API криптобиржи: что это такое и что могут делать ваши ключи

API криптобиржи — это машиночитаемая дверь на биржу. Вместо того чтобы нажимать на график, ваш код отправляет HTTP-запрос, а биржа возвращает цену, баланс или подтверждение ордера. Это покрывает любой справочник. Часть, которую новички пропускают — и которая стоит людям денег — это права доступа. API-ключ — это не пароль с одной настройкой. Это учетные данные с ограниченной областью действия, и галочки, которые вы ставите при создании, определяют, что именно кто-то сможет сделать с ключом в случае его утечки.

Это руководство охватывает, для чего используется API криптобиржи, как запрос доказывает, что он исходит от вас, что на самом деле позволяет каждая область прав доступа и лимиты запросов, которые ломают большинство первых интеграций.

Что на самом деле делает API криптобиржи

API биржи открывает два семейства эндпоинтов. Публичные эндпоинты не требуют аутентификации и возвращают рыночные данные — тикеры цен, свечи, глубину стакана ордеров, время сервера, список торгуемых символов. Приватные эндпоинты требуют подписанного запроса и взаимодействуют с вашим аккаунтом: размещение и отмена ордеров, чтение балансов и позиций, получение данных об исполнении и записей реестра.

Эти эндпоинты работают через два транспорта, и зрелые системы используют оба. REST — это запрос-ответ, одно действие за раз: разместить или отменить ордер, проверить баланс, получить исторические свечи. WebSocket — это постоянный поток, используемый для живых обновлений стакана, сделок и уведомлений об исполнении, где опрос был бы слишком медленным и дорогим.

Практическое применение: торговые боты, маркет-мейкинг и квантовые стратегии, трекеры портфеля, налоговые инструменты, которые сверяют каждое исполнение, и дашборды, которые измеряют ваш собственный проскальзывание, а не доверяют графику биржи.

Как API-вызов доказывает, что это вы

Создание ключа на WEEX генерирует три значения, и они выполняют разные задачи:

• APIKey — публичный идентификатор, который сообщает бирже, какой ключ делает запрос.
• SecretKey — секрет подписи. Он никогда не передается по сети.
• Passphrase — фраза, которую вы выбираете. Ее нельзя восстановить или изменить; если вы ее потеряли, вы создаете новый ключ.

Каждый приватный запрос подписывается. WEEX генерирует заголовок ACCESS-SIGN, выполняя HMAC SHA256 над timestamp + METHOD + requestPath + "?" + queryString + body, а затем кодируя результат в Base64. Запрос глубины подписывает строку вида 1591089508404GET/api/v3/market/depth?symbol=BTCUSDT&limit=20.

Из этого дизайна следуют две вещи: секрет никогда не передается, поэтому перехват запроса не дает доступа к ключу, и поскольку временная метка находится внутри подписанной строки, перехваченный запрос нельзя повторно использовать с другим полезным телом позже. Полная схема находится в документации по подписи WEEX API.

Что на самом деле позволяют права доступа Read, Spot и Futures

Здесь должен начинаться разговор об безопасности, а не заканчиваться. Области доступа на WEEX независимы — выбор одной не подразумевает другую, а новые ключи по умолчанию доступны только для чтения.

Источник: FAQ по фьючерсному API WEEX, последнее обновление 14 апреля 2026 г., и руководство по подготовке API-ключей WEEX, проверено 28 июля 2026 г.

Обратите внимание, чего нет в этой таблице: права на вывод средств. Документированные права доступа API-ключей WEEX покрывают только чтение и торговлю, поэтому сам по себе ключ не является способом вывода монет со счета. Некоторые площадки предлагают ключи с поддержкой вывода средств — если вы используете такой, это самая рискованная настройка во всем вашем стеке, и она почти никогда не должна быть включена для бота.

Безопасна ли торговля через API криптобиржи?

Вполне, если вы относитесь к ключу как к живым учетным данным, а не как к строке конфигурации. API не является слабым местом; слабое место — это обращение с ключами. Ключи утекают из закоммиченных файлов .env, скриншотов в чатах поддержки и сторонних "торговых дашбордов", которые запрашивают разрешение на торговлю, когда достаточно прав только для чтения.

Три настройки делают большую часть работы. Предоставляйте самый узкий доступ, который действительно нужен инструменту — налоговому инструменту никогда не нужно торговать. Привяжите ключ к IP-адресу; WEEX прямо предупреждает, что ключи без привязки к IP представляют угрозу безопасности, а ключ с привязкой к IP почти бесполезен для того, кто украдет его из другой сети. Держите ключи разработки и продакшена отдельно, чтобы вы могли удалить один, не отключая другой.

