Tradovate OAuth vs. API-Key-Authentifizierung
Vergleichen Sie den direkten Access-Token-Ablauf mit dem OAuth-Login-Ablauf für die Futures-API, sehen Sie, wie beide funktionieren, und wählen Sie die passende Authentifizierungsmethode für Ihren Bot.
On This Page
Es gibt zwei Wege, Code mit der Tradovate-API sprechen zu lassen, und die beiden werden ständig verwechselt. Der eine ist die direkte Access-Token-Anfrage, bei der Sie einen API-Schlüssel verwenden, den Sie für Ihr eigenes Konto erzeugt haben. Der andere ist OAuth, bei dem sich ein Trader auf der eigenen Seite von Tradovate anmeldet und Ihrer App ein Token übergibt, ohne Ihnen je sein Passwort zu geben. Wählen Sie den falschen, halten Sie entweder Zugangsdaten, die Sie nicht besitzen sollten, oder scheitern in dem Moment, in dem Sie das Konto eines anderen verbinden wollen. So funktioniert jeder Ablauf wirklich und wann Sie ihn einsetzen.
Beide Methoden enden am selben Punkt: einem kurzlebigen Bearer-Token, das Sie jeder Anfrage als Authorization: Bearer {token} mitgeben. Der Unterschied liegt ausschließlich darin, wie Sie dieses Token erhalten und für wessen Konto es gilt.
| Direkter Access-Token (API-Schlüssel) | OAuth | |
|---|---|---|
| Am besten geeignet für | Die Automatisierung Ihres eigenen Kontos | Eine App, bei der sich andere Trader anmelden |
| Zugangsdaten, die Sie halten | Ihr eigener Benutzername, Ihr Passwort und Ihr API-Schlüssel (cid + secret) | Eine Client-ID und ein Secret von Tradovate, niemals das Passwort des Nutzers |
| Wo sich der Nutzer anmeldet | In Ihrem eigenen Code | Auf der gehosteten Anmeldeseite von Tradovate |
| Wie Sie die Einrichtung vornehmen | Den Schlüssel selbst in den Einstellungen erzeugen | Client-Zugangsdaten bei Tradovate anfordern |
| Was zurückkommt | Bearer-Access-Token | Bearer-Access-Token |
Die direkte Access-Token-Methode
Das ist der einfachere Weg und der richtige, wenn das zu automatisierende Konto Ihnen gehört. Sie erzeugen einmal einen API-Schlüssel in der Plattform und tauschen dann bei Bedarf mit einem kurzen POST ein Token ein.
API-Zugriff aktivieren und Schlüssel erzeugen
Öffnen Sie die Einstellungen Ihres Kontos und suchen Sie das Add-on „API Access“. Es ist mit einer kleinen wiederkehrenden Gebühr verbunden, und die Schlüsselerzeugung setzt ein finanziertes Live-Konto über einem Mindestguthaben voraus. Diese Zahlen ändern sich, bestätigen Sie daher den aktuellen Preis und die Schwelle in Ihrem eigenen Konto. Sobald es aktiv ist, öffnen Sie den Reiter „API Access“, erzeugen einen neuen Schlüssel, vergeben einen Spitznamen, erlauben vollen Zugriff und erstellen ihn. Kopieren Sie CID und Secret sofort. Tradovate zeigt das Secret genau einmal an und nie wieder. Bewahren Sie es daher sicher auf und halten Sie es aus öffentlichen Repositories heraus.
Ein Bearer-Token direkt anfordern
Senden Sie einen POST an /auth/accesstokenrequest mit Ihren Werten für name, password, appId, appVersion, cid, sec und einer stabilen deviceId. Verwenden Sie beim Testen den Demo-Host und den Live-Host, sobald Sie echte Orders platzieren. Die Antwort liefert ein accessToken für den Handel, ein separates mdAccessToken für Marktdaten und einen Ablaufzeitpunkt.
Dieses Token ist kurzlebig. Die Antwort nennt Ihnen genau, wann es abläuft, und Sie erneuern es, indem Sie kurz vorher /auth/renewAccessToken mit dem noch gültigen Token aufrufen, nicht indem Sie Ihr Passwort immer wieder in einer Schleife senden, womit man sich am Ende mit einem 401 aussperrt.
