Autenticazione Tradovate: OAuth o chiave API
Confronti il flusso con token di accesso diretto e quello con login OAuth per l'API dei futures, veda come funziona ciascuno e scelga il metodo di autenticazione giusto per il Suo bot.
On This Page
Ci sono due modi per far dialogare il codice con l'API di Tradovate, e vengono confusi di continuo. Il primo è la richiesta diretta di token di accesso, in cui usa una chiave API generata per il Suo account. Il secondo è OAuth, in cui un trader accede sulla pagina di Tradovate e consegna un token alla Sua app senza mai darLe la propria password. Se sceglie quello sbagliato, o conserverà credenziali che non dovrebbe avere, o si scontrerà con un muro nel momento in cui proverà a collegare l'account di qualcun altro. Ecco come funziona davvero ciascun flusso e quando usarlo.
Entrambi i metodi portano allo stesso risultato: un token bearer di breve durata che allega a ogni richiesta come Authorization: Bearer {token}. La differenza sta interamente in come ottiene quel token e di chi è l'account.
| Token di accesso diretto (chiave API) | OAuth | |
|---|---|---|
| Ideale per | Automatizzare il Suo account | Un'app a cui accedono altri trader |
| Credenziali che Lei conserva | Il Suo nome utente, la Sua password e la Sua chiave API (cid + secret) | Un client ID e un secret forniti da Tradovate, mai la password dell'utente |
| Dove accede l'utente | All'interno del Suo codice | Sulla pagina di login ospitata da Tradovate |
| Come si configura | Genera la chiave Lei stesso nelle impostazioni | Richieda le credenziali client a Tradovate |
| Cosa viene restituito | Token di accesso bearer | Token di accesso bearer |
Il metodo del token di accesso diretto
È il percorso più semplice ed è quello giusto quando l'account che automatizza Le appartiene. Crea una volta una chiave API nella piattaforma, poi scambia un breve POST con un token ogni volta che serve.
Attivi l'accesso API e generi la Sua chiave
Apra le impostazioni del Suo account e trovi il componente aggiuntivo «API Access». Prevede un piccolo costo ricorrente e la generazione della chiave richiede un conto reale finanziato con un saldo minimo. Queste cifre cambiano, quindi verifichi prezzo e soglia attuali nel Suo account. Una volta attivo, apra la scheda «API Access», generi una nuova chiave, le dia un nome, consenta l'accesso completo e la crei. Copi subito il CID e il secret. Tradovate mostra il secret una sola volta e non lo visualizza più, quindi lo conservi in un luogo sicuro e lo tenga fuori dai repository pubblici.
Richieda direttamente un token bearer
Invii un POST a /auth/accesstokenrequest con name, password, appId, appVersion, cid, sec e un deviceId stabile. Usi l'host demo durante i test e l'host live quando inserisce ordini reali. La risposta restituisce un accessToken per il trading, un mdAccessToken separato per i dati di mercato e un orario di scadenza.
Quel token ha breve durata. La risposta Le dice esattamente quando scade, e lo rinnova chiamando /auth/renewAccessToken con il token ancora valido poco prima di quell'orario, non rinviando la password in un ciclo, che è il modo in cui si finisce bloccati con un 401.
Il metodo OAuth
Scelga OAuth nel momento in cui agisce per conto di chiunque non sia Lei: una dashboard, uno strumento di copy trading, qualsiasi prodotto a cui accedono trader reali. Accedono sulla pagina di Tradovate, quindi la loro password non tocca mai i Suoi server. Ottiene un token limitato al loro account e nient'altro.
Ottenga le credenziali client OAuth
A differenza di una chiave API, non può ottenerle in autonomia. Contatti Tradovate, richieda un client ID e un client secret e registri l'esatto redirect URI che la Sua app utilizzerà, per esempio https://yourapp.com/oauth/callback. Il redirect URI dovrà corrispondere in seguito carattere per carattere.
Indirizzi l'utente alla pagina di autorizzazione
Reindirizzi il trader all'URL di autorizzazione di Tradovate, https://trader.tradovate.com/oauth, con response_type=code, il Suo client_id codificato come URL e il Suo redirect_uri codificato come URL. L'utente accede con le proprie credenziali Tradovate e approva l'accesso. Tradovate lo rimanda quindi al Suo redirect URI con un code monouso aggiunto alla query string.
Scambi il codice con un token
Lo faccia dal Suo server, mai dal browser, perché il client secret deve restare privato. Invii un POST all'endpoint del token OAuth, https://live.tradovateapi.com/auth/oauthtoken, con grant_type=authorization_code, il code appena ricevuto, il Suo client_id, client_secret e il redirect_uri corrispondente. Ottiene un access_token e un expires_in. Da qui in poi è identico al flusso diretto: allega il token bearer a ogni richiesta e lo aggiorna prima che scada.
Quale dovrebbe usare?
Se automatizza solo il Suo account, usi il flusso con token di accesso diretto. Ha meno parti in movimento, controlla Lei la chiave e non c'è alcuna terza parte con cui coordinarsi. Se sta costruendo qualcosa a cui si collegano altri trader, usi sempre OAuth. Gestire di persona la password di qualcun altro è una responsabilità che non vuole assumersi, e il flusso OAuth esiste proprio perché non debba mai farlo.
Due cose da verificare prima di costruire su un conto finanziato o di valutazione: se l'automazione API diretta sia consentita dipende dalla Sua società, alcune la permettono e altre no, e i dati di mercato in tempo reale via API possono comportare una commissione di borsa separata. Verifichi entrambe le cose nelle regole attuali della Sua società e nel Suo account, anziché darle per scontate.
Automatizzi con PickMyTrade
Preferisce non occuparsi di token, rinnovi e redirect URI? PickMyTrade collega i Suoi alert di TradingView direttamente a Tradovate senza che debba scrivere una riga di codice di autenticazione.
Eviti il codice di autenticazione
Lasci che PickMyTrade colleghi i Suoi alert di TradingView direttamente a Tradovate, senza token, rinnovi o redirect URI da gestire.
Inizi la prova gratuita di 7 giorniQuesta guida ha esclusivamente scopo educativo e informativo e non costituisce consulenza finanziaria, di investimento o di trading. Il trading di futures e di altri prodotti a leva comporta un rischio di perdita sostanziale e non è adatto a ogni investitore. PickMyTrade è una piattaforma di automazione indipendente di terze parti e non è affiliata, approvata né sponsorizzata da Tradovate, Inc. "Tradovate" e tutti i nomi, loghi e marchi correlati sono di proprietà dei rispettivi titolari. Le funzionalità e i passaggi della piattaforma cambiano nel tempo, quindi verifichi sempre la procedura attuale nella piattaforma e nella documentazione ufficiali di Tradovate prima di agire.