자동매매 프로그램 판매, 사기 전 확인할 6가지

크몽 같은 재능 마켓, 텀블벅, 중고거래 앱, 개인 블로그까지 “자동매매 프로그램 판매”는 흔합니다. 이 글은 어느 판매자가 좋다·나쁘다를 말하지 않습니다. 대신 증권사가 직접 공지한 사실과 API 명세 원문만으로, 구매자가 판매자에게 물어야 할 질문을 정리합니다. 판매 프로그램을 살지, 직접 만들지, 맞춤 제작을 맡길지의 큰 갈림길은 직접 만들기 vs 외주에 따로 정리했습니다.

0. 먼저 알아 둘 것 — 증권사는 판매 프로그램을 책임지지 않는다

키움증권 오픈API 게시판의 「제3자 작성 프로그램 이용 시 유의사항 안내」(2025-09-29)는 짧지만 구매자에게 가장 중요한 공지입니다. 요지는 세 가지입니다. 제3자가 만든 프로그램으로 키움 Open API+·키움 REST API 를 쓸 때 생긴 결과와 손해는 고객 본인 책임이고, 키움이 만든 프로그램이 아니라 업데이트가 계속되는지 알 수 없으므로 그 프로그램에 대해서는 답변하지 않으며, 사용 전에 모의투자 환경에서 충분히 테스트하라는 것입니다. 공지는 근거로 이용약관 제5조(고객의 의무)를 듭니다.

1. 어느 API 위에서 도나 — 이름과 방식을 적어 달라고 하라

“키움 연동”이라고만 적힌 상품이 많습니다. 그런데 키움 안에서도 창구가 둘이고 성격이 크게 다릅니다.

판매 페이지에 이 한 줄이 없으면 물어보십시오. 답이 “영업 비밀”이면 사지 않는 편이 낫습니다. 어느 API 인지 모르면 아래 다섯 항목을 하나도 확인할 수 없기 때문입니다. 키움 두 창구의 차이는 키움 OpenAPI+ → REST 전환에 정리했습니다.

2. 증권사가 바꾸면 누가 고치나 — 실제로 바뀐 날짜가 있다

“평생 사용”은 프로그램 파일을 계속 쓸 수 있다는 뜻이지, 증권사가 바뀌어도 계속 작동한다는 뜻이 아닙니다. 올해만 해도 이런 변경이 있었습니다.

세 번째 줄이 중요합니다. 판매자가 아무리 성실해도 계좌 주인만 풀 수 있는 문제가 있습니다. 반대로 첫째·둘째 줄은 판매자가 고치지 않으면 영영 안 됩니다. 삭제된 TR 을 부르면 명세상 아래 같은 오류가 돌아옵니다.

# 키움 REST API 공식 명세(kiwoom_api_spec.json) 오류코드 원문 중 구매자가 자주 보게 될 것
1505  해당 API ID는 존재하지 않습니다. API ID={?}
1700  허용된 API 요청 개수를 초과하였습니다. 유량={?}, API ID={?}
8010  Token을 발급받은 IP와 서비스를 요청한 IP가 동일하지 않습니다
8030  투자구분(실전/모의)이 달라서 Appkey를 사용할수가 없습니다
8104  모의투자에서 지원하지 않는 API 입니다.
8200  법인 고객은 해당 API를 지원하지 않습니다. API ID={?}, URI={?}

소스코드를 함께 받았다면 삭제된 코드를 쓰는지 직접 찾아볼 수도 있습니다. 개발을 몰라도 파이썬만 깔려 있으면 됩니다.

# removed_tr_check.py — 받은 소스 폴더에서 삭제·변경된 키움 코드 흔적 찾기
import pathlib, sys

REMOVED = ["ka10087", "ka10098", "ka10009"]          # 키움 공지로 삭제된 TR
SUSPECT = ['"trde_tp": "62"', "trde_tp='62'"]        # 시간외단일가 매매구분

root = pathlib.Path(sys.argv[1] if len(sys.argv) > 1 else ".")
for f in root.rglob("*.py"):
    text = f.read_text(encoding="utf-8", errors="ignore")
    for key in REMOVED + SUSPECT:
        if key in text:
            print(f"[확인 필요] {f} → {key}")

3. API 키는 누가 발급하고 어디에 넣나

키움 appkey·secretkey, KIS appkey·appsecret, 업비트 Access Key·Secret Key 는 계좌에 주문을 낼 수 있는 자격 증명입니다. 원칙은 하나입니다 — 본인이 발급하고, 프로그램이 도는 본인 PC·본인 서버의 설정 파일에 본인이 넣는다.

