Zo voorkom je ongeautoriseerde toegang tot je handelsaccount. In de praktijk ziet je Python-code er zo uit: je laadt de keys in environment variables, je gebruikt een library als ccxt of de officiële broker API, en je stuurt elke request met een ondertekening mee.
Waarom zijn ze onmisbaar in trading?
Veiligheid staat op één. Zonder keys kan elke willekeurige script-kopie toegang krijgen tot je account.
Met keys beperk je toegang tot specifieke functionaliteiten. Bij veel brokers stel je per key in wat mag: alleen marktdata, alleen orderen, of beide.
Bij Interactive Brokers bepaal je per account welke rechten de API-key krijgt. Zo beperk je schade als er iets misgaat. Stel je voor dat je een backtesting-pipeline bouwt met Python, Pandas en TA-Lib. Je haalt historische data via de API.
Je hebt dan alleen een API-key met data-rechten nodig. Je secret key gebruiken is dan niet nodig. Dat is veiliger.
Pas als je live orders gaat plaatsen, schakel je naar een key met order-rechten. Zo’n granulaire controle maakt je setup robuust. Er is ook een praktisch voordeel: keys maken automatiseren makkelijker.
Je script kan 24/7 draaien, zonder handmatig inloggen. Je kunt meerdere scripts naast elkaar draaien met aparte keys.
Eén voor data, één voor live trading, één voor risicomanagement. Als er iets misgaat, revoke je alleen die key.
Je account blijft veilig en je andere processen blijven lopen. Broker-keuze speelt een rol. Bij Binance en andere crypto-exchanges is de API-key de standaard toegang.
Bij traditionele brokers zoals Interactive Brokers of LYNX combineer je een API-key met een account- en een sessie-ID. Je script moet eerst inloggen, een sessie openen, en daarna pas data of orders aanroepen. De principes blijven hetzelfde: je identificeert jezelf en ondertekent elk verzoek.
Hoe werkt het in de praktijk?
Stap 1: maak de keys aan. Bijvoorbeeld bij Kraken: ga naar je account, sectie API, maak een nieuwe key. Voorkom dat je per ongeluk je API keys lekt.
Je krijgt een publieke key en een private secret. Sla ze direct op in een veilige password manager.
Zet ze in environment variables: KRaken_API_KEY en KRAKEN_SECRET_KEY. Nooit hardcoded in je Python-script. Stap 2: beperk rechten. Kies voor read-only als je alleen data ophaalt.
Schakel trade-rechten in als je orders gaat plaatsen. Schakel withdrawal uit tenzij het echt nodig is.
Bij Alpaca kun je een key aanmaken met alleen trade-rechten en een aparte key voor data. Bij Binance kun je IP-whitelisting instellen: alleen je server-IP mag connecten. Stap 3: gebruik een library.
Met ccxt ondersteun je 100+ exchanges met dezelfde interface. Je geeft je keys mee en ccxt regelt de signing.
Bij Interactive Brokers gebruik je ib_insync of de TWS API. Daar log je in met je accountnummer, krijgt een clientId, en gebruikt je API-key voor extra beveiliging.
Je script wordt korter en leesbaarder. Stap 4: test met paper trading. Gebruik een oefenaccount voordat je echt geld inzet.
Bij Alpaca heb je een paper-environment zonder extra kosten. Bij Binance kun je testnet gebruiken.
Zo test je je bot, je risk management en je error handling zonder risico.
Pas als alles stabiel loopt, zet je de live-keys in. Stap 5: monitor en rotate.
Log elke aanroep, elke fout, en elke order. Stel alerts in als een key onverwacht veel calls maakt. Wissel je keys periodiek, bijvoorbeeld elke 90 dagen. Bij een incident revoke je direct de key. Een nieuwe key aanmaken en deployen duurt bij de meeste brokers minder dan vijf minuten.
Welke varianten en kosten zijn er?
De meeste brokers rekenen geen aparte kosten voor API-keys. De kosten zitten in handel en data. Bij Interactive Brokers betaal je voor real-time datafeeds, afhankelijk van de markt.
Een typische datafeed kost enkele euros per maand per beurs. Je API-key is gratis, maar de data die je ermee ophaalt kan wel geld kosten.
Bij crypto-exchanges zoals Binance of Kraken zijn API-keys gratis. Je betaalt trading fees per transactie.
Voor professionele data betaal je extra: diepere historische datasets of snellere websocket-streams. Bij Alpaca is de stock-data voor Amerikaanse aandelen gratis voor realtime en historisch, tenzij je premium data toevoegt. Die premium data kan enkele dollars per maand kosten.
Er zijn ook verschillen in limieten. Veel exchanges hanteren rate limits, bijvoorbeeld 120 requests per minuut.
Als je bot te snel roept, krijg je errors. Je API-key is daarbij je identifier. Bij Binance kun je limieten verhogen door je account te verifiëren. Bij Interactive Brokers zijn de limieten afhankelijk van je accounttype en de datafeed die je kiest.
Prijsindicaties voor een simpele setup: Let op: sommige brokers vragen om een minimum account-saldo voor API-toegang.
- API-keys: gratis bij de meeste brokers en exchanges.
- Datafeeds: €5–€30 per maand per beurs bij traditionele brokers.
- Paper trading: gratis bij Alpaca en Binance testnet.
- Cloud hosting voor je bot: €5–€20 per maand, afhankelijk van performance.
Bij Interactive Brokers is dat meestal geen minimum, maar wel een vereiste voor live trading.
Bij crypto-exchanges is er vaak geen minimum, maar wel verplichte verificatie voor hogere limieten. Check altijd de documentatie van je broker.
Praktische tips voor veilig en effectief gebruik
Volg deze stappen om je keys veilig te houden en je bot soepel te laten draaien:
- Sla keys op in environment variables of een secrets manager, nooit in code.
- Gebruik aparte keys voor data, trading en backtesting.
- Stel IP-whitelisting in waar mogelijk.
- Beperk rechten tot het minimum dat je script nodig heeft.
- Test eerst op paper trading, daarna pas live.
- Log elke call en fout, en stel alerts in voor afwijkend gedrag.
- Rotate keys periodiek en revoke bij een incident.
- Gebruik libraries als ccxt of ib_insync om signing te automatiseren.
- Houd rekening met rate limits en backoff-strategieën bij errors.
- Documenteer je setup, zodat je snel kunt herstellen bij problemen.
Een kleine checklist helpt bij elke nieuwe broker. Vraag je af: welke rechten heb ik echt nodig? Welke data gebruik ik?
Welke limieten gelden er? Hoe snel kan ik keys wisselen?
Welke error codes kan mijn bot tegenkomen? Beantwoord deze vragen voordat je live gaat.
Sluit af met een simpele waarheid: begrijpen hoe een API werkt in de financiële wereld is de basis van elke geautomatiseerde trading-setup. API Keys en Secret Keys bepalen wie je bent en bewijzen dat jij het bent. Gebruik ze slim, beperk rechten, en houd ze veilig. Dan bouw je met vertrouwen een robuuste Python-bot die werkt met backtesting, risicomanagement en live traden bij je favoriete broker.