Что обычно упускают трейдеры: ключ только для торговли не может слить ваш счет через вывод, но он все еще может его уничтожить. Злоумышленник с правами фьючерсов может открыть позицию с максимальным плечом в неликвидной паре и позволить ликвидации сделать свое дело. Ограничение прав доступа сужает радиус поражения; оно не устраняет его. Лимиты на позиции и плечо в вашем собственном коде — это вторая линия обороны.

Создание API-ключа на WEEX и лимиты, которые кусаются первыми

Ключи создаются в настройках аккаунта, а не через API. Каждый аккаунт может содержать до 10 групп API-ключей, поэтому нет причин использовать один и тот же ключ в разных проектах. Затем прочитайте лимиты перед написанием логики повторных попыток, потому что именно они ломают первую интеграцию:

Источник: ограничения доступа к фьючерсному API WEEX и FAQ, последнее обновление 14 апреля 2026 г., проверено 28 июля 2026 г.

Еще три ловушки, которые стоит упомянуть. Ошибка -1052 (недостаточно прав) обычно означает, что галочка фьючерсов никогда не была поставлена, а не то, что ваша подпись неверна. Соединение WebSocket возвращает 403, если заголовок запроса не содержит User-Agent. И парольная фраза должна быть буквенно-цифровой — специальные символы приведут к сбою аутентификации способами, которые выглядят как ошибка подписи.

Прежде чем рисковать капиталом, WEEX предоставляет эндпоинты для бумажной торговли по адресу /capi/v3/sim/ — баланс, позиции, размещение ордеров и история ордеров — которые позволяют отлаживать поток ордеров без реальных средств. Используйте их, пока ваша обработка ошибок и сверка не станут скучными.

Краткая версия

API криптобиржи — это не функция для продвинутых трейдеров; это система прав доступа с прикрепленным торговым интерфейсом. Правильно настройте область доступа, привяжите IP, храните парольную фразу там, где вы ее не потеряете, а остальное — обычная инженерия. Готовы строить? Создайте ключ из WEEX API, начните с эндпоинтов симуляции и переходите к реальным объемам только тогда, когда ваши логи чисты. Если вы хотите более широкий взгляд на то, как стек REST и WebSocket WEEX сочетаются вместе, см. поддерживает ли WEEX API-торговлю.

FAQ

1. Для чего используется API криптобиржи?

Чтение рыночных данных и управление аккаунтом через код, а не через веб-интерфейс — автоматизированная торговля, отслеживание портфеля, налоговая сверка и пользовательская аналитика по вашим собственным исполнениям и проскальзыванию.

2. Законна ли API-торговля?

Программная торговля — это стандартная функция, поддерживаемая биржей, и она законна в большинстве юрисдикций. Важен ваш местный регуляторный статус и условия самой биржи — манипулирование рынком незаконно, делаете ли вы это вручную или через скрипт.

3. Может ли кто-то вывести мои средства с украденным API-ключом?

Не на WEEX, чьи документированные области ключей по состоянию на апрель 2026 года покрывают только чтение и торговлю. На биржах, которые предлагают ключи с поддержкой вывода средств, украденный ключ с такой областью может перемещать средства — поэтому она должна оставаться выключенной.

4. Почему мой новый API-ключ возвращает ошибку сразу?

Новосозданные или измененные ключи распространяются примерно 15 минут. Если после этого ошибка сохраняется, проверьте галочку прав доступа перед отладкой подписи.

5. Нужно ли мне программировать, чтобы использовать API биржи?

Чтобы построить стратегию, да. Чтобы подключить существующий трекер или налоговый инструмент, нет — вы вставляете в него ключ только для чтения. Никогда не давайте такому инструменту разрешение на торговлю.

Предупреждение о рисках

Криптоактивы крайне волатильны, и торговля ими может привести к частичной или полной потере капитала. API-торговля добавляет риски, которых нет при ручной торговле: ошибка в коде может отправить сотни непреднамеренных ордеров, прежде чем вы заметите, отказ из-за лимита запросов может оставить позицию без хеджирования, а украденный ключ с разрешением на торговлю может быть использован для открытия позиций с плечом на вашем аккаунте, даже когда вывод средств невозможен. Фьючерсная торговля усиливает все это — плечо может ликвидировать позицию на движении, которое спотовый держатель просто переждал бы. Тестируйте на эндпоинтах симуляции, предоставляйте самый узкий доступ, который работает, привязывайте ключи к IP и никогда не торгуйте капиталом, который вы не можете позволить себе потерять.