Подключение счёта по API — первый вопрос, который задают новые клиенты Allocation, ещё до того, как посмотреть на доходность стратегий: если сервис копирует сделки на моём счёте, значит ли это, что кто-то может вывести деньги? Короткий ответ — нет, и дело не в обещании из маркетингового текста, а в архитектуре доступа. Мы подключаем терминал MetaTrader5 через брокера AMarkets не паролем от торгового счёта, а отдельным API-ключом с ограниченным набором прав, и в разделе «Trading account» профиля это зафиксировано как тип доступа Read-Only. Но за одной пометкой в интерфейсе стоит два разных уровня ограничений, которые стоит разбирать по отдельности, а не просто верить надписи.
В феврале 2026 мы прогнали внутренний тест на 3 собственных тестовых счетах у AMarkets, чтобы проверить эту границу на практике, а не по документации брокера. Сгенерировали API-ключ для подключения к Allocation и намеренно попытались вызвать через него методы, которых в интерфейсе сервиса нет: запрос на вывод средств и смену пароля счёта. Все 3 попытки на всех 3 счетах брокер отклонил на своей стороне — не потому что Allocation их заблокировал, а потому что сам ключ создаётся с двумя отдельными переключателями: «trade» включён, «withdrawal» выключен, и второй чекбокс физически недоступен для активации в личном кабинете брокера при выпуске ключа под сторонний сервис. Отказ произошёл на уровне AMarkets, до того как запрос вообще долетел бы до Allocation.
Read-only в разделе профиля описывает именно эту часть — доступ к деньгам и к счёту как объекту распоряжения: сменить пароль, вывести средства или закрыть счёт через такой ключ нельзя, и это не настраивается пользователем в сторону расширения прав. Но для копирования сделок сервису физически нужно больше, чем просто читать котировки: ключ даёт право открывать и закрывать позиции пропорционально стратегии и читать текущий баланс с эквити, иначе Allocation не смог бы ни скопировать сделку, ни остановить копирование при достижении лимита убытка. Из 7 прав, которые в принципе можно выдать API-ключу на MetaTrader5 у AMarkets, для работы Allocation используется 3: чтение состояния счёта, открытие и закрытие позиций, изменение объёма уже открытой позиции. Права на вывод, смену пароля, перевод между счетами и изменение кредитного плеча в ключе для Allocation не запрашиваются — не потому что сервис благородно отказывается, а потому что для копирования сделок они не нужны.
Это не уникальная особенность конкретно Allocation, а общий принцип, по которому стоит проверять любой сторонний сервис перед подключением торгового счёта: не пароль, а ключ с ограниченным скоупом; явно показанный тип доступа, а не формулировка «мы не трогаем ваши деньги» в тексте на сайте; и возможность увидеть, когда именно ключ был выпущен и с какого устройства шло подключение. В профиле Allocation дата подключения счёта видна в том же блоке, что и тип доступа, а раздел «Devices and sessions» отдельно показывает список активных входов в сам аккаунт сервиса — с операционной системой, городом и IP-адресом каждой сессии. Мы сверяем эти два списка с разницей не больше 24 часов после подключения нового счёта клиентом с выделенным менеджером — за 5 месяцев с начала 2026 года расхождений, требовавших вмешательства, было 0.
Ключевые наблюдения
- Read-Only в профиле относится к деньгам и к счёту как объекту распоряжения: вывод, смена пароля и закрытие счёта через API-ключ недоступны и не настраиваются в сторону расширения
- Для копирования сделок ключу физически нужно больше, чем чтение котировок: из 7 возможных прав API у AMarkets Allocation использует 3 — чтение баланса, открытие и закрытие позиций, изменение объёма
- В тесте на 3 тестовых счетах в феврале 2026 все 3 попытки вызвать вывод средств через API отклонил брокер, а не сервис — ограничение зашито в сам ключ
- Дата подключения счёта видна в разделе Trading account, а список активных сессий аккаунта — отдельно, в разделе Devices and sessions
- Общий принцип для любого стороннего сервиса: проверять фактический скоуп ключа, а не верить формулировке в духе «мы не трогаем деньги»
Ключ с правом торговать и ключ с правом выводить деньги — это два разных ключа технически, а не два состояния одного и того же доступа. Мы намеренно не даём сервису второй.
— Mr. Kernel, технический директор
Галерея
Частые вопросы
Allocation запрашивает пароль от торгового счёта MetaTrader5?
Нет. Подключение происходит через API-ключ с ограниченным набором прав, который выпускается в личном кабинете брокера AMarkets отдельно от пароля счёта. Пароль от терминала сервис не видит и не хранит ни на одном этапе подключения.
Что значит тип доступа Read-Only в профиле Allocation?
Read-Only означает, что через выданный ключ нельзя вывести средства, сменить пароль или закрыть счёт — то есть распорядиться деньгами и самим счётом как объектом. Права на открытие и закрытие торговых позиций для копирования сделок в это ограничение не входят и выдаются отдельно.
Может ли Allocation вывести деньги со счёта, если сервис взломают?
Даже при компрометации самого сервиса вывод средств через API-ключ, выданный Allocation, у брокера AMarkets технически заблокирован на уровне самого ключа — чекбокс withdrawal для ключей такого типа недоступен для активации, а не просто выключен по умолчанию.
Как проверить, какие права выданы стороннему сервису, если это не Allocation?
В личном кабинете брокера или биржи открыть список активных API-ключей и посмотреть у каждого набор разрешённых методов: обычно там отдельными переключателями идут чтение, торговля и вывод средств. Если вывод включён для сервиса, который занимается только копированием сделок, это повод отключить ключ и выпустить новый.
Что запомнить
- Перед подключением любого сервиса проверяйте не обещание в тексте, а фактический список прав у выпущенного API-ключа
- Убедитесь, что право на вывод средств у ключа выключено и недоступно для включения, а не просто не отмечено по умолчанию
- Сверяйте дату подключения счёта в профиле с датой в списке активных сессий, если такая возможность есть у сервиса
- Не путайте Read-Only по деньгам с полным отсутствием торговых прав — для копирования сделок торговые права нужны в любом случае