Rest API zur Kursabfrage & Rest API Feedback

[lonelyxi]

Guten Tag,

1) Bereitstellung von aktuellen Kursen

über die Comdirect Rest API lassen sich automatisierte Handelsstrategien sowie eigene Trading Interfaces abbilden.

Allerdings gibt es keine API zum Bereitstellen der aktuellen Kurse. Die Comdirect Trading API ist in der Lage, den Preis fortlaufend zu aktualisieren. Ich vermute eine dahinterstehende Websocket Verbindung.

Können Sie diese bitte ebenso für uns Entwickler zugänglich machen?

2) Authentifizierung

Die Authentifizierung geschieht derzeit über die Felder:

* Client Id

* Client Secret

* Zugangsnummer

* Zugangspasswort

Ich verstehe nicht weshalb die letzteren beiden Felder notwendig sind und halte das sicherheitstechnisch für bedenklich. Die Idee hinter Client Id und Secret ist normalerweise, dass diese von den Hauptzugangsdaten entkoppelt sind und diese dann nirgends mehr hinterlegt werden müssen. Im Falle der App-Kompromittierung (z.B. bei Cloud Provider gehostet) können Client Id und Secret dann schnell rotiert werden. Im Falle der Comdirect Rest API müssen aber zusätzlich die regulären Zugangsdaten hinterlegt werden.

Referenzen:
* https://www.comdirect.de/cms/media/comdirect_REST_API_Dokumentation.pdf

Beste Grüße

[lonelyxi]

Nachtrag zu "Können Sie diese bitte ebenso für uns Entwickler zugänglich machen?":

.. oder beraten wo denn dann die Kurse herbeigezogen werden sollen?

Im jetzigen Fall müsste man, wenn man die Realtime Funktionalität der Trading App nachbilden möchte, sekündlich (?) die 

brokerage/v3/depots/{depotId}/positions/{positionId} API aufrufen, was bestimmt nicht im Sinne von Comdirect ist.

[javadoc]

Kleiner Hinweis:

Das Sicherheitsptoblem ist nicht die Art der Anmeldung, sondern das Speichern deiner zugangsdaten in der cloud. Das würde ich auf gar keinen Fall in Betracht ziehen....

[lonelyxi]

Das ist eine falsche Perspektive auf das Problem. Idealerweise läuft eine automatisierte Trading-Software auf einem dedizierten System, ob das jetzt in der Cloud oder ein spezieller Rechner daheim ist, sei erstmal egal. Die Idee hinter Credentials wie Access Key & Secret ist, dass diese schnell rotiert werden können, begrenzte Zugriffsrechte haben (was bei Comdirect ebenso nicht einstellbar ist) und durch ihren Einsatz die Hinterlegung anderer (langlebiger) Credentials nicht erfordern.

[lonelyxi]

Ein weiteres Problem ist, dass die Credentials nicht auf ein bestimmtes Depot beschränkt werden können (es gibt ja jetzt zweit Depots). Dadurch kann im Falle eine Kompromittierung das Risiko erheblich eingeschränkt werden.

Hier findet ihr die Supportseite einer Firma die es nach den Best Practises macht: https://support.kraken.com/articles/360000919966-how-to-create-an-api-key

[javadoc · Accepted solution]

Ich denke deine Perspektive ist falsch.

Ich kann dir auch noch andere APIs nennen die das anders machen. Hilft aber nichts. Weil es hier ja so ist und ich habe nur gesagt du solltest deine Daten nicht in der cloud speichern. Das wäre das größte Problem. 

Der Umfang der api ist klar. Kursdaten gibt es nicht du willst sie aber dennoch haben. Die Zielgruppe dieser api ist der Kunde und damit kannst du deine Daten abrufen.

Vielleicht solltest du dir eine api suchen die alle deine Anforderungen erfüllt. Ich glaube mit deinen Anforderungen wird dir hier keiner weiter helfen können. 

[lonelyxi]

In der Industrie in der ich arbeite freut mich man sich auf Kundenfeedback und arbeitet es bei Sinnhaftigkeit in seine Produkte ein. Am Ende des Tages machen solche Features das Comdirect Depot attraktiver, von den Sicherheitsbedenken ganz zu schweigen. 

[lonelyxi]

Und zum direkten Thema zu den aktuellen Kursdaten:

1) In einem automatisierten Trading Setup ist es das normalste auf der Welt die aktuellen Kurse zu verfolgen. 

2) Die Comdirect Trading App aktualisiert diese fortlaufend. Sprich, auf Seiten Comdirects gibt es natürlich interne eine API dazu.

2) Will man sie aus Kostengründen nicht bereitstellen so muss ich argumentieren dass auf diese Daten bereits über die Trading App zugegriffen wird. Ein exorbitanter Zugriff kann über gängige Verfahren (Rate Limit, maximale Papiere zur Kursverfolgung pro Tag etc) verhindert werden.

Software lebt und es ist das normalste auf der Welt sie im Hinblick auf Kundenwünsche zu optimieren. Deswegen mein Post hier 🙂 

[FSQuant]

Moin,

dass es keine Kursdaten gibt bzw. dass die hier nicht angeboten werden, hat in aller Regel rechtliche Hintergründe, bzw. ist lizenzrechtlich nicht ohne weiteres möglich bzw. erhöht stark die Kosten.

Du kannst die Daten einfach scrapen von der Comdirect Website? Du brauchst sie ja nicht im Sekundentakt?

Alternativ: Es gibt X Seiten, wo man mit einem feinen Scraper weiterkommt (tatsächlich ist der HTML-load der Comdirect Website relativ groß)

PIN & Keys:

Ganz optimal ist das nicht, das ist schon richtig.

Mach es doch einfach so, dass du die PIN und Kundennummer nach Start deiner App einmalig eingeben musst? So musst du es nicht irgendwo in der Cloud dauerhaft hinterlegen.

@javadoc: Es gibt keine vergleichbare API bei anderen Brokern, die auch noch steuereinfach sind 🙂 (und bei den meisten kannst du nicht die gleichen Instrumente handeln wie hier....)