Tradovate API 401 live: Geräte-ID nicht genehmigt

Sie richten einen Tradovate-Bot ein, sehen ihn tagelang tadellos gegen die Demo feuern, richten ihn dann auf Ihr live finanziertes Konto, und jede Order kommt mit einem 401 mit Access is denied zurück. Das ist eine der häufigsten Hürden, an denen API-Trader scheitern, und fast nie ein Fehler in Ihrem Code. Live-Tradovate erzwingt eine Regel, die die Demo stillschweigend ignoriert: Jede Authentifizierungsanfrage muss eine permanente, verifizierte deviceId mitführen, und dieses Gerät muss über einen per E-Mail zugesandten Link genehmigt werden, bevor es echte Orders routen kann. Der Fehler tritt in zwei Formen auf: ein einfaches 401 Access is denied, oder eine 200-Antwort, deren Payload failureReason: UnknownReason, failureText: Access is denied lautet, aber die Ursache ist derselbe fehlende Geräte-Handshake. Hier ist die vollständige Diagnose und Lösung, sowie wie eine Bridge wie PickMyTrade den Geräte-Genehmigungstanz komplett überspringt.

Was „Access Is Denied“ bedeutet

Die Antwort Access is denied bedeutet, dass Tradovate Ihnen mitteilt, dass die Sitzung oder das Gerät, das die Anfrage stellt, nicht autorisiert wurde, auf einem Live-Konto zu agieren, obwohl Ihr Benutzername, Passwort und API-Secret alle korrekt sind. Deshalb ist es so verwirrend: Dieselben Anmeldedaten, die in der Demo problemlos authentifizieren und Orders platzieren, schlagen plötzlich fehl, sobald Sie zum Live-Host wechseln.

Sie sehen es vielleicht als sauberen HTTP-401, oder, irreführender, als HTTP-200, dessen JSON-Body eine Fehler-Payload wie [{'s': 200, 'i': 3, 'd': {'failureReason': 'UnknownReason', 'failureText': 'Access is denied'}}] trägt. Nur Live erzwingt verifizierte Geräte-IDs. Das ist einer der ganz wenigen Unterschiede zwischen Sim und Live, und der Hauptgrund, warum 401er bei Live auftauchen, aber nie bei Sim. Mit anderen Worten: Das ist ein Zwei-Faktor-/Geräte-Vertrauens-Gate, kein defekter Order-Body.

Häufigste Ursachen für einen Live-401

1. Sie greifen noch auf den Demo-Host zu

Die trivialste Ursache: Die Basis-URL wurde nie umgestellt. Demo-Token und Demo-Konto-IDs sind gegen den Live-Endpunkt wertlos, und umgekehrt. Wenn Sie nicht von demo.tradovateapi.com zu live.tradovateapi.com gewechselt haben, schlagen Anfragen für Live-Konten schlicht fehl.

2. Sie senden keine permanente deviceId

Die deviceId ist eine Zeichenfolge von bis zu 64 Zeichen, die dazu dient, das physische Gerät, das die Anfrage stellt, eindeutig und dauerhaft zu identifizieren. Die Demo prüft sie nie, deshalb lassen viele Integrationen sie weg oder erzeugen bei jedem Lauf einen Wegwerfwert. Live lehnt das ab. Bei jedem Login eine neue deviceId zu erzeugen, sieht außerdem jedes Mal wie ein brandneues, nicht genehmigtes Gerät aus, sodass der 401 nie verschwindet.

3. Das Gerät wurde nie über den E-Mail-Link genehmigt

Das ist die Ursache, die die meisten übersehen. Da Tradovate die deviceId als Teil seiner Zwei-Faktor-Authentifizierung behandelt, muss ein neues Gerät außerhalb des eigentlichen Kanals bestätigt werden. Sie erhalten eine E-Mail, um die Geräte-ID zu genehmigen, und solange Sie sie auf Live nicht genehmigen, verweigert es weiterhin den Zugriff. Kein Genehmigungsklick, kein Live-Zugriff, Punkt.

4. Sie haben die accountId oder accountSpec aus der Demo mit in Live übernommen

Ihre Live- und Demokonten teilen sich nicht dieselbe numerische accountId, und auch die Zeichenfolge accountSpec unterscheidet sich (eine Live-Spec gegenüber einer mit DEMO-Präfix). Verwenden Sie die Demo-Werte gegen den Live-Host wieder, erhalten Sie denselben Access is denied, selbst wenn das Gerät bereits vertrauenswürdig ist.

5. Dem API-Schlüssel fehlt der Order-Schreibzugriff

Wenn der Schlüssel oder die App nur für schreibgeschützten Zugriff oder Marktdaten bereitgestellt wurde, wird die Live-Order-Platzierung verweigert. Der Schlüssel benötigt vollständige Order-(Schreib-)Berechtigung, die über das API-Access-Add-on von Tradovate und die App-Konfiguration bereitgestellt wird.

So beheben Sie den Live-401: Schritt für Schritt

Eine fehlende oder nicht permanente deviceId beheben

Das Gerät über den per E-Mail zugesandten Link genehmigen

Den Host wechseln und Live-Kontowerte erneut abrufen

API-Access-Berechtigung bestätigen

Fehlerbehebungstabelle

Wo PickMyTrade ins Spiel kommt

Wenn Sie Ihre TradingView-Signale lieber live handeln möchten, ohne Geräte-IDs, Genehmigungs-E-Mails und Endpunkt-Wechsel selbst zu verwalten, übernimmt PickMyTrade den Broker-Handshake für Sie:

• Verwaltete Live-Verbindung die Geräte-Vertrauens- und Endpunkt-Verwaltung, die rohe API-Integrationen zu Fall bringt, läuft im Hintergrund ab, sodass Live-Orders beim ersten Mal geroutet werden.
• Berechtigungs- und Risikofilter berücksichtigt den Datenvereinbarungsstatus Ihres Kontos und Prop-Firm-Limits, bevor überhaupt eine Order gesendet wird.
• Rate-Limit-sicheres Routing staffelt den Order-Flow, sodass Authentifizierungs- und Order-Aufrufe nicht abgewiesen werden.
• Multi-Konto-Synchronisierung spiegelt dasselbe Signal über mehrere Tradovate-Konten hinweg, ohne dass Sie einen separaten Geräte-Handshake pro Bot pflegen müssen.