# 판매 프로그램 설정 파일의 흔한 모양(예시) — 이 네 줄은 구매자가 직접 채운다
[kiwoom]
appkey    = 발급받은_앱키
secretkey = 발급받은_시크릿키
mode      = mock          # 처음에는 mock(모의투자) → 검증 뒤 real

# 이런 줄이 있으면 물어볼 것: 내 키가 판매자 서버로 가는가?
# license_server = https://판매자도메인/verify

코인이라면 거래소 쪽 안전장치도 켜 두십시오. 업비트 개발자 센터 안내 기준으로 키 발급 때 자산조회·주문조회·주문하기·출금조회·출금하기 중 권한을 고르고, 허용 IP 는 공인 IPv4 만 등록되며 고정 IP 가 권장됩니다. Secret Key 는 발급 순간에만 보입니다. 자동매매에 출금하기 권한은 필요 없습니다. 키움 REST 쪽에서 위 8010(토큰 발급 IP 와 요청 IP 불일치)이 뜬다면 토큰을 다른 곳에서 받아 오는 구조일 수 있으니 판매자에게 이유를 물으십시오. 권한 설계 전반은 API 키 보안 — 출금 막는 열쇠 만들기에 있습니다.

4. 호출 한도 안에서 도나 — 같은 계좌로 두 개를 돌리면 부딪힌다

키움증권 공지 「REST API 유량 정책 안내(2026.07.02 기준)」는 국내주식을 계좌별(토큰별) 조회 TR 1초당 5회, 주문 TR 1초당 5회로 제한하고, 세션은 계좌별 1개, 세션당 실시간 시세 200종목, 실시간 조건검색 국내주식 10건으로 안내합니다. 판매 페이지의 “전 종목 실시간 감시”는 이 숫자와 맞춰 봐야 합니다. KIS 에서는 호출이 몰리면 EGW00201(초당 거래건수 초과)이 돌아옵니다.

특히 조심할 것은 같은 계좌로 프로그램 두 개입니다. 구매한 프로그램과 직접 만든 스크립트, 혹은 서로 다른 판매자의 프로그램 두 개가 같은 키로 호출하면 한도를 나눠 쓰다 둘 다 1700 류 오류를 받습니다. 판매자에게 초당 몇 번 호출하는지, 실시간은 몇 종목을 등록하는지 물어보십시오. 대답을 못 하면 한도 설계를 안 한 프로그램일 가능성이 큽니다.

5. 해지·만료 조건 — 안 쓰면 끊기는 것들

KIS 토큰 문제는 판매 프로그램에서 가장 흔한 “하루 지나면 멈춤”의 원인입니다. 토큰을 캐시해서 재사용하는지, 만료 전에 갱신하는지 물어보십시오. 코드별 원인은 KIS API 에러코드 11가지에 있습니다.

6. 모의투자로 먼저 돌려볼 수 있나

키움 공지가 직접 권하는 것도 모의투자 테스트입니다. 키움 REST API 는 모의투자 도메인 https://mockapi.kiwoom.com 이 따로 있고, KIS 는 모의투자 tr_id 가 실전과 다릅니다(VTTC… / TTTC…). 구매 조건에 모의투자 모드로 며칠 돌려 볼 수 있는가를 넣으십시오.

다만 모의투자가 전부를 증명하지는 않습니다. 키움 공지 기준 모의투자는 TR 1개당 1초 1회로 실전보다 한도가 좁고, 일부 API 는 8104(모의투자에서 지원하지 않는 API)로 거절됩니다. 모의에서 잘 되면 “주문 흐름이 연결됐다”는 뜻이지 “실전 체결이 같다”는 뜻은 아닙니다. 어디까지 검증되는지는 KIS 모의투자로 어디까지 검증되나를 참고하십시오.

판매자에게 보낼 질문 6줄

수익률은 이 목록에 없습니다. 비용·기간·실계좌 여부가 함께 공개되지 않은 수익률은 검증할 수 없고, 수익 보장 문구는 그 자체가 위험 신호입니다. 흔한 허위광고 유형은 자동매매 사기·허위광고 피하는 법에 모아 두었습니다.