Die OAuth-Methode
Greifen Sie zu OAuth, sobald Sie für jemand anderen als sich selbst handeln: ein Dashboard, ein Copy-Trading-Tool, jedes Produkt, bei dem sich echte Trader anmelden. Sie melden sich auf der Seite von Tradovate an, sodass ihr Passwort nie Ihre Server berührt. Sie erhalten ein Token, das auf ihr Konto beschränkt ist, und nicht mehr.
OAuth-Client-Zugangsdaten erhalten
Anders als einen API-Schlüssel können Sie diese nicht selbst erzeugen. Kontaktieren Sie Tradovate, fordern Sie eine Client-ID und ein Client-Secret an und registrieren Sie die exakte Redirect-URI, die Ihre App verwenden wird, zum Beispiel https://yourapp.com/oauth/callback. Die Redirect-URI muss später Zeichen für Zeichen übereinstimmen.
Den Nutzer zur Autorisierungsseite schicken
Leiten Sie den Trader zur Autorisierungs-URL von Tradovate weiter, https://trader.tradovate.com/oauth, mit response_type=code, Ihrer URL-kodierten client_id und Ihrer URL-kodierten redirect_uri. Er meldet sich mit seinen eigenen Tradovate-Zugangsdaten an und genehmigt den Zugriff. Tradovate leitet ihn dann zurück zu Ihrer Redirect-URI, wobei ein einmalig gültiger code an die Query-String angehängt ist.
Den Code gegen ein Token eintauschen
Erledigen Sie das von Ihrem Server aus, niemals im Browser, denn das Client-Secret muss privat bleiben. Senden Sie einen POST an den OAuth-Token-Endpunkt https://live.tradovateapi.com/auth/oauthtoken mit grant_type=authorization_code, dem soeben erhaltenen code, Ihrer client_id, Ihrem client_secret und der passenden redirect_uri. Zurück kommen ein access_token und ein expires_in. Ab hier ist es identisch mit dem direkten Ablauf: Hängen Sie das Bearer-Token an jede Anfrage an und erneuern Sie es, bevor es abläuft.
Welche Methode sollten Sie verwenden?
Wenn Sie nur Ihr eigenes Konto automatisieren, verwenden Sie den direkten Access-Token-Ablauf. Er hat weniger bewegliche Teile, Sie kontrollieren den Schlüssel, und es ist kein Dritter abzustimmen. Wenn Sie etwas bauen, mit dem sich andere Trader verbinden, verwenden Sie jedes Mal OAuth. Das Passwort eines anderen selbst zu verarbeiten ist eine Haftung, die Sie nicht wollen, und der OAuth-Ablauf existiert genau dafür, dass Sie das nie tun müssen.
Zwei Dinge sollten Sie prüfen, bevor Sie auf einem finanzierten oder Evaluierungskonto aufbauen: Ob die direkte API-Automatisierung erlaubt ist, hängt von Ihrer Firma ab, manche erlauben sie, andere nicht, und API-Marktdaten in Echtzeit können eine separate Börsengebühr verursachen. Bestätigen Sie beides anhand der aktuellen Regeln Ihrer Firma und Ihres eigenen Kontos, statt es anzunehmen.
Automatisieren mit PickMyTrade
Möchten Sie sich lieber nicht um Tokens, Erneuerungen und Redirect-URIs kümmern? PickMyTrade verbindet Ihre TradingView-Alarme direkt mit Tradovate, ohne dass Sie eine Zeile Authentifizierungscode schreiben müssen.
Verzichten Sie auf den Authentifizierungscode
Lassen Sie PickMyTrade Ihre TradingView-Alarme direkt mit Tradovate verbinden, ohne dass Sie Tokens, Erneuerungen oder Redirect-URIs verwalten müssen.
Starten Sie Ihre kostenlose 7-Tage-TestphaseDiese Anleitung dient ausschließlich Bildungs- und Informationszwecken und stellt keine Finanz-, Anlage- oder Handelsberatung dar. Der Handel mit Futures und anderen gehebelten Produkten birgt ein erhebliches Verlustrisiko und ist nicht für jeden Anleger geeignet. PickMyTrade ist eine unabhängige Automatisierungsplattform eines Drittanbieters und steht in keiner Verbindung zu Tradovate, Inc., wird von dieser weder unterstützt noch gesponsert. "Tradovate" und alle zugehörigen Namen, Logos und Marken sind Eigentum ihrer jeweiligen Inhaber. Plattformfunktionen und Schritte ändern sich im Laufe der Zeit; bestätigen Sie daher stets den aktuellen Ablauf in der offiziellen Tradovate-Plattform und -Dokumentation, bevor Sie handeln.